Politique de confidentialité

Cette politique explique quelles données personnelles Quostra traite, pourquoi, combien de temps, avec qui elles sont partagées et comment exercer vos droits, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.

1. Responsable du traitement

QUOSTRA, Société par actions simplifiée unipersonnelle (SASU) au capital de 500 €, 57 rue Gutenberg, 75015 Paris, France, RCS Paris 100 854 645. Contact : contact@quostra.com ou +33 1 84 16 10 22.

Pour les données personnelles figurant dans les pièces que le Client nous transmet pour réaliser une mission (plans, pièces écrites, coordonnées de tiers), Quostra agit en qualité de sous-traitant du Client. Ce traitement est encadré par l'annexe « Accord de traitement des données » des conditions générales.

2. Données traitées

• Identification : nom, prénom, adresse email, numéro de téléphone.
• Informations professionnelles : activité (architecture et maîtrise d'œuvre, ou assistance à maîtrise d'ouvrage), nom, adresse et SIREN ou SIRET de l'entreprise, logo. Pour les comptes créés avant le 28 septembre 2026, métier et secteur d'activité déclarés à l'inscription.
• Projets : pièces transmises, livrables, messages échangés sur un projet, consommation de crédits.
• Facturation : historique des paiements et factures. Les données de carte bancaire sont traitées par Stripe ; Quostra n'y a jamais accès.
• Échanges : messages envoyés par le formulaire de contact ou au support.
• Demande de revue express : coordonnées, structure, métier, description de l'opération, pièces transmises, choix exprimés sur le formulaire et provenance de votre visite (paramètres de campagne présents dans le lien suivi). Pour limiter le nombre de demandes, l'adresse IP et l'adresse email sont aussi enregistrées sous forme d'empreinte pseudonymisée ; l'adresse IP n'est jamais conservée en clair.
• Données techniques : journaux de connexion et d'erreurs, pages vues, clics et enregistrement des visites, contenu des champs de saisie masqué (voir l'annexe).

3. Finalités et bases légales

• Création et gestion du compte, réalisation des missions, support : exécution du contrat.
• Facturation et comptabilité : exécution du contrat et obligation légale.
• Sécurité de la plateforme et prévention de la fraude : intérêt légitime.
• Mesure d'audience et enregistrement des visites : intérêt légitime de Quostra à comprendre l'usage de son site et à l'améliorer.
• Amélioration du service à partir de livrables anonymisés : exécution du contrat, selon la licence prévue aux conditions générales. Aucune publication sans accord écrit du Client.
• Revue express offerte : étude de votre envoi et réalisation de la revue que vous demandez (mesures précontractuelles). Les enseignements tirés des dossiers ne sont partagés que sous une forme anonyme, qui ne permet d'identifier ni vous, ni votre structure, ni l'opération. La limite de demandes par connexion, qui prévient les abus, repose sur l'intérêt légitime.
• Prospection commerciale auprès de professionnels, sur des sujets liés à leur activité : intérêt légitime. Vous pouvez vous y opposer à tout moment, sans frais, par simple email.

4. Destinataires

Les données sont accessibles au personnel habilité de Quostra et aux membres de l'équipe Quostra, économistes de la construction seniors, qui interviennent sur les projets, dans la limite de ce qui est nécessaire à leur mission. Ils agissent sous l'autorité de Quostra et sont tenus à la confidentialité.

Quostra fait appel aux sous-traitants suivants :

• Supabase : Hébergement de la base de données, authentification des comptes et stockage des fichiers, en Irlande (Union européenne).
• Hostinger : Hébergement du serveur applicatif, au Royaume-Uni. Transfert hors de l’Union européenne encadré par la décision d’adéquation de la Commission européenne pour le Royaume-Uni.
• GitHub : Hébergement du code source de la plateforme (aucune donnée client). Transfert hors de l’Union européenne encadré par les clauses contractuelles types.
• Stripe : Paiement en ligne et facturation. Quostra n’a jamais accès aux numéros de carte bancaire. Transfert hors de l’Union européenne encadré par les clauses contractuelles types.
• PostHog : Mesure d’audience et enregistrement des visites, contenu des champs de saisie masqué. Transfert hors de l’Union européenne encadré par les clauses contractuelles types.
• Resend : Envoi des emails transactionnels (codes de vérification, notifications de projet, emails d'abonnement avec le contrat en PDF, suivi des demandes de revue express). Transfert hors de l’Union européenne encadré par les clauses contractuelles types.
• Microsoft 365 : Messagerie et connexion par compte Microsoft. Transfert hors de l’Union européenne encadré par les clauses contractuelles types.
• Google : Connexion par compte Google (OAuth). Transfert hors de l’Union européenne encadré par les clauses contractuelles types.
• Calendly : Prise de rendez-vous. Transfert hors de l’Union européenne encadré par les clauses contractuelles types.
• Anthropic (Claude) : Analyse assistée des pièces transmises, sans entraînement des modèles sur nos contenus, avec vérification humaine systématique. Transfert hors de l’Union européenne encadré par les clauses contractuelles types.

Les données peuvent être communiquées aux autorités habilitées lorsque la loi l'impose. Quostra ne vend ni ne loue aucune donnée personnelle.

5. Transferts hors de l'Union européenne

Lorsqu'un sous-traitant est établi hors de l'Union européenne ou peut y accéder aux données, le transfert est encadré par les clauses contractuelles types adoptées par la Commission européenne, ou par une décision d'adéquation lorsqu'elle existe. Une copie des garanties peut être obtenue à l'adresse contact@quostra.com.

6. Durées de conservation

• Données de projet et livrables : Tant que le compte est ouvert, puis 30 jours après sa fermeture.
• Données de compte et de contrat, dont les exemplaires acceptés du contrat d’abonnement : 5 ans après la fin de la relation commerciale.
• Données de facturation : 10 ans (obligation comptable).
• Journaux techniques (logs) : 12 mois (choix interne).
• Mesure d’audience et enregistrement des visites (PostHog) : 1 an au plus.
• Données de prospection : 3 ans après le dernier contact.
• Échanges (formulaire de contact, support) : 3 ans après le dernier échange ; pour les titulaires d’un compte, 5 ans après la fin de la relation commerciale.
• Demandes de revue express (coordonnées, pièces transmises, empreintes de l’adresse IP et de l’email) : 12 mois après le dépôt.

À l'issue de ces durées, les données sont supprimées ou rendues anonymes de façon irréversible.

7. Sécurité

Les mesures mises en œuvre pour protéger les données sont décrites dans la page Sécurité. En cas de violation de données présentant un risque, Quostra la notifie à la CNIL dans les conditions prévues par le RGPD et en informe les personnes concernées lorsque la loi l'exige.

8. Vos droits

Vous disposez des droits suivants sur vos données :

• Accès (article 15 du RGPD) : savoir si des données vous concernant sont traitées et en obtenir une copie.
• Rectification (article 16) : faire corriger des données inexactes ou incomplètes.
• Effacement (article 17) : faire supprimer vos données, sauf si leur conservation est imposée par la loi.
• Limitation (article 18) : faire geler temporairement l'utilisation de vos données.
• Portabilité (article 20) : recevoir les données que vous avez fournies dans un format structuré et lisible par machine.
• Opposition (article 21) : vous opposer à un traitement fondé sur l'intérêt légitime, et à tout moment à la prospection.
• Directives post mortem : définir le sort de vos données après votre décès.

Pour exercer ces droits, écrivez à contact@quostra.com avec l'objet « Données personnelles ». Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois pour les demandes complexes ; vous en êtes alors informé. En cas de doute raisonnable sur votre identité, un justificatif peut vous être demandé.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : www.cnil.fr.

9. Modification de cette politique

Cette politique peut évoluer. La date et la version de la dernière mise à jour figurent en haut de page. En cas de changement important, les utilisateurs inscrits sont informés par email.

Annexe : cookies et traceurs

Cookies strictement nécessaires

Les cookies de connexion à votre compte sont strictement nécessaires. Ils sont exemptés de consentement (article 82 de la loi Informatique et Libertés).

• sb-<ref>-auth-token : Maintien de la session de l’utilisateur connecté (Supabase). Peut être découpé en plusieurs cookies suffixés .0, .1. Durée : supprimé à la déconnexion, 400 jours au plus.
• sb-<ref>-auth-token-code-verifier : Sécurisation de la connexion par Google ou Microsoft (échange de code OAuth). Durée : le temps de la connexion.
• quostra_retour : Retour à la page demandée après une connexion par Google ou Microsoft, quand un lien a été ouvert sans être connecté. Il ne contient que l’adresse de cette page. Durée : supprimé dès la connexion, 30 minutes au plus.

Stockage local du navigateur

Pendant l'inscription, le site conserve temporairement quelques informations dans le stockage local de votre navigateur, pour ne pas vous les redemander d'une étape à l'autre :

• register_axe : Conserver l’activité choisie pendant l’inscription (architecture et maîtrise d’œuvre, ou AMO). Supprimé à la fin de l’inscription, ignoré après 30 minutes.
• register_cgv_accepted_at : Conserver l’acceptation des conditions générales pendant une inscription par Google ou Microsoft. Supprimé à la fin de l’inscription, ignoré après 30 minutes.
• pending_registration_email : Conserver l’adresse email en attente de vérification. Supprimé après vérification du code.
• quostra:venu-de-l-amo:<identifiant du compte> : Proposer à un compte AMO passé aux prestations Architecture et maîtrise d’œuvre depuis « Nouveau projet » d’y revenir au même endroit. Supprimé au retour vers les prestations AMO.

Mesure d'audience

La fréquentation du site est mesurée avec PostHog. PostHog relève les pages vues et les clics, et enregistre le déroulé des visites (pages, défilement, clics) pour nous aider à améliorer le site. Le contenu des champs de saisie est toujours masqué : ce que vous tapez n'est jamais capté. Les données servent uniquement à Quostra et ne sont ni vendues ni utilisées à des fins publicitaires. PostHog dépose pour cela le traceur suivant :

• ph_<clé du projet>_posthog : Identifiant anonyme de navigation et de session, pour la mesure d’audience et l’enregistrement des visites (PostHog). Déposé en cookie et dans le stockage local du navigateur. Durée : 1 an.

Pour vous opposer à cette mesure, écrivez à contact@quostra.com. Vous pouvez aussi supprimer ce traceur depuis les réglages de votre navigateur.

Module de prise de rendez-vous

Les pages Contact et de lancement de projet affichent l'agenda Calendly dans un cadre intégré. Calendly peut y déposer ses propres cookies, sous sa responsabilité et selon sa politique de confidentialité.

Aucun autre traceur

Quostra ne dépose aucun cookie publicitaire, ni aucun autre traceur que ceux décrits dans cette annexe. Vous pouvez à tout moment supprimer les cookies et le stockage local depuis les réglages de votre navigateur ; les cookies de connexion supprimés, vous serez simplement déconnecté. Plus d'informations sur cnil.fr.