Sécurité et protection de vos données

Ce que nous collectons, et ce que nous ne collectons jamais

Nous appliquons le principe de minimisation (article 5-1-c du RGPD) : une donnée qui n'est pas nécessaire à la recherche de votre bien n'est pas demandée.

Collecté lorsque vous remplissez un formulaire ou prenez rendez-vous : nom et prénom, email, téléphone, type de projet, secteurs recherchés, budget approximatif, surface et nombre de pièces, disponibilités, fuseau horaire pour les clients expatriés, et le message libre que vous rédigez.

Jamais collecté sur le site, dans aucun formulaire :

• Coordonnées bancaires, numéro de carte, RIB, justificatifs de revenus
• Numéro de sécurité sociale, données de santé
• Opinions politiques, convictions religieuses, origine ethnique, orientation sexuelle
• Données biométriques
• Mot de passe : il n'existe aucun compte visiteur à créer

Les documents d'un dossier d'acquisition (pièce d'identité, plan de financement, offre d'achat) sont échangés plus tard, dans le cadre du mandat de recherche signé, avec votre chasseur et avec le notaire, jamais via un formulaire public de ce site.

Où sont hébergées vos données

Le site est un site statique : les pages sont pré-calculées et servies par un réseau de diffusion, sans base de données interrogeable côté visiteur. Les traitements qui manipulent des données personnelles sont limités et identifiés.

La liste complète des sous-traitants, avec leur finalité et leur garantie de transfert, figure au paragraphe 5 de la politique de confidentialité. Les outils de mesure d'audience et de publicité (Google, Microsoft, Meta) ne sont chargés qu'après votre consentement explicite, et n'ont accès ni à votre budget, ni au contenu de vos échanges avec un chasseur.

Chiffrement et sécurité technique du site

Les mesures ci-dessous sont vérifiables depuis l'extérieur, par n'importe quel outil public d'analyse d'en-têtes HTTP. Elles sont appliquées à l'ensemble du domaine, pas seulement aux pages de formulaire.

• Chiffrement en transit : HTTPS avec TLS 1.3, certificat émis et renouvelé automatiquement. Toute requête en clair est redirigée vers HTTPS.
• HSTS : en-tête Strict-Transport-Security d'une durée de deux ans, étendu aux sous-domaines, avec directive preload. Un navigateur qui a vu le site une fois refuse ensuite toute connexion non chiffrée.
• Politique de sécurité du contenu (CSP) : les scripts, styles, images, polices, connexions et cadres autorisés sont énumérés explicitement. Tout script tiers non déclaré est bloqué par le navigateur, ce qui limite l'impact d'une injection.
• Soumission de formulaire verrouillée : la directive form-action 'self' interdit à un formulaire de la page d'envoyer ses données vers un domaine extérieur.
• Protection contre l'encadrement : X-Frame-Options et frame-ancestors empêchent l'inclusion du site dans un cadre tiers, technique classique de détournement de clic.
• Typage strict des fichiers : X-Content-Type-Options: nosniff empêche un navigateur de réinterpréter un fichier servi.
• Permissions matérielles coupées : caméra, micro, géolocalisation, paiement, accéléromètre et USB sont désactivés au niveau de l'en-tête Permissions-Policy, y compris pour les contenus tiers.
• Fuite de référent limitée : Referrer-Policy: strict-origin-when-cross-origin, aucune URL détaillée n'est transmise aux sites externes.
• Vidéos cloisonnées : les lecteurs vidéo intégrés sont chargés dans un bac à sable (sandbox) aux permissions réduites.
• Pas de base de comptes : le site ne gère aucun compte visiteur, donc aucun mot de passe client n'est stocké, ni chiffré, ni haché : il n'y en a pas.

Formulaires, assistant de chat et emails

Les points d'entrée qui reçoivent des données sont protégés indépendamment les uns des autres.

• Vérification de l'origine : chaque envoi de formulaire est refusé s'il ne provient pas du site lui-même, ce qui neutralise les soumissions forgées depuis un site tiers.
• Limitation de débit : le nombre d'envois par adresse IP est plafonné sur une fenêtre glissante, afin de bloquer les robots et le bourrage de formulaires.
• Piège à robots : un champ invisible, laissé vide par un humain, permet d'écarter silencieusement les envois automatisés.
• Assainissement des envois : les retours à la ligne et caractères de contrôle sont retirés des champs avant l'envoi de l'email, afin d'empêcher l'injection d'en-têtes et l'ajout de destinataires cachés.
• Pas de stockage intermédiaire : une demande de contact part vers l'email du chasseur et vers l'application de suivi interne, sans base de données publique exposée sur le site.
• Authentification des emails : les messages sortants sont signés SPF, DKIM et DMARC, ce qui rend l'usurpation de l'adresse d'expédition beaucoup plus difficile.
• Assistant de chat : les échanges sont transmis en HTTPS, conservés 12 mois, et un avertissement rappelle de ne pas y saisir de données sensibles. Ils ne servent pas à entraîner de modèle d'intelligence artificielle.
• Consentement traçable : votre choix sur les cookies est enregistré dans un cookie propriétaire de 13 mois, avec journalisation côté serveur, afin de pouvoir prouver ce qui a été accepté et quand.

Qui accède à vos données, et la confidentialité de votre projet

Un projet d'acquisition, en particulier sur le segment du luxe et des biens de prestige, est d'abord une affaire de discrétion. Nos règles internes sont les suivantes.

• Accès limité : vos coordonnées et votre projet sont accessibles au chasseur en charge de votre recherche et aux personnes qui gèrent l'attribution des demandes, pas à l'ensemble du cabinet.
• Console d'administration protégée : l'accès aux outils internes du site passe par une authentification vérifiée côté serveur, avec un cookie de session non lisible par le navigateur, réservé au domaine et à durée limitée.
• Anonymat des références publiques : les missions réussies publiées sur le site ne mentionnent jamais l'identité complète d'un client. Les témoignages affichent un prénom suivi d'une initiale, jamais un nom de famille entier.
• Vis-à-vis des vendeurs et des agences : lorsqu'un chasseur négocie pour vous, il transmet ce qui est nécessaire à l'opération. Votre capacité maximale de financement n'est pas un argument que nous livrons à la partie adverse.
• Recherche confidentielle : l'offre Confidentielle, réservée aux projets de 2 M€ et plus, existe précisément pour les acquéreurs qui ne souhaitent pas que leur recherche circule sur le marché. Aucune diffusion publique de votre cahier des charges n'est faite sans votre accord.

Anti-fraude : virements, faux RIB et hameçonnage

La fraude la plus fréquente dans l'immobilier n'est pas le piratage d'un site : c'est l'email frauduleux qui imite un professionnel du dossier et communique un nouveau relevé d'identité bancaire, quelques jours avant la signature. Nos règles, à mémoriser, sont simples et sans exception.

• Home Select ne reçoit jamais vos fonds. Ni acompte, ni dépôt de garantie, ni prix de vente. Les sommes liées à l'acquisition transitent exclusivement par le compte de l'office notarial.
• Nous ne vous enverrons jamais de RIB par email pour un versement lié à l'achat, et nous ne vous demanderons jamais vos identifiants bancaires, par email, par téléphone ou par messagerie.
• Nos honoraires sont dus au succès, à la signature de l'acte authentique. Aucune avance, aucun frais de dossier, aucun paiement préalable ne vous sera réclamé pour lancer une recherche.
• En cas de doute, appelez. Ne répondez pas à l'email suspect : composez le 01 78 76 78 10, numéro publié sur ce site, et faites confirmer la demande de vive voix. Un changement de coordonnées bancaires annoncé par email doit toujours être vérifié par téléphone auprès du notaire, sur un numéro que vous avez trouvé vous-même.
• Vérifiez le domaine de l'expéditeur : nos emails proviennent du domaine homeselect.paris. Une variante approchante n'est pas nous.

Combien de temps vos données sont conservées

Au terme de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

Vos droits, et comment les exercer réellement

Le RGPD vous donne le droit d'accéder à vos données, de les faire rectifier, de les faire effacer, de vous opposer à leur traitement, d'en demander la limitation et de les récupérer dans un format lisible. Ces droits ne coûtent rien et n'ont pas à être motivés.

En pratique : écrivez à contact@homeselect.paris en indiquant votre demande. Nous répondons dans un délai maximal d'un mois. Une demande de suppression est exécutée sur l'ensemble de nos outils, y compris l'application de suivi interne et la liste de diffusion de la newsletter.

Home Select n'a pas désigné de délégué à la protection des données, la société ne relevant pas des cas prévus à l'article 37 du RGPD. Vos demandes sont traitées directement par le responsable de traitement. Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL, 3 place de Fontenoy, 75007 Paris, ou déposer une plainte en ligne sur cnil.fr.

En cas de violation de données

Aucune organisation ne peut garantir un risque nul, et prétendre le contraire serait le premier signal d'alerte. Ce que nous garantissons, c'est la conduite à tenir si un incident survenait.

• Notification à la CNIL dans les 72 heures suivant la prise de connaissance de l'incident, conformément à l'article 33 du RGPD.
• Information directe des personnes concernées si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, conformément à l'article 34.
• Description factuelle de la nature de l'incident, des catégories de données touchées et des mesures prises, sans minimisation.

Si vous constatez une faille de sécurité sur ce site ou un usage anormal de vos données, signalez-le à contact@homeselect.paris. Un signalement de bonne foi ne fera jamais l'objet de poursuites de notre part.

Ce que nous ne faisons pas

• Nous ne vendons, ne louons ni n'échangeons vos données à des tiers, à aucune fin commerciale ou publicitaire.
• Nous ne prenons aucune décision automatisée à votre sujet, au sens de l'article 22 du RGPD. Aucun algorithme ne trie les projets : un chasseur lit chaque demande.
• Nous ne déposons aucun cookie de mesure ou de publicité avant votre consentement explicite, et le refus est aussi simple que l'acceptation.
• Nous ne réclamons jamais de paiement en amont, ni de coordonnées bancaires par email ou par téléphone.
• Nous ne publions jamais l'identité complète d'un client, ni le détail d'une transaction permettant de l'identifier.
• Nous n'achetons pas de fichiers de prospection : nos contacts viennent de nos propres formulaires, de nos clients et de notre réseau professionnel.

Vérifier par vous-même

Une affirmation de sécurité qui ne peut pas être contrôlée ne vaut pas grand-chose. Les mesures techniques décrites ci-dessus sont observables depuis l'extérieur, sans notre autorisation, avec des outils publics et gratuits.

• Analyse des en-têtes de sécurité HTTP du domaine
• Test de la configuration TLS et du certificat
• État HSTS du domaine dans la liste de préchargement des navigateurs
• Politique de confidentialité complète, avec la liste des sous-traitants
• Mentions légales et identité du responsable de traitement
• Saisir la CNIL en cas de litige

Une question sur vos données

Pour toute question relative à la protection de vos données personnelles, à la sécurité du site ou pour exercer vos droits : contact@homeselect.paris ou 01 78 76 78 10. Adresse postale : 60 rue François 1er, 75008 Paris.