Politique de confidentialité

1. Qui traite vos données

EXSTRIA est une marque exploitée par N4TH4N (SIREN 880 755 210, 18 rue Raphaël, 13008 Marseille). Son rôle dépend des données concernées :

• Responsable de traitement pour les comptes des courtiers, la facturation, le site exstria.com et le support ;
• Sous-traitant du courtier pour les informations et pièces des emprunteurs déposées dans un dossier. Le courtier en est responsable de traitement : pour exercer vos droits sur ces données, adressez-vous d'abord à lui.

Contact pour toute question sur vos données : support@exstria.com.

2. Données traitées et finalités

Courtiers (clients de l'abonnement)

• Identité, coordonnées, cabinet, numéro ORIAS : création et gestion du compte (exécution du contrat).
• Données de facturation : abonnement et factures (exécution du contrat, obligations comptables). Les numéros de carte sont traités par Stripe et ne sont jamais stockés par EXSTRIA.
• Journaux de connexion et de sécurité : protection du service (intérêt légitime).

Emprunteurs (clients des courtiers)

• Identité, situation familiale et professionnelle, revenus, charges, patrimoine, projet immobilier et pièces justificatives : constitution du dossier de prêt pour le courtier.
• Lecture automatique des pièces : extraction des montants et contrôles de cohérence, affichés au courtier qui garde la décision.

Assurés (assurance emprunteur, EXSTRIA Assurance)

• Identité, date de naissance, coordonnées, profession, prêts à assurer et garanties souhaitées : comparaison des assurances et adhésion au contrat choisi (mesures précontractuelles et exécution du contrat, devoir de conseil du courtier).
• Statut fumeur et réponses aux questions de risque (sport, métier, manutention, déplacements) : données de santé au sens de l'article 9 du RGPD, traitées sur le seul consentement explicite de l'assuré, recueilli et daté sur la page où il les saisit. Il peut le retirer à tout moment auprès de son courtier.
• Le questionnaire médical n'est jamais collecté ni hébergé par EXSTRIA : l'assuré le remplit directement chez l'assureur, pour son médecin-conseil. Un questionnaire de santé déposé ou reçu par e-mail est refusé sans être stocké.
• Destinataires : les seuls assureurs et plateformes de courtage consultés pour le dossier (par exemple DigitalInsure, Kereis, UGIP, AFI ESCA, Utwin), pour établir un tarif ou faire adhérer l'assuré.

Visiteurs du site

• Messages envoyés via le formulaire de contact : réponse à la demande (intérêt légitime).

Aucune donnée n'est vendue ni utilisée à des fins publicitaires.

3. Durées de conservation

• Pièces d'un dossier : supprimées automatiquement après 12 mois sans activité sur le dossier, après un préavis de 30 jours au courtier. Une pièce mise à la corbeille est définitivement supprimée après 30 jours.
• Dossiers d'assurance emprunteur : anonymisés 3 ans après le dernier échange si aucun contrat n'est signé, 5 ans après la fin du contrat sinon. Preuves de consentement : conservées sans donnée nominative.
• Traces techniques des échanges avec les assureurs : 15 jours, données personnelles et de santé masquées.
• Compte courtier : durée de l'abonnement, puis 3 ans à des fins de preuve et de gestion des litiges.
• Factures : 10 ans (obligation comptable).
• Journaux techniques et de sécurité : 12 mois au plus.
• Demandes de contact : 3 ans après le dernier échange.

4. Sous-traitants et hébergement

Les données sont hébergées dans l'Union européenne. Nos sous-traitants :

OVH SAS (France)

Serveurs, stockage des pièces et envoi des e-mails

Supabase

Base de données et authentification, région Union européenne

Stripe

Paiement de l'abonnement des courtiers (données de facturation uniquement)

Cloudflare

Protection du réseau et réception des e-mails adressés aux dossiers

Mistral AI (France)

Lecture automatique des pièces (OCR), sans conservation des documents

OpenRouter

Routage des requêtes de l'assistant vers des modèles hébergés dans l'Union européenne (Mistral AI, Nebius), conservation et réutilisation des données refusées. Noms, coordonnées, statut fumeur et réponses de santé ne sont jamais envoyés.

Telegram

Alertes d'erreur à l'équipe technique, messages expurgés des données personnelles

Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD. Lorsqu'un prestataire peut accéder à des données depuis un pays hors de l'Union européenne, le transfert est encadré par les clauses contractuelles types de la Commission européenne.

5. Sécurité

Les données sont chiffrées en transit et au repos. L'accès aux dossiers est limité au courtier concerné et à son cabinet, avec double authentification disponible, journalisation des accès et sauvegardes. Les liens de dépôt envoyés aux emprunteurs sont personnels. L'équipe EXSTRIA n'entre dans l'espace d'un cabinet qu'avec l'accord explicite de la personne qui a demandé de l'aide, donné dans la discussion du support pour cette seule demande : l'accès se ferme quand elle est résolue, au plus tard après 7 jours, peut être retiré à tout moment, et chaque passage est journalisé au nom de l'intervenant.

6. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.

Écrivez à support@exstria.com. Nous répondons sous un mois. Si la demande concerne un dossier de prêt, nous la transmettons au courtier concerné, responsable de ces données.

Vous pouvez aussi adresser une réclamation à la CNIL (cnil.fr).

7. Cookies

EXSTRIA n'utilise que des cookies et un stockage local strictement nécessaires : maintien de la session, sécurité et préférences d'affichage. Aucun cookie de mesure d'audience ou de publicité n'est déposé ; aucun consentement n'est donc demandé.

8. Modifications

Cette politique peut évoluer. La date de mise à jour figure en bas de page. Les courtiers sont prévenus par e-mail de tout changement substantiel. Voir aussi les conditions générales et les mentions légales.