Politique de confidentialité

L'essentiel, en six lignes

• Qui traite vos données : GRAUBO REAL ESTATE, S.L.U., NIF B93839157, Plaça de la Salle 2, 43002 Tarragone, Espagne. Écrivez à ramon@graubo.com.
• Pour quoi faire : répondre à votre demande et, seulement si vous le demandez en cochant la case, vous envoyer la lettre d'information ou des alertes sur les nouveaux biens.
• Combien de temps : 24 mois à compter de la dernière fois où vous confirmez votre intérêt, après quoi ce qui vous identifie est effacé.
• À qui elles sont confiées : à sept prestataires, nommés un par un ci-dessous. À personne d'autre, et jamais pour être vendues.
• Ce que vous pouvez faire : accès, rectification, effacement, limitation du traitement, portabilité et opposition, en écrivant à cette adresse. Et réclamer devant l'Agence espagnole de protection des données.
• Ce qui n'est pas fait : aucun profilage à effet juridique, aucune décision automatisée, aucune vente de données.

Ci-dessous, la même chose en détail. C'est long parce que les délais et les bases juridiques sont donnés en chiffres et avec l'article cité, non en généralités.

1. Qui est responsable

GRAUBO REAL ESTATE, S.L.U. (société unipersonnelle), NIF B93839157, siège social Plaça de la Salle 2, 43002 Tarragone, Espagne. Données registrales complètes dans les mentions légales.

• Contact pour la protection des données : ramon@graubo.com
• Téléphone : +34 696 373 839

Aucun délégué à la protection des données n'a été désigné : l'agence compte un seul agent et aucun des cas de l'article 37 du Règlement général sur la protection des données ni de l'article 34 de la loi organique espagnole 3/2018 ne s'applique. Les demandes sont traitées par l'administrateur unique.

2. Quelles données sont recueillies, et d'où elles viennent

Ce que vous donnez, et rien d'autre. Presque toujours par le formulaire de ce site, et dans ce cas ce sont celles-ci :

Et trois éléments techniques générés par l'envoi, non par vous : la page depuis laquelle vous écrivez, les paramètres de campagne si vous êtes arrivé par un lien qui en comporte, et — uniquement dans l'enregistrement du consentement — votre adresse IP pseudonymisée et l'identifiant de votre navigateur.

Sur l'IP, il faut être précis, car c'est un point où il est facile de rester en deçà : votre IP n'est pas conservée en clair, c'est une empreinte cryptographique calculée avec une clé secrète du serveur (HMAC-SHA-256) qui est conservée. Ce n'est pas une donnée anonyme : c'est une donnée pseudonymisée, elle reste une donnée personnelle et relève donc de vos droits d'accès et d'effacement comme le reste. Elle est supprimée à l'échéance du délai de conservation.

Aucun champ n'est obligatoire en vertu de la loi ou d'un contrat. Si vous préférez ne pas laisser de données sur le site, appelez le numéro ci-dessus : vous serez reçu de la même façon. La seule conséquence de ne pas renseigner le nom et l'adresse électronique est qu'il n'y a aucun moyen de vous répondre.

Si, au lieu du formulaire, vous envoyez un courriel, téléphonez ou écrivez une lettre, les données sont celles que vous choisissez de mettre dans ce message, et elles sont traitées pour la même finalité, sur la même base et pour les mêmes durées.

Et si la relation se poursuit — un mandat de vente, une visite, une offre —, les données de ce dossier sont tenues dans le logiciel de gestion immobilière qui figure à la section 7, et non sur ce site. Une information complète et distincte est remise avant tout recueil.

Aucune donnée sensible n'est recueillie, aucune donnée de tiers n'est demandée et aucune liste n'est achetée.

3. Pourquoi elles sont traitées, et sur quelle base juridique

Il y a six traitements distincts, avec six bases distinctes. Ils sont séparés à dessein : les regrouper est précisément ce qui rend une politique inutile.

3.1 Répondre à votre demande

Base : article 6.1.b du Règlement — mesures précontractuelles prises à votre demande. Le contrat visé par ces mesures est le contrat de mandat d'intermédiation pour la vente et l'achat d'un logement et les documents qui le précèdent : la fiche de visite, le mandat et, le cas échéant, l'offre ou la réservation.

Cette finalité ne comporte pas de case de consentement, et ce n'est pas un oubli. Si vous écrivez pour poser une question, le traitement est légitimé par votre propre démarche ; une case indiquant « j'accepte » laisserait croire que vous pouvez retirer une chose que vous n'avez pas donnée, et viendrait au passage vicier les deux consentements ci-dessous. Ce qu'il y a à la place, c'est cette information, avant l'envoi.

Vous n'avez aucune case à cocher pour obtenir une réponse. Les deux cases suivantes sont facultatives, et ne pas les cocher ne change rien à la réponse que vous recevrez ni à la suite.

3.2 Suivi commercial d'une demande que vous avez initiée

Base : article 6.1.f du Règlement — intérêt légitime. Une fois votre demande traitée, la mesure précontractuelle est épuisée ; conserver vos coordonnées pour pouvoir reprendre le dossier est un traitement distinct et il est déclaré comme tel.

La mise en balance, en bref : l'intérêt est de pouvoir mener une opération immobilière, qui se décide en mois et non en jours ; l'incidence sur vous est faible puisque c'est vous qui avez pris contact, les données sont des coordonnées et non des données sensibles, et elles ne sont croisées avec rien ; et vous disposez du droit de vous y opposer à tout moment au titre de l'article 21 du Règlement, en écrivant une ligne à l'adresse ci-dessus, sans motif à fournir et sans que cela affecte quoi que ce soit d'autre.

3.3 Lettre d'information

Base : article 6.1.a du Règlement — votre consentement — ainsi que l'article 21 de la loi 34/2002, qui exige un consentement préalable et exprès pour les communications commerciales par courriel.

Avec double confirmation, et il vaut la peine de comprendre ce que cela veut dire : cocher la case crée une inscription en attente et vous envoie un courriel comportant un lien. Rien n'est envoyé avant que vous ne cliquiez sur ce lien et l'inscription ne compte pas comme consentie. À défaut de clic dans les 72 heures, l'enregistrement en attente est supprimé, et si votre demande se retrouve alors sans aucun consentement, elle est également anonymisée.

Le lien ne vaut qu'une fois et il est consommé à l'usage. Il n'existe aucun état intermédiaire où vous seriez à demi inscrit : soit vous avez confirmé, soit non.

3.4 Alertes sur les nouveaux biens

Base : article 6.1.a du Règlement et article 21 de la loi 34/2002. Avec la même double confirmation que la lettre d'information, dans une case distincte et avec son propre lien, indépendant de l'autre : confirmer la lettre ne confirme pas les alertes, et se désinscrire de l'une ne désinscrit pas de l'autre.

Une alerte vous signalant qu'un logement est à vendre est une communication commerciale, même utile, et elle est traitée comme telle. Le formulaire ne demande ni zone, ni type, ni budget : les alertes ne sont donc pas segmentées selon des préférences déclarées, et toute personne inscrite reçoit les mêmes. Il n'y a aucune décision automatisée à effet juridique ni aucun profilage qui vous évalue. Si elles l'étaient un jour, la donnée serait demandée expressément et la présente politique mise à jour au préalable.

3.5 Lutte contre le blanchiment de capitaux

Base : article 6.1.c du Règlement — respect d'une obligation légale, par renvoi exprès des articles 32 et 32 bis de la loi espagnole 10/2010, relative à la prévention du blanchiment de capitaux et du financement du terrorisme.

Une agence immobilière est une entité assujettie au titre de l'article 2.1.l de cette loi. Ce traitement n'est pas déclenché par un message envoyé depuis ce site : il naît lorsqu'une relation d'affaires s'établit, c'est-à-dire à la signature d'un mandat de vente ou à l'acceptation d'une offre. Le cas échéant, une information complète et distincte vous sera alors remise, avant tout recueil de données.

Lorsqu'il s'applique, ce traitement présente deux particularités qu'il vaut mieux connaître :

• Conservation de dix ans, imposée par l'article 25 de la loi 10/2010, avec accès restreint à partir de la cinquième année. Ce délai est autonome et prévaut sur les 24 mois de la section suivante.
• Les droits des articles 15 à 22 du Règlement sont écartés pour les traitements relevant du chapitre III de cette loi — l'examen spécial, les déclarations à la cellule de renseignement financier espagnole (Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales, SEPBLAC) et leur conservation —, au titre de l'article 32.2 de la loi 10/2010. En revanche, pour l'identification du client relevant du chapitre II, l'accès et la rectification s'exercent normalement ; ce qui n'a pas lieu de s'appliquer, c'est l'effacement pendant que court le délai légal.

3.6 Obligations comptables, fiscales et de facturation

Base : article 6.1.c du Règlement, avec les délais de l'article 30 du Code de commerce, de l'article 66 de la loi générale des impôts et de la réglementation sur la facturation. Cela ne concerne que les personnes devenues clientes ou fournisseurs, non celles qui adressent une demande.

4. Combien de temps : quatre délais, et non un

Un délai unique pour tout serait faux. Il y a quatre horloges et elles ne tournent pas à la même vitesse.

Le détail du premier compte : l'horloge, c'est vous qui la faites avancer, pas moi. Elle court depuis votre dernière confirmation d'intérêt — un nouveau formulaire, une réponse à l'un de mes courriels, une confirmation expresse — et aucun envoi de ma part ne la remet à zéro. Ni une lettre d'information, ni une alerte, ni un courriel de suivi. Si vous ne dites rien pendant 24 mois, le délai est atteint et ce qui vous identifie est effacé.

5. Comment votre consentement est prouvé, et ce qui en est conservé

Lorsque vous cochez une case, sont conservés, outre la coche :

• La phrase exacte que vous avez acceptée, non un code. C'est le serveur qui la fournit, jamais le navigateur : si elle voyageait depuis votre appareil, une requête falsifiée pourrait faire enregistrer comme acceptée une phrase que vous n'avez jamais vue.
• La version de la présente politique en vigueur à cet instant.
• La langue dans laquelle elle vous a été présentée, car ce site en compte quatre et la phrase diffère dans chacune.
• La date et l'heure, en temps universel coordonné.
• L'IP pseudonymisée et l'identifiant de votre navigateur, supprimés à l'échéance du délai.

C'est la preuve exigée par l'article 7.1 du Règlement, et c'est la raison pour laquelle cette page porte un numéro de version.

6. Ce qui se passe à l'échéance, et lorsque vous demandez l'effacement

À l'échéance du délai, l'enregistrement n'est pas supprimé : il est anonymisé. Le nom, l'adresse électronique, le téléphone, le message, l'IP pseudonymisée et l'identifiant du navigateur sont retirés. La ligne subsiste, sans personne à l'intérieur, afin de pouvoir démontrer que la politique de conservation est réellement appliquée, et chaque passage laisse une trace de son exécution, y compris les jours où il n'y a rien à anonymiser.

La ligne entière n'est pas supprimée. Sont conservés la preuve du consentement — la phrase littérale que vous avez acceptée et la version de la présente politique, qui sont le texte d'une clause et un numéro, non des données vous concernant — et les données de contexte qui n'identifient plus personne : la langue, le formulaire utilisé et la page depuis laquelle vous avez écrit, les paramètres de campagne, l'état de traitement de la demande et les dates de l'enregistrement.

Si vous demandez l'effacement avant l'échéance, l'ordre est le suivant : la demande est traitée et vous recevez une réponse ; les données sont retirées de l'usage courant ; un enregistrement minimal est conservé bloqué — identifiant, date de la demande et de la réponse, phrase et version acceptées — au titre de l'article 32 de la loi organique 3/2018, accessible uniquement pour traiter une éventuelle réclamation ; et cet enregistrement est détruit au bout de trois ans. Bloquer n'est pas continuer à traiter : c'est pouvoir établir que le droit a été honoré, ce que la loi met à ma charge.

Si vous demandez la désinscription des communications commerciales, votre adresse entre dans une liste interne d'exclusion publicitaire qui survit à l'effacement du reste, sur le fondement de l'article 23 de la loi organique 3/2018. Ce qui est conservé est une empreinte cryptographique de l'adresse, non l'adresse, car la seule chose à laquelle la liste sert — vérifier un candidat avant d'envoyer — n'exige pas davantage. Elle existe pour ne pas vous écrire à nouveau par erreur, et pour rien d'autre : elle ne bloque pas une inscription nouvelle que vous demanderiez.

7. Qui d'autre traite vos données

Personne n'achète ni ne reçoit vos données pour ses propres finalités. Les prestataires ci-dessous interviennent pour le compte de la société et sur ses instructions, chacun sous son propre accord de traitement conforme à l'article 28 du Règlement. À une exception près, Mobilia, dont l'accord est engagé mais pas encore signé : tant qu'il ne l'est pas, il ne reçoit aucune donnée de ce site, et cela est expliqué dans les notes ci-dessous. Sur les sept, quatre traitent aujourd'hui des données d'utilisateurs de ce site ; Mobilia le fera une fois connecté, et les deux autres figurent avec leur périmètre délimité dans ces notes, pour que l'on comprenne pourquoi ils y sont.

Ils sont nommés un par un, avec leur dénomination sociale et leur pays, plutôt que par catégories : c'est la seule approche cohérente avec le fait d'expliquer des transferts internationaux réels.

Liste des sous-traitants, inchangée depuis la version 1.0 du 27 août 2026.

Trois précisions qu'un lecteur attentif chercherait :

• Mobilia (Soluciones IP Hispanas, S.L.) est le seul des sept dont l'accord de l'article 28 reste engagé et non signé. Tant qu'il ne l'est pas, l'intégration n'est pas connectée et aucune donnée de votre demande n'y parvient. Le jour où il sera signé et connecté, cette politique sera mise à jour avant.
• Cloudflare ne fait que résoudre le nom de domaine. Le proxy est délibérément désactivé, de sorte qu'il ne reçoit ni le trafic de ce site ni le contenu de votre formulaire : il traite des métadonnées de requêtes de noms, non vos données. Si le proxy était un jour activé, cette politique serait réécrite avant le déploiement.
• Anthropic sert à écrire le logiciel de ce site, non à traiter vos données. Une instruction interne écrite interdit d'introduire des données personnelles réelles d'utilisateurs de ce site dans des outils d'intelligence artificielle de développement ; le débogage se fait avec des données synthétiques. C'est déclaré ici par transparence, non parce que ce prestataire traiterait vos données.

Au-delà de ces sept, vos données peuvent être communiquées aux juridictions et aux administrations publiques lorsqu'une règle l'exige, et à la cellule de renseignement financier espagnole nommée à la section 3.5, dans le cas qui y est décrit.

8. Transferts internationaux

Il y en a, et affirmer le contraire serait faux. Il vaut la peine de comprendre pourquoi, car le cas de Supabase est celui qui ressemble le moins à ce que l'on attendrait.

La base de données où votre demande est enregistrée se trouve physiquement à Francfort, dans l'Union européenne. Mais l'entité contractante, Supabase Pte. Ltd, est établie à Singapour, et son personnel peut y accéder à distance pour l'assistance. Ce qui détermine l'existence d'un transfert international n'est pas le lieu où se trouvent les données, mais le lieu où se trouve celui qui peut y accéder : il s'agit donc bien d'un transfert international, déclaré comme tel, même si la donnée ne quitte pas Francfort.

Singapour ne fait l'objet d'aucune décision d'adéquation de la Commission européenne. Le transfert repose sur les clauses contractuelles types approuvées par la décision d'exécution (UE) 2021/914 de la Commission, module 2, intégrées à l'accord de traitement du prestataire.

Vercel, Resend et Cloudflare traitent des données aux États-Unis, et ce transfert repose sur les mêmes clauses contractuelles types.

Les prestataires recourent à leur tour à des sous-traitants ultérieurs, certains hors de l'Espace économique européen. Chaque prestataire publie sa propre liste et la tient à jour. Si vous voulez savoir qui y figurait à un moment donné, écrivez et elle vous sera fournie.

Vous pouvez obtenir une copie des garanties — les clauses types et les annexes de chaque prestataire — en écrivant à ramon@graubo.com. C'est un droit au titre de l'article 13.1.f du Règlement et il est honoré sans frais.

9. Vos droits

Vous pouvez exercer les droits suivants en écrivant à ramon@graubo.com ou par courrier à Plaça de la Salle 2, 43002 Tarragone, Espagne :

• Accès — savoir quelles données vous concernant sont détenues et en obtenir copie.
• Rectification — corriger ce qui est inexact ou incomplet.
• Effacement — les faire supprimer, sous la réserve de la section 6.
• Limitation — les faire conserver sans qu'elles soient utilisées, le temps qu'un point se règle.
• Portabilité — les recevoir dans un format lisible par machine, ou les faire transmettre à un autre responsable.
• Opposition — au suivi commercial de la section 3.2, sans avoir à motiver votre demande.
• Ne pas faire l'objet de décisions automatisées — il n'en est pris aucune ici, il n'y a donc rien à contester.
• Retrait du consentement à la lettre d'information ou aux alertes, à tout moment, sans que cela affecte ce qui a été licitement envoyé auparavant.

Retirer est aussi simple que donner : un lien dans chaque courriel, sans inscription, sans mot de passe, sans formulaire de motifs et sans questions. Il y a un lien par finalité et un lien de désinscription totale, et ils fonctionnent aussi dans les courriels anciens : l'identifiant du lien est stable et n'expire pas.

La réponse intervient dans le mois, prorogeable de deux mois si la demande est complexe, auquel cas vous en êtes informé. Elle est gratuite.

Si le traitement de votre demande ne vous satisfait pas, vous pouvez réclamer devant l'Agence espagnole de protection des données, C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, qui est l'autorité de contrôle de cette société. L'Autorité catalane de protection des données contrôle le secteur public catalan et non une société commerciale privée, il n'y a donc pas lieu de s'adresser à elle.

Et si vous résidez ou travaillez dans un autre État membre de l'Union européenne, l'article 77.1 du Règlement vous permet également de réclamer devant l'autorité de contrôle de cet État.

10. Âge minimum

Ce formulaire ne s'adresse pas aux personnes de moins de quatorze ans. Deux des trois finalités reposent sur le consentement, et l'article 7 de la loi organique 3/2018 n'admet le consentement propre qu'à partir de cet âge. En envoyant le formulaire, vous déclarez avoir quatorze ans ou plus. S'il apparaît qu'un envoi provient d'une personne plus jeune, il est supprimé sans être traité et sans qu'une copie soit conservée.

11. Sécurité

Les mesures exigées par l'article 32 du Règlement, concrètement :

• Le formulaire est écrit depuis le serveur, jamais depuis le navigateur. Depuis votre appareil, il est impossible d'écrire dans la base de données.
• Les tables des demandes et des consentements ont la sécurité au niveau des lignes activée et aucune règle n'autorise un accès anonyme : ni en lecture ni en écriture.
• Votre IP n'est jamais conservée en clair.
• Le trafic est chiffré en transit, et la base de données chiffrée au repos.
• Une limite d'envois par adresse et un champ leurre coupent l'abus automatisé avant que quoi que ce soit ne soit touché.

12. Version de la présente politique

Version 1.3 · 28 août 2026.

Chaque consentement est conservé avec la version en vigueur au moment où il a été donné : le numéro ci-dessus n'est donc pas décoratif, c'est la moitié de la preuve. Toute modification de fond — une nouvelle finalité, un nouveau prestataire, un délai différent — fait monter le numéro, est datée, et est publiée simultanément dans les quatre langues. Les versions antérieures sont conservées afin qu'il soit toujours possible de savoir ce que disait le texte que vous avez accepté.