Responsable du traitement
Le responsable du traitement est SCI Pilot, dont les coordonnées complètes figurent dans les Mentions légales. Aucun délégué à la protection des données (DPO) n'est désigné à ce stade compte tenu de la taille de la structure ; les demandes d'exercice des droits sont traitées par le fondateur.
Données collectées
Nous collectons strictement ce qui est nécessaire au fonctionnement du service :
Données de compte
- Email, mot de passe (haché PBKDF2), nom et prénom
- SIRET (optionnel) et données Sirene récupérées via API INSEE
- Adresse postale de facturation (si abonnement payant)
Données métier saisies par l'utilisateur
- Informations sur les biens, locataires, garants, baux, paiements
- Documents générés (quittances, baux, EDL, attestations)
- Pièces justificatives téléversées (RIB, pièce d'identité du locataire, etc.)
Données techniques
- Adresse IP (anonymisée après 30 jours), user agent
- Journaux de connexion et d'action (audit log)
Finalités du traitement
- Fourniture du service de gestion locative
- Authentification et sécurité (anti-bot, anti-fraude)
- Facturation et obligations comptables
- Support utilisateur
- Amélioration du produit (statistiques agrégées et anonymisées uniquement)
Ce que nous ne faisons jamais : revente de données, prospection commerciale tierce, profilage publicitaire, entraînement de modèles d'IA tiers.
Base légale
- Exécution contractuelle pour les données nécessaires à la fourniture du service ;
- Intérêt légitime pour les logs de sécurité et la prévention de la fraude ;
- Obligation légale pour la conservation des factures (10 ans, art. L.123-22 Code de commerce) ;
- Consentement pour la newsletter produit (révocable en un clic).
Destinataires
Les seuls destinataires des données sont les sous-traitants techniques strictement nécessaires au fonctionnement du service :
- Hébergeur : OVHcloud (France) — infrastructures basées à Roubaix et Strasbourg ;
- Email transactionnel : Brevo (France) — envoi des quittances et notifications ;
- Paiement : Stripe (Irlande) — uniquement le numéro de carte, jamais transmis à SCI Pilot ;
- API publique Sirene : INSEE (France) — vérification SIRET.
Aucun transfert hors Union européenne n'est effectué.
Durée de conservation
- Compte actif
- Tant que le compte est utilisé
- Compte inactif
- Anonymisation après 36 mois d'inactivité, après notification
- Factures
- 10 ans (obligation comptable)
- Logs de connexion
- 12 mois
- Logs d'IP
- 30 jours puis anonymisation
- Sauvegardes
- 35 jours glissants
Sécurité
- Chiffrement AES-256-GCM au repos pour toutes les données personnelles sensibles
- Chiffrement TLS 1.3 en transit
- Mots de passe hachés PBKDF2-SHA256 (310 000 itérations)
- Authentification JWT avec rotation des refresh tokens
- PDF générés chiffrés AES-128 avec interdiction de modification
- Isolation stricte par compte (row-level security au niveau base de données)
- Audit log immuable de toutes les actions sensibles
- Anti-bot multi-couches : honeypot, captcha, rate-limiting, lockout 5 tentatives
Cookies
Nous utilisons uniquement des cookies strictement nécessaires au fonctionnement du service (session, préférence d'affichage). Aucun cookie de traçage publicitaire, aucun outil tiers de mesure d'audience. Pas de bannière de consentement nécessaire au sens de la délibération CNIL n° 2020-091.
Moteurs de recherche et assistants IA
Les pages publiques du site peuvent être lues et citées par les moteurs de recherche et les assistants d'intelligence artificielle (voir robots.txt). Vos données personnelles et votre espace connecté ne sont jamais concernés : ils sont exclus de l'indexation (robots.txt, pages accessibles uniquement après connexion) et ne sont transmis à aucun service d'IA.
Vos droits RGPD
Vous disposez à tout moment d'un droit :
- D'accès à vos données ;
- De rectification ;
- D'effacement (« droit à l'oubli ») ;
- De limitation du traitement ;
- D'opposition ;
- De portabilité (export PDF, CSV, Excel disponible nativement) ;
- De définir des directives post-mortem.
La plupart de ces droits peuvent être exercés directement depuis votre espace paramètres. Pour les autres, écrivez-nous via le formulaire de contact. Réponse sous 30 jours maximum.
En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL.
Contact DPO
Toute question relative à la protection de vos données peut être adressée via le formulaire de contact du site, mention « RGPD » en objet.