Politique de confidentialité

Article 1

Responsable de traitement

Benjamin BAL
8bis rue Robert Aylé, 92600 Asnières-sur-Seine

Article 2

Données collectées et base légale

Données d'identification : email, nom, prénom, adresse postale
Données immobilières : biens, locataires, loyers, charges, documents
Données de connexion : horodatage des sessions (Supabase Auth)
Données d'usage : événements techniques d'utilisation (ex. « ajout d'un bien », « export d'une quittance », « connexion »), associés à votre identifiant de compte, à la date et à la version de l'application, afin d'améliorer le service. Ces événements ne contiennent aucune donnée de contenu (ni noms de locataires, ni adresses, ni montants).

Documents analysés par IA : lorsque vous demandez explicitement l'analyse d'un document (facture, avis d'imposition), son contenu texte est transmis à notre sous-traitant Anthropic pour en extraire les informations à pré-remplir, accompagné de la liste de vos biens (nom et adresse) afin de rattacher le document au bon bien. Le fichier lui-même reste sur votre appareil, sauf si vous cochez « conserver ce document » : il est alors enregistré dans votre espace de stockage personnel (Supabase, UE). Aucune analyse n'a lieu sans votre action, et le contenu des documents n'est jamais conservé dans nos journaux techniques.

Résumé du vendredi : chaque vendredi, un email vous signale les échéances de vos biens qui demandent une action (loyers impayés, congés, révision IRL, DPE…). Il est calculé à partir de vos seules données, n'est envoyé que s'il y a quelque chose à signaler, et se désactive en un clic depuis l'email lui-même ou dans les Paramètres. Nous conservons la liste des alertes envoyées et leur date, afin de ne pas vous répéter la même chaque semaine.

Base légale : exécution du contrat de service (art. 6.1.b du RGPD) pour les fonctionnalités ; intérêt légitime (art. 6.1.f du RGPD) pour la mesure d'usage, strictement limitée à l'amélioration du produit. Aucune donnée n'est utilisée à des fins publicitaires ou marketing, ni vendue.

Décision automatisée : aucune décision automatisée produisant des effets juridiques n'est prise à votre égard ; les analyses, simulations et scores fournis sont de simples outils d'aide à la décision.
Public : service réservé aux personnes majeures (18 ans et plus) ; aucune donnée de mineur n'est sciemment collectée.

Article 3

Sous-traitants et destinataires

Les prestataires ci-dessous interviennent pour notre compte, chacun limité à ce qui est nécessaire à sa fonction. CCT désigne les Clauses Contractuelles Types approuvées par la Commission européenne, qui encadrent les transferts hors Union européenne.

Supabase Inc. — base de données et authentification : vos données de compte, biens, locataires et documents. Serveurs en Union européenne.

Netlify Inc. — hébergement de l'application et fonctions serveur. Serveurs USA, CCT.

Anthropic PBC — analyse assistée par IA des documents que vous soumettez volontairement (factures, avis d'imposition). Serveurs USA, CCT. Les documents ne sont pas utilisés pour entraîner les modèles, et ne sont transmis qu'à votre demande explicite, document par document : aucune analyse n'est déclenchée automatiquement.

Resend Inc. — acheminement des emails que vous envoyez depuis l'application (quittances, relances, documents) et de ceux que nous vous adressons (résumé du vendredi, rappels liés à votre compte). Reçoit l'adresse email du destinataire et le contenu du message. Serveurs USA, CCT.

Cloudflare Inc. — trois rôles : protection anti-robot du formulaire d'inscription, mesure d'audience anonyme, et distribution de bibliothèques techniques (graphiques, cartographie, lecture de PDF). Reçoit votre adresse IP. Serveurs USA, CCT.

jsDelivr — distribution d'autres bibliothèques techniques (accès à la base de données, génération de PDF, capture d'image). Reçoit votre adresse IP.

Services publics de données — interrogés depuis votre navigateur, ils reçoivent donc votre adresse IP :
• geo.api.gouv.fr — le code postal que vous saisissez, pour proposer la liste des communes ;
• tabular-api.data.gouv.fr et data.gouv.fr — le code de la commune et la section cadastrale, pour l'estimation de prix (DVF). Aucune donnée vous concernant ;
• apicarto.ign.fr — les coordonnées d'un bien, pour retrouver sa parcelle cadastrale.

À l'inverse, les données de risques naturels (Géorisques), de transports et les jeux de données de prix sont récupérés par nos serveurs, jamais par votre navigateur : ces services ne vous voient pas.

IGN — Géoplateforme — conversion de l'adresse d'un bien en coordonnées pour son affichage sur la carte. Reçoit l'adresse du bien concerné, sans votre identité. Service public, serveurs en France.

Lemon Squeezy (Lemon Squeezy LLC) — encaissement des abonnements, en qualité de vendeur officiel : la facture est émise à son nom. Vos coordonnées bancaires sont saisies chez lui et ne transitent jamais par Assetimmo. En retour, nous recevons et conservons l'état de votre abonnement — formule, période, statut de paiement, identifiant client — sans aucune donnée de carte. Serveurs USA, CCT.

Aucune donnée n'est vendue, louée, ni utilisée à des fins publicitaires, ni transmise à d'autres destinataires que ceux énumérés ci-dessus — hors obligation légale.

Un envoi que vous seul déclenchez. Lorsque l'import de votre tableau d'amortissement échoue parce que votre banque n'est pas encore reconnue, l'application vous propose de nous transmettre le fichier pour ajouter la prise en charge de cet établissement. Rien ne part sans que vous ayez coché la case prévue à cet effet. Le fichier n'est utilisé qu'à cette fin, n'est jamais communiqué à un tiers, et est supprimé une fois le format ajouté. Base légale : votre consentement (art. 6.1.a du RGPD), que vous pouvez retirer en nous écrivant.

Article 4

Durée de conservation

Vos données de gestion (biens, locataires, loyers, documents) sont conservées tant que votre compte existe. Vous pouvez le supprimer à tout moment depuis les Paramètres : l'effacement est alors immédiat et définitif.

Après la suppression de votre compte, deux éléments seulement sont conservés, sans aucune autre donnée :
• si vous avez bénéficié d'un essai gratuit, votre adresse email et la date de cet essai, pendant 3 ans à compter du dernier essai, afin que l'essai reste accordé une seule fois par personne, comme le prévoient les conditions générales de vente (base légale : intérêt légitime, art. 6.1.f du RGPD) ;
• une trace de la suppression (adresse email et date), pendant 24 mois, pour pouvoir justifier que votre demande d'effacement a été exécutée.
Les factures émises par Lemon Squeezy, vendeur officiel, sont conservées par lui au titre de ses obligations comptables.

Compte inactif. Passés 24 mois sans connexion, votre compte est destiné à être supprimé. Un email vous prévient au moins trente jours avant, à l'adresse de votre compte, et vous indique la date : une simple connexion suffit à le conserver et à repartir pour 24 mois. Passé ce délai, la suppression est effectuée après une vérification humaine, destinée à éviter qu'un compte soit effacé par erreur.

Mémoire du résumé du vendredi (quelles alertes vous ont été envoyées, et quand) : effacée lorsqu'une alerte n'a plus été constatée depuis un an, et en tout état de cause avec votre compte.

Données d'usage (mesure du produit et compteurs d'utilisation) : 25 mois au maximum. Cette durée est celle que la CNIL retient pour la mesure d'audience exemptée de consentement.

Journal d'activité (traces de connexion et d'action, conservées à des fins de sécurité) : 24 mois. Une exception : la preuve de votre acceptation des conditions générales de vente est conservée aussi longtemps que votre compte existe — c'est ce document qui fonde le contrat, pour vous comme pour nous.

Article 5

Droits des utilisateurs

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :

— Accès : obtenir une copie de vos données
— Rectification : corriger des données inexactes
— Suppression : demander l'effacement de vos données
— Portabilité : recevoir vos données dans un format structuré
— Limitation : demander la limitation d'un traitement
— Opposition : vous opposer à un traitement

L'export disponible dans vos Paramètres contient l'essentiel : vos biens, locataires, loyers, charges, alertes, documents, états des lieux, montages (SCI, LMNP), réglages et informations de compte. Vous l'obtenez immédiatement, sans avoir à le demander.

Quelques données techniques n'y figurent pas — compteurs d'utilisation, journal d'activité, registre de nos envois. Elles vous sont communiquées sur simple demande, dans le même délai que tout autre droit. Le fichier exporté indique lui-même ce qu'il ne contient pas, afin que vous sachiez précisément quoi demander.

Pour exercer ces droits :
Délai de réponse garanti : 30 jours maximum (article 12 du RGPD)

En cas de réclamation non résolue, vous pouvez saisir la CNIL : cnil.fr

Article 6

Carte et localisation des biens

Les fonds de carte proviennent d'OpenStreetMap mais transitent par nos propres serveurs : OpenStreetMap ne voit ni votre adresse IP, ni votre navigateur, ni les zones que vous consultez.

Le positionnement d'un bien nécessite en revanche de convertir son adresse en coordonnées. Cette adresse est envoyée au service public de l'IGN (Géoplateforme), en France, sans votre nom ni votre identifiant de compte. Le résultat est conservé avec la fiche du bien pour éviter de refaire l'opération.

Un second appel est adressé à l'IGN dans l'autre sens : à partir des coordonnées d'un bien, il en retrouve la parcelle cadastrale. L'IGN reçoit alors une position, sans votre identité.

Les repères de la carte sont dessinés dans votre navigateur : la liste de vos biens n'est jamais transmise à un service cartographique.

Article 7

Mesure d'audience

Nous utilisons Cloudflare Web Analytics pour connaître la fréquentation du site (pages vues, provenance approximative, type d'appareil).

Selon la déclaration de Cloudflare, cet outil ne dépose aucun cookie, ne crée pas d'empreinte de navigateur et ne suit pas les visiteurs d'un site à l'autre. Il ne permet pas de vous identifier ni de relier une visite à votre compte.

Base légale : intérêt légitime (art. 6.1.f RGPD) à mesurer l'audience de notre propre service. Cette mesure étant anonyme et limitée à notre site, elle relève de l'exemption de consentement prévue par la CNIL pour la mesure d'audience.

Article 8

Sécurité des données

Les données sont protégées par :

— Authentification sécurisée via Supabase Auth (chiffrement bcrypt des mots de passe)
— Isolation totale des données par utilisateur (Row Level Security Supabase)
— Communications chiffrées HTTPS/TLS
— Aucun mot de passe stocké en clair

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à notifier la CNIL sous 72 heures et à vous informer dans les meilleurs délais (articles 33 et 34 du RGPD).

Version en vigueur : septembre 2026.