Politique de confidentialité

L’organisme qui gère votre résidence décide de l’usage des données des candidats, des résidents, des salariés logés, de ses prestataires et des utilisateurs de son espace, comptes compris : il est responsable du traitement. Résid’Gestion traite ces données pour son compte, comme sous-traitant (article 28 du RGPD), selon ses instructions.

L’entreprise qui utilise l’espace entreprise est responsable des données de ses salariés qu’elle transmet à l’organisme, et de l’usage qu’elle fait des informations qu’elle y consulte. Dans Mon Parc, la rubrique où elle suit son propre parc de logements, elle est aussi responsable des données qu’elle saisit (noms des salariés qu’elle y loge, propriétaires ou contacts) : Résid’Gestion les traite pour son compte, et l’organisme partenaire n’y a pas accès.

Résid’Gestion est édité par Batigestion, nom commercial de Nicolas Roger, entrepreneur individuel (EI) (RCS La Rochelle 940 171 655). Dans cette politique, l’éditeur est désigné « Résid’Gestion ». Il est seul responsable des traitements qu’il mène pour son propre compte, décrits à la section suivante : comptes de l’administration de la plateforme, gestion des conditions générales d’utilisation et des conditions d’usage professionnelles, réclamations et signalements qui lui sont adressés, journaux techniques de la plateforme, facturation de l’abonnement, demandes des organismes au support, prospection, relation avec les organismes clients, questionnaire de satisfaction des organismes clients et suivi de l’utilisation du service par organisme.

Si vous êtes candidat, résident, représentant légal d’un résident mineur ou salarié logé, lisez la note d’information de l’organisme : elle décrit ses traitements, leurs bases légales, leurs destinataires et leurs durées de conservation. Elle s’affiche dans l’espace résident et reste accessible sans connexion, par le lien que l’organisme vous communique, notamment dans l’e-mail d’invitation au service. Si vous êtes gestionnaire ou utilisateur d’une entreprise, l’organisme vous informe lui-même de l’utilisation des données de votre compte, sauf pour la proposition que Résid’Gestion peut adresser à votre entreprise à la fin du contrat de l’organisme (traitement « Prospection des entreprises utilisatrices de Mon Parc », section suivante), et pour le questionnaire de satisfaction que Résid’Gestion adresse aux organismes clients avec l’information sur l’échéance de leur abonnement (traitement « Questionnaire de satisfaction des organismes clients », même section). Si vous êtes prestataire d’un organisme, c’est lui qui vous informe de l’utilisation de vos données ; la page de consultation des fichiers qu’il vous transmet renvoie à cette information.

Pour toute question sur les traitements de Résid’Gestion, ou pour exercer vos droits auprès de lui : contact@residgestion.fr. Résid’Gestion n’a pas désigné de délégué à la protection des données. Son référent pour les données personnelles est l’éditeur lui-même, Nicolas Roger, joignable à cette adresse.

Pour chaque traitement sont indiqués les personnes concernées, les données et leur source, la base légale (article 6 du RGPD), les destinataires et la durée de conservation. Les sous-traitants de Résid’Gestion (section « Hébergement et sous-traitants ultérieurs ») traitent aussi ces données pour son compte, chacun pour son service : ils ne sont pas répétés ci-dessous.

Gestion des comptes et des accès à la plateforme :

• Personnes : administration de la plateforme. Les contacts des organismes clients n’ont pas de compte propre auprès de Résid’Gestion : le compte qu’un contact utilise comme gestionnaire dans l’espace de son organisme relève de l’organisme.
• Données : identité, adresse e-mail, rôle, dates de connexion. Source : la personne elle-même.
• Base légale : intérêt légitime de Résid’Gestion à administrer le service et à sécuriser cette administration (article 6.1.f).
• Destinataires : Résid’Gestion.
• Durée : tant que la personne exerce cette fonction ; le compte est supprimé 1 an après sa désactivation.

Gestion des conditions générales d’utilisation et des conditions d’usage professionnelles (acceptation, présentation des modifications) :

• Personnes : tous les utilisateurs.
• Données : identifiant, adresse e-mail, organisme et espace concernés, version acceptée, date et heure de l’acceptation.
• Base légale : exécution de ces conditions (article 6.1.b) ; pour la conservation après la suppression du compte, intérêt légitime de Résid’Gestion à garder une preuve en cas de litige (article 6.1.f).
• Destinataires : Résid’Gestion.
• Durée : preuve d’acceptation conservée 5 ans après la suppression du compte (article 2224 du code civil).

Réclamations, signalements et contestations adressés à Résid’Gestion :

• Personnes : tous les utilisateurs ; toute personne qui signale un contenu illicite ou une faille de sécurité.
• Données : identité, adresse e-mail, contenu de la réclamation, du signalement ou de la contestation, échanges, suite donnée.
• Base légale : obligation légale pour les signalements de contenus illicites et les explications données sur une décision (articles 16 à 18 du règlement (UE) 2022/2065 sur les services numériques ; article 6.1.c) ; exécution des conditions générales d’utilisation pour les réclamations et contestations des utilisateurs (article 6.1.b) ; intérêt légitime de Résid’Gestion à sécuriser le service pour les signalements de failles (article 6.1.f).
• Destinataires : Résid’Gestion ; l’organisme concerné, avec qui un signalement de contenu est examiné ; les autorités compétentes si un contenu laisse craindre une infraction qui menace la vie ou la sécurité d’une personne.
• Durée : 3 ans après la clôture du dossier.

Sécurité et journaux techniques de la plateforme :

• Personnes : tous les utilisateurs ; les visiteurs des pages publiques, dont les prestataires qui ouvrent un lien de consultation.
• Données : adresse IP, date et heure, page ou action demandée, navigateur, erreurs, alertes de détection des intrusions. Ces journaux ne recopient pas le contenu des données.
• Base légale : intérêt légitime de Résid’Gestion à sécuriser le service (article 6.1.f).
• Destinataires : Résid’Gestion ; une autorité judiciaire ou administrative qui les demande en vertu de la loi.
• Durée : 12 mois au plus.

Facturation de l’abonnement :

• Personnes : contacts des organismes clients.
• Données : identité, coordonnées professionnelles, factures, consommations facturées, paiements reçus. Source : la personne elle-même ou son organisme.
• Base légale : obligation légale de facturer, de tenir une comptabilité et de conserver les factures (article 6.1.c).
• Destinataires : Résid’Gestion ; le cas échéant, son expert-comptable ; l’administration fiscale, dans les cas prévus par la loi.
• Durée : 10 ans après la clôture de l’exercice (article L123-22 du code de commerce).

Demandes des organismes au support :

• Personnes : contacts et gestionnaires des organismes clients qui adressent une demande.
• Données : organisme, demandeur, date, objet, description, catégorie, priorité, captures et pièces jointes, statut, échanges, rattachement éventuel à une idée d’évolution du service.
• Base légale : intérêt légitime de Résid’Gestion à traiter les demandes de l’organisme client, en exécution du contrat conclu avec lui (article 6.1.f).
• Destinataires : Résid’Gestion.
• Durée : demande et échanges, 3 ans après la résolution de la demande ou, à défaut, après le dernier échange. Captures et pièces jointes : supprimées à la résolution, au plus tard 3 mois après leur ajout, ou plus tôt avec les données de l’organisme en fin de contrat. Une demande rattachée à une idée d’évolution n’y laisse ensuite que le nombre d’organismes intéressés, sans nom.

Les données de résidents qui parviendraient au support sont traitées pour le compte de l’organisme concerné. Les organismes ne doivent pas en envoyer par e-mail (article 4 des conditions d’usage professionnelles) : pour un diagnostic sur ces données, un responsable de l’organisme accorde un accès d’assistance limité dans le temps et journalisé. Une capture d’écran jointe à une demande ne doit pas en montrer, et le texte d’une demande ne doit pas citer le nom d’un résident.

Prospection commerciale auprès des organismes (suivi des prospects) :

• Personnes : contacts professionnels des organismes prospects.
• Données : identité, fonction, coordonnées professionnelles, organisme, nombre approximatif de logements, origine du contact, date d’information, étape du suivi, offre, potentiel et déploiement envisagés, dates des échanges, notes factuelles, prochaine action et sa date.
• Source : la personne elle-même, son organisme, une recommandation ou des sources professionnelles publiques, comme le site de son organisme ou un annuaire professionnel.
• Base légale : intérêt légitime de Résid’Gestion à développer son activité (article 6.1.f). Vous pouvez vous opposer à la prospection à tout moment, sans motif ni frais.
• Destinataires : Résid’Gestion.
• Durée : 3 ans après la collecte ou après le dernier contact venu du prospect, puis suppression ; une relance restée sans réponse ne prolonge pas ce délai. À la signature d’un contrat, la fiche du prospect devient une fiche client et suit le traitement « Relation avec les organismes clients ». Après une opposition, seuls l’adresse e-mail, le téléphone et la date de l’opposition sont gardés, 3 ans à compter de cette date, dans une liste d’opposition.

Un prospect qui donne lui-même ses coordonnées est informé à ce moment de leur usage pour la prospection et de son droit de s’y opposer. Sinon, il en est informé au plus tard un mois après leur enregistrement, ou dès le premier contact s’il a lieu avant. Ce premier contact, par e-mail ou par téléphone, indique qui l’adresse et l’origine des coordonnées, renvoie à cette politique et rappelle le droit de s’opposer à la prospection. Chaque e-mail de prospection permet de s’opposer simplement à tout nouveau message et ne contient ni pixel ni lien de suivi. La liste d’opposition est consultée avant tout nouvel enregistrement et ne sert qu’à respecter les oppositions. Les notes restent factuelles : elles sont communicables à la personne concernée.

Prospection des entreprises utilisatrices de Mon Parc, à la fin du contrat de leur organisme partenaire :

• Personnes : utilisateurs de l’espace entreprise d’une entreprise qui suit des logements de son propre parc dans Mon Parc, lorsque le contrat de son organisme partenaire prend fin.
• Données : adresse e-mail de connexion d’un compte actif de l’entreprise, nom de l’entreprise et de son organisme partenaire, nombre de logements suivis, dates de fermeture de l’espace et de suppression des données, réponse de l’entreprise à la proposition. Aucune donnée des salariés de l’entreprise.
• Source : le compte de l’espace entreprise, ouvert par l’organisme partenaire ; Mon Parc, pour le nombre de logements suivis.
• Base légale : intérêt légitime de Résid’Gestion à proposer à l’entreprise de garder la gestion de ses logements dans son propre compte avant la suppression de ses données (article 6.1.f). Vous pouvez vous opposer à la prospection à tout moment, sans motif ni frais, en répondant « STOP ».
• Destinataires : Résid’Gestion.
• Durée : un seul message, à l’annonce de la fin du contrat de l’organisme. Le message et la réponse notée sont supprimés avec les données de l’organisme, au plus tard 90 jours après la fin de son contrat ; la réponse est effacée plus tôt si la fin du contrat est annulée. Après une opposition, seuls l’adresse e-mail et la date de l’opposition sont gardées, 3 ans à compter de cette date, dans la liste d’opposition.

Ce message indique qui l’adresse et d’où vient l’adresse utilisée, renvoie à cette politique, permet de s’opposer en répondant « STOP » et ne contient ni pixel ni lien de suivi. La liste d’opposition est consultée avant l’envoi. Il n’est jamais envoyé à l’adresse de contact ou de facturation que l’organisme a saisie pour l’entreprise.

Relation avec les organismes clients (fiche client, historique, renouvellement) :

• Personnes : contacts des organismes clients (signataire, contact principal, interlocuteurs).
• Données : identité, fonction, coordonnées professionnelles, début de la relation, dates et objet des échanges, notes factuelles, prochaine action et sa date, événements de la relation (proposition, signature, offre, exception commerciale, déploiement, renouvellement, résiliation), détail des exceptions commerciales (valeur standard, valeur appliquée, motif, dates). Source : la personne elle-même ou son organisme.
• Base légale : intérêt légitime de Résid’Gestion à exécuter le contrat conclu avec l’organisme client et à suivre la relation (article 6.1.f). Vous pouvez vous opposer à tout moment, sans motif ni frais, aux messages commerciaux.
• Destinataires : Résid’Gestion.
• Durée : contacts, notes, échanges et prochaines actions, 3 ans après la fin du contrat ; événements contractuels, 5 ans après la fin du contrat (article L110-4 du code de commerce). Un contact n’a pas de compte propre auprès de Résid’Gestion : le compte qu’il utilise comme gestionnaire relève de son organisme.

Questionnaire de renouvellement des organismes clients :

• Personnes : responsables et gestionnaires des organismes clients qui répondent pour leur organisme avant l’échéance de son contrat, et la personne qu’ils indiquent comme interlocuteur du contrat.
• Données : nombre de logements et autres données du tarif, adresse e-mail de facturation, interlocuteur du contrat (nom, fonction, téléphone), changements de situation de l’organisme et évolutions prévues ; compte et rôle de la personne qui répond, date de la réponse. Source : la personne qui répond.
• Base légale : exécution du contrat conclu avec l’organisme client (article 6.1.b) : préparer son renouvellement et tenir ses conditions à jour.
• Destinataires : Résid’Gestion.
• Durée : réponses, compte et rôle de la personne qui répond effacés 12 mois après la clôture du questionnaire, aussitôt si l’organisme quitte le service ; ce que Résid’Gestion reprend dans le contrat suit la durée du contrat.

Questionnaire de satisfaction des organismes clients :

• Personnes : destinataires de l’information annuelle sur l’échéance de l’abonnement d’un organisme client, et ses responsables et gestionnaires, invités à répondre pour leur organisme à chaque échéance annuelle.
• Données : adresse e-mail à laquelle part l’information sur l’échéance, nom de l’organisme et date de l’échéance, réponses (notes, choix et texte libre, qui peut citer une personne), compte et rôle (responsable ou gestionnaire) de la personne qui répond, dates de l’invitation et de la réponse ; liste d’opposition (adresse e-mail et, pour une opposition faite depuis l’espace connecté, compte). Source : la personne elle-même ; son compte dans l’espace de l’organisme, pour l’adresse e-mail et le rôle ; le contrat de l’organisme, pour les destinataires de l’information.
• Base légale : intérêt légitime de Résid’Gestion à mesurer la satisfaction de ses clients et à améliorer le service (article 6.1.f). Répondre est facultatif. Vous pouvez vous opposer à tout moment à ce traitement (article 21 du RGPD), sur la page du questionnaire (« Ne plus recevoir le questionnaire ») ou en écrivant à Résid’Gestion : vous ne recevez plus le questionnaire, mais toujours l’information sur l’échéance de l’abonnement, qui ne relève pas de ce traitement.
• Destinataires : Résid’Gestion.
• Durée : réponses, compte et rôle de la personne qui a répondu, 3 ans après la fin du questionnaire de l’année d’échéance, puis effacement ; restent des statistiques sans nom ni texte et la participation de l’organisme (mois de sa réponse). E-mail distinct du questionnaire (client non professionnel) : gardé tant que l’organisme est client, puis adresse, objet et texte effacés avec les données de l’organisme, au plus tard 90 jours après la fin de son contrat ; le bloc du questionnaire placé dans l’e-mail d’information suit la durée de celui-ci. Liste d’opposition : jusqu’à la levée de l’opposition.

Le questionnaire accompagne l’information sur l’échéance de l’abonnement : dans le même e-mail, sous l’information et séparé d’elle, pour un client professionnel ou un acheteur public ; dans un e-mail distinct, le même jour, pour un client non professionnel. Chaque envoi indique qui l’adresse, renvoie à cette politique et ne contient ni pixel ni lien de suivi ; aucune relance n’est envoyée. La page de réponse rappelle ces informations. Les réponses ne servent jamais à évaluer la personne qui répond.

Suivi de l’utilisation du service par organisme :

• Personnes : les gestionnaires et les résidents des organismes clients, de façon indirecte, car les compteurs portent sur l’organisme entier et ne nomment personne.
• Données : compteurs par organisme (nombre de logements, nombre de comptes gestionnaires ouverts, nombre de gestionnaires connectés au moins une fois au cours des 30 derniers jours, nombre de comptes résidents ouverts, nombre de résidents connectés au cours des 30 derniers jours et nombre de séjours en cours, pour l’adoption de l’espace résident, nombre d’échecs de connexion par jour, consommations de services externes, nombre d’utilisations de chaque fonction) ; aucun nom, aucune date de connexion, aucun compteur par personne n’est affiché.
• Source : l’espace de l’organisme, avec l’autorisation qu’il donne dans l’accord de sous-traitance. Les connexions sont comptées sur la trace technique des sessions ouvertes au cours des 30 derniers jours. Un échec de connexion (mot de passe erroné saisi pour l’adresse d’un compte de l’organisme) ajoute un au compteur du jour de l’organisme, sans garder l’adresse ni l’heure. Ces compteurs ne sont tirés ni du journal des opérations ni d’un traceur.
• Base légale : intérêt légitime de Résid’Gestion à facturer l’abonnement et les consommations, à assister et accompagner l’organisme client, et à repérer les anomalies de connexion à vérifier pour la sécurité du service (article 6.1.f). Dans un organisme qui n’a qu’un gestionnaire, ces compteurs peuvent refléter son usage : ils ne servent jamais à évaluer son activité, et aucun indicateur d’activité d’un gestionnaire n’est remis à son employeur.
• Destinataires : Résid’Gestion ; l’organisme, pour les consommations reportées sur ses factures.
• Durée : recalculés en continu, sans historique par personne ; compteurs d’échecs de connexion par jour effacés au-delà de 31 jours ; supprimés avec les données de l’organisme, au plus tard 90 jours après la fin du contrat. Les consommations reportées sur les factures sont conservées avec elles, 10 ans.

Les données du compte et l’acceptation des conditions générales d’utilisation ou des conditions d’usage professionnelles sont nécessaires pour utiliser le service : sans elles, Résid’Gestion ne peut pas ouvrir l’accès. Les données de facturation sont exigées par la loi : sans elles, l’abonnement ne peut pas être facturé. Pour une réclamation, un signalement ou une demande au support, rien n’est obligatoire, mais sans les informations demandées, la demande ne peut pas toujours être traitée.

Le journal des opérations de l’espace d’un organisme ne relève pas de ces traitements : il est tenu pour le compte de l’organisme.

Pour le compte de l’organisme, et selon les options qu’il active, le service traite notamment :

• l’identité, les coordonnées et la date de naissance des candidats, des résidents, des co-occupants, des représentants légaux des résidents mineurs et des salariés logés, ainsi que leur employeur ;
• les pièces demandées par l’organisme, comme la pièce d’identité et les justificatifs de ressources et d’activité ;
• les séjours, les logements, les contrats, les états des lieux, les documents signés et leurs dossiers de preuve ;
• les avis d’échéance, factures, quittances, reçus, paiements déclarés et relances ;
• les signalements et leurs photos, les messages et annonces, les avis du livre d’or ;
• les véhicules déclarés et les demandes d’équipements ou de services ;
• les demandes de logement des entreprises, leurs contacts et les droits à loger ;
• le suivi des dépenses et des interventions, le répertoire des prestataires de l’organisme et les liens de consultation envoyés à ces prestataires, avec leurs traces d’ouverture et de téléchargement ;
• les documents envoyés par la fonction « Transmettre » et leurs téléchargements ;
• les comptes des utilisateurs de son espace et le journal des opérations.

Ces données servent à gérer les candidatures et les séjours, à établir et signer les documents, à facturer et suivre les paiements, à traiter les signalements et l’entretien des logements, et à échanger avec la résidence. Leurs bases légales, leurs destinataires et leurs durées de conservation figurent dans la note d’information de l’organisme.

Le service ne comporte aucun champ pour un numéro de carte bancaire ni pour le numéro de sécurité sociale. Il ne note pas les candidats et ne prend aucune décision à la place de l’organisme.

Les durées des traitements de Résid’Gestion figurent dans la section « Traitements dont Résid’Gestion est responsable ». Pour les données gérées pour le compte d’un organisme, les principales durées sont les suivantes. Seules trois se règlent par organisme, dans des limites fixées par le service : pièce d’identité, candidature non retenue et dossier de séjour. Les autres sont fixes. La note d’information de l’organisme donne la liste complète des durées qu’il applique.

• pièce d’identité : fichier supprimé 30 jours après la fin du séjour ou le refus de la candidature (de 0 à 90 jours selon l’organisme) ; seule reste la mention de la vérification (date, auteur, type de pièce) ;
• candidature non retenue : supprimée au plus tard 3 mois après la décision, selon le réglage de l’organisme ; seules des statistiques sans nom sont gardées ;
• dossier de séjour (fiche du résident, contrat, états des lieux, documents signés et leur dossier de preuve, signalements et leurs photos) : 3 ans après la fin du contrat et le solde du compte pour une location vide ou meublée soumise à la loi du 6 juillet 1989 (de 3 à 5 ans selon l’organisme), 5 ans pour les autres contrats ;
• messages et annonces : supprimés 2 ans après leur envoi ;
• avis du livre d’or : 3 ans au plus après leur dépôt ; ensuite, le message est supprimé et la note n’est plus rattachée à son auteur. La publication cesse dès le retrait de l’accord ;
• entreprises partenaires : contacts, 3 ans après la fin de la relation avec l’organisme ; conventions, renonciations et clôtures des droits à loger, 5 ans après la fin de la période, ou la durée des factures pour une clôture qui justifie une facture ;
• suivi des dépenses et des interventions : textes, photos et documents d’un dossier, 3 ans après sa clôture, son refus, son archivage ou sa dernière activité ; montants, devis retenu et facture du prestataire d’un dossier terminé, 10 ans après la fin de l’exercice au cours duquel il est clôturé ; messages envoyés aux prestataires, 3 ans après leur envoi ; coordonnées du répertoire, 3 ans après leur dernier usage ou leur archivage ;
• lien de consultation envoyé à un prestataire : valable 30 jours au plus et révocable ; ses traces d’ouverture et de téléchargement sont supprimées 12 mois après son expiration ;
• lien de la fonction « Transmettre » : valable 30 jours ; ses traces de téléchargement sont supprimées 12 mois après son expiration ;
• compte de connexion d’un résident : supprimé 30 jours après le départ, sauf si un autre séjour est prévu ou si le compte donne accès à un autre espace ;
• compte d’un gestionnaire ou d’un utilisateur d’une entreprise : supprimé 1 an après sa désactivation ;
• invitation non acceptée : valable 30 jours, puis supprimée 30 jours après son expiration ;
• journal des opérations : 12 mois ;
• factures, avoirs, quittances, reçus et encaissements : 10 ans après la clôture de l’exercice (article L123-22 du code de commerce), conservés dans leur format d’origine et jamais modifiés, puis supprimés ;
• preuve d’acceptation des conditions générales d’utilisation et des conditions d’usage professionnelles, tenue par Résid’Gestion : 5 ans après la suppression du compte.

Mon Parc : les logements que l’entreprise suit sur son propre parc, les salariés qui y sont affectés (nom et dates) et les propriétaires ou contacts sont conservés tant que l’entreprise les garde. Elle peut à tout moment retirer un salarié, même après son départ, et effacer un contact ou une note. Ces données sont supprimées avec celles de son organisme partenaire, au plus tard 90 jours après la fin du contrat de celui-ci.

À l’échéance, un traitement automatique supprime les fichiers et efface l’identité, les coordonnées et les textes libres ; seules des statistiques sans nom ni logement sont conservées. Les factures ne sont pas anonymisées : elles restent intactes, en archive à accès restreint, jusqu’au terme de leur durée.

Dans l’espace d’un organisme, les données ne se suppriment pas une à une à la main, sauf un fichier déposé par erreur. Une demande d’effacement adressée à l’organisme passe par une fonction dédiée : elle efface ce qui n’a plus à être conservé et garde, en archive à accès restreint, ce qui reste nécessaire, par exemple pour un séjour en cours, une somme due ou une obligation légale. L’organisme vous indique ce qui est conservé et pourquoi.

Chaque anonymisation est inscrite dans un journal (quoi, quand, quelle règle), sans recopier la donnée.

Une donnée supprimée peut subsister dans les sauvegardes chiffrées de la base de données et dans les copies de sécurité jusqu’à leur renouvellement automatique, dans des délais limités fixés dans l’accord de sous-traitance. Elle n’y est pas consultable. Après une restauration, les suppressions intervenues depuis sont réappliquées avant la réouverture du service.

Les données des traitements de Résid’Gestion ne sont accessibles qu’à l’éditeur et, chacun pour son service, à ses sous-traitants. Elles ne sont communiquées à d’autres destinataires que dans les cas indiqués pour chaque traitement, ou à une autorité qui les demande en vertu de la loi.

Les données gérées pour le compte d’un organisme sont accessibles aux personnes habilitées de l’organisme, selon les droits qu’il leur attribue, et aux destinataires qu’il choisit, par exemple un prestataire chargé d’une intervention, son expert-comptable ou un commissaire de justice. Sa note d’information les énumère. Un employeur qui utilise l’espace entreprise ne voit que les informations énumérées à l’article 13 des conditions générales d’utilisation.

Les données de Mon Parc ne sont accessibles qu’aux utilisateurs de l’espace de l’entreprise, jamais à l’organisme partenaire. Résid’Gestion n’en voit que des nombres (logements suivis, hébergements externes) et, si l’entreprise accepte sa proposition à la fin du contrat de l’organisme, la liste de ses logements suivis (nom, origine, adresse, capacité), sans aucun salarié, pour créer son compte. Si l’organisme partenaire a éteint l’espace entreprise, Résid’Gestion exporte ou supprime les logements de Mon Parc à la demande de l’entreprise.

Résid’Gestion n’accède aux données d’un organisme que dans les cas suivants, et chaque intervention est enregistrée :

• avant la mise en service, pour la reprise des données ;
• pendant un accès d’assistance accordé par l’organisme, limité dans le temps et révocable à tout moment ;
• pour la sécurité ou la continuité du service, en se limitant au strict nécessaire ;
• pour répondre à une obligation légale.

Aucune donnée n’est vendue, louée ni utilisée à des fins publicitaires.

Le service est hébergé en Europe. L’application web est hébergée en Europe, chez OVH SAS. La base de données, les comptes de connexion et les fichiers sont stockés en France (Paris), chez Supabase, sur les serveurs d’Amazon Web Services. Les sauvegardes et les copies de sécurité restent dans l’Union européenne. Les hébergeurs sont identifiés dans les mentions légales.

Résid’Gestion fait appel aux sous-traitants suivants. Chacun est lié par un accord de traitement des données (article 28 du RGPD) et ne traite les données que pour son service :

• Supabase Pte. Ltd. (Singapour) : base de données, authentification et stockage des fichiers. Données stockées en France (Paris), dans l’Union européenne, sur les serveurs d’Amazon Web Services.
• OVH SAS (Roubaix, France), marque OVHcloud : hébergement de l’application web, sur des serveurs situés en Europe.
• Sendinblue SAS (Paris, France), marque Brevo : envoi des e-mails du service et, s’ils sont activés, des SMS de relance. Données stockées dans l’Union européenne. Le suivi des ouvertures et des clics est désactivé ; les journaux d’envoi sont conservés 1 mois.
• Messagerie professionnelle de Résid’Gestion (adresses de contact, de données personnelles et de sécurité ; support des organismes et échanges avec les clients et les prospects par e-mail) : [À FOURNIR : fournisseur de la messagerie de Résid’Gestion, pays de stockage et garantie].

Une copie de sécurité tenue hors de Supabase n’est confiée qu’à un prestataire inscrit dans cette liste, avec un stockage situé dans l’Union européenne. Plus généralement, aucun outil ne reçoit de données personnelles avant d’y être inscrit. Résid’Gestion ne recourt à aucun service tiers de mesure d’audience, de publicité, de suivi des erreurs ni d’intelligence artificielle. Aucun prestataire de paiement ni de signature électronique avancée n’est utilisé à ce jour.

Pour les données traitées pour le compte d’un organisme, la liste à jour des sous-traitants ultérieurs figure dans l’accord de sous-traitance conclu avec lui. Tout ajout ou remplacement d’un sous-traitant choisi par Résid’Gestion lui est annoncé au moins 30 jours à l’avance, sauf urgence liée à la sécurité ou à la défaillance d’un prestataire.

Les données du service sont stockées dans l’Union européenne. Certains sous-traitants peuvent toutefois y accéder ou les traiter depuis un pays situé hors de l’Union. Ces transferts sont encadrés par une décision d’adéquation de la Commission européenne ou par ses clauses contractuelles types (articles 45 et 46 du RGPD) :

• Supabase Pte. Ltd. est établie à Singapour, pays qui ne bénéficie pas d’une décision d’adéquation. Garantie : les clauses contractuelles types de la Commission européenne, intégrées à l’accord de traitement des données de Supabase. Supabase fait aussi appel à des sous-traitants établis aux États-Unis, dont Supabase, Inc. pour le support et Amazon Web Services, Inc. pour l’hébergement. Ces clauses s’appliquent aussi à ces transferts ultérieurs, et Supabase lie chacun de ses sous-traitants par des engagements au moins aussi protecteurs que les siens. Supabase publie la liste de ses sous-traitants sur son site.
• Sendinblue SAS (Brevo) est une société française. Des accès aux données sont possibles depuis les États-Unis et depuis l’Inde. Pour les États-Unis, Brevo, Inc., société de son groupe, adhère au cadre de protection des données UE-États-Unis, reconnu par la décision d’adéquation de la Commission européenne du 10 juillet 2023. L’Inde ne bénéficie pas d’une décision d’adéquation. Dans son accord de traitement des données (annexe 3 de ses conditions générales), Brevo s’engage à assurer en permanence un niveau de protection adéquat pour tout traitement hors de l’Espace économique européen, notamment par les clauses contractuelles types de la Commission européenne, assorties de mesures supplémentaires.
• OVH SAS est une société française. Des sociétés de son groupe établies au Royaume-Uni et au Canada peuvent accéder aux données. Garantie : les décisions d’adéquation de la Commission européenne pour ces deux pays ; pour le Canada, la décision vise les organisations soumises à la loi fédérale sur la protection des renseignements personnels et les documents électroniques.
• Messagerie professionnelle de Résid’Gestion : son pays et sa garantie figurent dans la liste des sous-traitants ci-dessus.

Vous pouvez obtenir une copie de ces garanties en écrivant à contact@residgestion.fr.

Pour les données traitées pour le compte d’un organisme, ces transferts sont autorisés par l’accord de sous-traitance conclu avec lui, qui les énumère. Aucun autre transfert n’a lieu sans son instruction.

Vous disposez des droits suivants sur vos données :

• accès : savoir si des données vous concernant sont traitées et en obtenir une copie (article 15 du RGPD) ;
• rectification des données inexactes ou incomplètes (article 16) ;
• effacement, dans les cas prévus à l’article 17, sauf si la loi impose de conserver les données ou si elles sont nécessaires à la constatation, à l’exercice ou à la défense de droits en justice ;
• limitation du traitement, par exemple le temps de vérifier l’exactitude d’une donnée que vous contestez (article 18) ;
• portabilité : recevoir, dans un format structuré et lisible par machine, les données que vous avez fournies, lorsque leur traitement est automatisé et fondé sur un contrat ou sur votre consentement (article 20) ;
• directives sur la conservation, l’effacement et la communication de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Droit d’opposition : vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l’intérêt légitime (article 21 du RGPD). Vous pouvez aussi vous opposer à tout moment, sans motif ni frais, à la prospection commerciale, notamment par le moyen proposé dans chaque e-mail de prospection.

Le service ne prend aucune décision fondée exclusivement sur un traitement automatisé qui produirait des effets juridiques à votre égard ou vous affecterait de manière significative (article 22 du RGPD).

Pour les traitements de Résid’Gestion, écrivez à contact@residgestion.fr, ou par courrier à Nicolas Roger, à l’adresse indiquée dans les mentions légales. L’exercice de vos droits est gratuit. Seule une demande manifestement infondée ou excessive, notamment par son caractère répétitif, peut donner lieu à des frais raisonnables ou à un refus motivé (article 12.5 du RGPD).

Résid’Gestion ne vous demande une information complémentaire pour confirmer votre identité qu’en cas de doute raisonnable sur celle-ci (article 12.6 du RGPD), et seulement ce qui est nécessaire pour lever ce doute.

Il vous répond dans un délai d’un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois, compte tenu de la complexité ou du nombre de demandes. Vous en êtes alors informé, avec les motifs de la prolongation, dans le mois qui suit la réception de votre demande (article 12.3 du RGPD). Si Résid’Gestion ne donne pas suite à votre demande, il vous en indique les raisons dans le même délai d’un mois, ainsi que la possibilité de saisir la CNIL et de former un recours en justice (article 12.4).

Pour les données gérées par votre organisme (candidature, séjour, documents, compte, journal des opérations), adressez-vous à lui, au contact indiqué dans sa note d’information, y compris après la fin de votre accès. Si vous écrivez à Résid’Gestion, votre demande est transmise à l’organisme sous 5 jours ouvrés : c’est lui qui y répond. Si vous êtes gestionnaire ou utilisateur d’une entreprise, adressez-vous à l’organisme pour les données de votre compte, et à Résid’Gestion pour la proposition qu’il peut adresser à votre entreprise à la fin du contrat de l’organisme, comme pour vos réponses à son questionnaire de satisfaction et pour la liste d’opposition à ce questionnaire.

Vous pouvez à tout moment adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.

Résid’Gestion n’utilise aucun traceur de mesure d’audience, de publicité ou de réseau social. Seuls des cookies et traceurs strictement nécessaires sont utilisés : connexion, sécurité de la session, préférences d’affichage et, pour un état des lieux ou un contrôle périodique pas encore envoyé, conservation des saisies et des photos sur l’appareil jusqu’à leur envoi, au plus 7 jours après la saisie. Ils sont exemptés de consentement : aucun bandeau n’est donc affiché (article 82 de la loi Informatique et Libertés).

À la déconnexion, l’application efface les données gardées sur l’appareil, sauf les préférences d’affichage. Le cache de l’application installable ne contient aucune donnée personnelle.

Les e-mails du service et les e-mails de prospection ne contiennent ni pixel ni lien de suivi : aucun suivi individuel de leur ouverture ni des clics n’est réalisé. Deux exceptions existent, pour la sécurité des fichiers transmis par un organisme. La page de consultation des fichiers envoyés à un prestataire enregistre la date de son ouverture et les fichiers téléchargés, sans adresse IP ni navigateur. Le lien envoyé par la fonction « Transmettre », par exemple à l’expert-comptable de l’organisme, enregistre la date de chaque téléchargement et le document téléchargé, lui aussi sans adresse IP ni navigateur.

La page Cookies détaille ces traceurs, leurs durées et les données gardées sur votre appareil.

Résid’Gestion protège les données par des mesures adaptées aux risques (article 32 du RGPD), notamment :

• un cloisonnement strict entre organismes dans la base de données : des règles d’accès appliquées à chaque ligne font que chaque organisme ne voit que ses propres données ;
• le chiffrement des échanges (HTTPS) et des données au repos chez l’hébergeur de la base de données ;
• des droits d’accès limités au rôle de chacun ; les droits sensibles sont attribués par personne, et chaque attribution est journalisée ;
• la double authentification, obligatoire pour le responsable de l’organisme, pour tout titulaire d’un droit sensible, pour l’administration de la plateforme et pour les accès d’assistance ;
• des mots de passe d’au moins 12 caractères, des tentatives de connexion limitées et des sessions limitées dans le temps, dont les durées figurent dans la page Cookies ;
• des fichiers rangés dans des espaces privés et ouverts par des liens temporaires, valables 60 secondes pour une pièce d’identité ou un justificatif ;
• un journal des opérations (connexions, consultations sensibles, modifications, exports, accès d’assistance), qui ne recopie jamais le contenu des données ;
• des sauvegardes régulières et chiffrées, conservées dans l’Union européenne ;
• aucun numéro de carte bancaire : le service ne comporte aucun champ pour le saisir.

En cas de violation de données, Résid’Gestion prévient l’organisme concerné dans les meilleurs délais. Si la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, vous en êtes informé par l’organisme pour les données qu’il gère, et par Résid’Gestion pour ses propres traitements.

Pour signaler une faille ou un incident de sécurité : contact@residgestion.fr.

Si le contrat d’un organisme prend fin, son espace est fermé à la date de fin. Dès que Résid’Gestion connaît cette date, il en prévient par e-mail les utilisateurs de l’espace, pour le compte de l’organisme, au moins 30 jours à l’avance lorsque le préavis du contrat le permet. Téléchargez vos documents avant cette date.

À la fin du contrat, l’organisme dispose de l’export complet de ses données : données structurées, fichiers, documents signés avec leur dossier de preuve et factures dans leur format d’origine. Seuls ses responsables peuvent encore le télécharger. Après la fermeture, l’organisme reste votre interlocuteur pour obtenir une copie de vos documents.

Au plus tard 90 jours après la fin du contrat, Résid’Gestion supprime définitivement les données de l’organisme de la base de données et du stockage des fichiers, et lui remet une attestation. Cette suppression peut intervenir plus tôt, à la demande écrite de l’organisme. Les sauvegardes et les copies de sécurité disparaissent ensuite par renouvellement, dans les délais de l’accord de sous-traitance.

Après cette suppression, Résid’Gestion ne garde que les données de ses propres traitements, selon les durées indiquées plus haut : la fiche client, l’historique de la relation, les demandes au support sans leurs pièces jointes et ses factures, ainsi que la preuve d’acceptation des conditions par les utilisateurs, les réclamations et signalements qui lui ont été adressés et les journaux techniques.

Résid’Gestion peut modifier cette politique, notamment pour suivre l’évolution du service, de ses sous-traitants ou de la loi. La date de la dernière mise à jour figure en tête de cette page, et chaque version reste consultable à une adresse qui lui est propre.

Si une modification change l’usage que Résid’Gestion fait de vos données, par exemple pour une nouvelle finalité, vous en êtes informé avant qu’elle ne s’applique. Tout changement de sous-traitant ultérieur est annoncé aux organismes dans les conditions de l’accord de sous-traitance.