Politique de confidentialité et de sécurité

Si vous êtes locataire ou intervenant ménage

Le propriétaire ou le gestionnaire de votre réservation utilise Anétats pour préparer et conserver le dossier du séjour. Il choisit pourquoi les données du séjour sont utilisées et demeure votre interlocuteur principal pour obtenir un document, corriger une information ou exercer un droit.

Votre prénom, votre nom, les dates et le logement concerné permettent de retrouver le bon séjour. Pendant le parcours, vous pouvez ajouter des commentaires, des photos et une signature. Ne photographiez pas de personne, de pièce d’identité ou d’information sans rapport direct avec le constat.

L’adresse e-mail du locataire est requise pour signer le constat. Elle est préremplie depuis le séjour et peut être corrigée avant la signature. Aucun constat PDF n’est envoyé automatiquement par e-mail dans la version actuelle du service.

Qui est responsable des données ?

Pour les dossiers de séjour

Le propriétaire ou gestionnaire qui détermine les objectifs et les informations du dossier agit, en principe, comme responsable du traitement. Il doit disposer d’un fondement juridique adapté, informer les personnes concernées et répondre à leurs demandes.

ALFA, qui fournit Anétats, agit alors comme sous-traitant : elle traite les données pour faire fonctionner, héberger, sauvegarder, maintenir et sécuriser le service, selon les instructions convenues avec le propriétaire.

Pour l’exploitation d’Anétats

ALFA est responsable de ses propres traitements, notamment l’examen des demandes de compte, l’envoi d’une proposition gratuite ou payante, la création et la sécurisation des comptes propriétaires, la gestion de la relation contractuelle, le support technique et la protection du service.

Données traitées et provenance

Demandes d’ouverture de compte

Prénom, nom, adresse e-mail, nom du projet, message facultatif, date et preuve de l’acceptation des conditions, état de la demande, décision de l’administrateur et, lorsqu’une offre payante est proposée, prix, périodicité, référence de paiement éventuellement renseignée et état de sa confirmation. Anétats conserve seulement l’empreinte cryptographique des liens privés de suivi et d’activation.

Comptes propriétaires

Identifiant, empreinte cryptographique du mot de passe, identité ou raison sociale, coordonnées, configuration des lieux, acceptation contractuelle, droits d’accès et informations techniques nécessaires au support.

Séjours et constats

Identité du locataire, adresse e-mail et adresse postale personnelle lorsqu’elles sont fournies, dates et horaires, logement concerné, référence du séjour, progression du parcours, commentaires, photos, signature, horodatages, documents produits et informations relatives au parcours ménage.

Connexions facultatives

Lorsqu’un propriétaire active Smoobu, Anétats reçoit les informations utiles de son compte, de ses logements et de ses réservations. Les identifiants de connexion sont chiffrés. Les photos, signatures et documents Anétats ne sont pas envoyés à Smoobu.

D’où viennent les données ?

Elles sont fournies directement par l’utilisateur, par le propriétaire, par un assistant expressément autorisé par celui-ci ou par Smoobu lorsqu’il a activé cette connexion. Anétats ne réalise ni profilage commercial ni décision automatisée produisant un effet juridique.

Pourquoi les données sont-elles utilisées ?

Ce qui est obligatoire ou facultatif

• Demande de compte : le prénom, le nom, l’adresse e-mail, le nom du projet et l’acceptation des conditions sont nécessaires pour étudier et traiter la demande. Le message de présentation est facultatif.
• Compte propriétaire : l’identité, les coordonnées et l’acceptation contractuelle sont nécessaires à l’activation du compte.
• Accès locataire : le prénom, le nom, le séjour et le logement concernés sont nécessaires pour ouvrir le bon parcours.
• Signalement : une description et au moins une photo sont nécessaires uniquement lorsqu’un problème est ajouté.
• Clôture : la signature et une adresse e-mail renseignée sont nécessaires pour finaliser le constat locataire.
• Smoobu : la connexion est facultative. Le propriétaire peut gérer ses séjours manuellement sans la relier.

Si une information obligatoire manque, Anétats ne peut pas ouvrir, enregistrer ou finaliser l’étape correspondante. Les champs facultatifs peuvent être laissés vides.

Qui peut consulter les données ?

• l’administrateur ALFA chargé d’examiner personnellement les demandes de compte et d’enregistrer sa décision ;
• le propriétaire concerné et les utilisateurs qu’il autorise dans son projet ;
• le locataire ou l’intervenant ménage, uniquement dans le parcours et pendant la période d’accès qui lui est ouverte ;
• un assistant connecté et expressément autorisé par le propriétaire, dans la limite des fonctions accordées ;
• les personnes habilitées par ALFA lorsque leur intervention est nécessaire au support, à la maintenance ou à la sécurité ;
• les autorités, uniquement lorsqu’une obligation légale l’impose.

Aucun assistant externe n’est connecté par défaut. Lorsqu’un propriétaire en autorise un, le fournisseur de cet assistant reçoit les seules informations demandées au connecteur et les traite selon ses propres conditions. Le propriétaire doit donc vérifier ce fournisseur avant de lui accorder l’accès.

Prestataires techniques

OVH SAS

Hébergement du serveur et service de messagerie technique. Siège : 2 rue Kellermann, 59100 Roubaix, France.

Infomaniak Network SA

Conservation sur kDrive de la sauvegarde applicative préalablement chiffrée par Anétats. Les données kDrive sont hébergées en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat.

Smoobu

Source facultative de réservations, seulement lorsque le propriétaire active sa connexion. Anétats ne lui transmet pas les constats, photos ou signatures.

ALFA ne vend ni ne loue les données personnelles et ne les transmet pas à des régies publicitaires.

Combien de temps les données sont-elles conservées ?

Demande en attente

Trente jours à compter de son enregistrement ou de la décision qui la prolonge. Passé ce délai, le lien de suivi expire et la demande est classée comme expirée.

Demande traitée

Au plus tard quatre-vingt-dix jours après l’activation, le refus ou l’expiration, sauf conservation distincte nécessaire à une obligation légale, à la comptabilité ou à un litige.

Invitation d’activation

Sept jours et une seule utilisation. Son renouvellement invalide immédiatement le lien précédent.

Dossier de séjour

Trois ans après le plus récent des événements suivants : création, départ, signature, fin du parcours ménage ou archivage. Le dossier et ses preuves sont ensuite supprimés.

Compte propriétaire

Pendant la durée d’utilisation du compte, puis jusqu’à sa suppression confirmée, sous réserve d’une conservation nécessaire à une obligation légale ou à un litige en cours.

Connexion Smoobu

Jusqu’à sa déconnexion par le propriétaire ou à la suppression du compte Anétats concerné.

Code de vérification

Dix minutes. Les enregistrements expirés sont ensuite purgés.

Journaux techniques

Le temps nécessaire au diagnostic et à la sécurité, dans le cadre d’une rotation technique limitée en taille.

Lorsqu’une donnée est supprimée du serveur actif, elle peut encore se trouver dans la dernière sauvegarde chiffrée jusqu’à son remplacement par la sauvegarde suivante, après vérification.

Comment les données sont-elles protégées ?

ALFA applique des mesures adaptées au fonctionnement actuel d’Anétats :

• connexion HTTPS et cookies d’accès protégés ;
• mots de passe conservés sous forme d’empreinte cryptographique, jamais en clair ;
• liens de suivi et d’activation aléatoires, conservés côté serveur sous forme d’empreinte, limités dans le temps et à usage unique pour l’activation ; leur jeton reste après le caractère #, hors des journaux HTTP, puis est retiré de la barre d’adresse ;
• décision d’ouverture réservée à une session administrateur authentifiée, même lorsque le lien provient d’un e-mail ;
• séparation des données entre les projets propriétaires ;
• accès locataire et ménage limités au séjour concerné et à une durée déterminée ;
• chiffrement des identifiants Smoobu et des sauvegardes externes ;
• limitation des tentatives d’accès et des envois d’e-mail ;
• documents signés identifiés, horodatés et reliés à l’empreinte du constat.

Sauvegardes

Une archive complète chiffrée est produite chaque nuit et envoyée vers un espace kDrive distinct. La nouvelle archive est relue et vérifiée avant de remplacer la précédente : une seule sauvegarde complète est conservée.

Aucune mesure ne supprime totalement le risque. Si un incident affecte des données personnelles, ALFA informe le propriétaire concerné sans retard injustifié afin qu’il puisse remplir ses propres obligations ; ALFA effectue directement les notifications qui lui incombent pour ses traitements.

Cookies et stockage dans le navigateur

La version actuelle d’Anétats n’utilise ni outil de mesure d’audience publicitaire ni traceur marketing.

• Cookies strictement nécessaires : ils maintiennent la session propriétaire ou l’accès temporaire à un séjour. Ils sont limités dans le temps et ne servent pas au suivi publicitaire.
• Stockage du navigateur : le navigateur conserve la progression non sensible du parcours afin de permettre sa reprise. Un jeton de suivi ou d’activation peut rester temporairement dans le stockage de session de l’onglet, uniquement le temps d’utiliser le lien ; il est supprimé après l’activation ou à la fermeture de la session du navigateur.

Sur un appareil partagé, déconnectez-vous puis effacez les données du site dans les réglages du navigateur. Le stockage local peut subsister jusqu’à cette suppression.

Vos droits et les bons contacts

Selon la situation et la base légale applicable, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition ou la portabilité de vos données. Vous pouvez également définir des directives relatives au sort de vos données après votre décès, dans les conditions prévues par le droit français.

Une réponse est apportée dans le délai prévu par la réglementation, en principe un mois. Une preuve d’identité peut être demandée seulement lorsqu’elle est nécessaire pour éviter de transmettre des données à la mauvaise personne.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL).

Questions fréquentes