Politique de Confidentialité

1. Introduction

creerbail.fr s'engage à protéger la vie privée de ses utilisateurs. Cette politique de confidentialité explique comment nous collectons, utilisons, partageons et protégeons vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

2. Responsable du traitement

Le responsable du traitement des données est :
Irung Luong
Entrepreneur individuel
46 rue du Vercors
34070 Montpellier
France

Email : contact@creerbail.fr

3. Données collectées

Nous collectons les données suivantes selon le contexte d'utilisation :

3.1 Données d'identification et de compte

• Adresse email (lors de la création d'un compte)
• Mot de passe (hashé et chiffré par Supabase Auth, jamais stocké en clair)
• Secret de double authentification et empreintes (hachées) des codes de secours - uniquement si vous activez la double authentification depuis vos réglages

3.2 Données relatives aux documents générés (baux, états des lieux, inventaires, quittances)

Données du bailleur :

• Nom, prénom
• Adresse postale
• Numéro de téléphone
• Adresse email

Données du locataire et tiers :

• Nom, prénom
• Adresse postale
• Numéro de téléphone
• Adresse email
• Date et lieu de naissance
• Nationalité (facultatif)
• Situation familiale (facultatif)

Données de caution/garant (si applicable) :

• Nom, prénom
• Adresse postale
• Numéro de téléphone
• Adresse email
• Situation professionnelle
• Revenus mensuels
• Employeur

Données relatives au bien loué :

• Adresse du bien
• Surface habitable
• Type de bien (T1, T2, maison, studio, etc.)
• Caractéristiques (chauffage, étage, état des lieux)
• Équipements et mobilier (si meublé)

Conditions financières :

• Montant du loyer
• Charges locatives
• Dépôt de garantie
• Conditions de révision
• Dates de bail

Documents complémentaires :

• Photographies d'état des lieux (entrée/sortie)
• Inventaires détaillés
• Commentaires et observations

Note importante : Les informations bancaires pour le paiement sont gérées directement par Stripe (certifiée PCI-DSS niveau 1) et ne sont jamais stockées dans notre application.

3.2 bis Données de signature électronique (états des lieux et contrats de bail)

Lorsque vous demandez la signature électronique d'un état des lieux ou d'un contrat de bail, des données de preuve sont collectées par notre prestataire firma.dev pour chaque signataire (bailleur et locataires) :

• Nom et adresse email du signataire
• Adresse IP et horodatage de chaque consultation, signature ou refus
• Journal des actions (dossier de preuve) et certificat de fin de signature
• Image de la signature apposée sur le document

Ces données constituent la valeur probante de la signature : elles ne peuvent pas être supprimées du document signé sans le priver de son effet. Elles ne sont collectées qu'à partir du moment où vous déclenchez explicitement une demande de signature.

3.3 Données techniques

• Adresse IP
• Type et version de navigateur
• Système d'exploitation
• Pages consultées et actions effectuées
• Horodatage des accès et interactions
• Identifiants de session / cookies de session

3.4 Données de consentement et cookies

• Consentement au traitement non-essentiels (analytics, marketing) - si applicable
• Préférences de cookies

4. Finalités du traitement

Vos données sont utilisées pour :

• Exécution du service : générer les documents locatifs, les sauvegarder, permettre à l'utilisateur d'y accéder ultérieurement.
• Gestion du compte : créer et administrer votre compte, maintenir votre authentification.
• Envoi de documents : envoyer les documents générés (quittances, courriers) aux destinataires si vous le demandez.
• Envoi de notifications automatiques : rappels de paiement, notifications de fin de bail, révisions de loyer (pour les abonnés).
• Support et assistance : répondre à vos demandes, résoudre les problèmes techniques.
• Amélioration du service : analyser l'utilisation du service, optimiser les fonctionnalités, détecter les bugs.
• Sécurité et fraude : prévenir la fraude, détecter les abus, assurer la sécurité des données.
• Obligations légales : respecter les réglementations applicables (déclaration CNIL, demandes d'autorité judiciaire, etc.).
• Communications légales : vous informer de modifications importantes des CGU ou de la politique de confidentialité (note : aucun marketing par défaut, sauf consentement explicite).

5. Base légale du traitement

Le traitement de vos données repose sur l'une des bases légales suivantes :

5.1 Exécution du contrat

• Génération et fourniture des documents locatifs.
• Gestion et sauvegarde de vos documents.
• Envoi des quittances ou courriers demandés.

5.2 Obligation légale

• Respect des exigences de la loi du 6 juillet 1989, loi Alur et autres réglementations applicables aux baux.
• Conservations exigées par le Code de commerce (comptabilité, archives).
• Réponse aux demandes des autorités compétentes.

5.3 Intérêt légitime

• Amélioration continue du service et prévention de fraude.
• Maintien de la sécurité et de la stabilité de la plateforme.
• Détection des erreurs techniques (§ 7.1, « Suivi des erreurs ») : quand une page ou une fonction du service échoue, un rapport technique est transmis à notre outil de suivi afin que la panne soit corrigée. Aucun traceur n'est déposé sur votre appareil à cette fin.

5.4 Consentement

• Envoi de bulletins d'information ou communications marketing (si vous avez coché la case d'abonnement).
• Activation des cookies de mesure d'audience (détaillés au § 11.2), déposés uniquement après votre acceptation dans le bandeau de consentement.

6. Traitement des données de tiers

Lorsque vous utilisez creerbail.fr pour générer des documents (baux, états des lieux, etc.), vous pouvez être amené à saisir ou télécharger des données personnelles de tiers (locataire, caution, références, etc.).

Rôles :

• Vous agissez en qualité de responsable de traitement au sens du RGPD.
• creerbail.fr agit en qualité de sous-traitant technique, exclusivement sur instruction et pour les seules finalités que vous définissez.

Vos obligations :
Vous vous engagez à respecter le RGPD et les lois de protection des données, notamment :

• Obtenir les consentements nécessaires auprès des tiers.
• Les informer de l'utilisation de leurs données et de leurs droits.
• Assurer la conformité légale avant transmission.

creerbail.fr ne peut être tenu responsable des manquements à ces obligations.

7. Destinataires des données

Vos données peuvent être traitées par :

7.1 Prestataires techniques (sous-traitants)

• Hébergement, authentification et base de données : Supabase, région Europe de l'Ouest (Paris), au sein de l'Union européenne. Le secret de la double authentification, si vous l'activez, y est conservé par le service d'authentification.
• Plateforme de paiement : Stripe (certifiée PCI-DSS niveau 1). Stripe traite les données bancaires directement et agit comme responsable de traitement pour ces données de paiement.
• Envoi d'emails : Resend (notifications, quittances, emails transactionnels liés au service).
• Mesure d'audience : PostHog, sur son instance européenne - les données de navigation sont conservées au sein de l'Union européenne. Ce prestataire n'est sollicité que si vous avez accepté les cookies de mesure d'audience. Ne lui sont transmis ni le contenu de vos formulaires, ni les informations relatives à vos baux, biens ou locataires.
• Suivi des erreurs techniques : Sentry (Functional Software, Inc.), sur son instance européenne (Francfort) - les rapports sont conservés au sein de l'Union européenne, 90 jours au plus. Un rapport n'est émis qu'en cas d'erreur et ne contient que des éléments techniques : message et pile d'exécution, page concernée (sans ses paramètres), navigateur, identifiant technique de votre compte si vous êtes connecté. Ne lui sont transmis ni le contenu de vos formulaires, ni vos baux, biens ou locataires, ni votre adresse email, et l'enregistrement de session est désactivé.
• Signature électronique des états des lieux et des contrats de bail : firma.dev, uniquement lorsque vous demandez expressément la signature d'un document. Les nom, adresse email et données de preuve des signataires (horodatage, adresse IP, journal des actions) lui sont alors transmis pour établir le dossier de preuve. Aucun document n'est transmis à ce prestataire sans action explicite de votre part.
• Aide à la saisie - services publics de l'État : pour vous éviter de recopier des informations déjà publiques, certains champs du formulaire interrogent, depuis votre navigateur, cinq services de l'administration française hébergés en France : l'API Adresse (Base Adresse Nationale) pour les adresses, l'API Recherche d'entreprises (registre SIRENE) pour les sociétés bailleresses ou mandataires, l'API Géorisques (BRGM / ministère chargé de la prévention des risques) pour les périmètres à risques dont dépend l'état des risques du logement, la Géoplateforme de l'IGN (carte des plans d'exposition au bruit des aérodromes) pour la zone de bruit, et labase publique des diagnostics de performance énergétique de l'ADEME pour retrouver le DPE déjà établi pour votre logement. Seuls leur sont envoyés le texte que vous tapez dans le champ concerné et, pour les trois derniers, l'adresse ou la commune du logement - pour l'ADEME, uniquement l'identifiant de l'adresse dans la Base Adresse Nationale, et seulement si vous avez choisi cette adresse dans la liste proposée. L'API Adresse reçoit ainsi, selon les champs que vous remplissez, l'adresse du logement, votre domicile, l'adresse actuelle de votre locataire ou de son garant, et le nouveau domicile du locataire saisi dans l'état des lieux de sortie, toujours sans aucun nom. Jamais le reste de votre bail, ni votre identité, ni celle de votre locataire. Ces requêtes partent de votre poste : votre adresse IP y est visible, comme sur tout site consulté. Aucune donnée ne leur est transmise si les champs concernés restent vides.
• Vérification des mots de passe exposés : lorsque vous choisissez un mot de passe, votre navigateur vérifie qu'il ne figure pas dans une fuite de données connue, auprès du service Pwned Passwords (Have I Been Pwned). Seuls les cinq premiers caractères de l'empreinte chiffrée du mot de passe sont envoyés ; le mot de passe lui-même ne quitte jamais votre poste.

creerbail.fr n'utilise pas d'assistant d'intelligence artificielle en production pour traiter vos documents ou conversations.

7.2 Autorités compétentes

• Forces de l'ordre, tribunaux, organismes publics en cas de demande légale ou obligation légale.

7.3 Absence de vente à tiers

Nous ne vendons jamais vos données personnelles à des tiers commerciaux à des fins marketing ou autres.

8. Durée de conservation

8.1 Données de compte

• Comptes actifs : conservées tant que le compte est utilisé.
• Demande de suppression : traitée dans un délai maximum de trente (30) jours à compter de la demande (via l'interface ou contact@creerbail.fr), puis suppression ou anonymisation, sauf obligations légales.
• Après exécution de la suppression : le compte, ses données et ses fichiers sont effacés. Seules subsistent, anonymisées, les traces des paiements effectués (montant, date, référence de paiement), que la loi comptable impose de conserver ; elles ne permettent plus de vous identifier. Votre fiche client chez Stripe est supprimée ; les factures déjà émises, qui portent le nom et l'adresse de facturation, restent conservées par Stripe pendant la durée légale (voir 8.4).

Comptes inactifs

Un compte inutilisé n'est pas conservé indéfiniment. L'inactivité se mesure à la dernière connexion (à défaut, à la création du compte) :

• 24 mois sans connexion : le compte devient dormant. Il quitte la base active - plus aucun message non essentiel, aucune exploitation commerciale ou statistique - et reste réactivable par une simple connexion.
• 36 mois sans connexion, pour un compte contenant des baux, quittances ou états des lieux : suppression du compte et des données associées. Les 12 mois qui séparent la dormance de la suppression constituent l'archivage intermédiaire, justifié par la prescription triennale des actions nées d'un contrat de location (art. 7-1 de la loi n° 89-462) : effacer plus tôt priverait le bailleur d'une preuve qui lui est encore opposable.
• 12 mois sans connexion, pour un compte ne contenant aucun bail ni document : la suppression intervient plus tôt, aucune conservation ne se justifiant.
• Report : aucune suppression n'intervient tant qu'un abonnement est en cours, ni moins de 36 mois après le terme du dernier bail enregistré.

Vous êtes prévenu par e-mail 60, 30 et 7 jours avant l'échéance, à l'adresse du compte. Chaque message indique la date exacte et rappelle qu'une simple connexion suffit à conserver le compte et à faire repartir le décompte. La suppression programmée est également affichée dans l'application et peut y être annulée d'un clic. Nous vous recommandons d'exporter vos documents (Réglages → Exporter mes données) avant toute échéance.

8.2 Documents générés (baux, EDL, inventaires, quittances)

Données structurées stockées sur nos serveurs :

• Tant que le compte existe : accessibles à l'utilisateur pour consultation, téléchargement et régénération de PDF - y compris après la fin d'un abonnement. Seule la création de nouveaux documents est réservée aux formules payantes : un bail, une quittance ou un état des lieux déjà produit atteste d'un fait passé et reste consultable.
• Après suppression d'un bail : le bail et ses documents restent récupérables pendant 30 jours, puis sont effacés définitivement, fichiers compris. Les quittances ne sont effacées que si vous l'avez demandé : elles attestent un encaissement que vous pouvez devoir prouver.
• Après suppression du compte : effacement de l'ensemble à l'exécution de la demande (voir 8.1). Conservez vos baux signés et vos quittances en les exportant avant toute suppression : ils gardent une valeur de preuve pendant plusieurs années.
• Brouillons commencés sans compte : l'appareil qui a commencé le brouillon peut le rouvrir pendant 30 jours après sa dernière modification ; au-delà, ce lien est rompu. Un brouillon non payé est effacé 90 jours après sa création.

PDFs téléchargés :

• Les documents PDF générés sont téléchargés par l'utilisateur et stockés sur son ordinateur ou tout espace personnel lui appartenant.
• Une fois téléchargés, ces fichiers PDF sont hors de notre contrôle et de notre responsabilité.
• Nous recommandons à l'utilisateur de conserver ces fichiers PDF de manière sécurisée pour ses propres besoins.

8.3 Données techniques et logs

• Journaux techniques de l'hébergeur de la base de données : 24 heures.
• Erreurs applicatives (Sentry, voir 5.3 et 7.1) : 90 jours.
• Cookies de session : supprimés à la fin de la session de navigation.

8.4 Données de facturation (si applicables)

• Factures et justificatifs de paiement : 10 ans (obligation comptable légale).

9. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

9.1 Droit d'accès

Obtenir une copie complète et lisible de vos données personnelles traitées par creerbail.fr.

9.2 Droit de rectification

Corriger ou mettre à jour vos données inexactes ou incomplètes.

9.3 Droit à l'effacement (« droit à l'oubli »)

Demander la suppression de vos données, sous réserve des obligations légales de conservation.

9.4 Droit à la limitation du traitement

Demander la limitation du traitement de vos données (par exemple, geler le traitement en attente de vérification).

9.5 Droit à la portabilité

Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (ex. : export JSON), et les transmettre à un autre prestataire si souhaité.

9.6 Droit d'opposition

Vous opposer au traitement de vos données basé sur intérêt légitime ou finalités de marketing direct (droit à ne pas recevoir de newsletters, par exemple).

9.7 Droit de retirer le consentement

Retirer votre consentement à tout moment pour les traitements basés sur le consentement (cookies non-essentiels, communications marketing, etc.).

9.8 Droit de ne pas être soumis à une décision basée uniquement sur le traitement automatisé

Vous avez le droit de demander l'intervention humaine si une décision vous affectant est prise automatiquement.

Pour exercer ces droits, contactez-nous à : contact@creerbail.fr
Nous répondrons à votre demande dans un délai de 30 jours (ou 60 jours si la demande est complexe).

10. Sécurité des données

creerbail.fr met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement en transit : HTTPS/TLS 1.2+ pour tous les échanges de données.
• Chiffrement au repos : Les données sensibles sont chiffrées par Supabase (chiffrement AES-256). Les mots de passe sont hashés via Supabase Auth (algorithme bcrypt).
• Authentification sécurisée : sessions authentifiées via JWT, déconnexion automatique après 30 minutes d'inactivité dans l'espace connecté, mot de passe de 12 caractères au moins, et nouvelle saisie du code ou du mot de passe avant l'export complet des données ou la demande de suppression du compte.
• Double authentification : facultative, par application d'authentification (code à usage unique, norme TOTP), activable depuis les réglages du compte. Lorsqu'elle est active, la base de données refuse l'accès aux données, aux fonctions et aux fichiers du compte à une session qui n'a pas fourni le code. Les codes de secours sont conservés hachés et ne sont affichés qu'une fois.
• Accès restreint : accès aux données limité via Row-Level Security (RLS) de Supabase. Chaque utilisateur ne peut accéder qu'à ses propres données. Actuellement, seul le responsable du traitement a accès administratif aux données.
• Sauvegarde : copie chiffrée hebdomadaire de la base de données, réalisée par l'éditeur et conservée hors ligne.
• Journaux : les journaux techniques de l'hébergeur de la base sont conservés 24 heures ; les erreurs applicatives, 90 jours (voir 8.3).
• Limitation des abus : nombre de requêtes et d'envois par jour plafonnés, envois d'e-mails vers des adresses étrangères au bail limités, contrôle du contenu des pièces jointes.

Cependant, aucune transmission de données sur Internet ou méthode de stockage n'est 100 % sécurisée. Nous ne pouvons garantir une sécurité absolue, mais nous nous engageons à mettre en place les meilleures pratiques.

11. Cookies et traceurs

creerbail.fr utilise des cookies et traceurs de la manière suivante :

11.1 Cookies essentiels / strictement nécessaires

• Cookies de session : maintenir votre connexion et authentification.
• Cookies de préférences : mémoriser vos choix de consentement ou préférences de langue.
• Cookies de sécurité : protéger contre les attaques (CSRF tokens, etc.).

Ces cookies sont strictement nécessaires au fonctionnement du service et ne nécessitent pas votre consentement explicite.

11.2 Cookies non-essentiels : mesure d'audience

Nous utilisons PostHog pour mesurer l'audience du site - pages consultées, provenance, parcours de navigation - et savoir ce qui mérite d'être amélioré. Ces cookies ne sont déposés qu'après votre acceptation dans le bandeau de consentement : si vous refusez, ou tant que vous n'avez pas répondu, aucun outil de mesure n'est chargé par le site.

• Hébergement : instance européenne de PostHog, les données restant au sein de l'Union européenne.
• Finalité : mesure d'audience et amélioration du service, à l'exclusion de toute publicité, de tout profilage commercial et de toute revente.
• Ce qui n'est pas collecté : aucun enregistrement vidéo de votre navigation, aucun contenu de formulaire ; les textes affichés à l'écran sont masqués et les paramètres d'URL supprimés avant tout envoi.
• Base légale : votre consentement (art. 6.1.a du RGPD), que vous pouvez retirer à tout moment.

11.3 Gestion des cookies

Vous pouvez à tout moment modifier vos préférences de consentement via le lien « Gérer les cookies » situé en pied de page, qui rouvre le bandeau de consentement, ou supprimer les cookies via les paramètres de votre navigateur.

Note : La suppression des cookies essentiels peut affecter le fonctionnement du service.

12. Transferts internationaux

Vos données de service (compte, documents locatifs, fichiers associés) sont hébergées au sein de l'Union européenne, chez Supabase, dans la région Europe de l'Ouest (Paris). La signature électronique des états des lieux et des contrats de bail (firma.dev) est également opérée depuis une infrastructure localisée dans l'Union européenne, de même que la mesure d'audience (PostHog, instance européenne) et le suivi des erreurs techniques (Sentry, instance européenne).

Certains prestataires (notamment Stripe pour le paiement, ou Resend pour l'email) peuvent traiter des données depuis des pays situés hors de l'UE. Dans ce cas, des garanties appropriées sont mises en place par ces prestataires, notamment des clauses contractuelles types adoptées par la Commission européenne et/ou des décisions d'adéquation, conformément au RGPD.

13. Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :
Commission Nationale de l'Informatique et des Libertés
3 Place de Fontenoy, 75007 Paris
www.cnil.fr

14. Modification de la politique

creerbail.fr se réserve le droit de modifier cette politique de confidentialité à tout moment. Les modifications seront publiées sur cette page avec une nouvelle date de mise à jour.

Les modifications substantielles vous seront communiquées par email à votre adresse enregistrée, et vous aurez la possibilité de refuser les nouvelles conditions en supprimant votre compte.

L'utilisation continue du service après modification vaut acceptation de la nouvelle politique.

15. Contact

Pour toute question concernant cette politique de confidentialité, vos données personnelles ou l'exercice de vos droits :

Email : contact@creerbail.fr
Adresse : 46 rue du Vercors, 34070 Montpellier, France

Nous nous engageons à répondre à toute demande dans les meilleurs délais.