Politique de confidentialité

1. Qui est responsable

StoffWare, Belgique, TVA BE 1040.174.154, contact@stoffrent.com, est responsable du traitement des données de ses clients et des visiteurs du site.

Pour les données qu'un bailleur enregistre au sujet de ses locataires et d'autres tiers, le bailleur est responsable du traitement et nous agissons comme sous-traitant, sur ses instructions. Voyez notre contrat de sous-traitance, et le point 10 ci-dessous si vous êtes locataire.

2. Ce que nous traitons

• Compte : nom et prénom, adresse électronique, mot de passe (conservé uniquement sous forme d'empreinte), langue préférée, réglages de l'authentification à deux facteurs et dates de vos sessions.
• Contenu du parc : vos biens, locataires, bailleurs, baux, indexations, contacts, rappels, documents et photos — ce que vous choisissez d’y mettre.
• Facturation : la formule, son statut et ses périodes, les factures et les identifiants transmis par Stripe. Les numéros de carte sont traités par Stripe et ne nous parviennent jamais.
• Essai gratuit : pour n'accorder qu'un essai gratuit par carte de paiement, une empreinte à sens unique de la référence que Stripe attribue à chaque carte (son « fingerprint », pas le numéro de carte), avec la date. Elle n'est pas liée à votre compte.
• Support : les messages que vous nous envoyez, avec la capture d'écran et le contexte de page que vous choisissez d'y joindre.
• Technique : adresse IP, type de navigateur, horodatage des requêtes et des erreurs, conservés dans les journaux du serveur pour la sécurité et le débogage.
• Mesure d'audience : si vous l'acceptez dans la bannière, Google Analytics enregistre les pages de notre site public que vous consultez, avec un identifiant de cookie, le type de navigateur et d'appareil, une localisation approximative déduite de votre adresse IP et le site qui vous a envoyé. Rien n'est mesuré dans l'application.
• Attribution publicitaire : lorsque vous arrivez sur notre site par une annonce ou un lien balisé, la campagne qu'il indique (source, support, campagne, annonce, mot-clé), l'identifiant de clic de la régie publicitaire s'il y en a un, le site d'où vous venez et la première page vue. Votre navigateur les conserve 90 jours au plus ; si vous créez un compte, ils sont enregistrés avec lui. Une visite issue d'une campagne est aussi comptée de façon anonyme, sans identifiant.

3. Pourquoi, et sur quelle base légale

• Fournir le service auquel vous avez souscrit, y compris les courriels qu'il suppose (confirmation, réinitialisation du mot de passe, invitations, avis relatifs à l'essai ou à l'abonnement) — exécution du contrat.
• Encaisser les paiements, établir les factures et tenir notre comptabilité — obligation légale et exécution du contrat.
• Assurer la sécurité du service, prévenir les abus et corriger les défauts — notre intérêt légitime à un service qui fonctionne et dont on n'abuse pas.
• Savoir quelles pages de notre site public sont consultées — votre consentement, donné dans la bannière et retirable à tout moment via le lien « Cookies » en bas de chaque page publique.
• Savoir lesquelles de nos publicités amènent des clients et ce qu'elles coûtent — notre intérêt légitime à dépenser notre budget marketing avec discernement. Seule notre équipe y a accès ; rien n'est transmis aux régies publicitaires.
• Vous envoyer des communications promotionnelles — uniquement si vous l'avez demandé, et vous pouvez y mettre fin à tout moment.

4. Qui d’autre les traite

Nous recourons à un petit nombre de prestataires, chacun lié par un contrat écrit et limité à ce que sa mission exige :

• Microsoft (Azure) — hébergement de l'application, de la base de données et des fichiers, dans des centres de données européens.
• Vercel — distribution de l'interface web ; traite des données techniques de connexion telles que les adresses IP.
• Stripe Payments Europe, Ltd. (Irlande) — abonnements, paiements et factures. Stripe est également responsable de traitement pour ses propres finalités de prévention de la fraude et ses obligations légales.
• Postmark (ActiveCampaign, LLC, États-Unis) — envoi des courriels du service.
• Plausible Analytics — mesure d'audience sans cookie sur les pages publiques, lorsqu'elle est activée.
• Google Ireland Limited (Google Analytics) — mesure d'audience sur les pages publiques, uniquement avec votre consentement. Les fonctions publicitaires et les signaux Google sont désactivés.

Nous tenons cette liste à jour. Les clients qui souhaitent être prévenus avant un changement de prestataire liront la clause « sous-traitants ultérieurs » du contrat de sous-traitance.

5. Transferts hors de l’Union européenne

L'application, sa base de données et vos fichiers sont hébergés dans l'Union européenne.

Trois prestataires sont établis aux États-Unis ou appartiennent à un groupe qui l'est : Postmark, qui envoie nos courriels, Vercel, qui sert l'interface web, et Google, dont les données de mesure d'audience peuvent être traitées aux États-Unis. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, sur le cadre de protection des données UE–États-Unis.

6. Durées de conservation

• Contenu du parc : tant que le compte existe. Après la clôture d'un compte, il est supprimé dans les 90 jours.
• Factures et pièces comptables : pendant la durée imposée par la loi belge, actuellement dix ans.
• Échanges avec le support : jusqu’à deux ans après la clôture de la demande.
• Journaux du serveur : une courte période, pas au-delà de ce que la sécurité et le débogage exigent.
• Mesure d'audience : les cookies de Google Analytics durent 13 mois au plus, et les données dans Google Analytics sont conservées 14 mois. Votre choix dans la bannière est retenu 13 mois, après quoi nous vous le redemandons.
• Attribution publicitaire : dans votre navigateur, 90 jours au plus. Avec un compte, aussi longtemps que le compte existe ; l'identifiant de clic de la régie est effacé après 90 jours et, lorsque le compte est supprimé, seul le nom de la campagne subsiste, sans plus être lié à personne.
• L'empreinte d'une carte qui a démarré un essai gratuit : sans limite de durée, même après la clôture du compte, puisqu'elle sert uniquement à empêcher un second essai avec cette carte. Elle n'identifie ni vous ni la carte.
• Sauvegardes : renouvelées en continu ; un élément supprimé disparaît des sauvegardes en quelques semaines au plus.

7. Vos droits

Vous pouvez nous demander une copie de vos données, leur rectification, leur effacement, la limitation d'un traitement, vous y opposer, et les recevoir dans un format portable. L'export disponible dans l'application vous fournit déjà cette copie, immédiatement et sans demande.

Écrivez à contact@stoffrent.com. Nous répondons dans le mois. Si notre réponse ne vous satisfait pas, vous pouvez saisir l'Autorité de protection des données, Rue de la Presse 35, 1000 Bruxelles (autoriteprotectiondonnees.be), ou l'autorité du pays où vous résidez.

8. Cookies

Nous n'utilisons que ce sans quoi le service ne fonctionne pas : un cookie qui vous maintient connecté, et le stockage local pour votre langue, le thème clair ou sombre et votre choix concernant la mesure d'audience. Aucun cookie publicitaire.

Une exception : si vous arrivez par une annonce ou un lien balisé, le stockage local conserve le nom de cette campagne (et l'identifiant de clic de la régie) pendant 90 jours au plus, afin qu'un compte créé plus tard puisse lui être attribué. Il ne contient aucun identifiant vous concernant et n'est lu que par nous. Si votre navigateur envoie le signal Global Privacy Control, rien n'est conservé ; vous pouvez aussi l'effacer avec les données de site de votre navigateur.

Sur les pages publiques, et seulement si vous l'acceptez dans la bannière, Google Analytics dépose ses cookies (_ga et _ga_…) pour mesurer l'audience. Refuser est aussi simple qu'accepter et ne change rien au site. Vous pouvez changer d'avis à tout moment via le lien « Cookies » en bas de chaque page publique ; le retrait supprime ces cookies. Si votre navigateur envoie le signal Global Privacy Control, nous le traitons comme un refus et ne vous demandons rien.

9. Sécurité

Le trafic est chiffré. Les mots de passe sont hachés et jamais conservés en clair. L'authentification à deux facteurs est disponible et peut être rendue obligatoire pour un parc. Chaque parc est isolé dans la base de données, isolation appliquée par le code et vérifiée par des tests automatisés à chaque modification. Les secrets, comme les clés de double authentification, sont chiffrés avec des clés conservées séparément de la base. Des sauvegardes sont réalisées régulièrement.

Aucun système n'est parfait. Si une violation touche vos données personnelles et présente un risque pour vous, nous vous en informerons, ainsi que l'autorité de contrôle, comme la loi l'exige.

10. Si vous êtes locataire

Votre bailleur utilise peut-être StoffRent pour gérer ses biens. Dans ce cas, c'est lui qui décide de ce qui est enregistré à votre sujet et pourquoi : il est votre interlocuteur pour l'accès, la rectification ou l'effacement.

Si vous vous adressez à nous, nous transmettrons votre demande au bailleur concerné et l'aiderons à y répondre. Nous ne pouvons pas vous donner nous-mêmes accès à son parc.

11. Modifications et contact

Lorsque cette politique change, nous mettons à jour la date en haut de la page et nous prévenons les clients par courriel si le changement les concerne.

Toute question sur cette politique : contact@stoffrent.com.