Josefine traite des informations qui comptent : des baux, des pièces d’identité, des relevés bancaires, des dossiers de candidature. Cette page explique ce que nous en faisons, en langage clair, et ce que vous pouvez exiger de nous.
Elle s’applique au site josefine.io et à l’application Josefine.
1. Qui est responsable du traitement
Le responsable du traitement est [À COMPLÉTER : dénomination sociale], [forme juridique] au capital de [montant], immatriculée au RCS de [ville] sous le numéro [SIREN], dont le siège social est situé [adresse complète].
- Contact : contact@josefine.io
- Délégué à la protection des données : [À COMPLÉTER : coordonnées du DPO, ou supprimer cette ligne si aucun DPO n’a été désigné — sa désignation n’est pas obligatoire dans tous les cas.]
2. Quelques définitions
- Donnée personnelle : toute information permettant d’identifier une personne, directement ou indirectement.
- Traitement : toute opération portant sur ces données (collecte, consultation, conservation, transmission, suppression).
- Responsable du traitement : celui qui décide pourquoi et comment les données sont traitées. C’est nous.
- Sous-traitant : un prestataire qui traite des données pour notre compte, sur nos instructions.
- Personne concernée : vous.
3. Les données que nous traitons, et pourquoi
Nous ne collectons que ce qui est nécessaire au fonctionnement du service. Aucune donnée n’est collectée « au cas où ».
| Catégorie | Exemples | Finalité | Base légale | Conservation |
|---|---|---|---|---|
| Compte | Nom, prénom, email, téléphone, mot de passe chiffré | Créer et sécuriser votre accès | Exécution du contrat | Durée de l’abonnement + 3 ans |
| Biens et baux | Adresses, loyers, charges, baux, quittances | Fournir le service | Exécution du contrat | Jusqu’à 5 ans après la fin du bail |
| États des lieux | Constats, photos, relevés de compteurs | Établir et comparer les états des lieux | Exécution du contrat | Jusqu’à 5 ans après la fin du bail |
| Données bancaires | Opérations des comptes agrégés | Rapprocher les loyers, tenir la comptabilité | Consentement | Jusqu’au retrait du consentement |
| Candidatures | Pièces d’identité, justificatifs de domicile, de revenus | Vérifier la cohérence d’un dossier | Intérêt légitime du bailleur | 3 mois après la décision |
| Facturation | Montants, historiques de paiement | Facturer et respecter nos obligations | Obligation légale | 10 ans |
| Usage | Pages consultées, actions, journaux techniques | Sécurité, support, amélioration | Intérêt légitime | 12 mois |
| Support | Échanges avec notre équipe | Répondre à vos demandes | Exécution du contrat | 3 ans après le dernier contact |
Nous ne demandons ni ne souhaitons recevoir de données relatives à votre santé, vos opinions politiques, religieuses ou syndicales, votre origine ou votre vie sexuelle. Si de telles informations figurent par inadvertance dans un document transmis, elles ne font l’objet d’aucune exploitation.
4. D’où viennent ces données
Elles proviennent de vous, dans la très grande majorité des cas : ce que vous saisissez, les documents que vous déposez.
Deux exceptions :
- Les candidats locataires transmettent leurs pièces directement, via le lien que vous leur envoyez. Vous en êtes alors responsable de traitement, et nous agissons comme votre sous-traitant.
- Les opérations bancaires nous sont transmises par votre prestataire d’agrégation, après votre autorisation explicite.
5. La synchronisation bancaire
Elle repose sur un prestataire d’agrégation de comptes agréé, dans le cadre de la directive européenne DSP2.
- Vos identifiants bancaires ne transitent jamais par Josefine et ne sont jamais stockés chez nous. Vous les saisissez sur l’interface sécurisée du prestataire.
- L’accès est en lecture seule. Josefine ne peut initier aucun paiement, aucun virement, aucun prélèvement.
- Vous pouvez révoquer cet accès à tout moment, depuis votre espace ou directement auprès de votre banque.
- Le consentement est renouvelé périodiquement, comme la réglementation l’impose.
[À COMPLÉTER : nom du prestataire d’agrégation et lien vers sa politique de confidentialité.]
6. L’analyse automatisée des dossiers de candidature
Josefine analyse les pièces d’un dossier pour en vérifier la cohérence : concordance entre montants bruts et nets, cumuls annuels, structure des identifiants, indices d’altération d’un document.
- Aucune décision n’est prise automatiquement. L’analyse produit des signalements ; accepter ou refuser un candidat appartient au bailleur seul. Vous n’êtes donc pas soumis à une décision individuelle automatisée au sens de l’article 22 du RGPD.
- Un candidat peut demander quels éléments ont été signalés sur son dossier, et faire rectifier une information inexacte.
- Les modèles utilisés ne sont pas entraînés sur vos documents à des fins générales.
[À COMPLÉTER : indiquer si l’analyse fait appel à un prestataire tiers de traitement documentaire ou d’IA, et lequel.]
7. La signature électronique
Les documents signés via Josefine le sont au moyen d’un service conforme au règlement européen eIDAS. Les données de preuve associées — horodatage, journal de signature, identifiants des signataires — sont conservées pour garantir la valeur juridique du document.
Le téléchargement de vos documents au format PDF reste possible à tout moment, sans passer par la signature électronique.
[À COMPLÉTER : nom du prestataire de signature électronique.]
8. Qui a accès à vos données
Vos données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Y ont accès :
- Les membres de notre équipe qui en ont besoin, dans la limite de leurs fonctions et sous engagement de confidentialité.
- Nos sous-traitants techniques, liés par contrat au titre de l’article 28 du RGPD et agissant uniquement sur nos instructions.
- Les autorités administratives ou judiciaires, lorsque la loi nous y oblige.
[À COMPLÉTER : liste des sous-traitants — hébergement, agrégation bancaire, signature électronique, emailing, support, mesure d’audience — avec leur rôle et leur pays d’établissement. Le RGPD attend cette transparence.]
9. Où vos données sont hébergées
Vos données sont hébergées sur des serveurs situés dans l’Union européenne.
Si l’un de nos sous-traitants traite des données hors de l’Union, le transfert est encadré par une décision d’adéquation de la Commission européenne ou par les clauses contractuelles types qu’elle a adoptées.
[À COMPLÉTER : nom de l’hébergeur, pays, et le cas échéant les transferts hors UE et leur mécanisme.]
10. Sécurité
Nous appliquons les mesures attendues d’un service qui manipule des documents sensibles : chiffrement des données en transit et au repos, cloisonnement des accès selon le principe du moindre privilège, authentification des comptes, journalisation des accès, sauvegardes régulières et testées, revue des dépendances.
Aucun système n’est infaillible. En cas de violation de données susceptible d’engendrer un risque pour vos droits, nous notifierons la CNIL dans les 72 heures et vous informerons sans délai injustifié lorsque le risque est élevé.
11. Vos droits
Vous disposez des droits suivants :
- Accès : obtenir une copie des données que nous détenons sur vous.
- Rectification : corriger une information inexacte ou incomplète.
- Effacement : demander la suppression de vos données, sous réserve de nos obligations légales de conservation.
- Limitation : demander le gel d’un traitement le temps d’une contestation.
- Opposition : vous opposer à un traitement fondé sur notre intérêt légitime.
- Portabilité : recevoir vos données dans un format structuré et lisible par machine.
- Retrait du consentement : à tout moment, lorsque le traitement repose sur celui-ci — notamment pour la synchronisation bancaire.
- Directives post-mortem : organiser le sort de vos données après votre décès.
Pour les exercer, écrivez à contact@josefine.io. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes, auquel cas nous vous en informons. Une preuve d’identité peut être demandée s’il existe un doute raisonnable sur l’identité du demandeur.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — ou depuis son site.
12. Cookies et traceurs
| Type | Finalité | Consentement | Durée |
|---|---|---|---|
| Strictement nécessaires | Session, sécurité, préférences d’affichage | Non requis | Session à 12 mois |
| Mesure d’audience | Statistiques de fréquentation | Requis, sauf configuration exemptée | 13 mois maximum |
| Publicitaires | Aucun à ce jour | — | — |
Vous pouvez configurer votre navigateur pour refuser les cookies ; certaines fonctionnalités du service peuvent alors ne plus fonctionner.
[À COMPLÉTER : si un outil de mesure d’audience est installé, le nommer et, s’il n’est pas exempté par la CNIL, mettre en place un bandeau de consentement.]
13. Mineurs
Josefine s’adresse à des adultes. Le service n’est pas destiné aux personnes de moins de 18 ans et nous ne collectons pas sciemment leurs données. Si un dossier de candidature comporte des informations relatives à un mineur rattaché au foyer, elles sont traitées comme les autres pièces du dossier et supprimées dans les mêmes délais.
14. Modifications
Cette politique peut évoluer avec le service et la réglementation. Toute modification substantielle vous sera signalée par email ou dans l’application avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.
À compléter avant publication
Les mentions marquées [À COMPLÉTER] ci-dessus sont celles que seule Josefine peut renseigner. Elles sont attendues par le RGPD :
- Identité complète du responsable du traitement (dénomination, forme, capital, RCS, SIREN, siège).
- Coordonnées du DPO, ou suppression de la mention.
- Prestataire d’agrégation bancaire.
- Prestataire de signature électronique.
- Éventuel prestataire d’analyse documentaire ou d’IA.
- Liste des sous-traitants, avec rôle et pays.
- Hébergeur et localisation, plus tout transfert hors UE.
- Outil de mesure d’audience, le cas échéant.
Cette page est une base rédigée à partir des exigences du RGPD et du fonctionnement décrit du service. Elle doit être relue par un professionnel du droit avant publication, et vérifiée contre vos pratiques réelles : une politique de confidentialité qui décrit autre chose que ce que vous faites vous expose davantage que son absence.