Josefine traite des informations qui comptent : des baux, des pièces d’identité, des relevés bancaires, des dossiers de candidature. Cette page explique ce que nous en faisons, en langage clair, et ce que vous pouvez exiger de nous.
Elle s’applique au site josefine.io et à l’application Josefine.
1. Qui est responsable du traitement
Le responsable du traitement est BEE OWNER, société par actions simplifiée au capital de 100 €, qui exploite la marque Josefine, immatriculée au RCS de Nice sous le numéro 930 704 606, dont le siège social est situé 71 boulevard Victor Hugo, 06000 Nice.
- Contact : contact@josefine.io
2. Quelques définitions
- Donnée personnelle : toute information permettant d’identifier une personne, directement ou indirectement.
- Traitement : toute opération portant sur ces données (collecte, consultation, conservation, transmission, suppression).
- Responsable du traitement : celui qui décide pourquoi et comment les données sont traitées. C’est nous.
- Sous-traitant : un prestataire qui traite des données pour notre compte, sur nos instructions.
- Personne concernée : vous.
3. Les données que nous traitons, et pourquoi
Nous ne collectons que ce qui est nécessaire au fonctionnement du service. Aucune donnée n’est collectée « au cas où ».
| Catégorie | Exemples | Finalité | Base légale | Conservation |
|---|---|---|---|---|
| Compte | Nom, prénom, email, téléphone, mot de passe chiffré | Créer et sécuriser votre accès | Exécution du contrat | Durée de l’abonnement + 3 ans |
| Biens et baux | Adresses, loyers, charges, baux, quittances | Fournir le service | Exécution du contrat | Jusqu’à 5 ans après la fin du bail |
| États des lieux | Constats, photos, relevés de compteurs | Établir et comparer les états des lieux | Exécution du contrat | Jusqu’à 5 ans après la fin du bail |
| Données bancaires | Opérations des comptes agrégés | Rapprocher les loyers, tenir la comptabilité | Consentement | Jusqu’au retrait du consentement |
| Candidatures | Pièces d’identité, justificatifs de domicile, de revenus | Vérifier la cohérence d’un dossier | Intérêt légitime du bailleur | 3 mois après la décision |
| Facturation | Montants, historiques de paiement | Facturer et respecter nos obligations | Obligation légale | 10 ans |
| Usage | Pages consultées, actions, journaux techniques | Sécurité, support, amélioration | Intérêt légitime | 12 mois |
| Support | Échanges avec notre équipe | Répondre à vos demandes | Exécution du contrat | 3 ans après le dernier contact |
Nous ne demandons ni ne souhaitons recevoir de données relatives à votre santé, vos opinions politiques, religieuses ou syndicales, votre origine ou votre vie sexuelle. Si de telles informations figurent par inadvertance dans un document transmis, elles ne font l’objet d’aucune exploitation.
4. D’où viennent ces données
Elles proviennent de vous, dans la très grande majorité des cas : ce que vous saisissez, les documents que vous déposez.
Deux exceptions :
- Les candidats locataires transmettent leurs pièces directement, via le lien que vous leur envoyez. Vous en êtes alors responsable de traitement, et nous agissons comme votre sous-traitant.
- Les opérations bancaires nous sont transmises par votre prestataire d’agrégation, après votre autorisation explicite.
5. La synchronisation bancaire
Elle repose sur un prestataire d’agrégation de comptes agréé, dans le cadre de la directive européenne DSP2.
- Vos identifiants bancaires ne transitent jamais par Josefine et ne sont jamais stockés chez nous. Vous les saisissez sur l’interface sécurisée du prestataire.
- L’accès est en lecture seule. Josefine ne peut initier aucun paiement, aucun virement, aucun prélèvement.
- Vous pouvez révoquer cet accès à tout moment, depuis votre espace ou directement auprès de votre banque.
- Le consentement est renouvelé périodiquement, comme la réglementation l’impose.
La connexion bancaire est assurée par Bridge (bridgeapi.io), prestataire agréé par l’Autorité de contrôle prudentiel et de résolution, établi en France. Sa politique de confidentialité est disponible sur son site.
6. L’analyse automatisée des dossiers de candidature
Josefine analyse les pièces d’un dossier pour en vérifier la cohérence : concordance entre montants bruts et nets, cumuls annuels, structure des identifiants, indices d’altération d’un document.
- Aucune décision n’est prise automatiquement. L’analyse produit des signalements ; accepter ou refuser un candidat appartient au bailleur seul. Vous n’êtes donc pas soumis à une décision individuelle automatisée au sens de l’article 22 du RGPD.
- Un candidat peut demander quels éléments ont été signalés sur son dossier, et faire rectifier une information inexacte.
- Les modèles utilisés ne sont pas entraînés sur vos documents à des fins générales.
[À CONFIRMER : décrire l’analyse réellement faite sur les dossiers de candidature et ses éventuels prestataires.] Par ailleurs, la lecture automatique de certains documents que vous importez (baux, offres de prêt, comptes rendus de gestion) fait appel à Google Gemini (Google LLC, États-Unis) ; voir la section 9 pour ce transfert.
7. La signature électronique
Les documents signés via Josefine le sont au moyen d’un service conforme au règlement européen eIDAS. Les données de preuve associées — horodatage, journal de signature, identifiants des signataires — sont conservées pour garantir la valeur juridique du document.
Le téléchargement de vos documents au format PDF reste possible à tout moment, sans passer par la signature électronique.
La signature électronique est assurée par Universign, prestataire de services de confiance qualifié, établi en France.
8. Qui a accès à vos données
Vos données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Y ont accès :
- Les membres de notre équipe qui en ont besoin, dans la limite de leurs fonctions et sous engagement de confidentialité.
- Nos sous-traitants techniques, liés par contrat au titre de l’article 28 du RGPD et agissant uniquement sur nos instructions.
- Les autorités administratives ou judiciaires, lorsque la loi nous y oblige.
Nos sous-traitants :
| Sous-traitant | Rôle | Pays |
|---|---|---|
| Microsoft Ireland Operations Limited (Azure) | Hébergement du site, de l’application et des données | Irlande ; serveurs aux Pays-Bas |
| Bridge | Connexion bancaire en lecture seule | France |
| Universign | Signature électronique | France |
| Stripe Payments Europe Limited | Paiement de l’abonnement et des signatures | Irlande |
| Resend | Envoi des e-mails | États-Unis |
| Google LLC (Gemini) | Lecture automatique de documents importés | États-Unis |
| PostHog | Mesure d’audience | Données hébergées dans l’Union européenne |
Si vous nous écrivez sur WhatsApp (bouton du site et de l’application), votre message passe par WhatsApp Ireland Limited (groupe Meta), selon ses propres conditions et sa propre politique de confidentialité. Nous n’utilisons ces échanges que pour vous répondre et améliorer Josefine.
9. Où vos données sont hébergées
Vos données sont hébergées sur des serveurs situés dans l’Union européenne.
Si l’un de nos sous-traitants traite des données hors de l’Union, le transfert est encadré par une décision d’adéquation de la Commission européenne ou par les clauses contractuelles types qu’elle a adoptées.
Notre hébergeur est Microsoft Azure (Microsoft Ireland Operations Limited), avec des serveurs situés aux Pays-Bas (région « Europe de l’Ouest »). Deux sous-traitants traitent des données aux États-Unis : Resend, pour l’envoi des e-mails, et Google, pour la lecture automatique des documents importés. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le sous-traitant y est certifié, et à défaut par les clauses contractuelles types de la Commission européenne.
10. Sécurité
Nous appliquons les mesures attendues d’un service qui manipule des documents sensibles : chiffrement des données en transit et au repos, cloisonnement des accès selon le principe du moindre privilège, authentification des comptes, journalisation des accès, sauvegardes régulières et testées, revue des dépendances.
Aucun système n’est infaillible. En cas de violation de données susceptible d’engendrer un risque pour vos droits, nous notifierons la CNIL dans les 72 heures et vous informerons sans délai injustifié lorsque le risque est élevé.
11. Vos droits
Vous disposez des droits suivants :
- Accès : obtenir une copie des données que nous détenons sur vous.
- Rectification : corriger une information inexacte ou incomplète.
- Effacement : demander la suppression de vos données, sous réserve de nos obligations légales de conservation.
- Limitation : demander le gel d’un traitement le temps d’une contestation.
- Opposition : vous opposer à un traitement fondé sur notre intérêt légitime.
- Portabilité : recevoir vos données dans un format structuré et lisible par machine.
- Retrait du consentement : à tout moment, lorsque le traitement repose sur celui-ci — notamment pour la synchronisation bancaire.
- Directives post-mortem : organiser le sort de vos données après votre décès.
Pour les exercer, écrivez à contact@josefine.io. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes, auquel cas nous vous en informons. Une preuve d’identité peut être demandée s’il existe un doute raisonnable sur l’identité du demandeur.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — ou depuis son site.
12. Cookies et traceurs
| Type | Finalité | Consentement | Durée |
|---|---|---|---|
| Strictement nécessaires | Session, sécurité, préférences d’affichage | Non requis | Session à 12 mois |
| Mesure d’audience | Statistiques de fréquentation | Requis, sauf configuration exemptée | 13 mois maximum |
| Publicitaires | Aucun à ce jour | — | — |
Vous pouvez configurer votre navigateur pour refuser les cookies ; certaines fonctionnalités du service peuvent alors ne plus fonctionner.
Nous mesurons l’audience avec PostHog, données hébergées dans l’Union européenne. Sur le site josefine.io, la mesure fonctionne sans cookie et sans conserver votre adresse IP. Dans l’application, elle ne dépose de cookie et n’enregistre de session qu’après votre accord, donné ou refusé dans le bandeau affiché à votre première visite ; les champs que vous saisissez sont masqués dans ces enregistrements.
13. Mineurs
Josefine s’adresse à des adultes. Le service n’est pas destiné aux personnes de moins de 18 ans et nous ne collectons pas sciemment leurs données. Si un dossier de candidature comporte des informations relatives à un mineur rattaché au foyer, elles sont traitées comme les autres pièces du dossier et supprimées dans les mêmes délais.
14. Modifications
Cette politique peut évoluer avec le service et la réglementation. Toute modification substantielle vous sera signalée par email ou dans l’application avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.
À compléter avant publication
Restent à renseigner ou à vérifier :
- L’analyse des dossiers de candidature décrite en section 6 : ce qu’elle fait réellement, et ses éventuels prestataires.
- La localisation des données chez Resend (États-Unis ou Union européenne).
Cette page doit être relue par un professionnel du droit avant publication, et vérifiée contre les pratiques réelles du service.