Politique de confidentialité

Ce que nous recueillons, et pourquoi

Quand vous créez un compte : votre adresse électronique, votre nom si vous le donnez, et un mot de passe que nous ne stockons jamais en clair. Base légale : l’exécution du service que vous demandez.

Quand vous écrivez à un propriétaire : votre nom, votre adresse électronique, votre téléphone si vous le donnez, vos dates souhaitées et votre message. Ces informations sont transmises au propriétaire concerné, car c’est l’objet même de votre démarche.

Quand vous nous écrivez depuis « Nous écrire » : votre nom, votre adresse électronique, votre téléphone si vous le donnez, la qualité que vous indiquez — voyageur, propriétaire ou presse — et votre message. Ce message n’est transmis à personne d’autre : il arrive dans notre boîte aux lettres, et nulle part ailleurs. Nous ne gardons ni votre adresse IP ni aucune empreinte de votre navigateur ; le freinage anti-pourriel compte sans rien conserver. Base légale : notre intérêt légitime à répondre à qui nous écrit.

Quand vous publiez une adresse : les informations du logement, les photographies, et vos coordonnées de propriétaire. L’adresse exacte n’est jamais publiée : la carte publique affiche une position volontairement décalée d’environ cinq cents mètres.

Quand vous mettez une adresse de côté : le lien entre votre compte et cette adresse. Le propriétaire voit le nombre de personnes qui ont gardé son adresse, jamais leur identité.

Combien de temps, en un coup d’œil

Le détail de chaque durée est donné plus bas. Ce tableau est là pour qu’on n’ait pas à lire la page entière pour répondre à la seule question qui compte vraiment.

L’origine de votre inscription

Trois informations sont écrites une seule fois, au moment où vous créez votre compte : la source — le seul nom d’hôte du site qui vous a amené, par exemple google.com —, le support et le nom de la campagne. Elles servent à une chose et une seule : savoir quelle campagne amène des propriétaires, et arrêter celles qui n’en amènent pas. Base légale : notre intérêt légitime à mesurer ce que nous dépensons.

Nous n’enregistrons jamais l’adresse complète de la page d’où vous venez. Une adresse de résultat de recherche porte la requête que vous avez tapée : elle est une donnée personnelle, souvent bavarde, et elle ne nous regarde pas. Le nom d’hôte dit ce que nous avons besoin de savoir ; l’adresse entière dit ce que nous n’avons pas le droit de garder.

Ces trois champs ne sont jamais réécrits ensuite, pas même par vous : le droit de les modifier n’est accordé à aucun compte. Ils vivent aussi longtemps que le compte, et disparaissent avec lui.

Les étiquettes sont nettoyées avant d’être écrites — minuscules, lettres, chiffres, points, tirets et soulignés seulement, soixante-quatre caractères au plus. Elles viennent d’une adresse web, donc de qui veut : sans ce nettoyage, un lien fabriqué écrirait ce qu’il veut dans notre base.

Les témoins de connexion

Un seul témoin sert à cette mesure. Il est de première partie, ne porte aucun identifiant, n’est pas lisible par le code de la page, et vit trente jours. Il ne transporte que les trois étiquettes ci-dessus, déjà nettoyées, et n’est envoyé à personne. Ce n’est pas un traceur publicitaire, et il ne doit jamais le devenir.

Trente jours, parce qu’au-delà, rattacher une inscription à un clic est une fiction.

Le témoin garde le premier contact et non le dernier : il ne s’écrit que s’il n’existe pas encore. Quelqu’un qui découvre le site par une publicité, revient trois jours plus tard en tapant notre nom dans un moteur et s’inscrit alors s’est inscrit grâce à la publicité — l’attribuer au moteur rendrait toute campagne invisible.

Aucun mouchard tiers n’est chargé sur ce site. La vidéo qu’un propriétaire peut ajouter à sa fiche ne charge rien chez YouTube ni chez Vimeo tant que vous n’avez pas cliqué sur le bouton de lecture : l’image d’attente est copiée chez nous.

Ce que le propriétaire voit de vous

Nous comptons, par adresse et par jour, quatre choses : les ouvertures de la fiche, les demandes reçues, les ouvertures du numéro de téléphone et les mises de côté. Le propriétaire en voit les totaux, jamais une identité, jamais une liste de personnes.

Quand vous lui écrivez, en revanche, il reçoit ce que vous lui avez donné : votre nom, votre adresse électronique, votre téléphone si vous l’avez saisi, vos dates et votre message. C’est l’objet même de votre démarche, et le site ne s’interpose pas.

Le repère de comparaison affiché au propriétaire — la médiane de sa destination — ne s’affiche qu’à partir de cinq adresses. En dessous, une médiane et son propre chiffre donneraient celui de son voisin par soustraction.

Le téléphone publié sur une fiche

Le numéro affiché sur une fiche d’adresse n’est pas celui du compte. C’est un second champ, saisi par le propriétaire lui-même à l’étape « Qui accueille ? », comme le numéro qu’il accepte de donner aux voyageurs. Le remplir est le consentement ; un champ laissé vide veut dire qu’il n’y a pas de canal téléphonique, et c’est très bien.

Il n’est rendu que pour une adresse en ligne, donc relue. Le nombre d’ouvertures est plafonné à trente par heure et par adresse IP : au-delà, ce n’est plus un lecteur, c’est une collecte, et le lien ramène à la fiche.

Le numéro n’est pas écrit dans la page servie : il arrive après l’affichage. Le lecteur le voit, l’aspirateur ne le trouve pas.

Les courriels que nous vous envoyons

Deux familles de courriels partent de ce site. Ceux de service accompagnent ce que vous avez engagé : une demande transmise, une réponse, un paiement confirmé, une décision sur une adresse, une échéance d’abonnement. Ils partent tant que ce service court. Base légale : l’exécution du service que vous avez demandé.

Ceux de la vie du compte — le bilan du mois de vos adresses, le rappel d’une fiche incomplète — ne sont écrits qu’aux propriétaires qui ont une adresse en ligne, et se coupent en un clic, sans connexion, par le lien placé en pied de chacun d’eux ou depuis votre espace propriétaire, où ils se rétablissent aussi. Base légale : notre intérêt légitime à vous rendre compte de ce que produit votre adresse.

Pour qu’un courriel ne parte jamais deux fois, nous tenons un journal des envois, rattaché à votre compte et, s’il y a lieu, à l’adresse concernée : le modèle employé, l’adresse du destinataire, la date et l’issue de l’envoi. Il ne recopie jamais le contenu du courriel. Il est conservé douze mois.

Le lien de désabonnement porte une signature, jamais votre adresse électronique. Aucun pixel de suivi, aucun lien réécrit : nous ne savons pas si vous ouvrez nos courriels, et nous ne cherchons pas à le savoir.

Ce que nous ne faisons pas

Nous ne vendons ni ne louons vos données. Nous ne les cédons à aucun courtier en données.

Nous n’affichons pas de publicité et nous ne déposons aucun traceur publicitaire.

Nous ne construisons pas de profil comportemental et nous ne prenons aucune décision automatisée produisant des effets juridiques à votre égard.

Combien de temps

Ces durées sont celles que nous appliquons, et nous les tenons sur demande comme d’office : `pnpm donnees:echues` relève ce qui les a dépassées, et chaque relevé est traité à la main. Nous ne prétendons pas qu’une suppression automatique s’exécute toutes les nuits — elle n’existe pas, et l’annoncer serait une promesse que le code ne tient pas.

Compte : tant qu’il est actif. Un compte sans connexion depuis douze mois est relevé et anonymisé. Vous pouvez demander l’effacement à tout moment, sans attendre ce délai.

Demandes de mise en relation : trois ans à compter du dernier échange, durée usuelle en matière de prospection et de preuve.

Messages envoyés depuis « Nous écrire » : douze mois. Ce n’est ni une correspondance commerciale ni une preuve : c’est un courrier auquel on répond, et douze mois suffisent à retrouver de quoi il retournait si la conversation reprend.

Journal des courriels envoyés : douze mois. Il ne sert qu’à empêcher un double envoi et à retrouver un envoi en échec ; au-delà d’un an, il ne protège plus personne d’un doublon.

Annonces retirées : douze mois, pour permettre une remise en ligne, puis archivage définitif.

Compteurs d’audience : tant que l’adresse existe. Ils ne portent aucune identité — seulement des nombres par jour.

Journal d’accès et journal de modération : trois ans, parce qu’une décision prise sur un contenu doit pouvoir être justifiée, et parce qu’un accès à des données personnelles doit pouvoir être retracé.

Factures : dix ans, comme le code de commerce l’impose.

Qui d’autre y a accès

Supabase, pour l’hébergement de la base de données et l’authentification, dans l’Union européenne.

Netlify, pour la diffusion du site.

Resend, pour l’envoi des courriels — confirmation d’inscription, transmission d’une demande et de sa réponse, confirmation de paiement, relances d’échéance, bilan du mois de vos adresses.

À COMPLÉTER : autres sous-traitants éventuels, par exemple un prestataire de paiement une fois les abonnements ouverts.

Aucun de ces prestataires n’est autorisé à utiliser vos données pour son propre compte.

Ce qu’un effacement efface, et ce qu’il ne peut pas effacer

Quand vous demandez l’effacement de votre compte, nous anonymisons plutôt que de supprimer, et il faut dire pourquoi en clair.

Trois choses survivent. Les factures, que le code de commerce impose de garder dix ans. Le journal d’accès, dont chaque ligne désigne son auteur — un journal qu’une suppression peut trouer ne prouve plus rien. Et le texte des avis que vous avez publiés : c’est une opinion rendue publique, et nous en retirons la signature, pas le propos.

Tout le reste — nom, adresse électronique, téléphone, messages, coordonnées — est remplacé par des valeurs sans lien avec vous, et vos annonces sont archivées. L’opération est irréversible et ne peut pas être jouée deux fois.

Un abonnement encore actif chez notre prestataire de paiement bloque l’opération : nous ne pouvons pas prélever quelqu’un dont nous venons d’effacer le nom, sans plus pouvoir le prévenir. La résiliation se fait d’abord.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Vous pouvez les exercer en écrivant à À COMPLÉTER : adresse électronique dédiée aux demandes RGPD.

Nous répondons dans un délai d’un mois. Si votre demande nous paraît insuffisamment claire pour être exécutée sans risque d’erreur, nous vous le disons plutôt que de deviner.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, 75007 Paris, ou sur cnil.fr.

À COMPLÉTER : coordonnées du délégué à la protection des données, si vous en désignez un — ce n’est pas obligatoire pour une structure de cette taille.

Sécurité

Les accès aux données sont contrôlés par la base elle-même, au moyen de politiques qui s’appliquent à chaque requête, et non par le seul code de l’application.

Les échanges sont chiffrés en transit. Les mots de passe sont stockés sous forme d’empreintes, jamais en clair.

En cas de violation de données présentant un risque pour vos droits, nous vous en informons ainsi que la CNIL, dans les délais prévus par le règlement.