Politique de confidentialité
Dernière mise à jour : 21 juillet 2026
La présente politique décrit les traitements de données à caractère personnel mis en œuvre sur la plateforme Domos, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.
1. Qui est responsable des traitements ?
ACH PATRIMOINE-CONSEIL (SAS, RCS Metz 894 116 532, 7 rue Charlemagne, 57000 Metz) est responsable de traitement pour les traitements liés au fonctionnement de la Plateforme : comptes utilisateurs, authentification, sécurité, journal d'audit et communications de service.
Pour les données de gestion locative (locataires, occupants, garants, contacts) saisies ou importées par les organisations clientes, chaque organisation cliente (bailleur ou société de gestion) est responsable de traitement et ACH PATRIMOINE-CONSEIL agit en qualité de sous-traitant (article 28 du RGPD), sur instructions documentées de l'organisation.
Aucun délégué à la protection des données (DPO) n'est désigné à ce jour ; le point de contact pour toute question relative aux données est : alexis.colombi@achpatrimoine-conseil.com.
2. Quelles données, pour quelles finalités, sur quelles bases ?
Comptes et authentification — identité (nom, prénom), e-mail, mot de passe (haché), rôles et habilitations, sessions. Finalité : fournir l'accès au service et sécuriser l'authentification. Base légale : exécution du contrat. Conservation : durée du compte, puis 3 ans après sa clôture.
Gestion locative — identité et état civil des locataires (nom, nom de naissance, date et lieu de naissance), coordonnées, données des baux (loyers, charges, dépôts de garantie), échéanciers et paiements, soldes, aides au logement, garants, litiges et plans d'apurement. Finalité : exécution et suivi des contrats de location, émission des quittances et documents de gestion, recouvrement. Bases légales : exécution du contrat de bail, respect des obligations légales du bailleur et intérêt légitime (recouvrement des créances). Conservation : durée du bail puis 5 ans (prescription de l'article 2224 du Code civil) ; pièces comptables : 10 ans (article L.123-22 du Code de commerce) ; litiges : jusqu'à résolution définitive puis prescription applicable.
Documents — baux signés, états des lieux, diagnostics, attestations d'assurance et d'entretien, justificatifs déposés par les locataires, photos des biens, factures. Finalité : constitution du dossier locatif et patrimonial. Base légale : exécution du contrat et obligations légales. Conservation : identique aux catégories ci-dessus.
Journal d'audit et sécurité — horodatage et traçabilité des actions sensibles, adresses IP de connexion. Finalité : sécurité, traçabilité, preuve. Base légale : intérêt légitime. Conservation : 12 mois pour les journaux de connexion, 3 ans pour le journal d'audit applicatif.
Communications — e-mails transactionnels (création de compte, réinitialisation de mot de passe, notifications de gestion). Base légale : exécution du contrat. Aucune prospection commerciale n'est réalisée.
Lecture automatique de documents (option) — l'extraction automatique de données depuis des documents importés (par exemple tableaux d'amortissement) est réalisée en priorité par des traitements internes auto-hébergés. Un recours à l'API d'Anthropic (États-Unis) n'est possible qu'en dernier ressort, sur consentement exprès et journalisé de l'utilisateur, et peut être désactivé à tout moment. Base légale : consentement.
La Plateforme ne traite pas de données dites « sensibles » (article 9 du RGPD) et ne prend aucune décision entièrement automatisée produisant des effets juridiques sur les personnes.
3. Qui accède aux données ? (destinataires et sous-traitants)
Les données ne sont accessibles qu'aux utilisateurs habilités de l'organisation concernée (cloisonnement strict par organisation, appliqué au niveau de la base de données), aux locataires pour leurs propres données via l'espace locataire, et à l'équipe d'administration de la Plateforme pour les besoins d'exploitation.
Sous-traitants ultérieurs utilisés par la Plateforme :
Vercel Inc. (États-Unis) — hébergement applicatif, fonctions exécutées dans l'UE ; certifié au cadre de protection des données UE–États-Unis (Data Privacy Framework). Neon Inc. (États-Unis) — base de données PostgreSQL, données stockées à Francfort (Allemagne). Brevo (Sendinblue SAS, France) — envoi des e-mails transactionnels. Anthropic PBC (États-Unis) — uniquement pour l'option de lecture de documents décrite ci-dessus, sur consentement, dans le cadre du Data Privacy Framework et des clauses contractuelles types.
Les transferts hors de l'Union européenne sont encadrés par une décision d'adéquation (Data Privacy Framework UE–États-Unis) ou par les clauses contractuelles types de la Commission européenne. Un projet de migration de l'hébergement vers un prestataire établi en Suisse (pays reconnu adéquat) est à l'étude ; la présente politique sera mise à jour le cas échéant.
Les services publics français interrogés par la Plateforme (base adresse nationale, données de valeurs foncières, indices INSEE, registre Pappers) ne reçoivent pas de données personnelles des locataires.
4. Sécurité
Mesures principales : chiffrement TLS de toutes les communications, hachage robuste des mots de passe (bcrypt), verrouillage de compte et limitation des tentatives, cloisonnement des données par organisation appliqué par des règles de sécurité au niveau des lignes de la base de données (row-level security), principe du moindre privilège (refus par défaut), journal d'audit des actions sensibles, sauvegardes régulières, téléchargement des documents soumis à authentification.
5. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité dans les conditions prévues par le RGPD, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment.
Pour exercer vos droits : écrivez à alexis.colombi@achpatrimoine-conseil.com en justifiant de votre identité. Une réponse vous sera apportée dans un délai d'un mois. Si vous êtes locataire d'une organisation cliente, votre demande peut être transmise à votre bailleur, responsable de traitement de vos données locatives.
Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).
6. Cookies
L'usage des cookies est décrit dans la politique de cookies. La Plateforme n'utilise ni cookie publicitaire ni traceur de mesure d'audience.
7. Mise à jour
La présente politique peut être mise à jour pour refléter l'évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page.