Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via le site web quittly.fr et l'application Quittly est :

2. Rôles et responsabilités RGPD (Article 28 du RGPD)

En sa qualité de sous-traitant, Quittly s'engage formellement à :

• Ne traiter les données des locataires que sur instruction documentée du bailleur et aux seules fins de l'exécution du service (émission de quittances, avis d'échéance, calculs de révision).
• Garantir la stricte confidentialité des données et s'assurer que ses équipes et prestataires y sont astreints.
• Ne jamais revendre, louer ou utiliser les données de vos locataires pour son propre compte ou à des fins de prospection commerciale.
• Mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un haut niveau de sécurité (chiffrement, sauvegardes, contrôles d'accès).
• Supprimer ou restituer l'ensemble des données locatives au terme du contrat ou lors de la clôture du compte du bailleur.

3. Données collectées

Dans le cadre de l'utilisation de Quittly, nous collectons les catégories de données suivantes :

Données d'identification du bailleur

• Nom, prénom, raison sociale le cas échéant
• Adresse email, numéro de téléphone (optionnel)
• Mot de passe (haché de manière irréversible via bcrypt)
• Identifiant de compte Google (en cas d'utilisation optionnelle de la connexion Google OAuth)

Données relatives aux biens immobiliers

• Adresses postales des biens et lots
• Caractéristiques des logements (surface, annexes, meublé/nu)
• Montants des loyers et charges locatives
• Diagnostics de performance énergétique (DPE) et documents techniques

Données relatives aux locataires (traitées pour le compte du bailleur)

• Nom, prénom, coordonnées (email, téléphone)
• Dates de bail, dates d'entrée et de sortie
• Historique des paiements de loyers et états des impayés

Documents locatifs générés et stockés

• Quittances de loyer au format PDF et Factur-X
• Avis d'échéance, décomptes de régularisation des charges
• Contrats de location, états des lieux et quittances de dépôt de garantie

Données techniques, de sécurité et de mesure d'usage

• Adresse IP, type de navigateur et système d'exploitation
• Journaux d'audit et de connexion (audit trail des actions effectuées)
• Cookies techniques strictement nécessaires (session chiffrée, jeton CSRF)
• Télémétrie d'usage et de navigation produit via PostHog (pages consultées, événements d'usage des fonctionnalités, rôle du portail, indicateurs globaux d'onboarding tels que le nombre de biens/locataires/quittances, sans profilage publicitaire ni collecte du contenu des documents ou montants de loyers)

4. Finalités du traitement

Vos données sont collectées pour les finalités suivantes :

• Fourniture du service : gestion du patrimoine locatif, émission de quittances et avis d'échéance, suivi des encaissements.
• Mise à disposition du portail locataire : accès sécurisé et autonome des locataires à leurs quittances et documents.
• Facturation électronique : génération de factures au format hybride Factur-X et transmission via les plateformes partenaires.
• Gestion de compte et support : création de compte, authentification, assistance technique.
• Sécurité et conformité : protection contre les intrusions, prévention des fraudes, conformité fiscale et comptable.
• Amélioration ergonomique et mesure d'usage : analyse du parcours produit et de l'utilisation des fonctionnalités via PostHog (serveurs situés dans l'UE) afin d'optimiser l'expérience utilisateur et la fiabilité de l'application.

5. Base légale du traitement (Article 6 du RGPD)

Les traitements de données reposent sur :

• L'exécution du contrat (art. 6.1.b) : fourniture de la plateforme Quittly et de ses fonctionnalités.
• Le respect d'obligations légales (art. 6.1.c) : conservation des pièces justificatives comptables et fiscales (Code de commerce, CGI).
• L'intérêt légitime (art. 6.1.f) : prévention de la fraude, maintien de la sécurité informatique, mesure d'audience et amélioration ergonomique du service.
• Le consentement (art. 6.1.a) : pour toute communication informative facultative ou inscription à la lettre d'information.

6. Destinataires et sous-traitants techniques

Vos données personnelles sont traitées exclusivement par les personnes habilitées au sein d'EURL ZERO21 et par des prestataires techniques rigoureusement encadrés conformément à l'article 28 du RGPD :

• OVHcloud (OVH SAS — France) : Hébergement des serveurs, des API et des bases de données principales (centre de données de Gravelines, France). Données stockées et traitées exclusivement sur le territoire français.
• Brevo (Sendinblue SAS — France) : Acheminement sécurisé des emails transactionnels (envoi des quittances, notifications de paiement, liens d'activation).
• B2Brouter (B2Brouter Community S.L. — Espagne/UE) : Prestataire de dématérialisation et d'échange de facturation électronique (Factur-X).
• PostHog Inc. (Instance Union Européenne — Allemagne) : Télémétrie d'usage, analyse du parcours produit et mesure d'audience, hébergée au sein de l'Union Européenne (Francfort, Allemagne — eu.i.posthog.com).
• Google LLC (États-Unis) : Fournisseur d'authentification tiers si l'Utilisateur choisit d'utiliser l'option « Se connecter avec Google » (Google OAuth).

Nous ne vendons, ne louons et ne cédons jamais vos données personnelles ni celles de vos locataires à des tiers.

7. Transferts de données hors Union Européenne

Toutes les bases de données et les serveurs applicatifs de Quittly sont hébergés exclusivement en France auprès d'OVHcloud, et les données de télémétrie produit sont hébergées en Union Européenne (Allemagne) auprès de PostHog EU Cloud. Aucun transfert massif de données hors de l'Union Européenne n'est réalisé. Si un sous-traitant technique secondaire est amené à intervenir hors UE, ce transfert est rigoureusement encadré par des Clauses Contractuelles Types (CCT) adoptées par la Commission Européenne.

8. Durée de conservation des données

Vos données sont conservées selon les durées suivantes :

• Données du compte bailleur : pendant toute la durée active de l'abonnement ou de l'utilisation du service, puis archivées pendant 3 ans après la dernière activité.
• Données des biens, baux et locataires : pendant la durée d'utilisation du service par le bailleur. En cas de suppression du compte, les données sont purgées sous 30 jours (sauvegardes détruites sous 90 jours maximum).
• Quittances générées et pièces comptables : 10 ans conformément à l'article L. 123-22 du Code de commerce.
• Journaux de sécurité et d'audit : 1 an au maximum.

9. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès et de communication : obtenir la confirmation du traitement et une copie lisible de vos données.
• Droit de rectification : faire corriger toute donnée inexacte ou obsolète.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales d'archivage comptable.
• Droit à la limitation du traitement : demander le gel temporaire du traitement dans les conditions prévues par le RGPD.
• Droit à la portabilité : récupérer vos données dans un format standard, structuré et lisible par machine.
• Droit d'opposition : vous opposer à tout moment à certains traitements fondés sur l'intérêt légitime.
• Directives post-mortem : définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.

Pour exercer ces droits, vous pouvez contacter notre Délégué à la Protection des Données (DPO) : dpo [at] quittly.fr.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous avez la faculté d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr (3 Place de Fontenoy, 75007 Paris).

10. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données personnelles :

• Chiffrement des données en transit (HTTPS/TLS)
• Chiffrement des données au repos
• Authentification sécurisée avec hachage bcrypt et protection contre les attaques par force brute
• Protection CSRF sur tous les formulaires
• Journalisation des accès et des actions (audit trail)
• Sauvegardes chiffrées régulières
• Mises à jour de sécurité régulières
• Conformité OWASP Top 10

11. Cookies et traceurs

Le site quittly.fr et l'application Quittly n'utilisent aucun cookie publicitaire, commercial ou de pistage tiers.

Seuls sont utilisés :

• Cookie de session : strictement indispensable au maintien de votre connexion sécurisée et de vos préférences linguistiques.
• Cookie CSRF : protection technique indispensable contre les attaques par falsification de requête intersites (cross-site request forgery).
• Mesure d'audience et télémétrie PostHog : stockage technique (localStorage et cookie first-party) opéré via PostHog (serveurs situés en Allemagne — eu.i.posthog.com), configuré en mode identified_only sans profilage publicitaire ni recoupement commercial avec des tiers, pour le compte exclusif d'EURL ZERO21.

Ces traceurs techniques et de mesure d'audience interne répondent aux critères d'exemption de consentement préalable conformément à l'article 82 de la loi Informatique et Libertés et aux recommandations de la CNIL.

12. Modifications

Cette politique de confidentialité peut être mise à jour pour refléter les évolutions légales ou les changements dans nos pratiques. En cas de modification substantielle, nous vous en informerons par email ou via l'application.

Dernière mise à jour : Octobre 2026

13. Contact

Pour toute question relative à cette politique de confidentialité ou à la protection de vos données personnelles :