Politique de confidentialité
Version 1.0 — mise à jour le 15 octobre 2026
1. Qui traite vos données
Alvéo - Saas Aggregator (« Alvéo »), 59 rue de Ponthieu, 75008 Paris, éditeur de Zen'Check, est responsable du traitement des données des titulaires de compte (loueurs, prestataires, vacanciers inscrits) et des visiteurs du site. Pour toute question : contact@saas-aggregator.eu. Toute information sur l'identité de l'entreprise éditrice peut être demandée à reclamation@saas-aggregator.eu.
Les coordonnées d'un vacancier saisies par un loueur ou un prestataire pour préparer un séjour sont traitées pour le compte de ce dernier, qui en est responsable ; Alvéo agit alors en qualité de sous-traitant (voir l'article 12 des conditions générales). Cette politique décrit aussi ces traitements, pour l'information des vacanciers.
2. Données traitées
- Compte : adresse e-mail, prénom, nom, téléphone, et pour les professionnels société, SIRET et adresse ; langue choisie.
- Connexion et sécurité : codes à usage unique (conservés sous forme hachée quelques minutes), secret de l'application d'authentification (chiffré), clé publique des clés d'accès (passkeys), adresse IP et date des connexions et des opérations sensibles.
- États des lieux : description du bien, états, quantités, commentaires, photos prises sur place, journal des actions avec leurs heures, signatures (méthode d'identification, empreinte du moyen vérifié, date, adresse IP) et jetons d'horodatage.
- Vacanciers : prénom, nom, e-mail et mobile saisis par le loueur ou le prestataire, nombre d'adultes et d'enfants, référence de la réservation ; puis, à l'ouverture de l'EDL, le mobile vérifié par code SMS et les éventuelles corrections d'identité, avec la valeur d'origine.
- Échanges : demandes d'assistance et avis envoyés depuis le site.
- Paiement : commandes et factures. Les numéros de carte sont traités uniquement par le prestataire de paiement.
Zen'Check ne collecte ni donnée biométrique, ni photo d'identité, ni géolocalisation, et n'utilise aucun outil de mesure d'audience ni de publicité.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer les comptes, réaliser et signer les états des lieux, préparer les séjours, envoyer les codes, e-mails et SMS du service | Exécution du contrat (art. 6.1.b RGPD) |
| Conserver et produire la preuve des états des lieux (journal, signatures, horodatages) | Intérêt légitime des parties à établir leurs droits (art. 6.1.f) |
| Sécuriser le service : authentification, limitation des tentatives, traces de connexion, prévention de la fraude | Intérêt légitime (art. 6.1.f) et obligation légale de conservation des données de connexion |
| Facturation et comptabilité | Obligation légale (art. 6.1.c) |
| Répondre aux demandes d'assistance et traiter les avis | Intérêt légitime (art. 6.1.f) |
| Vérifier les nouveaux comptes avant leur activation | Intérêt légitime (art. 6.1.f) |
4. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées d'Alvéo et, pour un état des lieux, aux autres parties de cet état des lieux (loueur, prestataire, vacancier) dans la limite de ce qui les concerne. Elles ne sont jamais vendues. Alvéo fait appel aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVH SAS (OVHcloud) | Hébergement du site, de la base de données, des photos et des sauvegardes | France |
| Brevo (Sendinblue SAS) | Envoi des e-mails du service | Union européenne |
| Twilio Ireland Ltd | Envoi des SMS (codes, liens d'état des lieux) | Union européenne, avec accès possible depuis les États-Unis |
| Prestataire de paiement (Stripe Payments Europe Ltd) | Paiement par carte | Union européenne |
Les autorités d'horodatage — une autorité indépendante à la signature, puis Certigna (France) chaque nuit — ne reçoivent que des empreintes mathématiques des états des lieux, qui ne permettent ni de reconstituer leur contenu ni d'identifier une personne.
5. Transferts hors de l'Union européenne
Les SMS peuvent donner lieu à un accès depuis les États-Unis par le groupe Twilio. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne et par l'adhésion de Twilio au cadre de protection des données UE–États-Unis. Aucune autre donnée n'est transférée hors de l'Union européenne.
6. Durées de conservation
| Données | Durée |
|---|---|
| Compte actif | Tant que le compte existe ; un compte sans connexion pendant 3 ans est supprimé, après un avertissement par e-mail 30 jours avant |
| Compte supprimé | Identité et coordonnées supprimées sous 30 jours ; référence et date de la suppression conservées 5 ans |
| États des lieux signés : photos, journal, signatures, horodatages et coordonnées des parties qui y figurent (y compris les corrections d'identité) | 5 ans après la clôture de l'état des lieux (délai de prescription de l'article 2224 du Code civil), puis suppression des photos et anonymisation |
| Traces de connexion et de sécurité (adresses IP) | 1 an |
| Demandes d'assistance et avis | 3 ans après le dernier échange |
| Factures et pièces comptables | 10 ans (article L123-22 du Code de commerce) |
| Codes à usage unique | 10 minutes au plus |
| Sauvegardes | 14 jours |
Lorsqu'un compte est supprimé, les états des lieux signés qui engagent d'autres parties sont conservés pendant la durée ci-dessus, car ces parties peuvent en avoir besoin pour faire valoir leurs droits.
7. Sécurité
- chiffrement des noms, coordonnées et numéros de téléphone en base (AES-256-GCM), échanges chiffrés (HTTPS) ;
- connexion sans mot de passe par code à usage unique, double authentification proposée (application ou clé d'accès), fermeture des sessions inactives ;
- limitation des tentatives et réponses qui ne révèlent pas l'existence d'un compte ;
- journal chaîné : toute modification après coup d'un état des lieux est détectable ;
- sauvegardes quotidiennes, accès aux serveurs restreint aux personnes habilitées.
En cas de violation de données présentant un risque pour vous, Alvéo en informe la CNIL et les personnes concernées dans les conditions prévues par le RGPD.
8. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès. Vous pouvez corriger vos informations depuis votre espace, ou, en tant que vacancier, au moment d'ouvrir un état des lieux. Pour exercer vos droits, écrivez à contact@zencheck.eu ; une réponse vous est apportée sous un mois, et une copie de vos données peut vous être transmise dans un format courant.
L'effacement ne peut pas porter sur un état des lieux signé tant qu'il reste nécessaire à la constatation ou à la défense des droits des parties (article 17.3.e du RGPD). Si vos données ont été saisies par un loueur ou un prestataire, vous pouvez aussi vous adresser à lui.
Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
10. Évolutions de cette politique
Cette politique peut évoluer avec le service. La date de mise à jour figure en haut de la page ; les titulaires de compte sont informés par e-mail de toute modification importante.