Registre public des traitements

Création, authentification et gestion du cycle de vie des comptes (locataires, propriétaires, administrateurs).

Base légale

Exécution contractuelle (RGPD art. 6.1.b).

Durée de conservation

Durée de vie du compte + 30 j après suppression (anonymisation)

Catégories de données

• Identité (nom, prénom, email, téléphone)
• Identifiants techniques (hash mot de passe, sessions)
• Adresse IP et user-agent (logs de connexion)

Destinataires / sous-traitants

• Équipe technique Transpareo
• Sous-traitant Supabase (hébergement EU)

Statistiques d'usage pour améliorer le service (PostHog).

Base légale

Consentement (RGPD art. 6.1.a) : recommandations CNIL ePrivacy.

Durée de conservation

24 mois

Catégories de données

• Pages vues
• Parcours
• Identifiant pseudonyme PostHog

Destinataires / sous-traitants

• PostHog (EU cloud)

Détection et correction des dysfonctionnements techniques.

Session Replay désactivé par défaut (BLOC I 53bis).

Base légale

Intérêt légitime (art. 6.1.f) : revue juridique C1 🔴

Durée de conservation

90 jours

Catégories de données

• Stack traces
• Contexte technique (PII minimisées par défaut)

Destinataires / sous-traitants

• Sentry (UE/US selon projet)

Statistiques d'usage de l'application Android pour améliorer le service. Démarrée seulement après consentement dans l'app.

Sans GeoIP ni replay ; opt-out et réinitialisation au retrait du consentement ; hôte hors UE refusé.

Base légale

Consentement (RGPD art. 6.1.a ; art. 82 loi Informatique et Libertés).

Durée de conservation

24 mois

Catégories de données

• Écrans vus et événements d'usage
• Identifiant pseudonyme d'installation
• Version de l'app et du système

Destinataires / sous-traitants

• PostHog (EU cloud)

Détecter et corriger les plantages de l'app. Rapport minimal sans consentement ; fil d'Ariane et traces de performance seulement avec consentement.

sendDefaultPii désactivé ; utilisateur, en-têtes, cookies et paramètres d'URL retirés ; nettoyage des e-mails, jetons, téléphones et IBAN.

Base légale

Intérêt légitime (art. 6.1.f) pour le rapport minimal ; consentement (art. 6.1.a) pour les rapports détaillés.

Durée de conservation

90 jours

Catégories de données

• Trace d'erreur et contexte technique (appareil, version de l'app)
• Fil d'Ariane et performance (avec consentement)

Destinataires / sous-traitants

• Sentry (UE/US selon projet)

Détecter les avis suspects (spam, propos illicites, faux avis) via IA avant publication.

Base légale

Intérêt légitime (RGPD art. 6.1.f) : fiabilité de la plateforme.

Durée de conservation

Durée de publication de l'avis + 5 ans (audit log)

Catégories de données

• Contenu textuel de l'avis
• Métadonnées (date, IP hashée, device hashé)
• Score de risque calculé (risk_score)

Destinataires / sous-traitants

• Équipe modération Transpareo (revue humaine systématique au-dessus de 30/100)
• Sous-traitant Anthropic / Google (API modération, région à vérifier)

Décision automatisée (RGPD art. 22) :Publication automatique sans revue humaine uniquement si risk_score < 30. Au-dessus, revue humaine obligatoire. Recours interne (DSA art. 20).

Identifier les comportements frauduleux : clusters d'IP, similarité cross-utilisateurs, patterns suspects.

Base légale

Intérêt légitime (RGPD art. 6.1.f) : protection des consommateurs.

Durée de conservation

12 mois pour signaux non confirmés ; 5 ans pour fraudes confirmées

Catégories de données

• IP hashée (FNV-1a)
• Empreinte device hashée
• Embeddings textuels (pgvector)
• Graph de signaux (fraud_signals)

Destinataires / sous-traitants

• Équipe modération Transpareo

Décision automatisée (RGPD art. 22) :Score de risque sans effet juridique direct : file de revue humaine, pas de suppression automatique.

Extraire les données d'une quittance, d'un bail ou d'une facture pour vérifier l'occupation déclarée.

Base légale

Consentement explicite (RGPD art. 6.1.a) lors du téléversement.

Durée de conservation

Document supprimé après 90 jours. Hash SHA-256 conservé pour empêcher la réutilisation cross-utilisateur.

Catégories de données

• Document téléversé (quittance, bail, etc.)
• Données extraites (nom locataire, adresse, période)
• Hash SHA-256 du document (anti-réutilisation)

Destinataires / sous-traitants

• Sous-traitant Anthropic (API vision, région à vérifier)
• Stockage R2 (Cloudflare, EU)

Décision automatisée (RGPD art. 22) :Validation auto si confidence_score ≥ 0.85 ; en dessous, revue humaine.

Gestion des relations bailleur/locataire et pièces justificatives.

Base légale

Exécution contractuelle (art. 6.1.b).

Durée de conservation

5 ans après fin de bail (prescription)

Catégories de données

• Baux
• Quittances
• États des lieux
• Documents R2 privés

Destinataires / sous-traitants

• Transpareo
• Cloudflare R2 (EU)

Échanges locataire / propriétaire / agence sur la plateforme.

Critère conversation (pas message isolé). Voir docs/transpareo/registre-traitements.md §4.

Base légale

Exécution contractuelle (art. 6.1.b).

Durée de conservation

3 ans après dernier message de la conversation (politique O7 ; purge automatisée cron retention-sweep)

Catégories de données

• Contenu des messages
• Métadonnées de conversation

Destinataires / sous-traitants

• Transpareo
• Supabase (EU)

Décision automatisée (RGPD art. 22) :purgeInactiveMessagesBeyondRetention : hard-delete conversations dont COALESCE(last_message_at, created_at) < now − 3 ans.

Permettre au titulaire d'une annonce active de consulter des profils de recherche visibles et d'inviter à candidater, sans accès payant et sans note.

Pas de décision automatisée (art. 22). Ordre : date de mise à jour du profil. DossierFacile est facultatif. La résidence actuelle n'est pas projetée. Le dépôt est une capacité, pas un versement. Les revenus du garant restent un rapport, sans montant. Le numéro ne se partage qu'après acceptation. Une offre privée n'est pas publique. Les agences suivent les mêmes règles, et un profil peut les refuser. Un colocataire occupant décrit une chambre. Drapeau FEATURE_LANDLORD_TENANT_SEARCH ouvert sur le projet Vercel de production depuis le 13 octobre 2026. S'il est absent de l'environnement, le code le traite comme fermé. Voir docs/aboutissement-2026/PLAN/_measures/BRL-0-aipd.md.

Base légale

Mesures précontractuelles demandées par les deux parties (art. 6.1.b). Journal des consultations : intérêt légitime de transparence (art. 6.1.f).

Durée de conservation

90 jours pour les consultations et pour les candidatures non retenues. Profil expiré : 90 jours.

Catégories de données

• Projection autorisée du profil (identité DossierFacile, situation professionnelle, garanties, rapport revenus / loyer sans montant, fenêtre d'emménagement, type de foyer, occupants, présentation)
• Photo seulement si le locataire l'a choisie, et seulement à l'ouverture de la fiche
• Journal de consultation (bailleur, annonce, date)

Destinataires / sous-traitants

• Transpareo
• Bailleur de l'annonce
• DossierFacile (ouverture du dossier)

Dépôt, suivi et réponse aux candidatures sur les annonces Transpareo.

Base légale

Exécution contractuelle (art. 6.1.b).

Durée de conservation

3 mois pour candidatures non retenues (CR.8 / purge retention-sweep)

Catégories de données

• Métadonnées de candidature
• Statut
• Lien vers dossier locatif partagé

Destinataires / sous-traitants

• Transpareo
• Annonceur destinataire

Conserver et afficher la chronologie des mises en location d'un bien (dates, loyer demandé) pour informer le visiteur : sans identité d'annonceur.

Séparation stricte logement / annonceur. Rotation publique seulement si ≥ 3 périodes (A.5).

Base légale

Intérêt légitime (art. 6.1.f) : transparence marché locatif ; données du logement.

Durée de conservation

Alignée sur rétention listings soft-archive (pas de delete physique) + listing_history 730 j pour événements détaillés

Catégories de données

• Dates de mise en ligne et de retrait d'annonces rattachées au logement
• Loyer demandé (montant)
• Clé de rattachement (property_id / adresse normalisée) : jamais l'identité de l'annonceur dans l'affichage public

Destinataires / sous-traitants

• Transpareo
• Visiteurs (vue agrégée sans identité)

À la demande d'un utilisateur, assembler des constats factuels (encadrement, DPE, coût) à partir de caractéristiques saisies : sans scraper ni stocker une annonce tierce.

Pages résultat noindex (A.6 règle 4). Rate-limit 15/min/IP.

Base légale

Exécution du service demandé (art. 6.1.b) / intérêt légitime outil public.

Durée de conservation

Aucune persistance du contenu tiers ; calcul éphémère en mémoire

Catégories de données

• Caractéristiques saisies (ville, loyer, surface, DPE…)
• URL tierce éventuelle : acceptée puis jetée, jamais fetchée ni persistée
• Constats calculés (plafond, échéances) : pas le contenu d'autrui

Destinataires / sous-traitants

• Transpareo

Décision automatisée (RGPD art. 22) :auditListingFindings : assemblage de moteurs existants, pas de score /100.

Notifier l'utilisateur lorsqu'une annonce correspond à ses critères sauvegardés.

Base légale

Consentement (art. 6.1.a) ou contrat selon le canal transactionnel.

Durée de conservation

Jusqu'à désactivation de l'alerte ; digests 14 j ; notifications 90 j

Catégories de données

• Critères géographiques et budgétaires
• Email / push
• Préférences

Destinataires / sous-traitants

• Transpareo
• Resend (email)
• Twilio (SMS si activé)

Collecte, vérification d'occupation, publication et modération d'avis.

Ne pas figer la durée des avis avant conclusions R1.

Base légale

Intérêt légitime (art. 6.1.f) : PROVISOIRE jusqu'à validation avocat (R1).

Durée de conservation

Documents de vérification : 90 j. Avis publiés : durée conditionnée à R1/R7 (effacement).

Catégories de données

• Notes et commentaires
• Preuves d'occupation
• Droit de réponse
• Signalements

Destinataires / sous-traitants

• Public (avis publiés)
• Modération Transpareo
• Sous-traitants IA

Analyse des revenus locataire avec consentement DSP2 (parcours legacy / Maora).

Base légale

Contrat + consentement DSP2.

Durée de conservation

90 jours (purge O7 open_banking_transactions)

Catégories de données

• Transactions agrégées
• IBAN masqué

Destinataires / sous-traitants

• Fournisseur DSP2 agréé

Décision automatisée (RGPD art. 22) :Décision d'éligibilité assistée : recours humain possible.

Lecture seule des opérations du compte du bailleur pour constater les loyers reçus (AISP via prestataire agréé, aucun paiement initié).

Base légale

Consentement DSP2 recueilli par le prestataire agréé + exécution du service demandé (art. 6.1.b).

Durée de conservation

Accès : durée du consentement (90/180 j). Opérations non rapprochées : 13 mois. Connexion révoquée : secrets effacés immédiatement, ligne supprimée sous 30 j. Effacement du compte : suppression immédiate + révocation prestataire.

Catégories de données

• Références de session et de compte prestataire (chiffrées AES-256-GCM)
• 4 derniers caractères de l'IBAN, nom du compte
• Date et montant des opérations (aucun libellé, aucune contrepartie, aucun solde)

Destinataires / sous-traitants

• Enable Banking Oy (prestataire AISP agréé, sous-traitant)

Décision automatisée (RGPD art. 22) :Rapprochement automatique uniquement sur correspondance exacte ; le reste est proposé à l'utilisateur.

Facturation des services Transpareo (Stripe).

Base légale

Exécution contractuelle (art. 6.1.b).

Durée de conservation

Factures 10 ans (code de commerce) ; données Stripe selon DPA

Catégories de données

• Données de paiement (tokenisées PCI-DSS)
• Factures

Destinataires / sous-traitants

• Stripe (UE)

Envoyer la newsletter et les alertes de recherche aux abonnés.

Base légale

Consentement (RGPD art. 6.1.a), retirable à tout moment.

Durée de conservation

Jusqu'au retrait du consentement

Catégories de données

• Email
• Préférences de recherche
• Statistiques d'ouverture / clic (événements prestataire Resend : pas de pixel first-party Transpareo ; W.8)

Destinataires / sous-traitants

• Sous-traitant Resend (envoi email, datacenter EU)

Générer un résumé textuel agrégé des avis d'un logement.

Base légale

Intérêt légitime (RGPD art. 6.1.f) : service aux visiteurs.

Durée de conservation

Régénéré à chaque nouvel avis publié

Catégories de données

• Contenus d'avis publics (anonymisés au prénom + initiale)

Destinataires / sous-traitants

• Sous-traitant Anthropic (API, région à vérifier)

Décision automatisée (RGPD art. 22) :Résumé extractif : aucune décision juridique automatisée.

Répondre à une question fermée (DPE, encadrement, etc.) sans créer de compte : calcul et affichage du résultat.

Un contexte de litige éventuel est sensible par situation : conservation courte, pas de réutilisation tierce.

Base légale

Exécution du service demandé (RGPD art. 6.1.b) : mesure précontractuelle / service gratuit demandé par la personne.

Durée de conservation

30 jours (anonyme) : purge automatique à expiration

Catégories de données

• Caractéristiques du logement saisies (classe DPE, ville, surface, loyer…)
• Résultat et version de règle appliquée
• Identifiant technique anonyme (cookie HttpOnly, hash)

Destinataires / sous-traitants

• Équipe technique Transpareo
• Sous-traitant Supabase (hébergement EU)

Décision automatisée (RGPD art. 22) :Moteurs de calcul déterministes versionnés. Aucune qualification juridique individuelle (« infraction »).

Conserver une trace datée du résultat, historique /compte/outils, et documents PDF préremplis.

Base légale

Consentement (RGPD art. 6.1.a) : inscription pour mémoriser le résultat.

Durée de conservation

400 jours après rattachement : purge à expiration ; effacement avec le compte

Catégories de données

• Exécutions rattachées au compte (inputs, résultat, règle, dates)
• Documents générés (PDF modèle indicatif)

Destinataires / sous-traitants

• Équipe technique Transpareo
• Stockage objet R2 (documents)

Construire une médiane communale des charges €/m² à partir de partages volontaires issus de l'outil de régularisation : sous-produit du service, jamais conditionné au résultat.

Modèle prêt pour la couche carte « charges » (X.1). Aucune réidentification volontaire.

Base légale

Consentement explicite séparé (RGPD art. 6.1.a).

Durée de conservation

400 jours : pas d'adresse exacte, pas d'identité du bailleur

Catégories de données

• Code INSEE commune (zone)
• Année de période
• Surface (m²)
• Montant annuel de charges (€) et ratio €/m²
• Libellé et horodatage du consentement

Destinataires / sous-traitants

• Équipe technique Transpareo
• Sous-traitant Supabase (hébergement EU)

Décision automatisée (RGPD art. 22) :Agrégation statistique par zone ; médiane publiée seulement si n ≥ 20 (seuil X.6).

Transmettre à l'agence choisie les informations que le propriétaire a cochées, pour une location ou une gestion.

Base légale

Consentement (RGPD art. 6.1.a).

Durée de conservation

12 mois, puis suppression

Catégories de données

• Projet (location ou gestion)
• Caractéristiques du logement
• Adresse à la précision choisie
• Téléphone et adresse électronique seulement s'ils sont cochés
• Message libre

Destinataires / sous-traitants

• L'agence choisie par le propriétaire

Estimer le loyer ou prix de vente à partir de données publiques (DVF, ANIL, encadrement).

Base légale

Intérêt légitime (RGPD art. 6.1.f) : service aux propriétaires.

Durée de conservation

30 jours (expires_at) : purge automatique ; effacement avec le compte

Catégories de données

• Caractéristiques du bien (surface, pièces, DPE)
• Adresse

Destinataires / sous-traitants

• Aucun externe : calcul interne

Décision automatisée (RGPD art. 22) :Algorithme statistique (k-NN + comparables). Pas d'effet juridique.

Inscription et envoi de la newsletter du mouvement Foyer (double opt-in).

Base légale

Consentement (RGPD art. 6.1.a), retirable à tout moment.

Durée de conservation

Jusqu'au désabonnement + preuve 13 mois

Catégories de données

• Email
• Horodatage consentement
• Token confirmation

Destinataires / sous-traitants

• Resend (envoi email, EU)
• Supabase (stockage abonnés _foyer)

Statistiques d'usage du site foyer.org conditionnées au cookie foyer_consent.

Base légale

Consentement (RGPD art. 6.1.a) : recommandations CNIL ePrivacy.

Durée de conservation

24 mois

Catégories de données

• Pages vues
• Parcours
• Identifiant pseudonyme PostHog (app=foyer)

Destinataires / sous-traitants

• PostHog (EU cloud)

Profil SSO partagé, forum d'entraide modéré (posts, votes, signalements DSA), annuaire Voisins-experts (consentement list_in_directory), lanceur d'alerte citoyen (anonymat optionnel, suivi par référence).

Base légale

Exécution contractuelle (art. 6.1.b), consentement annuaire (art. 6.1.a), intérêt légitime modération et alertes (art. 6.1.f).

Durée de conservation

Durée du compte ; purge _foyer à la suppression

Catégories de données

• Email
• Identifiant SSO
• Contenus forum
• Profil expert public
• Demandes de contact encadrées
• Alertes locatives (anonymes ou identifiées)
• Inscriptions chantiers citoyens (consentement emails)

Destinataires / sous-traitants

• Supabase Auth (EU)
• Équipe Foyer

Collecte de contacts pour dons et mécénat via formulaire /soutenir (sans paiement en ligne).

Base légale

Consentement (RGPD art. 6.1.a) via envoi volontaire du formulaire.

Durée de conservation

12 mois après traitement ou jusqu'à demande de suppression

Catégories de données

• Email
• Type de soutien
• Message libre

Destinataires / sous-traitants

• Équipe Foyer
• Resend (accusé réception)

Répertoire public d'acteurs (SIRENE, RGE, diagnostiqueurs, RNIC, curées) et fiches membres revendiquées.

ANU.13 — page /annuaire/sources ; retrait Typesense immédiat à l'opposition.

Base légale

Intérêt légitime (art. 6.1.f) ; opposition art. 21 ; membres : exécution contractuelle (art. 6.1.b).

Durée de conservation

Jusqu'à opposition ou radiation source ; suppressions conservées pour les générations suivantes

Catégories de données

• Raison sociale, SIRET/SIREN, adresse, catégorie, provenance
• Liens de revendication (actor_links)
• Oppositions (actor_suppressions)

Destinataires / sous-traitants

• Public (fiches)
• Typesense (index)
• Cloudflare R2 (artefacts)
• Équipe Transpareo

Décision automatisée (RGPD art. 22) :Chaîne ingest → merge → publish ; Google Places à la demande sans persistance des coordonnées