Politique de confidentialité

1. Responsable de traitement

Maksym Kogin, agissant en tant que personne physique, est responsable de traitement pour les traitements décrits ici.

Contact pour toute question, y compris l’exercice de vos droits : contact@zeroproble.me.

Délégué à la protection des données : non désigné. Nos traitements ne relèvent pas de l’article 37(1) du RGPD : ni suivi systématique à grande échelle, ni données sensibles au sens de l’article 9.

2. Notre position en un paragraphe

Vous nous confiez l’image de votre patrimoine. Nous la traitons comme une donnée sensible, même si le droit ne la classe pas ainsi. Nous collectons le minimum nécessaire au fonctionnement du produit, nous ne vendons rien, nous n’entraînons aucun modèle, nous ne transmettons rien à des annonceurs. Chaque tiers destinataire figure à l’article 10 et n’y figure que parce que le produit ne fonctionne pas sans lui.

3. Données collectées — identité et compte

Adresse e-mail, à l’inscription ou à la connexion ; identifiant Google si vous vous connectez avec Google. Dates de création et de dernière visite, générées par le Service pour afficher « ce qui a changé depuis votre dernière visite ». Devise d’affichage et langue de l’interface, que vous choisissez.

Mot de passe. Si vous vous connectez avec Google, votre mot de passe Google ne nous est jamais transmis. Si vous créez un mot de passe pour Zéro problème, il est transmis par connexion chiffrée (HTTPS) à notre prestataire d’authentification, Supabase, qui n’en enregistre qu’une empreinte non réversible (bcrypt) : il n’est conservé en clair nulle part et personne ne peut le relire, ni chez nous ni chez Supabase. Un code à usage unique, envoyé à votre adresse, confirme celle-ci à l’inscription et permet de choisir un nouveau mot de passe.

Sessions de démonstration. Une session ouverte sans compte ne comporte aucune donnée d’identité : ni adresse e-mail, ni nom, ni identifiant d’un fournisseur quelconque. Le Service génère un identifiant interne et une adresse technique dans le domaine réservé demo.invalid, qui ne peut recevoir aucun courrier et n’appartient à personne.

Préférences d’e-mail. Vos choix (rappels avant vos échéances ; nouveautés du produit et demandes d’avis) et la date à laquelle vous avez accepté les seconds. Aucun de ces e-mails n’est envoyé avant le 24 novembre 2026. Les nouveautés et demandes d’avis ne vous seront adressées qu’avec ce consentement, retirable à tout moment dans Compte ; chaque e-mail comportera un lien de désinscription.

E-mails liés au compte. Le code de confirmation de l’adresse, le code pour choisir un nouveau mot de passe et l’avis de changement de mot de passe ; à partir du 24 novembre 2026, l’avis de demande de suppression du compte et l’avis de suppression effective. Ils sont nécessaires à l’exécution du contrat et à la sécurité du compte (article 6(1)(b) du RGPD) et sont envoyés quels que soient vos choix de rappels et de nouveautés.

4. Données collectées — biens et données financières

C’est la substance de ce que vous nous confiez : nom, type, adresse, code postal, surface et statut du bien ; date et prix d’acquisition, valeur actuelle et historique d’estimations ; revenus et dépenses avec dates, catégories et notes ; montant, taux, durée, mensualité et dates du crédit ; inventaire et dates de garantie ; tâches et échéances ; classe DPE et sa validité ; objectifs que vous fixez (montant de patrimoine net ou de revenu mensuel visé ; pour un prochain bien : type, surface, département ou commune, mensualité et durée de crédit envisagées).

Avertissement sur les tiers. Si vous inscrivez le nom d’un locataire dans une note, vous saisissez la donnée personnelle d’un tiers. Vous en êtes alors responsable de traitement et nous en sommes sous-traitant. N’y inscrivez que le nécessaire, et assurez-vous de disposer d’une base légale.

Adresse e-mail du locataire (quittances par e-mail). Si vous choisissez d’envoyer ses quittances à votre locataire par e-mail, nous enregistrons, pour ce bail, son adresse e-mail et la date à laquelle vous avez indiqué disposer de son accord exprès (article 21 de la loi du 6 juillet 1989). Les noms saisis sur la quittance servent à composer le message et ne sont pas conservés. Pour ces données, vous êtes responsable de traitement et nous agissons en qualité de sous-traitant (article 28 du RGPD, conditions d’utilisation §6). L’adresse est supprimée lorsque vous la retirez, lorsque le bail est supprimé et avec votre compte. Fonction disponible à partir du 24 novembre 2026.

Rappel de révision de loyer (sans compte). Si vous demandez, depuis le calculateur de révision IRL, à être prévenu avant la date anniversaire de votre bail, nous enregistrons votre adresse e-mail, cette date anniversaire et la langue de la page. Base légale : votre consentement (article 6(1)(a) du RGPD), confirmé par un lien envoyé à cette adresse. Nous vous écrivons une seule fois, 30 jours avant la date, puis l’adresse est effacée ; sans confirmation, elle est effacée après 7 jours. Vous pouvez annuler à tout moment par le lien reçu. Aucune autre communication. Fonction disponible à partir du 24 novembre 2026.

5. Données collectées — documents

Fichiers déposés (PDF, JPEG ou PNG uniquement — vérifiés par lecture de la signature réelle du fichier, non de son nom), avec nom, taille, type, catégorie et date d’expiration.

Les documents sont conservés dans un espace de stockage privé et vous sont restitués par des liens signés de courte durée. Ils ne sont jamais rendus publics et sont effacés sur votre instruction ou avec votre compte.

6. Données collectées — données techniques

Cookies de session (Supabase Auth), conservés le temps de la session. Adresse IP dans un compteur de limitation de débit, conservée 24 heures maximum, pour prévenir les attaques par force brute et les abus. Rapports d’erreur (Sentry), conservés 90 jours. Compteurs d’accès aux liens de partage, conservés 30 jours, pour vous montrer combien de fois votre lien a été ouvert.

Sur les rapports d’erreur en particulier. Sentry est configuré avec sendDefaultPii désactivé et un nettoyeur qui retire cookies, corps de requête, en-têtes et tout champ correspondant aux motifs password / secret / token / authorization avant émission. De l’utilisateur, seul l’identifiant est transmis — ni e-mail, ni adresse IP. Le Session Replay est volontairement désactivé.

Lien de calendrier. Tant que le flux est actif, le Service conserve un jeton aléatoire et sa date d’émission. C’est l’application d’agenda que vous choisissez qui vient chercher le fichier : nous n’envoyons rien et n’ajoutons aucun destinataire. La révocation supprime le jeton.

Application Zéro problème dans ChatGPT. Si vous utilisez nos calculateurs depuis ChatGPT, ChatGPT nous transmet uniquement les valeurs nécessaires au calcul demandé : loyer, trimestre de l’indice, classe énergie, type et date du bail, prix et dates d’achat et de vente. ChatGPT peut y joindre des informations techniques, comme la langue ou une localisation approximative ; nous ne les utilisons pas. Ces valeurs servent au seul calcul : elles ne sont ni enregistrées ni rattachées à un compte. Notre hébergeur conserve des journaux techniques de la requête (heure, adresse IP des serveurs d’OpenAI). La conversation elle-même est traitée par OpenAI, qui en est responsable selon sa propre politique de confidentialité.

Mesure d’audience. Pour savoir quelles pages et quels calculateurs servent, et si les comptes reviennent d’un mois sur l’autre, nous enregistrons nous-mêmes, sans cookie ni outil tiers : la page consultée (sans paramètres ni identifiant de fiche), le site d’origine (nom de domaine seulement), les paramètres de campagne éventuels, le pays, la ville, le type d’appareil (mobile, tablette, ordinateur), le navigateur et le système en version principale, une classe de largeur d’écran, les liens et boutons cliqués (adresse de destination ou nom du bouton, jamais ce que vous saisissez), le temps passé sur la page, la part de la page parcourue et son temps de chargement, un identifiant aléatoire propre à l’onglet, effacé à sa fermeture. Aucun enregistrement de session. Votre adresse IP n’y figure pas. Dans l’application, pour les comptes, nous enregistrons aussi certaines actions (ouverture de l’application, une fois par jour au plus ; création d’un bien, d’un bail, d’une opération, import, activation du calendrier, dépôt d’un document, export), rattachées au compte, à compter du 24 novembre 2026. Ces données ne servent qu’à des statistiques internes, ne sont croisées avec aucune autre et ne sont transmises à personne.

7. Ce que nous ne faisons pas

• Nous ne vendons pas vos données — à personne, sous aucune forme, agrégée ou non.
• Nous n’utilisons pas vos données pour entraîner des modèles d’apprentissage automatique. Notre hébergeur s’en réserve le droit au titre de ses conditions ; l’option est désactivée dans notre compte, et nous le dirons ici si cela change.
• Nous ne faisons pas de publicité et n’utilisons aucun traceur publicitaire ni outil d’analyse tiers. La mesure d’audience décrite à l’article 6 est réalisée par nos soins, sans cookie.
• Nous ne réalisons aucun profilage au sens de l’article 22 du RGPD, ni aucune décision automatisée produisant des effets juridiques à votre égard.
• Nous ne lisons pas vos documents. Ils sont stockés, restitués à vous, et supprimés sur votre instruction.

8. Bases légales (article 6 du RGPD)

La fourniture du Service, le stockage de vos données et le calcul des indicateurs reposent sur l’exécution du contrat (article 6(1)(b)). La sécurité, la limitation de débit, la prévention des abus et la supervision des erreurs reposent sur l’intérêt légitime (article 6(1)(f)). La conservation de la preuve qu’une demande d’effacement a été exécutée repose sur une obligation légale (article 6(1)(c)). Tout identifiant non strictement nécessaire repose sur le consentement (article 6(1)(a)). Les rappels par e-mail reposent sur l’exécution du contrat ; les nouveautés et demandes d’avis, sur votre consentement (article 6(1)(a) du RGPD et article L.34-5 du Code des postes et des communications électroniques).

Lorsque nous invoquons l’intérêt légitime, une mise en balance avec vos droits a été réalisée. Vous pouvez vous y opposer à tout moment (article 12).

La mesure d’audience repose sur notre intérêt légitime à savoir quelles fonctions servent et à améliorer le Service (article 6(1)(f)). Elle respecte les conditions fixées par la CNIL pour être dispensée de consentement : finalité limitée à la mesure d’audience pour notre propre compte, statistiques anonymes, aucun croisement, durées limitées. Vous pouvez la refuser à tout moment (article 13).

9. Durées de conservation

Compte et données de portefeuille : conservés pour la durée du compte. Après une demande de suppression : conservés 30 jours, puis effacés irréversiblement. Documents déposés : conservés pour la durée du compte, puis effacés avec lui. Une trace d’audit de suppression est conservée après effacement, limitée à votre identifiant, votre e-mail et des horodatages, comme preuve de conformité.

Sur le délai de 30 jours. La suppression n’est pas immédiate, volontairement : ce délai vous protège contre une prise de contrôle de compte utilisée pour détruire votre portefeuille, et il s’inscrit dans le délai d’un mois de l’article 12(3) du RGPD. Vous pouvez annuler pendant ces 30 jours en vous reconnectant.

Sessions de démonstration. Tout ce qui est créé dans une session ouverte sans compte — l’enregistrement du compte, le portefeuille d’exemple et ce qui a été saisi pendant la session — est effacé automatiquement 48 heures après son ouverture, par le même processus que les demandes de suppression. Le délai de 30 jours ne s’applique pas ici : il n’y a personne à prévenir ni décision sur laquelle revenir.

Mesure d’audience : 13 mois, puis suppression automatique. Les actions rattachées à un compte sont effacées avec lui.

10. Destinataires et sous-traitants

Nous ne communiquons vos données à personne d’autre, sauf réquisition légale. Les prestataires suivants traitent des données strictement pour faire fonctionner le Service :

• Supabase Pte. Ltd (Singapour) — authentification, base de données et stockage de fichiers — données hébergées à Stockholm, Union européenne (AWS eu-north-1). Les transferts sont encadrés par les Clauses contractuelles types de l’UE (Module Deux), intégrées à l’accord de sous-traitance de Supabase.
• Vercel Inc. (États-Unis) — hébergement de l’application — les fonctions serveur s’exécutent à Paris, France (région cdg1), fixée dans la configuration du projet : le code de l’application s’exécute donc dans l’Union européenne. Vercel Inc. est une société américaine et son personnel peut accéder aux systèmes à des fins d’administration et de support. Les fichiers statiques sont diffusés par un réseau de distribution mondial et ne contiennent aucune donnée personnelle. Ses conditions d’utilisation (art. 10.1) intègrent par référence son accord de traitement des données, publié sur vercel.com/legal/dpa ; Vercel Inc. est certifiée au Data Privacy Framework UE–États-Unis.
• Sentry — supervision des erreurs, et uniquement après votre consentement — données hébergées à Francfort, Allemagne (région européenne de Sentry).
• Brevo (Sendinblue SAS, France) — envoi des e-mails : codes de confirmation et de nouveau mot de passe, avis de changement de mot de passe (reçoit votre adresse e-mail et le contenu du message) ; à partir du 24 novembre 2026 : avis de demande de suppression et de suppression du compte (reçoit votre adresse e-mail et la date) ; rappels d’échéances, uniquement si vous les avez activés (reçoit votre adresse e-mail et le contenu du rappel : intitulé de l’échéance, nom du bien, date, montant éventuel) ; quittances que vous envoyez à votre locataire (reçoit l’adresse e-mail du locataire, la vôtre en copie et le contenu de la quittance) ; rappels de révision demandés depuis le calculateur IRL (reçoit l’adresse e-mail et la date anniversaire du bail) — données hébergées dans l’Union européenne (France, Allemagne, Belgique).
• Google — connexion, si vous la choisissez — États-Unis, dans le cadre du Data Privacy Framework UE-US.
• Banque centrale européenne — données publiques de taux de référence, flux sortant uniquement, aucune donnée personnelle transmise — UE.
• Base Adresse Nationale (État, adresse.data.gouv.fr) et ADEME — recherche du DPE d’un logement, dans l’application ou sur la page publique de recherche : l’adresse saisie est envoyée à la Base Adresse Nationale pour la localiser, puis seul l’identifiant de l’immeuble, ou le numéro de DPE, est transmis à l’ADEME. Ni nom, ni compte, ni e-mail ; rien n’est conservé chez nous — France.

Comment obtenir une copie des garanties (art. 13(1)(f) RGPD) : les conditions d’utilisation de Vercel (art. 10.1) intègrent par référence son accord de traitement des données, publié sur vercel.com/legal/dpa ; celui de Supabase — supabase.com/legal/dpa ; la certification Data Privacy Framework peut être vérifiée dans le registre officiel dataprivacyframework.gov. Sur demande à contact@zeroproble.me nous vous en enverrons une copie. Notre analyse d’impact des transferts est tenue à disposition de l’autorité de contrôle.

Les régions d’hébergement ont été vérifiées le 10 août 2026 (Supabase à Stockholm, AWS eu-north-1 ; Sentry à Francfort, lue sur le point de collecte auquel cette application envoie effectivement ses données) puis à nouveau le 28 août 2026 après un changement d’hébergeur : les fonctions serveur s’exécutent désormais à Paris (région cdg1), fixée dans la configuration du projet et non laissée à la valeur par défaut de l’hébergeur. L’accord de sous-traitance de Supabase (version 1 du 1er août 2026) fait partie intégrante de ses conditions de service et est donc en vigueur.

11. Sécurité

• L’accès est contrôlé dans le code de l’application : chaque action serveur vérifie l’utilisateur puis la propriété de l’objet avant toute opération.
• Row Level Security en mode Deny-All sur toutes les tables de la base de données, fermant l’API publique.
• Les documents sont stockés dans un bucket privé, servis uniquement via des URL signées de courte durée.
• Politique de sécurité de contenu (CSP) stricte, HSTS, et X-Frame-Options : DENY.
• Les téléversements sont validés par la signature réelle du fichier, non par le type déclaré ; le type de contenu est imposé côté serveur.
• Une limitation de débit s’applique à la connexion, aux liens de partage publics et à la recherche de DPE.
• Une nouvelle authentification auprès de votre fournisseur d’identité est exigée avant l’acceptation d’une demande de suppression de compte.
• Les rapports d’erreur sont nettoyés de toute donnée personnelle avant de quitter le serveur ; les source maps sont retirées du bundle de production.

Aucun système n’est inviolable. En cas de violation affectant vos droits, nous notifierons la CNIL sous 72 heures (article 33 du RGPD) et vous informerons sans retard injustifié en cas de risque élevé (article 34).

12. Vos droits

En application des articles 15 à 22 du RGPD, vous disposez des droits suivants : accès, rectification, effacement, limitation, portabilité, opposition, et retrait du consentement à tout moment.

En pratique, sans écrire à personne : accès et portabilité — export CSV depuis votre compte, à tout moment ; rectification — modification directe de toute fiche ; effacement — suppression du compte depuis les réglages, avec un délai de grâce de 30 jours.

Pour le reste : contact@zeroproble.me. Nous répondons sous un mois (prorogeable de deux mois pour les demandes complexes, avec information préalable).

Droit de réclamation. Vous pouvez saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr. Vous n’avez besoin ni de notre autorisation ni de nous avoir contactés au préalable.

13. Cookies

Nous utilisons uniquement des cookies strictement nécessaires : à l’authentification, à la sécurité de session et au service que vous demandez. Quand vous cliquez « Suivre ce bail » sous un calculateur, les chiffres de ce calcul sont gardés deux heures au plus, le temps de vous connecter, puis effacés ; ni nom ni adresse. Sur la page « Mon bien », le bail que vous saisissez est gardé dans le stockage de votre navigateur, sur cet appareil seulement ; il ne nous est envoyé que si vous cliquez « Enregistrer dans mon espace », et vous l’effacez à tout moment. Ces cookies ne requièrent pas de consentement au sens de l’article 82 de la loi Informatique et Libertés.

Supervision des erreurs. Sentry dépose un identifiant côté client qui n’est pas strictement nécessaire. Il n’est donc chargé qu’après votre acceptation dans le bandeau de consentement affiché à la première visite ; en cas de refus, Sentry n’est jamais initialisé et aucun identifiant n’est déposé. Votre choix est conservé dans le stockage local de votre navigateur, et non dans un cookie ; vous pouvez revenir dessus en vidant ce stockage.

Mesure d’audience. Elle n’utilise aucun cookie : un identifiant aléatoire est conservé dans le stockage de l’onglet (sessionStorage) et disparaît à sa fermeture. Elle est désactivée si votre navigateur envoie le signal Global Privacy Control ou « Do Not Track », ou si vous la refusez ci-dessous.

14. Mineurs

Le Service ne s’adresse pas aux mineurs et nous ne collectons pas sciemment leurs données. Si vous pensez qu’un mineur a créé un compte, écrivez-nous à contact@zeroproble.me ; nous l’effacerons.

15. Modifications

Toute modification substantielle est notifiée par courriel 30 jours à l’avance. La version et la date en haut de cette page indiquent toujours le texte applicable.

16. Contact

Maksym Kogin · contact@zeroproble.me