Politique de Confidentialité

Le responsable du traitement des données personnelles collectées via la plateforme Vayz est :

• Société : Vayz PropTech SAS
• Forme juridique : Société par actions simplifiée
• Siège social : Paris, France
• Email : dpo@vayz.fr
• DPO désigné : Délégué à la Protection des Données — dpo@vayz.fr

Pour toute question relative au traitement de vos données, vous pouvez contacter notre DPO à l'adresse dpo@vayz.fr.

Vayz collecte différentes catégories de données personnelles selon votre rôle sur la plateforme :

Données d'identification et de contact

• Nom, prénom, adresse e-mail, numéro de téléphone
• Date de naissance (pour les locataires lors des candidatures)
• Adresse postale des biens et du domicile

Données professionnelles et financières

• Statut d'emploi, employeur, revenus mensuels (locataires)
• Informations bancaires via Stripe (IBAN pour les virements, données de carte chiffrées)
• Informations fiscales (pour la génération de documents fiscaux)
• Identifiant Stripe Connect (propriétaires)

Données liées aux biens et baux

• Informations sur les biens immobiliers (surface, loyer, photos)
• Contrats de bail et leurs annexes
• États des lieux et leurs signatures électroniques
• Historiques de paiements et quittances

Données techniques et de navigation

• Adresse IP, type de navigateur, système d'exploitation
• Pages visitées, durée de session, actions effectuées
• Logs de connexion et d'authentification
• Tokens d'authentification (stockés sous forme hachée)

Données de candidature (locataires)

• Pièces justificatives transmises (bulletins de salaire, avis d'imposition)
• Score automatique calculé par Vayz (0–100) basé sur des critères objectifs
• Consentement RGPD horodaté

Vayz applique le principe de minimisation des données et n'en conserve les données personnelles que pour la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées :

• Comptes actifs : conservation pendant toute la durée du contrat + 3 ans après résiliation
• Données de paiements : 10 ans (obligations comptables légales)
• Baux et documents associés : 5 ans après expiration du bail
• Candidatures rejetées ou retirées : 90 jours maximum (conformément au RGPD Art. 5.1.e — limitation de la conservation)
• Logs de connexion et sécurité : 12 mois
• Données de cookies analytiques : 13 mois maximum
• Documents fiscaux : 10 ans (obligation légale fiscale)
• Journal d'audit (actions admin) : 5 ans

À l'expiration de ces délais, vos données sont supprimées de manière sécurisée ou anonymisées de façon irréversible.

Vos données personnelles peuvent être communiquées aux destinataires suivants, dans la limite des finalités décrites à l'article 3 :

• Personnel autorisé de Vayz : équipes techniques, support, conformité (accès limité au strict nécessaire)
• Propriétaires (pour les locataires) : les informations de candidature sont transmises au Propriétaire concerné avec votre consentement
• Locataires (pour les propriétaires) : les informations de contact dans le cadre de la gestion du bail
• Sous-traitants techniques : voir article 6
• Autorités compétentes : en cas d'obligation légale ou décision judiciaire

Transferts hors UE : Certains de nos sous-traitants peuvent traiter des données hors de l'Union Européenne. Dans ce cas, Vayz s'assure que ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types de la Commission Européenne, décision d'adéquation, ou autre mécanisme reconnu par le RGPD).

Vayz fait appel à des sous-traitants de confiance pour opérer ses services. Tous sont soumis à des engagements contractuels stricts de confidentialité et de sécurité conformes au RGPD :

La liste complète et à jour de nos sous-traitants est disponible sur demande à dpo@vayz.fr.

Conformément au RGPD (Articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (Art. 15) : obtenir une copie de toutes les données vous concernant traitées par Vayz
• Droit de rectification (Art. 16) : faire corriger des données inexactes ou incomplètes
• Droit à l'effacement (Art. 17) : demander la suppression de vos données dans les cas prévus par le RGPD (sauf obligations légales de conservation)
• Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré et lisible par machine (JSON ou CSV)
• Droit d'opposition (Art. 21) : vous opposer au traitement de vos données pour des raisons tenant à votre situation particulière
• Droit à la limitation (Art. 18) : demander la restriction du traitement dans certains cas
• Droit de retrait du consentement : retirer à tout moment un consentement préalablement donné, sans que cela affecte la licéité des traitements passés
• Droit à ne pas faire l'objet d'une décision automatisée (Art. 22) :demander une revue humaine du scoring automatique des candidatures

Si vous estimez que le traitement de vos données n'est pas conforme au RGPD, vous avez le droit de déposer une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) — cnil.fr — ou auprès de l'autorité de contrôle compétente dans votre État membre de résidence.

Vayz utilise des cookies et traceurs sur sa plateforme. Un cookie est un petit fichier texte déposé sur votre appareil lors de votre visite.

Cookies strictement nécessaires (pas de consentement requis)

• Session d'authentification : maintien de votre connexion (durée de session)
• Préférences de thème : mode clair/sombre (vayz-theme, 1 an)
• Langue : mémorisation de la langue sélectionnée
• Token CSRF : sécurité des formulaires

Cookies analytiques (consentement requis)

• Analytique interne : mesure d'audience anonymisée (durée max 13 mois)
• Ces cookies ne sont déposés qu'avec votre consentement explicite

Vous pouvez à tout moment modifier vos préférences de cookies depuis les paramètres de votre compte ou les paramètres de votre navigateur. Le refus de cookies analytiques n'affecte pas l'accès aux services Vayz.

Vayz met en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données contre tout accès non autorisé, altération, divulgation ou destruction :

• Chiffrement en transit : HTTPS/TLS 1.3 sur toutes les communications
• Chiffrement au repos : base de données et fichiers stockés chiffrés
• Mots de passe : hashage bcrypt (12 rounds minimum), jamais stockés en clair
• Tokens de refresh : stockés sous forme hachée avec bcrypt
• Authentification forte : double authentification TOTP (2FA) disponible
• Cloisonnement des données : chaque propriétaire n'accède qu'à ses propres données
• Journalisation : toutes les actions administratives sont tracées dans un journal d'audit
• Paiements : traitement externalisé à Stripe (PCI DSS Niveau 1) — aucune donnée bancaire n'est stockée sur les serveurs Vayz
• Infrastructure : hébergement en Union Européenne
• Accès interne : principe du moindre privilège — le personnel n'accède qu'aux données nécessaires à sa mission

La plateforme Vayz est destinée exclusivement aux personnes physiques majeures (18 ans et plus) et aux personnes morales. Vayz ne collecte pas sciemment de données personnelles provenant de mineurs de moins de 18 ans.

Si vous êtes parent ou tuteur légal et que vous estimez que votre enfant mineur nous a fourni des données personnelles, contactez-nous immédiatement à dpo@vayz.fr pour que nous procédions à leur suppression.

Vayz se réserve le droit de modifier la présente Politique de Confidentialité à tout moment, notamment pour se conformer aux évolutions réglementaires ou aux nouvelles pratiques de traitement.

Toute modification substantielle sera portée à votre connaissance par e-mail et/ou par une notification sur la plateforme avec un préavis de 30 jours minimum. La date de la dernière mise à jour figure en haut de ce document.

La version actuellement applicable est toujours disponible à l'adresse vayz.fr/politique-confidentialite.

Pour toute question ou demande relative à la protection de vos données personnelles, contactez notre Délégué à la Protection des Données :

• E-mail DPO : dpo@vayz.fr
• Support général : support@vayz.fr
• Sécurité : security@vayz.fr
• Délai de réponse : maximum 30 jours (Art. 12 RGPD)