Politique de confidentialité de Nestmates

Nestmates est édité par :

NEODROMES, société par actions simplifiée unipersonnelle — SASU Capital social : <TODO-ALTVIK: capital social en euros> SIREN : <TODO-ALTVIK: numéro SIREN> RCS de <TODO-ALTVIK: ville du greffe> : <TODO-ALTVIK: numéro RCS>

Siège social :

<TODO-ALTVIK: adresse du siège social — en attente de signature du contrat de domiciliation> <TODO-ALTVIK: complément d'adresse, le cas échéant> <TODO-ALTVIK: code postal> <TODO-ALTVIK: ville> France

Contact général : contact@neodromes.eu Contact relatif aux données personnelles : privacy@neodromes.eu

Neodromes détermine les finalités et les moyens des traitements réalisés par Nestmates et agit donc comme responsable du traitement.

Aucun délégué à la protection des données, ou DPO, n'est actuellement désigné. L'adresse privacy@neodromes.eu est le point de contact pour toute question ou demande concernant vos données.

La présente politique concerne notamment :

• les étudiants et jeunes actifs créant un compte ;
• les colocataires et membres d'une équipe ;
• les personnes déposant une candidature pour un logement ;
• les propriétaires ou gestionnaires publiant une annonce ;
• les utilisateurs des espaces communautaires ;
• les personnes contactant le support ou signalant un contenu.

Nestmates est destiné aux personnes âgées d'au moins 18 ans. La date de naissance est utilisée pour vérifier cette condition.

Les données effectivement traitées dépendent de votre rôle et des fonctionnalités que vous utilisez.

3.1 Compte et authentification

Nous pouvons traiter : votre adresse email, votre nom complet, votre date de naissance, votre langue, votre rôle technique, la date de création de votre compte, la version de la politique présentée, la date et le parcours de consentement, les éventuels fournisseurs de connexion associés à votre compte, les métadonnées de vos sessions.

Votre mot de passe n'est jamais conservé en clair. Seule une empreinte cryptographique calculée avec Argon2id est enregistrée.

3.2 Profil et recherche de colocation

Selon les champs disponibles et vos choix, nous pouvons traiter : votre prénom, votre âge calculé (sans afficher publiquement votre date de naissance), votre occupation, votre établissement d'enseignement ou une indication libre, le quartier recherché à Caen, votre budget minimal et maximal, votre date d'emménagement souhaitée, la durée de colocation souhaitée, vos préférences relatives au sommeil, à la propreté, au bruit, à la sociabilité, au télétravail et aux invités, vos préférences concernant les animaux et le tabac, votre régime alimentaire, votre biographie, vos centres d'intérêt, une photo de profil facultative, votre genre ou vos pronoms lorsque ces champs facultatifs sont proposés, votre choix entre le mode Standard et, lorsqu'il sera disponible, le mode Oasis.

N'indiquez pas dans votre biographie ou vos messages des informations sensibles qui ne sont pas nécessaires à la recherche d'une colocation.

Certaines préférences alimentaires ou certaines réponses associées au mode Oasis peuvent révéler indirectement des convictions religieuses, philosophiques ou des informations relatives à la santé. Lorsqu'un tel traitement est nécessaire, un consentement explicite et distinct doit être demandé. Le refus de ce traitement ne doit pas empêcher l'utilisation du mode Standard.

3.3 Matching et découverte

Nestmates peut traiter : les profils consultés, les profils marqués comme intéressants ou écartés, les équipes consultées, les invitations et candidatures, les scores de compatibilité, les catégories ou explications qualitatives associées à ces scores.

Les préférences brutes susceptibles de révéler une information sensible ne sont pas destinées à être affichées aux autres utilisateurs.

3.4 Équipes, messagerie et pactes

Lorsque vous utilisez ces fonctionnalités, nous pouvons traiter : les équipes formées, les membres, rôles et invitations, les messages échangés, les images ou fichiers éventuellement joints, les pactes de colocation générés ou acceptés, les candidatures déposées par l'équipe.

Neodromes ne consulte pas couramment le contenu de vos messages. Un accès exceptionnel peut avoir lieu lorsqu'il est nécessaire de traiter un signalement, rechercher un incident, assurer la sécurité du service ou répondre à une obligation légale. Cet accès est réservé aux personnes autorisées.

3.5 Propriétaires, logements et candidatures

Pour les propriétaires et gestionnaires, nous pouvons traiter : le nom ou la raison sociale, le numéro de téléphone, le statut de vérification, les annonces publiées, le titre, la description et les photos du logement, le loyer, le dépôt de garantie, la surface et les caractéristiques, le secteur géographique, l'adresse exacte du logement, les candidatures reçues, les décisions prises sur ces candidatures, l'historique de modération.

L'adresse exacte d'un logement n'est pas destinée à être affichée dans le flux public. Elle ne doit être communiquée qu'au moment approprié du parcours, par exemple après l'acceptation d'une candidature.

3.6 Communauté et modération

Si les espaces communautaires sont activés, nous pouvons traiter : les publications et réponses, les images éventuellement publiées, l'établissement ou le board concerné, les signalements, les décisions et motifs de modération.

Les publications sont visibles par les membres autorisés du board correspondant.

3.7 Super-dossier

Le super-dossier n'est pas actif à la date de publication de cette version.

S'il est activé, il pourra contenir : une pièce d'identité, une carte étudiante, un justificatif de domicile, un justificatif de revenus, d'autres documents nécessaires à une candidature locative.

Avant son activation, Neodromes devra notamment mettre en place : une analyse d'impact relative à la protection des données, un stockage répondant aux exigences de sécurité et de résidence retenues, les contrats de sous-traitance nécessaires, un contrôle antivirus, une procédure de suppression automatique, une information spécifique avant chaque dépôt, un contrôle strict des personnes pouvant consulter le dossier.

3.8 Données techniques et de sécurité

Nous pouvons traiter : l'adresse IP, le User-Agent, le type de navigateur ou d'appareil, les dates et événements de connexion, les identifiants et métadonnées de session, les journaux de sécurité, les événements de limitation des requêtes, les données nécessaires à la prévention du spam et des abus.

Les mots de passe, tokens complets, cookies d'authentification et autres secrets techniques sont exclus ou masqués dans les journaux applicatifs.

Vous pouvez retirer un consentement à tout moment. Ce retrait ne remet pas en cause les traitements réalisés avant celui-ci.

Le consentement au matching de colocations est spécifique, informé et révocable. Il est distinct des éventuelles statistiques d'audience facultatives. Le refus ou le retrait retire votre profil des résultats de matching, mais n'empêche jamais l'accès à votre compte, à votre profil, à l'export de vos données ni à la suppression de votre compte.

Les fonctions strictement nécessaires au service ne sont pas artificiellement présentées comme reposant sur un consentement obligatoire.

Nestmates calcule un score et une catégorie de compatibilité à partir des informations déclarées par les utilisateurs : rythme de vie, propreté, bruit, sociabilité, télétravail, invités, budget, calendrier et autres préférences pertinentes.

Ce calcul constitue un profilage au sens du RGPD.

Il sert uniquement d'aide à la recherche. Il ne décide pas automatiquement :

• qui peut rejoindre une équipe ;
• qui peut contacter un utilisateur ;
• qui peut louer un logement ;
• si une candidature doit être acceptée ;
• du prix ou des conditions d'un logement.

Les utilisateurs et les propriétaires conservent la décision finale.

Vous pouvez demander des informations sur les principaux critères utilisés, corriger une donnée ou contester un résultat.

Selon votre utilisation de Nestmates, un profil limité peut afficher : votre prénom, votre âge, votre établissement, le secteur recherché, votre budget, votre date d'emménagement, la durée recherchée, votre biographie, votre photo, vos centres d'intérêt, votre mode, un résultat de compatibilité.

Votre adresse email complète et votre date de naissance ne sont pas destinées à apparaître sur les cartes de découverte.

Vous restez responsable des informations que vous choisissez de publier dans les espaces visibles par d'autres utilisateurs.

Lorsqu'un compte est supprimé, ses données sont supprimées ou anonymisées conformément aux règles ci-dessus. Certaines informations peuvent être conservées séparément lorsqu'une obligation légale, un litige ou la protection des droits d'un tiers l'exige.

Les données d'une autre personne ne seront pas supprimées uniquement parce qu'elles apparaissent dans une conversation avec le demandeur. Les droits de chaque personne seront conciliés.

Les données peuvent être accessibles : au personnel Neodromes expressément autorisé, aux utilisateurs avec lesquels vous interagissez, aux membres de votre équipe, aux propriétaires lorsque votre équipe dépose une candidature, aux prestataires techniques strictement nécessaires, aux autorités lorsque la loi l'exige.

Les principaux prestataires techniques sont ou pourront être :

• Hostinger, pour l'infrastructure applicative située dans l'Union européenne ;
• Neon, pour la base de données PostgreSQL déployée sur une infrastructure AWS à Francfort ;
• Mailu, auto-hébergé sur l'infrastructure Hostinger, pour les emails transactionnels ;
• Cloudflare, si Turnstile ou Cloudflare R2 sont activés.

Chaque sous-traitant doit être encadré par un contrat conforme à l'article 28 du RGPD.

Nestmates ne vend ni ne loue vos données. Elles ne sont pas transmises à des régies publicitaires et aucun profil publicitaire commercial n'est créé.

Les données principales sont destinées à être hébergées dans l'Union européenne.

Certains prestataires internationaux peuvent néanmoins permettre un accès limité depuis un pays extérieur à l'Espace économique européen, notamment pour l'assistance, la sécurité ou l'administration de leur infrastructure.

Lorsqu'un transfert international existe, Neodromes utilise une garantie prévue par le RGPD, notamment :

• une décision d'adéquation ;
• le cadre de protection des données UE–États-Unis lorsque le destinataire est certifié ;
• les clauses contractuelles types de la Commission européenne ;
• des mesures techniques et organisationnelles complémentaires.

Si Cloudflare R2 est activé pour le super-dossier, le bucket doit être créé avec la restriction de juridiction eu. Une simple préférence de localisation ne suffit pas à garantir que les objets restent dans l'Union européenne.

Si Cloudflare Turnstile est activé, Cloudflare peut traiter le token de validation ainsi que certains signaux techniques associés à l'appareil ou au réseau.

Vous pouvez demander des informations supplémentaires sur les garanties utilisées à privacy@neodromes.eu.

Neodromes met notamment en œuvre ou prévoit :

• le hachage Argon2id des mots de passe ;
• des cookies d'authentification sécurisés et httpOnly ;
• la rotation et l'expiration des sessions ;
• le chiffrement TLS des communications ;
• la limitation des requêtes sensibles ;
• la séparation des secrets et des environnements ;
• le masquage des champs sensibles dans les journaux ;
• la restriction des accès administratifs ;
• des sauvegardes et procédures de restauration ;
• la suppression des sessions expirées ;
• des contrôles sur les types et tailles de fichiers ;
• une analyse antivirus avant activation du super-dossier ;
• une journalisation des opérations sensibles.

Aucun système ne peut garantir un risque nul.

En cas de violation susceptible de créer un risque pour vos droits et libertés, Neodromes documentera l'incident et informera la CNIL dans les délais applicables. Vous serez également informé lorsque la violation est susceptible de créer un risque élevé pour vous.

Selon votre situation et la base légale utilisée, vous disposez :

• d'un droit d'accès ;
• d'un droit de rectification ;
• d'un droit à l'effacement ;
• d'un droit à la limitation du traitement ;
• d'un droit d'opposition ;
• d'un droit à la portabilité des données fournies ;
• du droit de retirer votre consentement ;
• du droit d'obtenir des informations sur le profilage ;
• du droit de contester une décision entièrement automatisée produisant un effet significatif ;
• du droit de déposer une réclamation auprès de la CNIL ;
• du droit de définir des directives relatives au sort de vos données après votre décès, dans les conditions prévues par le droit français.

Ces droits ne sont pas absolus. Une demande peut notamment être limitée lorsqu'une donnée doit être conservée pour respecter la loi, protéger les droits d'un tiers ou défendre un droit en justice.

Nestmates dispose des mécanismes techniques suivants :

• export des données : GET /api/users/me/export ;
• suppression du compte : DELETE /api/users/me ;
• rectification du profil : fonctions de modification du compte et du profil.

Ces mécanismes doivent être accessibles depuis votre espace personnel avant l'ouverture publique du service.

Vous pouvez également écrire à :

privacy@neodromes.eu

Indiquez clairement le droit que vous souhaitez exercer. Une preuve d'identité peut être demandée uniquement lorsqu'elle est nécessaire pour empêcher qu'un tiers accède à vos données.

Nous répondons dans un délai maximal d'un mois. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse. Vous en serez informé dans le premier mois.

Vous pouvez également déposer une réclamation auprès de la Commission nationale de l'informatique et des libertés : www.cnil.fr

Nestmates utilise ou peut utiliser des mécanismes strictement nécessaires pour : maintenir votre session, sécuriser l'authentification, mémoriser votre langue, conserver vos choix relatifs aux traceurs, assurer le fonctionnement du service.

Ces mécanismes indispensables ne nécessitent pas de consentement préalable.

Nestmates n'utilise aucun traceur publicitaire et ne réalise aucun suivi commercial de votre navigation entre plusieurs sites ou applications.

Si des outils de mesure d'audience non exemptés, des traceurs marketing ou des contenus tiers sont ajoutés, ils restent désactivés jusqu'à l'obtention de votre consentement. Il doit être aussi simple de refuser ou retirer ce consentement que de l'accorder.

Cette politique peut évoluer pour refléter : une nouvelle fonctionnalité, une nouvelle catégorie de données, un nouveau prestataire, une évolution légale, une modification importante de nos pratiques.

La date et la version seront mises à jour.

Les changements importants seront présentés avant leur entrée en vigueur. Un nouveau consentement sera demandé lorsque le traitement concerné repose sur le consentement ou lorsque la modification l'exige.

Pour toute question générale :

contact@neodromes.eu

Pour toute question ou demande relative aux données personnelles :

privacy@neodromes.eu

Adresse postale :

NEODROMES <TODO-ALTVIK: adresse du siège social — en attente de signature du contrat de domiciliation> <TODO-ALTVIK: complément d'adresse, le cas échéant> <TODO-ALTVIK: code postal> <TODO-ALTVIK: ville> France

Aucun DPO n'est actuellement désigné. Cette situation sera réévaluée si Nestmates réalise à l'avenir un suivi régulier et systématique à grande échelle ou traite à grande échelle des données sensibles.