Éditeur : Zumeo SASU — SIRET 102 040 516 00019 — 35 avenue Henri Dunant, Bât. C, 31130 Balma — France.
Produit : TouCaution (toucaution.fr / toucaution.com).
Dernière mise à jour : 27/07/2026.
Sommaire
- Identité du responsable de traitement
- Portée de la présente politique et double rôle de Zumeo SASU
- Données collectées par profil d'utilisateur
- Finalités et bases légales des traitements
- Durées de conservation
- Destinataires et sous-traitants
- Transferts de données hors de l'Union européenne
- Droits des personnes concernées et modalités d'exercice
- Sécurité des données
- Cookies et traceurs
- Modifications de la présente politique
- Contact — Délégué à la Protection des Données
1. Identité du responsable de traitement
Zumeo SASU
Société par Actions Simplifiée Unipersonnelle au capital de 1 000,00 euros
Siège social : 35 avenue Henri Dunant, Bât. C, 31130 Balma
SIRET : 102 040 516 00019
RCS : Toulouse — 102 040 516 RCS Toulouse
N° TVA intracommunautaire : FR36102040516
Code APE / NAF : 6201Z (Programmation informatique)
Représentée par : Thierry François Gros-Désirs, en qualité de Président
Courriel de contact protection des données : privacy@toucaution.fr (à créer et configurer avant lancement)
ℹ️ Zumeo SASU n'a pas désigné de Délégué à la Protection des Données (DPO) au sens de l'art. 37 RGPD, cette désignation n'étant pas obligatoire au regard du volume et de la nature des traitements réalisés. La responsabilité de la protection des données incombe au représentant légal de Zumeo SASU.
2. Portée de la présente politique et double rôle de Zumeo SASU
TouCaution est une plateforme SaaS B2B2C multi-tenant de gestion des dépôts de garantie dans la location saisonnière. Du fait de son architecture multi-parties, Zumeo SASU occupe deux rôles distincts au sens du RGPD selon les catégories de personnes concernées :
| Catégorie de personnes concernées | Rôle de Zumeo SASU | Responsable de traitement |
|---|---|---|
| Utilisateurs Conciergerie (agents, administrateurs du compte tenant) | Responsable de traitement | Zumeo SASU |
| Propriétaires (propriétaires de biens gérés par une Conciergerie) | Sous-traitant (art. 28 RGPD) | La Conciergerie |
| Voyageurs (locataires temporaires effectuant un dépôt de garantie) | Sous-traitant (art. 28 RGPD) | La Conciergerie |
| Visiteurs du site toucaution.fr (navigation anonyme / formulaires de contact) | Responsable de traitement | Zumeo SASU |
La présente politique s'adresse à l'ensemble de ces personnes, en distinguant clairement les traitements selon le rôle exercé. Lorsque Zumeo SASU agit en qualité de sous-traitant, la Conciergerie concernée est seule responsable de traitement vis-à-vis des Propriétaires et Voyageurs, et doit elle-même fournir une information conforme au RGPD à ces personnes. Un Accord de Sous-Traitance (Data Processing Agreement — DPA) est conclu entre Zumeo SASU et chaque Conciergerie cliente, conformément à l'art. 28 du RGPD.
3. Données collectées par profil d'utilisateur
3.1 Utilisateurs Conciergerie (Responsable de traitement : Zumeo SASU)
| Catégorie | Données |
|---|---|
| Identification | Raison sociale, SIRET, nom et prénom du représentant légal, adresse du siège |
| Contact | Adresse e-mail professionnelle, numéro de téléphone professionnel |
| Compte utilisateur | Identifiant de connexion, mot de passe hashé (bcrypt), données de session Auth.js, paramètres MFA (TOTP) |
| Données de facturation | Identifiant Stripe Connect, informations de facturation SaaS (abonnement mensuel) — les données bancaires des Conciergeries ne sont pas stockées directement par Zumeo SASU ; elles sont gérées exclusivement par Stripe |
| Données d'usage | Logs de connexion (IP, horodatage, appareil), actions réalisées sur la plateforme (journal d'audit), volume de dépôts gérés, utilisation des fonctionnalités IA |
| Correspondances | Échanges avec le support Zumeo SASU |
3.2 Propriétaires (Sous-traitant : Zumeo SASU — RT : la Conciergerie)
Les données des Propriétaires sont saisies sur TouCaution par la Conciergerie, qui en est responsable de traitement. Zumeo SASU les traite uniquement sur instruction de la Conciergerie.
| Catégorie | Données |
|---|---|
| Identification | Nom, prénom (ou raison sociale pour les SCI/personnes morales) |
| Contact | Adresse e-mail, numéro de téléphone (pour accès au portail Propriétaire et notifications) |
| Données relatives aux biens | Adresse(s) du/des bien(s) géré(s) (nécessaire à la contextualisation des dossiers de caution) |
| Données financières indirectes | Statut et historique des dépôts de garantie relatifs à leurs biens (sous forme de rapports consultables sur le portail Propriétaire en lecture seule) |
ℹ️ Les Propriétaires n'ont pas de compte propre au sens d'une création d'identifiant : leur accès est délégué par la Conciergerie. Aucun mot de passe Propriétaire n'est stocké par Zumeo SASU.
3.3 Voyageurs (Sous-traitant : Zumeo SASU — RT : la Conciergerie)
Les données des Voyageurs sont collectées lors du parcours de dépôt de garantie initié par la Conciergerie. Aucun compte permanent n'est créé pour le Voyageur.
| Catégorie | Données |
|---|---|
| Identification | Nom, prénom |
| Contact | Adresse e-mail (envoi du lien de caution et du reçu), numéro de téléphone (SMS optionnel) |
| Données de paiement | Données de pré-autorisation bancaire traitées exclusivement par Stripe (numéro de carte, CVV, etc. — non stockées par Zumeo SASU) ; seul l'identifiant Stripe du PaymentIntent est conservé |
| Documents visuels | Photographies de Check-in et Check-out téléchargées par la Conciergerie ou, facultativement, par le Voyageur lui-même (stockées chiffrées sur OVH Object Storage) |
| Données du séjour | Dates d'arrivée et de départ, bien concerné, montant du dépôt de garantie |
| Rapports IA | Résultats des analyses Mistral AI (détection de dommages, score de confiance, traduction le cas échéant), conservés avec le prompt utilisé et la réponse brute du modèle pour des raisons de traçabilité juridique |
| Données de navigation | Horodatage et IP lors de l'accès au portail invité (logs techniques) |
3.4 Visiteurs du site toucaution.fr (Responsable de traitement : Zumeo SASU)
| Catégorie | Données |
|---|---|
| Navigation | Données de visites (pages vues, durée, provenance) — collectées de manière anonyme ou pseudonymisée via Matomo (voir §10) |
| Formulaire de contact | Nom, adresse e-mail, message libre (si formulaire de contact présent sur le site) |
4. Finalités et bases légales des traitements
4.1 Traitements pour lesquels Zumeo SASU est responsable de traitement
| Finalité | Base légale (art. 6 RGPD) | Description |
|---|---|---|
| Création et gestion des comptes Conciergerie | Exécution du contrat (art. 6.1.b) | Ouverture du compte, authentification, gestion des droits et rôles utilisateurs |
| Facturation et gestion de l'abonnement SaaS | Exécution du contrat (art. 6.1.b) + Obligation légale (art. 6.1.c — conservation comptable 10 ans) | Émission des factures, suivi des paiements, relances |
| Onboarding Stripe Connect de la Conciergerie | Exécution du contrat (art. 6.1.b) | Transmission des informations nécessaires à l'activation du compte Stripe Connect de la Conciergerie |
| Sécurité de la plateforme et prévention de la fraude | Intérêt légitime (art. 6.1.f) | Journalisation des connexions, détection d'anomalies, protection contre les accès non autorisés |
| Amélioration du Service et analyse statistique d'usage agrégé | Intérêt légitime (art. 6.1.f) | Statistiques d'usage anonymisées, tableaux de bord internes |
| Support client | Exécution du contrat (art. 6.1.b) / Intérêt légitime (art. 6.1.f) | Traitement des demandes d'assistance |
| Communication commerciale (newsletter, nouvelles fonctionnalités) | Consentement (art. 6.1.a) pour les particuliers / Intérêt légitime (art. 6.1.f — Recital 47) pour la prospection B2B | Envoi d'informations sur les évolutions du Service aux contacts consentants |
| Analytics de navigation sur toucaution.fr | Consentement (art. 6.1.a) si cookies déposés / mesure d'audience anonyme sans consentement si configuration cookieless Matomo | Mesure de la fréquentation du site vitrine |
4.2 Traitements pour lesquels Zumeo SASU est sous-traitant (RT : la Conciergerie)
Dans ce cadre, Zumeo SASU traite les données des Propriétaires et des Voyageurs uniquement sur instruction documentée de la Conciergerie responsable de traitement. Les finalités sont :
| Finalité | Description |
|---|---|
| Gestion du dépôt de garantie | Collecte et stockage sécurisé des informations du séjour, déclenchement de la pré-autorisation bancaire via Stripe Connect |
| Constat visuel assisté par IA | Analyse comparative des photographies d'état des lieux d'entrée et de sortie par l'API Mistral AI, génération du rapport de dommages avec score de confiance |
| Génération documentaire | Création des PDF certifiés (rapport d'état des lieux, dossier de litige horodaté et hachage SHA-256 d'intégrité) |
| Information et notification | Envoi des liens de caution, notifications de statut, certificat de départ propre au Voyageur |
| Traçabilité juridique | Journalisation immuable des actions critiques (validation de dommage, déclenchement de prélèvement, envoi de litige) |
⚠️ Point de vigilance — Décision automatisée : l'analyse IA de Mistral AI ne constitue jamais une décision automatisée au sens de l'art. 22 RGPD. Toute action ayant un impact financier (prélèvement, envoi d'un courrier de litige) requiert une action explicite d'un utilisateur humain de la Conciergerie. Les résultats d'analyse présentant un score de confiance inférieur à 70 % font l'objet d'une escalade humaine obligatoire et ne peuvent jamais fonder seuls une retenue de caution.
5. Durées de conservation
5.1 Données des comptes Conciergerie (RT : Zumeo SASU)
| Données | Durée de conservation |
|---|---|
| Données du compte actif | Durée de la relation contractuelle |
| Données de facturation et pièces comptables | 10 ans à compter de la clôture de l'exercice (obligation légale — art. L. 123-22 C. com.) |
| Logs de connexion et d'audit | 12 mois glissants en base active ; archivage sécurisé 3 ans (délai de prescription de droit commun) |
| Données après clôture du compte | Archivage sécurisé pendant 3 ans à compter de la résiliation (délai de prescription contractuelle), puis suppression définitive |
5.2 Données des Propriétaires et Voyageurs (RT : la Conciergerie — ST : Zumeo SASU)
Les durées ci-dessous sont proposées à titre de bonnes pratiques ; elles doivent être définies et documentées par la Conciergerie responsable de traitement et précisées dans le DPA.
| Données | Durée recommandée |
|---|---|
| Données du dépôt de garantie (informations du séjour, statut, identifiant Stripe) | 5 ans à compter du départ du Voyageur (délai de prescription des actions personnelles en matière locative — art. 2224 C. civ.) |
| Photographies d'état des lieux | 5 ans à compter du départ du Voyageur ; suppression anticipée possible sur demande de la Conciergerie ou du Voyageur (droit à l'effacement, sous réserve d'une procédure de litige en cours) |
| Rapports IA et journaux d'audit | 5 ans à compter de la date du rapport (traçabilité juridique et probatoire) |
| Données de navigation Voyageur (logs IP accès au portail invité) | 12 mois maximum |
5.3 Données des visiteurs du site (RT : Zumeo SASU)
| Données | Durée de conservation |
|---|---|
| Données d'analytics Matomo (agrégées ou pseudonymisées) | 13 mois maximum (recommandation CNIL) |
| Données de formulaire de contact | 3 ans à compter du dernier contact |
6. Destinataires et sous-traitants
Zumeo SASU ne vend jamais les données personnelles à des tiers. Les données peuvent être partagées uniquement avec les catégories de destinataires suivantes :
6.1 Sous-traitants techniques
| Prestataire | Rôle | Données transmises | Localisation |
|---|---|---|---|
| Stripe Payments Europe Ltd (entité irlandaise) | Prestataire de services de paiement, traitement des pré-autorisations et des prélèvements sur les cartes bancaires des Voyageurs, via les comptes Stripe Connect des Propriétaires (et, pour la facturation de l'abonnement TouCaution, via le compte Stripe Connect de la Conciergerie) | Données de paiement (traitées directement par Stripe, Zumeo SASU ne reçoit que les identifiants de transaction) | Irlande (UE), voir §7 pour le risque résiduel lié à la maison-mère américaine |
| Mistral AI SAS (société française) | Moteur d'intelligence artificielle — analyse des photographies d'état des lieux, traduction multilingue des rapports | Photographies des biens (contenant potentiellement des données personnelles des Voyageurs ou des Propriétaires), textes des rapports | France / Union européenne — voir §7 |
| OVHcloud SAS | Hébergement de l'infrastructure applicative (serveurs, bases de données PostgreSQL, stockage objets) | Toutes les données stockées par TouCaution (bases de données, fichiers médias, sauvegardes) | France (datacenters principaux GRA — Gravelines et SBG — Strasbourg) |
| n8n *(instance auto-hébergée sur OVH)* | Orchestration des automatisations (webhooks Stripe, génération des PDF certifiés, envoi d'e-mails/SMS, tâches planifiées) | Accès aux données nécessaires à l'exécution des workflows (métadonnées des dépôts, statuts, e-mails de notification) | Instance hébergée sur OVHcloud France |
| Prestataire d'envoi d'e-mails transactionnels | Fournisseur en cours de sélection | Adresses e-mail des Voyageurs, Propriétaires et utilisateurs Conciergerie, contenu des notifications | Union européenne (critère de sélection) |
| Prestataire d'envoi de SMS (si implémenté) | Fournisseur en cours de sélection | Numéros de téléphone des Voyageurs et utilisateurs Conciergerie | Union européenne (critère de sélection) |
6.2 Autres destinataires
| Destinataire | Justification |
|---|---|
| Conciergeries clientes | Accès aux données de leurs Propriétaires et Voyageurs dans le cadre de la relation ST/RT |
| Autorités compétentes | Sur réquisition judiciaire ou obligation légale (ex. DGFIP pour données fiscales, CNIL, autorités pénales) |
| Conseils juridiques de Zumeo SASU | En cas de litige, sous obligation de confidentialité |
7. Transferts de données hors de l'Union européenne
7.1 Stripe — Risque résiduel documenté
Le traitement des paiements est assuré par Stripe Payments Europe Limited, entité irlandaise agréée comme établissement de paiement par la Banque Centrale d'Irlande, soumise au droit européen. Cependant, la maison-mère du groupe, Stripe, Inc., est une société de droit américain (Delaware). Certains traitements globaux du groupe (infrastructure anti-fraude, données analytiques partagées, accès support de niveau 3) peuvent impliquer des transferts de données personnelles vers les États-Unis.
Garanties en place :
- Stripe s'engage contractuellement à encadrer ces transferts par des Clauses Contractuelles Types (Standard Contractual Clauses — SCC) approuvées par la Commission européenne, conformément au RGPD art. 46.2.c.
- La politique de confidentialité et le DPA de Stripe sont disponibles à l'adresse stripe.com/privacy et stripe.com/legal/dpa.
7.2 Mistral AI
Mistral AI SAS est une société française dont l'inférence est actuellement hébergée en Europe. Aucun transfert de données hors UE n'est déclaré par Mistral AI dans sa documentation publique à la date de rédaction du présent document.
7.3 OVHcloud et n8n auto-hébergé
Les données hébergées sur OVHcloud (France) ne font l'objet d'aucun transfert hors de l'Union européenne. OVHcloud est soumis au droit français et européen et n'est pas assujetti au Cloud Act américain. L'instance n8n étant auto-hébergée sur les serveurs OVH, aucun transfert vers un tiers hors UE n'est effectué dans ce mode opératoire.
8. Droits des personnes concernées et modalités d'exercice
Conformément au Règlement (UE) 2016/679 (RGPD), les personnes concernées dont les données sont traitées par Zumeo SASU en qualité de responsable de traitement disposent des droits suivants :
| Droit | Fondement | Description |
|---|---|---|
| Droit d'accès | Art. 15 RGPD | Obtenir une copie des données personnelles traitées |
| Droit de rectification | Art. 16 RGPD | Faire corriger des données inexactes ou incomplètes |
| Droit à l'effacement | Art. 17 RGPD | Demander la suppression des données, sous réserve des obligations légales de conservation |
| Droit à la limitation du traitement | Art. 18 RGPD | Demander la suspension temporaire du traitement |
| Droit à la portabilité | Art. 20 RGPD | Recevoir les données dans un format structuré et lisible par machine (applicable aux traitements fondés sur le consentement ou l'exécution du contrat) |
| Droit d'opposition | Art. 21 RGPD | S'opposer à un traitement fondé sur l'intérêt légitime (notamment prospection commerciale) |
| Droit de retrait du consentement | Art. 7.3 RGPD | Retirer à tout moment un consentement préalablement donné, sans préjudice des traitements antérieurs |
| Droit de ne pas faire l'objet d'une décision automatisée | Art. 22 RGPD | Non applicable en l'état (aucune décision automatisée au sens de l'art. 22 — voir §4.2) |
8.1 Modalités d'exercice
Pour les traitements dont Zumeo SASU est responsable de traitement :
Toute demande doit être adressée à privacy@toucaution.fr (à configurer avant lancement) en précisant le droit exercé et en joignant une copie d'un justificatif d'identité si la demande porte sur des données personnelles susceptibles d'appartenir à plusieurs personnes.
Zumeo SASU s'engage à répondre dans un délai d'un mois à compter de la réception de la demande complète (délai pouvant être prolongé de deux mois supplémentaires en cas de demande complexe ou nombreuses, avec information préalable).
Pour les traitements dont la Conciergerie est responsable de traitement (données Voyageur / Propriétaire) :
La demande doit être adressée directement à la Conciergerie concernée, qui est seule responsable de traitement pour ces données. Zumeo SASU, agissant en qualité de sous-traitant, transmettra à la Conciergerie concernée toute demande qu'elle recevrait directement dans un délai raisonnable afin que celle-ci y donne suite.
8.2 Droit de réclamation auprès de la CNIL
Toute personne concernée a le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- Site : www.cnil.fr
- Adresse : 3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07
- Téléphone : 01 53 73 22 22
9. Sécurité des données
Zumeo SASU met en œuvre les mesures techniques et organisationnelles suivantes pour assurer la sécurité des données personnelles :
9.1 Mesures techniques
| Mesure | Description |
|---|---|
| Chiffrement en transit | Toutes les communications avec la Plateforme sont chiffrées via TLS 1.2 minimum |
| Chiffrement au repos | Données hébergées sur OVH Object Storage et OVH Public Cloud chiffrées au repos |
| Authentification forte | Authentification à deux facteurs (TOTP) obligatoire pour tout compte Conciergerie ayant accès aux données des Voyageurs ou aux prélèvements Stripe |
| Hashage des mots de passe | Mots de passe stockés avec bcrypt — aucun mot de passe en clair |
| Contrôle d'accès strict | Séparation des rôles ; accès minimal au principe du moindre privilège |
| Journal d'audit immuable | Journal alimenté en écriture seule (sans modification ni suppression) pour toute action critique |
| Intégrité des preuves | Hash SHA-256 calculé sur chaque photographie au moment de l'upload, conservé de façon non modifiable dans la base de données |
| Headers HTTP de sécurité | Content-Security-Policy, HSTS, protection contre le clickjacking, contrôle des permissions navigateur |
| Vérification des webhooks | Signature des webhooks Stripe vérifiée obligatoirement avant tout traitement |
| Séparation des environnements | Environnements développement / démonstration / production strictement séparés ; aucune donnée réelle ne transite par un environnement de test |
9.2 Mesures organisationnelles
- Accès aux données de production limité aux membres de l'équipe Zumeo SASU ayant une nécessité opérationnelle justifiée.
- Politique de gestion des secrets (rotation des clés API, gestion sécurisée des variables d'environnement).
- Procédure de notification de violation de données conforme au délai réglementaire de 72h pour notification à la CNIL (art. 33 RGPD).
- Clauses de confidentialité dans les contrats des membres de l'équipe ayant accès aux données personnelles.
10. Cookies et traceurs
Le site toucaution.fr utilise des outils de mesure d'audience respectueux de la vie privée.
10.1 Outil de mesure d'audience — Matomo
TouCaution utilise Matomo (anciennement Piwik), une solution d'analytics open-source auto-hébergée sur l'infrastructure OVHcloud France, mutualisée entre les projets de Zumeo SASU (hub stats.zumeo.fr). Chaque projet dispose d'un identifiant de site distinct — les données de TouCaution ne sont jamais mélangées avec celles d'autres projets côté reporting.
Deux modes sont appliqués selon le contexte :
- Segment Voyageur (portail public one-shot,
/guest/*) : mode cookieless obligatoire. Aucun cookie n'est déposé, aucun consentement préalable n'est demandé. Cette configuration bénéficie de l'exemption CNIL prévue par la délibération n° 2020-092 (mesure d'audience anonymisée, IP masquée, pas de croisement avec d'autres traitements). - Segment professionnel (concierges, propriétaires, pages publiques hors portail voyageur) : cookies de mesure d'audience soumis à consentement. Une bannière de consentement est présentée dès le premier chargement de page. Aucun cookie de mesure d'audience n'est déposé ni ping envoyé à Matomo tant que l'utilisateur n'a pas cliqué sur « Accepter ». Le refus est aussi accessible que l'acceptation, et est mémorisé pendant 6 mois avant nouvelle sollicitation.
Réglages de confidentialité appliqués côté Matomo pour les deux modes :
- Anonymisation IP : les 2 derniers octets IPv4 / 3 derniers groupes IPv6 sont masqués.
- Respect du signal Do Not Track du navigateur.
- Rétention des données brutes limitée à 13 mois maximum.
- Aucun identifiant personnel (email, nom, ID applicatif) n'est envoyé — uniquement des catégories anonymes (type de segment, tranche de parc, etc.).
Aucune donnée d'analytics collectée via Matomo n'est transmise à des tiers ou à des serveurs hors de l'Union européenne.
10.2 Cookies strictement nécessaires
TouCaution utilise des cookies strictement nécessaires au fonctionnement du Service (session d'authentification, jeton CSRF, préférences de langue) qui ne nécessitent pas de consentement préalable conformément à la réglementation ePrivacy.
Le cookie tc_consent (durée 6 mois, valeur granted ou denied) mémorise votre choix de consentement analytics et est également considéré comme strictement nécessaire au respect de vos préférences.
10.3 Absence de traceurs publicitaires
Aucun traceur publicitaire tiers (Google Analytics, Meta Pixel, etc.) n'est déployé sur toucaution.fr ou dans l'application TouCaution.
10.4 Gestion des préférences
Vous pouvez modifier votre choix à tout moment en supprimant le cookie tc_consent depuis les paramètres de votre navigateur. La bannière de consentement s'affichera alors à nouveau lors de votre prochaine visite. Un gestionnaire de préférences dédié (bouton « Gérer mes cookies » accessible en pied de page) sera ajouté à la prochaine révision de l'interface.
11. Modifications de la présente politique
Zumeo SASU se réserve le droit de modifier la présente Politique de Confidentialité à tout moment, notamment pour se conformer à l'évolution de la réglementation applicable ou aux évolutions du Service. En cas de modification substantielle affectant les droits des personnes concernées, Zumeo SASU informera les utilisateurs Conciergerie par e-mail et/ou par notification dans l'application au moins 30 jours avant l'entrée en vigueur des modifications.
La date de dernière mise à jour figure en tête de document. L'utilisation du Service après la date d'entrée en vigueur des modifications vaut acceptation de la Politique de Confidentialité révisée (pour les traitements fondés sur le contrat ou l'intérêt légitime — le consentement, s'il est la base légale, devra être recueilli à nouveau).
12. Contact — Délégué à la Protection des Données
Pour toute question relative à la protection de vos données personnelles ou à l'exercice de vos droits :
Par e-mail : privacy@toucaution.fr *(adresse à créer et configurer avant lancement)*
Par courrier : Zumeo SASU — À l'attention du Responsable Protection des Données — 35 avenue Henri Dunant, Bât. C, 31130 Balma