Accueil

Politique de confidentialité

La présente politique décrit comment CESTIER, société par actions simplifiée (SAS) (« nous », « CESLOC ») traite les données personnelles dans le cadre du service de gestion locative.

1. Responsable de traitement

  • Exploitant : CESTIER, société par actions simplifiée (SAS), capital de 1 500 €, RCS Nantes 943 359 042, 17 La Corbinais, 44110 Châteaubriant, France
  • Contact : contact@cesloc.fr

Aucun délégué à la protection des données n'est désigné : le traitement ne porte pas sur des données sensibles à grande échelle et ne relève pas des cas de désignation obligatoire de l'article 37 du RGPD. Les demandes sont traitées à l'adresse ci-dessus.

2. Qui est responsable de quoi

Cette distinction commande vos interlocuteurs. Nous sommes responsables de traitement pour les données de compte de nos abonnés : identité, coordonnées professionnelles, facturation, journaux de connexion. Nous agissons en sous-traitant pour les données que nos abonnés enregistrent sur leurs locataires, garants et propriétaires : nous ne les traitons que sur leurs instructions, et nous ne les utilisons pour aucune finalité propre.

Si vous êtes locataire, garant ou propriétaire, votre interlocuteur est donc le gestionnaire ou le bailleur qui vous a inscrit. Nous relaierons votre demande vers lui si vous nous écrivez.

3. Données traitées

  • Identité et coordonnées des gestionnaires, propriétaires, locataires et garants
  • Données relatives aux biens, baux, loyers, charges et documents associés
  • Justificatifs déposés par les utilisateurs (diagnostics, états des lieux, devis)
  • Virements reçus, lus dans les relevés bancaires que le bailleur dépose pour pointer ses loyers : date, montant et libellé de chaque crédit. Le fichier du relevé n'est pas conservé, et les dépenses qu'il contient ne sont pas enregistrées.
  • Données de connexion, journaux techniques et d'audit
  • Données de paiement transmises à notre prestataire, nous ne conservons ni numéro de carte, ni coordonnées bancaires complètes

Nous ne pratiquons aucun profilage, aucune décision automatisée produisant des effets juridiques, et nous ne revendons aucune donnée.

4. Finalités et bases légales

  • Exécution du contrat (fourniture du service) : art. 6.1.b RGPD
  • Obligations légales (comptabilité, conservation de pièces), art. 6.1.c
  • Intérêt légitime (sécurité du service, prévention de la fraude, journal d'audit) : art. 6.1.f
  • Consentement, pour les communications optionnelles, art. 6.1.a

5. Destinataires et sous-traitants

  • Hébergement : Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne : Union européenne
  • Paiement : Stripe Payments Europe Limited (Irlande), pour l'abonnement
  • Acheminement des emails : Resend (Plus Five Five, Inc.), États-Unis

Si vous activez les notifications sur votre appareil, le service de notification de votre navigateur (Apple, Google ou Mozilla selon l'appareil) reçoit un identifiant d'abonnement ; le contenu des notifications est chiffré et ne lui est pas lisible. Nous n'avons pas d'autre sous-traitant. Les documents que vous déposez sont stockés sur notre propre infrastructure, chez l'hébergeur ci-dessus.

6. Durées de conservation

Les données de compte et de facturation sont conservées pendant la durée de l'abonnement, puis trente jours après la fin du service pour permettre l'export ; l'organisation est ensuite supprimée. Les données traitées pour le compte de l'utilisateur (locataires, garants, propriétaires, baux, pièces, quittances, décomptes) suivent le même sort : l'utilisateur, responsable de traitement, en conserve lui-même l'export aussi longtemps que ses obligations l'exigent, notamment cinq ans après la fin d'un bail pour les actions en paiement. Un locataire conserve l'accès à son espace et à ses documents pendant douze mois après la fin de son bail. Les pièces comptables de l'exploitant sont conservées dix ans conformément au code de commerce. Les journaux techniques et d'audit sont conservés trois ans.

7. Transferts hors Union européenne

Les données du service sont hébergées dans l'Union européenne. Notre prestataire de paiement, Stripe Payments Europe Limited, est établi en Irlande. Notre routeur d'emails, Resend (Plus Five Five, Inc.), est établi aux États-Unis : ce transfert est encadré par les clauses contractuelles types de la Commission européenne et par le cadre de protection des données UE–États-Unis, auquel il adhère. Seules les données nécessaires à l'acheminement du message lui sont transmises : nom, adresse électronique et contenu du message. Avec votre accord seulement, la mesure d'audience du site public (Google) peut aussi entraîner un transfert aux États-Unis, dans le cadre du Data Privacy Framework : voir la section « Cookies et mesure d'audience ».

8. Cookies et mesure d'audience

L'application (espace bailleur, espace locataire, espace propriétaire) n'utilise que les cookies strictement nécessaires au service : maintien de la session authentifiée et protection contre la falsification de requêtes. Ils sont dispensés de consentement au titre de l'article 82 de la loi Informatique et Libertés.

Sur le site public seulement (accueil, présentation, inscription, connexion), nous vous proposons une mesure d'audience : savoir quelles pages sont consultées et d'où viennent nos visiteurs, y compris depuis nos annonces. Elle repose sur Google Tag Manager et Google Analytics, fournis par Google Ireland Limited, et ne fonctionne qu'avec votre accord : tant que vous n'avez pas cliqué sur « D'accord », aucun script Google n'est chargé et aucun cookie n'est déposé. Refuser n'a aucune conséquence sur l'utilisation du site.

Si vous acceptez, Google dépose des cookies de mesure (préfixés « _ga ») conservés au plus treize mois. Les données peuvent être transférées aux États-Unis, dans le cadre du Data Privacy Framework auquel Google adhère. Votre choix est conservé treize mois, puis vous est redemandé. Vous pouvez le changer à tout moment par le lien « Cookies » en bas des pages du site.

Indépendamment de ce choix, nous comptons les pages vues du site public de façon anonyme, pour connaître sa fréquentation et l'origine de nos visiteurs. Pour savoir si un visiteur revient, votre navigateur garde un identifiant tiré au hasard (stockage local, renouvelé au plus tard après treize mois), qui ne contient ni votre nom ni aucune autre donnée et ne sert qu'à cette mesure. Cette mesure ne conserve aucune adresse IP, aucune donnée n'est transmise à un tiers ni rapprochée d'une autre, et les statistiques sont conservées treize mois au plus. Elle est dispensée de consentement au titre de l'article 82 de la loi Informatique et Libertés. Vous pouvez effacer cet identifiant à tout moment en supprimant les données du site dans votre navigateur.

Dans l'application, nous enregistrons les pages utilisées par chaque compte, et si l'application a été installée sur l'écran d'accueil d'un appareil, pour savoir ce qui sert et améliorer le service (intérêt légitime). Ces informations ne quittent pas nos serveurs, ne servent à aucune publicité et sont conservées treize mois au plus.

Les polices de caractères sont servies depuis nos serveurs et non depuis un service tiers : aucune adresse IP n'est communiquée à un fournisseur de polices.

9. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives post-mortem.

Pour les exercer, écrivez à contact@cesloc.fr en précisant votre demande. Nous répondons dans un délai d'un mois, prorogeable de deux mois pour les demandes complexes, et nous pouvons demander un justificatif d'identité en cas de doute raisonnable. Les abonnés disposent en outre, depuis leur espace, d'un export de leurs données et de la suppression de leur compte.

Vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr

10. Sécurité

Les accès sont cloisonnés par organisation au niveau de la base de données, les mots de passe sont stockés sous forme de condensats bcrypt, les échanges sont chiffrés en transit et les actions sensibles sont journalisées dans un journal d'audit consultable. Les sauvegardes sont conservées chez l'hébergeur, dans la même zone géographique. La console d'exploitation dispose d'une authentification à deux facteurs par code temporaire.

Comme tout service en ligne, nos serveurs tiennent un journal technique des connexions : date, page demandée, adresse IP, navigateur et réponse du serveur. Il sert uniquement à la sécurité du service (détection des attaques, diagnostic des pannes) et à répondre aux demandes des autorités judiciaires, conformément à l'article 6 de la loi pour la confiance dans l'économie numérique et au décret n° 2021-1362. Il n'est jamais utilisé pour la mesure d'audience ni pour la publicité, n'est accessible qu'à l'exploitant et est effacé au bout d'un an. Les cookies de session et les liens de connexion n'y figurent pas.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifions la CNIL dans les 72 heures et informons les personnes concernées lorsque le risque est élevé.

11. Mise à jour

Dernière mise à jour : 22 octobre 2026. Toute modification substantielle est portée à votre connaissance par email ou à votre prochaine connexion.