Politique de Confidentialité
Dernière mise à jour : 12/08/2026
Politique de Confidentialité
Date de dernière mise à jour : 11 août 2026
Version : 1.3
1. Responsable du traitement
Karamba Sakho, Entrepreneur Individuel
Email : contact@limaniya.fr
Adresse : 3 Impasse du Général Albert d'Amade, 31200 Toulouse, France
2. Double qualité RGPD
En tant qu'éditeur de Limaniya Host :
- Responsable de traitement pour : les comptes clients (conciergeries), la facturation, les logs applicatifs, les cookies analytics, les logs du co-pilote IA
- Sous-traitant (Art. 28 RGPD) pour : les données voyageurs et propriétaires confiées par les conciergeries clientes
3. Données collectées
3.1 En tant que responsable de traitement
| Catégorie | Données | Finalité | Base légale |
|---|---|---|---|
| Compte utilisateur | Nom, email, hash MDP (bcrypt), rôle | Authentification | Exécution contrat |
| Appareils de confiance | Empreinte appareil (SHA-256), hash PIN (bcrypt), nom appareil | Connexion sécurisée simplifiée | Intérêt légitime |
| Facturation | SIRET, IBAN, factures | Obligations comptables | Obligation légale |
| Logs applicatifs | IP, actions, horodatage | Sécurité, débogage | Intérêt légitime |
| Logs co-pilote IA | Requête utilisateur, réponse IA, outils utilisés, confirmation | Audit, sécurité, amélioration | Intérêt légitime |
| Alertes proactives | Type, sévérité, statut lecture, horodatage | Information gestionnaire | Intérêt légitime |
| Cookies analytics | Données anonymisées | Mesure d'audience | Consentement |
3.2 En tant que sous-traitant
Les données confiées par les conciergeries (voyageurs, propriétaires) sont traitées selon les instructions des clients responsables de traitement.
4. Intelligence artificielle et transparence
Limaniya Host intègre un co-pilote IA fonctionnant sur le modèle Groq LLaMA 3.3 70B et utilise OpenAI (reconnaissance vocale Whisper, Vision, Embeddings) avec le mode Zero Data Retention activé.
Concernant l'article 22 RGPD (décision automatisée) : le co-pilote interne destiné aux équipes de la conciergerie n'effectue aucune action à fort impact (modification, suppression, envoi vers un tiers) sans validation humaine explicite.
L'assistant voyageur Hakilo fonctionne différemment : il répond automatiquement aux messages WhatsApp des voyageurs, sans validation préalable. Ces réponses portent sur des informations pratiques de séjour (horaires, accès, équipements, recommandations) et ne constituent pas des décisions produisant des effets juridiques ou affectant significativement la personne au sens de l'article 22. Les sujets sensibles — prix, remboursement, annulation, litige, urgence — sont détectés et systématiquement transmis à un opérateur humain sans réponse automatique.
Les données transmises à Groq et OpenAI sont limitées au strict nécessaire et ne sont pas conservées par ces prestataires au-delà du traitement immédiat (Zero Data Retention).
4.1 Assistant voyageur (Hakilo)
Les messages WhatsApp échangés avec les voyageurs sont traités automatiquement afin de produire une réponse. Ce traitement est effectué pour le compte de la conciergerie, responsable de traitement, sur la base de l'article 28 du RGPD.
| Élément | Détail |
|---|---|
| Données traitées | Numéro de téléphone, contenu des messages (texte, audio transcrit, images), historique de la conversation |
| Destinataires | WhatsApp Ireland Limited (acheminement), Groq Inc. (génération de la réponse), OpenAI L.L.C. (transcription audio, analyse d'image, embeddings), Upstash Inc. (programmation de l'envoi différé) |
| Rétention chez les prestataires IA | Aucune — mode Zero Data Retention chez Groq et OpenAI |
| Rétention chez Limaniya | Conversations et messages supprimés automatiquement 12 mois après le dernier échange ; suppression anticipée sur demande. Mémoire de conversation supprimée après 365 jours d'inactivité. |
| Transparence | Le voyageur est informé qu'il dialogue avec une IA dès le premier message (AI Act art. 50(1)) |
Les sujets sensibles sont escaladés automatiquement vers un opérateur humain, sans réponse générée sur le fond.
Les photos et documents téléversés dans l'application sont supprimés automatiquement à l'expiration de la durée prévue par le plan souscrit par la conciergerie (14, 90 ou 365 jours), du stockage comme de la base de données.
5. Durées de conservation
| Données | Durée |
|---|---|
| Données compte actif | Durée du contrat + 3 ans |
| Données facturation | 10 ans (Code général des impôts) |
| Conversations et messages WhatsApp | 12 mois après le dernier échange |
| Mémoire de conversation | 365 jours sans nouvel échange |
| Fichiers média (photos, documents) | 14, 90 ou 365 jours selon le plan souscrit |
| Logs applicatifs et rapports d'erreur | Non conservés par l'Éditeur — 1 heure chez Vercel, 30 jours chez Sentry |
| Logs co-pilote IA (CopilotLog) | 90 jours |
| Alertes proactives lues | 48 heures après lecture |
| Appareils de confiance | Jusqu'à révocation par l'utilisateur |
| Cookies analytics | 13 mois (cookie) / 24 mois (données agrégées) |
Le registre des activités de traitement détaille chaque durée et le mécanisme de suppression correspondant. En cas de divergence, il fait foi.
6. Destinataires et sous-traitants
| Sous-traitant | Finalité | Localisation | Garanties |
|---|---|---|---|
| Vercel Inc. | Hébergement application | USA | Data Privacy Framework |
| Supabase Inc. | Base de données | eu-west-3 Paris | CCT 2021/914 |
| Resend Inc. | Emails transactionnels | USA | Data Privacy Framework |
| Upstash Inc. | Cache, rate limiting | EU Frankfurt | Données en UE |
| Sentry (Functional Software Inc.) | Monitoring erreurs | EU Frankfurt | Données en UE |
| PostHog Inc. | Analytics | EU | Serveurs UE |
| Groq Inc. | IA générative (co-pilote) | USA | SCCs 2021/914 + Zero Data Retention |
| OpenAI, L.L.C. | STT, Vision, Embeddings | USA | Data Privacy Framework + Zero Data Retention |
| Twilio Inc. | SMS escalade support | USA | Data Privacy Framework |
| WhatsApp Ireland Limited (Meta) | Messagerie voyageurs (WhatsApp Business Cloud API) | Irlande + USA | Data Privacy Framework + Addendum de transfert WhatsApp Business |
7. Transferts hors Union Européenne
Vercel, Resend, OpenAI et Twilio sont des entreprises américaines certifiées au titre du EU-U.S. Data Privacy Framework. Supabase est couverte par les Clauses Contractuelles Types (CCT) — décision 2021/914. Groq est encadré par les Clauses Contractuelles Types (CCT) — décision 2021/914.
Les messages échangés via WhatsApp Business Cloud API sont traités par WhatsApp Ireland Limited (Irlande), qui peut les transférer à WhatsApp LLC et Meta Platforms, Inc. (États-Unis) sous couvert du même cadre, complété par le *WhatsApp Business Data Transfer Addendum*. Sur ce canal, le contenu des messages est accessible à Meta en tant qu'opérateur d'hébergement : il n'y a pas de chiffrement de bout en bout entre le voyageur et la conciergerie.
OpenAI et Groq opèrent avec le mode Zero Data Retention : aucune donnée n'est stockée au-delà du traitement de la requête.
Les données sont physiquement stockées sur des serveurs situés en France (région eu-west-3, Paris).
8. Droits des personnes concernées
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès (Art. 15) — obtenir une copie de vos données, y compris les logs du co-pilote IA
- Droit de rectification (Art. 16) — corriger vos données
- Droit à l'effacement (Art. 17) — demander la suppression
- Droit à la limitation (Art. 18) — restreindre le traitement
- Droit à la portabilité (Art. 20) — recevoir vos données en format structuré
- Droit d'opposition (Art. 21) — vous opposer au traitement fondé sur l'intérêt légitime
- Droit de ne pas faire l'objet d'une décision automatisée (Art. 22) — le co-pilote interne requiert une validation humaine ; les réponses automatiques de l'assistant voyageur Hakilo portent sur des informations pratiques de séjour et ne produisent pas d'effet juridique ni d'incidence significative au sens de l'article 22
Pour exercer ces droits : contact@limaniya.fr — réponse sous 30 jours.
9. Droit de réclamation CNIL
Vous avez le droit d'introduire une réclamation auprès de la CNIL :
Commission Nationale de l'Informatique et des Libertés
3 Place de Fontenoy, TSA 80715 — 75334 Paris Cedex 07
Site : https://www.cnil.fr — Tél. : 01 53 73 22 22
10. Cookies
Limaniya Host utilise le gestionnaire de consentement Tarteaucitron conformément aux recommandations CNIL 2024.
| Type | Nom / Service | Finalité | Durée | Consentement |
|---|---|---|---|---|
| Essentiel | Session JWT (localStorage) | Authentification | 4h (auto-expiration) | Non requis |
| Essentiel | selectedProperty (localStorage) | Préférence propriété | Session | Non requis |
| Analytics | PostHog | Mesure d'audience | 13 mois | Requis |
| Analytics | Vercel Analytics | Performance | Session | Requis |
Aucun cookie de ciblage publicitaire n'est utilisé. Vous pouvez gérer vos préférences à tout moment via le bandeau Tarteaucitron (icône en bas de page).
Données stockées localement (localStorage) : la session utilisateur (JWT) expire automatiquement après 4 heures d'inactivité. L'identifiant de propriété sélectionnée est conservé pour améliorer l'expérience utilisateur.
11. Sécurité
Limaniya Host met en œuvre les mesures suivantes :
- Chiffrement TLS en transit (HTTPS obligatoire)
- Chiffrement AES-256 des données au repos
- Row Level Security (RLS) pour l'isolation multi-tenant
- Hash bcrypt pour mots de passe et codes PIN
- Empreinte SHA-256 pour les appareils de confiance
- Journalisation des accès et des actions IA (CopilotLog)
12. Modifications
La présente politique peut être mise à jour. En cas de modification substantielle, les utilisateurs sont notifiés par email avec un délai de préavis de 30 jours.