Vos données, notre responsabilité.

Section 01Responsable du traitement

Lilaïa, société par actions simplifiée au capital social de 1 250 euros, immatriculée au RCS de Versailles sous le numéro 106 848 484, numéro de TVA intracommunautaire FR40106848484, dont le siège social est situé 7 avenue de l'Amiral Serre, 78000 Versailles (« Lilaïa », « nous »), agit en qualité de responsable de traitement au sens du Règlement (UE) 2016/679 (RGPD).

Contact du Délégué à la Protection des Données (DPO) : dpo@lilaia.fr.

Section 02Données collectées et finalités

Nous collectons uniquement les données strictement nécessaires à l'exécution du contrat (principe de minimisation, article 5 RGPD) :

• Identité : nom, prénom, email, téléphone, adresse — finalité : création de compte et facturation.
• Vérification des Agents : SIRET, qualifications légales pour les métiers réglementés — finalité : conformité légale (notamment article L.8221-1 du Code du travail relatif à la lutte contre le travail dissimulé) et transparence envers le consommateur.
• Paiement : identifiants de transaction (tokens), historique des transactions ; les IBAN des Agents sont détenus par Stripe — finalité : versement des sommes dues et reporting fiscal (article 242 bis du Code général des impôts).
• Logs techniques : adresse IP, user-agent, date et heure de connexion — finalité : sécurité (article 32 RGPD).
• Contenus de messagerie : voir la section 08 dédiée.
• Photos de fin de mission : photos de la prestation réalisée, déposées par l'Agent sur la fiche de la Mission et visibles uniquement de l'Hôte et de l'Agent concernés. Elles peuvent montrer l'intérieur du logement — finalité : rendre compte à l'Hôte de la prestation réalisée (exécution du contrat, article 6.1.b RGPD). Elles ne sont jamais jointes aux emails, qui renvoient seulement à la Plateforme.
• Preuve de mission géolocalisée (Agents, facultative) : si l'Agent active cette option, un point de position est enregistré à son arrivée et à la fin de chaque Mission — deux relevés au plus par Mission, jamais de suivi pendant l'intervention. L'Hôte ne voit qu'une distance approximative au logement, jamais la position exacte — finalité : preuve de présence sur place ; base légale : le consentement de l'Agent (article 6.1.a RGPD), retiré à tout moment en désactivant l'option.
• Assistant IA (Agents, facultatif) : lorsqu'un Agent interroge l'assistant, sa question et les données nécessaires pour y répondre (ses Missions, factures hors coordonnées bancaires, planning, clients, et les derniers messages de ses conversations, y compris ceux rédigés par des Hôtes) sont transmises au modèle d'intelligence artificielle Gemini de Google. Lorsque l'Agent joint un document à l'assistant (tableur ou PDF, par exemple pour importer son fichier clients), le contenu textuel de ce document est également transmis ; le fichier lui-même n'est pas conservé, et son contenu extrait n'est gardé sur nos serveurs que trente (30) minutes au plus, le temps que l'assistant le lise. L'assistant n'exécute aucune action — notamment aucun import de clients ou de missions — sans validation expresse de l'Agent — finalité : aider l'Agent à gérer son activité ; base légale : exécution du service demandé par l'Agent (article 6.1.b RGPD) et, pour les données des Hôtes figurant dans ces échanges, intérêt légitime (article 6.1.f RGPD). L'historique des échanges avec l'assistant est conservé sur nos serveurs, pas chez Google. Le contenu des documents joints n'y figure pas en tant que tel — seul leur nom y est inscrit — mais les réponses de l'assistant, qui peuvent en reprendre des éléments (par exemple les noms et coordonnées des clients à importer), y sont conservées comme le reste de l'échange.

Ces données sont collectées via les formulaires d'inscription Hôte et Agent, le formulaire de vérification professionnelle, le formulaire de réservation d'une Mission, la messagerie intégrée, ainsi que par l'interactivité établie entre vous et la Plateforme (cookies et fichiers journaux, voir la section 07).

Section 03Isolation des données entre Hôtes Gérés et Sociétés de Conciergerie

Lorsqu'un Hôte est géré par une Société de Conciergerie sur la Plateforme, Lilaïa met en œuvre une isolation technique stricte : les données relatives à l'activité de cet Hôte en dehors du périmètre confié à la Société de Conciergerie ne sont, à aucun moment, rendues accessibles à cette dernière. Cette isolation est un principe de conception de la Plateforme (« privacy by design »).

Section 04Durées de conservation

• Compte actif : durée de la relation contractuelle.
• Compte inactif (clôturé) : trois (3) ans à compter de la clôture.
• Données comptables et de facturation : dix (10) ans (Code de commerce).
• Photos de fin de mission et relevés de position : conservés avec la Mission à laquelle ils se rattachent, selon les durées ci-dessus.
• Logs de connexion : douze (12) mois (LCEN).
• Justificatifs de vérification professionnelle (SIRET, qualifications) : cinq (5) ans après la dernière transaction (obligations de lutte contre le blanchiment et le financement du terrorisme, LCB-FT).
• Messages et métadonnées de messagerie : durée du compte actif, puis treize (13) mois après la suppression du compte.
• Signalements de messagerie : treize (13) mois après leur traitement.

Section 05Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez à tout moment des droits suivants : accès, rectification, effacement, limitation, portabilité, opposition, et droit de définir des directives post-mortem.

Pour exercer ces droits, écrivez à dpo@lilaia.fr. Réponse sous trente (30) jours maximum (article 12 RGPD). En cas de difficulté, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

Section 06Sécurité et chiffrement

Toutes les communications avec la Plateforme sont chiffrées en transit (TLS 1.3). Les mots de passe sont hachés (bcrypt, cost 12) et ne peuvent être lus en clair, même par notre équipe technique. Les serveurs sont hébergés en France ; l'identité de l'hébergeur figure dans nos mentions légales.

Les messages échangés sur la messagerie interne sont stockés en clair sur nos serveurs et accessibles à notre équipe en cas de modération sur signalement (voir la section 08). Ils ne sont pas chiffrés de bout en bout ; une évolution vers un chiffrement applicatif renforcé est envisagée mais non disponible à ce jour.

En cas de violation de données, la CNIL est notifiée sous 72 heures (article 33 RGPD) et les utilisateurs concernés sont informés sans délai.

Section 07Cookies et mesure d'audience

Nous utilisons uniquement des cookies essentiels au fonctionnement du site (session, protection CSRF) et, sous votre consentement lorsqu'il est requis, un outil de mesure d'audience anonymisée (Plausible).

Aucun cookie publicitaire ni de traçage tiers n'est déposé sur la Plateforme. Vous pouvez gérer ou supprimer les cookies à tout moment via les réglages de votre navigateur.

Par ailleurs, dans le cadre de ses actions de prospection commerciale (recrutement d'Hôtes et d'Agents), Lilaïa peut utiliser des outils publicitaires tiers, notamment Facebook / Meta Ads, pour diffuser des annonces et recueillir des candidatures via des formulaires hébergés sur ces plateformes tierces. Ces traitements sont réalisés directement par Meta selon sa propre politique de confidentialité et n'impliquent pas de cookie de reciblage déposé sur lilaia.fr elle-même.

Section 08Messagerie interne

Lilaïa propose une messagerie sécurisée entre Hôtes et Agents pour faciliter les échanges professionnels.

8.1 Données traitées

• contenu des messages (texte et pièces jointes : images et PDF) ;
• métadonnées : horodatages d'envoi et de lecture, état d'archivage par participant, indicateur de présence de coordonnées détectées ;
• signalements : raison structurée (spam, harcèlement, fraude, etc.) et détails optionnels.

8.2 Finalités et base légale

Acheminement des échanges entre les deux parties d'une conversation acceptée (exécution du contrat, article 6.1.b RGPD) ; modération en cas de signalement et tenue d'audit logs de sécurité (intérêt légitime, article 6.1.f RGPD).

8.3 Destinataires

Strictement les deux participants de la conversation. Aucun tiers, aucun usage marketing. Notre équipe de modération peut accéder aux messages signalés dans le cadre du traitement d'un signalement légitime.

8.4 Sécurité

Transmission HTTPS, stockage PostgreSQL, contrôles d'accès stricts (anti-énumération de conversations tierces, autorisations des participants vérifiées à chaque requête et côté serveur).

8.5 Vos droits sur la messagerie

Accès, rectification, suppression (suppression logique du compte rendant les messages inaccessibles), portabilité, opposition, limitation — modalités d'exercice à la section 05.

8.6 Notifications email

Lorsqu'un nouveau message vous est adressé, nous vous prévenons par email (fonctionnalité activée par défaut). Données traitées : votre adresse email et un indicateur d'acceptation des notifications. Base légale : intérêt légitime (article 6.1.f RGPD), la notification étant strictement liée à un événement attendu. Vous disposez d'un droit d'opposition (article 21 RGPD) exerçable via le lien « Désinscrire » présent dans chaque email, ou en écrivant à dpo@lilaia.fr. Nous limitons l'envoi à un maximum d'un email par conversation toutes les quinze (15) minutes par destinataire. Les emails de notification ne contiennent aucun contenu de message, uniquement un lien vers la conversation et le lien de désinscription.

Section 09Destinataires et sous-traitants

Vos données peuvent être communiquées, dans la stricte limite de ce qui est nécessaire, aux catégories de destinataires suivantes :

• Stripe Payments Europe Ltd : traitement des paiements et vérification liée aux comptes Stripe Connect des Agents.
• Notre hébergeur : hébergement de la Plateforme (serveurs en France) — identité précisée dans les mentions légales.
• Plausible : mesure d'audience anonymisée.
• Google LLC (Gemini API) : traitement des requêtes de l'assistant IA, uniquement lorsqu'un Agent s'en sert (voir la section 02). Les requêtes ne sont pas conservées par Google au titre de l'historique de conversation, et ne servent pas à l'entraînement de ses modèles dans le cadre de l'offre payante que nous utilisons.
• Meta / Facebook : uniquement dans le cadre de nos campagnes de prospection commerciale externes (voir la section 07), et non pour les données des Utilisateurs inscrits sur la Plateforme.
• les autres Utilisateurs de la Plateforme, dans la mesure nécessaire à la mise en relation ;
• les autorités administratives ou judiciaires, sur réquisition et dans les limites légales ;
• tout acquéreur ou partenaire, en cas d'opération de restructuration, de fusion ou de cession de tout ou partie de l'activité de Lilaïa.

Lilaïa ne vend pas vos données personnelles à des tiers à des fins de prospection commerciale de ces tiers.

Section 10Transferts hors de l'Union européenne

Les serveurs hébergeant la Plateforme, la base de données et les fichiers sont situés en France. Hors l'exception de l'assistant IA décrite ci-dessous, les données des Utilisateurs inscrits ne font l'objet d'aucun transfert hors de l'Espace économique européen.

Assistant IA : lorsqu'un Agent utilise l'assistant, les données décrites à la section 02 sont traitées par Google LLC, qui peut les traiter hors de l'Espace économique européen, notamment aux États-Unis. Ce transfert repose sur la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework), dont Google LLC est adhérent, et à défaut sur les clauses contractuelles types de la Commission. Aucun transfert n'a lieu si l'Agent n'utilise pas l'assistant.

Seul Meta / Facebook, utilisé pour nos campagnes de prospection commerciale externes (voir la section 07) et non pour les données des Utilisateurs inscrits, peut traiter des données aux États-Unis. Ce transfert est encadré par les garanties appropriées prévues par le RGPD (clauses contractuelles types de la Commission européenne, ou décision d'adéquation applicable), dont vous pouvez obtenir copie sur simple demande à dpo@lilaia.fr.

Section 11Mineurs

La Plateforme n'est pas destinée aux personnes âgées de moins de dix-huit (18) ans. Nous ne collectons pas sciemment de données concernant des mineurs.

Section 12Modifications de la présente Politique

Nous pouvons modifier la présente Politique de Confidentialité, notamment pour refléter une évolution de nos pratiques ou de la réglementation. Toute modification substantielle vous sera notifiée par email ou par une notification sur la Plateforme avant son entrée en vigueur.

Section 13Contact

Pour toute question relative à la présente Politique de Confidentialité ou pour exercer vos droits : dpo@lilaia.fr — Lilaïa SAS, 7 avenue de l'Amiral Serre, 78000 Versailles.