Politique
de confidentialité.

Le responsable du traitement est Kévin Boulade, porteur du projet Hostia (société en formation), établi à 06000 Nice, France. L'équipe Hostia répond à toute question relative à vos données, à contact@hostiafr.fr ou par courrier au siège social.

Cette politique s'applique aux données traitées dans le cadre de la navigation sur le site, de l'utilisation des formulaires, de la gestion des réservations et de l'exécution des contrats de gestion et le suivi des séjours.

Nous ne collectons que les données nécessaires à la relation contractuelle et au fonctionnement du site :

• Identité : civilité, nom et prénom des propriétaires clients et, le cas échéant, des voyageurs accueillis.
• Coordonnées : adresse postale, adresse électronique, numéro de téléphone.
• Documents contractuels : pièce d'identité, titre de propriété ou justificatif de jouissance, RIB, déposés dans l'espace propriétaire.
• Données de séjour : dates, bien concerné, nombre de voyageurs, prestations associées (ménage, interventions) et photographies de contrôle qualité.
• Données reprises des plateformes de réservation, à l'initiative du propriétaire : le calendrier de l'annonce (dates réservées ou fermées, sans nom ni prix) et, lorsqu'il nous transfère les e-mails de réservation, le prénom et nom du voyageur, les dates, le nombre de voyageurs et le montant versé à l'hôte — pour l'organisation des séjours et le relevé du propriétaire.
• Données de facturation : montants de nos honoraires, historique des règlements et coordonnées bancaires (IBAN) que vous nous confiez. Les loyers de vos voyageurs ne transitent pas par nous : ils vous sont versés par les plateformes.
• Données de contact : contenu des messages envoyés via les formulaires de contact, d'estimation, de rappel, de rendez-vous et de demande entreprise.
• Rendez-vous pris en ligne : nom, e-mail, téléphone, type (appel ou visite), date et heure choisies, adresse du bien pour une visite, et le message facultatif que vous ajoutez.
• Provenance d'une demande : la page par laquelle vous êtes arrivé sur le site, la page d'envoi, le nom de domaine du site qui vous a amené (jamais l'adresse complète de la page, ni une recherche tapée) et, s'il y en a, les paramètres de campagne du lien suivi. Votre navigateur les lit au moment où vous envoyez un formulaire, et seulement à ce moment : rien n'est enregistré sur votre appareil pour cela.
• Alerte « cadre 2027 » : votre e-mail, votre prénom si vous le donnez, et la date et la formulation exacte de votre accord.
• Données techniques : journaux de connexion, adresse IP et horodatage des envois de formulaire, conservés à seule fin de sécurité et de limitation des envois abusifs.
• Audit d'annonce : pour compter les audits offerts, nous conservons une empreinte salée (SHA-256) de votre adresse IP et de votre e-mail — jamais leur valeur en clair. Cette empreinte reste une donnée pseudonymisée et sert uniquement à ce comptage.
• Audit d'annonce, contenu : le texte de l'annonce, les chiffres déclarés, vos coordonnées et le rapport sont conservés avec votre demande, pour vous recontacter.
• Photos transmises pour un audit : réduites sur votre appareil (sans métadonnées de localisation), analysées par notre prestataire d'intelligence artificielle (section 7), puis supprimées avec la requête. Elles ne sont jamais enregistrées sur nos serveurs.
• Données professionnelles : pour les comptes entreprises et partenaires, raison sociale, fonction de l'interlocuteur et informations relatives au besoin exprimé.
• Signature électronique d'un contrat : nom et mention saisis, tracé de la signature, adresse IP, navigateur, date et empreinte du document signé — la preuve de votre accord.
• Messages : ceux que vous nous envoyez par les formulaires, depuis votre espace, depuis l'onglet « Messages » de l'assistant ou par e-mail en réponse à nos envois, et nos réponses.
• Conversation avec l'équipe ouverte depuis l'assistant : votre prénom, votre e-mail, vos messages et, seulement si vous laissez la case cochée, vos derniers échanges avec l'assistant (12 au plus), pour que l'équipe reprenne sans vous faire répéter.
• Partenaires de terrain : missions confiées, heures de passage, photographies de fin de mission, affichages des consignes d'accès (journalisés), motifs de refus de mission et note qualité.
• Annonces publiques de location et sociétés propriétaires : voir la section 4.
• Questions posées à l'assistant restées sans réponse : le texte de la question seul, débarrassé des coordonnées, sans votre nom.

Les champs obligatoires sont signalés dans chaque formulaire. À défaut de renseignement, la demande ne peut pas être traitée. Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée.

Aucun particulier ne reçoit de message commercial sans l'avoir accepté. Vos données ne sont ni vendues, ni louées, ni transmises à des courtiers en données. Aucune décision produisant des effets juridiques ou vous affectant de manière significative n'est prise de façon automatisée : le score d'une demande sert seulement à organiser le travail de l'équipe.

Aucun particulier n'est démarché sans son accord : ni par e-mail, ni par téléphone, ni par la messagerie d'une plateforme de réservation.

Nous pouvons écrire à des professionnels — sociétés propriétaires de logements (SCI, sociétés), agences, notaires, syndics — à l'adresse professionnelle qu'ils publient, pour une offre en rapport avec leur activité. Nous relevons alors leur dénomination, leur numéro SIREN, cette adresse et sa source. Le premier message indique qui nous sommes, d'où viennent ces informations et comment s'y opposer.

Pour connaître le marché niçois, nous relevons aussi des informations publiées dans des annonces de location : titre, quartier, capacité, prix affichés, prénom de l'hôte tel qu'il apparaît, son ancienneté et son statut de superhôte. Elles ne servent à contacter aucun particulier, et sont effacées au plus tard 3 ans après leur collecte. Les personnes de notre entourage que nous notons comme contacts possibles ne reçoivent pas davantage de message commercial sans leur accord.

S'opposer, à tout moment et sans motif. Chaque message commercial contient un lien de désinscription immédiate ; vous pouvez aussi répondre « STOP » ou écrire à contact@hostiafr.fr. Nous gardons alors une empreinte de votre adresse — jamais l'adresse elle-même —, avec la date et la manière dont vous vous êtes opposé, pour ne plus vous écrire. Si vous avez accepté de recevoir nos conseils et offres après un audit, nous conservons cet accord avec sa date et sa formulation exacte ; une case laissée vide est enregistrée comme un refus.

À l'expiration de ces durées, les données sont supprimées. Le service ayant démarré en 2026, aucune donnée n'a encore atteint ces durées ; l'effacement automatique sera actif avant la première échéance. Vous pouvez demander à tout moment l'effacement anticipé de vos données (section 9).

Les données sont accessibles aux seuls collaborateurs de Hostia habilités à les traiter, selon un principe de moindre privilège : un intervenant terrain n'accède pas aux données de facturation, un gestionnaire n'accède pas aux journaux techniques.

• Prestataires d'hébergement du site et de la base de données (Vercel, Supabase), avec exécution en région de Paris.
• Vercel, pour la mesure d'audience des pages publiques — sans cookie ni identifiant d'appareil, et à l'exclusion des espaces connectés.
• Google Ireland Ltd (Google Analytics), pour la mesure d'audience des pages publiques — uniquement si vous l'acceptez, sans usage publicitaire.
• Groq, Inc., sous-traitant des fonctionnalités d'intelligence artificielle, dans les limites décrites à la section 6.
• Resend, pour l'envoi et la réception des e-mails : rapport d'audit, accusés de réception, réponses et relevés.
• Microsoft (messagerie Outlook de l'équipe), qui reçoit une copie interne des échanges par e-mail — jamais des relevés, des factures ni des documents personnels.
• Moteurs de recherche (Brave Search ou DuckDuckGo), interrogés uniquement sur des sociétés, pour vérifier leurs coordonnées professionnelles publiées.
• Gestionnaire de canaux (Smoobu ou Hospitable), lorsqu'un propriétaire y relie ses annonces : noms des voyageurs et dates des séjours.
• Partenaires de terrain (ménage, linge, maintenance), pour les seules informations utiles à leur mission : adresse du logement, horaires et consignes d'accès pendant la fenêtre de la mission — jamais le nom des voyageurs ni les montants.
• Plateformes de réservation (Airbnb, Booking) et prestataire bancaire, pour la seule exécution des séjours et des virements.
• Cabinet comptable et, le cas échéant, conseil juridique, dans la limite de leur mission.
• Autorités administratives et judiciaires, sur réquisition, et communes au titre des déclarations de meublés de tourisme.

Nos sous-traitants n'agissent que sur nos instructions. Chacun propose un contrat de sous-traitance conforme à l'article 28 du RGPD, que nous acceptons ou finissons d'accepter avant l'ouverture du service ; la liste à jour et ces contrats peuvent être obtenus sur simple demande.

L'hébergement du site et de la base de données s'exécute en région de Paris. Les sociétés qui les fournissent sont établies hors de l'Union européenne — Vercel Inc. aux États-Unis, Supabase à Singapour (Supabase Pte. Ltd., filiale de la société américaine Supabase, Inc.) —, ce qui place la relation sous le chapitre V du RGPD même lorsque les serveurs sont en Europe.

Les fonctionnalités d'intelligence artificielle constituent le transfert le plus direct. Elles reposent sur Groq, Inc., fournisseur d'inférence établi aux États-Unis, qui intervient en qualité de sous-traitant au sens de l'article 28 du RGPD. Son contrat de sous-traitance, Data Processing Addendum for GroqCloud Services, limite le traitement à la fourniture, la maintenance et le support du service, sur nos seules instructions documentées.

Encadrement des transferts. Ce contrat intègre les clauses contractuelles types adoptées par la Commission européenne, en leur module 2 — responsable de traitement vers sous-traitant — ainsi que l'addendum du Royaume-Uni et les adaptations prévues pour la Suisse. Groq peut recourir à ses propres sous-traitants ultérieurs, dont la liste est publiée et dont tout ajout nous est notifié à l'avance.

Ce qui est transmis, et rien de plus. Nous appliquons un principe de minimisation, vérifié fonction par fonction :

Conservation chez Groq. L'option Zero Data Retention, qui empêche Groq de conserver le contenu des requêtes et des réponses, est demandée pour notre organisation ; son activation est en cours de vérification. À défaut, Groq peut conserver temporairement ce contenu selon sa propre politique, notamment pour surveiller les abus. Dans tous les cas, Groq collecte des métadonnées d'usage — mesure de l'activité et des performances du service — qui, selon sa documentation, ne contiennent ni les entrées ni les sorties des requêtes. Le traitement lui-même, nécessaire pour produire la réponse, a bien lieu sur ses serveurs.

De notre côté, notre serveur n'enregistre pas la conversation. Seules les questions restées sans réponse sont gardées, sans nom ni coordonnées, pour améliorer les réponses (les 200 plus récentes). La conversation reste dans votre navigateur, sur votre appareil, pendant 7 jours au plus — afin que le panneau ne reparte pas de zéro si vous revenez — puis elle s'efface d'elle-même. Le bouton d'effacement du panneau la supprime immédiatement.

La dictée vocale. Le bouton micro du copilote utilise la reconnaissance vocale intégrée à votre navigateur. Le son n'est jamais envoyé à Hostia : seul le texte transcrit arrive dans le champ, et vous le relisez avant de l'envoyer. La transcription elle-même est réalisée par l'éditeur de votre navigateur — Google pour Chrome et Edge, Apple pour Safari —, le cas échéant sur ses serveurs et selon sa propre politique de confidentialité. Le navigateur vous demande l'autorisation d'utiliser le micro à la première dictée ; vous pouvez la retirer à tout moment dans ses réglages. N'utilisez pas la dictée si vous ne le souhaitez pas : le clavier suffit.

Les autres prestataires. Pour Vercel, Supabase, Resend, Google et Microsoft, les transferts reposent, selon le prestataire, sur le cadre de protection des données entre l'Union européenne et les États-Unis ou sur les clauses contractuelles types de la Commission européenne. Une copie des garanties applicables peut être obtenue sur demande.

Vous pouvez ne pas l'utiliser. Si vous préférez qu'aucune donnée de votre dossier ne quitte l'Union européenne, n'employez pas l'assistant : écrivez-nous depuis la messagerie de votre espace ou par courriel. Nous répondons nous-mêmes, sans intermédiaire automatique, et aucun élément de votre dossier n'est alors transmis à un tiers.

Les échanges avec le site sont chiffrés en transit. Les accès aux espaces propriétaire, partenaire et au back-office sont protégés par authentification, cloisonnés par rôle et journalisés. Les documents d'identité déposés sont stockés sur un espace à accès restreint et ne sont consultables que par les personnes habilitées.

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en seriez informé dans les meilleurs délais, et l'autorité de contrôle notifiée dans les 72 heures.

Conformément au règlement général sur la protection des données, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification : faire corriger une donnée inexacte ou incomplète.
• Droit à l'effacement : demander la suppression de vos données, sous réserve de nos obligations légales de conservation.
• Droit à la limitation : demander le gel d'un traitement le temps d'une vérification.
• Droit d'opposition : vous opposer à un traitement fondé sur notre intérêt légitime, pour un motif tenant à votre situation particulière.
• Droit d'opposition à la prospection : à tout moment et sans avoir à vous justifier — lien de désinscription présent dans chaque message, réponse « STOP » ou simple e-mail.
• Droit à la portabilité : recevoir dans un format structuré les données que vous nous avez fournies.
• Droit de retirer votre consentement à tout moment, sans remettre en cause la licéité du traitement effectué avant ce retrait.
• Droit de définir des directives relatives au sort de vos données après votre décès.

Ces droits s'exercent auprès de contact@hostiafr.fr, accompagnés d'un justificatif d'identité si un doute raisonnable existe sur l'identité du demandeur. Une réponse vous est apportée dans un délai d'un mois, prorogeable de deux mois en cas de demande complexe.

Ce site ne dépose aucun cookie publicitaire et aucun pixel de réseau social. Ce qui est enregistré sur votre appareil ou mesuré se limite à ceci :

Mesure d'audience. Nous utilisons Vercel Web Analytics pour compter les visites des pages publiques. Cet outil ne dépose aucun cookie et n'attribue aucun identifiant à votre appareil : il ne permet ni de vous reconnaître d'une visite à l'autre, ni de vous suivre sur d'autres sites. Les espaces connectés — propriétaire, partenaire, back-office — en sont explicitement exclus.

Google Analytics n'est chargé qu'après votre accord, donné ou refusé en un clic dans le bandeau affiché à votre première visite. Sans réponse, rien n'est chargé. Vous pouvez changer d'avis à tout moment avec le lien « Gérer les cookies » en bas de chaque page : un refus supprime les cookies déjà déposés et recharge la page, qui repart sans rien de Google.

Aucun de ces éléments ne sert à vous profiler ou à vous adresser de la publicité. Hormis Google Analytics, tous sont soit strictement nécessaires au service, soit la mémorisation d'un choix que vous avez fait vous-même, et ne requièrent pas de consentement préalable. La provenance d'une demande, elle, n'est pas enregistrée sur votre appareil : votre navigateur la lit au moment où vous envoyez un formulaire, et seulement à ce moment, puis elle part avec lui. Vous pouvez aussi bloquer ces éléments depuis les réglages de votre navigateur : la connexion à votre espace ne serait alors plus possible.

Pour toute question relative à cette politique ou à l'exercice de vos droits, écrivez à contact@hostiafr.fr .

Si la réponse apportée ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou depuis son site internet.

Les conditions contractuelles de nos prestations figurent dans les conditions générales de service et les informations relatives à l'éditeur dans les mentions légales.