POLITIQUE DE CONFIDENTIALITÉ — KLIVOO

Version 1.11 — Septembre 2026

ARTICLE 1 — IDENTITÉ ET COORDONNÉES DU RESPONSABLE DE TRAITEMENT

Les données personnelles collectées via la Plateforme Klivoo sont traitées par :

• Dénomination : Cédric Laurent AVRIL, Entrepreneur Individuel, exerçant sous le nom commercial « Klivoo »
• Forme juridique : Entrepreneur individuel (régime micro-BIC)
• Numéro SIRET : 107 571 762 00015
• TVA : TVA non applicable, article 293 B du Code général des impôts
• Adresse : 8 bis rue Abel, 75012 Paris, France
• Adresse électronique (contact protection des données) : dpo@klivoo.fr
• Responsable de traitement : Cédric AVRIL

Ci-après dénommé « Klivoo », « le Responsable de traitement » ou « nous ».

Compte tenu de la nature de son activité (intermédiation de mise en relation pour la location entre particuliers, ne constituant pas en elle-même un suivi régulier et systématique des personnes concernées à grande échelle) et du fait que le traitement biométrique de vérification d'identité est assuré par Stripe Identity en qualité de responsable de traitement indépendant pour cette finalité (voir Article 3.b), Klivoo ne considère pas, à ce stade, être soumis à une obligation de désignation d'un Délégué à la Protection des Données au sens de l'article 37 du RGPD. Cette évaluation sera formellement revue dans les six mois suivant le lancement commercial, notamment au regard du volume réel de traitements et du nombre de personnes concernées.

ARTICLE 2 — CHAMP D'APPLICATION

La présente Politique de Confidentialité s'applique à l'ensemble des traitements de données personnelles effectués par Klivoo dans le cadre de l'exploitation de la Plateforme accessible à l'adresse [www.klivoo.fr], de ses applications associées et de ses communications.

Elle s'applique à toute personne physique utilisant la Plateforme, qu'elle soit inscrite ou simplement visiteur.

Elle doit être lue conjointement avec les Conditions Générales d'Utilisation (CGU) et la Politique de Cookies de la Plateforme.

ARTICLE 3 — DONNÉES COLLECTÉES ET SOURCES

3.1 Données collectées directement auprès des Utilisateurs

a) Données d'inscription et de profil

b) Données de vérification d'identité (KYC)

Note importante : Les données brutes de vérification d'identité (images du document, photographie) sont traitées par Stripe, dont la qualification varie selon la finalité du traitement : Stripe agit en qualité de sous-traitant de Klivoo lorsqu'il réalise la vérification d'identité demandée pour le compte de Klivoo ; Stripe agit en qualité de responsable de traitement indépendant pour ses propres finalités, notamment le respect de ses propres obligations légales, la prévention de la fraude et la sécurité de ses services, ainsi que, lorsque l'Utilisateur y a consenti, l'amélioration de sa technologie de vérification biométrique. Klivoo ne conserve que le résultat de la vérification (statut validé/refusé) et les données d'identité légale utilisées pour la génération des Accords de Location.

c) Données relatives aux annonces

d) Données de transaction et de paiement

Note : Klivoo ne collecte et ne conserve aucune donnée de carte bancaire. Ces données sont traitées exclusivement par Stripe Payments Europe Limited conformément à sa propre politique de confidentialité et aux normes PCI-DSS.

e) Données de notation et d'évaluation

f) Données de contestation et de litige

3.2 Données collectées automatiquement

3.3 Données reçues de tiers

ARTICLE 4 — FINALITÉS DE TRAITEMENT ET BASES LÉGALES

Conformément à l'article 6 du RGPD, chaque traitement de données personnelles repose sur une base légale identifiée. Le tableau suivant détaille l'ensemble des traitements effectués par Klivoo.

4.1 Tableau des traitements

4.2 Sur l'intérêt légitime (Art. 6(1)(f))

Lorsque Klivoo invoque l'intérêt légitime comme base légale, cet intérêt a été mis en balance avec les droits et libertés des personnes concernées. Les traitements fondés sur l'intérêt légitime sont les suivants :

• Sécurité de la plateforme et prévention de la fraude (T02, T15) : intérêt de Klivoo et de l'ensemble des Utilisateurs à disposer d'une plateforme sécurisée. Les données utilisées sont limitées aux données techniques nécessaires.
• Système d'évaluation (T09) : intérêt fondamental de la plateforme à maintenir un niveau de confiance entre Utilisateurs. Les notes et commentaires portent sur l'expérience de transaction, non sur la personne.
• Amélioration du service (T14) : données traitées de manière agrégée et pseudonymisée dans la mesure du possible.

Les personnes concernées ont le droit de s'opposer aux traitements fondés sur l'intérêt légitime conformément à l'Article 8.6 de la présente Politique.

ARTICLE 5 — DURÉES DE CONSERVATION

Conformément au principe de limitation de la conservation posé par l'article 5(1)(e) du RGPD, les données personnelles ne sont conservées que pour la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées.

La ligne « Données de compte (inactif, non résilié) » ci-dessus est distincte de la ligne « Données de communications marketing », qui répond à une finalité et une base légale différentes (prospection commerciale, consentement) ; les deux durées ne doivent pas être confondues. Ce mécanisme de désactivation pour inactivité ne s'applique pas non plus aux données conservées à des fins de sécurité, de détection ou de prévention de la fraude, ni aux comptes suspendus pour violation des CGU ou comportement frauduleux, qui demeurent régis par leurs propres finalités et durées de conservation.

Les durées de conservation indiquées dans le présent tableau sont déterminées selon les finalités de traitement de Klivoo et les obligations légales ou recommandations applicables. Certaines durées constituent des obligations légales ou réglementaires, tandis que d'autres correspondent à des choix de conservation documentés par Klivoo. Les durées peuvent être réévaluées lorsque les finalités, les traitements ou le cadre juridique applicable évoluent.

ARTICLE 6 — DESTINATAIRES ET TRANSFERTS DE DONNÉES

6.1 Principe de minimisation

Klivoo ne partage les données personnelles des Utilisateurs qu'avec les destinataires strictement nécessaires à l'exécution des services.

6.2 Partage entre Utilisateurs

Dans le cadre normal du fonctionnement de la Plateforme, certaines données d'un Utilisateur sont rendues visibles à d'autres Utilisateurs :

Le nom légal complet des parties est inclus dans l'Accord de Location accessible aux deux parties signataires. Aucune donnée financière (IBAN, numéro de carte) n'est transmise entre Utilisateurs.

6.3 Sous-traitants et prestataires tiers

Klivoo fait appel aux sous-traitants et partenaires suivants, auxquels des données personnelles sont susceptibles d'être transmises :

6.4 Autorités et obligations légales

Klivoo peut être amenée à communiquer des données personnelles aux autorités compétentes (judiciaires, administratives, fiscales) lorsque la loi l'exige ou sur réquisition judiciaire. Cette communication s'effectue dans le strict respect du cadre légal applicable.

ARTICLE 7 — TRANSFERTS HORS UNION EUROPÉENNE

Certains prestataires de Klivoo sont établis hors de l'Union Européenne, notamment aux États-Unis. Ces transferts sont encadrés par les garanties appropriées prévues par le Chapitre V du RGPD.

Stripe Identity : Stripe Payments Europe Limited est établie en Irlande (UE). Certains traitements liés à Stripe Identity peuvent impliquer des transferts vers les États-Unis, notamment pour le traitement et le stockage des données de vérification. Lorsqu'applicable, ces transferts peuvent être couverts par l'auto-certification de Stripe au EU-U.S. Data Privacy Framework (mécanisme reconnu par une décision d'adéquation de la Commission européenne) ; à défaut, ils peuvent relever des Clauses Contractuelles Types, prévues comme mécanisme de repli dans l'accord de traitement des données de Stripe. Cette certification est déclarée au niveau de l'entité Stripe et n'est pas confirmée nommément, produit par produit, pour Stripe Identity par la documentation publique de Stripe.

Les Utilisateurs peuvent obtenir une copie des garanties applicables à ces transferts en adressant une demande à dpo@klivoo.fr.

ARTICLE 8 — DROITS DES PERSONNES CONCERNÉES

Conformément aux articles 15 à 22 du Règlement (UE) 2016/679 (RGPD), les Utilisateurs disposent des droits suivants sur leurs données personnelles.

8.1 Droit d'accès (Article 15 RGPD)

Tout Utilisateur a le droit d'obtenir la confirmation que des données le concernant sont ou ne sont pas traitées, et si elles le sont, d'en obtenir une copie ainsi que les informations suivantes : finalités du traitement, catégories de données, destinataires, durée de conservation, existence des autres droits.

8.2 Droit de rectification (Article 16 RGPD)

Tout Utilisateur a le droit d'obtenir la rectification des données inexactes le concernant et le droit de faire compléter des données incomplètes.

8.3 Droit à l'effacement (Article 17 RGPD)

Tout Utilisateur a le droit d'obtenir l'effacement de ses données personnelles dans les cas prévus par l'article 17 du RGPD, notamment lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées.

Limites applicables : Ce droit ne s'applique pas lorsque le traitement est nécessaire :

• Au respect d'une obligation légale (notamment conservation des données de transaction — voir Article 5)
• À la constatation, l'exercice ou la défense de droits en justice
• À l'exécution d'un contrat en cours

8.4 Droit à la limitation du traitement (Article 18 RGPD)

Tout Utilisateur a le droit d'obtenir la limitation du traitement de ses données dans les cas prévus par l'article 18 du RGPD, notamment en cas de contestation de l'exactitude des données ou d'opposition au traitement.

8.5 Droit à la portabilité (Article 20 RGPD)

Tout Utilisateur a le droit de recevoir ses données personnelles dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable de traitement, lorsque le traitement est fondé sur le consentement ou sur l'exécution d'un contrat et est effectué à l'aide de procédés automatisés.

8.6 Droit d'opposition (Article 21 RGPD)

Tout Utilisateur a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, au traitement de ses données personnelles fondé sur l'intérêt légitime de Klivoo (Article 6(1)(f)). Klivoo cesse le traitement sauf à démontrer qu'il existe des motifs légitimes et impérieux qui prévalent sur les intérêts et les droits de la personne concernée.

Opposition au marketing direct : Tout Utilisateur peut s'opposer à tout moment et sans justification au traitement de ses données à des fins de prospection commerciale, y compris au profilage dans la mesure où il est lié à une telle prospection.

8.7 Droit de retirer le consentement (Article 7(3) RGPD)

Lorsque le traitement est fondé sur le consentement (notamment les communications marketing — T13), l'Utilisateur peut retirer son consentement à tout moment, sans que cela ne remette en cause la licéité du traitement effectué avant ce retrait. Le retrait du consentement s'effectue :

• Via le lien de désabonnement présent dans chaque communication marketing
• En adressant une demande à dpo@klivoo.fr

8.8 Droit relatif aux décisions automatisées (Article 22 RGPD)

À ce stade de la V1, Klivoo ne met en œuvre aucune décision entièrement automatisée produisant des effets juridiques ou affectant significativement les Utilisateurs au sens de l'Article 22 du RGPD :

• Le score de confiance affiché aux Utilisateurs est informatif et ne restreint par lui-même aucune fonctionnalité.
• La restriction de compte associée à un signalement de confiance ne peut être déclenchée que par une décision humaine d'un administrateur habilité, avec motif consigné.
• Les propositions de résolution relatives aux litiges sont formulées par un être humain (Article 14 des CGU).
• La suggestion de prix et le scoring de litiges par IA, envisagés pour une version ultérieure, ne sont pas mis en œuvre en V1.

Si l'un de ces mécanismes évoluait vers une décision entièrement automatisée produisant de tels effets, les obligations de l'Article 22 du RGPD (information de l'Utilisateur, droit d'obtenir une intervention humaine, droit d'exprimer son point de vue et de contester la décision) seraient intégralement analysées et documentées avant sa mise en œuvre.

8.9 Modalités d'exercice des droits

Les droits visés aux Articles 8.1 à 8.7 s'exercent en adressant une demande :

• Par voie électronique : dpo@klivoo.fr
• Par voie postale : 8 bis rue Abel, 75012 Paris, France

La demande doit être accompagnée d'un justificatif d'identité permettant de vérifier l'identité du demandeur.

Klivoo répond à toute demande dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prorogé de deux mois supplémentaires en raison de la complexité ou du nombre de demandes, après information de la personne concernée dans le délai d'un mois.

ARTICLE 9 — SÉCURITÉ DES DONNÉES

9.1 Mesures techniques et organisationnelles

Klivoo met en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures comprennent notamment :

• Chiffrement des données en transit (HTTPS/TLS)
• Chiffrement des données au repos (infrastructure Supabase)
• Hachage des mots de passe (bcrypt ou équivalent)
• Contrôle des accès internes — principe du moindre privilège
• Authentification renforcée pour l'accès aux systèmes d'administration
• Journalisation des accès aux données sensibles
• Procédure de gestion des incidents de sécurité

9.2 Mots de passe

Les mots de passe des Utilisateurs sont stockés sous forme hachée et ne sont jamais accessibles en clair. Klivoo ne transmet jamais les mots de passe par voie électronique.

9.3 Notification de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Klivoo notifie la violation à la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD.

En cas de risque élevé pour les droits et libertés des personnes concernées, les Utilisateurs affectés sont informés sans délai injustifié, conformément à l'article 34 du RGPD.

ARTICLE 10 — COOKIES ET TRACEURS

La présente Politique de Confidentialité s'applique conjointement avec la Politique de Cookies de la Plateforme, disponible à l'adresse www.klivoo.fr/legal/cookies.

10.1 Principe

La Plateforme utilise des cookies et traceurs conformément aux recommandations de la CNIL et à la Directive 2002/58/CE (ePrivacy). Les cookies non essentiels ne sont déposés qu'après recueil du consentement explicite de l'Utilisateur via un bandeau de gestion des cookies.

10.2 Catégories de cookies

10.3 Gestion des préférences

L'Utilisateur peut à tout moment modifier ses préférences en matière de cookies via le bouton « Gérer les cookies », affiché en permanence en bas de chaque page de la Plateforme une fois ses préférences initiales enregistrées — voir l'Article 8.1 de la Politique de Cookies pour le détail de ce mécanisme.

ARTICLE 11 — MINEURS

La Plateforme est exclusivement destinée aux personnes âgées d'au moins 18 ans. Klivoo ne collecte pas sciemment de données personnelles relatives à des personnes mineures. Si Klivoo est informée qu'elle traite des données personnelles d'un mineur sans consentement parental approprié, elle prendra les mesures nécessaires pour supprimer ces données dans les meilleurs délais.

ARTICLE 12 — MODIFICATIONS DE LA PRÉSENTE POLITIQUE

Klivoo se réserve le droit de modifier la présente Politique de Confidentialité à tout moment, notamment pour se conformer aux évolutions législatives et réglementaires.

Toute modification est notifiée aux Utilisateurs par voie électronique, à l'adresse enregistrée sur leur compte, après publication de la nouvelle version.

La version en vigueur est celle publiée à l'adresse www.klivoo.fr/legal/confidentialite avec sa date de mise à jour.

ARTICLE 13 — CONTACT ET RÉCLAMATIONS

13.1 Contact pour les questions relatives aux données personnelles

Pour toute question relative au traitement de vos données personnelles ou pour exercer vos droits :

• Adresse électronique : dpo@klivoo.fr
• Adresse postale : 8 bis rue Abel, 75012 Paris, France

13.2 Droit de réclamation auprès de la CNIL

Conformément à l'article 77 du RGPD, tout Utilisateur a le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente. En France, l'autorité compétente est la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Site web : www.cnil.fr
• Adresse : 3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07
• Téléphone : 01 53 73 22 22

Ce droit de réclamation s'exerce sans préjudice de tout autre recours administratif ou juridictionnel.

REGISTRE DES TRAITEMENTS — SYNTHÈSE (Article 30 RGPD)

Le tableau ci-dessous constitue un résumé du registre des activités de traitement que Klivoo doit tenir conformément à l'article 30 du RGPD. Le registre complet et détaillé est un document interne.

Document rédigé en langue française. En cas de traduction, la version française prévaut.

Version 1.11 — Septembre 2026