Politique de Confidentialité

Le responsable du traitement des données personnelles collectées via Air Manager est : Orthodrome Consulting, SASU au capital de 500 € Siège social : 1 rue de Stockholm, 75008 Paris, France RCS Paris 107 135 865 Délégué / contact en matière de protection des données : dpo@airmanager.one RÉPARTITION DES RÔLES. Orthodrome Consulting agit en qualité de RESPONSABLE DE TRAITEMENT pour les données de ses propres clients (compte, facturation, usage du service). Pour les données des VOYAGEURS que le client traite au moyen du service (messages, réservations, coordonnées), Orthodrome Consulting agit en qualité de SOUS-TRAITANT au sens de l'article 28 du RGPD : le client en est le responsable de traitement, il détermine les finalités, et il lui appartient de disposer d'une base légale et d'informer les personnes concernées. Nous ne traitons ces données que sur instruction du client, pour fournir le service. Vous pouvez exercer vos droits ou nous signaler une difficulté à tout moment à dpo@airmanager.one. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service : • Données de compte (nom, prénom, email, téléphone, fonction) • Données de facturation et historiques de paiement (traitées de manière sécurisée par Stripe) • Données de session Airbnb (cookies et tokens chiffrés) • Données de vos logements, réservations et séjours • Numéro de téléphone du voyageur, lorsque la plateforme de réservation le communique à l'hôte — recueilli pendant le séjour, où il sert à joindre le voyageur en cas d'urgence sur place ou de difficulté d'accès au logement. Base légale : intérêt légitime (Art. 6.1.f). Conservation : effacé automatiquement 2 jours après le départ, en même temps que le nom du voyageur. • Adresse électronique du voyageur, uniquement lorsque l'hôte a activé une serrure connectée Tedee et que le voyageur la communique lui-même : elle sert à créer son accès personnel à la serrure, et elle est transmise à Tedee à cette seule fin. Base légale : intérêt légitime (Art. 6.1.f), l'accès au logement étant la condition du séjour. Le voyageur reste libre de ne pas la donner — l'hôte lui transmet alors les clés par un autre moyen. • Code d'accès temporaire généré pour une boîte à clés igloohome, lorsque l'hôte en a équipé le logement : il est valable pour la seule durée du séjour et conservé chiffré. • Contenu des conversations avec les voyageurs • Données relatives aux équipes (membres, rôles, invitations) • Logs de connexion, d'utilisation et d'audit technique

Pour fournir nos services d'assistance automatisée : • Les messages des voyageurs, ainsi que les informations du logement utiles à la réponse, sont transmis à un modèle de langage qui rédige une proposition de réponse. • Ce modèle est Kimi, fourni par MOONSHOT AI PTE. LTD., société établie à Singapour, dont les serveurs sont situés à Singapour. Il s'agit d'un transfert de données hors de l'Union européenne : voir « Transferts hors de l'Union européenne ». • Les messages transmis pour rédiger une réponse le sont dans leur contenu d'origine. Seuls les échanges versés à la base de connaissances du logement sont nettoyés au préalable des adresses e-mail, numéros de téléphone, liens d'accès et longs numéros (tels que des numéros de carte). • La politique de confidentialité de ce prestataire indique que les contenus reçus peuvent servir à améliorer ses modèles, sans prévoir d'option de refus. Nous ne pouvons donc pas garantir qu'ils ne soient pas utilisés à cette fin. • Nous n'utilisons aucune donnée personnelle pour entraîner nos propres modèles. • L'hôte peut relire chaque réponse avant son envoi. S'il active l'envoi automatique, les réponses sont envoyées sans relecture humaine. • Vous gardez le contrôle total sur les directives données à l'IA.

Le portail prestataire traite des données propres aux personnes qui réalisent les ménages. Elles ne sont ni vendues, ni utilisées à d'autres fins que celles indiquées ici. • LOCALISATION — Un relevé UNIQUE et PONCTUEL est effectué au moment où le prestataire déclare démarrer un ménage, afin d'attester sa présence sur le lieu de la prestation. Il n'y a aucun suivi continu, aucun relevé pendant ou après la prestation, et aucune reconstitution de trajet. Le prestataire est informé sur l'écran de démarrage, avant tout relevé, et peut refuser : le ménage démarre alors sans localisation, la présence étant simplement notée « non vérifiée ». Base légale : intérêt légitime (Art. 6.1.f) — attester l'exécution d'une prestation qui conditionne une rémunération. Conservation : 12 mois, avec le rapport. • PHOTOGRAPHIES — Les photos avant/après documentent l'état du logement, non les personnes. Elles ne doivent comporter ni visage ni document d'identité. Conservation : avec le rapport de ménage. • NOTATION — L'appréciation portée par le prestataire concerne l'état dans lequel le VOYAGEUR a laissé le logement. Elle est facultative et ne constitue en aucun cas une évaluation du prestataire lui-même. • AUCUNE DÉCISION AUTOMATISÉE — Ces données ne produisent jamais, à elles seules, d'effet juridique : la validation d'un rapport et la rémunération correspondante relèvent toujours d'une décision humaine du gestionnaire. Les prestataires exercent l'ensemble de leurs droits RGPD (accès, rectification, effacement, opposition) auprès du gestionnaire de l'équipe, responsable de traitement, ou auprès de nous aux coordonnées ci-dessous.

Mesures de protection spécifiques mises en place : • Chiffrement AES-256 de vos cookies de session et clés d'API. • Vos accès aux plateformes tierces (Airbnb, etc.) ne sont jamais stockés en clair. • Isolation stricte des données entre les différentes équipes (Multi-tenant via RLS PostgreSQL). • Accès restreint et tracé : nos équipes n'accèdent à vos données que pour le support technique, sur demande. • Infrastructure cloud sécurisée, hébergée en Europe.

Nous ne vendons jamais vos données. Le partage est strictement limité à nos sous-traitants de confiance : • OVH SAS — hébergement du site et des bases de données, en France • Supabase Inc. — ancienne infrastructure d'hébergement, dont une copie des données est conservée temporairement à titre de sauvegarde, dans l'Union européenne (Irlande) • Stripe (Traitement sécurisé des paiements et facturation) • Brevo (Envoi d'emails transactionnels et notifications) • MOONSHOT AI PTE. LTD., Singapour — modèle de langage Kimi (voir « Traitement par l'IA ») • Tedee sp. z o.o., Pologne (Union européenne) — serrures connectées. Reçoit l'adresse électronique du voyageur, et elle seule, pour créer son accès. Uniquement si l'hôte a activé cette intégration. • Meta Platforms Ireland Ltd. — messagerie WhatsApp Business, lorsque l'hôte a activé cette intégration. Reçoit le numéro de téléphone du destinataire et le contenu des messages échangés par ce canal. • Mistral AI, France — modèle de langage, lorsqu'il est retenu comme fournisseur d'intelligence artificielle. Traitement dans l'Union européenne. • igloohome (Igloo Company Pte. Ltd.), Singapour — boîtes à clés connectées. Reçoit l'identifiant de l'appareil, les dates du séjour et un libellé d'accès portant le prénom du voyageur. **Aucune adresse ni aucun contenu de conversation n'est transmis.** Uniquement si l'hôte a activé cette intégration. • Obligations légales ou réquisitions judiciaires. Les références à Airbnb ou à toute autre plateforme tierce sont descriptives et n'impliquent aucune affiliation.

• Hébergement : le site et les bases de données sont hébergés en France par OVH SAS. L'hébergement n'implique aucun transfert hors de l'Union européenne. • Intelligence artificielle : les contenus transmis au modèle Kimi sont traités à Singapour par MOONSHOT AI PTE. LTD. Singapour ne fait pas l'objet d'une décision d'adéquation de la Commission européenne. • Paiement : Stripe peut traiter certaines données hors de l'Union européenne, dans le cadre de ses propres engagements contractuels. • Serrures connectées Tedee : traitement en Pologne, au sein de l'Union européenne. Aucun transfert hors UE. • Messagerie WhatsApp : Meta Platforms Ireland Ltd. est établie dans l'Union européenne et peut transférer des données vers les États-Unis dans le cadre de ses propres engagements contractuels. • Modèle de langage Mistral AI : traitement en France. Aucun transfert hors UE. • Boîtes à clés igloohome : l'émission du code d'accès est opérée depuis Singapour. Les données transmises se limitent à l'identifiant de l'appareil, aux dates du séjour et à un libellé contenant le prénom du voyageur — ni adresse, ni téléphone, ni contenu de conversation. • Pour toute question sur ces transferts, écrivez à dpo@airmanager.one.

Vos données sont traitées sur les bases légales suivantes (Art. 6 RGPD) : • L'exécution du contrat (Art. 6.1.b) : création du compte, synchronisation des données, fourniture de l'assistance et des fonctionnalités SaaS. • L'intérêt légitime (Art. 6.1.f) : sécurité du système, prévention de la fraude, journalisation technique et amélioration continue du service. • L'obligation légale (Art. 6.1.c) : conservation des données de facturation, comptabilité et conformité réglementaire. • Le consentement (Art. 6.1.a) : activation de fonctionnalités optionnelles ou de certains connecteurs tiers nécessitant une autorisation explicite.

• Les données actives sont conservées pendant toute la durée de votre abonnement. • Les logs techniques et d'audit sont conservés pour une durée maximale de 12 mois. • Lors de la résiliation ou suppression du compte, l'intégralité de vos données (logements, conversations, logs, fichiers) est supprimée de nos bases de données actives sous 30 jours (RGPD Cascade). • La demande de suppression totale peut être effectuée en un clic dans les paramètres ou sur simple demande à dpo@airmanager.one. • Une copie sécurisée peut être conservée dans nos sauvegardes de sauvegarde pour la durée légale de prescription, sans être accessible en production.

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants : • Droit d'accès et droit à l'information sur le traitement de vos données • Droit de rectification des informations inexactes • Droit à l'effacement (droit à l'oubli) • Droit à la limitation du traitement • Droit à la portabilité des données dans un format structuré • Droit d'opposition, y compris au profilage • Droit de retirer votre consentement à tout moment Pour exercer ces droits, contactez notre Délégué à la Protection des Données : dpo@airmanager.one. Une réponse vous sera apportée dans un délai maximum d'un mois.