Politique de confidentialité

Mise à jour : mai 2026 · Version 1.0 · Conforme RGPD et BDSG

Nous sommes heureux de votre visite sur rentprime.de et de l'intérêt que vous portez à notre offre. La protection de vos données à caractère personnel est pour nous une préoccupation majeure. Dans la présente déclaration de protection des données, nous vous informons de manière exhaustive sur le traitement de vos données à caractère personnel lors de l'utilisation de notre site Internet et de notre offre de logiciel en tant que service « Rentprime ».

1. Verantwortlicher

Responsable du traitement au sens du RGPD et des lois nationales de protection des données :

KRUPKA Concept GmbH
Grabenstraße 18
40789 Monheim am Rhein
Allemagne
E-Mail: contact@rentprime.de

2. Délégué à la protection des données

Aucune obligation légale (§ 38 BDSG) de désigner un DPO n'existant actuellement, nous n'en avons pas désigné. Contactez-nous pour toute question.

Sicherheitsvorfälle und mutmaßliche Datenschutzverletzungen melden Sie bitte an security@rentprime.de. Wir behandeln Meldungen vertraulich und reagieren innerhalb eines Werktages.

2a. Autorité de contrôle compétente de votre pays

Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données de votre État membre (art. 77 RGPD ou art. 77 UK GDPR). Les autorités principalement compétentes pour votre lieu de résidence sont :

• DE: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) — ldi.nrw.de
• AT: Datenschutzbehörde (DSB) — dsb.gv.at
• CH: Eidg. Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), DSG/revDSG anwendbar — edoeb.admin.ch
• FR: Commission nationale de l’informatique et des libertés (CNIL) — cnil.fr
• IT: Garante per la protezione dei dati personali (GPDP) — garanteprivacy.it
• ES: Agencia Española de Protección de Datos (AEPD) — aepd.es
• PT: Comissão Nacional de Proteção de Dados (CNPD) — cnpd.pt
• NL: Autoriteit Persoonsgegevens (AP) — autoriteitpersoonsgegevens.nl
• BE: Gegevensbeschermings­autoriteit / Autorité de protection des données (APD/GBA) — autoriteprotectiondonnees.be
• LU: Commission nationale pour la protection des données (CNPD) — cnpd.public.lu
• GB: Information Commissioner’s Office (ICO), UK GDPR + Data Protection Act 2018 — ico.org.uk
• DK: Datatilsynet — datatilsynet.dk
• SE: Integritets­skydds­myndigheten (IMY) — imy.se
• CZ: Úřad pro ochranu osobních údajů (ÚOOÚ) — uoou.cz
• PL: Urząd Ochrony Danych Osobowych (UODO) — uodo.gov.pl

2b. Représentant dans l'Union & au Royaume-Uni

Représentant UE (RGPD art. 27) : Da unsere Niederlassung in Deutschland (EU) ist, ist gemäß Art. 27 Abs. 1 RGPD + Loi Informatique et Libertés kein zusätzlicher Vertreter erforderlich. Verantwortliche und Kontaktstelle für EU-Datenschutz­anfragen sind die unter Punkt 1 genannten Daten (KRUPKA Concept GmbH, contact@rentprime.de).

Représentant britannique (UK GDPR art. 27) : Étant donné que nous proposons activement nos services également au Royaume-Uni (rentprime.co.uk), nous désignerons un représentant UK avant le lancement public au Royaume-Uni (juillet 2026). Jusqu'à cette désignation formelle, les personnes résidant au Royaume-Uni peuvent s'adresser directement à nous à l'adresseuk-privacy@rentprime.depour toute demande relevant du UK GDPR (notamment Art. 15–22) ; nous y répondons dans le délai légal d'un mois.

Remarque CH : les personnes résidant en Suisse relèvent de la loi révisée sur la protection des données (revDSG, en vigueur depuis le 01.09.2023). Nous recevons les demandes au titre des art. 25 ss revDSG aux mêmes coordonnées. Au regard du droit de l'UE, la Suisse est considérée comme un pays tiers sûr (décision d'adéquation).

3. Informations générales sur le traitement

3.1 Étendue du traitement des données personnelles

Nous traitons les données personnelles de nos utilisateurs uniquement dans la mesure nécessaire pour fournir un site fonctionnel et nos services. Traitement uniquement sur consentement ou base légale.

3.2 Bases juridiques du traitement des données personnelles

• Art. 6 Abs. 1 lit. a RGPD — consentement de la personne concernée
• Art. 6(1)(b) RGPD — exécution du contrat ou mesures précontractuelles
• Art. 6(1)(c) RGPD — obligation légale (code fiscal/commercial)
• Art. 6 Abs. 1 lit. f RGPD + Loi Informatique et Libertés — Berechtigtes Interesse

3.3 Suppression des données et durée de conservation

Les données personnelles sont supprimées ou bloquées dès que la finalité disparaît. Conservation possible si prévue par le droit UE ou national (notamment § 257 HGB et CGI Art. L102B, 6 ou 10 ans).

4. Fourniture du site et création de fichiers journaux

4.1 Description du traitement des données

À chaque visite de notre site, notre système collecte automatiquement des données et informations du système informatique de l'appareil. Les données suivantes sont collectées :

• IP-Adresse des Nutzers (anonymisiert)
• Date et heure de l'accès
• Navigateur et système d'exploitation utilisés
• Page consultée et URL de référence (referrer)
• Volume de données transférées

Les données sont stockées dans nos fichiers de logs. Aucun stockage avec d'autres données personnelles de l'utilisateur n'a lieu.

4.2 Rechtsgrundlage

Base légale pour le stockage temporaire des logs : art. 6 § 1 f RGPD. Intérêt légitime : livraison du site, sécurité, optimisation.

4.3 Speicherdauer

Les données de logs sont supprimées ou anonymisées au plus tard après 14 jours.

5. Hosting

Notre site web et notre offre SaaS sont traités dans l'UE (région de base de données Suède/Stockholm, régions de compute Francfort et Stockholm) auprès de prestataires certifiés ISO 27001 ; certains de ces prestataires sont des sociétés américaines, pour lesquelles nous appliquons le EU-US Data Privacy Framework (DPF) et/ou les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés). Concrètement, nous utilisons : Vercel Inc. (USA ; hébergement du frontend et des fonctions serverless, compute à Francfort/fra1 — DPF + SCC), Fly, Inc. (USA ; exploitation de l'API applicative api.rentprime.de, compute à Francfort/fra — SCC), Supabase Inc. (USA ; base de données applicative dans la région UE Stockholm/eu-north-1 — DPF + SCC) ainsi que Cloudflare Inc. (USA ; protection CDN, DDoS et WAF — DPF + SCC). Tous les prestataires ont été soigneusement sélectionnés et contractuellement tenus de respecter le RGPD + Loi Informatique et Libertés (contrat de sous-traitance conformément à l'Art. 28 RGPD + Loi Informatique et Libertés).

Les données principales et des locataires sont traitées de manière chiffrée au sein de l'Union européenne (base de données à Stockholm/Suède). Certaines fonctions d'IA sont traitées via Anthropic ou Google aux USA ; ce transfert vers un pays tiers est encadré par le EU-US Data Privacy Framework ainsi que par les EU-Standardvertragsklauseln (Art. 46 RGPD + Loi Informatique et Libertés) (voir section 12a).

Pour les fonctions assistées par IA (assistant Lou, reconnaissance de justificatifs), nous réalisons des analyses d'impact relatives à la protection des données conformément à l'Art. 35 RGPD + Loi Informatique et Libertés ainsi que des transfer impact assessments pour les sous-traitants de pays tiers (Anthropic, Google, Stripe) conformément à la recommandation 01/2020 du CEPD. Nous mettons ces documents ainsi que notre incident response playbook (Art. 33/34 RGPD + Loi Informatique et Libertés) à la disposition des autorités de contrôle et des personnes concernées sur demande à datenschutz@rentprime.de zur Verfügung.

6. Inscription et compte utilisateur

Vous pouvez vous inscrire sur notre site en fournissant des données personnelles. Lors de l'inscription, les données suivantes sont collectées :

• Prénom et nom
• Adresse e-mail
• Mot de passe (stocké chiffré avec bcrypt, pas en clair)
• Telefonnummer (optional)
• Firmendaten (bei gewerblicher Nutzung)

Base légale : art. 6 § 1 b RGPD (exécution du contrat). Les données sont conservées pendant la durée de votre relation d'utilisation. Après la fin de la relation contractuelle, les données sont supprimées dans le respect des délais légaux de conservation.

7. Exécution du contrat — données d’usage logiciel

En utilisant Rentprime, vous traitez les données de vos locataires comme responsable au sens RGPD. Nous sommes sous-traitants art. 28 RGPD. Un contrat de sous-traitance est conclu. /av-vertrag disponible ou envoyé sur demande.

Les catégories de données suivantes sont traitées dans le cadre de l’usage du logiciel:

• Données du locataire (nom, adresse, coordonnées, IBAN, situation de famille pour le calcul de l'occupation du logement)
• Données du contrat de bail (début du bail, fin du bail, loyer, acompte sur charges)
• Données de consommation (chauffage, eau, autres coûts par consommation)
• Justificatifs et factures (fournisseur, types de coûts, montants)
• Historique des paiements et des communications entre le bailleur et le locataire

8. Cookies et technologies comparables

Notre site utilise des cookies et technologies similaires. Vous trouverez le détail dans notre bandeau cookies et dans les sections ci-dessous.

8.1 Technisch notwendige Cookies

Nous utilisons des cookies techniquement nécessaires (session, langue, CSRF). Base : § 25 al. 2 n° 2 TDDDG et art. 6 § 1 f RGPD. Indispensables, non désactivables.

8.2 Cookies fonctionnels

Cookies fonctionnels servent à améliorer l’expérience utilisateur (p.ex. mémoriser paramètres de filtre, langue)

8.3 Cookies statistiques

Nous n'utilisons actuellement aucun cookie statistique ou marketing. En cas d'intégration future (Plausible, Matomo), votre consentement sera demandé via le bandeau.

9. Kontaktaufnahme

9.1 Formulaire de contact et e-mail

Si vous nous contactez par formulaire ou e-mail, vos informations du formulaire et vos coordonnées sont stockées pour traiter votre demande. Ces données ne sont pas transmises sans consentement.

Le traitement repose sur l'art. 6 § 1 b RGPD si la demande concerne un contrat ou des mesures précontractuelles. Sinon, sur notre intérêt légitime art. 6 § 1 f RGPD.

9.2 KI-basierter Chatbot (Lou)

Sur notre page de contact, nous exploitons un chatbot basé sur l'IA nommé « Lou ». Lorsque vous utilisez le chatbot, vos demandes sont traitées afin de générer une réponse correspondante. À cette fin, nous recourons aux services de modèles de langage d'Anthropic PBC (USA) ; un transfert vers les USA a alors lieu. Anthropic est certifié DPF (EU-US Data Privacy Framework, décision d'adéquation de la Commission européenne du 10.07.2023) ; en complément, les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés) s'appliquent. Anthropic est répertorié comme sous-traitant dans l'AVV. Le traitement s'effectue exclusivement pour répondre à votre demande. Vos saisies ne sont contractuellement pas utilisées pour l'entraînement des modèles de langage (zero retention/pas d'entraînement selon l'AVV).

N'entrez pas de données personnelles sensibles (art. 9 RGPD) dans le chatbot. Base : art. 6 § 1 f RGPD. Vous pouvez quitter et nous écrire par e-mail à la place.

10. Zahlungsabwicklung

Pour les paiements, nous utilisons Stripe Payments Europe Ltd. (Irlande). En carte, vos données sont transmises directement à Stripe ; nous ne stockons pas de données carte. Base : art. 6 § 1 b RGPD. stripe.com/de/privacy.

11. E-Mail- und Nachrichtenversand

Pour l'envoi d'e-mails transactionnels (par ex. réinitialisation du mot de passe, confirmations de contrat), nous utilisons principalement Resend, Inc. (San Francisco, USA) et, en solution de repli, Postmark d'ActiveCampaign LLC (Chicago, USA). Les deux prestataires sont certifiés DPF (EU-US Data Privacy Framework) ; en complément s'appliquent les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés). Base juridique : Art. 6 Abs. 1 lit. b und f RGPD + Loi Informatique et Libertés.

Pour la gestion du formulaire de newsletter et de leads, nous utilisons Brevo (Sendinblue SAS, Paris, France). Le traitement s'effectue au sein de l'UE ; il n'existe aucun lien avec un pays tiers. Base juridique : Art. 6 Abs. 1 lit. a RGPD + Loi Informatique et Libertés (consentement) ; vous pouvez retirer votre consentement à tout moment via le lien de désabonnement présent dans chaque e-mail.

Pour l'envoi optionnel de SMS et de messages WhatsApp (communication avec les locataires), nous utilisons Twilio Inc. (San Francisco, USA). Twilio est certifié DPF ; en complément s'appliquent les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés). Base juridique : Art. 6 Abs. 1 lit. f RGPD + Loi Informatique et Libertés (intérêt légitime à une communication efficace avec les locataires) — uniquement lorsque la communication avec les locataires est activée.

12. Destinataires de vos données personnelles

Vos données ne sont transmises qu'aux sous-traitants indiqués ci-dessous, dans la mesure nécessaire à l'accomplissement de leurs tâches, ainsi qu'aux organismes légalement tenus ou avec votre consentement. Les sous-traitants suivants ont accès à vos données :

• Vercel Inc. (340 S Lemon Ave #4133, Walnut CA 91789, USA) — Hosting des Frontends und der Serverless-Functions (u. a. /api/geo, /api/newsletter, /api/leads, /api/csp-report, Blog-Cron); Compute-Region Frankfurt (fra1). Drittlandmechanismus: EU-US Data Privacy Framework (DPF) + EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés).
• Fly, Inc. (2261 Market Street #4990, San Francisco CA 94114, USA) — Betrieb der Anwendungs-API api.rentprime.de mit Compute-Region Frankfurt (fra); verarbeitet Kern- und Mieterdaten. Drittlandmechanismus: EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés); Fly ist nicht DPF-gelistet.
• Supabase Inc. (970 Toa Payoh North #07-04, Singapur; Konzernmutter USA) — Hosting der Anwendungs-Datenbank in der EU-Region Stockholm/eu-north-1 (Schweden). Drittlandmechanismus: DPF + SCC.
• Cloudflare Inc. (101 Townsend St, San Francisco CA 94107, USA) — CDN-, DDoS- und WAF-Schutz; Edge-Verarbeitung in der EU. Drittlandmechanismus: DPF + SCC.
• Stripe Payments Europe Ltd., Dublin, Irland (Zahlungsabwicklung; Verarbeitung innerhalb der EU, Konzernanbindung an Stripe, Inc. USA — DPF + SCC).
• Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Frankreich — Verwaltung des Newsletter- und Lead-Formulars sowie transaktionaler E-Mail-Versand; Verarbeitung innerhalb der EU (kein Drittland-Mechanismus erforderlich). Rechtsgrundlage: Art. 6 Abs. 1 lit. a RGPD + Loi Informatique et Libertés (Einwilligung).
• Resend, Inc., San Francisco, USA — Transaktions-Mail-Versand (Passwort-Reset, Vertragsbestätigungen). Drittlandmechanismus: DPF + SCC.
• Postmark (ActiveCampaign LLC), Chicago, USA — Transaktions-Mail-Fallback. Drittlandmechanismus: DPF + SCC.
• Twilio Inc., San Francisco, USA — SMS- und WhatsApp-Versand (nur bei aktivierter Mieterkommunikation). Drittlandmechanismus: DPF + SCC.
• finAPI / Klarna Kosma (Bank-Sync nach PSD2 — nur bei aktivierter Kontoanbindung; Verarbeitung innerhalb der EU).
• Anthropic PBC, San Francisco, USA (KI-Chatbot Lou und Vertrags-Check — nur bei aktiver Nutzung). Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, San Francisco, USA (Claude Vision für Beleg-/OCR-Erkennung — nur bei aktiver Nutzung). Drittlandmechanismus: DPF + SCC.

Des contrats correspondants ont été conclus avec tous les sous-traitants conformément à l'art. 28 du RGPD.

12a. Transfert vers des pays tiers

Vos données principales et des locataires sont stockées et traitées de manière chiffrée au sein de l'UE (base de données applicative à Stockholm/Suède, compute à Francfort et Stockholm auprès de prestataires certifiés ISO 27001). Étant donné que nous recourons à des prestataires américains pour l'hébergement du frontend, l'exploitation de l'API, la mise à disposition de la base de données, le CDN/WAF, l'e-mail transactionnel, les SMS/WhatsApp ainsi que certaines fonctions d'IA, un transfert vers les USA a lieu dans cette mesure. Sont concernés Vercel Inc., Fly Inc., Supabase Inc., Cloudflare Inc., Resend Inc., Postmark (ActiveCampaign LLC), Twilio Inc., Anthropic PBC et Google LLC. Tous les sous-traitants américains à l'exception de Fly Inc. sont certifiés sous le EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10.07.2023) ; pour Fly Inc. ainsi qu'en complément pour tous les autres, s'appliquent les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés) assorties de mesures techniques et organisationnelles (chiffrement en transit et at rest, minimisation des PII, zero retention/pas d'entraînement garanti contractuellement chez les prestataires d'IA). Tous les prestataires mentionnés sont répertoriés comme sous-traitants dans l'AVV.

Rechtsbehelf nach EO 14086: Betroffene Personen in der EU können sich gegen US-Geheimdienst-Zugriffe auf ihre Daten an den Data Protection Review Court (DPRC) wenden. Erstanlaufstelle ist die zuständige nationale Aufsichtsbehörde (für Deutschland: LDI NRW Düsseldorf, siehe oben), die Beschwerden an die EU-Kommission und an das US Office of the Director of National Intelligence (ODNI) weiterleitet.

13. Ihre Rechte als betroffene Person

Si vos données personnelles sont traitées, vous êtes personne concernée au sens du RGPD et disposez des droits suivants vis-à-vis du responsable :

13.1 Auskunftsrecht (Art. 15 RGPD + Loi Informatique et Libertés)

Vous pouvez demander au responsable la confirmation du traitement de vos données personnelles. En cas de traitement, vous pouvez demander d'autres informations.

13.2 Droit de rectification (Art. 16 RGPD)

Vous avez le droit de rectification et/ou complétion auprès du responsable si les données traitées sont inexactes ou incomplètes.

13.3 Droit à l'effacement (art. 17 RGPD)

Vous pouvez exiger du responsable la suppression sans délai de vos données personnelles, si l'un des motifs légaux s'applique.

13.4 Droit à la limitation du traitement (art. 18 RGPD)

Sous certaines conditions, vous pouvez demander la limitation du traitement de vos données personnelles.

13.5 Droit à la portabilité des données (art. 20 RGPD)

Vous avez le droit de recevoir vos données personnelles fournies au responsable dans un format structuré, courant et lisible par machine.

13.6 Widerspruchsrecht (Art. 21 RGPD + Loi Informatique et Libertés)

Vous avez le droit de vous opposer, pour des motifs liés à votre situation, au traitement de vos données fondé sur l'art. 6 § 1 e ou f RGPD.

13.7 Droit de retrait du consentement (Art. 7 § 3 RGPD)

Vous avez le droit de retirer votre consentement à tout moment. Ce retrait n'affecte pas la licéité du traitement effectué jusqu'alors sur la base du consentement.

13.8 Droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77 RGPD)

Sans préjudice d'autres voies de recours, vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle. L'autorité compétente pour nous est :

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de

14. Datensicherheit

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données contre la perte, la manipulation et l'accès non autorisé.

• Chiffrement TLS 1.3 pour la transmission des données entre le navigateur et le serveur
• Chiffrement AES-256 des données sensibles au niveau base de données
• Stockage des mots de passe exclusivement avec bcrypt (pas en clair)
• Authentification à deux facteurs (2FA) activable en option
• Audits de sécurité et tests d'intrusion réguliers
• Stratégie de sauvegarde avec copies hors site chiffrées
• Hosting bei nach ISO 27001 zertifizierten EU-Anbietern (Anwendungs-Datenbank in Stockholm/Schweden, Compute in Frankfurt und Stockholm)

15. Actualité et modification de la politique de confidentialité

Cette politique de confidentialité est en vigueur, datée de mai 2026. Des modifications peuvent être nécessaires en cas d'évolution du site ou des exigences légales. La version actuelle est consultable sur le site à rentprime.de/datenschutz peut être récupéré et imprimé par vous.