Informations légales

Politique de confidentialité

Recense filme l’intérieur de votre domicile et le chiffre en euros : ces données sont sensibles par nature. Cette page explique ce que nous traitons, pourquoi, pendant combien de temps, qui y a accès et comment exercer vos droits.

Version 2026-10-10, rédigée le 22 octobre 2026

Qui est responsable de vos données

Le responsable de traitement est KACZOR IT CONSULTING, société à responsabilité limitée dont le siège est 4 rue du Lavoir, 95680 Montlignon, France (SIREN 995 084 308, voir les mentions légales), éditeur de Recense. Un particulier qui filme son logement pour lui-même relève de l’exception domestique ; Recense, qui stocke et analyse ces contenus, est responsable de traitement.

Contact pour toute question sur vos données : contact@recense.fr. Une seule boîte reçoit toutes les demandes, y compris celles qui concernent vos droits.
Délégué à la protection des données : aucun n’est désigné à ce jour.
Autorité de contrôle : la Commission nationale de l’informatique et des libertés (CNIL), www.cnil.fr.

L’essentiel en six points

Vos vidéos et photos sont chiffrées avant d’être écrites sur le stockage, avec une clé propre à votre compte. Vos libellés, adresses, désignations et montants sont chiffrés en base de données.
L’analyse par intelligence artificielle n’a lieu qu’avec votre accord explicite, retirable à tout moment. Seules des images clés dont les visages sont floutés, sans métadonnées, sont envoyées. Vous pouvez saisir vos objets à la main, sans IA.
Rien n’entre dans votre inventaire ni dans un export sans que vous l’ayez confirmé : l’IA propose, vous décidez.
Personne chez nous ne regarde vos vidéos ; l’analyse est automatisée. Aucun écran d’administration ne permet de lire le contenu d’un compte.
Aucune publicité, aucune revente de données, aucun traceur dans l’espace connecté.
Vous pouvez exporter vos données et supprimer votre compte vous-même, dans l’application et sur le web ; la suppression est définitive.

Les données que nous traitons

Catégorie : Compte et connexion

Données: Adresse e-mail ; empreinte du mot de passe si vous en avez choisi un ; identifiants Apple ou Google si vous les utilisez (identifiant du fournisseur, adresse e-mail vue chez lui, affichée masquée) ; prénom (facultatif) ; langue ; dates de création et de dernière activité ; date et version des conditions acceptées
Protection et précisions: L’adresse e-mail est en clair en base (identifiant de connexion) ; le prénom est chiffré. Si vous choisissez un mot de passe, seule son empreinte (argon2id) est conservée, jamais le mot de passe lui-même ; la connexion se fait aussi par code reçu par e-mail, Apple ou Google.

Catégorie : Sessions et codes de connexion

Données: Empreinte (SHA-256) des jetons de session, libellé de l’appareil, dates ; empreintes des codes de connexion, empreinte de l’adresse e-mail et empreinte de l’adresse IP
Protection et précisions: Aucun code ni jeton en clair. L’adresse IP n’est jamais conservée en clair : seule une empreinte salée est gardée.

Catégorie : Médias

Données: Vidéos (sans le son), images clés, photos, photos et PDF de factures ou de justificatifs ; date de prise de vue déclarée par votre téléphone, date de réception par Recense, empreinte SHA-256 du fichier, reçu d’horodatage signé
Protection et précisions: Chiffrés avant écriture sur le stockage, une clé par fichier. Ni son, ni position GPS, ni métadonnées de l’appareil ne sont conservés. Les visages sont floutés dans les images dérivées (vignettes, recadrages, images envoyées à l’IA). L’image d’origine que vous avez prise et la vidéo conservée en 720p ne sont pas floutées : elles restent chiffrées et visibles de vous seul.

Catégorie : Abonnement et paiement (formule payante)

Données: Formule, périodicité, état et dates de l’abonnement, identifiants client et abonnement chez Stripe ; version des conditions de vente acceptées, date et heure de vos deux accords avant le paiement, date de conclusion du contrat ; journal d’audit de la souscription, de la rétractation et de la résiliation. Chez Stripe : adresse e-mail, adresse de facturation, numéro de TVA éventuel, moyen de paiement, factures
Protection et précisions: Les données de carte sont saisies chez Stripe et ne passent pas par nos serveurs. Aucun contenu d’inventaire ne part chez Stripe. Les e-mails de confirmation, de rétractation, de résiliation et de reconduction sont envoyés à l’adresse de votre compte.

Catégorie : Achats dans l’application (App Store, Google Play)

Données: Pour un abonnement ou un Pack 20 analyses IA acheté dans un store : identifiants de la transaction et de l’abonnement chez le store (ou jeton d’achat, selon le store), produit acheté, dates d’achat, de renouvellement et d’échéance, état (actif, en période de grâce, expiré, remboursé ou révoqué), environnement (réel ou test), version des conditions acceptées, date et heure de votre accord. Un identifiant aléatoire propre à votre compte, créé par Recense et transmis au store avec l’achat, rattache la transaction à votre compte. Pour le Pack 20 : solde de crédits d’analyse et journal de ses mouvements (achat, crédit utilisé, crédit rendu, reprise après remboursement), avec l’identifiant technique de l’analyse concernée
Protection et précisions: Nous ne recevons ni votre carte, ni votre identifiant Apple ou Google, ni votre adresse e-mail du store ; le journal des crédits ne contient aucun contenu d’inventaire. Les crédits sont attachés à votre compte : ils disparaissent avec lui.

Catégorie : Inventaire

Données: Logements (nom, adresse facultative, assureur et numéro de contrat si vous les saisissez, type et qualité d’occupation), pièces (type, nom), objets (désignation, marque, modèle, numéro de série, notes, date et prix d’achat, lieu d’achat, mode de règlement, valeur retenue et sa source, état, quantité), justificatifs (commerçant, montant, date)
Protection et précisions: Noms, adresses, désignations, notes et montants sont chiffrés en base. Certains attributs de classement (catégorie d’objet, état, type de pièce, dates) sont en clair, car ils servent aux filtres et aux totaux.

Catégorie : Dossiers de sinistre et exports

Données: Type de sinistre, dates, objets touchés, description, référence de plainte, pièces jointes ; issue déclarée par vous ; fichiers d’export (état de pertes, dossier de preuves, inventaire, archive de vos données) et leur empreinte
Protection et précisions: Descriptions et références chiffrées ; fichiers d’export chiffrés comme les autres objets.

Catégorie : Rappels de délai de déclaration

Données: Date limite calculée de votre dossier de sinistre, date à laquelle vous indiquez avoir déclaré à votre assureur, marqueurs d’envoi des rappels (veille et jour de l’échéance), réglage qui active ou coupe ces rappels
Protection et précisions: Un rappel ne cite que « votre dossier de sinistre » et une date : jamais le type de sinistre, un objet ni un montant. Le délai affiché est indicatif : il repose sur une hypothèse de calcul, à vérifier dans votre contrat.

Catégorie : Partage d’un dossier avec un tiers (lien en lecture seule)

Données: Pour chaque lien que vous créez : empreinte du lien (le lien lui-même n’est conservé nulle part), nom du destinataire si vous en donnez un, durée choisie, adresse montrée ou non, dates, nombre d’ouvertures, fichiers générés pour ce partage ; pour chaque ouverture : empreinte de l’adresse IP du visiteur et date, 50 lignes au plus par lien
Protection et précisions: Le nom du destinataire est chiffré. L’adresse IP du visiteur n’est jamais conservée en clair et ne vous est jamais montrée : vous voyez seulement un nombre d’ouvertures et de réseaux. Aucun compte n’est créé pour la personne qui ouvre le lien. Son contenu est décrit dans « Qui reçoit vos données ».

Catégorie : Relevés d’inventaire datés

Données: Pour chaque relevé : empreinte SHA-256 du fichier, date de génération, état (valide ou retiré), nombre de vérifications ; le code imprimé sur le document n’est conservé que sous forme d’empreinte secrète
Protection et précisions: La page publique de vérification n’affiche aucun contenu de votre inventaire, seulement ces informations, et ne dépose aucun cookie.

Catégorie : Appareils et notifications

Données: Plateforme (iOS ou Android), jeton de notification Expo, date de dernière activité
Protection et précisions: Le contenu d’une notification ne cite jamais un objet, un montant, un logement ni un nom de pièce.

Catégorie : Parcours et pilotage

Données: Moment d’entrée (facultatif, liste fermée), source d’inscription (liste fermée), date de fin de l’accueil, date à laquelle l’information sur l’IA a été vue, date et version de votre accord pour l’IA, réglages du rappel annuel, compteurs d’analyses par jour, code d’invitation facultatif de rattachement à un groupe (conservé uniquement sous forme d’empreinte)
Protection et précisions: Utilisés en agrégats : aucun résultat par segment n’est publié en dessous de cinq comptes.

Catégorie : Journal de sécurité

Données: Journal d’audit des actions sensibles (connexion, nouvelle session, export créé ou téléchargé, suppression, accord IA…) : identifiants et compteurs, empreinte d’adresse IP
Protection et précisions: Aucun contenu d’inventaire (ni libellé, ni montant) dans ce journal, ni dans les journaux techniques.

Catégorie : Site public

Données: Mesure d’audience Google Analytics, seulement si vous l’acceptez (voir la politique de cookies)
Protection et précisions: Les données saisies dans les outils gratuits ne quittent pas votre navigateur.

Catégorie : Vos messages

Données: Le contenu des messages que vous envoyez à l’adresse de contact ou de support, et votre adresse e-mail ; pour le formulaire de partenariat de la page Assureurs : organisation, rôle, nom, adresse e-mail, message et page d’origine
Protection et précisions: Le formulaire envoie un e-mail à la boîte de contact et ne conserve rien dans notre base de données ; il est protégé par un contrôle anti-robot. Les échanges avec le support sont conservés 12 mois dans la boîte de contact, puis supprimés.

Nous ne collectons pas : le son de vos vidéos, votre position, vos contacts, vos données bancaires (le paiement est encaissé par Stripe, par Apple ou par Google Play, qui seuls voient votre moyen de paiement), ni le texte lu sur vos factures (vous saisissez vous-même le montant et la date). Nous ne cherchons à déduire aucune information sur les personnes (santé, religion, composition du foyer…).

Pourquoi nous traitons vos données, et sur quelle base

Finalité : Créer et sécuriser votre compte, vous connecter

Données principales: Compte, sessions, codes de connexion
Base légale: Exécution du contrat (art. 6.1.b)

Finalité : Stocker vos vidéos, photos et justificatifs comme preuves d’existence de vos biens

Données principales: Médias
Base légale: Exécution du contrat

Finalité : Analyser des images clés par IA pour proposer une liste d’objets et un ordre de grandeur de valeur

Données principales: Images clés floutées
Base légale: Exécution du contrat, le service demandé reposant sur cette analyse ; en outre votre accord explicite, demandé avant le premier envoi et retirable à tout moment : cet accord est une garantie supplémentaire (sans lui, aucune image n’est envoyée) et ne remplace pas la base du contrat

Finalité : Tenir l’inventaire, calculer les totaux, produire les exports

Données principales: Inventaire, justificatifs, sinistres
Base légale: Exécution du contrat

Finalité : Vous envoyer les e-mails de service (codes, alerte de nouvelle session, export prêt ou téléchargé, avertissement avant suppression d’une vidéo, confirmation de suppression) et les notifications de service

Données principales: Adresse e-mail, jeton de notification
Base légale: Exécution du contrat

Finalité : Vous rappeler une fois par an de mettre l’inventaire à jour (désactivé par défaut)

Données principales: Adresse e-mail, jeton de notification, réglages du rappel
Base légale: Consentement (art. 6.1.a) : le rappel est désactivé tant que vous ne l’activez pas, et vous le coupez en un geste

Finalité : Prévenir la fraude et les accès illicites, journaliser les actions sensibles

Données principales: Journal d’audit, empreintes d’adresse IP
Base légale: Intérêt légitime (art. 6.1.f) : la sécurité du service

Finalité : Maîtriser les coûts d’analyse et surveiller la santé du service

Données principales: Compteurs d’analyses, journaux techniques sans contenu
Base légale: Intérêt légitime

Finalité : Piloter et améliorer le service, par segments agrégés

Données principales: Moment d’entrée, source d’inscription, issue déclarée d’un sinistre, invitations
Base légale: Intérêt légitime ; réponses facultatives

Finalité : Vous rappeler la veille et le jour de l’échéance du délai de déclaration d’un sinistre ouvert (activé par défaut, désactivable)

Données principales: Adresse e-mail, jeton de notification, date limite calculée du dossier, réglage des rappels de délai
Base légale: Exécution du contrat (art. 6.1.b) : le rappel sert directement le dossier de sinistre que vous avez ouvert ; vous le coupez en un geste dans les réglages, ou en indiquant que vous avez déclaré

Finalité : Permettre à un expert, un courtier ou un assureur que vous choisissez de consulter un dossier de sinistre en lecture seule, par un lien que vous créez

Données principales: Contenu du dossier partagé, fichiers générés pour le partage, empreinte du lien, journal d’accès (empreinte de l’adresse IP du visiteur)
Base légale: Exécution du contrat (art. 6.1.b) : c’est une fonction que vous demandez, en choisissant le destinataire, la durée et la révocation ; l’empreinte d’adresse IP du journal d’accès relève de l’intérêt légitime (art. 6.1.f), la sécurité du partage et votre information sur ses ouvertures

Finalité : Vérifier qu’un relevé d’inventaire daté a bien été généré à la date indiquée

Données principales: Empreinte du fichier, date de génération, état du relevé
Base légale: Exécution du contrat (art. 6.1.b)

Finalité : Mesurer l’audience du site public

Données principales: Cookies Google Analytics
Base légale: Consentement (art. 82 de la loi Informatique et Libertés et art. 6.1.a)

Finalité : Gérer vos achats dans l’application : vérifier un abonnement ou un Pack 20 analyses IA acheté dans un store, ouvrir les droits correspondants, tenir le solde de crédits, traiter un renouvellement, un remboursement ou une rétractation

Données principales: Achats dans l’application (identifiants de transaction, produit, dates, état, environnement), solde et journal des crédits
Base légale: Exécution du contrat (art. 6.1.b) : sans ces données, nous ne pourrions pas savoir ce que vous avez acheté ni vous en faire bénéficier

Finalité : Répondre à une demande de remboursement d’un Pack 20 analyses IA adressée à Apple

Données principales: Part des crédits déjà consommés, état de livraison du pack, préférence de l’éditeur sur la suite à donner, transmis à Apple pour cette demande seulement
Base légale: Votre accord (art. 6.1.a), donné par une case dédiée de l’écran d’achat du Pack 20 sur iPhone, jamais précochée et distincte de l’acceptation des conditions de vente ; si elle n’est pas cochée, aucune information de consommation n’est transmise à Apple, qui tranche alors sans elle

Finalité : Conserver les pièces comptables et répondre aux obligations légales

Données principales: Factures et reçus de la formule payante, émis par Stripe, et relevés de ventes fournis à l’éditeur par Apple et Google Play, conservés avec sa comptabilité ; preuve de vos accords avant paiement
Base légale: Obligation légale (art. 6.1.c) pour les pièces comptables ; contrat (art. 6.1.b) pour la preuve de l’abonnement

L’analyse par intelligence artificielle

Avant votre première capture, Recense vous informe de ce qui part, à qui, où et combien de temps, puis vous demande votre accord par une action distincte : « J’accepte l’analyse par IA », ou « Saisir à la main, sans IA », deux choix de même poids. Sans votre accord, aucune image n’est envoyée et le mode manuel reste disponible. Vous pouvez retirer votre accord à tout moment dans les réglages (« Analyse par IA ») ; retirer l’accord n’efface aucun objet déjà dans votre inventaire. Si le texte de l’accord change de façon substantielle, il vous est redemandé.

Des images clés de chaque pièce, extraites de votre vidéo : visages floutés, redimensionnées, ré-encodées sans métadonnées, nommées « frame-01 », « frame-02 »… ; le type de pièce (« salon ») ; la langue de réponse ; une consigne fixe: La vidéo entière, le son, votre adresse e-mail, votre nom, votre adresse, tout identifiant interne, vos montants, vos factures

Vous voyez et pouvez retirer les images avant l’envoi. Pour une vidéo envoyée seule, rien ne part sans votre confirmation du choix des images.
La réponse de l’IA est traitée comme une proposition : elle est vérifiée et bornée par nos systèmes, puis vous la relisez. Un objet n’est exporté que si vous l’avez confirmé. Toute valeur non justifiée par une facture est présentée comme une estimation (« ≈ »), avec sa source.
Le floutage des visages est automatique et ne peut pas garantir qu’aucun visage ne subsiste dans une image. Filmez sans personne à l’image.
Aucun profilage et aucune décision produisant des effets juridiques ou vous affectant de manière significative : l’IA ne décide de rien à votre place (art. 22 du RGPD non applicable).
Nous n’entraînons aucun modèle avec vos données, et nous en exigeons autant du fournisseur, conformément à ses conditions commerciales, qui excluent l’entraînement de ses modèles avec les données transmises par l’API.

Fournisseur: Anthropic (modèles Claude), par accès direct à son API

Lieu de traitement: États-Unis (Anthropic PBC), transfert encadré par les clauses contractuelles types de la Commission européenne

Durée de conservation des images chez le fournisseur: Durée limitée fixée par les conditions d’Anthropic (au plus 30 jours, à des fins de sécurité), puis suppression ; aucune conservation zéro n’a été demandée à ce jour

Garanties de transfert hors de l’Union européenne: Clauses contractuelles types de la Commission européenne, comme pour les autres produits de l’éditeur qui font appel à Anthropic PBC (États-Unis)

Qui reçoit vos données

Nous ne vendons pas vos données et ne les utilisons pas à des fins publicitaires. Elles sont accessibles aux seuls prestataires ci-dessous, qui agissent pour notre compte, et à nos équipes dans les limites décrites plus bas. Deux exceptions, où le prestataire décide lui-même des finalités de son propre traitement et est donc responsable de traitement indépendant : Apple et Google pour l’encaissement de vos achats dans l’application (voir les deux lignes qui les concernent).

Qui : OVH SAS (OVHcloud), hébergeur de l’application et de la base de données (voir les mentions légales)

Rôle: Serveur, base de données
Données concernées: Toutes les données de l’application, les médias et les colonnes sensibles étant chiffrés
Lieu: France (centre de données OVH de Gravelines)

Qui : Cloudflare, Inc. (stockage d’objets R2)

Rôle: Conservation des fichiers chiffrés (vidéos, images, justificatifs, exports)
Données concernées: Fichiers déjà chiffrés par l’application : le prestataire ne reçoit aucun octet en clair
Lieu: Europe de l’Ouest (indication de localisation Cloudflare R2)

Qui : OVH SAS (OVHcloud), sauvegarde hors du serveur de production

Rôle: Sauvegardes chiffrées quotidiennes
Données concernées: Copie chiffrée de la base de données
Lieu: France

Qui : Anthropic (fournisseur d’IA, voir la section précédente)

Rôle: Analyse d’images
Données concernées: Images clés floutées, type de pièce, langue
Lieu: États-Unis, voir la section précédente

Qui : OVH SAS (OVHcloud), boîte de contact et envoi des e-mails de service

Rôle: E-mails de service et réponses de support
Données concernées: Adresse e-mail, contenu des messages de service (sans libellé d’objet ni d’adresse de logement)
Lieu: France

Qui : Cloudflare, Inc.

Rôle: Résolution DNS, protection contre les attaques, cache des ressources statiques de la vitrine, contrôle anti-robot (Turnstile) sur les formulaires de connexion, d’inscription et de partenariat. Cloudflare termine la connexion HTTPS : l’envoi des vidéos traverse son réseau, sans y être stocké ni mis en cache
Données concernées: Trafic du site (adresses IP, requêtes) et contenu des requêtes en transit, dont les vidéos envoyées ; le contrôle anti-robot est chargé au premier clic dans un formulaire concerné
Lieu: États-Unis et réseau mondial de Cloudflare (voir Transferts)

Qui : Apple et Google

Rôle: Connexion avec Apple ou Google si vous la choisissez ; acheminement des notifications (via le service de notifications Expo) ; boutiques d’applications
Données concernées: Identifiant du fournisseur, adresse e-mail vue chez lui, jeton de notification
Lieu: Selon leurs propres politiques, États-Unis notamment (voir Transferts)

Qui : Apple (App Store), responsable de traitement indépendant pour le paiement

Rôle: Encaissement, facturation, renouvellement et remboursement d’un abonnement ou d’un Pack 20 analyses IA acheté sur iPhone ou iPad, selon les conditions des Services multimédias Apple et sa propre politique de confidentialité
Données concernées: Votre moyen de paiement et vos données d’achat restent chez Apple. Nous recevons d’Apple les données de transaction listées plus haut ; nous lui transmettons, pour une demande de remboursement d’un Pack 20 analyses IA et seulement si vous avez coché la case dédiée de l’achat, la part des crédits consommés et l’état de livraison
Lieu: Selon la politique d’Apple, États-Unis notamment (voir Transferts)

Qui : Google (Google Play), responsable de traitement indépendant pour le paiement

Rôle: Encaissement, facturation, renouvellement et remboursement d’un abonnement ou d’un Pack 20 analyses IA acheté sur Android, selon les conditions d’utilisation de Google Play et sa propre politique de confidentialité
Données concernées: Votre moyen de paiement et vos données d’achat restent chez Google. Nous recevons de Google les données de transaction listées plus haut
Lieu: Selon la politique de Google, États-Unis notamment (voir Transferts)

Qui : Google (Google Cloud Pub/Sub), sous-traitant

Rôle: Acheminement vers notre serveur des notifications de Google Play sur vos achats (renouvellement, expiration, remboursement), par un sujet Pub/Sub de notre propre projet Google Cloud
Données concernées: Jeton d’achat et type d’événement contenus dans la notification, sans votre adresse e-mail ni aucun contenu de votre compte
Lieu: Selon la configuration de Google Cloud ; transferts possibles hors Union européenne (voir Transferts)

Qui : Expo

Rôle: Service d’envoi des notifications
Données concernées: Jeton de notification, type de notification (sans libellé d’objet)
Lieu: Hors Union européenne possible (voir Transferts)

Qui : Google (Google Analytics 4)

Rôle: Mesure d’audience du site public, après votre accord seulement
Données concernées: Pages vues et événements d’usage des outils, sans donnée saisie
Lieu: États-Unis possible, clauses contractuelles types et certification de Google LLC au cadre UE-États-Unis (voir Transferts). Cette mesure n’existe que si le site est construit avec un identifiant de mesure

Qui : Stripe (paiement de la formule payante, une fois le paiement ouvert)

Rôle: Encaissement et gestion de l’abonnement, sur le web seulement
Données concernées: Adresse e-mail, identifiant client, état et dates de l’abonnement ; les données de carte sont saisies chez Stripe et ne passent pas par nos serveurs
Lieu: Stripe Payments Europe, Ltd (Irlande), transferts possibles vers les États-Unis par Stripe, dont la liste des sous-traitants ultérieurs est publiée par Stripe

Nos équipes : le back-office ne lit que des informations de compte (adresse e-mail, statut, rôle, dates, cohorte d’invitation, source d’inscription) et des agrégats. Il n’existe aucune route ni aucun écran qui affiche vos vidéos, photos, objets, montants ou factures. Toute lecture d’un compte par un administrateur est consignée dans le journal d’audit.
Votre assureur ou toute autre personne : Recense n’envoie rien à un assureur. Si vous partagez un lien d’export, c’est vous qui le transmettez ; il vaut 24 heures et vous pouvez le révoquer.
Les personnes à qui vous partagez un dossier, pendant la durée choisie : si vous créez un lien de partage pour un dossier de sinistre, quiconque détient ce lien et clique sur « Ouvrir le dossier » voit ce dossier en lecture seule (objets confirmés, valeurs estimées avec leur source, photos aux visages floutés, justificatifs et pièces jointes de l’état de pertes, adresse seulement si vous avez choisi de la montrer) et peut télécharger les fichiers générés pour ce partage. Vous choisissez la durée (7, 14 ou 30 jours) et vous pouvez révoquer le lien à tout moment ; c’est vous qui transmettez le lien et qui choisissez à qui : nous ne savons pas qui le détient, seulement combien de fois et depuis combien de réseaux il a été ouvert, et vous en êtes prévenu dès la première ouverture. Cette personne n’a pas de compte et nous ne collectons rien d’elle, hors l’empreinte de son adresse IP dans le journal d’accès.
Les autorités : uniquement sur réquisition ou obligation légale.
Paiement : à partir de l’ouverture du paiement, Stripe encaisse les achats faits sur le site, et Apple ou Google Play ceux faits dans l’application (voir le tableau des destinataires). Recense ne reçoit de Stripe que l’état et les dates de l’abonnement ; les données de carte, l’adresse de facturation et le numéro de TVA éventuel restent chez Stripe. Des stores, nous ne recevons que les données de transaction listées dans « Les données que nous traitons ».

Transferts hors de l’Union européenne

Le cadrage du service prévoit de stocker vos médias et votre base de données en Europe : la base de données et les sauvegardes en France (OVH), les fichiers chiffrés dans l’Europe de l’Ouest (Cloudflare R2), tableau ci-dessus. Certains prestataires listés ci-dessus (Anthropic selon la région retenue, Cloudflare, Google, y compris Google Play et Google Cloud, Apple, Expo, Stripe) peuvent traiter des données hors de l’Union européenne. Pour Anthropic, le transfert vers les États-Unis est encadré par les clauses contractuelles types de la Commission européenne ; pour Google (mesure d’audience), par ces mêmes clauses et par la certification de Google LLC au cadre de protection des données UE-États-Unis. Pour Cloudflare, Apple, Expo et Stripe : les transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, selon le cas, par le cadre de protection des données UE-États-Unis, comme l’indiquent leurs documents contractuels publics. Vous pouvez demander une copie de ces garanties en écrivant à contact@recense.fr.

Comment nous protégeons vos données

Chiffrement au repos : chaque vidéo, photo ou document est chiffré (AES-256-GCM) avant d’être écrit, avec une clé propre à l’objet, elle-même protégée par une clé propre à votre compte. Les colonnes sensibles de la base de données (noms, adresses, désignations, notes, montants) sont chiffrées. La clé maître est conservée hors de la base de données et hors du code, avec une copie hors du serveur.
Chiffrement en transit : les échanges avec l’application et le site passent par HTTPS.
Isolation : chaque requête est filtrée sur votre compte ; la ressource d’un autre compte est indiscernable d’une ressource inexistante.
Authentification : mot de passe haché (argon2id), délai progressif puis blocage temporaire après des échecs répétés, même réponse que le compte existe ou non ; codes à usage unique de 10 minutes, nombre d’essais limité, sessions renouvelées avec détection de réutilisation, alerte par e-mail à chaque nouvelle session, liste de vos appareils avec révocation, verrou biométrique optionnel dans l’application.
Actions sensibles : un nouveau code reçu par e-mail est exigé avant un export, une suppression de compte ou un changement d’adresse e-mail. Les liens de téléchargement d’un export sont signés, valent 24 heures et sont révocables ; chaque téléchargement est journalisé et vous en êtes averti par e-mail.
Partage d’un dossier : le lien contient un secret aléatoire de 32 octets dont seule l’empreinte est conservée ; ce secret n’apparaît ni dans un journal, ni dans l’en-tête de provenance envoyé par le navigateur. La page de partage demande un clic explicite avant d’ouvrir le dossier ; les images sont servies par des liens signés de 10 minutes, revérifiés à chaque requête, donc coupés dès la révocation ; un lien invalide, expiré ou révoqué ne se distingue pas d’un lien qui n’existe pas ; la page n’utilise ni cookie, ni mesure d’audience, ni outil de remontée d’erreurs. Vous êtes averti par e-mail et notification à la première ouverture, et le nombre de partages actifs vous est rappelé quand vous changez de mot de passe.
Traitement des fichiers : le décodage des vidéos et images est fait par un processus isolé, sans accès à la base de données ni à Internet. Les factures au format PDF sont analysées par un antivirus avant d’être acceptées.
Journaux : aucun contenu d’inventaire dans les journaux, les notifications, les métriques ni le journal d’audit, qui ne peut pas être modifié par l’application.
Sauvegardes : copies quotidiennes chiffrées, conservées 30 jours, chez OVH, hors du serveur de production, en France. Les fichiers du stockage d’objets ne font pas l’objet d’une sauvegarde séparée : exportez vos preuves.

Limite à connaître : ce chiffrement n’est pas un chiffrement de bout en bout. Nos serveurs détiennent de quoi déchiffrer vos données, parce qu’ils doivent le faire pour afficher vos objets, analyser vos images et générer vos exports. Un vol du stockage, d’une copie de la base de données ou d’une sauvegarde ne révèle pas le contenu de vos vidéos, photos, libellés, adresses et montants sans la clé maître ; votre adresse e-mail et certains attributs de classement ne sont pas chiffrés. Personne chez nous ne regarde vos vidéos et il n’existe pas d’écran pour le faire, mais nous ne prétendons pas qu’aucun accès technique ne soit possible pour les personnes qui administrent les serveurs.

Aucun système n’est infaillible. En cas de violation de données présentant un risque pour vos droits et libertés, nous la notifions à la CNIL dans les 72 heures et vous informons si le risque est élevé.

Combien de temps nous conservons vos données

Compte, inventaire, preuves, images clés et recadrages: Tant que votre compte existe, ou jusqu’à ce que vous supprimiez l’élément

Compte inactif: Supprimé 3 ans après la dernière activité (connexion ou session ouverte), avec un e-mail d’avertissement 30 jours avant la suppression ; une connexion pendant ce délai conserve le compte. Les comptes d’administration et ceux qui ont un abonnement en cours ne sont pas concernés

Objet mis à la corbeille: 30 jours, puis suppression

Vidéo (720p): 12 mois après sa réception, avec un avertissement 30 jours avant ; jamais supprimée sans avertissement, ni tant qu’un sinistre de ce logement est ouvert (brouillon ou exporté). Si vous choisissez de ne garder que les images, la vidéo est supprimée dès la fin de l’analyse

Images retirées par vous avant l’analyse: Supprimées immédiatement

Envois interrompus: 24 heures

Fichiers d’export (dont l’archive de vos données): Lien de téléchargement valable 24 heures ; fichier supprimé au bout de 7 jours (vous pouvez le régénérer)

Partage d’un dossier (empreinte du lien, destinataire, compteurs): La durée que vous avez choisie (7, 14 ou 30 jours) ou jusqu’à votre révocation, puis 90 jours avant suppression ; supprimé aussi avec le dossier ou le compte

Journal d’accès d’un partage (empreinte de l’adresse IP du visiteur, date): 50 lignes au plus par partage, supprimées avec lui

Fichiers générés pour un partage: Supprimés au bout de 7 jours et dès la révocation du partage ; la personne qui a le lien peut les régénérer tant que le partage est actif

Relevé d’inventaire daté (empreinte, date, état, nombre de vérifications): Tant que votre compte existe : vous pouvez retirer un relevé à tout moment, et la vérification disparaît avec le compte. Le fichier PDF du relevé est supprimé au bout de 7 jours ; vous pouvez en générer un nouveau, avec un nouveau code

Codes de connexion: Supprimés 24 heures après leur expiration (un code est valable 10 minutes)

Sessions révoquées ou expirées: Supprimées 30 jours après leur expiration

Journal d’audit: 12 mois (sans contenu d’inventaire) ; supprimé par une opération d’administration planifiée, l’application elle-même ne pouvant ni le modifier ni l’effacer

Journaux techniques: Sans contenu d’inventaire ni adresse IP en clair ; conservés 30 jours

Sauvegardes: 30 jours glissants : une suppression est complète dans les sauvegardes au plus tard 30 jours après

Jeton de notification: Jusqu’à la déconnexion de l’appareil, la révocation de la session, le refus du service de notifications ou la suppression du compte

Compteurs d’analyses par jour: Durée de vie du compte

Code d’invitation (rattachement à un groupe): Jusqu’à son expiration, puis 90 jours avant suppression

Choix de cookies: 6 mois (183 jours) dans votre navigateur, puis la question vous est reposée

Cookies de mesure d’audience: 13 mois au plus (395 jours), durée fixée par la configuration du site

Images chez le fournisseur d’IA: Durée fixée avec le fournisseur et indiquée dans la section sur l’analyse par IA

Abonnement et preuve de vos accords avant paiement (version des conditions de vente, date et heure): Avec votre abonnement, tant que votre compte existe ; la ligne d’abonnement est détruite avec le compte, la preuve restant chez Stripe avec l’abonnement pour la durée de conservation de ses documents comptables

Achats dans l’application (identifiants de transaction, produit, dates, état, environnement) et journal des crédits d’analyse: Durée de vie du compte : ces lignes et le solde de crédits sont supprimés avec lui. Les crédits restants sont perdus à ce moment-là. Apple et Google conservent de leur côté votre historique d’achats selon leurs propres politiques

Pièces comptables (factures et reçus de la formule payante, relevés de ventes des boutiques d’applications): 10 ans, durée de conservation des documents comptables et des pièces justificatives fixée par l’article L123-22 du code de commerce

Vos droits et comment les exercer

Accès et portabilité (art. 15 et 20): Dans l’application (Réglages, Mes données) et sur le web (Réglages, Mes données) : « Exporter mes données » produit une archive ZIP lisible (une notice de lecture, vos données en JSON, l’inventaire en CSV et vos fichiers déchiffrés et vérifiés). Elle est remise par un lien valable 24 heures, après saisie d’un nouveau code reçu par e-mail.

Rectification (art. 16): Vous modifiez vous-même vos objets, vos pièces, vos logements, votre prénom et votre adresse e-mail (avec un code de confirmation).

Effacement (art. 17): Dans l’application et sur le web (Réglages, Mes données, « Supprimer mon compte »). La suppression est définitive : voir ci-dessous.

Opposition (art. 21): Vous pouvez désactiver le rappel annuel et les rappels de délai en un geste, révoquer un partage de dossier à tout moment, refuser les cookies de mesure et saisir vos objets à la main sans IA. Pour les traitements fondés sur l’intérêt légitime, écrivez-nous.

Retrait du consentement (art. 7): Analyse par IA : Réglages, « Analyse par IA », « Retirer mon consentement ». Cookies : « Gérer les cookies » en bas de page. Le retrait ne remet pas en cause ce qui a été fait avant.

Limitation (art. 18): Écrivez-nous pour demander, par exemple, la suspension de l’analyse de votre compte.

Décision automatisée (art. 22): Aucune décision n’est prise de manière automatisée à votre place : vous relisez et confirmez tout.

Nous répondons dans un délai d’un mois, prolongeable de deux mois pour une demande complexe, auquel cas nous vous en informons. Si nous avons un doute raisonnable sur votre identité, nous pouvons vous demander de la confirmer. Pour toute demande, écrivez à contact@recense.fr.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

Suppression de votre compte

La suppression exige un nouveau code reçu par e-mail et la saisie d’un mot de confirmation. Elle se déroule dans cet ordre :

Votre accès est coupé immédiatement : connexions refusées, sessions fermées, jetons de notification supprimés. Si un compte Apple est lié, le jeton Apple est révoqué avant la suppression ; un échec de cette révocation ne bloque pas la suppression.
Tous vos fichiers sont supprimés du stockage. Un second passage a lieu une dizaine de minutes plus tard pour récupérer d’éventuels fichiers écrits entre-temps, puis on vérifie que plus rien ne subsiste.
Votre clé de chiffrement est détruite : même un fichier resté dans une sauvegarde devient illisible.
Vos données en base de données sont supprimées.
Un e-mail confirme la suppression.

Achats dans l’application : à la suppression, un abonnement Google Play est résilié par nos soins. Un abonnement acheté dans l’App Store ne peut pas être résilié par l’éditeur : il continue d’être facturé par Apple tant que vous ne l’avez pas résilié dans les réglages de votre compte Apple, ce que l’application vous rappelle avant la confirmation. Les crédits du Pack 20 analyses IA non utilisés sont perdus.

Les liens de partage de vos dossiers et les codes de vérification de vos relevés d’inventaire cessent de fonctionner dès que le compte est supprimé.

Restent seulement le journal d’audit, pendant 12 mois, sans contenu d’inventaire mais avec l’identifiant technique de l’ancien compte, et les sauvegardes chiffrées, jusqu’à 30 jours.

Mineurs

Recense est réservé aux personnes majeures. Nous ne collectons pas sciemment de données de mineurs ; si nous constatons qu’un compte est celui d’un mineur, nous le supprimons. À la création du compte, vous déclarez avoir au moins 18 ans, dans la même case que l’acceptation des conditions d’utilisation ; le service ne vérifie pas l’âge.

Personnes présentes dans vos vidéos

Une vidéo de logement peut montrer des proches, des invités ou une aide à domicile. Filmez sans personne à l’image, et ne filmez jamais quelqu’un à son insu : c’est interdit (articles 9 du code civil et 226-1 du code pénal). Le son est coupé, les visages sont floutés dans les images dérivées et vous pouvez retirer une image avant l’analyse. Si vous apparaissez dans la vidéo d’un utilisateur et souhaitez exercer vos droits, écrivez à contact@recense.fr.

Une vidéo de logement peut aussi laisser voir des objets révélant, par exemple, un état de santé ou une conviction. Recense ne traite pas ces informations pour elles-mêmes : un tel objet est inventorié comme un objet, parce que vous voulez l’assurer.

Application mobile

Permissions : l’appareil photo pour filmer vos pièces ; l’accès à vos photos et documents seulement pour ce que vous choisissez d’importer ; les notifications, si vous les acceptez. L’application ne demande ni le micro ni la localisation.
Stockage sur l’appareil : la file d’envoi est chiffrée, les jetons de session sont dans l’espace sécurisé du téléphone, et vos vidéos et images ne sont jamais écrites dans votre photothèque.
Aucun traceur publicitaire, aucun outil de mesure d’audience et aucun outil de remontée d’erreurs dans l’application à ce jour ; si cela change, cette politique sera mise à jour.

Cookies et traceurs

Le site public utilise Google Analytics seulement après votre accord, et jamais dans l’espace connecté ni sur la page de connexion. Le détail figure dans la politique de cookies.

Modifications de cette politique

Cette politique porte la version 2026-10-10. Toute modification substantielle (nouveau prestataire, nouvelle finalité, changement de fournisseur d’IA ou de lieu de traitement) est datée, versionnée et portée à votre connaissance dans l’application ou par e-mail ; votre accord est redemandé lorsque la loi ou le texte de l’accord l’exige. Les versions précédentes vous sont communiquées sur demande à contact@recense.fr.