Politique de confidentialité

Mise à jour : mai 2026 · Version 1.0 · Conforme RGPD et BDSG

Nous sommes heureux de votre visite sur rentprime.de et de l'intérêt que vous portez à notre offre. La protection de vos données à caractère personnel est pour nous une préoccupation majeure. Dans la présente déclaration de protection des données, nous vous informons de manière exhaustive sur le traitement de vos données à caractère personnel lors de l'utilisation de notre site Internet et de notre offre de logiciel en tant que service « Rentprime ».

1. Verantwortlicher

Responsable du traitement au sens du RGPD et des lois nationales de protection des données :

KRUPKA Concept GmbH
Grabenstraße 18
40789 Monheim am Rhein
Allemagne
E-Mail: contact@rentprime.de

2. Délégué à la protection des données

Aucune obligation légale (§ 38 BDSG) de désigner un DPO n'existant actuellement, nous n'en avons pas désigné. Contactez-nous pour toute question.

Sicherheitsvorfälle und mutmaßliche Datenschutzverletzungen melden Sie bitte an security@rentprime.de. Wir behandeln Meldungen vertraulich und reagieren innerhalb eines Werktages.

2a. Autorité de contrôle compétente de votre pays

Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données de votre État membre (art. 77 RGPD ou art. 77 UK GDPR). Les autorités principalement compétentes pour votre lieu de résidence sont :

• DE: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) — ldi.nrw.de
• AT: Datenschutzbehörde (DSB) — dsb.gv.at
• CH: Eidg. Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), DSG/revDSG anwendbar — edoeb.admin.ch
• FR: Commission nationale de l’informatique et des libertés (CNIL) — cnil.fr
• IT: Garante per la protezione dei dati personali (GPDP) — garanteprivacy.it
• ES: Agencia Española de Protección de Datos (AEPD) — aepd.es
• PT: Comissão Nacional de Proteção de Dados (CNPD) — cnpd.pt
• NL: Autoriteit Persoonsgegevens (AP) — autoriteitpersoonsgegevens.nl
• BE: Gegevensbeschermings­autoriteit / Autorité de protection des données (APD/GBA) — autoriteprotectiondonnees.be
• LU: Commission nationale pour la protection des données (CNPD) — cnpd.public.lu
• GB: Information Commissioner’s Office (ICO), UK GDPR + Data Protection Act 2018 — ico.org.uk
• DK: Datatilsynet — datatilsynet.dk
• SE: Integritets­skydds­myndigheten (IMY) — imy.se
• CZ: Úřad pro ochranu osobních údajů (ÚOOÚ) — uoou.cz
• PL: Urząd Ochrony Danych Osobowych (UODO) — uodo.gov.pl

2b. Représentant dans l'Union & au Royaume-Uni

Représentant UE (RGPD art. 27) : Da unsere Niederlassung in Deutschland (EU) ist, ist gemäß Art. 27 Abs. 1 RGPD + Loi Informatique et Libertés kein zusätzlicher Vertreter erforderlich. Verantwortliche und Kontaktstelle für EU-Datenschutz­anfragen sind die unter Punkt 1 genannten Daten (KRUPKA Concept GmbH, contact@rentprime.de).

Représentant britannique (UK GDPR art. 27) : Der formelle UK-Repräsentant wird derzeit benannt (Status: in Beauftragung bei einer spezialisierten Compliance-Kanzlei, voraussichtlicher Abschluss Q4 2026). Bis zur Bestellung bieten wir unsere Dienste in Großbritannien ausschließlich über rentprime.co.uk im eingeschränkten Umfang an; Personen mit Wohnsitz im UK können sich für Anfragen nach UK GDPR (insbesondere Art. 15–22) direkt unter uk-privacy@rentprime.de an uns wenden - wir beantworten innerhalb der gesetzlichen Frist von einem Monat. Alternative: Erreichbarkeit über unsere EU-Datenschutz-Adresse datenschutz@rentprime.de nach Art. 27(5) UK GDPR.

Remarque CH : les personnes résidant en Suisse relèvent de la loi révisée sur la protection des données (revDSG, en vigueur depuis le 01.09.2023). Nous recevons les demandes au titre des art. 25 ss revDSG aux mêmes coordonnées. Au regard du droit de l'UE, la Suisse est considérée comme un pays tiers sûr (décision d'adéquation).

3. Informations générales sur le traitement

3.1 Étendue du traitement des données personnelles

Nous traitons les données personnelles de nos utilisateurs uniquement dans la mesure nécessaire pour fournir un site fonctionnel et nos services. Traitement uniquement sur consentement ou base légale.

3.2 Bases juridiques du traitement des données personnelles

• Art. 6 Abs. 1 lit. a RGPD — consentement de la personne concernée
• Art. 6(1)(b) RGPD — exécution du contrat ou mesures précontractuelles
• Art. 6(1)(c) RGPD — obligation légale (code fiscal/commercial)
• Art. 6 Abs. 1 lit. f RGPD + Loi Informatique et Libertés — Berechtigtes Interesse

3.3 Suppression des données et durée de conservation

Les données personnelles sont supprimées ou bloquées dès que la finalité disparaît. Conservation possible si prévue par le droit UE ou national (notamment § 257 HGB et CGI Art. L102B, 6 ou 10 ans).

4. Fourniture du site et création de fichiers journaux

4.1 Description du traitement des données

À chaque visite de notre site, notre système collecte automatiquement des données et informations du système informatique de l'appareil. Les données suivantes sont collectées :

• IP-Adresse des Nutzers (anonymisiert)
• Date et heure de l'accès
• Navigateur et système d'exploitation utilisés
• Page consultée et URL de référence (referrer)
• Volume de données transférées

Les données sont stockées dans nos fichiers de logs. Aucun stockage avec d'autres données personnelles de l'utilisateur n'a lieu.

4.2 Rechtsgrundlage

Base légale pour le stockage temporaire des logs : art. 6 § 1 f RGPD. Intérêt légitime : livraison du site, sécurité, optimisation.

4.3 Speicherdauer

Les données de logs sont supprimées ou anonymisées au plus tard après 14 jours.

5. Hosting

Notre site web et notre offre SaaS sont traités dans l'UE (région de base de données Suède/Stockholm, régions de compute Francfort et Stockholm) auprès de prestataires certifiés ISO 27001 ; certains de ces prestataires sont des sociétés américaines, pour lesquelles nous appliquons le EU-US Data Privacy Framework (DPF) et/ou les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés). Concrètement, nous utilisons : Vercel Inc. (USA ; hébergement du frontend et des fonctions serverless, compute à Francfort/fra1 — DPF + SCC), Fly, Inc. (USA ; exploitation de l'API applicative api.rentprime.de, compute à Francfort/fra — SCC), Supabase Inc. (USA ; base de données applicative dans la région UE Stockholm/eu-north-1 — DPF + SCC) ainsi que Cloudflare Inc. (USA ; protection CDN, DDoS et WAF — DPF + SCC). Tous les prestataires ont été soigneusement sélectionnés et contractuellement tenus de respecter le RGPD + Loi Informatique et Libertés (contrat de sous-traitance conformément à l'Art. 28 RGPD + Loi Informatique et Libertés).

Kern- und Mieterdaten werden verschlüsselt innerhalb der Europäischen Union verarbeitet (Datenbank in Stockholm/Schweden). KI-Funktionen (Lou-Chat, Vertrags-Check, Beleg-Erkennung/OCR) werden ausschließlich über Anthropic Claude in den USA verarbeitet; diese Drittlandübermittlung ist über das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln (Art. 46 RGPD + Loi Informatique et Libertés) abgesichert (siehe Abschnitt 12a).

Für die KI-gestützten Funktionen (Lou-Assistent, Beleg-Erkennung) führen wir Datenschutz-Folgenabschätzungen nach Art. 35 RGPD + Loi Informatique et Libertés und Transfer-Impact-Assessments für die Drittland-Auftragsverarbeiter (Anthropic, Stripe) nach EDSA-Empfehlung 01/2020 durch. Diese Unterlagen sowie unser Incident-Response-Playbook (Art. 33/34 RGPD + Loi Informatique et Libertés) stellen wir Aufsichtsbehörden und betroffenen Personen auf Anfrage unter datenschutz@rentprime.de zur Verfügung.

6. Inscription et compte utilisateur

Vous pouvez vous inscrire sur notre site en fournissant des données personnelles. Lors de l'inscription, les données suivantes sont collectées :

• Prénom et nom
• Adresse e-mail
• Mot de passe (stocké chiffré avec bcrypt, pas en clair)
• Telefonnummer (optional)
• Firmendaten (bei gewerblicher Nutzung)

Base légale : art. 6 § 1 b RGPD (exécution du contrat). Les données sont conservées pendant la durée de votre relation d'utilisation. Après la fin de la relation contractuelle, les données sont supprimées dans le respect des délais légaux de conservation.

7. Exécution du contrat — données d’usage logiciel

En utilisant Rentprime, vous traitez les données de vos locataires comme responsable au sens RGPD. Nous sommes sous-traitants art. 28 RGPD. Un contrat de sous-traitance est conclu. /av-vertrag disponible ou envoyé sur demande.

Les catégories de données suivantes sont traitées dans le cadre de l’usage du logiciel:

• Données du locataire (nom, adresse, coordonnées, IBAN, situation de famille pour le calcul de l'occupation du logement)
• Données du contrat de bail (début du bail, fin du bail, loyer, acompte sur charges)
• Données de consommation (chauffage, eau, autres coûts par consommation)
• Justificatifs et factures (fournisseur, types de coûts, montants)
• Historique des paiements et des communications entre le bailleur et le locataire

8. Cookies et technologies comparables

Notre site utilise des cookies et technologies similaires. Vous trouverez le détail dans notre bandeau cookies et dans les sections ci-dessous.

8.1 Technisch notwendige Cookies

Nous utilisons des cookies techniquement nécessaires (session, langue, CSRF). Base : § 25 al. 2 n° 2 TDDDG et art. 6 § 1 f RGPD. Indispensables, non désactivables.

8.2 Cookies fonctionnels

Cookies fonctionnels servent à améliorer l’expérience utilisateur (p.ex. mémoriser paramètres de filtre, langue)

8.3 Mesure d’audience (catégorie « Statistiques »)

Nous mesurons nous-mêmes l’utilisation de notre site, sans service tiers. Aucun cookie n’est placé et aucun identifiant n’est stocké dans votre navigateur (pas de localStorage non plus). Aucune reconnaissance d’un appareil à l’autre n’a lieu.

Au lieu d’un identifiant sur votre appareil, notre serveur forme un pseudonyme : une empreinte SHA-256 calculée à partir de votre adresse IP, de l’identifiant de votre navigateur (user agent) et d’une valeur secrète qui change chaque jour. L’adresse IP elle-même n’est pas conservée. Comme la valeur secrète change quotidiennement, les visites ne peuvent plus être reliées entre elles après 24 heures.

Nous collectons uniquement : le nom de l’événement, le chemin de la page (sans paramètres de requête, les numéros qu’il contient étant masqués), l’hôte de la page de provenance (et non l’adresse complète), les paramètres de campagne (UTM), la langue, la classe d’appareil (téléphone mobile, tablette, ordinateur), le pays et l’horodatage. Si vous êtes connecté à votre compte, l’identifiant de votre compte est également enregistré.

Les données sont conservées dans notre propre base de données dans l’Union européenne (région de projet eu-north-1, Stockholm/Suède). Pour la mesure d’audience, aucune donnée n’est transmise à des tiers et aucun transfert vers un pays tiers n’a lieu. Au bout de 400 jours, les données sont supprimées automatiquement.

Sur le site, nous ne mesurons qu’après votre consentement à la catégorie « Statistiques » dans la bannière. Base légale : art. 6, par. 1, point a) du RGPD (consentement). Vous pouvez retirer votre consentement à tout moment via la bannière ; le retrait prend effet immédiatement — les événements déjà enregistrés mais non encore transmis sont supprimés et aucun nouvel événement n’est collecté.

Dans l’application connectée, nous enregistrons en outre des événements produit afin de détecter les erreurs et d’améliorer le logiciel — par exemple « décompte créé » ou « justificatif téléversé ». Seuls des compteurs et des catégories fixes sont enregistrés, jamais le contenu de vos documents, de vos biens ou de vos données locataires. Base légale : art. 6, par. 1, points b) (exécution de la prestation convenue) et f) du RGPD (intérêt légitime à une exploitation sûre et sans erreur). Le lieu de conservation et la durée correspondent aux indications ci-dessus.

8.4 Marketing

Nous n’utilisons pas de cookies marketing ou publicitaires. Si cela devait changer, nous recueillerions au préalable votre consentement via la bannière.

9. Kontaktaufnahme

9.1 Formulaire de contact et e-mail

Si vous nous contactez par formulaire ou e-mail, vos informations du formulaire et vos coordonnées sont stockées pour traiter votre demande. Ces données ne sont pas transmises sans consentement.

Le traitement repose sur l'art. 6 § 1 b RGPD si la demande concerne un contrat ou des mesures précontractuelles. Sinon, sur notre intérêt légitime art. 6 § 1 f RGPD.

9.2 KI-basierter Chatbot (Lou)

Sur notre page de contact, nous exploitons un chatbot basé sur l'IA nommé « Lou ». Lorsque vous utilisez le chatbot, vos demandes sont traitées afin de générer une réponse correspondante. À cette fin, nous recourons aux services de modèles de langage d'Anthropic PBC (USA) ; un transfert vers les USA a alors lieu. Anthropic est certifié DPF (EU-US Data Privacy Framework, décision d'adéquation de la Commission européenne du 10.07.2023) ; en complément, les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés) s'appliquent. Anthropic est répertorié comme sous-traitant dans l'AVV. Le traitement s'effectue exclusivement pour répondre à votre demande. Vos saisies ne sont contractuellement pas utilisées pour l'entraînement des modèles de langage (zero retention/pas d'entraînement selon l'AVV).

N'entrez pas de données personnelles sensibles (art. 9 RGPD) dans le chatbot. Base : art. 6 § 1 f RGPD. Vous pouvez quitter et nous écrire par e-mail à la place.

10. Zahlungsabwicklung

Pour les paiements, nous utilisons Stripe Payments Europe Ltd. (Irlande). En carte, vos données sont transmises directement à Stripe ; nous ne stockons pas de données carte. Base : art. 6 § 1 b RGPD. stripe.com/de/privacy.

11. E-Mail- und Nachrichtenversand

Pour l'envoi d'e-mails transactionnels (par ex. réinitialisation du mot de passe, confirmations de contrat), nous utilisons principalement Resend, Inc. (San Francisco, USA) et, en solution de repli, Postmark d'ActiveCampaign LLC (Chicago, USA). Les deux prestataires sont certifiés DPF (EU-US Data Privacy Framework) ; en complément s'appliquent les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés). Base juridique : Art. 6 Abs. 1 lit. b und f RGPD + Loi Informatique et Libertés.

Pour la gestion du formulaire de newsletter et de leads, nous utilisons Brevo (Sendinblue SAS, Paris, France). Le traitement s'effectue au sein de l'UE ; il n'existe aucun lien avec un pays tiers. Base juridique : Art. 6 Abs. 1 lit. a RGPD + Loi Informatique et Libertés (consentement) ; vous pouvez retirer votre consentement à tout moment via le lien de désabonnement présent dans chaque e-mail.

Pour l'envoi optionnel de SMS et de messages WhatsApp (communication avec les locataires), nous utilisons Twilio Inc. (San Francisco, USA). Twilio est certifié DPF ; en complément s'appliquent les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés). Base juridique : Art. 6 Abs. 1 lit. f RGPD + Loi Informatique et Libertés (intérêt légitime à une communication efficace avec les locataires) — uniquement lorsque la communication avec les locataires est activée.

12. Destinataires de vos données personnelles

Vos données ne sont transmises qu'aux sous-traitants indiqués ci-dessous, dans la mesure nécessaire à l'accomplissement de leurs tâches, ainsi qu'aux organismes légalement tenus ou avec votre consentement. Les sous-traitants suivants ont accès à vos données :

• Vercel Inc. (340 S Lemon Ave #4133, Walnut CA 91789, USA) — Hosting des Frontends und der Serverless-Functions (u. a. /api/geo, /api/newsletter, /api/leads, /api/csp-report, Blog-Cron); Compute-Region Frankfurt (fra1). Drittlandmechanismus: EU-US Data Privacy Framework (DPF) + EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés).
• Fly, Inc. (2261 Market Street #4990, San Francisco CA 94114, USA) — Betrieb der Anwendungs-API api.rentprime.de mit Compute-Region Frankfurt (fra); verarbeitet Kern- und Mieterdaten. Drittlandmechanismus: EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés); Fly ist nicht DPF-gelistet.
• Supabase Inc. (970 Toa Payoh North #07-04, Singapur; Konzernmutter USA) — Hosting der Anwendungs-Datenbank in der EU-Region Stockholm/eu-north-1 (Schweden). Drittlandmechanismus: DPF + SCC.
• Cloudflare Inc. (101 Townsend St, San Francisco CA 94107, USA) — CDN-, DDoS- und WAF-Schutz; Edge-Verarbeitung in der EU. Drittlandmechanismus: DPF + SCC.
• Stripe Payments Europe Ltd., Dublin, Irland (Zahlungsabwicklung; Verarbeitung innerhalb der EU, Konzernanbindung an Stripe, Inc. USA — DPF + SCC).
• Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Frankreich — Verwaltung des Newsletter- und Lead-Formulars sowie transaktionaler E-Mail-Versand; Verarbeitung innerhalb der EU (kein Drittland-Mechanismus erforderlich). Rechtsgrundlage: Art. 6 Abs. 1 lit. a RGPD + Loi Informatique et Libertés (Einwilligung).
• Resend, Inc., San Francisco, USA — Transaktions-Mail-Versand (Passwort-Reset, Vertragsbestätigungen). Drittlandmechanismus: DPF + SCC.
• Postmark (ActiveCampaign LLC), Chicago, USA — Transaktions-Mail-Fallback. Drittlandmechanismus: DPF + SCC.
• Twilio Inc., San Francisco, USA — SMS- und WhatsApp-Versand (nur bei aktivierter Mieterkommunikation). Drittlandmechanismus: DPF + SCC.
• finAPI / Klarna Kosma (Bank-Sync nach PSD2 — nur bei aktivierter Kontoanbindung; Verarbeitung innerhalb der EU).
• Anthropic PBC, San Francisco, USA (KI-Chatbot Lou und Vertrags-Check — nur bei aktiver Nutzung). Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, San Francisco, USA (Claude Vision für Beleg-/OCR-Erkennung — nur bei aktiver Nutzung). Drittlandmechanismus: DPF + SCC.

Des contrats correspondants ont été conclus avec tous les sous-traitants conformément à l'art. 28 du RGPD.

12a. Transfert vers des pays tiers

Vos données principales et des locataires sont stockées et traitées de manière chiffrée au sein de l'UE (base de données applicative à Stockholm/Suède, compute à Francfort et Stockholm auprès de prestataires certifiés ISO 27001). Étant donné que nous recourons à des prestataires américains pour l'hébergement du frontend, l'exploitation de l'API, la mise à disposition de la base de données, le CDN/WAF, l'e-mail transactionnel, les SMS/WhatsApp ainsi que certaines fonctions d'IA, un transfert vers les USA a lieu dans cette mesure. Sont concernés Vercel Inc., Fly Inc., Supabase Inc., Cloudflare Inc., Resend Inc., Postmark (ActiveCampaign LLC), Twilio Inc., Anthropic PBC et Google LLC. Tous les sous-traitants américains à l'exception de Fly Inc. sont certifiés sous le EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10.07.2023) ; pour Fly Inc. ainsi qu'en complément pour tous les autres, s'appliquent les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés) assorties de mesures techniques et organisationnelles (chiffrement en transit et at rest, minimisation des PII, zero retention/pas d'entraînement garanti contractuellement chez les prestataires d'IA). Tous les prestataires mentionnés sont répertoriés comme sous-traitants dans l'AVV.

Rechtsbehelf nach EO 14086: Betroffene Personen in der EU können sich gegen US-Geheimdienst-Zugriffe auf ihre Daten an den Data Protection Review Court (DPRC) wenden. Erstanlaufstelle ist die zuständige nationale Aufsichtsbehörde (für Deutschland: LDI NRW Düsseldorf, siehe oben), die Beschwerden an die EU-Kommission und an das US Office of the Director of National Intelligence (ODNI) weiterleitet.

13. Ihre Rechte als betroffene Person

Si vos données personnelles sont traitées, vous êtes personne concernée au sens du RGPD et disposez des droits suivants vis-à-vis du responsable :

13.1 Auskunftsrecht (Art. 15 RGPD + Loi Informatique et Libertés)

Vous pouvez demander au responsable la confirmation du traitement de vos données personnelles. En cas de traitement, vous pouvez demander d'autres informations.

13.2 Droit de rectification (Art. 16 RGPD)

Vous avez le droit de rectification et/ou complétion auprès du responsable si les données traitées sont inexactes ou incomplètes.

13.3 Droit à l'effacement (art. 17 RGPD)

Vous pouvez exiger du responsable la suppression sans délai de vos données personnelles, si l'un des motifs légaux s'applique.

13.4 Droit à la limitation du traitement (art. 18 RGPD)

Sous certaines conditions, vous pouvez demander la limitation du traitement de vos données personnelles.

13.5 Droit à la portabilité des données (art. 20 RGPD)

Vous avez le droit de recevoir vos données personnelles fournies au responsable dans un format structuré, courant et lisible par machine.

13.6 Widerspruchsrecht (Art. 21 RGPD + Loi Informatique et Libertés)

Vous avez le droit de vous opposer, pour des motifs liés à votre situation, au traitement de vos données fondé sur l'art. 6 § 1 e ou f RGPD.

13.7 Droit de retrait du consentement (Art. 7 § 3 RGPD)

Vous avez le droit de retirer votre consentement à tout moment. Ce retrait n'affecte pas la licéité du traitement effectué jusqu'alors sur la base du consentement.

13.8 Droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77 RGPD)

Sans préjudice d'autres voies de recours, vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle. L'autorité compétente pour nous est :

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de

14. Datensicherheit

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données contre la perte, la manipulation et l'accès non autorisé.

• Chiffrement TLS 1.3 pour la transmission des données entre le navigateur et le serveur
• Chiffrement AES-256 des données sensibles au niveau base de données
• Stockage des mots de passe exclusivement avec bcrypt (pas en clair)
• Authentification à deux facteurs (2FA) activable en option
• Audits de sécurité et tests d'intrusion réguliers
• Stratégie de sauvegarde avec copies hors site chiffrées
• Hosting bei nach ISO 27001 zertifizierten EU-Anbietern (Anwendungs-Datenbank in Stockholm/Schweden, Compute in Frankfurt und Stockholm)

15. Actualité et modification de la politique de confidentialité

Cette politique de confidentialité est en vigueur, datée de mai 2026. Des modifications peuvent être nécessaires en cas d'évolution du site ou des exigences légales. La version actuelle est consultable sur le site à rentprime.de/datenschutz peut être récupéré et imprimé par vous.