1. Responsable et rôles
Titulaire : GATAVIA GLOBAL, S.L. · NIF espagnol B05722335 · Calle Rascafría, 67, escalera 11, 28670 Villaviciosa de Odón, Madrid, Espagne · info@gatavia.com
Contact confidentialité : info@gatavia.com.
Gatavia agit comme responsable pour la gestion des comptes, contrats, facturation, support, sécurité et ses propres opérations. Lorsqu'un propriétaire, gestionnaire ou entreprise introduit des données de tiers et détermine les finalités du traitement, ce client agit comme responsable et Gatavia comme sous-traitant selon ses instructions documentées.
2. Données traitées
- Identité et coordonnées
- Compte, authentification, préférences et second facteur lorsqu'il est activé
- Données relatives aux logements, propriétaires, voyageurs, réservations, revenus, dépenses et règlements lorsqu'elles sont personnelles
- Documents, contrats, factures, justificatifs et fichiers chargés
- Support et demandes relatives aux droits
- Données techniques et de sécurité nécessaires à la protection du service
- Plan, facturation et état du paiement ; les données complètes de carte sont traitées par Stripe
3. Finalités
- Créer et sécuriser les comptes
- Fournir les services Gatavia
- Gérer réservations, propriétaires, règlements, documents et analyses demandées
- Traiter un document lorsque l'utilisateur demande son extraction ou son analyse
- Gérer achats, abonnements, facturation, support et droits
- Prévenir fraude, abus, accès non autorisés et incidents
- Respecter les obligations légales
- Améliorer sécurité et fonctionnement
- Envoyer des communications commerciales sur une base juridique valable
4. Bases juridiques
Selon le traitement : exécution du contrat, mesures précontractuelles, obligation légale, intérêt légitime en matière de sécurité, prévention de la fraude et amélioration, ou consentement lorsqu'il est requis.
Lorsque Gatavia agit comme sous-traitant pour des données de tiers, le traitement est effectué pour le compte du client responsable conformément à l'accord de traitement et à ses instructions documentées.
5. Prestataires, sous-traitants et transferts
Gatavia utilise notamment Supabase pour base de données, authentification et stockage, Vercel pour l'hébergement, Stripe pour paiements et abonnements, Resend pour e-mails transactionnels et OpenAI pour certaines fonctions d'IA.
Seules les données nécessaires sont communiquées et Gatavia maintient un inventaire interne des sous-traitants.
Lorsque des pays tiers sont concernés, les garanties applicables sont utilisées, notamment décisions d'adéquation, clauses contractuelles types ou mécanismes équivalents.
6. Intelligence artificielle et documents
L'IA financière de Gatavia applique la minimisation : elle reçoit principalement des totaux, ratios, comparaisons et catégories nécessaires, sans identifiants personnels lorsqu'ils ne sont pas nécessaires.
Lorsqu'un utilisateur demande expressément l'extraction d'une facture ou d'un document, le fichier nécessaire doit être traité. Gatavia limite formats et taille, vérifie que le fichier appartient à l'utilisateur et configure les requêtes OpenAI avec store:false.
OpenAI indique que les données professionnelles et API ne sont pas utilisées pour entraîner ses modèles par défaut. Dans la configuration API standard, certaines données peuvent être conservées temporairement, actuellement jusqu'à 30 jours, sauf configuration de rétention zéro applicable.
7. Sécurité
Gatavia applique une séparation logique par utilisateur et compte, des politiques d'accès au niveau des lignes, un stockage privé pour les documents et des liens temporaires signés.
Mon Gatavia prend en charge l'authentification TOTP à deux facteurs ; lorsqu'elle est activée, le second facteur est requis et certaines opérations irréversibles nécessitent une vérification renforcée. Les nouveaux mots de passe comportent au moins 12 caractères.
Les identifiants d'intégration ne sont pas exposés au navigateur, les fonctions privilégiées sont restreintes, les fichiers sont limités par type et taille et des registres de demandes de confidentialité et d'incidents sont maintenus.
8. Conservation et effacement
Les données opérationnelles sont conservées pendant la durée nécessaire au service. Après une demande d'effacement ou la fin de la relation, les données devenues inutiles sont supprimées ou anonymisées et celles soumises à une obligation légale sont bloquées ou restreintes.
En Espagne, certains documents commerciaux peuvent être soumis à une conservation générale de six ans et les délais fiscaux généraux sont de quatre ans, sous réserve des règles particulières.
Gatavia maintient une politique interne de conservation par catégorie et évite l'effacement automatique lorsqu'une obligation de conservation peut s'appliquer.
9. Droits
Vous pouvez, lorsque la loi s'applique, demander accès, rectification, effacement, opposition, limitation, portabilité et retrait du consentement à info@gatavia.com.
Gatavia enregistre les demandes avec date, type, état et traçabilité. Une demande de suppression de compte crée également un dossier de confidentialité et exige une vérification renforcée si la 2FA est activée.
Vous pouvez saisir l'autorité de protection des données compétente.
10. Gestionnaires professionnels et accord de traitement
Lorsqu'un gestionnaire, une entreprise ou un propriétaire traite dans Gatavia des données de tiers pour son compte, le rôle de sous-traitant de Gatavia est formalisé par un accord de traitement versionné.
L'accès aux modules comprenant des données de propriétaires ou de voyageurs peut exiger l'acceptation de la version en vigueur. L'utilisateur, le compte, la version, la date et la méthode d'acceptation sont enregistrés.
L'accord couvre notamment l'objet, les instructions, la confidentialité, la sécurité, les sous-traitants, les droits, les incidents, la restitution ou suppression et l'audit.
11. Incidents et traçabilité
Gatavia tient un registre structuré des incidents de sécurité avec nature, gravité, données concernées, mesures de confinement et évaluation du risque.
Lorsque la loi l'exige, les procédures et délais de notification applicables sont suivis, notamment le suivi du délai de 72 heures lorsque pertinent.
12. Modifications
Cette politique est mise à jour en cas de changement juridique, technique, fonctionnel, de prestataire ou de sécurité. Les modifications importantes de l'accord de traitement suivent aussi leur propre versionnement et acceptation.
13. Services API YouTube
Gatavia utilise les services API YouTube uniquement afin de permettre à un compte autorisé de publier des vidéos et des Shorts sur sa propre chaîne YouTube depuis les outils internes de publication de Gatavia.
La connexion utilise OAuth 2.0 de Google et Gatavia ne demande, pour l'envoi, que l'autorisation nécessaire au téléversement de vidéos (youtube.upload). Gatavia n'utilise pas cette intégration pour lire des messages privés, gérer la publicité, vendre des données ou accéder à des informations de chaîne non nécessaires à la publication autorisée.
Gatavia peut conserver de manière sécurisée les jetons OAuth strictement nécessaires afin d'éviter une nouvelle autorisation à chaque publication. Ils sont utilisés uniquement pour les actions autorisées par le titulaire du compte et ne sont ni vendus ni transmis à des tiers à des fins publicitaires.
L'utilisateur peut révoquer l'accès de Gatavia à son compte Google à tout moment depuis les connexions avec des services tiers de son compte Google. Après révocation ou lorsque l'intégration n'est plus nécessaire, Gatavia supprimera ou invalidera les identifiants stockés dès que raisonnablement possible, sous réserve de journaux techniques minimaux nécessaires à la sécurité ou au respect d'obligations légales.
L'utilisation par Gatavia des informations reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences de Limited Use.
