Confidentialité
Quelles données Kivlo traite, pourquoi, où, combien de temps, et quels sont vos droits.
Une page comme celle-ci, c’est souvent un pavé qu’on ne lit pas. Nous avons écrit la nôtre pour qu’elle soit claire : chaque type de données a son tableau, qui dit pourquoi nous les traitons, sur quelle base légale et combien de temps nous les gardons.
Mis à jour le 10 novembre 2026
Sur cette page
SLASH PARIS, qui édite Kivlo, est responsable des données de votre compte, de votre inscription à la liste d’attente et de vos échanges avec nous. Adresse : 73 avenue du Général de Gaulle, 94700 Maisons-Alfort, France.
Pour les données que vous saisissez sur vos locataires, leurs garants et vos candidats, c’est vous, le bailleur, qui êtes responsable du traitement ; Kivlo les traite pour votre compte, comme sous-traitant (article 28 du RGPD). Un locataire ou un candidat qui veut exercer ses droits s’adresse à son bailleur.
Pour chaque type de données : pourquoi, sur quelle base légale et combien de temps. Pour les consulter, les corriger ou les faire effacer, voir Quels sont vos droits ?
Les informations marquées comme obligatoires dans un formulaire sont nécessaires pour créer votre compte ou vous répondre ; sans elles, nous ne pouvons pas le faire. Les autres sont facultatives.
Pour votre compte
| Données |
|
|---|---|
| Pourquoi | Vous connecter, sécuriser votre compte (double authentification, alerte si quelqu’un tente de deviner votre mot de passe), limiter l’offre gratuite à un compte par personne et vous envoyer les e-mails liés à votre compte. |
| Base légale | L’exécution du contrat (art. 6.1.b du RGPD) pour le compte ; notre intérêt légitime à protéger le service (art. 6.1.f) pour la sécurité et la lutte contre les comptes multiples. |
| Durée | Tant que le compte existe, puis 30 jours après votre demande de suppression. Tentatives de connexion : 1 mois. Adresses IP d’inscription et signaux de fraude : 12 mois (un signal en cours d’examen, jusqu’à la fin de l’examen). |
Supprimez votre compte depuis vos paramètres : vous pouvez annuler pendant 30 jours. L’export de toutes vos données s’y télécharge aussi, en un fichier ZIP.
Pour votre gestion locative
| Données |
|
|---|---|
| Pourquoi | Ce que vous demandez au service : quittances, suivi, relance et révision des loyers, documents, comptabilité et exports. Jamais vendues, jamais utilisées pour de la publicité. |
| Base légale | L’exécution du contrat (art. 6.1.b du RGPD). Pour vos locataires, garants et candidats, c’est vous qui fixez la base légale ; nous agissons sur vos instructions (art. 28 du RGPD). |
| Durée | Tant que le compte existe, ou jusqu’à ce que vous les supprimiez. À la suppression du compte, tout est effacé, documents compris : exportez d’abord ce que la loi vous oblige à conserver, comme votre comptabilité. |
Pour la connexion bancaire
| Données |
|
|---|---|
| Pourquoi | Repérer les loyers reçus, les rapprocher de vos baux et passer les écritures dans votre comptabilité. Lecture seule : aucun paiement ne peut être initié. |
| Base légale | L’exécution du contrat (art. 6.1.b du RGPD), si vous connectez votre banque. Votre accord pour l’accès à vos comptes est recueilli par le prestataire agréé. |
| Durée | Tant que le compte existe. Si vous déconnectez votre banque, la lecture s’arrête ; les opérations déjà importées restent dans votre comptabilité. |
Déconnectez votre banque depuis l’application pour arrêter la lecture.
Pour la recherche de locataire
| Données |
|
|---|---|
| Pourquoi | Pour votre compte : recevoir les candidatures, demander les pièces manquantes, analyser les dossiers, proposer des visites et, si vous l’activez, répondre avec l’assistant. C’est vous qui décidez : un dossier jugé suspect n’est refusé automatiquement que si vous l’avez activé. |
| Base légale | Fixée par vous, responsable du traitement ; Kivlo agit pour votre compte (art. 28 du RGPD). Les messages envoyés aux candidats les informent du traitement de leurs données. |
| Durée | Candidat refusé : effacé dès l’envoi du refus, au plus tard 30 jours après (délai réglable de 7 à 90 jours). Candidatures non retenues : 30 jours après la clôture de l’annonce. |
Le candidat s’adresse à vous. En répondant « SUPPRIMER » à n’importe quel message reçu, il fait effacer ses données et reçoit une confirmation.
Pour la liste d’attente
| Données |
|
|---|---|
| Pourquoi | Vérifier que l’adresse est la vôtre, puis vous prévenir par e-mail de l’ouverture des inscriptions. D’où venait votre visite nous sert seulement à savoir quels sites et quelles campagnes amènent les inscriptions. Rien d’autre. |
| Base légale | Votre consentement (art. 6.1.a du RGPD), donné à l’inscription et confirmé par le lien reçu par e-mail. Pour la provenance de la visite, notre intérêt légitime à savoir d’où viennent les inscriptions (art. 6.1.f), auquel vous pouvez vous opposer. |
| Durée | Adresse jamais confirmée : effacée 30 jours après l’inscription. Adresse confirmée : effacée une fois l’e-mail d’ouverture envoyé, ou plus tôt si vous demandez à sortir de la liste. La provenance de la visite est effacée avec l’adresse. |
Quand vous nous écrivez
| Données |
|
|---|---|
| Pourquoi | Vous répondre. Votre message nous parvient par e-mail, à l’adresse du sujet choisi ; Kivlo ne l’enregistre pas dans sa base. |
| Base légale | Notre intérêt légitime à répondre aux demandes reçues (art. 6.1.f du RGPD). |
| Durée | 12 mois après notre dernier échange. |
Pour la mesure d’audience
| Données |
|
|---|---|
| Pourquoi | Comprendre ce qui sert et ce qui bloque, pour améliorer Kivlo. Jamais pour de la publicité. |
| Base légale | Votre consentement (art. 6.1.a du RGPD), donné dans le bandeau cookies ; sans lui, l’outil de mesure n’est même pas chargé. |
| Durée | 12 mois chez PostHog, dans l’Union européenne ; enregistrements de navigation : 30 jours. Les traceurs de votre navigateur sont décrits sur la page Cookies. |
Retirez votre consentement depuis la page Cookies, puis écrivez à privacy@kivlo.io pour effacer ce qui a déjà été collecté.
Ce que l’assistant IA reçoit est détaillé sur la page Vos données et l’IA.
Vos données sont hébergées en France. Certains prestataires sont des sociétés américaines : les transferts qui en résultent sont indiqués ci-dessous.
Pour faire fonctionner Kivlo, nous faisons appel aux catégories de prestataires suivantes ; chacun ne reçoit que ce dont il a besoin.
- Hébergement : l’application et sa base de données, en France. Le site, les fichiers (documents, quittances, photos) et la protection anti-robot passent par Cloudflare, société américaine.
- E-mails et SMS : envoi depuis l’Union européenne et depuis la France. Les e-mails des candidats, pour la recherche de locataire, sont reçus par Postmark, société américaine.
- Paiement : Stripe, société américaine, pour les abonnements et les packs de crédits. Vos coordonnées de carte vont directement chez Stripe ; Kivlo ne les voit jamais.
- Connexion bancaire : un prestataire agréé, en lecture seule.
- Signature électronique et lettre recommandée électronique : des prestataires établis en France.
- Intelligence artificielle : Anthropic, société américaine, seulement quand vous utilisez une fonction d’IA (voir Vos données et l’IA).
- Supervision technique : rapports d’erreurs et journaux techniques, dans l’Union européenne, les données personnelles reconnaissables y étant masquées.
- Mesure d’audience : dans l’Union européenne, uniquement avec votre consentement.
- Connexion avec Google ou Microsoft : sociétés américaines, seulement si vous choisissez de vous connecter avec leur compte.
Les données envoyées aux sociétés américaines peuvent être transférées aux États-Unis. Ces transferts reposent sur la décision d’adéquation de la Commission européenne du 10 juillet 2023 (EU-U.S. Data Privacy Framework) quand le prestataire y est certifié, et sinon sur les clauses contractuelles types de la Commission (art. 46 du RGPD). La liste nominative de nos prestataires et une copie de ces garanties sont disponibles sur demande à privacy@kivlo.io.
L’équipe Kivlo n’accède à votre compte que pour vous aider : en lecture seule, 30 minutes au plus, avec un motif enregistré à chaque fois.
- Votre compte et vos données de gestion : tant que le compte existe ; effacés 30 jours après votre demande de suppression.
- Tentatives de connexion : supprimées après 1 mois.
- Adresses IP d’inscription : supprimées après 12 mois.
- Signaux de détection de fraude : supprimés après 12 mois, sauf un signal en cours d’examen, gardé jusqu’à la fin de l’examen.
- Historique d’envoi des e-mails : supprimé après 13 mois.
- Relevé d’utilisation des services payants (SMS, lecture de documents, signature) : supprimé après 13 mois.
- Candidats refusés : effacés au plus tard 30 jours après le refus, un délai que le bailleur règle entre 7 et 90 jours.
- Candidatures non retenues : effacées 30 jours après la clôture de l’annonce.
- Données de l’assistant IA : jusqu’au retrait de votre consentement ou la suppression du compte.
- Liste d’attente, provenance de la visite comprise : effacée 30 jours après l’inscription si l’adresse n’a jamais été confirmée ; une adresse confirmée, une fois l’e-mail d’ouverture envoyé, ou plus tôt si vous demandez à en sortir.
- Messages du formulaire de contact : 12 mois après notre dernier échange.
- Mesure d’audience : 12 mois ; enregistrements de navigation : 30 jours.
- Factures de vos abonnements : conservées dix ans, comme la loi nous y oblige.
- Les échanges avec Kivlo sont chiffrés (HTTPS).
- Les mots de passe sont enregistrés sous une forme qui ne permet pas de les retrouver. Un nouveau mot de passe est comparé aux fuites connues sans jamais être envoyé : seuls les cinq premiers caractères de son empreinte partent.
- La double authentification est disponible.
- Les fichiers ne s’ouvrent que par des liens temporaires, valables quelques minutes pour les documents les plus sensibles.
- Chaque organisation est cloisonnée : vous ne voyez que les données de l’organisation à laquelle vous appartenez.
- Les journaux techniques masquent les données personnelles reconnaissables.
Si une violation de vos données survenait, nous la signalerions à la CNIL et, si elle présentait un risque élevé pour vous, nous vous en informerions.
Vous pouvez à tout moment :
- accéder à vos données et en obtenir une copie ;
- les faire corriger ;
- les faire effacer ;
- en limiter le traitement ;
- les récupérer dans un format réutilisable, avec l’export de vos paramètres ;
- retirer un consentement, sans remettre en cause ce qui a été fait avant ;
- définir ce que deviendront vos données après votre décès.
Droit d’opposition : vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation, aux traitements fondés sur notre intérêt légitime, comme la sécurité du compte, la réponse à vos messages ou la provenance de votre inscription à la liste d’attente.
Pour exercer vos droits, écrivez à privacy@kivlo.io. Nous répondons dans un délai d’un mois, prolongeable de deux mois si la demande est complexe ; nous vous prévenons alors. En cas de doute raisonnable sur votre identité, nous pouvons vous demander de la confirmer.
Oui, quand le service ou la loi évolue. La date de mise à jour est en haut de la page ; si un changement modifie l’usage de vos données, nous vous prévenons par e-mail avant qu’il s’applique.
Pour toute question sur vos données ou pour exercer vos droits : privacy@kivlo.io. Vous pouvez aussi saisir la CNIL.
Par courrier : SLASH PARIS, 73 avenue du Général de Gaulle, 94700 Maisons-Alfort, France.