POLITIQUE DE CONFIDENTIALITÉ — LEAZARD

Éditeur : RM SYSTEMS (SAS) — Service : Leazard Version 2.0 — En vigueur au 1er septembre 2026

Préambule

La présente Politique de Confidentialité a pour objet d'informer les personnes concernées par les traitements de données à caractère personnel mis en œuvre dans le cadre de l'exploitation de la plateforme Leazard (ci-après le « Service »), éditée par la société RM SYSTEMS (ci-après l'« Éditeur »).

Le Service est dédié à la gestion administrative et financière des baux commerciaux : lecture assistée par intelligence artificielle des baux avec traçabilité de la source, calendriers de facturation automatisés, émission de factures électroniques au format Factur-X, calcul de la régularisation des charges et suivi des indexations ILC/ILAT/ICC.

Les termes « Éditeur », « Client », « Utilisateur », « Données » et « Données Traitées » employés dans la présente Politique de Confidentialité ont le sens qui leur est donné à l'article 1 des Conditions Générales d'Utilisation du Service (ci-après les « CGU »), accessibles à l'adresse https://www.leazard.fr/cgu.

Conformément à l'article 9 des CGU, l'Éditeur intervient à un double titre selon la nature des données traitées :

en qualité de responsable de traitement, pour les données relatives aux Utilisateurs du Client (données de compte, de connexion, de facturation et de support) ;
en qualité de sous-traitant, au sens de l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), pour les Données Traitées, c'est-à-dire les données à caractère personnel des locataires, bailleurs, garants et autres tiers mentionnés dans les baux et documents importés par le Client dans le Service.

La présente Politique de Confidentialité décrit les traitements pour lesquels l'Éditeur agit en qualité de responsable de traitement. Elle informe également, à titre indicatif et par souci de transparence, les personnes concernées par les traitements réalisés par l'Éditeur pour le compte du Client. Les modalités précises de ces derniers sont fixées dans l'Accord de Traitement des Données (DPA) conclu entre l'Éditeur et le Client, accessible à l'adresse https://www.leazard.fr/dpa.

1. Identité du responsable de traitement

Le responsable des traitements décrits aux sections 2 à 12 ci-après — à l'exception des traitements réalisés par l'Éditeur en qualité de sous-traitant du Client, décrits à titre informatif à la section 2.2 — est :

RM SYSTEMS Société par actions simplifiée (SAS) au capital de 2 euros Siège social : 50, boulevard du Général Leclerc, 92200 Neuilly-sur-Seine, France RCS Nanterre — SIREN : 108 779 877 Code APE/NAF : 5829A Numéro de TVA intracommunautaire : FR21 108 779 877 Représentée par son Président, Maël Micoud

Contact dédié à la protection des données

L'Éditeur n'est pas soumis à l'obligation de désigner un Délégué à la Protection des Données (DPO) au sens de l'article 37 du RGPD et n'a pas procédé à une telle désignation à titre volontaire.

Un point de contact interne dédié à la protection des données est joignable :

par courrier électronique : contact@leazard.fr
par courrier postal : RM SYSTEMS — Protection des données, 50, boulevard du Général Leclerc, 92200 Neuilly-sur-Seine

2. Données collectées

Les catégories de données collectées diffèrent selon la qualité de la personne concernée. La présente section distingue, conformément aux articles 12 à 14 du RGPD, les données des Utilisateurs du Client, les Données Traitées et les données de navigation.

2.1 Données des Utilisateurs du Client — traitement dont l'Éditeur est responsable

Lorsqu'un Utilisateur accède au Service pour le compte du Client, l'Éditeur collecte et traite les données suivantes :

Données d'identification et de compte : nom, prénom, adresse électronique professionnelle, fonction, identifiants de connexion, mot de passe (conservé sous forme de condensat cryptographique et jamais en clair), rattachement au compte Client ;
Données de connexion et de traçabilité : journaux de connexion (logs), adresse IP, horodatage des actions, historique des actions réalisées dans le Service (import d'un bail, validation d'une facture, modification d'une donnée d'indexation), à des fins de sécurité et de traçabilité ;
Données de facturation du Client : lorsque l'Utilisateur agit en qualité de contact de facturation pour le compte du Client, coordonnées de facturation et, le cas échéant, données de paiement, ces dernières étant traitées directement par un prestataire de paiement tiers (voir section 5) sans que l'Éditeur ne conserve les numéros de carte ;
Données de support : contenu des échanges avec le support de l'Éditeur (courriers électroniques, tickets).

Ces données sont collectées directement auprès de l'Utilisateur ou communiquées par le Client lors de la création du Compte.

2.2 Données Traitées — traitement pour lequel l'Éditeur agit en qualité de sous-traitant du Client

Dans le cadre de l'utilisation du Service, le Client importe des baux commerciaux et documents associés, dont l'analyse automatisée par le module de lecture assistée par intelligence artificielle peut conduire à l'extraction de données à caractère personnel concernant des personnes physiques parties ou mentionnées aux baux — locataires personnes physiques, représentants de personnes morales, bailleurs personnes physiques, garants, contacts de gestion — notamment :

identité : nom, prénom ;
coordonnées : adresse postale, adresse électronique, numéro de téléphone ;
données relatives au bail : qualité (locataire, bailleur, garant, mandataire), adresse du bien loué, dates et durée du bail, clauses d'indexation ;
données financières et de facturation liées au bail : loyers, charges, dépôt de garantie, coordonnées bancaires le cas échéant, historique de facturation, régularisations de charges, indexations ILC/ILAT/ICC.

Pour ces données, l'Éditeur n'agit pas en qualité de responsable de traitement mais de sous-traitant au sens de l'article 28 du RGPD, sur instruction du Client, lequel demeure seul responsable de traitement. Les finalités, durées de conservation, mesures de sécurité et sous-traitants ultérieurs applicables sont définis dans le DPA.

Toute personne concernée par ces traitements est invitée à s'adresser en priorité au Client concerné, seul responsable de traitement, pour l'exercice de ses droits. L'Éditeur transmet au Client toute demande qu'il recevrait directement à ce titre, dans les conditions de l'article 5.e du DPA.

2.3 Données de navigation et données techniques

Lors de la consultation du site www.leazard.fr et de l'utilisation du Service, les données techniques suivantes peuvent être collectées : adresse IP, type et version du navigateur, système d'exploitation, pages consultées, date et durée de consultation, cookies et traceurs (voir section 10).

2.4 Absence de données sensibles

Le Service n'a pas vocation à traiter de catégories particulières de données au sens de l'article 9 du RGPD. Le Client s'engage, conformément à l'article 4.2 du DPA, à ne pas importer de documents contenant de telles données.

3. Finalités des traitements

| Traitement | Finalité(s) | |---|---| | Données de compte des Utilisateurs | Création et gestion des Comptes, authentification, fourniture du Service, administration de la relation client | | Journaux de connexion et de traçabilité | Sécurité du Service, prévention et détection des accès non autorisés et de la fraude, traçabilité des actions (notamment traçabilité de la source des données extraites par intelligence artificielle), respect des obligations légales | | Données de facturation du Client | Facturation du Service, recouvrement, gestion comptable, respect des obligations légales et fiscales | | Données de support | Traitement des demandes d'assistance, suivi des incidents, amélioration de la qualité du support | | Données Traitées (en qualité de sous-traitant) | Fourniture des fonctionnalités du Service au Client : lecture et extraction assistée par intelligence artificielle des baux, génération des calendriers de facturation, émission des factures Factur-X, calcul des régularisations de charges, suivi des indexations ILC/ILAT/ICC | | Données statistiques agrégées et anonymisées issues de l'utilisation du Service | Mesure de performance, amélioration des fonctionnalités et des modèles utilisés par le Service, conformément à l'article 8.4 des CGU | | Données de navigation | Mesure d'audience, amélioration de l'ergonomie du Service, sécurité | | Communications commerciales | Information des Clients et prospects professionnels sur les évolutions de l'offre |

4. Bases légales des traitements

| Traitement | Base légale (art. 6 RGPD) | |---|---| | Gestion des Comptes Utilisateurs et fourniture du Service | Exécution du contrat conclu avec le Client (art. 6.1.b), l'Utilisateur agissant pour le compte du Client ; à défaut, intérêt légitime de l'Éditeur (art. 6.1.f) à exécuter ce contrat | | Sécurité, journaux de connexion, prévention de la fraude | Intérêt légitime de l'Éditeur (art. 6.1.f) à assurer la sécurité et l'intégrité du Service | | Facturation, obligations comptables et fiscales | Obligation légale (art. 6.1.c) et exécution du contrat (art. 6.1.b) | | Gestion du support | Exécution du contrat (art. 6.1.b) | | Traitement des Données Traitées pour le compte du Client | Exécution des instructions documentées du Client dans le cadre du DPA — la base légale du traitement à l'égard des personnes concernées relève de la responsabilité du Client (art. 9.3 des CGU) | | Production de statistiques agrégées et anonymisées pour l'amélioration du Service | Les données étant rendues anonymes au sens du RGPD, elles ne constituent plus des données à caractère personnel et sortent du champ du règlement. L'opération d'anonymisation elle-même repose sur l'intérêt légitime de l'Éditeur (art. 6.1.f) à améliorer et sécuriser son Service. Aucune donnée identifiante n'est utilisée à cette fin sans le consentement exprès du Client (art. 8.4 des CGU) | | Prospection commerciale auprès de professionnels | Intérêt légitime de l'Éditeur (art. 6.1.f), avec droit d'opposition à tout moment | | Cookies et traceurs non strictement nécessaires | Consentement de l'utilisateur (art. 6.1.a et art. 82 de la loi n° 78-17 du 6 janvier 1978), recueilli via le bandeau de gestion des cookies | | Cookies strictement nécessaires au fonctionnement du Service | Exemption de consentement prévue à l'article 82 de la loi n° 78-17 du 6 janvier 1978 |

5. Destinataires des données

Les données à caractère personnel sont susceptibles d'être communiquées, dans la stricte limite de leurs besoins respectifs, aux catégories de destinataires suivantes :

les équipes internes de l'Éditeur habilitées en raison de leurs fonctions (équipes techniques, support, administration et comptabilité), soumises à une obligation de confidentialité ;
les sous-traitants techniques de l'Éditeur, conformément à l'article 14 des CGU, à savoir :
- OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix, RCS Lille Métropole 424 761 419 — hébergement de l'infrastructure et des Données au sein de l'Union européenne ;
- Mistral AI SAS, établie en France — services d'intelligence artificielle utilisés pour l'extraction automatisée des données contenues dans les baux, avec traitement au sein de l'Union européenne et interdiction contractuelle de réutilisation des données à des fins d'entraînement ;
- le cas échéant, un prestataire de paiement en ligne pour le traitement des paiements du Client ;
- le cas échéant, un prestataire d'envoi de courriers électroniques transactionnels ;
les conseils de l'Éditeur (expert-comptable, avocat), soumis au secret professionnel ;
les autorités administratives ou judiciaires, dans les cas et selon les modalités prévus par la loi.

L'Éditeur ne procède à aucune cession ni location de données à caractère personnel à des tiers à des fins commerciales.

La liste à jour des sous-traitants ultérieurs intervenant dans le traitement des Données Traitées figure à l'article 7 du DPA.

6. Durées de conservation

| Catégorie de données | Durée de conservation | |---|---| | Données de compte Utilisateur (identification, connexion) | Pendant toute la durée du contrat entre l'Éditeur et le Client, puis pendant la période de réversibilité de trente (30) jours prévue à l'article 11 des CGU, à l'issue de laquelle les données sont supprimées ou anonymisées dans un délai maximum de trente (30) jours | | Journaux de connexion et de traçabilité | Six (6) mois à compter de leur enregistrement, conformément aux recommandations de la CNIL en matière de journalisation, sans préjudice d'une conservation plus longue en cas d'incident de sécurité avéré, pour les seuls besoins de son traitement | | Données Traitées (locataires, bailleurs, garants) traitées en qualité de sous-traitant | Pendant toute la durée du contrat Client, puis suppression ou restitution selon les modalités et délais fixés à l'article 11 des CGU et à l'article 8 du DPA | | Factures et pièces comptables, dont les factures Factur-X émises via le Service | Dix (10) ans à compter de la clôture de l'exercice comptable, conformément aux articles L. 123-22 du Code de commerce et L. 102 B du Livre des procédures fiscales | | Données de support (tickets, échanges) | Trois (3) ans à compter du dernier contact | | Données de prospection commerciale | Trois (3) ans à compter du dernier contact émanant du prospect | | Preuves du consentement aux cookies | Six (6) mois | | Cookies et traceurs déposés | Treize (13) mois maximum, conformément aux recommandations de la CNIL | | Données statistiques agrégées et anonymisées | Durée indéterminée, l'anonymisation étant effective et irréversible : ces données ne constituent plus des données à caractère personnel |

Au-delà de ces durées, les données peuvent être conservées en archivage intermédiaire à accès restreint pour la seule durée des prescriptions légales applicables, aux fins de gestion d'un éventuel contentieux.

7. Transferts de données hors Union européenne

Conformément à l'article 14 des CGU, les Données sont hébergées au sein de l'Union européenne.

L'Éditeur ne transfère aucune donnée à caractère personnel en dehors de l'Espace économique européen (EEE). L'ensemble des sous-traitants intervenant sur les Données sont établis dans l'Union européenne et y hébergent les Données.

Dans l'hypothèse où un transfert hors EEE deviendrait nécessaire, l'Éditeur en informerait préalablement les Clients et mettrait en place les garanties appropriées prévues au chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne, assorties le cas échéant de mesures supplémentaires), et mettrait à jour la présente Politique de Confidentialité ainsi que l'article 7 du DPA.

8. Droits des personnes concernées

Toute personne concernée dispose, dans les conditions prévues par le RGPD et la loi n° 78-17 du 6 janvier 1978 modifiée, des droits suivants sur les données la concernant :

droit d'accès (art. 15 RGPD) : obtenir la confirmation que des données la concernant sont traitées et en obtenir une copie ;
droit de rectification (art. 16 RGPD) : faire corriger une donnée inexacte ou incomplète ;
droit à l'effacement (art. 17 RGPD), dans les cas prévus par le règlement ;
droit à la limitation du traitement (art. 18 RGPD) ;
droit d'opposition (art. 21 RGPD), pour les traitements fondés sur l'intérêt légitime, ainsi qu'à tout moment et sans motif s'agissant de la prospection commerciale ;
droit à la portabilité (art. 20 RGPD), pour les données fournies par la personne concernée et traitées de manière automatisée sur le fondement du contrat ou du consentement ;
droit de retirer son consentement à tout moment, lorsque le traitement est fondé sur celui-ci, sans que ce retrait n'affecte la licéité du traitement antérieur ;
droit de définir des directives relatives au sort de ses données après son décès (art. 85 de la loi n° 78-17 du 6 janvier 1978).

8.1 Modalités d'exercice

Ces droits peuvent être exercés par courrier électronique à l'adresse contact@leazard.fr, ou par courrier postal à l'adresse du siège social mentionnée à la section 1, en précisant l'objet de la demande et en joignant, en cas de doute raisonnable sur l'identité du demandeur, un justificatif d'identité.

L'Éditeur répond à toute demande dans un délai d'un (1) mois à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou de nombre élevé de demandes, l'Éditeur en informant alors le demandeur dans le délai initial d'un mois.

8.2 Demandes relatives aux Données Traitées

Pour les demandes relatives aux données d'un locataire, bailleur, garant ou tiers mentionné dans un bail importé par un Client, et conformément à la répartition des responsabilités décrite à la section 2.2, la personne concernée est invitée à s'adresser directement au Client concerné, qui est le responsable de traitement.

Si une telle demande est néanmoins adressée à l'Éditeur, celui-ci la transmet au Client concerné dans les meilleurs délais et au plus tard sous cinq (5) jours ouvrés, sans y répondre lui-même sauf instruction contraire du Client, et assiste ce dernier dans son traitement, conformément à l'article 5.e du DPA.

8.3 Droit de réclamation

Toute personne concernée dispose du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente, à savoir en France la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

9. Sécurité des données

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées, au sens de l'article 32 du RGPD, afin de garantir un niveau de sécurité adapté au risque, incluant notamment :

le chiffrement des données en transit (TLS) et au repos ;
le contrôle des accès fondé sur le principe du moindre privilège, avec authentification individuelle ;
le cloisonnement des données entre Clients et entre environnements ;
la journalisation des accès et des actions ;
des sauvegardes régulières et chiffrées, avec tests de restauration ;
la sensibilisation du personnel à la protection des données.

La description détaillée de ces mesures figure en Annexe 1 du DPA.

En cas de violation de données à caractère personnel, l'Éditeur applique les procédures de notification prévues aux articles 33 et 34 du RGPD et, s'agissant des Données Traitées, à l'article 6 du DPA.

10. Cookies et traceurs

Lors de la navigation sur le site www.leazard.fr et de l'utilisation du Service, des cookies et traceurs peuvent être déposés sur le terminal de l'utilisateur.

10.1 Catégories de cookies utilisés

Cookies strictement nécessaires : authentification, maintien de la session, sécurité, prévention de la fraude, répartition de charge, mémorisation du choix exprimé en matière de cookies. Ces cookies ne requièrent pas de consentement préalable, conformément à l'article 82 de la loi n° 78-17 du 6 janvier 1978 ;
Cookies de mesure d'audience : statistiques de fréquentation et d'usage. Ces cookies sont soumis au consentement de l'utilisateur, sauf lorsqu'ils sont configurés de manière à répondre aux conditions d'exemption définies par la CNIL (finalité strictement limitée à la mesure d'audience pour le compte de l'éditeur, absence de recoupement avec d'autres traitements et de suivi de la navigation sur d'autres sites).

L'Éditeur n'utilise pas de cookies publicitaires ni de traceurs de réseaux sociaux tiers.

10.2 Recueil et gestion du consentement

Un bandeau de recueil du consentement est affiché lors de la première visite, permettant à l'utilisateur d'accepter, de refuser aussi facilement qu'accepter, ou de paramétrer finement le dépôt des cookies non strictement nécessaires.

L'utilisateur peut modifier son choix à tout moment via le lien « Gestion des cookies » accessible en pied de page du site, ainsi que par le paramétrage de son navigateur.

10.3 Durées

La durée de conservation du consentement ou du refus est de six (6) mois maximum ; celle des cookies déposés est de treize (13) mois maximum, conformément aux recommandations de la CNIL.

11. Contact et réclamation

Pour toute question relative à la présente Politique de Confidentialité ou à l'exercice des droits décrits à la section 8, l'Éditeur peut être contacté :

par courrier électronique : contact@leazard.fr
par courrier postal : RM SYSTEMS, 50, boulevard du Général Leclerc, 92200 Neuilly-sur-Seine

En cas de désaccord persistant, la personne concernée conserve la faculté de saisir la CNIL dans les conditions rappelées à la section 8.3.

12. Mise à jour de la Politique de Confidentialité

La présente Politique de Confidentialité peut être mise à jour, notamment pour tenir compte d'une évolution réglementaire ou jurisprudentielle, d'une modification des sous-traitants ou d'une évolution des fonctionnalités du Service.

En cas de modification substantielle, les Clients et Utilisateurs en sont informés par courrier électronique ou par notification dans le Service, selon des modalités cohérentes avec celles prévues à l'article 16 des CGU, au moins trente (30) jours avant l'entrée en vigueur de la nouvelle version.

La version applicable est celle publiée sur le Service à la date de sa consultation. La date de dernière mise à jour figure en tête du présent document.

Document de travail préparé à titre de projet. Il ne constitue pas un avis juridique et doit faire l'objet d'une relecture et d'une validation par un professionnel du droit avant publication. Les points appelant une vérification sont recensés dans la note « Points de vigilance juridique — Documentation contractuelle et réglementaire Leazard ».