Politique de confidentialité

Dernière mise à jour : 18 août 2026.

Cette page décrit les données que Flosty enregistre, pourquoi, combien de temps, et comment en demander la suppression. Elle décrit le fonctionnement réel du service, pas une intention.

Qui traite les données

Le responsable de traitement est METURA Axel, éditeur du service (voir les mentions légales). Toute question relative aux données peut être adressée via la page de contact.

Données enregistrées

Flosty enregistre uniquement ce que le service exige pour fonctionner.

• Compte : adresse email, prénom, et — si renseignés, car facultatifs — nom et nom de conciergerie ou d'entreprise. Le mot de passe n'est jamais enregistré : seule une empreinte bcrypt en est conservée, dont le mot de passe d'origine ne peut pas être déduit.
• Sessions : date de création, date d'expiration et date de dernière utilisation. Le jeton de connexion lui-même n'est pas enregistré, seule une empreinte SHA-256 l'est.
• Réinitialisations de mot de passe : empreinte du jeton à usage unique, sa date d'émission, sa date d'expiration et, le cas échéant, sa date d'utilisation.
• Biens et articles : le nom d'un bien, et si renseignés sa ville et son nombre de chambres ; le nom de chaque article, sa nature, ses compteurs et ses seuils.
• Partages : le lien entre un compte propriétaire et un compte collaborateur, et sa date de création.

Ce que Flosty n'enregistre pas

• Aucun traceur, aucune mesure d'audience, aucun cookie publicitaire. L'application ne charge aucun script, aucune police ni aucune image provenant d'un tiers : sa politique de sécurité de contenu interdit techniquement toute requête sortant du domaine. La session est conservée dans le stockage local du navigateur, pas dans un cookie de suivi.
• Aucune adresse IP dans la base de données. Les adresses sont utilisées de façon transitoire, en mémoire, pour limiter les tentatives de connexion abusives, et disparaissent au redémarrage du service. Le serveur qui héberge l'application et son éventuel proxy peuvent en revanche tenir leurs propres journaux d'accès, selon la configuration de l'hébergeur.
• Aucune donnée de localisation, aucun contact, aucun profilage.

Finalités

• Fournir le service : tenir l'inventaire, ses compteurs et ses alertes.
• Authentifier les comptes et permettre le partage d'un bien avec un collaborateur.
• Envoyer les emails strictement nécessaires : bienvenue à l'inscription, réinitialisation de mot de passe.
• Protéger le service contre les tentatives d'accès abusives.

Aucune donnée n'est utilisée à des fins publicitaires, ni revendue, ni cédée à un tiers.

Durées de conservation

• Compte, biens et articles : conservés tant que le compte existe. La suppression du compte est immédiate et définitive.
• Sessions : une session cesse de donner accès trente jours après sa création. Elle est supprimée lors de la déconnexion, lors d'un changement de mot de passe (pour toutes les autres sessions), lors d'une révocation depuis « Mon compte », et lors de la suppression du compte.
• Jetons de réinitialisation : valables une heure et à usage unique. Toute nouvelle demande périme les précédentes.

Sous-traitants

Flosty est auto-hébergé et ne fait appel qu'à deux prestataires techniques : IONOS SARL (Sarreguemines, France), qui héberge le serveur dans un centre de données situé en Allemagne, dans l'Union européenne, et Brevo (Paris, France), qui achemine les emails transactionnels et reçoit à ce titre l'adresse du destinataire et le contenu de ces messages. Aucun autre tiers n'a accès aux données.

Sécurité

• Mots de passe hachés avec bcrypt ; jetons de session et de réinitialisation stockés sous forme d'empreinte.
• Cloisonnement strict entre comptes : un compte n'accède qu'à ses propres biens et à ceux qui lui ont été explicitement partagés.
• Fichier de base de données restreint au seul compte système qui exécute le service.
• En-têtes de sécurité HTTP et politique de sécurité de contenu limitée au domaine du service.
• Sauvegardes automatiques quotidiennes avec vérification d'intégrité.

Droits sur les données

Conformément au RGPD : droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.

• Rectification et effacement sont directement accessibles dans l'application, section « Mon compte ». La suppression du compte efface le compte, ses biens, ses articles, ses sessions et ses partages.
• Accès et portabilité : aucun export automatique n'existe à ce jour. Une demande adressée via la page de contact est traitée manuellement. Cette limite est assumée et documentée plutôt que passée sous silence.

Une réclamation peut être adressée à la CNIL (www.cnil.fr).

Modifications

Toute modification de cette politique sera publiée sur cette page, avec mise à jour de la date indiquée en tête.