rentoo

Données et sécurité

Ce que Gladoo stocke, qui peut le lire, ce qui part vers d’autres services, et ce qui manque pour le RGPD. Sources : supabase/migrations/, supabase/functions/, src/lib/supabase.ts, src/data/, AUDIT_CORRECTIONS.md (questions ouvertes) et son archive.

Quelles données, et où

Dans la base Supabase (Postgres)

Domaine	Tables principales
Comptes	profiles (identité du bailleur, société, SIRET, IBAN et BIC, réglages), billing_accounts, subscriptions, tax_profiles
Biens	properties, property_photos, property_members (partage), diagnostics, insurances, loans, loan_years, home_links, report_links
Locataires et baux	tenants (nom, e-mail, téléphone…), leases, lease_tenants, rent_changes, tenant_notes, tenant_notices, lease_letters
Loyers	payments, rent_payments, rent_allocations, receipts, rent_reminders, payment_declarations
Dépenses et fiscalité	expenses, invoices, copro_statements, tax_adjustments, tax_reviews
Documents et agenda	documents, events, calendar_feeds
Travaux	interventions, intervention_photos, artisans, quote_requests
Mise en location	listings, visit_slots, applications, application_files, signature_requests, signers, inspections
Espace locataire	tenant_portals, tenant_accounts, messages, tenant_doc_requests, notice_requests, access_codes, user_notifications, push_tokens
Roo	ai_usage, ai_insights, copilot_conversations, copilot_messages, copilot_feedback, roo_memory, roo_actions, roo_alert_state
Fonctionnement	app_errors, mail_log, app_settings, beta_invites, irl_indices, veille_state

Dans le stockage de fichiers Supabase (tous privés)

Espace	Contenu	Taille maximale
documents	Baux, quittances, factures, attestations, pièces déposées par les locataires (dont identité, revenus, RIB)	15 Mo
photos	Photos des biens	8 Mo
interventions	Photos des avaries	8 Mo
candidatures	Pièces des dossiers de candidature	10 Mo

Sur l’appareil

• Préférences seulement (clés rentoo-prefs et rentoo-v2 d’AsyncStorage) : thème, position de la bulle, biens suivis, vue du calendrier, intro vue, rappels activés.
• Les données de gestion ne sont pas gardées hors ligne : elles viennent de Supabase à chaque chargement.
• L’accès à l’espace locataire est mémorisé sur le téléphone du locataire.
• L’import d’un relevé bancaire CSV est lu sur l’appareil, sans envoi.
• Version web : les réponses données à Roo sur la page Découvrir (prénom, ville, loyer, nombre de logements, code d’invitation) sont gardées dans le navigateur (clé rentoo-decouvrir) pour pré-remplir l’inscription et le premier bien. Jamais dans l’adresse web. Effacées au premier bien créé, ignorées au bout d’un jour.

Chez d’autres services

Service	Ce qui y part	Quand
Anthropic (Roo)	Voir la section « Ce qui est envoyé à l’IA »	Seulement quand le bailleur utilise Roo, après l’avoir activé
Stripe	Le paiement de l’abonnement ; Gladoo garde l’identifiant client et l’état de l’abonnement	Souscription
Fournisseur d’e-mails (Brevo, Resend ou autre SMTP)	Les e-mails et leurs pièces jointes (quittances, courriers)	Chaque envoi
Expo Push	Le titre et le texte des notifications, l’identifiant du téléphone	Chaque notification
Géoplateforme de l’IGN	L’adresse tapée (suggestions), les tuiles de carte	Saisie d’adresse, carte
Annuaire des entreprises (api.gouv.fr)	Métier et commune recherchés	Recherche d’artisan
Reconnaissance vocale du téléphone ou du navigateur	L’audio de la dictée (Google sur Android, Apple sur iPhone)	Bouton micro de Roo
Insee, data.gouv.fr	Rien sur les utilisateurs : la fonction veille lit des données publiques	Tâches planifiées

La sécurité des tables (RLS)

Toutes les tables ont la sécurité par ligne activée. Depuis 006_partage.sql, l’accès à une donnée découle de l’accès au bien, calculé par la fonction property_role(bien).

Rôle	Comment on l’obtient	Ce qu’il permet
Propriétaire	Créateur du bien (properties.owner_id)	Tout : lire, modifier, supprimer le bien, le partager
Co-gestionnaire	Invité sur le bien avec le rôle gestion, invitation acceptée	Lire et modifier tout ce qui concerne le bien, sauf le supprimer ou le partager ; accès aux dossiers des candidats
Lecture seule	Invité avec le rôle lecture (par exemple un comptable)	Tout lire, ne rien modifier ; pas d’accès aux pièces des candidats
Locataire	Compte locataire relié au logement (tenant_accounts), ou lien personnel sans compte	Seulement son logement, par des fonctions SQL protégées par un jeton (portal_*, tenant_spaces) ; jamais les tables du bailleur directement

Compléments :

• Les données propres à une personne (conversations de Roo, mémoire, journal des actions, avis, notifications, jetons de téléphone) ne sont visibles que de leur propriétaire.
• Les pages publiques (candidat, espace locataire, devis) joignent leur jeton à chaque requête (en-tête x-public-token). Les règles du stockage n’ouvrent les fichiers qu’à son détenteur (correctif du script 012).
• Un bailleur ne peut pas entrer dans l’espace locataire de son propre logement (script 026).
• Les fonctions payantes et les limites des formules sont vérifiées par la base (scripts 018 et 022), pas seulement par l’application.
• app_errors n’a aucune règle de lecture : seul le SQL Editor la lit.
• Les fonctions Edge n’utilisent jamais la clé service_role. Elles agissent au nom de l’utilisateur connecté, ou par des fonctions SQL protégées par un secret (BILLING_SECRET, ACCESS_SECRET, veille_secret).
• Des tests de sécurité existent (e2e/securite/rls*.js), lancés avec les tests de parcours.
• Limites de débit en base : signalements, messages, déclarations de paiement et dépôts de documents par jour, e-mails aux candidats.

Ce qui est envoyé à l’IA

Roo passe toujours par la fonction supabase/functions/copilot. La clé Anthropic ne quitte jamais le serveur.

Pour une question

La fonction construit elle-même le contexte (portfolioContext), avec une liste fermée de colonnes :

• biens : libellé, type, ville et code postal, surface, statut, prix et frais d’achat, charges, DPE et diagnostics ;
• baux : dates, loyer, charges, dépôt, révision, préavis, impayés ;
• locataires : prénom et nom seulement ;
• paiements des deux dernières années, dépenses, assurances, travaux, prêts (banque, capital, taux, durée).

Ne sont pas lus pour ce contexte : l’IBAN du bailleur, l’e-mail et le téléphone des locataires, les documents.

S’y ajoutent, envoyés par l’application et nettoyés par la fonction :

• les chiffres de l’écran (sanitizeFigures, _shared/appFigures.ts) : les clés qui évoquent IBAN, BIC, e-mail, téléphone, sécurité sociale ou passeport sont écartées ;
• les résumés de documents joints (sanitizeDocs, _shared/rooDocs.ts) : IBAN masqués, champs coordonnées, SIRET, numéro de contrat, identité, garant retirés ;
• les préférences retenues (_shared/rooMemory.ts) : IBAN, carte, mot de passe, passeport, carte d’identité refusés ;
• les 6 derniers messages de la conversation ;
• le résumé de l’écran affiché quand la question vient de la bulle. Attention : sur la fiche d’un locataire, ce résumé contient son adresse e-mail (src/hooks/useScreenContext.ts).

Pour la lecture d’un document

• Le fichier entier (PDF ou image, 10 Mo au plus) est envoyé à l’IA pour être lu.
• La consigne demande de ne jamais recopier d’IBAN, de BIC ni de numéro fiscal.
• Le résultat passe par stripBankDetails (_shared/bankDetails.ts) : les champs iban, bic, rib sont retirés et tout ce qui ressemble à un IBAN est remplacé par « [coordonnées bancaires masquées] ».
• Limite : ce filtre agit sur la réponse, pas sur l’envoi. Aucun filtre par type de document n’a été trouvé avant la lecture : un RIB ou une pièce d’identité déposés dans Documents peuvent être envoyés à l’IA si le bailleur demande leur analyse (src/components/roo/RooDocuments.tsx). À vérifier et à décider.

Pour les autres actions

• Pré-diagnostic et demande de devis : description de l’avarie, jusqu’à 3 photos, type de logement, commune. La consigne interdit l’adresse exacte, le nom et le téléphone de l’occupant dans la demande de devis.
• Courrier : les faits calculés et le brouillon.
• Résumé de la semaine : titres et dates de l’agenda.

Durées de conservation connues

Donnée	Durée	Source
Pièces et coordonnées des candidats non retenus	Effacées 90 jours après la décision ou la clôture de l’annonce	009_mise_en_location.sql (purge_after, purge_applications)
Conversations de Roo	Les 20 plus récentes par compte	032_conversations_roo.sql
Journal des actions de Roo	Les 300 dernières ; annulables 30 jours	034_journal_roo.sql
Préférences retenues par Roo	50 au plus	038_memoire_roo.sql
Avis sur les réponses de Roo	Effacés avec la conversation	037_avis_roo.sql
Compte	Jusqu’à sa suppression par l’utilisateur (Réglages › Compte et sécurité) : effacement en cascade des données liées, fichiers supprimés par l’application juste avant	012_espace_locataire_reglages.sql (delete_my_account)

Points à vérifier :

• L’effacement des candidats est lancé par l’application du bailleur (purge_applications, « appelé par l’app du bailleur »). Il n’est donc pas fait tant qu’aucun bailleur ayant les droits n’ouvre l’application.
• Aucune durée n’a été trouvée pour app_errors, mail_log, ai_usage, user_notifications, les quittances, les documents et les messages.
• Ce que supprime exactement la suppression du compte : quelles tables sont bien reliées en cascade, et quels fichiers du stockage (photos des avaries, pièces des candidats) restent si l’application n’a pas pu les effacer.

Ce qui manque pour le RGPD

Repris de archives/AUDIT_CORRECTIONS-jusqu-au-12-10-2026.md, section « Suite : mise en production et fiabilisation », point 12, et des documents de lot :

• Registre des traitements : à rédiger (bailleurs, locataires, candidats, garants, artisans).
• Contrats de sous-traitance : à signer ou accepter avec Supabase, Anthropic et Stripe. Le fournisseur d’e-mails et Expo sont aussi concernés (à vérifier).
• Durées de conservation : seule celle des candidats est en place. Les autres sont à fixer.
• Suppression de compte : existe, à vérifier dans le détail (voir plus haut).
• Pages légales : src/lib/legal.ts contient des modèles à compléter (éditeur, hébergeur, région d’hébergement, prestataire d’e-mails, contact). La politique de confidentialité ne cite ni Stripe ni le fournisseur d’e-mails.
• Politique de confidentialité à compléter : conversations de Roo gardées sur le compte, dictée vocale (texte proposé dans AUDIT_CORRECTIONS.md, « Questions pour Pierre-Louis »).
• Région d’hébergement : README.md indique « Supabase, UE ». À vérifier dans le tableau de bord Supabase et à écrire dans les mentions légales.
• Sécurité (même section, point 11) : passer les tests rls*.js dans la vérification GitHub, relire les fonctions security definer, limiter le débit des fonctions publiques (codes d’accès, signalements).