Politique de confidentialité

Le responsable des traitements décrits dans la présente politique est [à renseigner], situé [à renseigner], immatriculé au RCS sous le numéro [à renseigner] et identifié sous le numéro SIREN [à renseigner].

Vous pouvez contacter le responsable du traitement à l’adresse contact@monchantiersur.com.

À DÉCIDER : indiquer si un délégué à la protection des données a été désigné ou si aucune désignation n’est requise après évaluation au regard des articles 37 à 39 du RGPD

Lorsqu’un délégué à la protection des données est désigné, il peut être contacté à l’adresse suivante : contact@monchantiersur.com.

Les traitements concernent les clients particuliers, les artisans, les représentants et membres du personnel des entreprises artisanales, les ambassadeurs classiques, les ambassadeurs professionnels, les participants aux jeux concours, les gagnants et les personnes dont les données figurent dans un message, un document, une photographie, un avis, un dossier de chantier ou un litige.

Les administrateurs et personnels habilités de la plateforme sont également concernés par les journaux de connexion, les habilitations et la traçabilité de leurs actions.

• Compte et authentification : adresse électronique, mot de passe haché, numéro de téléphone, identité déclarée, adresse, rôle, statut du compte, consentements et acceptation des conditions applicables.
• Vérification des coordonnées : adresse électronique vérifiée, codes à usage unique envoyés par e-mail, date, résultat et traces techniques de leur utilisation.
• Artisans : numéro SIRET, raison sociale, adresse professionnelle, données issues de la vérification INSEE, documents professionnels, extrait KBIS, attestations d’assurance décennale et de responsabilité civile professionnelle, attestation URSSAF, portfolio et statut de vérification ou de certification.
• Dossiers de chantier : demandes de devis, bons de mise en relation, devis, factures d’acompte et finales, déclarations de paiement, procès-verbaux de réception, réserves, contestations, litiges, photographies, messages, pièces jointes, dates, statuts de lecture, validations et étapes du parcours.
• Données financières relatives à la plateforme : montant TTC déclaré du chantier, taux et montant de la commission, mode de règlement de la commission, déclaration de virement, état du paiement, identifiants et données de transaction communiqués par Stripe. La plateforme ne reçoit pas le paiement du chantier effectué directement entre le client et l’artisan.
• Parrainage et ambassadeurs : code de parrainage, identité du parrain et du filleul, attribution, date et période de rattachement, statut de certification, montant de la commission de plateforme servant au calcul, montant des droits à commission, cagnotte et factures des ambassadeurs professionnels.
• Avis : identité ou pseudonyme de l’auteur, artisan et chantier concernés, notes attribuées selon cinq critères, note globale éventuelle, commentaire, date, statut de publication, signalements et opérations de modération.
• Jeux concours : identité du compte, rôle, adresse électronique vérifiée, statut de vérification de l’entreprise, pseudo, date de participation, numéro de téléphone, jeu et lot concernés, résultat du tirage, statut de gagnant, message facultatif du gagnant et opérations de modération.
• Assistance et notifications : demandes adressées au support, contenu des échanges, réponses de l’assistant d’aide par intelligence artificielle, préférences de notification et traces d’envoi ou de lecture.
• Données techniques et de sécurité : adresse IP, user-agent, identifiants de session, dates de connexion, événements de sécurité, journaux d’audit et traces des actions sensibles.
• Résultats d’analyse : données extraites des documents, montants détectés, incohérences, indices de fraude ou de contournement, résultats de modération, alertes, scores ou indicateurs techniques et suites données après examen humain.
• Rapport probatoire : données, documents, validations, horodatages et événements inclus dans l’export du dossier de chantier.

Les documents privés sont conservés dans un espace protégé. Leur accès s’effectue au moyen d’autorisations et d’URL signées. Ils peuvent contenir des données relatives à des tiers. L’utilisateur qui les dépose doit éviter toute donnée non nécessaire et informer les personnes concernées lorsque la loi l’exige.

Lorsqu’un même traitement repose sur plusieurs bases juridiques, chacune ne s’applique qu’à la finalité qui lui correspond. Le consentement n’est pas utilisé lorsque le traitement est indispensable à l’exécution du service demandé.

Pour les traitements fondés sur l’article 6, paragraphe 1, f) du RGPD, [à renseigner] poursuit des intérêts déterminés : prévenir les fraudes ; détecter les tentatives de contournement de la plateforme ; protéger les utilisateurs et les revenus contractuels de la plateforme ; contrôler la cohérence des devis, factures et déclarations ; modérer les contenus ; sécuriser les comptes et les accès ; tracer les actions sensibles ; vérifier la fiabilité des professionnels ; garantir la pertinence des avis ; traiter les réclamations ; constituer une preuve ; et assurer la défense en justice.

Ces traitements font l’objet d’une mise en balance avec les droits et libertés des personnes concernées. Les mesures appliquées comprennent la limitation des données, des accès selon les rôles, la protection des documents, la traçabilité, la limitation de la conservation et une intervention humaine avant toute mesure significative.

Vous pouvez vous opposer à un traitement fondé sur l’intérêt légitime pour des raisons tenant à votre situation particulière, conformément à l’article 21 du RGPD. Le traitement cesse sauf si le responsable démontre des motifs légitimes et impérieux prévalant sur vos intérêts, droits et libertés, ou si les données sont nécessaires à la constatation, à l’exercice ou à la défense de droits en justice.

Les informations qui ne sont pas signalées comme obligatoires sont facultatives. Le portfolio, les contenus descriptifs complémentaires, le commentaire d’avis et le message d’un gagnant peuvent notamment être facultatifs selon l’écran concerné. Leur absence n’empêche pas l’accès aux autres fonctions qui n’en dépendent pas.

Certaines données ne sont pas recueillies directement auprès de la personne concernée. Conformément à l’article 14 du RGPD, elles peuvent provenir de l’INSEE lors de la vérification du SIRET, de Stripe pour le statut d’une transaction, de l’autre partie au chantier, d’un ambassadeur, d’un administrateur habilité, ou d’un utilisateur qui dépose un message, un document, une photographie, un avis ou une pièce de litige.

Les catégories concernées comprennent l’identité et les coordonnées professionnelles, le statut d’un établissement, les données de transaction, les informations relatives au chantier, les échanges, les documents, les images, les réserves, les réclamations et les éléments de preuve.

Lorsque l’information individuelle est requise, elle est fournie dans les délais et selon les modalités de l’article 14 du RGPD, notamment lors du premier contact ou au plus tard dans le délai légal applicable. Cette information peut ne pas être renouvelée si la personne dispose déjà des informations ou si une exception prévue par l’article 14, paragraphe 5, s’applique.

Toute personne qui communique des données concernant un tiers doit s’assurer qu’elles sont pertinentes, limitées au nécessaire et licitement transmises.

Les messages, documents et photographies peuvent faire l’objet d’analyses automatisées. Ces traitements peuvent constituer un profilage au sens de l’article 4, point 4, du RGPD lorsqu’ils évaluent un risque associé à une action, un document, un compte ou un dossier.

La logique générale consiste à comparer des données et événements du dossier afin de repérer des signaux prédéfinis. Ces signaux peuvent comprendre une différence entre un montant en lettres et en chiffres, une hausse d’un devis après son acceptation, un acompte susceptible d’être compté deux fois, des coordonnées ou formulations suggérant un contournement hors plateforme, des incohérences entre documents, une anomalie dans la succession des étapes, un contenu photographique inapproprié ou un événement technique inhabituel.

Les signaux peuvent produire une alerte, un indicateur ou un niveau de risque destiné aux personnels habilités. Ils peuvent conduire à une demande d’information, une vérification renforcée, une modération, un avertissement, une suspension provisoire de l’étape concernée ou une proposition de blocage. Ils ne déterminent pas seuls une mesure produisant des effets juridiques ou affectant significativement la personne.

Avant une mesure significative, une personne habilitée doit examiner les éléments pertinents, le contexte et les observations de l’utilisateur. Elle doit pouvoir écarter le résultat automatisé et ne peut se limiter à valider formellement l’alerte. La mesure et ses motifs sont journalisés.

Aucune décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques ou affectant significativement une personne n’est mise en œuvre au sens de l’article 22 du RGPD. Si un tel traitement devait être instauré, une information préalable spécifique serait fournie avec sa base juridique et les garanties applicables.

Vous pouvez demander des informations sur l’analyse, présenter vos observations, contester une mesure, solliciter un nouvel examen humain réel et exercer votre droit d’opposition lorsque le traitement repose sur l’intérêt légitime. La demande peut être adressée à contact@monchantiersur.com.

Des prestataires d’intelligence artificielle peuvent intervenir pour extraire des informations des devis et factures, détecter des incohérences ou des indices de contournement, modérer des photographies et fournir l’assistant d’aide utilisant une méthode de recherche documentaire augmentée, dite RAG.

Selon la fonction utilisée, les données transmises peuvent comprendre des extraits de messages, des documents ou extraits de documents, des photographies, des montants, des métadonnées techniques, la question adressée à l’assistant et les passages documentaires nécessaires à la réponse. Les données étrangères à la tâche doivent être exclues ou masquées lorsque cela est possible.

Le nom des prestataires, leur rôle juridique, les services concernés et leur localisation sont : À DÉCIDER : identifier chaque prestataire d’intelligence artificielle, préciser s’il agit comme sous-traitant ou responsable distinct, indiquer son pays d’établissement et les lieux de traitement.

Lorsqu’il agit pour le compte de [à renseigner], le prestataire est encadré par un contrat conforme à l’article 28 du RGPD. Il ne peut traiter les données que sur instruction documentée, doit assurer leur confidentialité et leur sécurité et doit assister le responsable dans le respect des droits des personnes.

L’utilisation des contenus transmis pour entraîner ou améliorer les modèles du prestataire est : À DÉCIDER : confirmer l’interdiction contractuelle d’entraînement et d’amélioration des modèles avec les données de la plateforme, ou décrire précisément tout usage distinct et sa base juridique.

Les mesures de minimisation et de pseudonymisation appliquées sont : À DÉCIDER : décrire les données masquées ou pseudonymisées avant transmission, les filtres, les restrictions d’accès et les mesures empêchant l’envoi de contenus non nécessaires.

La durée de conservation par chaque prestataire d’intelligence artificielle est : À DÉCIDER : indiquer une durée opposable pour les requêtes, contenus, réponses, journaux et sauvegardes de chaque prestataire.

À la clôture du chantier, le client peut attribuer des notes à l’artisan selon cinq critères et peut publier un commentaire. Les cinq critères présentés au moment de la collecte sont : À DÉCIDER : indiquer le libellé exact des cinq critères de notation utilisés par la plateforme.

Les notes et commentaires servent à informer les futurs clients, à apprécier la qualité du parcours et à assurer la fiabilité des profils. Ils sont associés à l’artisan et au chantier concerné. Les éléments publics sont accessibles aux visiteurs de la plateforme. Les informations de contrôle, de signalement et de modération restent accessibles aux seules personnes habilitées et aux prestataires nécessaires.

Les avis peuvent faire l’objet d’une analyse et d’une modération automatisées, suivies d’un examen humain lorsqu’une mesure significative est envisagée. Un avis peut être refusé, masqué ou retiré s’il est illicite, frauduleux, hors sujet ou contraire aux règles applicables.

L’auteur peut demander la rectification ou l’effacement de ses données dans les conditions du RGPD. L’artisan peut demander la rectification de données factuellement inexactes, signaler un avis et s’opposer, pour des raisons tenant à sa situation particulière, aux traitements fondés sur l’intérêt légitime. Ces droits ne garantissent pas le retrait d’une appréciation licite et pertinente.

La durée de publication et de conservation des notes, commentaires, signalements et décisions de modération est précisée à la section relative aux durées de conservation.

Les jeux concours sont gratuits et sans obligation d’achat. Ils sont ouverts aux particuliers dont l’adresse électronique est vérifiée et aux artisans dont l’entreprise est vérifiée ou certifiée. Les ambassadeurs en sont exclus. Une seule participation est admise par compte.

Lorsqu’un objectif annoncé de participants est atteint, un gagnant est tiré au sort parmi les participants éligibles. L’administration peut arrêter un jeu en cours sans tirage. Le motif et la décision sont alors journalisés.

Le numéro de téléphone est recueilli lors de la participation afin de contacter le gagnant et d’organiser la remise du lot. Il est accessible aux personnels habilités chargés du jeu et, si nécessaire, aux prestataires intervenant dans la remise du lot. Il ne sert pas à la prospection sans base juridique distincte.

La participation au jeu et la publication publique sont deux opérations distinctes. La participation nécessaire au tirage repose sur l’exécution du règlement accepté. Elle n’emporte pas consentement à publier l’identité, le SIRET, la date de participation ou toute autre donnée.

Aucune liste publique de l’ensemble des inscrits ne doit comporter leur identité, leur SIRET ou leur date de participation sans base juridique distincte, information spécifique et respect du principe de minimisation. Le SIRET peut constituer une donnée personnelle lorsqu’il identifie un entrepreneur individuel.

La publication du pseudo du gagnant et de son message facultatif sur le mur des gagnants repose sur un consentement distinct, libre, spécifique, éclairé et univoque. Le refus ou le retrait de ce consentement n’affecte ni la participation, ni le tirage, ni le droit au lot.

Le message du gagnant peut être modéré avant sa publication. Il ne doit pas contenir de données personnelles de tiers ni d’informations non nécessaires. Le gagnant peut retirer son consentement à tout moment pour l’avenir en écrivant à contact@monchantiersur.com.

Les participations restent enregistrées après la clôture uniquement pendant la durée déterminée pour assurer la preuve de la régularité du jeu et traiter les contestations. Le téléphone, le message et les données publiées suivent les durées distinctes indiquées dans la section relative à la conservation.

• Les personnels habilités de [à renseigner], dans la limite de leurs missions : support, vérification, finance, lecture seule, administration et super-administration.
• Le client et l’artisan concernés, pour les informations nécessaires à la mise en relation, à la messagerie et au dossier de chantier.
• Les ambassadeurs, dans la seule mesure nécessaire à l’attribution et au suivi de leurs droits à commission, sans accès indu au dossier de chantier.
• Stripe, pour le paiement par carte de la commission due par l’artisan.
• L’INSEE, en tant que source interrogée pour la vérification du SIRET et du statut de l’établissement.
• [à renseigner], situé [à renseigner], pour l’hébergement et le stockage sécurisé.
• Les prestataires d’envoi d’e-mails et de notifications nécessaires à l’authentification, aux OTP et au fonctionnement du service.
• Les prestataires d’intelligence artificielle, d’analyse documentaire, de modération, de support et de sécurité, dans la limite des données nécessaires à leur mission.
• Les prestataires chargés de l’organisation d’un jeu ou de la remise d’un lot, si leur intervention est nécessaire.
• Les visiteurs de la plateforme pour les profils, avis et données de gagnants destinés à être publiés dans les conditions prévues par la présente politique.
• Les conseils, experts, assureurs, commissaires de justice et juridictions lorsque cela est nécessaire à une réclamation, un litige ou à la défense de droits.
• Les administrations, autorités de contrôle, services d’enquête ou organismes légalement habilités, sur demande régulière ou lorsqu’une obligation légale l’impose.

Les sous-traitants sont sélectionnés et encadrés conformément à l’article 28 du RGPD. Les accès internes sont accordés selon les rôles et le besoin d’en connaître. Un administrateur disposant d’un rôle de lecture seule ne peut effectuer les opérations réservées aux rôles opérationnels.

Les lieux de traitement utilisés par les prestataires de paiement, d’hébergement, d’e-mail, de notification, de support, de modération et d’intelligence artificielle doivent être vérifiés. La situation applicable est : À DÉCIDER : indiquer pour chaque prestataire si les données restent dans l’Espace économique européen ou préciser les pays tiers destinataires.

Lorsqu’un transfert vers un pays situé hors de l’Espace économique européen intervient, il repose sur une décision d’adéquation de la Commission européenne au titre de l’article 45 du RGPD ou, à défaut, sur des garanties appropriées au titre de l’article 46, notamment les clauses contractuelles types de la Commission européenne. Des mesures complémentaires techniques, contractuelles ou organisationnelles sont mises en place lorsque l’évaluation du transfert le requiert.

Un transfert ne repose sur une dérogation de l’article 49 du RGPD que dans les situations exceptionnelles prévues par ce texte. La personne concernée peut demander des informations sur le fondement du transfert et une copie des garanties applicables, expurgée des informations confidentielles si nécessaire, en écrivant à contact@monchantiersur.com.

Les données sont conservées pendant une durée n’excédant pas celle nécessaire aux finalités décrites, conformément à l’article 5, paragraphe 1, e) du RGPD. Le référentiel applicable est [à renseigner].

À l’expiration de la durée applicable, les données sont supprimées ou anonymisées de manière irréversible. Elles peuvent être placées en archivage intermédiaire lorsqu’elles restent nécessaires au respect d’une obligation légale ou à la constatation, à l’exercice ou à la défense de droits. Leur accès est alors limité.

Selon le traitement et sa base juridique, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité prévus par les articles 15 à 21 du RGPD. Vous pouvez également demander à ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé dans les conditions de l’article 22.

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment et aussi simplement que vous l’avez donné. Le retrait ne compromet pas la licéité du traitement effectué avant ce retrait. Il ne remet pas non plus en cause un traitement fondé sur une autre base juridique valable.

Vous pouvez exercer vos droits auprès de [à renseigner] à l’adresse contact@monchantiersur.com ou, lorsqu’un DPO est désigné, auprès de contact@monchantiersur.com. Votre demande doit permettre de vous identifier et de préciser le droit exercé et les données concernées.

En cas de doute raisonnable sur votre identité, des informations supplémentaires strictement nécessaires peuvent être demandées. Une copie d’un justificatif d’identité n’est demandée que si elle est indispensable. Elle est protégée et supprimée dès que la vérification n’est plus nécessaire, sous réserve de la conservation limitée d’une preuve de traitement de la demande.

Une réponse est apportée dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes. Vous êtes informé de cette prolongation et de ses motifs dans le mois suivant la réception, conformément à l’article 12 du RGPD.

L’exercice des droits est gratuit. En cas de demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, des frais raisonnables peuvent être demandés ou la demande peut être refusée dans les conditions de l’article 12, paragraphe 5, du RGPD.

Vous pouvez saisir directement la Commission nationale de l’informatique et des libertés, sans devoir contacter préalablement [à renseigner]. La CNIL est située 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Une réclamation peut également être déposée par les moyens proposés sur le site de la CNIL.

[à renseigner] met en œuvre des mesures techniques et organisationnelles adaptées aux risques, conformément à l’article 32 du RGPD. Elles comprennent notamment le chiffrement du stockage des documents privés, des URL signées, des accès limités selon les rôles, la journalisation des actions sensibles, la protection des mots de passe par hachage, des contrôles d’authentification et la surveillance des événements de sécurité.

Aucun dispositif ne garantit une sécurité absolue. En cas de violation de données personnelles présentant un risque pour les droits et libertés, la CNIL est informée dans les conditions de l’article 33 du RGPD. Les personnes concernées sont informées lorsque la violation est susceptible d’engendrer un risque élevé, conformément à l’article 34.

La plateforme peut utiliser des cookies ou technologies similaires. Les traceurs strictement nécessaires au service sont exemptés de consentement lorsqu’ils remplissent les conditions de l’article 82 de la loi Informatique et Libertés. Ils peuvent notamment assurer l’authentification, la sécurité, la conservation d’un choix demandé par l’utilisateur et l’équilibrage technique.

Avant leur mise en service, tous les cookies et traceurs doivent être recensés avec leur nom, leur fournisseur, leur finalité et leur durée. Aucun traceur publicitaire, de mesure d’audience non exemptée ou provenant d’un tiers n’est déposé ou lu avant le consentement de l’utilisateur.

Lorsque le consentement est requis, l’utilisateur doit pouvoir accepter ou refuser avec un degré de simplicité équivalent, choisir les finalités et retirer son consentement à tout moment aussi facilement qu’il l’a donné. Le refus ou le retrait n’empêche pas l’utilisation des fonctions qui ne dépendent pas du traceur concerné.

La durée de validité des choix de consentement et les modalités d’accès permanent au gestionnaire de cookies sont : À DÉCIDER : indiquer la durée de mémorisation du choix et l’emplacement du lien permettant de modifier ou retirer le consentement.

La présente politique peut être modifiée pour tenir compte de l’évolution du service, des prestataires ou des règles applicables. La date de mise à jour est indiquée en tête du document. Toute modification substantielle affectant les traitements ou les droits fait l’objet d’une information adaptée avant son entrée en vigueur lorsque la loi l’exige.

Pour toute question relative à cette politique ou au traitement de vos données personnelles, contactez [à renseigner] à l’adresse contact@monchantiersur.com.

Si un délégué à la protection des données est désigné, vous pouvez également le contacter à l’adresse contact@monchantiersur.com.