Politique de confidentialité et de protection des données personnelles

Version 1.0 — en vigueur au [A_COMPLETER_PAR_ADMIN].

1. Objet et champ d'application

La présente politique décrit la manière dont [A_COMPLETER_PAR_ADMIN] (ci-après « MeshUp ») traite les données personnelles des utilisateurs de la plateforme meshup.fr, de la PWA et des services associés (espaces client, pro et administration).

Elle s'applique :

• aux Clients qui recherchent un établissement, réservent, paient, reprogramment ou déposent un avis ;
• aux Professionnels (dirigeants, représentants légaux) et à leurs Collaborateurs ;
• aux prospects, aux visiteurs du site et aux personnes qui contactent le support ;
• aux salariés dont les données de paie sont traitées par un Professionnel via l'outil.

Elle est complétée par la politique cookies (document 04), la politique de lutte contre les contenus illicites (document 05) et, pour les Professionnels, par l'accord de sous-traitance (document 06).

2. Responsable de traitement et rôles respectifs

2.1 MeshUp, responsable de traitement

MeshUp est responsable de traitement pour les activités qu'il détermine lui-même :

• création, administration et sécurité des comptes (client, pro, collaborateur, administrateur) ;
• authentification (code à usage unique, mot de passe, empreinte/Face ID, fournisseur social) ;
• abonnements, facturation, encaissement et recouvrement ;
• gestion de la relation commerciale, support, réclamations et modération ;
• mesure d'audience, prévention de la fraude et sécurité du service ;
• prospection commerciale auprès des Professionnels et des prospects ;
• statistiques agrégées et amélioration du produit.

2.2 MeshUp, sous-traitant

Lorsqu'un Professionnel saisit dans la Plateforme les données de ses clients (fiches clients, rendez-vous, coordonnées, notes, photos, avis) ou de ses salariés (paie, bulletins, DSN), il en est le responsable de traitement. MeshUp agit alors comme sous-traitant, sur instructions documentées du Professionnel, dans les conditions du document 06.

Dans ce cadre :

• le Professionnel doit informer ses clients et salariés et disposer d'une base légale ;
• MeshUp ne les utilise pas pour ses propres finalités (prospection, publicité, entraînement de modèles) ;
• toute demande d'exercice de droits relative à ces données est transmise au Professionnel, qui en est le destinataire principal, sans préjudice de l'assistance apportée par MeshUp.

2.3 Coordonnées

• Responsable : [A_COMPLETER_PAR_ADMIN].
• Délégué à la protection des données (DPO) : [A_COMPLETER_PAR_ADMIN].
• Contact vie privée : [A_COMPLETER_PAR_ADMIN].

3. Catégories de personnes et de données

3.1 Clients

MeshUp ne demande pas de données de santé. Les Professionnels doivent s'abstenir de consigner des informations de santé dans les champs libres, sauf nécessité médicale (allergie, contre-indication) dûment justifiée et avec le consentement explicite de la personne : ces données relèvent de l'article 9 du RGPD et appellent des précautions renforcées.

MeshUp n'utilise pas la géolocalisation en temps réel et ne suit pas les déplacements. La ville, le code postal ou l'adresse sont saisis par l'utilisateur ou le Professionnel pour la recherche et la facturation. Aucun enregistrement d'appel téléphonique n'est réalisé par MeshUp. Les pages de réseaux sociaux de MeshUp sont hébergées par les plateformes concernées, qui appliquent leurs propres politiques.

3.2 Professionnels (dirigeants et représentants)

Données d'identification et de contact professionnelles, dénomination, SIREN/SIRET, code APE, numéro de TVA, adresse, statut juridique, coordonnées bancaires (IBAN/BIC pour le prélèvement SEPA), identifiants Stripe Connect, pièces justificatives éventuelles, informations de facturation, historique des échanges et des incidents.

Les données bancaires ne sont jamais stockées en clair : le mandat SEPA est chiffré et les justificatifs sont conservés sur un espace privé, avec accès restreint.

3.3 Collaborateurs

Identité, coordonnées professionnelles, rôle et permissions, planning, prestations réalisées, pointages et absences, photo (facultatif), journaux d'accès. Les données de paie (salaire brut, net, cotisations, NIR, DSN) sont traitées pour le compte du Professionnel, sous sa responsabilité.

3.4 Prospects et visiteurs

Identité et coordonnées communiquées volontairement (formulaire de contact, demande de démonstration, inscription à une liste d'attente), établissement recherché, échanges, données de mesure d'audience agrégées.

3.5 Candidats

Lorsque MeshUp reçoit une candidature : CV, lettre, coordonnées, prétentions, échanges. Ces données ne sont pas utilisées à d'autres fins.

4. Finalités et bases légales

Aucune décision entièrement automatisée produisant des effets juridiques n'est prise à l'égard des personnes. Le Trust Score et les dispositifs anti-abus produisent des effets limités (classement, vigilance, suspension conservatoire) et peuvent être contestés par une demande humaine.

5. Durées de conservation

Les durées ci-dessous courent à compter du dernier événement utile (dernière connexion, dernière prestation, clôture de l'exercice). Elles sont suspendues en cas de litige ou de demande d'une autorité.

À l'expiration, les données sont supprimées ou anonymisées de manière irréversible. Les sauvegardes chiffrées suivent un cycle de rotation de [A_COMPLETER_PAR_ADMIN] jours ; une donnée supprimée peut subsister temporairement dans une sauvegarde avant son écrasement.

5.1 Cas particulier de l'effacement et de la caisse

Lorsqu'une personne demande l'effacement de ses données, MeshUp anonymise les fiches clients, les rendez-vous, les avis et les messages, et conserve un registre d'effacement sous forme d'empreintes SHA-256 afin d'éviter qu'une fiche supprimée ne réapparaisse lors d'une synchronisation. Les transactions de caisse (PaymentTransaction), les clôtures Z et les journaux d'audit ne peuvent pas être modifiés : leur contenu entre dans la signature cryptographique exigée par la norme NF525. Ils sont conservés pour la durée légale, puis purgés ou anonymisés selon la procédure validée par l'expert-comptable.

6. Destinataires et accès

6.1 Accès internes

Les données sont accessibles aux seuls collaborateurs habilités, selon le principe du moindre privilège : support, facturation, sécurité, modération, développement. Les accès administrateurs sont journalisés (AuditEvent, PlatformLogs) et protégés par une authentification renforcée.

6.2 Professionnels

Un Professionnel accède aux données de ses propres clients, de ses Collaborateurs et de ses Établissements. Il n'accède pas aux données d'un autre Professionnel. Le cloisonnement est assuré par companyId et par les contrôles serveur.

6.3 Sous-traitants et prestataires

MeshUp recourt à des prestataires pour l'hébergement, les paiements, l'envoi d'e-mails et de SMS, la sauvegarde, la supervision, la mesure d'audience et l'authentification sociale. La liste, les finalités et les localisations figurent dans l'annexe 07. Chaque prestataire est lié par un contrat conforme à l'article 28 du RGPD, avec des garanties de sécurité et de confidentialité.

6.4 Autorités et tiers

Les données peuvent être communiquées :

• aux autorités judiciaires, administratives ou fiscales, sur réquisition ou obligation légale ;
• à un expert-comptable, un commissaire aux comptes ou un avocat, dans le cadre de leur mission ;
• à un acquéreur potentiel, en cas de cession, avec information préalable et garanties de confidentialité ;
• à Stripe, pour la gestion des paiements, des litiges et de la lutte contre la fraude.

MeshUp ne vend ni ne loue les données personnelles. Aucune donnée n'est cédée à des fins publicitaires sans consentement.

7. Transferts hors de l'Union européenne

Les données sont hébergées et traitées en priorité dans l'Union européenne. Certains prestataires indispensables peuvent toutefois traiter des données hors de l'EEE :

• Stripe (Irlande, avec des entités et infrastructures aux États-Unis) pour les paiements et la lutte contre la fraude ;
• Google (Irlande / États-Unis) pour l'authentification et, si le Professionnel l'active, l'import des avis Google Business Profile ;
• Apple (Irlande / États-Unis) pour l'authentification ;
• Meta (Irlande / États-Unis) pour l'authentification, lorsque le connecteur est activé ;
• [A_COMPLETER_PAR_ADMIN] pour la sauvegarde objet et [A_COMPLETER_PAR_ADMIN] pour l'envoi des SMS et des e-mails, selon leur localisation réelle.

Ces transferts sont encadrés par :

• une décision d'adéquation de la Commission européenne (art. 45 RGPD), notamment le cadre de protection des données UE–États-Unis lorsqu'il s'applique ;
• à défaut, les clauses contractuelles types (art. 46 RGPD), complétées par des mesures supplémentaires (chiffrement en transit, minimisation, contrôle d'accès) ;
• une analyse d'impact et une revue des sous-traitants pour les traitements les plus sensibles.

Les traitements d'intelligence artificielle sont exécutés sur l'infrastructure de MeshUp située en France : aucun prompt n'est envoyé à un fournisseur d'IA étranger.

La liste à jour des prestataires et des garanties est disponible dans l'annexe 07 ; une copie des clauses contractuelles peut être obtenue auprès du DPO.

8. Vos droits

8.1 Droits applicables

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• accès à vos données et information sur leur traitement ;
• rectification des données inexactes ou incomplètes ;
• effacement (« droit à l'oubli »), sous réserve des obligations légales de conservation ;
• limitation du traitement en cas de contestation ;
• opposition au traitement fondé sur l'intérêt légitime, et en particulier à la prospection commerciale, sans justification ;
• portabilité des données que vous avez fournies, dans un format structuré et lisible ;
• retrait du consentement à tout moment, sans affecter la licéité des traitements antérieurs ;
• directives sur le sort de vos données après votre décès (tiers de confiance ou ayant droit) ;
• réclamation auprès de la CNIL.

8.2 Comment exercer vos droits

Adressez votre demande à [A_COMPLETER_PAR_ADMIN], en précisant :

• votre identité et vos coordonnées ;
• le droit exercé ;
• les éléments permettant de localiser les données (adresse e-mail utilisée, numéro de téléphone, identifiant de compte, dates de réservation).

Une pièce d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur. La réponse intervient dans un délai d'un mois, prorogeable de deux mois en cas de demande complexe ou nombreuse, avec information motivée.

L'exercice des droits est gratuit. Les demandes manifestement infondées ou excessives (répétitives, abusive) peuvent être refusées ou facturées dans les conditions de l'article 12.5 du RGPD.

8.3 Données détenues par un Professionnel

Si vos données ont été saisies par un Professionnel (fiche client, rendez-vous, avis, paie), il en est le responsable principal. MeshUp transmet la demande au Professionnel et l'assiste. Vous pouvez également contacter directement l'établissement concerné.

8.4 Réclamation

Vous pouvez à tout moment introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80751, 75334 Paris Cedex 07 — cnil.fr — 01 53 73 22 22. Si vous résidez dans un autre État membre, vous pouvez saisir l'autorité de protection des données de votre pays.

9. Mineurs

Le service est destiné aux personnes âgées d'au moins 15 ans. Entre 15 et 18 ans, l'utilisation requiert l'accord du titulaire de l'autorité parentale, adressé à [A_COMPLETER_PAR_ADMIN].

MeshUp ne collecte pas sciemment de données concernant des enfants de moins de 15 ans. Si une telle collecte est portée à sa connaissance, les données sont supprimées dans les meilleurs délais. Les Professionnels doivent s'assurer qu'ils disposent de l'accord parental lorsqu'ils enregistrent un client mineur.

10. Sécurité

MeshUp met en œuvre des mesures techniques et organisationnelles adaptées au risque :

10.1 Mesures techniques

• chiffrement des communications (HTTPS, HSTS) et des sauvegardes ;
• mots de passe stockés sous forme d'empreinte scrypt avec sel, jamais en clair ;
• authentification renforcée par passkey (WebAuthn) : la clé privée reste sur l'appareil, le serveur ne conserve que la clé publique et le compteur ;
• codes à usage unique à durée limitée pour la connexion et la validation ;
• cloisonnement des données par entreprise (companyId) et contrôle serveur à chaque requête ;
• masquage des secrets dans les interfaces et les exports ;
• chiffrement des mandats SEPA et des jetons OAuth (Google Business Profile) ;
• limitation de débit, filtrage d'accès, journalisation des actions sensibles ;
• sauvegardes chiffrées et test de restauration ;
• procédure de purge protégée par un mot de passe détenu par le super-administrateur.

10.2 Mesures organisationnelles

• principe du moindre privilège et revue des accès ;
• sensibilisation des équipes à la sécurité et à la protection des données ;
• procédure de gestion des incidents et de violation de données ;
• clause de confidentialité pour les collaborateurs et les prestataires ;
• séparation des environnements de production et de test ;
• registre des traitements et analyse d'impact pour les traitements à risque.

10.3 Limites

Aucun système n'est infaillible. L'Utilisateur reste responsable de la confidentialité de ses identifiants et de la sécurité de son appareil. En cas de compromission suspectée, il doit immédiatement modifier ses accès et contacter le support.

11. Violation de données personnelles

En cas de violation (accès non autorisé, perte, altération, divulgation), MeshUp :

1. constate et qualifie l'incident, et met fin à la cause ;
2. évalue le risque pour les droits et libertés des personnes ;
3. notifie la CNIL dans les 72 heures lorsque la violation est susceptible d'engendrer un risque (art. 33 RGPD) ;
4. informe les personnes concernées lorsque le risque est élevé (art. 34 RGPD), avec les recommandations utiles ;
5. informe les Professionnels concernés lorsqu'ils sont responsables de traitement des données touchées, afin qu'ils puissent remplir leurs propres obligations ;
6. documente l'incident dans un registre et tire les conséquences sur les mesures de sécurité.

Les notifications sont adressées aux coordonnées connues. Il appartient à chaque Utilisateur de maintenir une adresse e-mail valide.

12. Intelligence artificielle et décisions automatisées

• Les fonctionnalités d'IA (cotation dynamique, suggestions tarifaires, recommandations de partenaires, génération de messages, assistance) produisent des propositions soumises à la décision humaine du Professionnel.
• Aucune décision produisant des effets juridiques ou affectant significativement une personne n'est prise exclusivement par un algorithme.
• Le Trust Score et les mécanismes anti-abus peuvent moduler le classement ou déclencher une vérification. Toute personne peut demander un réexamen humain en écrivant à [A_COMPLETER_PAR_ADMIN].
• Les données transmises à l'assistant ne sont pas utilisées pour entraîner un modèle destiné à des tiers. Les échanges peuvent être journalisés pour la sécurité, la qualité et la preuve, pour la durée prévue à l'article 5.
• Conformément au règlement (UE) 2024/1689 (AI Act), l'Utilisateur est informé de l'usage d'un système d'IA et des limites de ses résultats.

13. Cookies et traceurs

L'utilisation des cookies et traceurs est décrite dans la politique cookies (document 04). Le consentement peut être retiré à tout moment depuis le bandeau ou le gestionnaire de cookies.

14. Modification de la politique

MeshUp peut modifier la présente politique pour tenir compte d'une évolution légale, technique ou organisationnelle. La version applicable est celle publiée sur le site, avec sa date de mise à jour. En cas de modification substantielle, les Utilisateurs sont informés par e-mail ou dans leur espace au moins [A_COMPLETER_PAR_ADMIN] jours avant l'entrée en vigueur.

15. Contact

• Délégué à la protection des données : [A_COMPLETER_PAR_ADMIN].
• Support et réclamations : [A_COMPLETER_PAR_ADMIN].
• Adresse postale : [A_COMPLETER_PAR_ADMIN].

---

Document précédent / suivant : 04-politique-cookies.md — Retour : README.md.