Politique de confidentialité

Version en vigueur au 5 octobre 2026

1. Objet et champ d’application. La présente politique, établie en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données (ci-après le « RGPD »), de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dans sa rédaction en vigueur et de l’ensemble des textes pris pour leur application, a pour objet d’informer toute personne physique dont les données à caractère personnel sont collectées ou traitées à l’occasion de l’accès au site, de l’utilisation de l’espace réservé aux professionnels abonnés, de l’envoi d’une demande au moyen d’un formulaire, d’un courrier électronique, d’un message WhatsApp ou d’un appel téléphonique, ou de la réception d’un message émis par le service TradeDemand (ci-après le « Service »), des conditions dans lesquelles ces données sont traitées, des finalités poursuivies, des fondements juridiques sur lesquels reposent les traitements, des destinataires des données, de leurs durées de conservation et des droits dont elle dispose, la présente politique s’appliquant à l’ensemble des traitements mis en œuvre dans le cadre du Service, qu’ils le soient par l’éditeur en qualité de responsable de traitement ou pour le compte des professionnels abonnés en qualité de sous-traitant, et devant être lue conjointement avec les mentions légales, les conditions générales d’utilisation et de vente et la politique relative aux cookies.

2. Identité du responsable de traitement et répartition des rôles. Le responsable des traitements mis en œuvre pour la gestion des comptes des professionnels abonnés, de leur facturation, de la sécurité du Service et de la relation commerciale est l’éditeur du Service, dont l’identité complète, l’adresse du siège et les éléments d’immatriculation figurent dans les mentions légales, joignable à l’adresse électronique contact@tradedemand.fr, aucun délégué à la protection des données n’ayant été désigné, cette désignation n’étant pas obligatoire au regard de l’article 37 du RGPD compte tenu de la nature et de l’échelle des traitements ; s’agissant en revanche des données relatives aux clients, prospects et correspondants des professionnels abonnés, c’est-à-dire des personnes qui adressent une demande de travaux ou de renseignement à un professionnel par l’intermédiaire du Service (ci-après les « clients finaux »), le responsable de traitement est le professionnel concerné, l’éditeur n’intervenant qu’en qualité de sous-traitant au sens de l’article 28 du RGPD, sur instruction de ce professionnel et dans les conditions décrites au paragraphe 11 ci-après et dans les conditions générales, de sorte que les clients finaux qui souhaitent exercer leurs droits sont invités à s’adresser en premier lieu au professionnel auquel ils se sont adressés, l’éditeur l’assistant pour y répondre.

3. Données traitées, finalités et fondements juridiques. Sont traitées, pour la création, la gestion et la sécurisation du compte du professionnel abonné, son adresse électronique, son nom, l’empreinte de son mot de passe et les informations relatives à son entreprise telles que sa dénomination, son adresse, son téléphone, son métier, son numéro d’identification, les références de son assurance et sa grille tarifaire, ce traitement étant fondé sur l’exécution du contrat ; sont traitées, pour l’analyse des demandes, leur notation, la préparation des propositions de chiffrage, l’envoi des messages et le suivi de l’activité, les données contenues dans les demandes reçues, à savoir le contenu des messages, les coordonnées du client final, l’adresse du chantier, les photographies éventuellement jointes, les devis et l’historique des échanges, ce traitement étant fondé, pour l’éditeur, sur l’exécution du contrat conclu avec le professionnel, et pour ce dernier sur le fondement qu’il lui appartient de déterminer, généralement l’exécution de mesures précontractuelles prises à la demande du client final ; sont traitées, pour la gestion de l’abonnement et le respect des obligations comptables et fiscales, les informations relatives à la formule souscrite, aux paiements et aux factures, ce traitement étant fondé sur l’exécution du contrat et sur le respect d’obligations légales ; sont traitées, pour la détection des accès frauduleux et la limitation des attaques par force brute, la date et l’adresse IP de la dernière connexion ainsi que les tentatives de connexion échouées, ce traitement étant fondé sur l’intérêt légitime de l’éditeur à assurer la sécurité du Service ; sont traités, pour l’envoi de messages par la messagerie WhatsApp au professionnel qui l’a demandé, son numéro, la date de son accord et l’état de remise des messages, ce traitement étant fondé sur son consentement, recueilli au moyen d’une case à cocher jamais pré-cochée et retirable à tout moment, et, pour prévenir l’utilisation du Service à des fins d’envois massifs, l’empreinte des numéros auxquels un envoi est demandé et l’adresse IP de la demande, ce traitement étant fondé sur l’intérêt légitime de l’éditeur ; sont traités, lorsque le professionnel active la fonctionnalité de rappel des appels manqués, le numéro de la personne dont l’appel est resté sans réponse et l’heure de l’appel, aux fins de lui adresser un unique message court contenant le lien du formulaire de demande, ce traitement répondant à la démarche que la personne vient elle-même d’engager et excluant toute prospection, toute relance et tout envoi en masse ; sont traitées enfin, pour répondre aux questions posées par le professionnel à l’assistant intégré à son espace et limiter l’usage et le coût de ce service, ses questions, les réponses apportées et des compteurs d’utilisation, ce traitement étant fondé sur l’exécution du contrat ; la fourniture des données marquées comme obligatoires dans les formulaires conditionne l’accès au Service ou le traitement de la demande, leur absence ayant pour seule conséquence l’impossibilité d’y donner suite ; aucune donnée n’est utilisée à des fins de profilage publicitaire, revendue, cédée à des tiers à des fins commerciales ou collectée à des fins de statistiques de fréquentation, et le Service ne demande jamais de données bancaires, celles-ci étant saisies directement auprès du prestataire de paiement, ni de données sensibles au sens de l’article 9 du RGPD, lesquelles, si elles figuraient spontanément dans le message d’un client final, seraient traitées comme le reste du message et supprimées dans les mêmes délais.

4. Intelligence artificielle et décisions automatisées. Le texte des demandes est transmis à un fournisseur de services d’intelligence artificielle aux fins d’en extraire l’objet, l’urgence, les coordonnées et les postes de travaux et de préparer, le cas échéant, les questions adressées au client final ; les questions posées par le professionnel à l’assistant intégré à son espace sont transmises au même fournisseur, accompagnées de la notice du Service et d’un résumé des seules données de son propre compte, à savoir ses réglages, les intitulés et étapes de ses demandes, le nom et la ville de ses clients, à l’exclusion de leurs numéros de téléphone et adresses électroniques, et jamais des données d’un autre compte, l’assistant ne modifiant aucune donnée et ses informations à caractère juridique, purement générales, ne remplaçant pas l’avis d’un professionnel du droit ; la note de priorité attribuée à chaque demande et les propositions de chiffrage constituent de simples aides à la décision, aucun devis n’étant adressé au client final sans validation du professionnel, sauf activation par celui-ci d’un envoi automatique dans les limites qu’il a définies, de sorte qu’il n’est pris aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière significative la personne concernée au sens de l’article 22 du RGPD, les données transmises n’étant en outre pas utilisées pour entraîner les modèles des fournisseurs ; conformément à l’article 50 du règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, applicable depuis le 2 août 2026, toute personne qui échange avec l’assistant est informée qu’elle s’adresse à un système d’intelligence artificielle : les messages préparés par celui-ci et adressés au client final portent cette mention ainsi que, lorsque le professionnel a renseigné un numéro, le moyen de joindre une personne physique, et l’assistant intégré à l’espace du professionnel se présente comme assistant virtuel dès son premier écran.

5. Durées de conservation. Les données du compte et de l’entreprise sont conservées pendant toute la durée de la relation contractuelle, puis pendant trente jours après la résiliation afin de permettre leur récupération, au terme desquels elles sont supprimées ; les demandes, devis et messages sont conservés pendant la durée du compte et supprimés avec lui, le professionnel pouvant les exporter à tout moment ; les factures et pièces comptables sont conservées dix ans conformément à l’article L123-22 du code de commerce ; le journal de connexion comportant l’adresse IP est conservé douze mois, puis effacé automatiquement ; le numéro WhatsApp du professionnel est conservé tant qu’il demeure relié, et effacé dès qu’il répond STOP ou le retire, le journal anti-abus des envois étant conservé trente jours ; la conversation avec l’assistant intégré est conservée quatre-vingt-dix jours, le professionnel pouvant l’effacer à tout moment, et les compteurs d’utilisation treize mois ; les liens d’action envoyés par courrier électronique sont valables sept jours et à usage unique ; les données relatives aux appels manqués sont conservées le temps nécessaire au traitement de la demande qui en résulte, et au plus pendant la durée du compte du professionnel ; les preuves de consentement sont conservées pendant la durée de la relation et, après le retrait du consentement, pendant la durée de prescription applicable, aux seules fins de pouvoir justifier de son existence.

6. Sécurité. L’éditeur met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques, et notamment le chiffrement des échanges par le protocole HTTPS, la conservation des mots de passe sous forme d’empreinte salée au moyen d’une fonction de dérivation résistante, l’absence de conservation en clair des jetons de session, la limitation des tentatives de connexion par compte et par adresse IP, le chiffrement des identifiants de connecteurs avant stockage, le cloisonnement strict des comptes, la restriction des accès d’administration à des adresses déclarées et la journalisation des actions, étant précisé qu’en cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, l’autorité de contrôle est notifiée dans les soixante-douze heures et les personnes concernées informées lorsque le risque est élevé, conformément aux articles 33 et 34 du RGPD.

7. Destinataires, sous-traitants et transferts. Les données sont accessibles aux seules personnes habilitées de l’éditeur, dans la limite de leurs attributions, ainsi qu’au professionnel abonné pour ce qui concerne les demandes qui lui sont adressées, et sont communiquées, dans la stricte mesure nécessaire à l’exécution de leurs prestations, aux sous-traitants ultérieurs suivants : OVH SAS, société établie en France, pour l’hébergement du Service, de sa base de données et des fichiers transmis, les serveurs mis en œuvre à cette fin étant localisés au Royaume-Uni, ainsi que pour l’envoi et la réception des courriers électroniques du Service ; Groq, Inc., établie aux États-Unis, pour l’analyse du texte des demandes au moyen de l’intelligence artificielle et les réponses de l’assistant intégré ; Anthropic PBC, établie aux États-Unis, pour la lecture des photographies jointes aux demandes lorsque cette fonctionnalité est activée par l’éditeur ; Google Ireland Limited, établie dans l’Union européenne et susceptible de recourir à des moyens situés aux États-Unis, pour la fourniture des polices de caractères du site ; Stripe Payments Europe, Limited, établie dans l’Union européenne, pour le paiement des abonnements ; Meta Platforms Ireland Limited, établie dans l’Union européenne et susceptible de recourir à des moyens situés aux États-Unis, pour l’acheminement des messages WhatsApp lorsque le professionnel relie son numéro ou que le client final choisit ce canal ; Twilio Inc., établie aux États-Unis et disposant de moyens en Irlande, pour la réception des appels renvoyés et l’envoi du message court de rappel lorsque le professionnel active la fonctionnalité correspondante ; les données hébergées au Royaume-Uni bénéficient de la décision d’adéquation adoptée par la Commission européenne à l’égard de ce pays, renouvelée le 19 décembre 2025, qui en autorise le transfert sans formalité supplémentaire ; les autres transferts de données hors de l’Union européenne qui résultent du recours à ces prestataires sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y adhère, par le cadre de protection des données entre l’Union européenne et les États-Unis, une copie des garanties applicables pouvant être obtenue sur demande ; les données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsque la loi l’exige.

8. Droits des personnes concernées. Toute personne concernée dispose, dans les conditions et limites prévues par les articles 15 à 22 du RGPD, d’un droit d’accès à ses données, d’un droit de rectification, d’un droit à l’effacement, d’un droit à la limitation du traitement, d’un droit d’opposition, notamment au traitement fondé sur l’intérêt légitime, d’un droit à la portabilité des données qu’elle a fournies, ainsi que du droit de définir des directives relatives au sort de ses données après son décès ; lorsque le traitement est fondé sur son consentement, elle peut le retirer à tout moment, sans que cela porte atteinte à la licéité du traitement effectué avant ce retrait, en répondant STOP aux messages WhatsApp ou en utilisant la commande de retrait prévue dans l’espace du professionnel ; ces droits s’exercent par courrier électronique adressé à contact@tradedemand.fr, une réponse étant apportée dans un délai d’un mois, susceptible d’être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, un justificatif d’identité ne pouvant être demandé qu’en cas de doute raisonnable sur l’identité du demandeur ; toute personne concernée dispose enfin du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

9. Cookies et traceurs. Le Service ne dépose qu’un cookie de session strictement nécessaire à la connexion à l’espace réservé, ainsi que des informations de préférence enregistrées localement à la demande de l’utilisateur, sans recourir à aucun traceur publicitaire ni outil de mesure d’audience, de sorte qu’aucun consentement préalable n’est requis à ce titre, le détail figurant dans la politique relative aux cookies.

10. Mineurs. Le Service s’adressant exclusivement à des professionnels, il n’est pas destiné aux mineurs, et l’éditeur ne collecte pas sciemment de données les concernant, toute donnée de cette nature portée à sa connaissance étant supprimée dans les meilleurs délais.

11. Traitements opérés pour le compte des professionnels abonnés. Lorsque le client final d’un professionnel adresse une demande par l’intermédiaire du Service, l’éditeur traite les données correspondantes sur instruction documentée de ce professionnel, qui en demeure responsable, aux fins de réception, d’analyse automatisée, de structuration, de conservation et d’envoi des propositions de chiffrage, pour la durée de l’abonnement, s’agissant des données d’identité, de coordonnées, d’adresse de chantier, de description des travaux et de photographies des clients et prospects du professionnel, ainsi que, lorsqu’un client final signe une facture en ligne, de son nom, du tracé de sa signature, de la date et de l’heure, de son adresse IP, de l’identification de son navigateur et de l’empreinte du document signé, ces éléments de preuve étant joints à la facture dans un certificat de signature et conservés avec elle, l’éditeur s’engageant à agir uniquement sur instruction, à garantir la confidentialité des personnes habilitées, à appliquer les mesures de sécurité décrites au paragraphe 6, à assister le professionnel dans le traitement des demandes d’exercice de droits, la réalisation d’analyses d’impact et la notification des violations, à ne recourir qu’aux sous-traitants ultérieurs mentionnés au paragraphe 7, toute adjonction étant annoncée au professionnel qui peut s’y opposer et résilier, à supprimer les données trente jours après la fin du contrat ou à les restituer sur demande, et à mettre à disposition du professionnel les éléments permettant de démontrer le respect de ces engagements, la présente section valant engagement de sous-traitance et complétant les stipulations correspondantes des conditions générales.

12. Modification de la présente politique. L’éditeur peut modifier la présente politique, notamment pour tenir compte d’une évolution des traitements, des prestataires ou du cadre légal et réglementaire ; toute modification substantielle est portée à la connaissance des professionnels abonnés par courrier électronique au moins quinze jours avant son entrée en vigueur, la version applicable étant celle publiée en ligne, dont la date figure en tête du présent document.