La présente politique décrit comment l'application Expert Travaux (application mobile et application web) traite les données personnelles de ses utilisateurs (les « apporteurs d'affaires ») et des personnes qu'ils recommandent (les « prospects »).
Expert Travaux permet à toute personne physique majeure de présenter une demande d'accès, soumise à l'approbation d'EXPERTS TRAVAUX. L'admission d'un apporteur agissant à titre personnel n'est pas ouverte tant que les conditions contractuelles correspondantes ne sont pas entrées en vigueur. Une fois admis, l'apporteur peut demander l'envoi d'une invitation neutre concernant un projet de travaux puis en suivre le statut. Une commission de 2 % peut d'abord être affichée comme estimation non acquise, sans augmenter le solde. Après les vérifications administratives et fiscales requises, elle peut devenir acquise et être inscrite au registre interne. Aucun paiement n'est réalisé dans l'application : tout virement est traité en dehors de l'application.
1. Responsable de traitement
Le responsable de traitement est :
- Société : EXPERTS TRAVAUX (SARL)
- SIREN : 790215792
- Siège social : 31 rue du Rempart Matabiau, 31000 Toulouse
- Contact données personnelles : myexperts@experts-travaux.fr
2. Données traitées
2.1 Apporteurs d'affaires (utilisateurs de l'application)
- Identité : nom, prénom.
- Coordonnées : adresse email, numéro de téléphone.
- Pseudonyme public : un « pseudo-ville » choisi à l'inscription, seul identifiant visible des autres utilisateurs.
- Données de connexion : identifiants techniques de compte, journaux de connexion (horodatages, adresse IP) nécessaires à la sécurité du service.
- Données d'utilisation et de diagnostic : recherches de villes, routes de fonctionnalité appelées, statuts de réponse, erreurs, navigateur et pays approximatif dérivé de l'adresse IP, conservés dans les journaux techniques pour fournir, sécuriser et maintenir le service.
- Données d'activité et financières : affaires apportées, écritures du registre interne de commissions, solde, montants, statuts, horodatages et demandes de versement.
- Données nécessaires au versement et aux obligations déclaratives : avant un versement et lorsque cela est nécessaire, la Société peut recueillir l'identité complète, la date de naissance, l'adresse postale, la résidence fiscale, le numéro d'identification fiscale (NIF), un justificatif raisonnable et l'IBAN d'un compte au nom de l'apporteur. Ces éléments sont recueillis en dehors de l'application et ne figurent pas dans le formulaire mobile de demande de versement. Ils peuvent notamment servir aux obligations déclaratives applicables, dont DAC7 ou DAS2 lorsque celles-ci sont requises.
2.2 Prospects (personnes recommandées par un apporteur)
- Identité et coordonnées : nom, prénom, téléphone et/ou email.
- Localisation du chantier : ville, secteur ou adresse de la zone où les travaux sont envisagés, saisie manuellement par l'apporteur.
- Description du besoin : nature du projet de travaux, informations et texte librement saisis par l'apporteur. L'apporteur ne doit y renseigner aucune donnée sensible.
- Éléments relatifs à l'invitation et au choix direct : demande horodatée de l'apporteur, canal et statut de remise de l'invitation neutre, texte exact présenté et son empreinte, décision du prospect (acceptation, refus, retrait ou expiration), canaux choisis séparément, horodatages et échéance du contact.
- Preuve et prévention des abus : empreinte SHA-256 du jeton à usage contrôlé (le jeton brut n'est pas conservé), empreintes HMAC pseudonymisées de l'adresse IP, du navigateur et des coordonnées, utilisées pour prouver le choix et empêcher des invitations répétées. Les reçus de choix sont conservés dans un registre serveur non modifiable par les utilisateurs.
Les premières données sont fournies indirectement par l'apporteur. Le prospect reçoit alors une invitation neutre, sans offre ni démarchage, qui l'informe de l'origine de ses données, des finalités et de ses droits conformément à l'article 14 du RGPD. Aucun membre de l'équipe commerciale n'accède à la fiche avant que le prospect choisisse lui-même, par une action positive, un ou plusieurs canaux de contact. Il peut refuser, ne pas répondre ou retirer son accord à tout moment depuis le même lien ou par email. Dans ces cas, ses coordonnées et la description sont minimisées et aucun contact commercial n'est autorisé.
2.3 Candidats apporteurs (demande d'accès)
- Identité et coordonnées : nom, prénom, adresse email et numéro de téléphone, saisis dans le formulaire public de demande d'accès.
- Déclaration d'éligibilité : confirmation d'être une personne physique majeure.
- Données techniques anti-abus : l'adresse IP est pseudonymisée par HMAC-SHA-256 avec une clé secrète dédiée afin de limiter le nombre de demandes. L'adresse IP elle-même n'est pas enregistrée dans cette table ; les empreintes âgées de plus de 24 heures sont supprimées lors du traitement de quota suivant. Cloudflare Turnstile protège le formulaire et traite en outre les données décrites à la section 4.
Les mêmes protections anti-abus (Turnstile et empreinte HMAC de l'adresse IP) s'appliquent aux demandes anonymes de récupération de mot de passe.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Création et gestion du compte apporteur, accès à l'application | Exécution du contrat (Conditions Générales d'Utilisation, acceptées à la première connexion) |
| Enregistrement initial et envoi d'une invitation neutre de confirmation | Intérêt légitime à vérifier une recommandation attendue, sous réserve des droits du prospect et sans aucun contenu promotionnel |
| Contact commercial par téléphone et/ou email après le choix direct du prospect | Consentement spécifique au canal concerné ou, dans les cas strictement prévus par la loi, demande expresse de rappel ; retrait possible à tout moment |
| Conservation du texte exact, du choix, des canaux, des horodatages et des empreintes techniques pseudonymisées | Obligation de démontrer la licéité du contact et intérêt légitime à prévenir les abus et défendre les droits de la Société et du prospect |
| Calcul des commissions (2 %), tenue du registre et du solde de commissions, traitement des demandes de versement | Exécution du contrat |
| Envoi d'emails et, lorsque nécessaire, de SMS transactionnels (invitation, information des prospects, notifications liées au compte et aux affaires) | Exécution du contrat |
| Sécurité du service, prévention de la fraude, intégrité du registre interne de commissions | Intérêt légitime |
| Tenue et conservation des écritures comptables | Obligation légale (obligations comptables et fiscales) |
| Vérification de l'identité, exécution des virements et déclarations de commissions à l'administration lorsque la réglementation l'exige, notamment la DAS2 lorsqu'elle est applicable | Exécution du contrat et obligations légales comptables et fiscales |
Aucune donnée n'est vendue ni utilisée à des fins publicitaires. Aucune décision entièrement automatisée produisant des effets juridiques n'est prise : la validation des affaires et le traitement des versements sont réalisés par un opérateur humain.
4. Destinataires et sous-traitants
Les données sont accessibles au personnel habilité du responsable de traitement et aux sous-traitants suivants, dans la stricte mesure nécessaire :
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Supabase | Hébergement de la base de données, de l'authentification et du back-end | France — région Paris (eu-west-3), Union européenne |
| Brevo | Envoi des emails et SMS transactionnels, notamment l'information RGPD des prospects ; données utilisées : coordonnées du destinataire, contenu du message et événements techniques de remise | France / Union européenne |
| Vercel | Hébergement et diffusion de l'application web et de la présente page ; journaux techniques de requêtes (route, statut, adresse IP et navigateur) | Société américaine — voir section 5 (transferts hors UE) |
| Cloudflare (Turnstile) | Protection anti-robot des formulaires publics de demande d'accès et de récupération de mot de passe (finalité : lutte contre les abus). Données traitées : token de challenge, adresse IP et signaux techniques du navigateur | Société américaine — voir section 5 (transferts hors UE) |
Chaque fournisseur n'accède qu'aux données nécessaires à sa mission et est encadré par un contrat imposant des obligations de confidentialité, de sécurité et de protection des données au moins équivalentes à celles appliquées par EXPERTS TRAVAUX.
Pour les versements et obligations déclaratives, les données strictement nécessaires peuvent également être transmises à l'établissement bancaire chargé du virement, au prestataire comptable de la Société s'il intervient, et aux administrations habilitées lorsque la loi l'exige.
5. Transferts hors Union européenne
Les données applicatives (comptes, prospects, registre de commissions) sont hébergées en France (Supabase, région Paris). La diffusion de l'application web s'appuie sur Vercel, société américaine ; les éventuelles données techniques traitées à ce titre (journaux de diffusion) font l'objet des garanties prévues par le RGPD (clauses contractuelles types et/ou cadre de protection des données UE–États-Unis).
Le dispositif anti-robot Cloudflare Turnstile (Cloudflare, société américaine) traite, sur les formulaires publics de demande d'accès et de récupération de mot de passe, le token de challenge, l'adresse IP et des signaux techniques du navigateur ; ce transfert est encadré par les mêmes garanties (clauses contractuelles types et/ou cadre de protection des données UE–États-Unis).
6. Durées de conservation
| Données | Durée |
|---|---|
| Compte apporteur (identité, coordonnées, pseudo-ville) | Durée de la relation contractuelle. Après une demande de suppression : anonymisation immédiate si aucune obligation n'est en cours, ou conservation temporaire jusqu'au règlement des commissions/versements puis anonymisation par l'équipe (voir section 9) |
| Fiches prospects (coordonnées, localisation et description du projet) | Invitation sans réponse : jusqu'à son expiration, puis minimisation. Refus ou retrait : minimisation immédiate. Après acceptation : fenêtre initiale de contact limitée à cinq jours calendaires. Sans réponse positive distincte du prospect pendant cette fenêtre, la fiche est minimisée. Si le prospect répond positivement et engage le traitement de son projet, les données nécessaires au dossier sont conservées pendant ce traitement, puis au maximum 3 ans après le dernier contact. La fermeture du compte apporteur n'efface pas une affaire déjà traitée, mais le lien avec son identité directe est supprimé ou dissocié autant que possible |
| Reçus de choix direct et liste d'opposition pseudonymisée (texte exact, décision, canaux, horodatage et empreintes HMAC) | Au moins 3 ans à compter de chaque décision pour démontrer le choix et respecter durablement un refus ou un retrait ; aucune coordonnée en clair n'est conservée dans la liste d'opposition |
| Demandes d'accès (candidats apporteurs, voir section 2.3) | Le temps du traitement de la demande ; les demandes refusées sont supprimées par l'administrateur au plus tard 12 mois après la décision |
| Empreinte HMAC-SHA-256 d'adresse IP anti-abus (demande d'accès et récupération de mot de passe) | Fenêtre utile d'une heure ; toute ligne âgée de plus de 24 heures est purgée lors du traitement de quota suivant |
| Journaux de connexion, d'utilisation et de diagnostic | 12 mois |
| Écritures comptables du registre interne (anonymisées après suppression du compte) | 10 ans (obligations comptables) — voir clause ci-dessous |
| Identité, adresse, justificatifs et coordonnées bancaires recueillis hors application pour un versement ou une déclaration | Durée nécessaire au versement et au traitement des obligations déclaratives, puis archivage limité à la durée imposée par les obligations comptables, fiscales ou la défense de droits |
| Demandes de suppression différées et preuve de leur traitement | Durée nécessaire au règlement et à la finalisation, puis conservation de la preuve pseudonymisée avec les journaux comptables et d'audit, au maximum 10 ans |
Les échéances ci-dessus sont suivies par le personnel habilité. Lorsqu'aucune purge automatique n'est prévue par le système, une purge ou anonymisation administrative est réalisée à l'échéance. Les données ne sont pas conservées au-delà de la durée indiquée, sauf obligation légale ou litige justifiant une conservation limitée et documentée.
Clause de conservation du registre de commissions. Les commissions sont enregistrées dans un registre comptable interne append-only et à altération détectable : chaque écriture est chaînée à la précédente par HMAC. Une modification ou un effacement rompt la chaîne d'intégrité et est détecté par le vérificateur serveur.
En conséquence, lors de la suppression d'un compte, les écritures comptables ne sont pas effacées : elles sont conservées sous forme pseudonymisée, sans données d'identité directes (nom, prénom, coordonnées) ; subsistent des métadonnées techniques pseudonymisées — identifiant interne, horodatages et montants — dans le journal d'intégrité à altération détectable. Cette conservation est fondée sur :
- l'intérêt légitime du responsable de traitement à garantir l'intégrité du registre, prévenir la fraude et se constituer des preuves en cas de litige ou de précontentieux ;
- les obligations légales comptables et fiscales (conservation des pièces comptables pendant 10 ans, art. L. 123-22 du Code de commerce).
7. Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits :
- d'accès à vos données et d'obtention d'une copie ;
- de rectification des données inexactes ;
- d'effacement, dans les limites décrites à la section 6 (les écritures comptables anonymisées sont conservées au titre de l'article 17.3 du RGPD : obligation légale et constatation, exercice ou défense de droits en justice) ;
- de limitation du traitement ;
- d'opposition, pour les traitements fondés sur l'intérêt légitime ;
- à la portabilité des données que vous avez fournies ;
- de définir des directives relatives au sort de vos données après votre décès.
8. Comment exercer vos droits
Adressez votre demande par email à myexperts@experts-travaux.fr, en précisant le droit exercé et l'adresse email associée à votre compte (ou, pour un prospect, les coordonnées figurant sur votre fiche). Une réponse vous sera apportée dans un délai d'un mois. En cas de doute raisonnable sur votre identité, un justificatif pourra vous être demandé.
9. Suppression de votre compte
Vous pouvez supprimer votre compte apporteur à tout moment, directement depuis l'application (mobile ou web) ou sans l'application. La demande est enregistrée immédiatement. Si aucune obligation financière ou affaire validée n'est en cours, la suppression est finalisée immédiatement. Sinon, une demande différée est conservée de manière idempotente : le compte reste accessible uniquement le temps de régler le solde de commissions, le versement ou la commission en attente. La suppression sera exécutée dès que les opérations en cours seront régularisées. Il n'est pas nécessaire de passer par le support pour initier la demande. Le détail de ce qui est supprimé ou conservé est décrit sur la page dédiée :
Supprimer mon compte Expert Travaux
10. Cookies et traceurs
L'application web et la présente page n'utilisent aucun cookie publicitaire ni traceur de mesure d'audience. Le service utilise uniquement des stockages strictement nécessaires : maintien local de la session authentifiée et cookies techniques HttpOnly, SameSite et de courte durée pour confirmer de façon sûre les liens d'invitation, de récupération et de choix direct du prospect. Ils ne servent ni à la publicité ni à la mesure d'audience et sont exemptés de consentement.
Le dispositif anti-robot Cloudflare Turnstile (formulaires publics de demande d'accès et de récupération de mot de passe, voir sections 4 et 5) peut déposer des traceurs techniques strictement nécessaires à la sécurité du service ; ces traceurs de sécurité sont exemptés de consentement.
Aucun outil de mesure d'audience ni de rapport d'incident n'est actif à ce jour. Si de tels outils venaient à être activés, la présente politique serait mise à jour au préalable.
11. Sécurité
Les données sont protégées par des mesures techniques et organisationnelles adaptées, notamment : chiffrement des échanges (TLS), contrôle d'accès strict aux données côté serveur, cloisonnement des rôles, registre de commissions à chaînage cryptographique et hébergement des données applicatives dans l'Union européenne.
12. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés à myexperts@experts-travaux.fr, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : Commission Nationale de l'Informatique et des Libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
13. Mise à jour de la politique
La présente politique peut être mise à jour pour refléter l'évolution du service ou de la réglementation. La date de dernière mise à jour figure en haut de page ; en cas de changement substantiel, les utilisateurs en seront informés.