Article 1 Responsable et portée
Le responsable du traitement pour l’exploitation des comptes, des missions et des fonctions administratives de ProRelais est Guillaume MEAVILLA, entrepreneur individuel, SIREN 912 571 791, exerçant sous le nom commercial Meavia Solutions, à étage 3, appartement 301, avenue Pasteur, 74800 La Roche-sur-Foron, contact : info@prorelais.fr. Les entreprises A et B peuvent avoir leurs propres responsabilités de traitement concernant les données de leurs salariés, représentants et clients finaux. Leur répartition exacte doit être documentée pour les contenus de chantier.
Article 2 Catégories de données
Selon l’usage, les données traitées comprennent : nom et coordonnées du représentant ; adresse e-mail et identifiant de compte ; informations publiques d’entreprise et SIRET ; éléments de vérification professionnelle ; données de connexion et de sécurité ; contenu des missions, messages, pièces jointes, comptes rendus et preuves ; demandes de support et dossiers de litige ; informations de facturation et identifiants techniques d’opérations de paiement ; avis et évaluations entre professionnels.
ProRelais ne demande pas au client final de créer un compte. Les entreprises doivent limiter les données personnelles du client final qu’elles chargent à ce qui est nécessaire à la prestation, à la preuve et au règlement d’un différend.
Article 3 Finalités et fondements
Les données sont utilisées pour : créer et gérer les comptes et fournir les services contractuels ; vérifier l’éligibilité professionnelle ; organiser les missions et conserver la preuve de leurs acceptations ; traiter les paiements et satisfaire aux obligations légales ; prévenir les fraudes, sécuriser l’accès et gérer les abus ; répondre aux demandes et aux litiges ; respecter les obligations fiscales, comptables et de conservation. Les fondements reposent, selon la finalité, sur l’exécution du contrat, une obligation légale ou l’intérêt légitime documenté de l’Exploitant.
La prospection commerciale et les traceurs non essentiels doivent faire l’objet du régime d’information et de consentement applicable. Aucun consentement à la prospection ne doit être déduit de la simple création d’un compte ou de l’acceptation de la mission.
Article 4 Destinataires et sous-traitants techniques
Les membres d’une mission accèdent aux informations nécessaires à celle-ci ; les administrateurs habilités interviennent pour la sécurité, le support et les litiges selon leurs droits. Fly.io héberge l’application à Paris (cdg) ; Supabase fournit l’authentification, la base et les fichiers dans la région Paris (eu-west-3) ; Resend assure les e-mails d’authentification configurés. Stripe traite les paiements et les vérifications des comptes de versement lorsque ces fonctions sont activées. Les prestataires agissent selon leurs conditions et accords de traitement des données ; certains traitements de support et transferts peuvent avoir lieu hors EEE, avec les garanties décrites dans leurs accords de protection des données. Le choix d’une région Paris ne signifie pas que tous leurs traitements restent en France.
Les coordonnées du client final ne sont pas destinées à être rendues publiques. Les photos et vidéos de mission sont réservées aux personnes habilitées et ne deviennent pas des images promotionnelles par défaut.
Article 5 Conservation des données
Comptes : les données utiles sont conservées pendant l’utilisation du service. Après trois ans sans connexion ni mission en cours, le compte est proposé à la clôture, avec un préavis de trente jours adressé au titulaire. La fermeture entraîne la suppression ou l’anonymisation des données de profil non nécessaires ; elle ne supprime pas les pièces soumises à une conservation distincte. Une demande de fermeture peut être formulée avant ce délai.
Missions, contrats et consentements : le contrat, sa version, son empreinte, les acceptations horodatées et les seules preuves nécessaires sont archivés avec accès restreint pendant cinq ans après la fin de la relation contractuelle. Pour les travaux immobiliers susceptibles de relever des responsabilités des constructeurs et sous-traitants, ces pièces sont conservées dix ans à compter de la réception des travaux documentée. Si ce point de départ est inconnu ou contesté, le dossier fait l’objet d’une revue motivée au moins annuelle ; aucune conservation indéfinie par défaut n’est autorisée.
Messages et pièces jointes ordinaires : suppression ou anonymisation douze mois après la clôture de la mission ou de la demande de support. Seuls les échanges et fichiers identifiés comme nécessaires à la preuve d’un engagement, d’une réception, d’un paiement ou d’un litige rejoignent l’archive correspondante. Les photos et vidéos non nécessaires ne sont pas conservées dix ans par principe.
Sécurité : les journaux applicatifs d’authentification, d’accès sensibles et d’intervention administrative sont conservés six mois. Ils contiennent les identifiants techniques, dates, opérations et références utiles, jamais les mots de passe, codes MFA, clés API ou contenus complets des conversations. Les traces techniques transitoires des hébergeurs peuvent avoir une durée plus courte ; seuls les événements nécessaires à un incident sont extraits et conservés dans son dossier.
Facturation : les factures, avoirs et pièces comptables nécessaires sont archivés dix ans à compter de la clôture de l’exercice concerné. ProRelais conserve les références Stripe utiles au rapprochement ; les numéros complets de carte et cryptogrammes ne sont pas stockés dans ProRelais.
Litiges et obligations particulières : seules les pièces nécessaires peuvent être conservées au-delà du délai ordinaire pour une procédure, une obligation légale ou la défense d’un droit. Le motif, le périmètre et la prochaine revue sont consignés. La revue intervient au moins annuellement et à la clôture du dossier ; la conservation cesse lorsque les délais applicables et les besoins de recours ou d’exécution sont expirés.
Les échéances font l’objet d’une revue mensuelle par l’exploitant. Les archives sont accessibles aux seules personnes habilitées. Les sauvegardes techniques suivent leur propre rotation courte et ne remplacent pas l’archive métier ; après restauration, les demandes d’effacement et restrictions déjà enregistrées sont réappliquées avant réouverture. Aucun dispositif de suppression automatique générale n’est présumé par cette politique.
Article 6 Droits des personnes
Toute personne concernée peut exercer, selon les conditions prévues par le RGPD, ses droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité lorsque celle-ci est applicable, en écrivant à info@prorelais.fr. Elle peut également introduire une réclamation auprès de la CNIL. L’exercice d’un droit peut être limité lorsqu’une obligation légale de conservation ou un autre motif légal le justifie ; une réponse motivée est alors communiquée.
Article 7 Sécurité, incidents et évolution
L’Exploitant met en place des mesures adaptées : droits d’accès individuels, authentification renforcée des administrateurs, limitation des accès aux dossiers, stockage privé des justificatifs, journalisation utile et procédures de gestion des incidents. La politique est mise à jour si les usages, prestataires ou traitements évoluent substantiellement. Une information appropriée est donnée lorsque la réglementation l’exige.