Politique de confidentialité
Dernière mise à jour : 2026-07-15 Version : 1.1
1. Identité du responsable de traitement
TakeMe, SASU au capital de 15 000 €, dont le siège social est situé 229 rue de Solférino, 59800 Lille (SIREN 993 936 350), représentée par son président Valentin Drygas.
Contact : privacy@take-me.fr
2. Données collectées
2.1 Données fournies directement par l'utilisateur
- Identité : email, mot de passe (hashé), prénom, nom, date de naissance
- Profil freelance : photo, bio, métier, portfolio, tarifs indicatifs, zone de déplacement (géolocalisation)
- Profil client : prénom, ville
- Communications : messages échangés avec d'autres utilisateurs, signalements
- Missions : titre, description, budget, dates, avis donnés/reçus
2.2 Données collectées automatiquement
- Logs techniques : adresse IP (anonymisée), navigateur, OS
- Cookies analytiques (avec consentement explicite uniquement) : pages visitées, temps de session
2.3 Données Google Agenda (connexion optionnelle)
Si un freelance choisit de connecter son compte Google Agenda depuis les Paramètres (fonctionnalité facultative), TakeMe accède en lecture seule aux plages horaires occupées de son agenda principal (« primary »), via l'API Google Calendar freeBusy et le champ d'application https://www.googleapis.com/auth/calendar.readonly. TakeMe n'accède jamais au titre, à la description, aux participants ni à aucun autre contenu des événements — uniquement aux intervalles « occupé / libre ». Le détail de ce traitement est décrit à la section 7.
3. Finalités
| Finalité | Base légale RGPD |
|---|---|
| Création et gestion du compte | Exécution du contrat (art. 6.1.b) |
| Mise en relation client/freelance | Exécution du contrat |
| Modération et sécurité | Intérêt légitime (art. 6.1.f) |
| Analytics et amélioration produit | Consentement (art. 6.1.a) |
| Communications transactionnelles (emails missions) | Exécution du contrat |
| Synchronisation des disponibilités (Google Agenda) | Consentement (art. 6.1.a) |
| Réponse aux obligations légales | Obligation légale (art. 6.1.c) |
4. Durée de conservation
- Données de compte : durée de la relation contractuelle + 3 ans après suppression
- Logs de connexion : 12 mois
- Données de mission : 5 ans (obligations comptables)
- Cookies analytiques : 13 mois max (CNIL)
- Plages occupées Google Agenda : conservation transitoire (fenêtre glissante de 8 semaines), rafraîchies à chaque synchronisation et supprimées à la déconnexion de l'agenda
5. Destinataires
- Équipe TakeMe (accès limité)
- Supabase (hébergement, UE — Allemagne)
- Resend (email transactionnel, UE)
- Sentry (monitoring erreurs, UE)
- PostHog (analytics, UE — avec consentement)
- Mapbox (cartographie, USA — données minimisées : coordonnées seulement)
- Mistral AI (interprétation du texte de recherche, UE — voir section 8)
- OpenAI (secours pour l'interprétation du texte de recherche, USA — voir section 8)
Les données Google Agenda (section 2.3) ne sont partagées avec aucun de ces destinataires ni avec aucun autre tiers (voir section 7).
6. Transferts hors UE
- Mapbox est hébergé aux États-Unis. Les seules données transmises sont les coordonnées géographiques nécessaires à l'affichage cartographique. Garanties contractuelles : Standard Contractual Clauses (SCC) Mapbox.
- OpenAI (utilisé uniquement en secours de Mistral) est hébergé aux États-Unis. Les seules données transmises sont le texte de recherche saisi par l'utilisateur (voir section 8). Garanties contractuelles : Standard Contractual Clauses (SCC).
Aucune donnée Google Agenda n'est transférée hors UE (ni dans l'UE à un tiers) : elle est stockée uniquement chez Supabase (UE).
7. Données de l'API Google Workspace (Google Agenda) : accès, partage et « Limited Use »
- Données concernées : uniquement les plages horaires « occupé » (busy) de l'agenda principal du freelance, obtenues via l'API
freeBusyde Google Calendar avec le champ d'applicationhttps://www.googleapis.com/auth/calendar.readonly(lecture seule). Aucun contenu d'événement (titre, description, invités, lieu) n'est lu ni stocké. - Finalité unique : marquer les créneaux correspondants comme indisponibles dans les disponibilités du freelance, afin d'éviter les doubles réservations.
- Avec qui ces données sont partagées, transférées ou divulguées : avec personne en dehors de TakeMe. Elles sont stockées uniquement dans notre base de données Supabase (hébergée dans l'UE) et ne sont jamais transmises à un tiers — ni à Mapbox, PostHog, Resend, Sentry, Mistral, OpenAI, ni à un quelconque autre service ou service d'intelligence artificielle.
- Aucun entraînement d'IA/ML : ces données ne sont jamais utilisées, transférées ni vendues pour créer, entraîner ou améliorer des modèles d'intelligence artificielle ou de machine learning, qu'ils soient généralistes ou spécialisés.
- Révocation : le freelance peut déconnecter son agenda à tout moment depuis les Paramètres ; les plages occupées correspondantes sont alors supprimées.
- Déclaration « Limited Use » : TakeMe's use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Google Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.
8. Traitements par intelligence artificielle (IA/ML)
TakeMe utilise des modèles d'IA pour une seule finalité : interpréter le texte libre de recherche saisi par un client (ainsi que les demandes de nouveaux métiers) afin d'en extraire le métier, la ville et le budget recherchés.
- Prestataires : Mistral AI (
mistral-small-latest, hébergé dans l'UE) en principal ; OpenAI (gpt-4o-mini) en secours lorsque Mistral est indisponible. L'accès se fait via leurs API commerciales payantes (« pay-as-you-go »). - Données transmises : uniquement le texte de recherche ou la demande de métier saisis par l'utilisateur. Aucune donnée Google Agenda, aucune donnée d'agenda, ni aucun contenu Google Workspace n'est jamais transmis à ces services.
- Pas d'entraînement : conformément aux conditions d'utilisation des API de Mistral et d'OpenAI, les données envoyées via leur API ne sont pas utilisées pour entraîner leurs modèles.
9. Vos droits RGPD
Vous disposez des droits suivants :
- Accès : connaître les données traitées (export JSON disponible dans /parametres)
- Rectification : modifier vos données via votre profil
- Effacement : supprimer votre compte (délai de grâce 30 jours, hard-delete ensuite)
- Portabilité : export JSON disponible dans /parametres
- Opposition : refus des cookies analytiques (bannière de consentement)
- Limitation : sur demande à privacy@take-me.fr
- Retrait du consentement : à tout moment via /parametres (y compris la déconnexion de Google Agenda)
Pour exercer ces droits : privacy@take-me.fr. Réponse sous 1 mois.
Réclamation : CNIL — https://www.cnil.fr/fr/plaintes
10. Sécurité
- Mots de passe hashés (bcrypt)
- HTTPS obligatoire
- RLS Postgres (Row-Level Security) sur toutes les tables
- 2FA pour les administrateurs
11. Mineurs
L'inscription est réservée aux personnes majeures (18 ans révolus). Tout compte d'un mineur sera supprimé sur signalement.
12. Cookies
Catégories :
- Nécessaires : session auth (toujours actifs)
- Analytiques : PostHog (opt-in)
13. Modifications
Cette politique peut évoluer. Notification par email pour modifications substantielles.