Politique de confidentialité

Dernière mise à jour : 2026-10-09 Version : 1.4

1. Identité du responsable de traitement

TakeMe, SASU au capital de 15 000 €, dont le siège social est situé 229 rue de Solférino, 59800 Lille (SIREN 993 936 350), représentée par son président Valentin Drygas.

Contact : privacy@take-me.fr

2. Données collectées

2.1 Données fournies directement par l'utilisateur

• Identité : email, mot de passe (hashé), prénom, nom, date de naissance
• Profil freelance : photo, bio, métier, portfolio, tarifs indicatifs, zone de déplacement (géolocalisation)
• Informations professionnelles (freelance) : numéro SIREN et raison sociale, liens vers les réseaux sociaux et autres liens externes, lien Calendly
• Profil client : prénom, ville
• Client entreprise : nom de la société, site web, logo
• Facturation (freelance) : forme juridique, numéro de TVA intracommunautaire, régime de TVA, capital social, immatriculation (RCS/RM), adresse de facturation, IBAN et BIC
• Devis et factures : documents émis par le freelance, comportant les coordonnées des deux parties (nom ou raison sociale, SIREN, numéro de TVA, adresse) et, pour les factures, l'IBAN et le BIC du freelance
• Paiements et abonnements : formule, statut et échéance de l'abonnement, identifiants client et abonnement attribués par Stripe, ou, pour un abonnement souscrit dans l'application mobile, identifiants de transaction attribués par Apple ou Google ; montant des paiements séquestrés d'une mission et références de transaction attribuées par Stripe. TakeMe ne reçoit ni ne conserve jamais les données de carte bancaire.
• Vérification d'identité (freelance) : statut et niveau de vérification, identifiants attribués par Stripe. Les pièces d'identité sont transmises directement à Stripe et conservées par Stripe, pas par TakeMe.
• Communications : messages échangés avec d'autres utilisateurs, signalements
• Missions : titre, description, budget, dates, avis donnés/reçus
• Avis : note (1 à 5 étoiles), commentaire, réponse du freelance
• Fichiers : fichiers échangés dans les conversations et fichiers déposés dans l'espace de fichiers intégré à TakeMe (distinct de Google Drive)

2.2 Données collectées automatiquement

• Logs techniques : adresse IP (anonymisée), navigateur, OS
• Mesure d'audience (PostHog, avec consentement explicite uniquement), sur le site web et l'application mobile : pages ou écrans consultés, temps de session, sans identification nominative
• Diagnostic : rapports d'erreur, de plantage et de performance transmis à Sentry, sans adresse email ni adresse IP
• Notifications push (application mobile) : jeton de notification de l'appareil, plateforme (iOS ou Android) et langue de l'appareil
• Usage de la plateforme : vues de profil (profil consulté, auteur de la consultation, date), dernière connexion, indicateurs du score méritocratique (réactivité, satisfaction, fiabilité, performance), pénalités de visibilité
• Position de l'appareil (avec votre autorisation) : utilisée ponctuellement pour centrer la carte et pour la recherche « Autour de moi », qui la convertit en nom de ville ; elle n'est pas conservée

2.3 Données Google Agenda (connexion optionnelle)

Si un freelance choisit de connecter son compte Google Agenda depuis les Paramètres (fonctionnalité facultative), TakeMe accède en lecture seule aux plages horaires occupées de son agenda principal (« primary »), via l'API Google Calendar freeBusy et le champ d'application https://www.googleapis.com/auth/calendar.readonly. TakeMe n'accède jamais au titre, à la description, aux participants ni à aucun autre contenu des événements — uniquement aux intervalles « occupé / libre ». TakeMe lit également l'adresse e-mail du compte Google connecté (champ d'application https://www.googleapis.com/auth/userinfo.email), afin d'indiquer au freelance quel compte est relié. Le détail de ce traitement est décrit à la section 7.

2.4 Données Calendly (connexion optionnelle)

Si un freelance choisit de connecter son compte Calendly depuis les Paramètres (fonctionnalité facultative), TakeMe lit l'adresse email du compte Calendly et les heures de début et de fin de ses rendez-vous planifiés, afin de marquer les créneaux correspondants comme indisponibles. Aucun autre contenu des rendez-vous n'est conservé.

3. Finalités

4. Durée de conservation

• Données de compte : jusqu'à la suppression du compte. Dès la demande, le compte est masqué (profil retiré de la carte et des recherches) ; il est supprimé définitivement 30 jours plus tard, délai pendant lequel la demande peut être annulée. Seules restent ensuite les données ci-dessous que la loi impose de garder
• Comptes inactifs : un compte sans aucune activité (connexion ou utilisation du site ou de l'application) pendant 12 mois est supprimé définitivement. Un e-mail prévient 30 jours avant ; se connecter avant cette date suffit à le conserver. Les comptes ayant une mission ou un paiement en cours, ou un abonnement actif, ne sont pas concernés
• Logs de connexion : 12 mois
• Données de mission : 5 ans (obligations comptables) ; après la suppression d'un compte, la personne supprimée y est anonymisée
• Factures : 10 ans (conservation des pièces comptables, article L123-22 du Code de commerce)
• Cookies analytiques : 13 mois max (CNIL)
• Plages occupées Google Agenda : conservation transitoire (fenêtre glissante de 8 semaines), rafraîchies à chaque synchronisation et supprimées à la déconnexion de l'agenda
• Adresse e-mail du compte Google connecté : conservée tant que l'agenda est connecté, supprimée à sa déconnexion
• Plages occupées Calendly : même règle que Google Agenda

5. Destinataires

• Équipe TakeMe (accès limité)
• Supabase (hébergement, UE — Allemagne)
• Resend (email transactionnel, UE)
• Sentry (monitoring erreurs, UE)
• PostHog (analytics, UE — avec consentement)
• Mapbox (cartographie, USA — données minimisées : coordonnées, et ville ou adresse saisie pour la recherche de lieu)
• Mistral AI (interprétation du texte de recherche et modération des avis, UE — voir section 8)
• OpenAI (secours de Mistral AI pour ces mêmes traitements, USA — voir section 8)
• Apple (App Store) et Google (Google Play) : paiement des abonnements souscrits dans l'application mobile (achat intégré). Le paiement est réalisé par Apple ou Google ; TakeMe ne reçoit ni les données de carte ni l'identité du moyen de paiement, seulement le statut de l'abonnement.
• RevenueCat (suivi des abonnements souscrits dans l'application mobile : identifiant TakeMe du compte, produit acheté, statut, dates de début et de fin, pays du store)
• Stripe (paiement des abonnements, paiement séquestré des missions et vérification d'identité des freelances, sur des pages hébergées par Stripe ; TakeMe n'a jamais accès aux données de carte bancaire ni aux pièces d'identité)
• Cloudflare R2 (stockage des fichiers échangés dans les conversations et de l'espace de fichiers, hébergé dans l'UE)
• Expo (acheminement des notifications push vers les appareils iOS et Android : jeton de l'appareil et texte de la notification)
• Calendly (synchronisation optionnelle des disponibilités, à l'initiative du freelance — voir section 2.4)
• API Recherche d'entreprises (recherche-entreprises.api.gouv.fr, service public de l'État : vérification du numéro SIREN)

Les données Google Agenda (section 2.3) ne sont partagées avec aucun de ces destinataires ni avec aucun autre tiers (voir section 7).

6. Transferts hors UE

• Mapbox est hébergé aux États-Unis. Les seules données transmises sont les coordonnées géographiques nécessaires à l'affichage cartographique, et la ville ou l'adresse saisie lors d'une recherche de lieu. Garanties contractuelles : Standard Contractual Clauses (SCC) Mapbox.
• OpenAI (utilisé uniquement en secours de Mistral) est hébergé aux États-Unis. Les seules données transmises sont le texte de recherche saisi par l'utilisateur et le texte des avis à modérer (voir section 8). Garanties contractuelles : Standard Contractual Clauses (SCC).
• Stripe : le contrat est conclu avec Stripe Payments Europe (Irlande), mais certaines données peuvent être transférées à Stripe, Inc. aux États-Unis. Données concernées : adresse email du compte, informations saisies sur les pages de paiement hébergées par Stripe et, pour les freelances, informations et pièces transmises à Stripe pour la vérification d'identité et le versement des paiements. Garanties : Data Privacy Framework UE–États-Unis et Standard Contractual Clauses (SCC).
• RevenueCat (RevenueCat, Inc.) est hébergé aux États-Unis. Données transmises : identifiant TakeMe du compte et informations d'abonnement issues de l'App Store et de Google Play (produit, statut, dates). Garanties : Data Privacy Framework UE–États-Unis et Standard Contractual Clauses (SCC).
• Expo (acheminement des notifications push) est hébergé aux États-Unis. Données transmises : jeton de notification de l'appareil et contenu de la notification. Garanties contractuelles : Standard Contractual Clauses (SCC).

Aucune donnée Google Agenda n'est transférée hors UE (ni dans l'UE à un tiers) : elle est stockée uniquement chez Supabase (UE).

7. Données de l'API Google Workspace (Google Agenda) : accès, partage et « Limited Use »

• Données concernées : les plages horaires « occupé » (busy) de l'agenda principal du freelance, obtenues via l'API freeBusy de Google Calendar avec le champ d'application https://www.googleapis.com/auth/calendar.readonly (lecture seule), et l'adresse e-mail du compte Google connecté (champ d'application https://www.googleapis.com/auth/userinfo.email), utilisée uniquement pour indiquer au freelance quel compte est relié. Aucun contenu d'événement (titre, description, invités, lieu) n'est lu ni stocké.
• Finalité unique : marquer les créneaux correspondants comme indisponibles dans les disponibilités du freelance, afin d'éviter les doubles réservations.
• Avec qui ces données sont partagées, transférées ou divulguées : avec personne en dehors de TakeMe. Elles sont stockées uniquement dans notre base de données Supabase (hébergée dans l'UE) et ne sont jamais transmises à un tiers — ni à Mapbox, PostHog, Resend, Sentry, Mistral, OpenAI, ni à un quelconque autre service ou service d'intelligence artificielle.
• Aucun entraînement d'IA/ML : ces données ne sont jamais utilisées, transférées ni vendues pour créer, entraîner ou améliorer des modèles d'intelligence artificielle ou de machine learning, qu'ils soient généralistes ou spécialisés.
• Révocation : le freelance peut déconnecter son agenda à tout moment depuis les Paramètres ; les plages occupées correspondantes sont alors supprimées.
• Déclaration « Limited Use » : TakeMe's use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Google Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

8. Traitements par intelligence artificielle (IA/ML)

TakeMe utilise des modèles d'IA pour deux finalités :

• interpréter le texte libre de recherche saisi par un client (ainsi que les demandes de nouveaux métiers) afin d'en extraire le métier, la ville et le budget recherchés ;

• modérer les avis : le texte d'un avis et sa note sont analysés pour signaler un contenu suspect (coordonnées, insultes, spam, hors-sujet). Le résultat annote seulement la file de modération : la décision de publier ou de refuser un avis reste prise par un membre de l'équipe TakeMe.

• Prestataires : Mistral AI (mistral-small-latest, hébergé dans l'UE) en principal ; OpenAI (gpt-4o-mini) en secours lorsque Mistral est indisponible. L'accès se fait via leurs API commerciales payantes (« pay-as-you-go »).

• Données transmises : uniquement le texte de recherche ou la demande de métier saisis par l'utilisateur, et le texte et la note des avis à modérer. Aucune donnée Google Agenda, aucune donnée d'agenda, ni aucun contenu Google Workspace n'est jamais transmis à ces services.

• Pas d'entraînement : conformément aux conditions d'utilisation des API de Mistral et d'OpenAI, les données envoyées via leur API ne sont pas utilisées pour entraîner leurs modèles.

• Votre accord : rien n'est transmis à ces services sans votre accord explicite, demandé au premier usage de chaque fonction (recherche intelligente, avis, demande de métier). Vous pouvez le retirer à tout moment dans Paramètres > Sécurité. Sans accord, la recherche par filtres reste disponible, votre avis est relu uniquement par notre équipe, et vous choisissez votre métier dans la liste.

9. Vos droits RGPD

Vous disposez des droits suivants :

• Accès : connaître les données traitées (export JSON disponible dans /parametres)
• Rectification : modifier vos données via votre profil
• Effacement : supprimer votre compte depuis l'application ou /parametres (compte masqué immédiatement, suppression définitive au bout de 30 jours)
• Portabilité : export JSON disponible dans /parametres
• Opposition : refus des cookies analytiques (bannière de consentement)
• Limitation : sur demande à privacy@take-me.fr
• Retrait du consentement : à tout moment via /parametres (y compris la déconnexion de Google Agenda)

Pour exercer ces droits : privacy@take-me.fr. Réponse sous 1 mois.

Réclamation : CNIL — https://www.cnil.fr/fr/plaintes

10. Sécurité

• Mots de passe hashés (bcrypt)
• HTTPS obligatoire
• RLS Postgres (Row-Level Security) sur toutes les tables
• 2FA pour les administrateurs

11. Mineurs

L'inscription est réservée aux personnes majeures (18 ans révolus). Tout compte d'un mineur sera supprimé sur signalement.

12. Cookies

Catégories :

• Nécessaires : session auth (toujours actifs)
• Analytiques : PostHog (opt-in)

13. Modifications

Cette politique peut évoluer. Notification par email pour modifications substantielles.