⚠️ Version provisoire — en cours de revue juridique. Ce document sera finalisé avant le lancement.
Date d'entrée en vigueur : {{EFFECTIVE_DATE}}
1. Qui est responsable de vos données
Le responsable du traitement est {{COMPANY_LEGAL_NAME}} ({{COMPANY_LEGAL_FORM}}), NIF {{COMPANY_NIF}}, dont le siège social est situé {{REGISTERED_ADDRESS}}, immatriculée au {{MERCANTILE_REGISTRY}}. Pour toute question de confidentialité, vous pouvez écrire à {{PRIVACY_EMAIL}}.
Nous avons désigné un Délégué à la protection des données (DPO) : {{DPO_NAME}}, joignable à {{DPO_EMAIL}}.
Octo Services est une place de marché intermédiaire : nous mettons en relation des clients qui recherchent un service avec des prestataires professionnels vérifiés dans des destinations espagnoles. Nous ne traitons jamais le paiement du service lui-même entre un client et un prestataire.
2. Quelles données nous traitons et pourquoi (finalités et bases légales)
| Activité de traitement | Base légale (art. 6 RGPD) |
|---|---|
| Création de compte, mise en relation, livraison de leads, messagerie, devis et engagements | Exécution d'un contrat — art. 6(1)(b) |
| Vérification documentaire du prestataire, facturation et obligations fiscales espagnoles (TVA) | Obligation légale — art. 6(1)(c) (avec contrat) |
| Lutte contre l'abus et la fraude et journalisation d'audit de sécurité | Intérêt légitime — art. 6(1)(f) |
| E-mails marketing et actualités produit | Consentement — art. 6(1)(a), opt-in et révocable |
| Documents d'identité et d'assurance du prestataire | Contrat + obligation légale ; données sensibles à accès restreint |
Le consentement marketing est décoché par défaut et peut être retiré à tout moment sans affecter la licéité des traitements antérieurs.
3. Catégories de données et personnes concernées
- Clients : données d'identité et de contact, contenu des demandes de service et réponses aux formulaires dynamiques, estimations, messages, avis.
- Prestataires : données d'identité et de contact, informations d'entreprise, zones de couverture et disponibilités, documents d'identité et d'assurance/immatriculation, achats de leads, devis, données d'abonnement et de facturation.
- Tous les utilisateurs : données d'authentification, enregistrements de consentement, données techniques/appareil et journaux d'audit.
Les coordonnées du client sont cloisonnées : un prestataire ne peut pas voir comment contacter un client tant qu'il n'a pas payé les frais de déblocage du lead.
4. Destinataires et sous-traitants
Nous faisons appel aux sous-traitants suivants, tous hébergeant les données personnelles au sein de l'UE/EEE : Supabase (base de données, région UE), Vercel (hébergement/fonctions, région UE), Cloudflare R2 (stockage de documents, bucket UE), Brevo (e-mails transactionnels, UE), Stripe Payments Europe (paiements, Irlande) et Inngest (tâches d'arrière-plan).
Transfert international : notre fonction d'estimation utilise OpenAI (États-Unis) pour lire les devis téléversés. Il s'agit d'un transfert vers un pays tiers, encadré par un accord de traitement des données et, le cas échéant, par le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework) et/ou des clauses contractuelles types, avec minimisation des données : seuls l'image du devis et les valeurs numériques extraites sont transmis — jamais les noms, coordonnées ou documents d'identité des clients.
Nous ne vendons pas vos données personnelles.
5. Combien de temps nous conservons vos données
Nous ne conservons les données personnelles que le temps nécessaire à la finalité. Les messages, notifications, jetons push et sessions sont supprimés lorsqu'ils ne sont plus nécessaires. Les documents d'identité et d'assurance sont supprimés une fois leur finalité atteinte. Les documents financiers (factures, achats de leads, commissions) sont anonymisés et conservés — nous coupons le lien avec vous mais gardons les montants et champs fiscaux — afin de respecter le droit fiscal et comptable espagnol. Les avis sont conservés avec un auteur dé-identifié ; les journaux d'audit sont conservés sous forme pseudonymisée pour la sécurité.
6. Traitement automatisé et scoring des prestataires
Pour associer une demande à des prestataires, nous calculons un score composite (note, taux d'acceptation/de réponse, bonus premium, équité/rotation, ancienneté) selon des pondérations définies par nos administrateurs. Ce score classe et présélectionne les prestataires ; il ne produit pas de décision ayant un effet juridique ou similairement significatif à votre égard, et une personne reste dans la boucle. Les prestataires peuvent demander une explication des critères utilisés.
7. Vos droits
Vous pouvez exercer les droits d'accès, de portabilité (export des données), de rectification, d'effacement, de limitation, d'opposition et de retrait du consentement à tout moment — depuis les paramètres de votre compte ou en écrivant à {{PRIVACY_EMAIL}} ou au DPO à {{DPO_EMAIL}}. L'effacement est assuré en supprimant les données personnelles autonomes et en anonymisant les enregistrements que nous devons conserver par la loi.
Si vous estimez que vos droits n'ont pas été respectés, vous pouvez introduire une réclamation auprès de l'Agence espagnole de protection des données (AEPD, www.aepd.es).
8. Modifications
Nous pouvons mettre à jour cette politique ; les versions sont datées et archivées, et les changements substantiels sont notifiés. Cette version provisoire est en vigueur depuis le {{EFFECTIVE_DATE}}.