Politique de Confidentialité

1.1 Identité

1.2 Délégué à la Protection des Données (DPO)

NegoLink a désigné un Délégué à la Protection des Données qui peut être contacté pour toute question relative au traitement des données personnelles ou à l'exercice des droits des personnes :

• Email : juridique@negolink.fr
• Courrier : RABOEUF & PARTNERS — DPO — 4 rue Louise Weiss — 37550 Saint-Avertin

2.1 Catégories de données collectées

2.1.1 Données d'identification

• nom et prénom (ou raison sociale) ;
• date de naissance (personnes physiques) ;
• numéro SIRET (personnes morales).

2.1.2 Coordonnées de contact

• adresse postale, email, numéro de téléphone (fixe et/ou mobile).

2.1.3 Données de connexion et de navigation

• adresse IP, type et version du navigateur, OS et terminal, pages consultées, durée de visite, parcours sur la Plateforme, date et heure des connexions.

2.1.4 Données relatives aux Mandats

• description du besoin de négociation (transaction one-shot dans les Verticales V1) ;
• pièces téléversées (devis, factures, contrats) ;
• échanges de messagerie avec le Négociateur ;
• résultat du Mandat (Succès / Échec, montant de l'économie).

2.1.5 Données de vérification d'identité (le cas échéant)

• photo de la pièce d'identité (collectée par Stripe Identity, non stockée par NegoLink) ;
• selfie de vérification (idem) ;
• justificatifs de domicile pour les Mandats > 1 000 € d'économie cible.

2.1.6 Données de paiement

NegoLink ne stocke aucune donnée bancaire. Les coordonnées de paiement sont collectées et traitées exclusivement par Stripe Payments Europe Ltd, prestataire certifié PCI-DSS.

2.1.7 Données de communication

• contenu des messages avec le service client (email, formulaire) ;
• enregistrements éventuels d'appels (avec annonce préalable) ;
• avis et évaluations laissés sur les Négociateurs.

2.1.8 Données techniques de sécurité

• tentatives de connexion (réussies et échouées) ;
• alertes de sécurité ;
• événements suspects (ex. plusieurs adresses IP sur un même Compte).

2.2 Données sensibles

NegoLink ne collecte pas de données sensibles au sens de l'article 9 RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, biométriques, de santé, vie sexuelle ou orientation sexuelle). Toute donnée sensible communiquée par erreur sera supprimée dans les meilleurs délais.

2.3 Données concernant les mineurs

Les services de NegoLink ne sont pas destinés aux mineurs (personnes de moins de 18 ans). NegoLink ne collecte pas sciemment de données personnelles concernant des mineurs. Si un parent ou tuteur découvre qu'un mineur a fourni des données, il peut contacter juridique@negolink.fr pour demander leur effacement immédiat.

3.1 Profilage et décisions automatisées

NegoLink utilise un algorithme de matching pour proposer des Négociateurs au Client. Cet algorithme repose sur des critères pondérés (compétences, disponibilité, historique, note). Il ne constitue pas une décision automatisée produisant des effets juridiques au sens de l'article 22 RGPD : le Client conserve toujours la liberté de choisir le Négociateur avec lequel il signe le Mandat.

4.1 Destinataires internes

Les données sont accessibles, sur la base du strict besoin d'en connaître, aux personnes habilitées au sein de NegoLink : équipe support client, équipe produit et développement, équipe juridique et compliance, direction générale. Tous les collaborateurs sont soumis à un engagement de confidentialité.

4.2 Destinataires externes — Sous-traitants RGPD

NegoLink fait appel à des sous-traitants au sens de l'article 28 RGPD, encadrés par des Data Processing Agreements (DPA) garantissant un niveau de protection conforme :

Tous les transferts hors UE sont encadrés par des clauses contractuelles types validées par la Commission européenne (décision d'exécution (UE) 2021/914), complétées le cas échéant par des mesures supplémentaires (chiffrement, pseudonymisation, anonymisation des logs).

4.3 Destinataires externes — Cas particuliers

• Négociateurs : reçoivent les informations du Mandat strictement nécessaires à son exécution, sous engagement de confidentialité de 5 ans.
• Cabinet Duvivier (avocats) : peut recevoir des données dans le cadre d'un contentieux, sous secret professionnel.
• Médiateur conso CM2C : reçoit les données du Mandat litigieux en cas de saisine, dans les conditions de l'article L612-1 du Code de la consommation.
• Autorités publiques et judiciaires : sur demande motivée et fondée légalement (réquisitions, commissions rogatoires, ACPR, CNIL, DGCCRF, URSSAF).

4.4 Liste actualisée des sous-traitants

La liste complète et actualisée des sous-traitants est disponible sur demande à juridique@negolink.fr. Toute modification substantielle est notifiée aux Utilisateurs avec un préavis de 30 jours.

6.1 Mesures techniques

• Chiffrement : TLS 1.3 sur toutes les connexions ; chiffrement AES-256 au repos pour les données sensibles ;
• Authentification : politique de mots de passe robustes (12 caractères minimum), authentification à deux facteurs (2FA) disponible ;
• Tokenisation : aucune donnée bancaire stockée par NegoLink ;
• Cloisonnement : environnements de production séparés des environnements de test, avec données pseudonymisées en test ;
• Sauvegardes : sauvegardes chiffrées quotidiennes avec rétention 30 jours, testées trimestriellement ;
• Surveillance : monitoring 24/7 des accès et événements suspects ;
• Mises à jour : application des correctifs de sécurité dans les 30 jours pour les vulnérabilités critiques.

6.2 Mesures organisationnelles

• Politique de sécurité documentée et revue annuellement ;
• Gestion des accès : principe du moindre privilège, revue trimestrielle ;
• Formation : sensibilisation annuelle obligatoire pour tous les collaborateurs ;
• Audits : audit de sécurité externe annuel ;
• Plan de continuité d'activité testé annuellement ;
• Charte informatique signée par tous les collaborateurs.

6.3 Notification de violation de données

Conformément à l'article 33 RGPD, en cas de violation de données présentant un risque pour les droits et libertés des personnes, NegoLink :

• notifie la CNIL dans un délai de 72 heures ;
• informe les personnes concernées sans délai injustifié lorsque la violation présente un risque élevé ;
• documente toutes les violations de données dans un registre dédié.

7.1 Droit d'accès (article 15 RGPD)

L'Utilisateur peut obtenir confirmation que des données le concernant sont traitées et accéder à ces données ainsi qu'à des informations sur les finalités, catégories de données, destinataires, durée de conservation, origine des données.

7.2 Droit de rectification (article 16 RGPD)

L'Utilisateur peut demander la correction de toute donnée inexacte ou incomplète le concernant.

7.3 Droit à l'effacement (article 17 RGPD)

L'Utilisateur peut demander l'effacement de ses données dans les cas prévus par le RGPD (données plus nécessaires, retrait du consentement, opposition au traitement, traitement illicite). L'effacement n'est pas absolu : NegoLink conserve les données soumises à obligation légale (factures, données fiscales, KYC) pendant les durées prévues à la section 5.

7.4 Droit à la limitation du traitement (article 18 RGPD)

L'Utilisateur peut demander la limitation du traitement dans les cas prévus : contestation de l'exactitude, traitement illicite mais opposition à l'effacement, données plus nécessaires mais utiles à l'Utilisateur, opposition au traitement en cours d'examen.

7.5 Droit d'opposition (article 21 RGPD)

L'Utilisateur peut s'opposer, à tout moment et pour des raisons tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime. L'opposition est de droit (sans nécessité de justification) pour le traitement à des fins de prospection.

7.6 Droit à la portabilité (article 20 RGPD)

L'Utilisateur peut recevoir ses données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV) et les transmettre à un autre responsable de traitement.

7.7 Droit de retirer son consentement (article 7 RGPD)

L'Utilisateur peut retirer à tout moment son consentement aux traitements fondés sur celui-ci, sans que cela compromette la licéité du traitement effectué avant ce retrait.

7.8 Droit de définir des directives post-mortem

L'Utilisateur peut, conformément à la loi Informatique et Libertés, définir des directives relatives à la conservation, l'effacement et la communication de ses données après son décès.

7.9 Modalités d'exercice

Pour exercer ces droits, l'Utilisateur peut :

• envoyer un email à juridique@negolink.fr ;
• envoyer un courrier à : RABOEUF & PARTNERS — DPO — 4 rue Louise Weiss — 37550 Saint-Avertin ;
• utiliser le formulaire dédié sur l'espace personnel de la Plateforme.

NegoLink peut demander la production d'une pièce d'identité pour vérifier l'identité du demandeur, conformément à l'article 12 RGPD. NegoLink répond dans un délai maximum d'un mois à compter de la réception de la demande, prolongeable de deux mois pour les demandes complexes ou nombreuses (avec notification à l'Utilisateur). L'exercice des droits est gratuit, sauf demande manifestement infondée ou excessive.

7.10 Droit de réclamation auprès de la CNIL

L'Utilisateur dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) s'il estime que le traitement de ses données viole le RGPD :

8.1 Définition et finalités

Un cookie est un petit fichier texte déposé sur le terminal de l'Utilisateur lorsqu'il visite la Plateforme. NegoLink utilise des cookies pour assurer le bon fonctionnement de la Plateforme (cookies essentiels), mesurer l'audience et améliorer la Plateforme (cookies analytiques), personnaliser l'expérience (cookies fonctionnels), afficher des publicités adaptées (cookies publicitaires, avec consentement).

8.2 Catégories de cookies

8.3 Gestion du consentement (lignes directrices CNIL 2024)

NegoLink déploie un bandeau de consentement conforme aux lignes directrices CNIL 2024 :

• bouton « Tout accepter » et bouton « Tout refuser » au même niveau de visibilité ;
• bouton « Personnaliser » pour gérer finement chaque catégorie ;
• aucun cookie non essentiel déposé avant le consentement explicite ;
• preuve du consentement horodatée pendant 6 mois ;
• possibilité de retirer le consentement à tout moment via le lien « Gérer les cookies » en bas de page.

8.4 Liste détaillée des cookies

La liste complète et actualisée des cookies déposés (nom, fournisseur, finalité, durée) est consultable dans le bandeau de gestion accessible depuis le lien « Gérer les cookies » en bas de chaque page. Voir aussi la Politique Cookies.