craiyo s'engage à protéger vos données personnelles conformément au RGPD et à la loi Informatique et Libertés.
Le responsable du traitement des données collectées via la plateforme craiyo est :
craiyo traite les données personnelles de ses utilisateurs (Établissements et Intervenants) dans le respect du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés).
Les données collectées varient selon le profil de l'utilisateur.
2.1 Données collectées auprès des Établissements
| Catégorie | Données | Moment de collecte |
|---|---|---|
| Identification | Nom de l'établissement, raison sociale, forme juridique, SIREN | Inscription |
| Contact | Nom et prénom du représentant, adresse e-mail, numéro de téléphone | Inscription |
| Sites | Adresses postales des sites, coordonnées GPS | Configuration des sites |
| Missions | Matière, niveau, date, horaire, tarif proposé, notes libres, supports pédagogiques | Publication de mission |
| Paiements | Historique des transactions, montants, statuts de paiement | À chaque mission |
| Évaluations | Notes et commentaires donnés aux Intervenants | Post-mission |
| Navigation | Adresse IP, type de navigateur, pages visitées, horodatage | Navigation sur la plateforme |
2.2 Données collectées auprès des Intervenants
| Catégorie | Données | Moment de collecte |
|---|---|---|
| Identification | Nom, prénom, date de naissance, adresse postale | Inscription |
| Contact | Adresse e-mail, numéro de téléphone | Inscription |
| Localisation | Ville, coordonnées GPS (latitude/longitude), rayon d'intervention | Inscription / profil |
| Compétences | Matières enseignées, niveaux, années d'expérience, biographie | Profil |
| Documents de vérification | Pièce d'identité, diplôme(s), extrait de casier judiciaire B3, attestation RC Pro | Procédure de vérification |
| Photo de profil | Photographie d'identité | Profil (optionnel) |
| Missions | Historique des missions acceptées/refusées/annulées, absences signalées | Utilisation de la plateforme |
| Rémunérations | Tarif horaire, gains par mission, historique des reversements | À chaque mission |
| Évaluations | Notes reçues, commentaires publiés, note moyenne | Post-mission |
| Navigation | Adresse IP, type de navigateur, pages visitées, horodatage | Navigation sur la plateforme |
| Finalité | Base légale (RGPD art. 6) | Utilisateurs concernés |
|---|---|---|
| Création et gestion du compte utilisateur | Exécution du contrat (art. 6.1.b) | Établissements · Intervenants |
| Mise en relation et gestion des missions | Exécution du contrat (art. 6.1.b) | Établissements · Intervenants |
| Vérification des profils Intervenant | Intérêt légitime (art. 6.1.f) — sécurité des Établissements | Intervenants |
| Géolocalisation pour l'attribution des missions | Exécution du contrat (art. 6.1.b) | Intervenants |
| Traitement des paiements et facturation | Exécution du contrat (art. 6.1.b) + obligation légale (art. 6.1.c) | Établissements · Intervenants |
| Notifications en temps réel (missions disponibles) | Exécution du contrat (art. 6.1.b) | Intervenants |
| Système de notation et avis | Intérêt légitime (art. 6.1.f) — qualité du service | Établissements · Intervenants |
| Prévention des fraudes et sécurité | Intérêt légitime (art. 6.1.f) | Établissements · Intervenants |
| Amélioration de la plateforme (analytics) | Intérêt légitime (art. 6.1.f) | Établissements · Intervenants |
| Communications transactionnelles (confirmations, factures) | Exécution du contrat (art. 6.1.b) | Établissements · Intervenants |
| Communications commerciales et marketing | Consentement (art. 6.1.a) | Établissements · Intervenants |
| Respect des obligations légales et comptables | Obligation légale (art. 6.1.c) | Établissements · Intervenants |
| Catégorie de données | Durée de conservation | Justification |
|---|---|---|
| Données du compte (identité, contact) | Durée du compte + 3 ans | Prescription civile de droit commun (art. 2224 C. civ.) |
| Documents de vérification (pièce d'identité, casier) | Durée nécessaire à la vérification, puis suppression sous 30 jours | Minimisation des données (RGPD art. 5.1.e) |
| Données de missions et transactions | 5 ans à compter de la mission | Prescription commerciale (L. 110-4 C. com.) |
| Factures et données comptables | 10 ans | Obligation légale (L. 123-22 C. com.) |
| Évaluations et notations | Durée du compte, puis anonymisation | Intérêt légitime au maintien de la qualité du service |
| Logs de connexion et données de navigation | 12 mois | Recommandation CNIL — sécurité et détection des fraudes |
| Données de localisation GPS | Durée du compte actif uniquement | Minimisation des données |
À l'expiration des durées de conservation applicables, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible.
5.1 Accès interne
Les données personnelles sont accessibles aux seuls membres de l'équipe craiyo habilités, dans la stricte limite de leurs attributions (traitement des vérifications, support, administration technique).
5.2 Partage entre utilisateurs
Dans le cadre de la mise en relation, certaines données sont partagées entre Établissements et Intervenants :
L'adresse complète, les coordonnées directes et les documents de vérification ne sont jamais communiqués à l'autre partie.
5.3 Sous-traitants techniques
| Sous-traitant | Rôle | Pays |
|---|---|---|
| Render Services, Inc. | Hébergement de la plateforme et des données | États-Unis (voir art. 6) |
| SendGrid / Mailgun | Envoi d'e-mails transactionnels | États-Unis (voir art. 6) |
| Stripe | Traitement des paiements | Union européenne / États-Unis |
Chaque sous-traitant est lié à craiyo par un accord de traitement des données conforme à l'article 28 du RGPD.
5.4 Autorités compétentes
craiyo peut être amenée à communiquer des données personnelles aux autorités judiciaires ou administratives compétentes sur réquisition légale, ou pour protéger ses droits en justice.
Certains sous-traitants de craiyo (hébergeur Render, services d'e-mail) sont établis aux États-Unis. Ces transferts sont encadrés par les garanties appropriées prévues par le RGPD, et notamment :
L'utilisateur peut obtenir une copie des garanties mises en place en adressant une demande à contact@craiyo.fr.
craiyo met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre toute destruction accidentelle ou illicite, perte, altération, divulgation ou accès non autorisé, conformément à l'article 32 du RGPD.
Ces mesures comprennent notamment :
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, craiyo notifiera la CNIL dans les 72 heures conformément à l'article 33 du RGPD, et informera les utilisateurs concernés si le risque est élevé.
8.1 Cookies strictement nécessaires (pas de consentement requis)
| Cookie | Finalité | Durée |
|---|---|---|
| session | Maintien de la session authentifiée de l'utilisateur | Durée de la session |
| csrf_token | Protection contre les attaques Cross-Site Request Forgery | Durée de la session |
| remember_token | Option "rester connecté" (si activée) | 30 jours |
8.2 Cookies analytiques (consentement requis)
craiyo n'utilise actuellement aucun outil d'analyse tiers (Google Analytics, Hotjar, etc.). Si de tels outils étaient intégrés à l'avenir, le consentement préalable de l'utilisateur serait recueilli via une bannière conforme aux recommandations de la CNIL.
8.3 Gestion des cookies
L'utilisateur peut configurer son navigateur pour refuser ou supprimer les cookies. La suppression des cookies de session entraîne la déconnexion de la plateforme. Les instructions varient selon le navigateur :
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :
Pour exercer l'un de ces droits, adressez votre demande écrite accompagnée d'une pièce d'identité à : contact@craiyo.fr
craiyo s'engage à répondre dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois supplémentaires en cas de complexité ou de nombre élevé de demandes, après information préalable.
Pour toute question relative à la présente politique ou à l'exercice de vos droits :
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :