Politique de Confidentialité

1. Préambule

La présente Politique de Confidentialité décrit la manière dont HoneyTask SAS collecte, utilise, partage et protège les données à caractère personnel des Utilisateurs de la plateforme HoneyTask, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

2. Responsable du traitement

Le responsable du traitement des données personnelles collectées via la Plateforme est HoneyTask SAS, dont l'identité complète et les coordonnées d'immatriculation figurent dans les Mentions Légales.

3. Données collectées

Selon votre usage de la Plateforme, nous collectons :

• Données d'identification et de compte : nom, prénom, adresse email, mot de passe (haché, jamais stocké en clair), numéro de téléphone (optionnel)
• Données de profil : photo de profil, biographie, localisation déclarative
• Données fiscales : statut fiscal (particulier ou auto-entrepreneur), numéro SIRET le cas échéant
• Données de vérification d'identité (KYC) : pièce d'identité et selfie, collectés et hébergés exclusivement par notre prestataire Stripe Identity (voir article 6)
• Données de paiement : gérées et stockées exclusivement par Stripe ; HoneyTask n'a accès qu'à des métadonnées non sensibles (statut du compte, quatre derniers chiffres d'une carte le cas échéant)
• Données de transaction : historique des Tâches publiées ou réalisées, montants, candidatures, avis, litiges
• Contenu de la messagerie : échanges entre Utilisateurs relatifs à une Tâche
• Données de connexion et de sécurité : adresse IP, identifiants de session, journaux de connexion, type de navigateur
• Données de correspondance : échanges avec notre support client

4. Finalités et bases légales du traitement

Chaque traitement repose sur une base légale précise :

• Exécution du contrat (Art. 6.1.b RGPD) : création et gestion du compte, mise en relation, publication et candidature aux Tâches, gestion du séquestre et des paiements, messagerie, avis
• Obligation légale (Art. 6.1.c) : vérification d'identité dans le cadre de la lutte contre le blanchiment (via Stripe), déclaration annuelle DAC7 des revenus des Travailleurs, conservation des documents comptables et fiscaux, réponse aux réquisitions des autorités
• Intérêt légitime (Art. 6.1.f) : prévention de la fraude et des usages abusifs, sécurité de la Plateforme, amélioration du service par des statistiques agrégées et anonymisées, gestion des litiges entre Utilisateurs
• Consentement (Art. 6.1.a) : envoi de communications marketing, dépôt de cookies non essentiels (mesure d'audience) ; ce consentement peut être retiré à tout moment sans affecter la licéité des traitements antérieurs

5. Destinataires des données

Nous ne vendons jamais vos données personnelles. Elles peuvent être communiquées, dans la limite de ce qui est strictement nécessaire, aux catégories de destinataires suivantes :

• Stripe (paiement, séquestre, vérification d'identité) : pour l'exécution des paiements et du KYC, voir article 6 ci-dessous
• Prestataires d'hébergement de l'application et de la base de données
• Prestataire d'envoi d'emails transactionnels (notifications, OTP, reçus)
• Autorités administratives, fiscales ou judiciaires, sur réquisition et dans les limites prévues par la loi

Chacun de ces prestataires n'agit que dans le cadre de nos instructions et dans la limite des finalités décrites dans la présente Politique, à l'exception de Stripe qui, pour les aspects réglementaires propres à son activité de prestataire de services de paiement (notamment la lutte contre le blanchiment et le financement du terrorisme), agit en qualité de responsable de traitement indépendant conformément à sa propre politique de confidentialité, disponible sur stripe.com/fr/privacy.

6. Focus : vérification d'identité (KYC) et données sensibles

Le retrait de fonds vers un compte bancaire nécessite une vérification d'identité, obligatoire au regard des exigences de lutte contre le blanchiment de capitaux applicables à Stripe en tant que prestataire de services de paiement agréé. Cette vérification implique la transmission d'une pièce d'identité et d'un selfie, susceptibles de faire l'objet d'un traitement biométrique (comparaison faciale) au sens de l'article 9 du RGPD.

Ce traitement biométrique est réalisé exclusivement par Stripe Identity, directement dans le parcours dédié de Stripe : HoneyTask ne reçoit, ne consulte ni ne conserve à aucun moment ces documents, et n'a accès qu'au résultat binaire de la vérification (vérifié / en attente / rejeté). L'Utilisateur donne son consentement à ce traitement biométrique directement auprès de Stripe, dans le cadre du parcours Stripe Identity, préalablement à toute transmission de document.

HoneyTask, pour sa part, ne fonde l'exigence de cette vérification que sur la nécessité contractuelle de sécuriser les retraits de fonds et sur son obligation légale de coopérer avec les diligences anti-blanchiment de son prestataire de paiement.

7. Durées de conservation

• Données de compte actif : conservées pendant toute la durée de vie du compte
• Compte inactif : données supprimées ou anonymisées après 3 ans d'inactivité, sauf obligation légale de conservation plus longue
• Documents comptables et données de transaction : conservés jusqu'à 10 ans à compter de la clôture de l'exercice concerné, conformément à l'article L123-22 du Code de commerce
• Données de déclaration DAC7 : conservées pendant la durée requise par la réglementation fiscale applicable aux opérateurs de plateformes
• Documents d'identité (KYC) : non conservés par HoneyTask ; conservés par Stripe selon sa propre politique de rétention et ses obligations réglementaires de lutte anti-blanchiment
• Journaux de connexion et de sécurité : conservés 1 an
• Cookies non essentiels : consentement valable 6 mois, dépôt limité à 13 mois conformément aux recommandations de la CNIL

8. Sécurité des données

HoneyTask met en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données, notamment : hachage des mots de passe (argon2), authentification à deux facteurs, chiffrement des échanges en transit (TLS), cookies de session en httpOnly, contrôle d'accès strict aux données par nos équipes, et revues de sécurité régulières de notre infrastructure. Les documents d'identité liés au KYC ne transitent jamais par notre propre infrastructure de stockage : ils sont traités directement par Stripe, ce qui réduit la surface d'exposition de ces données sensibles.

9. Procédure en cas de violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, HoneyTask notifie la Commission Nationale de l'Informatique et des Libertés (CNIL) dans un délai de 72 heures à compter de la connaissance de l'incident, conformément à l'article 33 du RGPD.

Lorsque cette violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les meilleurs délais, par email ou notification sur la Plateforme, conformément à l'article 34 du RGPD, avec une description de la nature de l'incident, de ses conséquences probables et des mesures prises ou envisagées pour y remédier. Un registre interne des violations de données est tenu à jour, conformément à nos obligations d'accountability.

10. Transferts de données hors Union Européenne

Certains de nos prestataires (notamment Stripe et nos fournisseurs d'infrastructure) peuvent être amenés à traiter des données depuis des pays situés hors de l'Union Européenne, notamment les États-Unis. Ces transferts sont encadrés par des garanties appropriées reconnues par la Commission européenne, telles que les clauses contractuelles types ou une décision d'adéquation applicable (par exemple le cadre de protection des données UE-États-Unis lorsqu'applicable au prestataire concerné).

11. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès : obtenir une copie des données que nous détenons sur vous
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, dans la limite des obligations légales de conservation mentionnées à l'article 7
• Droit à la limitation du traitement : demander le gel temporaire de l'utilisation de vos données
• Droit à la portabilité : recevoir les données que vous nous avez fournies dans un format structuré et couramment utilisé, ou les faire transmettre à un tiers
• Droit d'opposition : vous opposer, pour des motifs tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime, ou à tout moment à la prospection commerciale
• Droit de retirer votre consentement à tout moment, pour les traitements qui en dépendent
• Droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés)

Pour exercer ces droits, contactez-nous à privacy@honeytask.fr en joignant un justificatif d'identité. Nous répondons dans un délai d'un mois, pouvant être prolongé de deux mois supplémentaires pour les demandes complexes, auquel cas vous en serez informé. L'exercice de ces droits est gratuit, sauf demande manifestement infondée ou excessive.

12. Cookies et traceurs

HoneyTask utilise des cookies strictement nécessaires au fonctionnement du service (authentification, session, préférences), exemptés de consentement préalable, ainsi que, le cas échéant, des cookies de mesure d'audience et des cookies analytiques non essentiels, qui ne sont déposés qu'après recueil de votre consentement libre, spécifique, éclairé et univoque via le bandeau affiché lors de votre première visite.

Vous pouvez accepter, refuser ou personnaliser vos choix à tout moment via le lien de gestion des cookies disponible en pied de page, avec la même simplicité que pour donner votre consentement. L'accès à la Plateforme n'est jamais conditionné à l'acceptation des cookies non essentiels.

13. Mineurs

La Plateforme est réservée aux personnes majeures. Nous ne collectons pas sciemment de données concernant des mineurs. Si nous venions à identifier qu'un compte a été créé par une personne mineure, nous procéderions à sa suppression dans les meilleurs délais.

14. Modification de la présente Politique

HoneyTask peut être amenée à modifier la présente Politique de Confidentialité, notamment pour refléter une évolution de ses traitements ou de la réglementation applicable. Toute modification substantielle vous sera notifiée par email ou par notification sur la Plateforme avant son entrée en vigueur.

15. Contact et réclamation

Pour toute question relative à la protection de vos données personnelles, contactez notre Délégué à la Protection des Données : dpo@honeytask.fr

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr