Dernière mise à jour : 16 septembre 2026 · Version 1.0
1. Qui est responsable du traitement ?
CasaMatch SAS (en cours d'immatriculation au RCS de Reims) — Représentée par Thomas Jorge, président — contact@casa-match.fr.
À l'immatriculation officielle, les informations complètes (SIREN, SIRET, adresse du siège, capital social, n° carte T) seront publiées ici et dans les mentions légales.
2. Quelles données on traite et pourquoi
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Email + mot de passe hashé | Authentification, contact | Exécution du contrat (CGU) | Jusqu'à suppression du compte |
| Nom, prénom, date de naissance | Identification, vérif. majorité (18+) | Obligation légale + contrat | Compte + 5 ans après clôture |
| Photo de profil (facultative) | Affichage sur les échanges | Consentement | Jusqu'à suppression |
| Annonces publiées | Service de mise en relation | Contrat | Compte + 3 ans (statistiques) |
| Messages entre utilisateurs | Communication, preuve honoraires | Contrat + intérêt légitime | 180 jours (purge auto) |
| Documents justificatifs (titre propriété, CNI, DPE, fiches paie) | Constitution dossiers de solvabilité, mandats | Obligation légale (Hoguet) | 10 ans (registre des mandats) |
| Géolocalisation approximative | Afficher les annonces à proximité | Consentement (opt-in dans l'app) | Session en cours uniquement |
| Push token (Expo) | Envoi de notifications push | Consentement (opt-in au 1er lancement) | Jusqu'à désinstallation ou refus |
| Historique de navigation dans l'app | Amélioration UX (anonyme) | Intérêt légitime | 30 jours |
| Coordonnées bancaires (IBAN agence pour comandat) | Reversement 10% commission | Contrat (comandat signé) | Durée du mandat + 5 ans |
| Signaux anti-contournement (auto-détection) | Prévention fraude, preuves honoraires | Intérêt légitime + obligation légale | 5 ans (délai prescription) |
3. Qui a accès à tes données ?
Personne d'autre que toi et notre équipe technique restreinte. Concrètement :
- Toi : accès complet à ton profil, tes annonces, tes messages, tes documents.
- L'utilisateur avec qui tu échanges : voit ton nom d'affichage, ta photo (si publique), tes annonces publiques. Ne voit PAS tes documents administratifs sauf si tu les partages explicitement.
- Nos administrateurs CasaMatch : accès en lecture pour la modération, la validation des mandats, le support client. Journal complet de leurs actions (article 82 loi Informatique et Libertés).
- Nos sous-traitants techniques (encadrés par DPA) :
- Supabase (BDD + auth) — hébergé AWS Paris (eu-west-3), supabase.com/privacy
- Resend (envoi d'emails) — resend.com
- Expo (push notifications) — expo.dev/privacy
- Netlify (hébergement du site) — netlify.com
Aucune revente, aucun partage commercial. Autorités légales uniquement sur demande écrite (police, TRACFIN, DGCCRF, CNIL).
4. Tes droits (RGPD)
Tu peux à tout moment exercer ces droits :
- Accès (art. 15) — voir toutes tes données depuis les Paramètres de l'app.
- Rectification (art. 16) — modifier ton profil, corriger tes annonces.
- Effacement / droit à l'oubli (art. 17) — bouton "Supprimer mon compte" dans Paramètres, effet immédiat.
- Limitation (art. 18) — geler l'utilisation de tes données sans les supprimer.
- Portabilité (art. 20) — récupérer toutes tes données dans un fichier JSON (bouton "Exporter mes données" dans les Paramètres).
- Opposition (art. 21) — refuser certains traitements (marketing notamment, via désabonnement).
- Retrait du consentement — à tout moment, pour tout traitement fondé sur le consentement.
Pour exercer ces droits : contact@casa-match.fr. Réponse sous 30 jours max. En cas de désaccord, tu peux saisir la CNIL.
5. Sécurité
- Chiffrement TLS pour tous les échanges (HTTPS).
- Base de données chiffrée au repos (AWS eu-west-3, Paris).
- Mots de passe hashés avec bcrypt (jamais stockés en clair).
- Accès admin protégé par authentification forte + journal d'audit.
- Politiques RLS (Row Level Security) Postgres : chaque utilisateur ne voit QUE ses propres données.
- Purge automatique des messages après 180 jours.
6. Violation de données personnelles
En cas de faille de sécurité entraînant une divulgation non autorisée de données, nous nous engageons à :
- Notifier la CNIL sous 72 heures (article 33 RGPD).
- Notifier directement les personnes concernées si le risque pour leurs droits est élevé (article 34 RGPD).
- Publier une page d'incident transparente avec la nature, l'ampleur, les mesures prises.
Pour signaler une suspicion de fuite : contact@casa-match.fr.
7. Cookies
Le site casa-match.fr n'utilise que des cookies strictement fonctionnels (session d'authentification Supabase). Aucun cookie publicitaire, aucun tracker tiers, aucun Google Analytics. Pas de bannière de consentement requise pour ces cookies (dispense CNIL cookies techniques art. 82).
Si nous ajoutons un jour des cookies analytiques ou marketing, un bandeau de consentement conforme CNIL sera implémenté avec option "accepter/refuser" en un clic.
8. Transferts hors UE
Les données restent hébergées en France (AWS eu-west-3, Paris). Nos sous-traitants aux USA (Resend, Expo, Netlify) sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et le Data Privacy Framework.
9. Mineurs
CasaMatch est réservé aux personnes de 18 ans et plus. Un contrôle d'âge (date de naissance) est effectué à l'inscription. Si nous découvrons qu'un compte a été créé par un mineur, il est immédiatement supprimé.
10. Modifications de cette politique
Toute modification substantielle sera notifiée par email et in-app au moins 30 jours avant application. La version actuelle est datée en haut de cette page.
11. Contact & DPO
Responsable du traitement : Thomas Jorge, président CasaMatch — contact@casa-match.fr
Point de contact DSA (contenus, modération, autorités) : dsa@casa-match.fr