Identité / compte : nom, prénom, email, mot de passe (haché), rôle.
Données professionnelles (Freelances) : SIRET et date de sa vérification, forme juridique (issue de l'annuaire public), adresse, n° TVA et statut de sa vérification VIES, téléphone, photo de profil ; attestation de vigilance URSSAF (PDF et date d'émission) pour les devis de 5 000 € HT ou plus — le Client reçoit uniquement le PDF joint à son devis, jamais d'autre information sur la situation administrative du Freelance.
Données de mission : devis, messages, fichiers, livrables.
Page vitrine et portfolio : présentation, services, projets, visuels et documents publiés volontairement par le Freelance en vue d'un affichage public.
Demandes de contact (prospects) : lorsqu'un visiteur écrit à un Freelance depuis sa page vitrine, sans créer de compte — nom, adresse email et contenu du message. Ces données sont transmises au seul Freelance destinataire et ne sont jamais utilisées à des fins de prospection par ToSync.
Données de signature : lors de l'acceptation d'un devis, nom du signataire, date et heure, adresse IP et version des CGV acceptée, conservés à titre de preuve de la signature électronique.
Données de paiement : traitées par Stripe ; ToSync ne stocke pas les numéros de carte.
Données techniques : logs de connexion, données d'usage.
3. Finalités et bases légales
Fourniture du service (exécution du contrat).
Facturation et commissions (exécution du contrat / obligation légale).
Transmission d'une demande de contact au Freelance concerné (exécution du contrat / intérêt légitime du visiteur à être mis en relation).
Sécurité et prévention de la fraude (intérêt légitime), dont la vérification du SIRET des Freelances auprès de l'annuaire public des entreprises : seul le numéro SIRET est transmis, pour confirmer que l'établissement existe et est actif ; la raison sociale, l'adresse et le n° de TVA renvoyés (données publiques) peuvent pré-remplir le profil. Aucun profilage, aucune décision automatisée autre que l'accès à l'émission de devis, contestable auprès du support.
Communications transactionnelles (exécution du contrat) ; communications marketing éventuelles (consentement).
Assistance par ToSync Intelligence : génération de suggestions à la demande de l'Utilisateur (exécution du contrat).
Repères de marché anonymisés : établissement de statistiques agrégées et anonymisées à partir des devis et missions (par ex. acompte médian ou fourchette de prix par métier) pour proposer des repères de tarifs et de bonnes pratiques (intérêt légitime).
Ces repères ne sont calculés que sur un nombre suffisant de cas pour empêcher toute ré-identification, et aucune donnée individuelle n'est exposée à d'autres utilisateurs.
4. ToSync Intelligence et traitement par un modèle d'IA
Lorsque l'Utilisateur sollicite l'assistant, le contenu nécessaire à sa demande — texte saisi, devis ou mission concernés, repères de marché anonymisés — est transmis à Anthropic (modèle Claude), sous-traitant de ToSync, pour produire la réponse.
Cette transmission n'a lieu qu'au moment où l'Utilisateur en fait la demande ; aucun envoi automatique n'est effectué en arrière-plan.
Les données transmises via l'API commerciale d'Anthropic ne sont pas utilisées pour entraîner ses modèles.
Certaines opérations simples (calcul de pourcentage, TVA, arrondi) sont résolues localement par la Plateforme, sans aucun envoi à un tiers.
L'Utilisateur reste libre de ne pas utiliser l'assistant : le service est pleinement utilisable sans lui.
5. Sous-traitants et destinataires
Les données peuvent être traitées par les sous-traitants suivants :
Stripe : paiements et séquestre des fonds.
Cloudinary : hébergement des fichiers.
Neon : base de données.
Vercel et Render : hébergement de l'application.
Resend : envoi des emails transactionnels.
Anthropic : génération des suggestions de ToSync Intelligence.
Annuaire des entreprises de l'État (API publique « Recherche d'entreprises », DINUM, données Insee/Sirene) : reçoit uniquement le numéro SIRET à vérifier, sans aucune autre donnée de compte.
Commission européenne (registre VIES) : reçoit uniquement le numéro de TVA intracommunautaire que le Freelance a saisi, pour vérifier qu'il est actif.
Vercel (Web Analytics) : mesure d'audience agrégée et anonymisée, sans cookie ni identifiant individuel — voir §8.
Meta Platforms : uniquement si vous avez donné votre accord au traceur publicitaire (pixel Meta) — voir §8. Base légale : consentement, jamais l'intérêt légitime.
Certains de ces sous-traitants sont établis hors de l'Union européenne. Les transferts correspondants sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification au EU-U.S. Data Privacy Framework du sous-traitant concerné.
Aucune donnée n'est vendue, louée ni cédée à des tiers à des fins publicitaires.
6. Durée de conservation
Compte et données de mission : pendant toute la durée de la relation contractuelle, puis supprimés ou anonymisés sur demande. La suppression n'est pas possible tant qu'une mission ou un litige est en cours ; si une mission a déjà eu lieu avec une autre partie, le compte est anonymisé (et non supprimé) afin que cette partie conserve sa mission, ses factures et ses preuves.
Attestation de vigilance URSSAF : l'exemplaire joint à un devis est conservé le temps de la mission puis 5 ans (preuve de l'obligation de vigilance du Client, prescription de droit commun) ; une attestation remplacée et jointe à aucune mission est effacée. À la suppression du compte, seuls les exemplaires joints à des missions passées sont conservés. Le fichier est stocké en base, sans adresse publique.
Pièces comptables et factures : 10 ans, conformément à l'article L123-22 du Code de commerce.
Preuves de signature électronique : 5 ans à compter de la fin de la mission, durée de la prescription de droit commun.
Logs de connexion : 12 mois.
Demandes de contact non converties : 3 ans à compter du dernier échange.
7. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Ces droits s'exercent à contact@usetosync.app et une réponse vous est apportée dans un délai d'un mois.
Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
Certaines données ne peuvent pas être supprimées à la demande lorsque leur conservation est imposée par la loi (pièces comptables) ou nécessaire à la preuve d'un engagement déjà pris (signature d'un devis).
8. Cookies et traceurs
Trois catégories de traceurs sont utilisées, chacune avec un statut différent.
Strictement nécessaires (exemptés de consentement)
un cookie de session (httpOnly, sécurisé, 15 minutes) qui vous maintient connecté — il n'est pas lisible par les scripts de la page ;
un cookie de renouvellement (httpOnly, sécurisé, envoyé uniquement aux routes de connexion) : 30 jours avec « Rester connecté », sinon jusqu'à la fermeture du navigateur ; il change à chaque usage ;
un cookie technique permettant l'accès au service pendant sa phase de lancement ;
un stockage local (localStorage) conservant des préférences d'affichage et l'état de connexion, sans jeton d'authentification.
Ils sont effacés à la déconnexion ou en vidant les données du navigateur.
Mesure d'audience (exemptée de consentement)
Vercel Web Analytics mesure la fréquentation de manière agrégée et anonymisée : aucun cookie, aucun identifiant permettant de vous reconnaître d'une visite à l'autre. Conforme aux critères d'exemption de la CNIL pour les outils de mesure d'audience qui ne croisent pas les données et ne profilent pas l'utilisateur.
Publicitaire (soumis à votre consentement)
Un pixel Meta (Facebook/Instagram) peut être chargé pour mesurer l'efficacité de nos campagnes publicitaires. Il ne se déclenche que si vous avez cliqué sur « Accepter » dans le bandeau affiché en bas de page. Un refus n'a aucune incidence sur l'usage du service. Vous pouvez revenir sur votre choix à tout moment :
Si votre choix ne s'affiche pas ou que ce bandeau n'apparaît jamais, c'est qu'aucun traceur publicitaire n'est actuellement configuré sur le site.
9. Sécurité
Mots de passe stockés sous forme hachée, jamais en clair.
Communications chiffrées en HTTPS ; base de données accessible uniquement par connexion chiffrée.
Cloisonnement strict des données entre comptes : chaque accès est vérifié côté serveur, route par route (matrice des autorisations tenue à jour et testée automatiquement).
Session conservée dans un cookie httpOnly, illisible par les scripts de la page, avec protection contre les requêtes intersites (CSRF).
Fichiers rangés par mission : un fichier ne peut être rattaché qu'à la mission pour laquelle il a été envoyé ; les fichiers sources des livrables ne sont transmis au Client qu'après paiement du solde.
Aucune donnée de carte bancaire ne transite ni n'est stockée par ToSync.
10. Modification de la présente politique
Cette politique peut être mise à jour pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page ; toute modification substantielle est portée à la connaissance des Utilisateurs.