Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur la plateforme FreelanceHigh est :

Pour toute question relative à la protection de vos données personnelles, vous pouvez contacter notre Délégué à la Protection des Données (DPO) à l'adresse : privacy@freelancehigh.com.

2. Données personnelles collectées

Dans le cadre de l'utilisation de la Plateforme, nous sommes amenés à collecter et traiter les catégories de données personnelles suivantes :

2.1 Données d'identification

• Nom et prénom
• Adresse email
• Numéro de téléphone
• Photo de profil (si fournie)
• Nom d'utilisateur (username)
• Date de naissance (lors de la vérification KYC)
• Adresse postale (optionnelle)
• Pays de résidence
• Nationalité

2.2 Données professionnelles

• Titre professionnel et biographie
• Compétences et niveaux d'expertise
• Formation et certifications
• Langues parlées et niveaux
• Portfolio et réalisations
• Liens professionnels (LinkedIn, GitHub, Behance, site web personnel)
• Tarif horaire et disponibilités
• Pour les Agences : nom de l'agence, secteur d'activité, taille de l'équipe, numéro SIRET (optionnel)

2.3 Données de vérification d'identité (KYC)

• Copie de la pièce d'identité (carte nationale d'identité, passeport ou permis de conduire)
• Justificatif de domicile (si demandé)
• Attestation d'immatriculation professionnelle (niveau KYC 4)
• Diplômes et certificats professionnels (niveau KYC 4)
• Selfie de vérification (si demandé pour validation d'identité)

2.4 Données financières et de transaction

• Informations de paiement (les données de carte bancaire sont traitées exclusivement par Stripe et ne sont jamais stockées sur nos serveurs)
• Coordonnées bancaires pour les retraits (IBAN, numéro de compte Mobile Money)
• Historique des transactions (commandes, paiements, retraits, factures)
• Solde du portefeuille
• Plan d'abonnement et historique de facturation

2.5 Données de navigation et techniques

• Adresse IP
• Type de navigateur et version
• Système d'exploitation
• Pages visitées et durée de visite
• Source de trafic (moteur de recherche, lien direct, réseau social)
• Préférences de langue et de devise
• Identifiants de cookies (voir notre Politique de Cookies)
• Données d'appareil (résolution d'écran, type d'appareil)

2.6 Données de communication

• Messages échangés via la messagerie intégrée de la Plateforme
• Fichiers envoyés et reçus dans le cadre des commandes
• Correspondances avec le support client
• Avis et évaluations publiés
• Réponses aux enquêtes de satisfaction

3. Finalités du traitement

Vos données personnelles sont collectées et traitées pour les finalités suivantes :

4. Bases légales du traitement

Conformément au RGPD, chaque traitement de données personnelles repose sur l'une des bases légales suivantes :

5. Destinataires des données

Vos données personnelles ne sont jamais vendues à des tiers. Elles peuvent être partagées avec les catégories de destinataires suivantes, dans le strict respect des finalités décrites ci-dessus :

5.1 Sous-traitants techniques

Tous nos sous-traitants sont liés par des accords de traitement de données (DPA) conformes au RGPD. Pour les transferts vers les États-Unis, ces prestataires adhèrent au EU-US Data Privacy Framework ou sont couverts par des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne.

5.2 Autres utilisateurs de la Plateforme

Certaines de vos données sont visibles par les autres utilisateurs dans le cadre normal d'utilisation de la Plateforme : votre profil public (nom, photo, titre, compétences, portfolio, avis reçus), vos services publiés, vos évaluations et réponses aux avis. Vous pouvez contrôler la visibilité de votre profil depuis les paramètres de confidentialité (public, connexions uniquement, ou privé).

5.3 Autorités compétentes

Vos données peuvent être communiquées aux autorités judiciaires, administratives ou réglementaires compétentes, sur demande officielle et dans le cadre de la loi applicable (réquisition judiciaire, demande de la CNIL, obligations anti-blanchiment).

6. Transferts internationaux de données

Vos données personnelles sont principalement stockées sur des serveurs situés au sein de l'Union européenne (Supabase, région eu-central-1 Frankfurt). Toutefois, certains de nos sous-traitants sont établis en dehors de l'Union européenne, notamment aux États-Unis (Vercel, Stripe, Cloudinary, Resend, Twilio, Sentry).

Ces transferts sont encadrés par les mécanismes suivants, conformément au Chapitre V du RGPD :

• EU-US Data Privacy Framework : pour les prestataires américains certifiés dans le cadre de la décision d'adéquation de la Commission européenne du 10 juillet 2023.
• Clauses Contractuelles Types (CCT) : pour les prestataires non couverts par une décision d'adéquation, nous avons conclu des CCT approuvées par la Commission européenne (Décision 2021/914).
• Mesures supplémentaires : chiffrement des données en transit (TLS 1.3) et au repos (AES-256), pseudonymisation lorsque possible, restriction des accès au strict nécessaire.

Les documents KYC (pièces d'identité, justificatifs) ne sont jamais transférés en dehors de l'Union européenne. Ils sont exclusivement stockés dans des buckets Supabase Storage chiffrés, dans la région eu-central-1 (Frankfurt).

7. Sécurité des données

Nous mettons en oeuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité de vos données personnelles :

7.1 Mesures techniques

• Chiffrement en transit : toutes les communications entre votre navigateur et nos serveurs sont chiffrées via HTTPS/TLS 1.3.
• Chiffrement au repos : les données sensibles (documents KYC, données financières) sont chiffrées au repos avec AES-256.
• Hachage des mots de passe : vos mots de passe sont hachés avec bcrypt (facteur de coût 12) et ne sont jamais stockés en clair.
• URLs signées : les documents privés (KYC, livrables) ne sont accessibles que via des URLs signées à durée limitée (expiration après 1 heure).
• Row Level Security (RLS) : des politiques de sécurité au niveau de la base de données garantissent que chaque utilisateur ne peut accéder qu'à ses propres données.
• Protection CSRF : des tokens anti-CSRF protègent contre les attaques par falsification de requêtes.
• Rate limiting : limitation du nombre de requêtes par IP pour prévenir les attaques par force brute.
• Double authentification (2FA) : disponible via Google Authenticator (TOTP) ou SMS pour renforcer la sécurité de votre compte.

7.2 Mesures organisationnelles

• Accès aux données limité au strict nécessaire selon le principe du moindre privilège
• Journalisation de toutes les actions administratives pour audit
• Procédure de notification en cas de violation de données (dans les 72 heures conformément au RGPD)
• Revue régulière des accès et des permissions
• Monitoring continu via Sentry pour la détection d'anomalies

7.3 Données de paiement

Les données de carte bancaire ne sont jamais stockées sur nos serveurs. Elles sont traitées exclusivement par Stripe, prestataire certifié PCI DSS Niveau 1 (le plus haut niveau de certification de sécurité des données de paiement). Les numéros de compte Mobile Money sont traités par CinetPay dans un environnement sécurisé.

8. Durées de conservation

Vos données personnelles sont conservées pendant la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, dans le respect des obligations légales applicables :

À l'expiration des durées de conservation, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible pour les besoins statistiques.

9. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

Comment exercer vos droits

Pour exercer l'un de ces droits, vous pouvez :

• Envoyer un email à privacy@freelancehigh.com en précisant votre demande et en joignant un justificatif d'identité
• Utiliser les options disponibles dans les paramètres de votre compte (modification du profil, suppression du compte, gestion des notifications)
• Contacter notre support via le centre d'aide

Nous nous engageons à traiter votre demande dans un délai maximum d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe, auquel cas vous en serez informé.

Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), l'autorité de contrôle française compétente : CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

10. Cookies et technologies de suivi

Notre utilisation des cookies et technologies similaires est détaillée dans notre Politique de Cookies. En résumé, nous utilisons :

• Cookies strictement nécessaires : authentification, préférences de langue et de devise, sécurité (CSRF). Ces cookies ne peuvent pas être désactivés.
• Cookies analytiques : PostHog pour l'analyse d'usage de la plateforme (avec votre consentement).
• Cookies de performance : Sentry pour la détection d'erreurs et le suivi des performances (avec votre consentement).

Vous pouvez gérer vos préférences de cookies à tout moment via les paramètres de votre navigateur ou notre bandeau de consentement.

11. Protection des mineurs

La Plateforme FreelanceHigh est destinée aux personnes âgées d'au moins 18 ans. Nous ne collectons pas sciemment de données personnelles auprès de mineurs. Si nous prenons connaissance qu'un mineur nous a fourni des données personnelles, nous supprimerons ces données dans les meilleurs délais. Si vous êtes un parent ou un tuteur légal et que vous pensez que votre enfant nous a fourni des données personnelles, veuillez nous contacter à privacy@freelancehigh.com.

12. Profilage et décisions automatisées

La Plateforme utilise des mécanismes automatisés dans les cas suivants :

• Algorithme de recherche et de classement : les résultats de recherche sont triés selon des critères objectifs (pertinence, note, taux de complétion, date de publication). Ce classement n'est pas considéré comme une décision automatisée au sens du RGPD.
• Attribution de badges : les badges sont attribués automatiquement selon des critères objectifs et mesurables (nombre de commandes, taux de satisfaction, niveau KYC). Vous pouvez contester une décision relative aux badges en contactant le support.
• Détection de fraude : des algorithmes automatisés analysent les comportements suspects (connexions inhabituelles, transactions anormales). En cas de suspension automatique de votre compte, vous pouvez demander une révision manuelle par notre équipe.

Aucune décision automatisée n'est prise à votre égard qui produirait des effets juridiques ou vous affecterait de manière significative sans intervention humaine, conformément à l'Article 22 du RGPD.

13. Données relatives aux formations et à l'apprentissage

La Plateforme FreelanceHigh propose une section Formations permettant aux Utilisateurs de suivre des formations en ligne, de participer à des cohortes et d'acquérir des produits numériques. Cette activité entraîne la collecte et le traitement de catégories de données spécifiques, décrites ci-après.

13.1 Données d'apprentissage collectées

Lorsque vous utilisez la section Formations de la Plateforme en tant qu'Apprenant, les données suivantes sont collectées :

• Historique des formations auxquelles vous êtes inscrit (gratuites et payantes)
• Progression par formation : pourcentage de complétion, leçons terminées, modules en cours
• Scores obtenus aux quiz et évaluations
• Temps passé par leçon, par module et par formation
• Commentaires et questions posés dans les espaces de discussion des formations
• Notes personnelles prises dans l'interface d'apprentissage (si fonctionnalité disponible)
• Formations ajoutées à la liste de souhaits
• Certificats obtenus et leur statut de vérification
• Inscriptions aux cohortes (dates, statut, paiement)
• Produits numériques achetés et téléchargés

13.2 Finalités du traitement des données d'apprentissage

Les données d'apprentissage sont traitées pour les finalités suivantes :

13.3 Partage des données d'apprentissage

Vos données d'apprentissage font l'objet d'un partage limité et encadré :

• Ce que l'Instructeur voit : l'Instructeur a accès à des statistiques agrégées sur l'ensemble de ses apprenants (nombre d'inscrits, taux de complétion moyen, distribution des notes). Il ne voit pas votre progression individuelle détaillée, sauf si vous êtes inscrit à une cohorte avec suivi personnalisé.
• Ce qui est public : le nombre total d'apprenants inscrits à une formation est visible publiquement. Vos évaluations et commentaires publiés sont visibles par tous les utilisateurs. Votre nom d'utilisateur est associé à vos avis.
• Certificats : les certificats disposent d'une page de vérification publique accessible via un lien unique et un QR code. Cette page affiche votre nom, le titre de la formation, la date d'obtention et l'identifiant unique du certificat. Vous pouvez choisir de rendre vos certificats visibles sur votre profil public ou de les garder privés.

13.4 Conservation des données d'apprentissage

13.5 Données des Instructeurs

En tant qu'Instructeur, les données supplémentaires suivantes sont collectées et traitées :

• Candidature : domaines d'expertise, biographie professionnelle (FR et EN), liens professionnels (LinkedIn, site web, YouTube), motivation. Ces données sont conservées pendant la durée du statut d'Instructeur + 1 an.
• Revenus : montant des ventes par formation, commissions perçues, historique des paiements, solde du portefeuille Instructeur. Conservés 10 ans conformément aux obligations comptables.
• Analytics de cours : nombre d'inscrits, taux de complétion, notes moyennes, revenus par formation, données démographiques agrégées des apprenants (pays, langue). Ces données sont anonymisées et agrégées — aucune donnée personnelle individuelle d'apprenant n'est communiquée à l'Instructeur.

La base légale du traitement des données de formation est l'exécution du contrat (Article 6.1.b du RGPD) pour le suivi de progression, la délivrance de certificats et le traitement des transactions. Les recommandations personnalisées sont fondées sur l'intérêt légitime (Article 6.1.f du RGPD).

14. Modifications de la politique de confidentialité

Nous nous réservons le droit de modifier la présente Politique de Confidentialité à tout moment. Les modifications substantielles vous seront notifiées par email et par notification in-app au moins 30 jours avant leur entrée en vigueur. La date de dernière mise à jour est indiquée en haut de cette page.

Nous vous recommandons de consulter régulièrement cette page pour rester informé de nos pratiques en matière de protection des données personnelles. Les versions antérieures de cette politique sont archivées et consultables sur demande.

15. Contact

Pour toute question, demande ou réclamation relative à la protection de vos données personnelles, vous pouvez nous contacter :