Traduction ; en cas de divergence, la version allemande fait foi.
La présente politique s’applique à offrano.com et à toutes ses versions linguistiques. Elle comporte trois parties :
- Partie A pour toutes les personnes qui déposent une demande via Offrano (« demandeurs »),
- Partie B pour les entreprises qui achètent des demandes (« acheteurs »),
- Partie C pour tous les visiteurs du site.
Les sections D à I s’appliquent à tous.
1. Responsable du traitement
XARC Solutions SHPK, représentée par son administrateur Xhonatan Çopani Rruga Ali Demi, Ndërtesa P.263, Hyrja 1, Ap. 1, 1000 Tiranë, Albanie E-mail : contact@offrano.com
Offrano est une marque de XARC Solutions SHPK (« nous »).
2. Le fonctionnement d’Offrano en cinq phrases
Vous nous décrivez les travaux que vous souhaitez faire réaliser et à quel endroit. Nous vérifions votre numéro de téléphone par SMS et votre adresse e-mail par un lien de confirmation. Nous proposons ensuite la demande à des entreprises spécialisées — d’abord uniquement avec le code postal, la localité et vos informations sur les travaux, sans nom, rue, numéro de rue, numéro de téléphone ni adresse e-mail. Une seule entreprise peut acheter la demande ; elle nous paie pour cela. Avant que cette entreprise ne voie vos coordonnées, nous vous envoyons par e-mail son nom, son adresse et son numéro de téléphone.
Partie A — Demandeurs
A1. Données traitées
- Coordonnées : prénom, nom, adresse e-mail, numéro de téléphone, rue et numéro, code postal et localité, et pour les entreprises la raison sociale.
- Informations sur la demande : corps de métier et prestation choisis, pays, réponses au formulaire de demande (par exemple la surface habitable ou le fait d’être propriétaire) et, le cas échéant, un texte libre.
- Preuve de votre consentement : version du texte de consentement, le fait que vous avez coché la case de consentement, horodatage de la vérification par SMS et de la confirmation de l’e-mail, page sur laquelle vous avez déposé la demande, votre adresse IP lors de l’envoi, entreprise à laquelle la demande a été attribuée, moment où nous vous avons communiqué son nom et, le cas échéant, votre retrait.
- Origine de la demande : la page d’où vous venez (référent) et les identifiants de campagne figurant dans le lien (paramètres UTM), le cas échéant.
- Valeurs de contrôle : valeurs non réversibles (HMAC) calculées à partir de l’adresse e-mail et du numéro de téléphone, qui nous permettent de détecter les demandes en double et les abus sans devoir rechercher l’adresse en clair.
A2. Finalités et bases juridiques
| Finalité | Base juridique |
|---|---|
| Recevoir et vérifier la demande et la proposer à des entreprises avec le code postal et la localité, mais sans nom, rue, numéro de rue, numéro de téléphone ni adresse e-mail | Art. 6, par. 1, point b), du RGPD (contrat d’utilisation conclu avec vous, voir les conditions d’utilisation) |
| Transmission de vos coordonnées et de votre demande à une seule entreprise spécialisée et prise de contact par celle-ci par téléphone, SMS et e-mail | Art. 6, par. 1, point a), du RGPD (votre consentement exprès) ; à titre subsidiaire, art. 6, par. 1, point b), du RGPD, puisque vous avez vous-même demandé la mise en relation |
| Vérification du numéro de téléphone par SMS, confirmation de l’adresse e-mail | Art. 6, par. 1, point b), du RGPD et art. 6, par. 1, point f), du RGPD (notre intérêt à ne transmettre que des demandes authentiques et à empêcher l’usage abusif de numéros ou d’adresses de tiers) |
| Preuve de votre consentement, détection des doublons et des fraudes, traitement des réclamations des acheteurs | Art. 6, par. 1, point f), du RGPD (obligation de preuve selon l’art. 7, par. 1, du RGPD, protection contre les abus, défense contre des prétentions) |
| Rappel par Offrano en cas de réclamation : si l’acheteur signale qu’il ne parvient pas à vous joindre, ou s’il conteste la demande pour un autre motif, Offrano peut vous appeler pour examiner la réclamation et vous demander si votre projet est toujours d’actualité. Sont traités votre nom, votre numéro de téléphone, le numéro de la demande et le résultat de l’appel. | Art. 6, par. 1, point f), du RGPD (examen de la réclamation, facturation loyale envers l’acheteur) |
| Communication du nom, de l’adresse et du numéro de téléphone de l’acheteur | Art. 6, par. 1, point f), du RGPD (votre information et la traçabilité de la transmission) |
A3. Vérification par SMS et confirmation de l’e-mail
Après l’envoi, vous recevez un code par SMS au numéro indiqué. Ce n’est que lorsque vous le saisissez que le numéro est considéré comme vérifié. Nous vous envoyons ensuite un e-mail contenant un lien de confirmation (double opt-in). Une demande dont le numéro et l’adresse e-mail ne sont pas confirmés n’est proposée à aucune entreprise. Nous garantissons ainsi que personne ne peut déposer une demande avec vos données sans avoir accès à votre téléphone et à votre boîte e-mail.
A4. Transmission à une entreprise spécialisée
Qui voit la demande avant qu’elle ne soit vendue : dans la boutique, les acheteurs inscrits ne voient que le corps de métier, le pays, le code postal complet et la localité, les réponses du formulaire publiées en aperçu, l’ancienneté de la demande et le prix. Le nom, la rue, le numéro de rue, le numéro de téléphone et l’adresse e-mail ne sont jamais visibles avant l’achat.
Qui reçoit la demande : une seule entreprise spécialisée, qui intervient dans le corps de métier choisi dans votre région et qui achète la demande. L’entreprise nous paie pour la demande. Celle-ci n’est ensuite plus proposée à personne.
Ce que reçoit l’entreprise : nom, adresse e-mail, numéro de téléphone, adresse et vos informations sur la demande. Elle peut vous appeler et vous contacter par SMS ou par e-mail au sujet de cette demande.
Ce que vous recevez avant : dès qu’une entreprise a acheté la demande, nous vous envoyons automatiquement un e-mail indiquant son nom, son adresse et son numéro de téléphone. Ce n’est qu’ensuite que vos coordonnées lui sont affichées. L’e-mail contient un lien permettant de retirer votre consentement.
L’entreprise est responsable de traitement à titre propre. Dès la transmission, l’entreprise traite vos données sous sa propre responsabilité et selon sa propre politique de confidentialité. Elle est contractuellement tenue de n’utiliser vos données que pour répondre à votre demande, de ne pas les transmettre, de vous informer lors du premier contact de l’origine de vos données, de ne pas vous contacter plus de cinq fois en 14 jours, d’appliquer un retrait dans les 48 heures et de supprimer vos données si aucune commande n’est passée dans un délai de six mois.
Entreprises établies hors de l’UE/de l’EEE : Offrano est active dans plusieurs pays européens situés hors de l’UE. Si l’entreprise a son siège dans un pays pour lequel ni la Commission européenne ni — pour les demandes provenant du Royaume-Uni ou de Suisse — l’autorité de ces pays n’a constaté un niveau adéquat de protection des données, la transmission repose sur les clauses contractuelles types de la Commission européenne (art. 46, par. 2, point c), du RGPD), complétées pour les demandes provenant du Royaume-Uni par l’avenant britannique (International Data Transfer Addendum) ; les deux font partie de notre contrat avec l’entreprise. Le pays du siège de l’entreprise figure dans l’e-mail que vous recevez après l’achat. Une copie des clauses vous est remise sur demande.
A5. Retrait de votre consentement
Vous pouvez retirer votre consentement à tout moment pour l’avenir — par le lien figurant dans chacun de nos e-mails ou sans formalité à contact@offrano.com.
- Avant la vente : la demande disparaît immédiatement de la boutique et vos coordonnées sont supprimées.
- Après la vente : nous transmettons sans délai votre retrait à l’entreprise. Elle doit l’appliquer dans les 48 heures. Si vous avez entre-temps conclu vous-même un contrat avec l’entreprise, le traitement ultérieur est régi par ce contrat.
La licéité du traitement effectué avant le retrait n’est pas affectée. Nous conservons la preuve que vous avez consenti et retiré votre consentement, ainsi que les dates correspondantes (A6).
A6. Durée de conservation
| Données | Durée |
|---|---|
| Demande sans numéro de téléphone ni adresse e-mail confirmés | suppression au plus tard 7 jours après réception |
| Demande non vendue | au maximum 21 jours dans la boutique, suppression 60 jours après réception |
| Coordonnées et informations sur la demande après la vente | suppression 14 jours après la vente (délai de réclamation de 7 jours de l’acheteur plus le temps de traitement). Ne restent ensuite que le numéro de demande, le corps de métier, le pays, la région, le prix et les horodatages nécessaires à la facturation — sans nom ni coordonnées. |
| Demande après retrait avant la vente | coordonnées supprimées immédiatement |
| Preuve du consentement, y compris les valeurs de contrôle de l’e-mail et du téléphone | 3 ans à compter de la transmission ou du retrait |
| Code SMS | jusqu’à sa saisie, au plus tard jusqu’à l’expiration de sa validité |
| Résultat d’un rappel par Offrano en cas de réclamation | comme la réclamation : jusqu’à sa clôture ; ensuite ne reste que le résultat de la réclamation, sans vos données |
Chez l’entreprise, ses propres délais s’appliquent ; contractuellement, au maximum six mois en l’absence de commande (A4).
A7. Êtes-vous obligé de fournir des données ?
La demande est facultative. Sans nom, adresse e-mail, numéro de téléphone et localité, nous ne pouvons toutefois ni la vérifier ni la transmettre à une entreprise. Sans la case de consentement cochée, la demande n’est pas acceptée.
Partie B — Acheteurs (entreprises spécialisées)
B1. Données traitées
- Compte : nom et adresse e-mail de la personne de contact, horodatages et adresses IP des connexions. Vous vous connectez sans mot de passe : nous vous envoyons un code à usage unique à votre adresse e-mail ; le code n’est valable que peu de temps et est ensuite supprimé.
- Entreprise : raison sociale, forme juridique, pays, adresse, numéro de téléphone, numéro d’identification TVA ou extrait de registre, corps de métier et zones réservés, autorisation professionnelle ou commerciale garantie.
- Opérations commerciales : demandes achetées, paiements, factures, remboursements, réclamations avec leurs justificatifs (par exemple preuves d’appel), signalements de retraits et de violations de données.
B2. Finalités et bases juridiques
- Gérer le compte, vendre les demandes, facturer, traiter les réclamations : art. 6, par. 1, point b), du RGPD.
- Vérifier votre qualité de professionnel (consultation de votre numéro d’identification TVA dans le système MIAS/VIES de la Commission européenne ou examen d’un extrait de registre) : art. 6, par. 1, points b) et f), du RGPD (seules les entreprises peuvent acheter ; protection des demandeurs).
- Communication de votre raison sociale, de votre adresse et de votre numéro de téléphone au demandeur dont vous achetez la demande : art. 6, par. 1, point b), du RGPD (partie intégrante du contrat acheteur) et point f) (le demandeur doit savoir qui reçoit ses données). Si vous êtes entrepreneur individuel, il s’agit aussi de vos données personnelles.
- Conserver les factures et pièces comptables : art. 6, par. 1, point c), du RGPD.
- Détecter les abus et la revente, faire valoir nos droits : art. 6, par. 1, point f), du RGPD.
B3. Paiement
Vous payez chaque achat individuellement via le prestataire de paiement Stripe (carte, Apple Pay, Google Pay). Stripe crée à cet effet un dossier client pour votre entreprise. Vous saisissez vos données de carte et de paiement exclusivement chez Stripe. Si vous le souhaitez, Stripe enregistre votre moyen de paiement pour vos achats suivants ; nous n’en recevons que les informations nécessaires à l’affichage dans le compte (par exemple le type de carte et les quatre derniers chiffres), jamais les données complètes de la carte. Vous pouvez supprimer à tout moment le moyen de paiement enregistré dans votre compte. Stripe nous confirme si le paiement a eu lieu et nous transmet les informations nécessaires à son rapprochement (montant, identifiant du paiement, adresse e-mail). Les remboursements après une réclamation passent également par Stripe, sur le moyen de paiement utilisé. Stripe traite aussi les données sous sa propre responsabilité à des fins de prévention de la fraude. La base juridique est l’art. 6, par. 1, point b), du RGPD. Pour en savoir plus : stripe.com/privacy.
B4. Durée de conservation
| Données | Durée |
|---|---|
| Données du compte et de l’entreprise | pendant la durée de la relation commerciale ; supprimées après résiliation, sauf si l’un des délais suivants s’applique |
| Justificatif de la qualité de professionnel | jusqu’à 3 ans après la fin de la relation commerciale |
| Quelle demande vous avez achetée, quand, et quand le demandeur a été informé à votre sujet | 3 ans à compter de l’achat (preuve à l’égard des demandeurs et des autorités) |
| Moyen de paiement enregistré (chez Stripe) | jusqu’à ce que vous le supprimiez ou que le compte prenne fin |
| Factures, justificatifs de remboursement, pièces comptables | pendant la durée de conservation prescrite par la loi |
| Réclamations et justificatifs | jusqu’à la clôture de la réclamation ; ensuite uniquement le résultat et le montant, sans les données du demandeur |
Partie C — Tous les visiteurs
C1. Mise à disposition du site
Lors de la consultation, nous traitons les données techniquement nécessaires : adresse IP, date et heure, adresse consultée, référent, navigateur et système d’exploitation. C’est nécessaire pour afficher le site et le protéger contre les attaques (art. 6, par. 1, point f), du RGPD). Le site est diffusé via le réseau de Cloudflare ; Cloudflare traite à cette occasion les adresses IP pour parer aux attaques et accélérer l’affichage.
C2. Protection des formulaires (Cloudflare Turnstile)
Le formulaire de demande et la connexion des acheteurs sont protégés par Cloudflare Turnstile. Turnstile vérifie que la saisie émane d’un être humain et traite pour cela l’adresse IP, des informations sur le navigateur et l’appareil ainsi que des caractéristiques du comportement d’utilisation sur la page. Turnstile ne sert pas à la publicité. La base juridique est l’art. 6, par. 1, point f), du RGPD (protection contre les abus automatisés).
C3. Cookies et Google Analytics
Nous n’utilisons que des cookies strictement nécessaires, et Google Analytics 4 uniquement après votre consentement (art. 6, par. 1, point a), du RGPD ; en Allemagne, § 25, al. 1 TDDDG). Tant que vous n’avez pas donné votre accord, la balise Google est bloquée. Les détails figurent dans nos informations sur les cookies. Vous pouvez modifier votre choix à tout moment via « Paramètres des cookies » en bas de chaque page.
C4. Contact par e-mail
Si vous nous écrivez, nous traitons vos informations pour répondre à votre demande (art. 6, par. 1, point b) ou f), du RGPD) et les supprimons une fois la demande traitée, sauf obligation de conservation.
D. Destinataires et prestataires
Nous faisons appel aux prestataires suivants. Sauf indication contraire, ils traitent les données pour notre compte et selon nos instructions (art. 28 du RGPD).
| Prestataire | Mission | Siège / transfert de données |
|---|---|---|
| Contabo GmbH, Allemagne | serveur hébergeant la base de données des demandes | Allemagne (UE) |
| Cloudflare, Inc. | diffusion du site, DNS, protection contre les attaques, Turnstile | États-Unis ; EU-US Data Privacy Framework ou clauses contractuelles types |
| Resend, Inc. | envoi des e-mails (lien de confirmation, communication du nom, codes de connexion, factures) | États-Unis ; EU-US Data Privacy Framework ou clauses contractuelles types |
| Twilio | envoi des codes SMS | États-Unis ; clauses contractuelles types |
| Stripe | paiements et remboursements des acheteurs, moyens de paiement enregistrés (responsabilité propre pour la prévention de la fraude) | selon la société contractante, UE ou États-Unis ; clauses contractuelles types ou EU-US Data Privacy Framework |
| Google Ireland Limited | Google Analytics 4, uniquement après consentement | Irlande ; transfert vers les États-Unis possible, EU-US Data Privacy Framework ou clauses contractuelles types |
Autres destinataires : l’entreprise spécialisée qui achète votre demande (A4) et — lors de l’achat — le demandeur, qui reçoit le nom, l’adresse et le numéro de téléphone de l’acheteur (B2). Les autorités ne reçoivent des données que si la loi nous y oblige.
E. Notre siège en Albanie
Notre siège est en Albanie et nous n’avons pas d’établissement dans l’UE ni au Royaume-Uni. Comme nous proposons des services à des personnes se trouvant dans l’UE, le RGPD nous est applicable (art. 3, par. 2, du RGPD) ; pour les demandes provenant du Royaume-Uni, le UK GDPR et le Data Protection Act 2018 ; pour les demandes provenant de Suisse, la loi fédérale sur la protection des données (LPD). La loi albanaise sur la protection des données n° 124/2024, alignée sur le RGPD, s’applique également.
Il n’existe pas de décision d’adéquation de la Commission européenne pour l’Albanie ; la Suisse classe l’Albanie parmi les États offrant un niveau de protection adéquat. Vous saisissez vos données directement chez nous. Selon les lignes directrices 05/2021 du comité européen de la protection des données, il ne s’agit pas d’un transfert vers un pays tiers au sens du chapitre V du RGPD, mais d’une collecte par nos soins, à laquelle le RGPD s’applique directement. Les demandes sont enregistrées sur notre serveur en Allemagne.
F. Pas de décision automatisée
Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard (art. 22 du RGPD) et nous n’établissons pas de profils. L’entreprise qui reçoit une demande est déterminée uniquement par le fait qu’elle l’achète. Les vérifications automatisées (code SMS, lien de confirmation, contrôle des doublons, Turnstile) servent uniquement à distinguer les demandes authentiques des demandes falsifiées ; si votre demande est rejetée à tort, contactez-nous.
G. Sécurité
Nous enregistrons le nom, l’adresse e-mail, le numéro de téléphone, la rue et l’adresse IP chiffrés individuellement ; la clé ne se trouve pas dans la base de données. La transmission est chiffrée (TLS). Les notifications internes concernant les nouvelles demandes et les ventes ne contiennent aucune donnée personnelle.
H. Vos droits
Vous disposez d’un droit d’accès (art. 15 du RGPD), de rectification (art. 16), d’effacement (art. 17), de limitation du traitement (art. 18), de portabilité des données (art. 20) et du droit de retirer un consentement à tout moment pour l’avenir (art. 7, par. 3).
Droit d’opposition (art. 21 du RGPD) : lorsque nous traitons des données sur le fondement de l’art. 6, par. 1, point f), du RGPD, vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière. Nous cessons alors le traitement, sauf si nous démontrons des motifs légitimes et impérieux ou si le traitement sert à la constatation, à l’exercice ou à la défense de droits en justice.
Écrivez-nous pour cela à contact@offrano.com. Vous pouvez également exercer vos droits directement auprès de l’entreprise qui a acheté votre demande ; ses coordonnées figurent dans notre e-mail envoyé après l’achat.
Réclamation auprès d’une autorité de contrôle : vous pouvez introduire une réclamation auprès d’une autorité de protection des données, notamment dans le pays où vous résidez ou travaillez.
- UE/EEE : l’autorité de votre pays de résidence ; le comité européen de la protection des données en tient la liste sur edpb.europa.eu.
- Royaume-Uni : Information Commissioner’s Office (ICO), ico.org.uk.
- Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), edoeb.admin.ch.
- Albanie : Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale, idp.al.
- Dans les autres pays : l’autorité de protection des données compétente.
I. Modifications
Si nos processus évoluent, nous adaptons la présente politique. La version applicable est celle en vigueur au moment de l’envoi de votre demande ; nous enregistrons son identifiant de version avec votre consentement.