Confidentialité sur GoodHand
Cette page liste ce que le système stocke sur les personnes, d'après sa base de données et ses réglages. Elle ne promet rien que le code ne tienne pas.
En bref
- Nous ne vendons jamais vos données, et nous ne partageons jamais votre numéro de téléphone ni votre adresse, sauf votre adresse avec l'artisan que vous choisissez.
- Nous ne demandons pas votre numéro de téléphone. Vous vous connectez avec une adresse e-mail, ou sans connexion si vous demandez simplement un artisan depuis votre téléphone.
- Votre adresse postale va uniquement à l'artisan que vous choisissez. Elle est supprimée à la clôture de la demande, et au plus tard 30 jours après la confirmation de l'intervention.
- Nous gardons votre position seulement sous forme de petite cellule de carte, à peu près un quartier (0.7 km2), jamais comme un point précis.
- Quelques autres entreprises traitent des données pour nous, comme l'hébergement et l'IA qui lit votre problème. Elles sont listées plus bas sous « Qui d'autre traite des données ».
Ce qui est stocké
| Donnée | Quoi exactement | Combien de temps |
|---|---|---|
| Compte | Adresse e-mail (pour les personnes qui se connectent par e-mail), nom affiché, langue de l'interface, personne ou agent, description d'un agent, date de création. Il n'y a pas de mot de passe. | Jusqu'à la suppression du compte. La suppression efface l'e-mail, le nom et la description. |
| Sessions de connexion | Un hachage du jeton de session (pas le jeton), les 300 premiers caractères de l'agent utilisateur de votre navigateur, la date de création et la date de fin. | 90 jours, puis suppression. |
| Liens de connexion | Votre adresse e-mail et un hachage du lien à usage unique. | Le lien fonctionne pendant 24 heures. L'enregistrement est supprimé 7 jours après son expiration. |
| Clés API et autorisations | Un hachage de chaque clé (jamais la clé elle-même), ses portées, son libellé, sa dernière utilisation, et ce qu'une personne a autorisé pour un agent. | Jusqu'à la révocation ou la suppression du compte. |
| Téléphones | La clé publique d'un téléphone qui a fait un scan de porte, signé une photo ou confirmé une intervention, avec la date de première et de dernière utilisation. | Jusqu'à la suppression du compte, sauf si une intervention ou une photo renvoie encore à ce téléphone. |
| Comptes anonymes | Un compte lié à un téléphone, sans e-mail, créé quand vous demandez un artisan sans vous connecter. | Supprimé après 180 jours s'il n'a ni session, ni demande, ni intervention. |
| Lieux | Le domicile d'un artisan sous forme de cellule de carte (un hexagone d'environ 5.2 km2, résolution H3 7) ; la recherche mesure depuis le centre de cette cellule, jamais depuis une adresse postale. Le lieu d'une demande sous forme de cellule plus petite (environ 0.7 km2, résolution 8) et sa ville. | Tant que le profil ou la demande existe. |
| Adresse postale | L'adresse saisie par un client dans une demande. Elle est stockée chiffrée (AES-256-GCM) avec une clé conservée hors de la base de données. | Effacée à l'expiration ou à la clôture de la demande, quand l'intervention est annulée ou signalée comme un rendez-vous manqué, et au plus tard 30 jours après la confirmation du client. |
| Position du scan de porte | Les coordonnées du téléphone du client pendant que le code de porte est affiché. | Les coordonnées du client sont effacées après le scan ou après 120 secondes. Seule la distance en mètres entre les téléphones est conservée. |
| Demandes | Ce que vous avez écrit, la photo du problème, le type d'intervention et les horaires. La photo et le texte peuvent être lus par un modèle d'IA (voir qui d'autre traite des données). | Le texte reste avec l'enregistrement de la demande. Les photos du problème sont supprimées du stockage après 90 jours. Une demande dure 72 heures. |
| Photos d'intervention | Les photos avant et après prises par un artisan, avec l'heure et le téléphone qui les a signées. | Conservées comme partie de l'historique de preuves. Aucune règle de suppression automatique n'existe aujourd'hui. |
| Interventions | L'artisan et le client (par compte), le type d'intervention, la cellule de zone, le prix indiqué par chaque partie, le dessin de signature du client s'il y en a un, les distances entre téléphones et un journal horodaté de ce qui s'est passé. | Conservées pour que l'historique de preuves d'un artisan reste complet. Supprimer votre compte retire votre nom d'une intervention, pas l'intervention. |
| Anciens clients importés | L'adresse e-mail du client jusqu'à ce qu'il confirme l'intervention, et un hachage à sens unique qui permet au classement de ne compter un client qu'une fois. Le nom du client sert dans l'e-mail et n'est pas stocké. | L'adresse est effacée quand le client confirme. Le hachage reste. |
| Signalements concernant un artisan | Le motif, ce que vous avez écrit, et votre e-mail uniquement si vous avez choisi de le laisser. L'artisan ne sait jamais qui a signalé. | Jusqu'à la suppression du compte de l'artisan. Votre e-mail est supprimé quand vous supprimez votre compte. |
| Compte Google ou Microsoft connecté (artisans) | L'adresse de la boîte mail, les fonctions autorisées (contacts, lecture des e-mails, envoi d'e-mails) et les jetons d'accès, chiffrés. Les contacts et les e-mails ne sont lus que lorsque vous demandez un import ou une analyse. | Jusqu'à la déconnexion. Elle révoque l'accès chez le fournisseur et efface les jetons. |
| E-mails transférés | Courriers envoyés à l'adresse de transfert GoodHand d'un artisan, tels que reçus, dans un stockage privé, et utilisés pour faire une demande. | Supprimés du stockage après 30 jours. |
| Notifications | Messages dans l'appli (les mêmes événements qu'un agent reçoit par webhook ou en consultant son flux d'événements), e-mail activé ou non, abonnement push de votre navigateur, ainsi que les adresses webhook et les secrets de signature qu'un agent enregistre. | Messages et événements : 30 jours, puis supprimés. Le reste jusqu'à la suppression du compte. |
| Réseaux depuis lesquels vous vous connectez | Un hachage à clé du réseau que vous utilisez (l'adresse IPv4 ou la première moitié d'une adresse IPv6), jamais l'adresse elle-même. Sert uniquement à repérer un artisan qui confirme ses propres chantiers. | 30 jours après la dernière utilisation, puis supprimé. Supprimé avec le compte. |
| Journaux et compteurs | Une ligne de journal par page demandée : chemin, type de robot ou humain, statut. Aucune adresse IP ni user agent complet. Des compteurs de limitation de débit indexés par un hachage de l'adresse IP. Un journal d'audit des actions sur les comptes (qui, quoi, quand). | Journaux du serveur : 30 jours. Compteurs : 2 heures. Sauvegardes de la base : 7 jours. Le journal d'audit n'a aujourd'hui aucune règle de suppression. |
Ce que le public voit
La page publique d'un artisan affiche son nom d'affichage, ses métiers, sa ville, ses langues, le nombre de chantiers par échelon, ses fourchettes de prix, ainsi que le mois et la zone des chantiers récents. Elle n'affiche jamais d'adresse, de client ni le prix d'un chantier.
Qui voit quoi
- Vous, en tant que client : vos propres demandes, offres et chantiers.
- Les artisans que vous sollicitez (jusqu'à 3) : le problème que vous avez décrit, sa photo et la zone. Pas votre nom ni votre adresse.
- L'artisan que vous choisissez : le chantier, votre nom d'affichage si vous en avez défini un, et l'adresse postale.
- Un agent : uniquement ce qu'une personne lui a accordé, dans les limites qu'elle a fixées.
- Les personnes qui font fonctionner GoodHand peuvent lire la base de données pour l'exploiter. L'adresse postale y est chiffrée.
Comment supprimer vos données
Dans l'app : Compte, puis Supprimer mon compte. Pour un agent ou un script : DELETE /api/v1/me avec le corps confirm = delete ; ajoutez d'abord ?dry_run=true pour voir ce qui se passerait. Une personne peut supprimer de son côté un agent qu'elle a déclaré sien.
Supprimés immédiatement : votre e-mail, votre nom et votre description, les sessions, les clés API, les abonnements push, les notifications, les webhooks, les autorisations que vous avez accordées, et les numéros de téléphone auxquels aucun chantier ni aucune photo ne renvoie.
Non supprimé aujourd'hui : la page d'un artisan est masquée, pas effacée (son nom, ses métiers et sa zone restent dans le registre) ; les demandes, les chantiers et leurs photos restent sans votre nom ; le journal d'audit reste. Supprimé avec le compte : les e-mails des clients qui attendent encore un lien de confirmation (leurs liens ne fonctionnent plus), et les jetons d'un compte Google ou Microsoft connecté, afin que GoodHand ne puisse plus lire ni envoyer de messages avec ce compte. Ce compte continue d'afficher GoodHand comme application tant que vous ne l'y retirez pas, ou que vous ne le déconnectez pas d'abord dans GoodHand.
Qui d'autre traite des données
- Amazon Web Services : hébergement, base de données, stockage de fichiers, diffusion de contenu, et envoi et réception d'e-mails.
- Anthropic : quand un problème est lu, la photo (s'il y en a une), vos mots, votre langue et la liste des types de chantier sont envoyés à l'API d'Anthropic. Rien d'autre. Le texte de l'app est aussi traduit avec elle pendant sa fabrication, sans aucune donnée personnelle.
- Google ou Microsoft : uniquement si un artisan connecte un compte ; ils sont appelés pour lire les contacts ou le courrier à sa demande.
- Le service push de votre navigateur (Apple, Google, Mozilla ou Microsoft) : uniquement si vous activez le push ; il achemine la notification.
- Toute adresse qu'une personne ou un agent enregistre comme webhook reçoit les données des événements de ce compte.
- Aucun service d'analyse, de publicité ou de suivi n'est utilisé.
Les chiffres de cette page sont générés à partir du code au commit 49574b3fc41b. Version lisible par machine de cette page (JSON)
Consulter des artisans pour votre chantier
Autres langues: English · español · português · Deutsch · italiano · polski · українська · Türkçe · हिन्दी · Indonesia · 日本語 · 中文 · العربية · català · فارسی · shqip · հայերեն · Nederlands · svenska · azərbaycan · bosanski · বাংলা · български · Melayu · རྫོང་ཁ · беларуская · Ελληνικά · čeština · dansk · አማርኛ · eesti · suomi · føroyskt · ქართული · hrvatski · Haitian Creole · magyar · עברית · íslenska · кыргызча · ខ្មែរ · 한국어 · қазақ тілі · ລາວ · සිංහල · lietuvių · Lëtzebuergesch · latviešu · română · српски · македонски · မြန်မာ · монгол · Filipino · Malti · Divehi · Nyanja · norsk · नेपाली · اردو · русский · Ikinyarwanda · slovenščina · slovenčina · Soomaali · ไทย · тоҷикӣ · türkmen dili · lea fakatonga · Kiswahili · o‘zbek · Tiếng Việt · Bislama · Samoan · isiZulu