Protection des données
Politique de confidentialité
Dernière mise à jour : 7 août 2026
Mandaway traite deux catégories de données très différentes : celles des professionnels qui souscrivent au service, et celles des vendeurs que ces professionnels suivent. Le rôle de l'Éditeur n'est pas le même dans les deux cas, et cette distinction commande tout le reste.
1. Qui traite quoi
| Données | Rôle de Mandaway | Conséquence |
|---|---|---|
| Compte du professionnel, facturation, support, sécurité | Responsable de traitement | L'Éditeur détermine les finalités et répond directement des droits des personnes. |
| Vendeurs, mandants, prospects saisis par le professionnel | Sous-traitant (art. 28 RGPD) | Le professionnel est responsable de traitement. L'Éditeur n'agit que sur ses instructions, pour la seule fourniture du service, sans réutilisation. |
Responsable de traitement pour la première catégorie : FOSTER, dont les coordonnées figurent dans les mentions légales. Contact pour toute question relative aux données : hello@mandaway.fr.
2. Données traitées
2.1 Compte professionnel
Nom, prénom, adresse électronique, téléphone, nom de l'agence ou du réseau, logo et couleur de marque, plan souscrit, identifiant client du prestataire de paiement, date de création et date d'acceptation des conditions générales. Le mot de passe n'est jamais conservé en clair : seule une empreinte est stockée.
2.2 Données saisies par le professionnel sur ses clients
Selon les fonctions utilisées : identité et coordonnées du vendeur ou du mandant, adresse et caractéristiques du bien, prix et honoraires, contenu du mandat, comptes rendus de visite et retours d'acquéreurs, échéances de la vente, inscriptions au registre des mandats, et, si le formulaire public est activé, les coordonnées des personnes demandant une estimation.
Information des personnes concernées : ces données étant collectées par le professionnel dans le cadre de sa propre relation client, c'est à lui qu'il revient d'informer ses vendeurs et de recueillir, le cas échéant, leur consentement. Une demande adressée directement à l'Éditeur est transmise au professionnel concerné.
2.3 Support
Contenu des demandes d'assistance et des échanges qui s'y rapportent.
2.4 Données techniques
- Cookie de session strictement nécessaire à l'authentification,
déposé uniquement après connexion, en
HttpOnly,SameSite=LaxetSecure. Aucun cookie publicitaire, aucune mesure d'audience, aucun traceur tiers : le service ne présente donc pas de bandeau de consentement. - Limitation de débit contre les attaques par force brute : l'adresse IP n'est pas conservée en clair, seule une empreinte est écrite sur disque, purgée à l'expiration de la fenêtre de comptage (quelques minutes).
- Journaux techniques du serveur d'hébergement (horodatage, ressource appelée, code de réponse).
- Compteur de consultation des dossiers vendeur : un simple nombre de vues, sans identification du lecteur.
- Un service worker met en cache des ressources d'interface pour l'usage mobile ; il ne collecte aucune donnée.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Création et gestion du compte, fourniture du service | Exécution du contrat |
| Facturation et encaissement des abonnements | Exécution du contrat |
| Conservation des factures et pièces comptables | Obligation légale |
| Conservation des inscriptions au registre des mandats | Obligation légale du professionnel, pour laquelle l'Éditeur agit comme sous-traitant |
| Assistance et support | Exécution du contrat |
| Sécurité du service, prévention de la fraude et des abus | Intérêt légitime |
| Emails de service (compte rendu au vendeur, alerte d'échéance, lien de dossier) | Exécution du contrat, à l'initiative du professionnel |
Aucune donnée n'est utilisée à des fins de prospection commerciale par l'Éditeur, ni cédée, ni louée, ni revendue à des tiers.
4. Sous-traitants et destinataires
| Prestataire | Rôle | Données transmises | Localisation |
|---|---|---|---|
| IONOS | Hébergement | Ensemble des données du service | Union européenne |
| Stripe | Paiement et facturation | Email, nom, identifiant client, montants. Les données de carte sont saisies directement chez Stripe et ne transitent jamais par l'Éditeur. | Union européenne et États-Unis, encadré par les clauses contractuelles types |
| Mailjet | Envoi des emails de service | Adresse du destinataire et contenu du message | Union européenne |
| Base Adresse Nationale (api-adresse.data.gouv.fr) | Géocodage | Adresse saisie, sans identité associée | France, service public |
| CARTO et OpenStreetMap | Fonds de plan | Adresse IP du visiteur, du fait du chargement des tuiles | Union européenne et États-Unis |
| Font Awesome | Icônes de l'interface | Adresse IP du visiteur, du fait du chargement du script | États-Unis |
| Serveurs OpenTimestamps | Horodatage des registres | Uniquement une empreinte cryptographique : aucune donnée du registre, aucune identité, aucune adresse n'est transmise et l'empreinte ne permet pas de les reconstituer | International |
5. Durées de conservation
- Compte et dossiers : pendant toute la vie du compte, puis jusqu'à trente jours après une demande de suppression.
- Inscriptions au registre des mandats : dix ans, conformément aux obligations pesant sur le professionnel. Elles ne peuvent être ni modifiées ni effacées, la chaîne d'empreintes garantissant leur intégrité.
- Factures et pièces comptables : dix ans (article L. 123-22 du code de commerce).
- Demandes de support : trois ans après le dernier échange.
- Lien de réinitialisation de mot de passe : une heure, à usage unique.
- Invitation d'un collaborateur : sept jours.
- Empreintes de limitation de débit : quelques minutes.
- Journaux techniques : douze mois au plus.
6. Sécurité
Le service est servi exclusivement en HTTPS. Les mots de passe sont hachés, les requêtes à la base de données systématiquement préparées, les formulaires protégés contre la falsification de requête, les données de chaque professionnel cloisonnées par identifiant de compte, les tentatives de connexion limitées en fréquence, et les en-têtes de sécurité du navigateur activés. Les inscriptions au registre sont chaînées par empreinte et horodatées quotidiennement, ce qui rend toute altération détectable.
7. Vos droits
Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
Si vous êtes un professionnel client du service, adressez votre demande à hello@mandaway.fr. Une réponse est apportée dans un délai d'un mois.
Si vous êtes un vendeur ou un prospect dont les données ont été saisies par un professionnel, adressez-vous en premier lieu à ce professionnel, qui est responsable du traitement. Une demande reçue par l'Éditeur lui est transmise sans délai.
Certains droits connaissent des limites légales : les inscriptions au registre des mandats et les pièces comptables ne peuvent être effacées avant le terme de leur durée de conservation obligatoire.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (cnil.fr).
8. Décision automatisée
Les fourchettes de valeur et les recommandations de prix sont calculées automatiquement à partir de ventes publiques, mais elles ne produisent aucun effet juridique à l'égard d'une personne : elles sont soumises à l'appréciation du professionnel, qui les ajuste et décide seul. Il ne s'agit donc pas d'une décision automatisée au sens de l'article 22 du RGPD.
9. Modification de la présente politique
Toute évolution est publiée sur cette page avec une nouvelle date de mise à jour. En cas de changement substantiel, les professionnels clients en sont informés par courriel.