Politique de confidentialité

Dernière mise à jour : 30/08/2026

La présente Politique de confidentialité décrit comment Mécaly collecte, utilise et protège vos données personnelles. Elle fait partie intégrante des CGU/CGV (article 21) et s'applique à tous les Utilisateurs de l'application.

Article 1 — Responsable de traitement

Le responsable du traitement des données personnelles est l'éditeur de Mécaly :

Éditeur : Abdel-Nour Benyamina, entrepreneur individuel (micro-entreprise), exerçant sous le nom commercial « MECALY ».
SIREN : 107 888 943
SIRET : 107 888 943 00019 (établissement principal)
Siège / adresse : 91 Avenue de la République, 78130 Les Mureaux
Email de contact : contact@mecaly.fr
Téléphone : 07 67 78 12 86

Article 2 — Données collectées

Dans le cadre de l'utilisation de Mécaly, les données suivantes sont collectées :

Identité et contact : nom, adresse email, numéro de téléphone.
Connexion avec Google ou Apple : si vous créez votre compte ou vous connectez par l'un de ces deux boutons plutôt qu'avec un mot de passe, ces informations ne sont pas saisies par vous mais transmises par le fournisseur — adresse email, nom, et un identifiant qui relie votre compte Mécaly au sien. Le détail de ce que chacun des deux transmet figure à l'article 4.
Adresses d'intervention : adresses saisies pour les Interventions à domicile, géocodées pour la mise en relation. L'adresse exacte n'est jamais publiée : tant qu'une Annonce est ouverte, les Mécaniciens n'en voient que la ville et une position arrondie (environ un kilomètre), suffisante pour le calcul de distance.
Localisation de l'appareil : si vous l'autorisez, votre position est lue ponctuellement pour pré-remplir une adresse ou centrer une carte. Elle n'est pas enregistrée ni suivie en arrière-plan ; l'autorisation se retire dans les réglages du téléphone.
Véhicules : marque, modèle, année, énergie, motorisation, date de première immatriculation, immatriculation, kilométrage.
Carnet d'entretien : entretiens enregistrés (date, kilométrage, nature, facture), pleins de carburant (date, volume, montant, station) et documents du véhicule que vous choisissez d'y ranger (carte grise, attestation d'assurance, contrôle technique, factures). Ces documents sont stockés dans un espace privé, accessible à vous seulement ; Mécaly ne les communique à aucun autre Utilisateur.
Photos : photographies jointes aux Annonces, pièces jointes des conversations, photos de réalisations, photo du véhicule dans votre carnet et photo de profil (avatar). Les photos jointes à une Annonce laissent en plus une empreinte : un court code calculé à partir de l'image, qui ne permet ni de la reconstituer ni de la retrouver, mais permet de reconnaître qu'une image déjà retirée par la modération revient sous un autre nom.
Messages : échanges entre Utilisateurs via la messagerie de la plateforme.
Civilité : la mention « homme » ou « femme », si vous choisissez de la renseigner dans votre profil. Elle est facultative et ne sert qu'à accorder les textes qui vous sont adressés (« inscrit » ou « inscrite ») ; elle n'apparaît sur aucune fiche visible des autres Utilisateurs.
Données professionnelles (Mécaniciens) : numéro SIRET, documents de vérification, statut déclaré, zone d'activité et spécialités.
Données fiscales (Mécaniciens) : au titre de nos obligations d'opérateur de plateforme (article 22 des CGU/CGV), nous collectons vos nom et prénom, date de naissance, numéro d'identification fiscale (NIF) et pays de délivrance, raison sociale, numéro de TVA intracommunautaire et adresse fiscale. Ces informations ne servent qu'à la déclaration prévue à l'article 242 bis du CGI et ne sont communiquées à aucun autre Utilisateur.
Données de paiement : le paiement lui-même est traité exclusivement par Stripe — Mécaly ne détient ni ne stocke aucune donnée de carte bancaire. Mécaly conserve en revanche la trace comptable de chaque transaction : montants, frais de service, dates, statut, identifiants Stripe et lien vers le reçu.
Signalements et litiges : motif et description que vous rédigez lorsque vous signalez un souci, un contenu ou un Utilisateur, ainsi que la suite qui y est donnée.
Notifications : identifiant technique de notification de votre appareil (jeton push) et plateforme, si vous activez les notifications, ainsi que vos préférences de notification et vos consentements.
Journaux techniques : traces horodatées des actions sensibles (journal d'audit), compteurs anti-abus et événements de fonctionnement de la place de marché (par exemple : une Annonce a été publiée, une Offre acceptée, un litige ouvert). Ces journaux ne contiennent ni contenu de message, ni nom, ni adresse : seulement des identifiants techniques, des montants et des dates.
File de modération : un filtre automatique examine les messages, les avis, les Annonces et les présentations professionnelles avant publication (article 10 des CGU/CGV). Quand il retient un texte sans le refuser, une ligne est déposée dans une file que seuls les administrateurs de Mécaly peuvent lire, et elle porte le début du texte concerné — 280 caractères au plus — avec la référence de son auteur. Cet extrait existe pour une raison précise : un texte retenu doit pouvoir être jugé par une personne, y compris après que son auteur l'a effacé. Il ne sert à rien d'autre. La même chose vaut lorsqu'un Utilisateur signale un message : le passage signalé accompagne l'alerte envoyée à l'équipe.
Historique : historique des Interventions, avis publiés et comptes que vous avez bloqués.

Article 3 — Finalités et bases légales

Chaque traitement repose sur une base légale :

Exécution du contrat : création et gestion du compte, publication des Annonces et Offres, mise en relation, messagerie, paiement sécurisé, historique des Interventions et avis, carnet d'entretien, et emails et notifications de suivi indispensables au service (offre reçue, paiement, rappel de rendez-vous, validation, remboursement) — ceux-là ne relèvent pas du marketing et ne peuvent pas être désactivés tant que le compte est actif.
Obligation légale : conservation des données comptables et de paiement, obligations déclaratives d'opérateur de plateforme (DAC7, article 242 bis du CGI), réponse aux réquisitions des autorités.
Intérêt légitime : sécurité de la plateforme, prévention de la fraude et des abus, limitation du nombre d'actions par utilisateur, traitement des signalements, journalisation technique des erreurs et mesure du bon fonctionnement du service.
Consentement : envoi d'emails et de notifications non essentiels — rappels d'entretien, relances et conseils (opt-in strict, cases décochées par défaut, retirable à tout moment depuis Profil puis Notifications) ; accès à la localisation de l'appareil ; utilisation d'un Contenu à des fins de promotion (article 20 des CGU/CGV).

Article 4 — Destinataires et sous-traitants

L'autre partie à une Intervention. Lorsqu'une Offre est acceptée, le Client et le Mécanicien reçoivent réciproquement les informations nécessaires à la réalisation de l'Intervention : nom, téléphone, adresse exacte du rendez-vous et détail du véhicule. Avant cette acceptation, seuls la ville et une position approximative sont visibles (article 5 des CGU/CGV).

Les prestataires techniques, limités à ceux qui sont nécessaires au fonctionnement du service :

Supabase : hébergement de la base de données et des fichiers. Les données sont stockées dans l'Union européenne (centres de données situés en région UE).
Stripe (Stripe Payments Europe, Ltd.) : traitement des paiements, versements aux Mécaniciens et remboursements.
OVH SAS (France) : acheminement des emails transactionnels du service (confirmation, notification de suivi, réponse à une demande RGPD), depuis nos propres serveurs via le compte de messagerie professionnel Mécaly. Aucun prestataire d'envoi d'emails tiers n'est utilisé.
Expo (Exponent, Inc., États-Unis), puis Apple ou Google selon votre téléphone : acheminement des notifications push. Ce que reçoit ce circuit, c'est le jeton de votre appareil et le texte de la notification — lequel peut contenir le prénom de votre interlocuteur et le début d'un message. Expo héberge par ailleurs les mises à jour de l'application : à chaque lancement, l'application lui demande s'il en existe une nouvelle, ce qui lui fait connaître l'adresse IP de votre appareil, son système et la version installée. Aucune donnée de compte n'accompagne cette requête.
API Adresse (service public français, data.gouv.fr) : autocomplétion et géocodage des adresses que vous saisissez.
Apple (sur iPhone) ou Google (sur Android) : fonds de carte des écrans qui affichent un lieu ou une zone d'intervention. Aucune donnée de compte ne leur est transmise ; ils reçoivent l'adresse IP de votre appareil et la zone géographique affichée.
Sentry (Functional Software, Inc., société américaine ; données ingérées et conservées dans sa région européenne, en Allemagne) : journalisation technique des erreurs, aussi bien côté serveur que dans l'application installée sur votre téléphone. Ce qui part automatiquement se limite à des identifiants techniques, des codes d'erreur, des montants et le contexte de l'appareil (modèle, version du système, version de l'application) : ni votre nom, ni votre adresse email, ni le contenu de vos messages, ni aucune donnée bancaire n'y sont joints, et aucun identifiant de compte n'est attaché d'office à une erreur. Il en va autrement du bouton « Signaler ce problème » proposé après un plantage : si vous l'utilisez, le texte que vous rédigez est transmis tel quel, accompagné de l'identifiant de votre compte — n'y écrivez que ce que vous acceptez de nous transmettre.

Si vous vous connectez avec Google ou Apple. Ces deux boutons sont facultatifs : un compte peut toujours être créé avec une adresse email et un mot de passe, et rien de ce qui suit ne se produit si vous ne les utilisez pas. Quand vous les utilisez, l'échange va dans les deux sens.

Google nous transmet votre adresse email, votre nom et prénom, l'adresse de votre photo de profil Google et l'identifiant de votre compte Google. De tout cela, Mécaly n'utilise que votre nom et votre adresse email, et ne demande aucun autre accès à votre compte : ni vos contacts, ni votre agenda, ni vos fichiers, ni la permission d'agir en votre nom hors de la connexion elle-même.
Apple nous transmet votre adresse email et un identifiant qui n'est valable que pour Mécaly — le même compte Apple donne un identifiant différent à chaque éditeur d'application. Deux particularités méritent d'être connues. D'une part, si vous choisissez « Masquer mon adresse email », nous ne recevons qu'une adresse de relais en privaterelay.appleid.com : nos messages vous parviennent, mais votre véritable adresse ne nous est jamais communiquée — et si vous désactivez ce relais depuis vos réglages Apple, nous n'avons plus aucun moyen de vous écrire. D'autre part, Apple ne transmet votre nom qu'à la toute première connexion, jamais aux suivantes et sans possibilité de le redemander : l'application l'enregistre donc à cet instant précis. Si vous l'aviez refusé, votre compte reste sans nom jusqu'à ce que vous le saisissiez vous-même dans votre profil.

Dans l'autre sens, Google ou Apple apprennent que vous possédez un compte Mécaly et à quel moment vous vous y connectez. Ce que ces sociétés en font relève de leur propre politique de confidentialité, sur laquelle Mécaly n'a pas la main.

Transferts hors Union européenne. L'hébergement des données, le traitement des paiements, l'envoi des emails et la journalisation des erreurs ont lieu dans l'Union européenne. Plusieurs de ces prestataires sont toutefois des sociétés établies hors de l'Union (Supabase à Singapour, Sentry et Expo aux États-Unis) : un accès à vos données depuis leur pays d'établissement reste possible, notamment pour leur support technique. Par ailleurs, l'acheminement des notifications push, l'affichage des cartes, la recherche des mises à jour de l'application et, si vous l'utilisez, la connexion avec Google ou Apple passent nécessairement par des serveurs situés hors de l'Union.

Ces transferts sont encadrés par les garanties prévues au chapitre V du RGPD : clauses contractuelles types de la Commission européenne figurant aux accords de traitement des données de ces prestataires, et, pour ceux qui en bénéficient, certification au titre du cadre de protection des données UE—États-Unis (EU-US Data Privacy Framework). Vous pouvez demander une copie de ces garanties à contact@mecaly.fr.

Ces transferts sont limités à ce que ces fonctions exigent, et trois d'entre eux dépendent de vous : refuser les notifications push, ne pas ouvrir les écrans de carte, et créer votre compte avec une adresse email plutôt qu'avec Google ou Apple.

Mécaly ne vend aucune donnée personnelle, ne la loue pas, ne la transmet à aucun courtier en données, et n'utilise aucun traceur publicitaire.

Article 5 — Durées de conservation

Compte actif : les données sont conservées pendant toute la durée d'utilisation du compte.
Suppression du compte : le traitement est engagé immédiatement et achevé sous 30 jours au plus tard. Concrètement, sont effacés : votre nom, votre email, votre téléphone, votre photo de profil, vos adresses enregistrées, vos véhicules et tout leur carnet d'entretien (entretiens, pleins, documents du véhicule), vos justificatifs professionnels, vos photos d'annonces et vos pièces jointes de conversation, vos jetons de notification et vos préférences. Le texte de vos messages et de vos avis est également effacé, et votre nom y est remplacé par la mention « Compte supprimé ».
Ce qui est conservé malgré la suppression, et pourquoi : la note (le chiffre) que vous avez attribuée à un Mécanicien reste comptée dans sa moyenne — la retirer réécrirait sa réputation après coup ; les Interventions et leurs paiements (montants, dates, frais de service, identifiants Stripe) et le numéro SIRET d'un Mécanicien, parce que la loi comptable l'impose ; les données fiscales DAC7 d'un Mécanicien, tant que l'obligation déclarative de l'article 242 bis du CGI y attache une échéance ; les Annonces passées, privées de leurs photos et rattachées à un compte anonymisé, parce qu'elles font partie de transactions auxquelles une autre personne était partie.
Données comptables et de paiement : conservées 10 ans, conformément aux obligations comptables légales de Mécaly.
Journaux techniques : les traces d'audit et les événements de fonctionnement sont conservés pour la sécurité et la mesure du service ; à la suppression du compte, ils cessent d'être rattachés à une personne identifiée.

Article 6 — Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données : accès, rectification, effacement, opposition, limitation et portabilité, ainsi que du droit de retirer votre consentement à tout moment lorsqu'un traitement repose sur lui.

Deux de ces droits s'exercent directement dans l'application, sans rien demander à personne, depuis Profil puis Confidentialité et documents : télécharger une copie de vos données dans un fichier lisible (droits d'accès et de portabilité), et supprimer votre compte (droit à l'effacement, dans les limites décrites à l'article 5).

Pour les autres droits, ou si l'export ne vous suffit pas, écrivez à contact@mecaly.fr. Mécaly répond dans un délai d'un mois à compter de la demande, porté à trois mois si la demande est complexe — nous vous en informons dans le premier mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) — www.cnil.fr.

Article 7 — Sécurité

Mécaly met en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données, notamment le chiffrement des données en transit et un contrôle d'accès strict en base de données (règles de sécurité au niveau des lignes — RLS) : chaque Utilisateur n'accède qu'aux données qui le concernent.

Les fichiers que vous déposez (justificatifs professionnels, documents du véhicule, factures d'entretien, photo de votre véhicule, pièces jointes de conversation) sont rangés dans des espaces de stockage privés : ils ne sont jamais accessibles par une adresse publique, mais uniquement par un lien temporaire délivré aux seules personnes autorisées à les voir. Seule la photo de profil est publique, par nature.

Les photos jointes à une Annonce suivent une autre règle, et c'est voulu : pour chiffrer une réparation, un Mécanicien doit voir la panne — avant d'avoir été mis en relation avec vous, puisque c'est précisément ce qu'il doit décider. Ces photos sont donc lisibles par les comptes de l'application, sans lien préalable avec vous. Elles restent inaccessibles sans être connecté et ne sont indexées par aucun moteur de recherche, mais n'y faites pas figurer ce que vous ne montreriez pas à un inconnu : une plaque d'immatriculation, des papiers, l'intérieur d'un logement. Elles sont supprimées avec votre compte.

Aucune mesure ne rendant un système invulnérable, nous vous invitons à choisir un mot de passe unique et à nous signaler sans délai toute utilisation anormale de votre compte.