Vos données personnelles
Quelles données sont traitées, pourquoi, combien de temps, qui y a accès — et comment reprendre la main sur chacune d'elles. Aucune donnée n'est vendue, aucune publicité n'est affichée.
Dernière mise à jour : 11 septembre 2026
Cette page attend encore quelques informations
Le texte ci-dessous décrit fidèlement ce que Marel fait aujourd'hui. Il manque en revanche 6 informations que seul l'éditeur du service peut fournir, et qui sont obligatoires avant l'ouverture au public :
- Éditeur — Votre nom et prénom si vous exercez en nom propre, ou la dénomination sociale de la société.
- Forme juridique — Entrepreneur individuel, micro-entreprise, SASU, SARL… et le capital social le cas échéant.
- SIRET — Le numéro SIRET à quatorze chiffres, et le RCS avec sa ville d'immatriculation si vous êtes en société.
- Siège — L'adresse postale complète. Une adresse de domiciliation convient si vous ne souhaitez pas publier la vôtre.
- Directeur ou directrice de la publication — La personne physique responsable du contenu publié — vous, dans la plupart des cas.
- TVA intracommunautaire — Le numéro de TVA, ou la mention « TVA non applicable, article 293 B du CGI » si vous êtes en franchise.
À renseigner dans lib/legal/editeur.ts. Ces textes doivent par ailleurs être relus par un professionnel du droit avant l'activation des paiements : ils sont sérieux et fidèles au produit, ils ne remplacent pas un avis juridique.
1. Qui est responsable de quoi
Pour les données des enfants accueillis, c'est l'assistante ou l'assistant maternel qui est responsable du traitement. Marel agit alors comme sous-traitant, au sens de l'article 28 du RGPD : il traite ces données uniquement sur instruction du professionnel, et ne les utilise pour aucune autre finalité.
Marel est en revanche responsable de traitement pour ce qui lui appartient en propre : la création et la gestion des comptes professionnels, les abonnements et la facturation, l'annuaire et les mises en relation, les annonces déposées par les familles, et la mesure d'audience des pages publiques.
Les présentes conditions, complétées le cas échéant par un accord de sous-traitance signé à la demande du professionnel, valent contrat au sens de l'article 28.3 du RGPD.
2. Quelles données sont traitées
Le professionnel
- Identité et contact : nom, prénom, adresse de courriel, téléphone, commune et code postal, civilité.
- Données professionnelles : numéro d'agrément, assurances, horaires, tarifs, projet d'accueil.
- Numéro de sécurité sociale, uniquement s'il est saisi pour figurer sur un contrat de travail — chiffré.
- Données de connexion : mot de passe haché, journal des accès sensibles, appareils déclarés de confiance.
Les familles et les enfants accueillis
- Parents : nom, prénom, adresse de courriel, téléphone, adresse postale lorsqu'elle figure au contrat, code d'accès à six chiffres (haché).
- Enfant : prénom, nom, date de naissance, dates d'arrivée et de départ, photographies lorsque les parents y ont consenti.
- Vie de l'accueil : transmissions, repas, siestes, changes, heures d'arrivée et de départ, absences, fournitures.
- Données de santé (article 9 du RGPD) : allergies, protocoles d'accueil individualisé, traitements, vaccinations, événements de santé, documents médicaux. Ces données sont chiffrées valeur par valeur.
- Observations et inquiétudes consignées sur un enfant : chiffrées, au même titre que les données de santé.
Les familles en recherche de place
- Adresse de courriel, commune, contenu de l'annonce, âge de l'enfant à accueillir et date souhaitée.
- Messages échangés avec les professionnels, et numéros de téléphone révélés le cas échéant.
Aucune donnée bancaire n'est collectée ni conservée par Marel : les paiements sont opérés directement par Stripe.
3. Pourquoi, et sur quelle base légale
- Fournir le service et exécuter le contrat (art. 6.1.b) : comptes, transmissions, planning, pointage, documents administratifs, abonnements.
- Consentement explicite (art. 9.2.a) : les données de santé de l'enfant et les photographies, recueillis auprès des titulaires de l'autorité parentale, enfant par enfant et usage par usage. Ce consentement se retire à tout moment, et son retrait produit effet immédiatement, y compris sur ce qui a déjà été publié.
- Obligation légale (art. 6.1.c) : conservation des pièces comptables, réponse aux demandes des autorités.
- Intérêt légitime (art. 6.1.f) : sécurité du service, prévention des abus, amélioration du produit à partir de données agrégées ne permettant d'identifier personne.
- Consentement (art. 6.1.a) : mesure d'audience sur les pages publiques, notifications sur l'appareil, courriels d'information.
Aucune donnée n'est vendue, louée, cédée ni utilisée à des fins publicitaires. Aucune publicité n'est affichée dans Marel. Aucun profilage n'est réalisé, et aucune décision automatisée produisant des effets juridiques n'est prise.
4. Qui y a accès
À l'intérieur du service, l'accès est strictement cloisonné : un professionnel ne voit que ses propres dossiers, une famille ne voit que le sien. Ce cloisonnement est appliqué à chaque lecture et à chaque écriture, et non par convention.
À l'extérieur, seuls interviennent les prestataires techniques suivants, chacun limité à ce que son rôle exige :
- Vercel Inc. — Hébergement de l'application et exécution du code (Région de traitement Paris (cdg1), France, transferts encadrés par les clauses contractuelles types de la Commission européenne).
- OVH SAS — Hébergement de la base de données (France).
- Resend, Inc. — Envoi des courriels du service (lien d'accès d'une famille, avis de dépôt d'annonce). Aucun contenu de dossier d'enfant n'y transite. (États-Unis, transferts encadrés par les clauses contractuelles types de la Commission européenne).
- Stripe Payments Europe, Ltd. — Encaissement des abonnements et des achats à l'unité. Marel ne voit ni ne conserve aucun numéro de carte. (Irlande).
- geo.api.gouv.fr (État français) — Conversion d'un code postal en commune, pour l'annuaire. Reçoit un code postal, jamais une adresse ni une identité. (France).
- Google Ireland Ltd. (Google Analytics) — Mesure d'audience, uniquement sur les pages publiques listées et uniquement après acceptation. Éteinte tant qu'aucun identifiant de mesure n'est configuré. (Irlande, transferts encadrés par les clauses contractuelles types de la Commission européenne).
Les données sont hébergées et traitées dans l'Union européenne. Lorsqu'un prestataire appartient à un groupe établi hors de l'Union, les transferts éventuels sont encadrés par les clauses contractuelles types et par les garanties complémentaires prévues au chapitre V du RGPD.
Le personnel de l'éditeur n'accède aux données d'un compte que sur demande de son titulaire ou en cas d'incident technique, et chaque accès de cette nature laisse une trace.
5. Combien de temps
- Dossier d'un enfant : trente-six mois après son départ par défaut, durée réglable par le professionnel. Passé ce délai, le dossier est effacé automatiquement.
- Compte professionnel : pendant toute la durée d'utilisation, puis douze mois après la dernière connexion, avant suppression après avertissement.
- Espace famille : tant que l'accueil dure, puis dans le délai de conservation choisi pour le dossier de l'enfant.
- Annonce d'une famille en recherche : douze mois, ou jusqu'à sa suppression par la famille.
- Pièces comptables et factures : dix ans, comme l'impose le code de commerce.
- Journal des accès : douze mois.
- Mesure d'audience : treize mois au maximum, et seulement si elle a été acceptée.
6. Comment les données sont protégées
Les mesures techniques et organisationnelles sont détaillées sur la page « Sécurité et protection de l'enfance ». En résumé : chiffrement des données de santé valeur par valeur (AES-256-GCM), cloisonnement systématique entre comptes, mots de passe hachés, accès des familles par lien personnel et code à six chiffres avec limitation des tentatives, journalisation des accès sensibles, chiffrement des échanges en transit (HTTPS), sauvegardes régulières, et aucun traceur dans les espaces connectés.
En cas de violation de données susceptible d'engendrer un risque pour les personnes, l'éditeur notifie la CNIL dans les soixante-douze heures et informe les personnes concernées lorsque le risque est élevé, conformément aux articles 33 et 34 du RGPD.
7. Vos droits
Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données, ainsi que du droit de définir des directives relatives à leur sort après son décès.
- Une grande partie de ces droits s'exerce directement dans l'application : chaque dossier s'exporte, chaque consentement se retire, chaque donnée se corrige, et la suppression d'un compte se demande depuis les réglages.
- Pour le reste, il suffit d'écrire à contact@marel-assmat.fr. La réponse intervient dans un délai d'un mois, éventuellement prolongé de deux mois pour une demande complexe, avec information de ce report.
- Lorsque la demande porte sur les données d'un enfant accueilli, elle est à adresser en premier lieu au professionnel qui tient le dossier : il en est le responsable de traitement. Marel l'assiste dans sa réponse.
Toute personne peut également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.