Politique de confidentialité

Dernière mise à jour : 15 octobre 2026 — Règlement (UE) 2016/679 (RGPD).

Qui traite vos données ?

Le responsable du traitement est l'éditeur de QualiMarché, Monsieur Hassen BAMRI (voir les mentions légales).

Il n'y a rien à importer dans ce service : QualiMarché ne reçoit pas les fichiers de vos clients, de vos salariés ni de vos fournisseurs. La seule information sur vos clients qu'il peut recevoir est celle que vous choisissez de saisir dans les références de chantiers de votre profil, pour présenter votre entreprise ; elle est facultative. Il n'agit donc pas comme sous-traitant, et aucun contrat de sous-traitance n'est requis. L'éditeur répond seul des traitements décrits ci-dessous.

D'où viennent les données affichées

QualiMarché rassemble deux jeux de données publiques, et eux seuls :

les avis du Bulletin officiel des annonces des marchés publics (BOAMP), édité par la Direction de l'information légale et administrative (DILA), diffusés en données ouvertes sous Licence Ouverte 2.0 ;
les données essentielles de la commande publique (DECP), publiées sur data.gouv.fr, sous la même licence.

Le service en conserve une archive et les restitue avec la date de collecte. Il n'est pas un service officiel de l'État et n'engage ni la DILA ni aucun acheteur public. L'information affichée reflète ce que l'acheteur a publié : quand la source est incomplète ou contradictoire, le service le dit — il ne comble pas.

Quelles données personnelles sont traitées ?

Catégorie	Données	Finalité	Base légale	Durée
Compte	Adresse e-mail et mot de passe, conservé sous forme d'empreinte et jamais en clair. Aucun nom n'est demandé.	Créer le compte, vérifier l'adresse, authentifier, permettre la réinitialisation du mot de passe	Exécution du contrat	Durée du compte, puis suppression 30 jours après sa clôture
Profil de l'entreprise	Raison sociale, nom commercial, SIRET (le numéro de l'établissement), e-mail de contact, départements d'intervention, métiers, chiffre d'affaires, statut de structure d'insertion, effectifs, qualifications et certifications, moyens matériels, engagements sociaux et environnementaux, références de chantiers (client, intitulé de la prestation, année, montant, durée, descriptif), et, pour l'écran « Stratégie et positionnement », vos dépôts (commune) et votre distance d'intervention — tout cela saisi par vous. Seuls la raison sociale, le SIRET, l'e-mail de contact, les départements et les métiers sont nécessaires pour enregistrer le profil ; le reste est facultatif.	Sélectionner les avis et les échéances qui correspondent à votre activité	Exécution du contrat	Durée du compte, puis suppression 30 jours après sa clôture
Alertes par e-mail	Adresse e-mail, métiers, départements, fréquence choisie ; date et adresse IP de la demande ; date et adresse IP du clic de confirmation ; empreinte du jeton du lien de confirmation, jamais le jeton lui-même ; jeton de désinscription. L'abonnement aux alertes ne demande pas de compte. Quand les alertes sont envoyées à l'adresse de votre compte, déjà vérifiée à sa création, aucun lien de confirmation n'est envoyé : la date de l'enregistrement de vos alertes en tient lieu.	Envoyer les alertes demandées ; prouver le consentement ; permettre la désinscription en un clic	Consentement, donné par le clic sur le lien de confirmation — ou, pour l'adresse de votre compte, par l'enregistrement de vos alertes depuis votre espace	Jusqu'au retrait du consentement, immédiat par le lien de chaque message : l'abonnement et ses données sont alors effacés
Alertes par mot-clé	Vos mots-clés, jusqu'à dix expressions saisies par vous, avec l'abonnement ou pendant un code d'activation.	Envoyer les alertes demandées	Exécution du contrat	Jusqu'à leur retrait par vous, ou la fin du compte
Mise en relation entre entreprises	Votre choix d'être contactée pour un groupement, daté, avec l'adresse IP et l'e-mail de contact du profil au moment du choix ; le téléphone facultatif du profil ; le journal des demandes que vous envoyez (entreprise contactée, marché, message, date, adresse IP).	Transmettre une proposition de groupement d'une entreprise à une autre, à sa demande ; prouver le consentement ; limiter le nombre de demandes	Consentement (être contactée) ; exécution du contrat (envoyer une demande)	Consentement : tant que le compte existe, retrait à tout moment. Journal des demandes : 12 mois.
Alertes déjà servies	Référence de l'avis ou du marché envoyé, et date d'envoi, par abonnement	Ne jamais envoyer deux fois la même chose	Intérêt légitime	Un an après l'envoi au plus, et jamais au-delà de l'abonnement aux alertes
Acheteurs et entreprises suivis	Numéro SIREN (l'identifiant de l'entreprise ou de l'acheteur) suivi, et son nom au moment du suivi	Signaler les nouveaux avis et marchés des organisations suivies	Exécution du contrat	Fonction pas encore ouverte : rien n'est collecté à ce jour.
Agenda	Les dates que vous ajoutez à votre agenda (« Ajouter à mon agenda » : le marché ou l'avis, son titre, l'acheteur et la date choisie) ; les dossiers que vous préparez (« Je prépare ce dossier » : l'avis, son titre, l'acheteur, la date limite suivie et ses changements) et les rappels envoyés par e-mail (leur type et leur date).	Tenir votre agenda ; vous prévenir avant une date limite et quand elle change	Exécution du contrat	Durée du compte, puis suppression 30 jours après sa clôture
Statuts posés sur les avis	Pour chaque avis que vous marquez, son numéro et le statut choisi (nouveau, vu, ignoré) ; pour les avis que le service rapproche de votre profil, le score de pertinence calculé et ses raisons.	Retrouver dans la Veille les avis déjà lus ou écartés, et ceux qui correspondent à votre profil	Exécution du contrat	Durée du compte, puis suppression 30 jours après sa clôture
Abonnement	Identifiant client chez le prestataire de paiement, état et échéance de l'abonnement, montants. Aucun numéro de carte bancaire n'est transmis à QualiMarché ni conservé par lui.	Gérer l'abonnement et la facturation	Exécution du contrat, puis obligation légale	10 ans pour les pièces comptables (art. L.123-22 du Code de commerce)
Demande de contact	Nom, entreprise, adresse e-mail, téléphone s'il est donné, le message saisi, la date et l'adresse IP de la demande, et ce que la personne cherchait à consulter. Si la demande est faite depuis un compte connecté, le profil de l'entreprise y est joint tel quel. Le choix de recevoir ou non les actualités est enregistré avec la demande.	Répondre à la demande — l'éditeur en est prévenu par un e-mail qui ne contient que son numéro, et la lit dans son espace d'administration, réservé à lui seul ; envoyer les actualités du service, seulement si la case a été cochée	Mesures précontractuelles prises à votre demande ; consentement pour les actualités	3 ans à compter de la demande
Messages envoyés	Destinataire, objet, contenu du message, date, statut d'envoi et nombre de tentatives. Une copie du message peut être écrite sur le disque du serveur.	Prouver et rejouer les envois, diagnostiquer les échecs, honorer les désinscriptions	Intérêt légitime	90 jours après l'envoi, puis effacement automatique
Journaux techniques	Événements du service écrits sur la sortie du serveur. Aucune donnée personnelle n'y est écrite, et en production le service ne journalise que les avertissements et les erreurs.	Sécurité et diagnostic	Intérêt légitime	12 mois
Journal de sécurité des comptes	Les événements sensibles d'un compte : inscription, vérification de l'adresse, connexion et échec de connexion, envoi d'un code de connexion, lien et changement de mot de passe, changement de métiers, abonnement, résiliation, remboursement, blocage, clôture. Pour chacun : le type d'événement, le compte concerné, la date et, pour les connexions, l'adresse IP. Jamais un mot de passe, un code ni une adresse e-mail.	Sécurité des comptes, preuve des opérations sensibles, lutte contre les abus	Intérêt légitime	12 mois, puis effacement automatique
Actions de l'éditeur sur un compte	Quand l'éditeur agit sur un compte (changement de métiers, résiliation, remboursement, blocage, clôture, correction du SIRET…) : l'action, son auteur, la date, le motif saisi et l'adresse IP de l'auteur.	Prouver ce qui a été fait sur un compte, quand et par qui	Intérêt légitime	5 ans à compter de l'action (registre des actions d'administration)
Journal des erreurs du serveur	L'adresse appelée, le code et un message court de l'erreur, le nombre d'occurrences. Le message est nettoyé avant d'être écrit : aucune adresse e-mail, aucun jeton, aucun secret.	Diagnostic et surveillance du service	Intérêt légitime	30 jours, puis effacement automatique

Pour limiter les tentatives de connexion en série, le service compte les échecs par adresse IP. Ce compteur vit en mémoire, n'est pas enregistré en base et disparaît au redémarrage du service.

QualiMarché ne fait ni profilage, ni décision automatisée produisant des effets juridiques, ni publicité ciblée. Vos données ne sont jamais vendues.

Les coordonnées publiées dans les avis

Les avis de marchés publics contiennent, tels que les acheteurs les publient, les coordonnées professionnelles de leurs correspondants : nom, fonction, téléphone, adresse e-mail, adresse postale du service. Ce sont des données personnelles, publiées par les acheteurs eux-mêmes dans un cadre professionnel. QualiMarché les conserve avec les avis dont elles proviennent, telles que publiées, sans les enrichir, sans les recouper avec d'autres sources et sans les utiliser pour autre chose.

Quand l'annuaire des acheteurs a été construit, QualiMarché en tient aussi un registre par acheteur : une ligne par coordonnée distincte relevée dans ses avis (rôle, correspondant, fonction, téléphone, télécopie, adresse e-mail, adresse postale, site internet), avec la date de première et de dernière parution, le nombre d'avis qui la portent et le dernier d'entre eux ; quand une information change, une nouvelle version datée est ajoutée, l'ancienne est gardée. Ce registre est complété à chaque collecte des avis, que l'affichage des coordonnées soit activé ou non. Il ne contient que ce que les avis publient.

Ce qui est vrai aujourd'hui : ces coordonnées ne sont affichées à aucun utilisateur du service. La fonction qui les expose — le bloc « Contact » d'une page d'avis et la fiche d'un acheteur — n'est ouverte qu'aux comptes de l'éditeur (les propriétaires de la plateforme), pour l'exploitation du service. Aucune coordonnée de correspondant ne quitte le serveur pour un visiteur, un compte gratuit ou abonné, ni pour un administrateur ajouté, et rien n'en signale même l'existence à l'écran. Dans les textes rédigés par l'acheteur (visite, renseignements complémentaires, conditions…), tout paragraphe qui contient un numéro de téléphone ou une adresse e-mail est retiré en entier et remplacé par un renvoi à l'avis original — sur les pages, dans les e-mails d'alerte et dans les fichiers d'agenda ; seul peut rester un nom cité sans aucune coordonnée, tel que l'acheteur l'a publié.

Droit d'opposition. Toute personne dont les coordonnées figurent dans un avis peut demander qu'elles ne soient plus affichées par QualiMarché ni reprises dans son registre, en écrivant à contact@connexcium.fr. La demande est traitée sans condition et sans avoir à en donner le motif ; il suffit d'indiquer le nom et l'organisme concernés. Elle s'applique aussitôt à l'annuaire, aux pages d'avis et à toute collecte ultérieure ; QualiMarché n'en garde que des empreintes, jamais la coordonnée en clair, pour la tenir dans le temps. Cette demande porte sur QualiMarché : elle ne modifie pas l'avis publié à la source, auprès de laquelle il faut se tourner séparément.

Les avis et les marchés ne sont pas retirés pour autant : l'avis reste conservé tel que publié, dans la base et dans l'archive de QualiMarché, et c'est la coordonnée nominative qui cesse d'y être affichée.

La mise en relation entre entreprises

Une entreprise qui a un compte QualiMarché peut choisir, dans son profil, d'être contactée par d'autres entreprises pour proposer un groupement. Ce choix est libre, daté et révocable à tout moment depuis le profil ; un changement de SIRET le retire aussi. Rien n'est proposé pour une entreprise qui n'a pas de compte ou qui n'a pas fait ce choix : QualiMarché ne possède aucune coordonnée à son sujet et n'en cherche pas.

Ce qui est transmis, et à qui. Quand un abonné propose un groupement, QualiMarché envoie à l'entreprise contactée, par e-mail, les coordonnées du demandeur — raison sociale, SIRET, e-mail de contact et, s'il l'a renseigné, téléphone — avec le marché concerné et son message. L'entreprise contactée reçoit donc les coordonnées du demandeur ; le demandeur ne reçoit pas les siennes : son adresse n'est jamais affichée ni transmise, et elle ne répond que si elle le souhaite, directement au demandeur.

Données et durées. Le choix d'être contactée est conservé avec sa date, l'adresse IP et l'e-mail de contact du profil au moment du choix (la preuve du consentement), tant que le compte existe. Les demandes envoyées sont journalisées (entreprise contactée, marché, message, date, adresse IP) pendant douze mois, pour appliquer les limites d'envoi — trois demandes par jour et par compte, trois par mois vers une même entreprise — et répondre à une demande d'accès. Base légale : le consentement pour l'entreprise contactée, l'exécution du contrat pour le demandeur.

Retrait. Décochez la case dans votre profil : plus aucune demande ne vous est transmise, sans délai. Les demandes déjà reçues restent dans votre messagerie, pas chez QualiMarché.

Comment vos données sont-elles protégées ?

Mots de passe conservés sous forme d'empreinte calculée avec bcrypt, jamais en clair, et jamais réversibles ;
Session par jeton signé valable 24 heures, porté par un cookie httpOnly (inaccessible aux scripts), SameSite=Lax et marqué secure en production — donc transmis par HTTPS uniquement ;
Limite des essais de connexion : cinq échecs par quart d'heure et par adresse ;
Code de connexion des comptes de l'éditeur : à chaque connexion d'un compte qui administre la plateforme depuis un nouvel appareil, un code à 6 chiffres est envoyé par e-mail, valable 10 minutes et une seule fois ; cinq codes faux l'invalident. L'appareil est ensuite reconnu 30 jours par un cookie dont le service ne garde qu'une empreinte ;
Cloisonnement : chaque compte n'accède qu'à ses propres données — profil, alertes, suivis, abonnement —, vérifié côté serveur à chaque requête ;
Vérification côté serveur de toutes les entrées, jeton anti-falsification sur toute opération qui écrit au nom d'un compte connecté, et en-têtes de sécurité restrictifs sur chaque page : aucune police, aucun script et aucune image extérieurs ne peuvent être chargés, et la seule connexion sortante autorisée est celle décrite plus bas vers l'annuaire officiel des entreprises ;
Les formulaires ouverts sans compte — contact, inscription aux alertes, création de compte, connexion, mot de passe oublié — ne portent pas ce jeton, faute de session : ils n'acceptent que des données au format JSON et sont soumis à un plafond de requêtes par adresse IP, plus strict pour le contact, l'inscription aux alertes et les échecs de connexion ; une inscription aux alertes ne s'active qu'après le clic sur le lien reçu par e-mail, sauf quand elle porte l'adresse d'un compte, déjà vérifiée à sa création ;
Liens de confirmation et de désinscription : le jeton n'existe que dans le message reçu ; le service n'en garde qu'une empreinte ;
Ce qui est réservé à l'abonnement ne descend jamais dans la page d'un compte qui n'y a pas droit : le filtrage est fait sur le serveur, pas masqué à l'écran ;
Sauvegardes : une copie de la base de données chaque nuit, conservée 28 jours au plus, puis effacée.

Qui d'autre intervient ?

Les données ne sont ni vendues ni cédées. L'éditeur recourt aux prestataires suivants :

Prestataire	Service	Localisation	État
OVHcloud SAS	Hébergement du service et de sa base de données	France	En service
OVHcloud SAS	Acheminement des e-mails du service (alertes, confirmations, réinitialisation de mot de passe, mails du compte et de l'abonnement)	France	En service
Stripe Payments Europe Ltd.	Encaissement de l'abonnement et émission des factures. Pour la facturation, Stripe traite : la raison sociale et le SIRET de l'entreprise, l'adresse e-mail du compte, l'identifiant client, les montants et les factures. Le numéro de carte est saisi chez Stripe et n'atteint jamais QualiMarché.	Dublin (Irlande), UE	Pas encore en service — le paiement en ligne n'est pas ouvert sur ce serveur
Annuaire des entreprises (État)	Sur la seule page « Profil entreprise », votre navigateur interroge directement `recherche-entreprises.api.gouv.fr` avec le SIRET que vous saisissez, pour proposer de remplir la raison sociale. Cet appel ne passe pas par les serveurs de QualiMarché.	France	En service
Autorités compétentes	Sur réquisition judiciaire uniquement	France	Cadre légal national

Aucun transfert de données hors de l'Union européenne n'est réalisé par QualiMarché.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment. Pour les exercer : contact@connexcium.fr.

Deux droits s'exercent directement, sans écrire à personne : la désinscription des alertes, par le lien présent au bas de chaque message, qui prend effet immédiatement ; et la modification ou la suppression de votre profil d'entreprise, depuis votre espace.

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés).

Cookies

QualiMarché ne dépose qu'un seul cookie, strictement nécessaire : le jeton de session qm_token, posé à la connexion et effacé à la déconnexion. Aucune mesure d'audience, aucun traceur, aucun cookie tiers. Seuls les comptes de l'éditeur qui administrent la plateforme reçoivent en plus qm_appareil, qui reconnaît leur appareil 30 jours pour le code de connexion.

Votre navigateur conserve aussi deux préférences d'affichage dans son stockage local, qui restent sur votre terminal : le métier et le département choisis sur l'accueil, et l'état ouvert ou fermé des rubriques repliables de certaines pages (la clé contient l'adresse de la page). Le détail est sur la page Cookies.

Voir aussi les mentions légales, les conditions générales d'utilisation et la page Confiance & conformité.