Politique de confidentialité

Responsable du traitement

Le responsable du traitement des données est [À_COMPLÉTER: raison sociale], [À_COMPLÉTER: adresse du siège], joignable à [À_COMPLÉTER: e-mail de contact].

Délégué à la protection des données (DPO) / contact RGPD : [À_COMPLÉTER: nom ou fonction et e-mail du contact RGPD, ex. dpo@[domaine]].

Données collectées

Dans le cadre du service, nous traitons :

• les données du commerçant : nom, e-mail, téléphone, informations de son commerce et de son abonnement ;
• les données des clients finaux, enregistrées par le commerçant aux fins du programme de fidélité : nom, numéro de téléphone, et le cas échéant e-mail et date d'anniversaire ;
• des données techniques de mesure d'audience anonymisées (voir « Cookies et mesure d'audience »).

Bases légales des traitements

Chaque traitement repose sur une base légale du RGPD :

• gestion du compte commerçant et fourniture du service : exécution du contrat (art. 6.1.b) ;
• enregistrement des clients finaux par le commerçant : consentement du client final, recueilli par le commerçant (art. 6.1.a) ;
• facturation et obligations comptables : obligation légale (art. 6.1.c) ;
• sécurité, prévention de la fraude et mesure d'audience : intérêt légitime (art. 6.1.f).

Finalités

Les données sont utilisées uniquement pour fournir le service de fidélisation, gérer l'abonnement, assurer le support et améliorer le service. Elles ne sont jamais revendues.

Destinataires et sous-traitants

Pour fournir le service, nous faisons appel à des sous-traitants qui n'utilisent les données que sur nos instructions :

• Supabase — hébergement de la base de données et authentification (région Union européenne) ;
• Vercel — hébergement et diffusion de l'application ;
• PostHog — mesure d'audience, instance européenne (configuration sans cookie) ;
• Anthropic — génération de suggestions de textes par IA (traitement susceptible d'avoir lieu hors UE, aux États-Unis, encadré par des garanties appropriées telles que les clauses contractuelles types) ;
• Stripe — traitement des paiements par carte bancaire ([À_COMPLÉTER: à confirmer lors de l'activation du paiement]).

Transferts hors Union européenne

Les données sont hébergées dans l'Union européenne. Certains sous-traitants (par ex. Anthropic) peuvent traiter des données aux États-Unis ; ces transferts sont alors encadrés par des garanties appropriées au sens du RGPD (clauses contractuelles types).

Durées de conservation

Les durées ci-dessous sont proposées et doivent être confirmées :

• données de compte commerçant : le temps de la relation contractuelle, puis [À_COMPLÉTER: durée proposée — ex. 3 ans après la fin du contrat à des fins de prospection, sauf opposition] ;
• données des clients finaux : jusqu'à la suppression par le commerçant ou [À_COMPLÉTER: durée proposée — ex. 3 ans sans interaction] ;
• données de facturation : [À_COMPLÉTER: durée légale — ex. 10 ans (obligations comptables)] ;
• mesure d'audience : [À_COMPLÉTER: durée proposée — ex. 13 mois].

Cookies et mesure d'audience

Le site n'utilise pas de cookie publicitaire ni de traceur tiers à des fins marketing. La mesure d'audience est réalisée avec PostHog dans une configuration sans cookie (aucune donnée persistée sur votre appareil), ce qui n'exige pas de bandeau de consentement. Seuls des cookies strictement nécessaires au fonctionnement (session, sécurité) sont déposés.

Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Pour l'exercer, écrivez à [À_COMPLÉTER: e-mail de contact RGPD].

Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.