Politique de confidentialité

1. Responsable du traitement

LoyPass, en tant qu'éditeur de la plateforme, est responsable du traitement des données des commerçants. Pour les données des clients finaux, le commerçant est responsable du traitement et LoyPass agit en tant que sous-traitant.

2. Données collectees

Commercants

• Email, mot de passe (chiffré)
• Nom de la boutique, téléphone, adresse Google Maps
• Informations de paiement (gérées par Stripe)

Clients des commerçants

• Prénom, nom, email, téléphone, date de naissance
• Historique de visites et de récompenses

3. Finalités du traitement

• Fourniture du service de carte de fidélité digitale
• Gestion des abonnements et de la facturation
• Communication avec les commerçants (support, informations)
• Amélioration du service

4. Base légale

Chaque finalité repose sur une base légale distincte (art. 6 RGPD) : fourniture et gestion du Service (compte, cartes de fidélité, tableau de bord) — exécution du contrat (art. 6.1.b) ; facturation et obligations comptables — respect d'une obligation légale (art. 6.1.c) ; sécurité, prévention de la fraude et amélioration du Service — intérêt légitime (art. 6.1.f) ; sollicitations d'avis et communications liées au programme de fidélité (email et notification wallet) — intérêt légitime du commerçant à entretenir sa relation client et recueillir des retours (art. 6.1.f), avec droit d'opposition à tout moment (lien de désinscription en un clic dans chaque email).

5. Durée de conservation

• Données commerçants : durée de l'abonnement + 30 jours
• Données clients : tant que le client est actif dans le programme de fidélité
• Données de facturation : 10 ans (obligation légale)

6. Sous-traitants

• Supabase — base de données et authentification (UE)
• Stripe — paiement (certifié PCI-DSS)
• Vercel— hébergement de l'application
• Apple / Google — passes wallet (Apple Wallet, Google Wallet, États-Unis, Data Privacy Framework)
• Resend — envoi des emails transactionnels (Allemagne, UE)
• Sentry — supervision des erreurs applicatives (États-Unis, Data Privacy Framework). Les données personnelles sont systématiquement filtrées avant transmission.
• Upstash— limitation de débit (Redis, États-Unis, Data Privacy Framework). Stocke uniquement l'adresse IP et un compteur de requêtes, jamais de données personnelles.

7. Sous-traitance des données des clients

S'agissant des données des clients finaux du commerçant (collectées via le programme de fidélité), le commerçant est le responsable du traitement et LoyPass agit en qualité de sous-traitant au sens de l'article 28 du RGPD. LoyPass ne traite ces données que sur instruction documentée du commerçant et pour les seules finalités de fourniture du service.

Ce traitement est encadré par un accord de sous-traitance (Data Processing Agreement, DPA) qui définit les obligations respectives des parties conformément à l'article 28 du RGPD. Le DPA est porté à la connaissance du commerçant et accepté lors de l'inscription ; il fait partie intégrante du contrat. Les sous-traitants ultérieurs auxquels LoyPass recourt sont listés à la section 6 ci-dessus.

8. Droits des personnes

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données
• Droit de rectification
• Droit à l'effacement
• Droit à la portabilité
• Droit d'opposition
• Droit à la limitation du traitement
• Droit de retirer votre consentement à tout moment, lorsque le traitement est fondé sur celui-ci, sans que cela ne compromette la licéité du traitement effectué avant le retrait
• Droit d'introduire une réclamation auprès d'une autorité de contrôle

Pour exercer ces droits, contactez-nous à : contact@loypass.fr

Si vous estimez que le traitement de vos données n'est pas conforme à la réglementation, vous avez le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement en transit (TLS) et au repos, authentification sécurisée, accès restreint aux données.

10. Violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, LoyPass s'engage à notifier la CNIL dans les meilleurs délais et, dans la mesure du possible, au plus tard 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD.

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci en sont informées dans les meilleurs délais, conformément à l'article 34 du RGPD. Lorsque LoyPass agit en qualité de sous-traitant pour le compte d'un commerçant, il informe sans délai injustifié le commerçant concerné afin de lui permettre de remplir ses propres obligations de notification.

11. Transferts hors UE

Certains sous-traitants (Vercel, Stripe, Apple, Google, Sentry, Upstash) peuvent traiter des données aux États-Unis dans le cadre du Data Privacy Framework UE-US. Les données envoyées à Sentry pour la supervision technique sont préalablement filtrées pour exclure toute donnée personnelle (email, téléphone, nom, etc.).