Politique de confidentialité

1. Responsable du traitement

S-MK HOLDING LLC, société de droit américain qui édite la plateforme LoyPass (siège : 8206 Louisiana Blvd NE, Ste A #10653, Albuquerque, NM 87113, États-Unis ; contact : contact@loypass.fr), est responsable du traitement des données des commerçants. Seule exception : pour un abonnement souscrit auprès de l'entreprise individuelle identifiée dans les mentions légales, et pas encore transféré, cette entreprise reste responsable du traitement des données du commerçant. Pour les données des clients finaux, le commerçant est responsable du traitement et LoyPass agit en tant que sous-traitant.

2. Données collectées

Commerçants

• Email, mot de passe (chiffré)
• Nom de la boutique, téléphone, adresse Google Maps
• Informations de paiement (gérées par Stripe)
• Adresse de livraison, si vous commandez des cartes NFC

Essai gratuit

• Si vous commencez un essai gratuit : une empreinte de votre téléphone, de votre adresse e-mail une fois confirmée et de votre fiche Google une fois reconnue, calculée par HMAC-SHA256 avec une clé secrète
• Les empreintes sont rangées à part, sans lien avec votre compte, et ne sont pas effacées avec lui. Aucune de ces données n'y est gardée en clair
• Si l'une d'elles a déjà servi à un essai gratuit, l'essai gratuit ne vous est pas proposé. Un essai gratuit commencé n'est jamais interrompu. Si votre fiche Google avait déjà servi, LoyPass le note sur votre compte
• Si l'essai gratuit ne vous est pas proposé alors que vous pensez y avoir droit (numéro de téléphone réattribué, boutique reprise, adresse e-mail reprise), écrivez à contact@loypass.fr. Une personne réexamine votre situation et vous répond
• Vous pouvez vous opposer à la conservation de vos empreintes (article 21 du RGPD) ou demander leur effacement à contact@loypass.fr. Chaque demande est examinée une par une. La réponse dit ce qui est effacé, ce qui est gardé, pourquoi et jusqu'à quand. Vous pouvez aussi introduire une réclamation auprès de la CNIL (section 8)

Clients des commerçants

• Prénom, nom, email, téléphone, date de naissance
• Historique de visites et de récompenses
• Si votre commerce donne des points selon le montant de vos achats, nous gardons le montant de chaque achat pour calculer vos points. Il est supprimé au bout de 3 mois, ou plus tôt avec votre carte.

Carte de démo du site

• Aucune donnée nominative : ni nom, ni e-mail
• L'identifiant d'appareil Wallet, pour mettre la carte à jour

3. Finalités du traitement

• Fourniture du service de carte de fidélité digitale
• Gestion des abonnements et de la facturation
• Vérification de la limite d'un essai gratuit par commerce sur 12 mois (prévention de la fraude)
• Communication avec les commerçants (support, informations, et relances tant qu’un compte n’est pas activé ; un lien dans chaque e-mail permet de refuser)
• Amélioration du service
• Offres du commerçant envoyées sur la carte de fidélité de ses clients (notification Wallet)

4. Base légale

Chaque finalité repose sur une base légale distincte (art. 6 RGPD) : fourniture et gestion du Service (compte, cartes de fidélité, tableau de bord) — exécution du contrat (art. 6.1.b) ; facturation et obligations comptables — respect d'une obligation légale (art. 6.1.c) ; sécurité, prévention de la fraude et amélioration du Service — intérêt légitime (art. 6.1.f) ; empreintes de l'essai gratuit — intérêt légitime de LoyPass à n'accorder qu'un essai gratuit par commerce sur 12 mois (prévention de la fraude, art. 6.1.f et considérant 47 du RGPD) ; sollicitations d'avis et communications liées au programme de fidélité (email et notification wallet) — intérêt légitime du commerçant à entretenir sa relation client et recueillir des retours (art. 6.1.f), avec droit d'opposition à tout moment (lien de désinscription en un clic dans chaque email) ; offres du commerçant envoyées sur la carte du client (notification Wallet) — intérêt légitime du commerçant (art. 6.1.f), annoncé à l'inscription, avec droit d'opposition à tout moment, carte par carte, depuis le lien « Gérer ou supprimer mes données » au dos de la carte, ou en coupant les notifications de la carte sur le téléphone.

5. Durée de conservation

• Données commerçants : durée de l'abonnement + 30 jours
• Compte commerçant jamais activé, sans essai gratuit : supprimé 90 jours après sa création, après un e-mail d'avertissement envoyé au moins 30 jours avant
• Essai gratuit terminé sans abonnement : données supprimées 30 jours après la fin de l'essai gratuit. Un e-mail d'avertissement est envoyé au moins 7 jours avant la suppression ; si cet e-mail est envoyé moins de 7 jours avant la date prévue, la suppression est reportée au septième jour suivant son envoi
• Empreintes de l'essai gratuit : supprimées 12 mois après leur enregistrement. Cette durée laisse le temps de reconnaître un commerce qui redemande un essai gratuit après avoir fermé son compte ou après une pause saisonnière
• Données clients : supprimées en même temps que le compte du commerçant, selon les durées ci-dessus pour les comptes commerçants. Elles sont supprimées plus tôt si le client le demande, depuis le lien « Gérer ou supprimer mes données » au dos de sa carte, ou si le commerçant le retire de son programme. Une inscription jamais confirmée par e-mail est supprimée après 7 jours. Le commerçant, responsable du traitement, décide combien de temps il garde les données de ses clients ; LoyPass lui fournit les outils pour les exporter et les supprimer
• Carte de démo du site : effacée de nos serveurs 30 jours après sa création
• Données de facturation : 10 ans (obligation légale)

6. Sous-traitants

• Supabase — base de données et authentification (Zurich, Suisse)
• Stripe — paiement (certifié PCI-DSS)
• Vercel — hébergement de l'application
• Apple / Google — passes wallet (Apple Wallet, Google Wallet, États-Unis, Data Privacy Framework)
• Resend — envoi des emails transactionnels (Allemagne, UE)
• Sentry — supervision des erreurs applicatives (États-Unis, Data Privacy Framework). Les données personnelles sont systématiquement filtrées avant transmission.
• Upstash — limitation de débit (Redis, États-Unis, Data Privacy Framework). Stocke des compteurs de requêtes, rangés par adresse IP, identifiant de compte, adresse e-mail ou identifiant de carte ou d'appareil Wallet. Chaque compteur s'efface seul au plus tard 24 heures après sa création.

7. Sous-traitance des données des clients

S'agissant des données des clients finaux du commerçant (collectées via le programme de fidélité), le commerçant est le responsable du traitement et LoyPass agit en qualité de sous-traitant au sens de l'article 28 du RGPD. LoyPass ne traite ces données que sur instruction documentée du commerçant et pour les seules finalités de fourniture du service.

Ce traitement est encadré par un accord de sous-traitance (Data Processing Agreement, DPA), établi pour répondre aux exigences de l'article 28 du RGPD, qui définit les obligations respectives des parties. Le DPA est porté à la connaissance du commerçant et accepté lors de l'inscription ; il fait partie intégrante du contrat. Les sous-traitants ultérieurs auxquels LoyPass recourt sont listés à la section 6 ci-dessus.

8. Droits des personnes

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données
• Droit de rectification
• Droit à l'effacement
• Droit à la portabilité
• Droit d'opposition
• Droit à la limitation du traitement
• Droit de retirer votre consentement à tout moment, lorsque le traitement est fondé sur celui-ci, sans que cela ne compromette la licéité du traitement effectué avant le retrait
• Droit d'introduire une réclamation auprès d'une autorité de contrôle

Pour exercer ces droits, contactez-nous à : contact@loypass.fr

Si vous estimez que le traitement de vos données n'est pas conforme à la réglementation, vous avez le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement en transit (TLS) et au repos, authentification sécurisée, accès restreint aux données.

10. Violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, LoyPass s'engage à notifier la CNIL dans les meilleurs délais et, dans la mesure du possible, au plus tard 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD.

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci en sont informées dans les meilleurs délais, conformément à l'article 34 du RGPD. Lorsque LoyPass agit en qualité de sous-traitant pour le compte d'un commerçant, il informe sans délai injustifié le commerçant concerné afin de lui permettre de remplir ses propres obligations de notification.

11. Transferts hors UE

La base de données et l'authentification (Supabase) sont hébergées en Suisse, dans la région de Zurich. La Suisse n'est pas un État membre de l'Union européenne, mais elle fait l'objet d'une décision d'adéquation de la Commission européenne : ce transfert repose sur l'article 45 du RGPD et n'exige aucune garantie supplémentaire.

S-MK HOLDING LLC, qui édite LoyPass, est établie aux États-Unis. Pour les données des clients finaux qu'elle traite pour le compte des commerçants, l'accès depuis l'extérieur de l'Union européenne est encadré par les clauses contractuelles types de la Commission européenne (voir l'accord de traitement des données). Certains sous-traitants (Vercel, Stripe, Apple, Google, Sentry, Upstash) peuvent traiter des données aux États-Unis dans le cadre du Data Privacy Framework UE-US. Les données envoyées à Sentry pour la supervision technique sont préalablement filtrées pour exclure toute donnée personnelle (email, téléphone, nom, etc.).