Politique de Confidentialité

1. Identité des responsables de traitement

2. Données collectées et bases légales

2.1 Données des commerçants (compte)

2.2 Données des clients finaux (programme de fidélité)

Passcard collecte le strict minimum nécessaire au fonctionnement du service (principe de minimisation des données, art. 5(1)(c) RGPD).

Aucune donnée sensible (données de santé, opinions politiques, etc.) n'est collectée.

Si le commerce l'active, la carte contient l'adresse du commerce. Votre téléphone peut alors vous la rappeler quand vous passez à proximité. Ce calcul se fait sur votre téléphone : Passcard ne connaît jamais votre position.

3. Consentement des clients finaux

Lors de l'onboarding d'un client final (scan du QR code), une case à cocher explicite est présentée, mentionnant :

• Le nom du commerçant responsable du traitement.
• Les données collectées (prénom + email ou téléphone).
• La finalité : adhésion au programme de fidélité.
• Un lien vers la présente politique de confidentialité.

Le consentement est tracé (date, heure) en base de données. Sans consentement coché, l'inscription est refusée.

4. Hébergement des données et transferts hors UE

La base de données est hébergée dans l'Union européenne, dans le centre de données de Supabase en Irlande (Dublin, AWS eu-west-1). L'application s'exécute au même endroit, à Dublin (Vercel, région dub1).

Plusieurs de nos prestataires sont des sociétés établies aux États-Unis. Des données peuvent donc être transférées ou consultées hors de l'UE : accès de leurs équipes techniques, notifications des cartes Apple Wallet et Google Wallet, envoi des emails, paiement. Ces transferts sont encadrés, selon le prestataire, par le Data Privacy Framework UE–États-Unis (décision d'adéquation de la Commission européenne, art. 45 RGPD) quand la société y est certifiée, ou par les clauses contractuelles types de la Commission européenne (art. 46 RGPD). Le détail figure au tableau ci-dessous.

5. Sous-traitants techniques

6. Droits des personnes concernées

Conformément au RGPD, toute personne dont les données sont traitées dispose des droits suivants :

Pour exercer ces droits, contactez : communication@passcard.fr. Délai de réponse : 30 jours maximum. En cas de réclamation non résolue, vous pouvez saisir la CNIL.

7. Sécurité des données

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256).
• Authentification sécurisée via Supabase Auth (bcrypt).
• Isolation des données par commerçant grâce aux politiques RLS (Row Level Security).
• Clés secrètes stockées comme variables d'environnement, jamais en base de données.
• Audit de sécurité régulier (OWASP Top 10).

8. Cookies et mesure d'audience

8.1 Cookies strictement nécessaires

Déposés sans consentement (exemption CNIL) car indispensables au fonctionnement du service : cookie de session Supabase (authentification), cookie de préférence de consentement (mémorisation de votre choix). Durée : session ou 6 mois maximum.

8.2 Cookies de mesure d'audience (PostHog)

Sur les pages publiques (site marketing et page d'inscription client), nous utilisons PostHog (hébergé en UE - Frankfurt) pour mesurer comment les visiteurs utilisent le service afin d'améliorer le produit. Ces cookies ne sont déposés qu'après votre consentement explicitevia le bandeau de consentement présenté à votre première visite.

• Données collectées : pages visitées, durée de session, parcours, identifiant anonyme.
• Finalité : mesure d'audience et amélioration du produit.
• Base légale : consentement (art. 6(1)(a) RGPD).
• Durée de conservation : 12 mois.
• Pas de profilage publicitaire, pas de vente à des tiers.

Vous pouvez refuser ces cookies via le bandeau (refus aussi accessible que l'acceptation). Le refus est mémorisé pendant 6 mois. Vous pouvez aussi retirer votre consentement à tout moment en effaçant les cookies de votre navigateur.

8.3 Mesure d'audience sans cookie

Sur les pages publiques du site (accueil, tarifs, guides, blog), nous mesurons la fréquentation sans aucun cookie. Vercel Web Analytics produit des statistiques agrégées, par exemple les pages vues et leur provenance. Tant que vous n'avez pas répondu au bandeau, PostHog (hébergé dans l'Union européenne) enregistre une seule page vue à votre arrivée. Pour cette page vue, votre navigateur envoie uniquement :

• l'adresse de la page consultée ;
• le site d'où vous venez et les paramètres de campagne éventuels (utm_) ;
• l'identifiant technique de votre navigateur (« user agent » : le nom et la version du navigateur et du système) ;
• des données techniques : l'heure, la version de l'outil de mesure et un numéro aléatoire propre à cet envoi.

Comme pour toute connexion, PostHog reçoit aussi votre adresse IP. Votre adresse IP et le user agent servent seulement à calculer sur les serveurs de PostHog un identifiant anonyme valable une journée (une empreinte dont la clé change chaque jour). PostHog les supprime ensuite, avant tout enregistrement. Ni la taille de votre écran, ni votre langue, ni votre fuseau horaire ne sont envoyés. Rien n'est stocké sur votre appareil, votre adresse IP n'est pas conservée et aucun identifiant ne vous suit d'un jour à l'autre.

Sur l'ensemble du site, Vercel Speed Insights mesure aussi la vitesse d'affichage des pages (temps de chargement, réactivité, stabilité de la mise en page), sans cookie ni stockage sur votre appareil. L'adresse transmise est réduite au modèle de la page (par exemple « /c/[slug] ») : elle ne contient ni identifiant, ni paramètre.

Ces mesures servent uniquement à savoir d'où viennent nos visiteurs, sans suivi d'un site à l'autre ni croisement avec d'autres données. Nous estimons qu'elles entrent dans l'exemption de consentement prévue par la CNIL pour la mesure d'audience. Elles reposent sur notre intérêt légitime (article 6(1)(f) du RGPD). Vous pouvez vous y opposer avec le bouton « Refuser » du bandeau. Si vous acceptez, c'est la mesure du 8.2 qui s'applique.

8.4 Espace commerçant authentifié

Sur le tableau de bord (dashboard), la mesure d'audience PostHog s'effectue sur la base de l'exécution du contrat (art. 6(1)(b) RGPD) entre le commerçant et Passcard, et non sur le consentement. Cette mesure est limitée aux interactions produit (pages visitées, fonctionnalités utilisées) et permet d'améliorer l'outil.

9. Monitoring technique (Sentry)

Pour détecter et corriger les erreurs techniques, Passcard utilise Sentry. Les données d'erreur (stack traces, contexte technique, identifiant utilisateur anonyme) sont hébergées en Allemagne (UE) et conservées 30 jours. Base légale : intérêt légitime (sécurité et fiabilité du service, art. 6(1)(f) RGPD).

10. Modifications de la politique

En cas de modification substantielle de la présente politique, les commerçants seront notifiés par email au moins 30 jours avant l'entrée en vigueur des changements. La date de dernière mise à jour est affichée en haut de cette page.

11. Contact et DPO