Politique de Confidentialité

1. Identité des responsables de traitement

2. Données collectées et bases légales

2.1 Données des commerçants (compte)

2.2 Données des clients finaux (programme de fidélité)

Passcard collecte le strict minimum nécessaire au fonctionnement du service (principe de minimisation des données, art. 5(1)(c) RGPD).

Aucune donnée sensible (données de santé, opinions politiques, etc.) n'est collectée.

3. Consentement des clients finaux

Lors de l'onboarding d'un client final (scan du QR code), une case à cocher explicite est présentée, mentionnant :

• Le nom du commerçant responsable du traitement.
• Les données collectées (prénom + email ou téléphone).
• La finalité : adhésion au programme de fidélité.
• Un lien vers la présente politique de confidentialité.

Le consentement est tracé (date, heure) en base de données. Sans consentement coché, l'inscription est refusée.

4. Hébergement des données

5. Sous-traitants techniques

6. Droits des personnes concernées

Conformément au RGPD, toute personne dont les données sont traitées dispose des droits suivants :

Pour exercer ces droits, contactez : communication@passcard.fr. Délai de réponse : 30 jours maximum. En cas de réclamation non résolue, vous pouvez saisir la CNIL.

7. Sécurité des données

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256).
• Authentification sécurisée via Supabase Auth (bcrypt).
• Isolation des données par commerçant grâce aux politiques RLS (Row Level Security).
• Clés secrètes stockées comme variables d'environnement, jamais en base de données.
• Audit de sécurité régulier (OWASP Top 10).

8. Cookies et mesure d'audience

8.1 Cookies strictement nécessaires

Déposés sans consentement (exemption CNIL) car indispensables au fonctionnement du service : cookie de session Supabase (authentification), cookie de préférence de consentement (mémorisation de votre choix). Durée : session ou 6 mois maximum.

8.2 Cookies de mesure d'audience (PostHog)

Sur les pages publiques (site marketing et page d'inscription client), nous utilisons PostHog (hébergé en UE - Frankfurt) pour mesurer comment les visiteurs utilisent le service afin d'améliorer le produit. Ces cookies ne sont déposés qu'après votre consentement explicitevia le bandeau de consentement présenté à votre première visite.

• Données collectées : pages visitées, durée de session, parcours, identifiant anonyme.
• Finalité : mesure d'audience et amélioration du produit.
• Base légale : consentement (art. 6(1)(a) RGPD).
• Durée de conservation : 12 mois.
• Pas de profilage publicitaire, pas de vente à des tiers.

Vous pouvez refuser ces cookies via le bandeau (refus aussi accessible que l'acceptation). Le refus est mémorisé pendant 6 mois. Vous pouvez aussi retirer votre consentement à tout moment en effaçant les cookies de votre navigateur.

8.3 Mesure d'audience sans cookie (Vercel Web Analytics)

Passcard utilise également Vercel Web Analytics, une mesure d'audience sans aucun cookie et sans stockage sur votre appareil. Elle comptabilise de façon agrégée les pages vues et la provenance (moteur de recherche, site référent), sans identifiant persistant, sans profilage et sans suivi entre sites.

• Uniquement sur les pages publiques du site (accueil, tarifs, guides, outils, blog). Elle n'est active ni sur l'espace commerçant, ni sur les pages d'invitation, de parrainage ou d'ajout de carte, afin qu'aucune adresse contenant un identifiant ne soit transmise.
• Aucun cookie, aucune lecture ni écriture sur votre terminal.
• Aucune donnée permettant de vous identifier personnellement.
• Adresse IP non conservée (utilisée transitoirement, puis écartée).
• Finalité : mesurer l'audience du site et l'efficacité de nos contenus.

N'impliquant aucun accès aux informations stockées sur votre terminal, cette mesure ne relève pas de l'article 82 de la loi Informatique et Libertés (art. 5(3) de la directive ePrivacy) et ne requiert donc pas votre consentement. Elle repose sur l'intérêt légitime de Passcard (art. 6(1)(f) RGPD) à mesurer l'audience de son site.

8.4 Espace commerçant authentifié

Sur le tableau de bord (dashboard), la mesure d'audience PostHog s'effectue sur la base de l'exécution du contrat (art. 6(1)(b) RGPD) entre le commerçant et Passcard, et non sur le consentement. Cette mesure est limitée aux interactions produit (pages visitées, fonctionnalités utilisées) et permet d'améliorer l'outil.

9. Monitoring technique (Sentry)

Pour détecter et corriger les erreurs techniques, Passcard utilise Sentry. Les données d'erreur (stack traces, contexte technique, identifiant utilisateur anonyme) sont conservées 30 jours. Base légale : intérêt légitime (sécurité et fiabilité du service, art. 6(1)(f) RGPD).

10. Modifications de la politique

En cas de modification substantielle de la présente politique, les commerçants seront notifiés par email au moins 30 jours avant l'entrée en vigueur des changements. La date de dernière mise à jour est affichée en haut de cette page.

11. Contact et DPO