Politique de confidentialité

1. Qui est responsable

Cette politique décrit ce que Fidly fait des données personnelles des visiteurs de son site et des commerçants qui ouvrent un compte. Le responsable de ces traitements est Romain Delanne, entreprise individuelle (EI), immatriculée sous le numéro 911446987, dont le siège est situé 8 rue Girard, 94700 Maisons-Alfort, joignable à contact@fidly.cards.

Elle ne concerne pas les clients des établissements : leurs données sont traitées pour le compte de chaque commerçant, responsable du traitement, dans les conditions du contrat de sous-traitance. La notice d'information qui leur est destinée est accessible depuis la page d'adhésion de chaque commerce et depuis chaque carte.

2. Visiteurs du site : rien n'est collecté

La consultation du site ne dépose aucun cookie et n'utilise ni outil de mesure d'audience, ni traceur publicitaire, ni contenu chargé depuis un tiers. Aucune donnée n'est collectée tant que vous ne créez pas de compte.

L'hébergeur du site (Vercel) tient des journaux techniques de connexion (adresse IP, page demandée, horodatage) pendant une durée limitée, aux seules fins de sécurité et de bon fonctionnement du service.

3. Commerçants : les données du compte

À la création du compte : l'adresse de courriel et un mot de passe, conservé uniquement sous forme hachée. À la déclaration de l'établissement : l'enseigne, la raison sociale, le numéro SIRET, l'adresse et le courriel de facturation, et la preuve d'acceptation des conditions (version, date, empreinte hachée de l'adresse IP). Ensuite, au choix du commerçant : l'adresse de l'établissement, un logo, les images de sa carte et la configuration du programme.

Les images que le commerçant ajoute à sa carte (logo, photo de fond, tampon) sont vérifiées avant d'apparaître sur les cartes : par une personne de l'éditeur, ou d'abord par un modèle d'intelligence artificielle, qui valide ou refuse seul les cas sûrs et laisse les autres à une personne de l'éditeur. Cette vérification protège les clients et le service, dont dépendent les cartes de tous les commerçants (intérêt légitime, article 6.1.f du RGPD). Un refus est toujours motivé, et une personne de l'éditeur réexamine l'image sur simple demande.

Pendant l'usage du service : un journal des opérations faites depuis le compte (configuration du programme, modifications de l'établissement, crédits et annulations de tampons), avec l'identifiant du compte et l'horodatage. Il sert à expliquer ce qui s'est passé en cas de contestation.

Ces données sont nécessaires à l'exécution du contrat (article 6.1.b du RGPD), à la facturation et aux obligations comptables de l'éditeur (article 6.1.c), et à la sécurité du service (intérêt légitime, article 6.1.f). Sans elles, le compte ne peut pas être ouvert.

4. À qui les données sont transmises

Supabase Inc. (base de données et authentification), hébergée sur Amazon Web Services dans la région eu-west-1 (Irlande). Vercel Inc. (hébergement de l'application, États-Unis) et Resend Inc. (envoi des courriels de service, États-Unis), tous deux sur la base des clauses contractuelles types adoptées par la Commission européenne. Ces prestataires agissent sur instruction de l'éditeur et n'utilisent pas les données pour leur propre compte.

Anthropic Ireland, Limited (Irlande) fournit la vérification automatique des images de la carte, avec son modèle d'intelligence artificielle Claude, sur instruction de l'éditeur. Les images sont traitées hors de l'Union européenne, notamment aux États-Unis, en vertu des clauses contractuelles types ; Anthropic ne les utilise pas pour entraîner ses modèles et les efface dans les trente jours, sauf si ses systèmes les signalent comme contraires à ses règles d'utilisation (conservation jusqu'à deux ans) ou si la loi l'y oblige.

Quand un client demande à ajouter sa carte à Google Wallet, le nom de l'enseigne, son logo, les images de la carte et la position des établissements sont transmis à Google, qui les affiche sur cette carte. Google (Google Ireland Limited, Irlande) agit alors pour son propre compte, selon ses règles de confidentialité, et peut traiter ces données hors de l'Union européenne, notamment aux États-Unis, dans le cadre de protection des données UE–États-Unis. L'éditeur ne peut pas les supprimer chez Google.

Le numéro SIRET est vérifié auprès de l'annuaire public des entreprises (recherche-entreprises.api.gouv.fr). L'adresse de l'établissement, si le commerçant la renseigne, est transmise au service public d'adressage (api-adresse.data.gouv.fr) pour être géocodée. Aucune donnée n'est vendue, louée ni cédée à des fins publicitaires.

5. Combien de temps

Les données du compte et de l'établissement sont conservées pendant la durée du contrat, puis supprimées dans les trente jours qui suivent la fermeture de l'établissement. Font exception les factures et pièces comptables, conservées dix ans (article L123-22 du Code de commerce), et la preuve d'acceptation des conditions, conservée cinq ans après la fin du contrat (délai de prescription). Ce que Google a reçu pour les cartes Google Wallet reste chez lui : l'éditeur ne peut pas l'y supprimer (section 4).

6. Cookies

Le seul cookie utilisé est le cookie de session posé après la connexion à l'espace commerçant. Il est strictement nécessaire au service et exempté de consentement (article 82 de la loi Informatique et Libertés) ; il reste tant que vous êtes connecté et est supprimé à la déconnexion. Aucun autre cookie n'est déposé, c'est pourquoi le site n'affiche pas de bandeau de consentement.

7. Sécurité

Les échanges sont chiffrés. Les données de chaque établissement sont isolées au niveau de la base de données ; les mots de passe, jetons et secrets sont stockés sous forme hachée ; les opérations sensibles sont journalisées ; des sauvegardes sont réalisées. En cas de violation de données susceptible d'engendrer un risque pour les personnes, l'éditeur en informe la CNIL et les personnes concernées dans les délais prévus par le RGPD.

8. Vos droits

Vous pouvez accéder à vos données, les faire rectifier ou effacer, en demander la limitation ou la portabilité, et vous opposer à un traitement fondé sur l'intérêt légitime, en écrivant à contact@fidly.cards. Une réponse est apportée dans le mois. Vous pouvez aussi saisir la Commission nationale de l'informatique et des libertés (cnil.fr).

9. Mises à jour

Cette politique est datée. Toute modification substantielle est annoncée aux commerçants par courriel avant son entrée en vigueur.