Politique de confidentialité — commerçants & prospects

1. À qui s'adresse cette page

Cette politique décrit comment KARDS traite les données des commerçants : prospects qui nous contactent, titulaires d'un compte sur le portail, et données liées à l'abonnement. Pour ces traitements, KARDS est responsable de traitement.

Les données de vos clients (les porteurs de carte de fidélité) sont traitées pour votre compte : vous en êtes responsable et KARDS est votre sous-traitant (art. 28 RGPD). Elles sont couvertes par la politique de confidentialité clients et par le contrat de sous-traitance annexé aux CGU.

Responsable : Enes KARAKAYA — Entrepreneur individuel (EI), 9 rue Viviers Weyerstein, 57400 Sarrebourg, France. SIREN 991 545 096. Contact : contact@kards-fidelite.com.

2. Quelles données, pour quoi faire, combien de temps

• Demande de démo / contact — nom, email, téléphone, nom de l'enseigne, message et, si vous réservez un créneau de démonstration, le créneau choisi. La prise de rendez-vous est assurée par KARDS elle-même, sur son infrastructure hébergée dans l'Union européenne (aucun prestataire tiers de planification). Finalité : répondre à votre demande et organiser une démonstration (mesures précontractuelles, art. 6.1.b). Conservation : 3 ans après le dernier contact.
• Compte portail — email, mot de passe (haché), nom de l'enseigne, journaux de connexion. Finalité : créer et gérer votre accès (exécution du contrat, art. 6.1.b). Conservation : durée du contrat + 3 ans (preuve / prescription).
• Inscription en ligne et vérification de l'entreprise (KYB) — lorsque vous créez votre compte vous-même, nous collectons votre numéro SIRET, le nom de l'enseigne, votre nom et vos coordonnées. Le SIRET est vérifié auprès de l'annuaire public des entreprises(API Recherche d'entreprises, opérée par la DINUM) : nous conservons une copie des informations publiques renvoyées (raison sociale, code d'activité, adjectif de diffusion, adresse et, le cas échéant, noms des dirigeants publiés au registre) comme preuve de vérification, ainsi que des indicateurs de risque revus par un humain. Finalités : conclusion du contrat (mesures précontractuelles, art. 6.1.b), établissement de vos factures (obligation légale, art. 6.1.c) et prévention de la fraude (intérêt légitime, art. 6.1.f, considérant 47). Aucune décision n'est automatisée : tout signal est examiné par un humain. Conservation : la demande d'inscription non confirmée est supprimée sous 72 heures ; une fois le compte créé, la preuve de vérification est conservée pendant la durée du contrat, puis supprimée avec le compte.
• Abonnement et facturation — identifiant client Stripe, email et identité de facturation, statut d'abonnement. Vos coordonnées bancaires sont saisies directement chez Stripe et ne transitent jamais par KARDS. Finalité : gérer l'abonnement (art. 6.1.b) et respecter nos obligations comptables (art. 6.1.c). Conservation : durée de l'abonnement ; factures 10 ans (art. L123-22 c. com.).
• Compte Stripe Connect (agenda / acomptes) — si vous activez les acomptes de rendez-vous, vous ouvrez un compte Stripe qui vous est propre. Les informations d'identité et bancaires de ce compte (KYC) sont fournies directement à Stripe, qui en est responsable ; KARDS ne conserve que l'identifiant de ce compte et l'état de son activation, pour vous permettre d'encaisser les acomptes. Finalité : exécution du service d'agenda (art. 6.1.b). Conservation : durée du compte.
• Adresse de l'établissement — convertie une fois en coordonnées géographiques (géocodage) pour que la carte s'affiche au bon moment dans le wallet de vos clients (art. 6.1.b). Conservation : tant que le compte est actif.
• Coordonnées affichées sur la carte — nom du commerce, adresse de la boutique principale, téléphone et e-mail de contact que vous saisissez dans « Mes boutiques ». Elles figurent au dos de la carte Apple Wallet de vos clients, parce que les conditions d'Apple imposent qu'une carte porte les coordonnées auxquelles adresser questions et réclamations (art. 6.1.b, exécution du contrat). La carte est téléchargée par le téléphone du client directement depuis nos serveurs : Apple ne reçoit pas ces coordonnées. Conservation : tant que le compte est actif ; vous pouvez les modifier ou les effacer à tout moment.
• Sécurité et supervision — adresse IP, user-agent, horodatages, journaux d'erreurs (intérêt légitime, art. 6.1.f). Conservation : journaux ~30 jours, sauvegardes chiffrées 14 jours.
• Supervision et prévention de la fraude — nous analysons des indicateurs agrégés d'activité des comptes (volumes de scans et de passages, inscriptions, bonus, chiffre d'affaires suivi) pour administrer le service (supervision, dimensionnement), détecter les usages abusifs et protéger l'intégrité du programme (intérêt légitime, art. 6.1.f — considérant 47). Aucun score n'est stocké et aucune décision n'est automatisée : tout signal est vérifié par un humain, et vous êtes contacté avant toute mesure. Calcul à la volée — aucune donnée supplémentaire conservée.

3. Destinataires et sous-traitants

Vos données ne sont jamais vendues ni partagées à des fins publicitaires. Elles sont traitées par KARDS et, pour les seuls besoins décrits ci-dessus, par nos prestataires :

• Hetzner Online GmbH (Allemagne, UE) — hébergement du service et de la base de données, y compris notre propre serveur d'envoi d'emails (invitation, notifications de compte — aucun prestataire d'emailing tiers) ;
• Cloudflare, Inc. (USA) — diffusion des pages, protection anti-robot — Data Privacy Framework ;
• Stripe (Irlande / USA) — paiement et facturation de l'abonnement, et, si l'agenda est activé, encaissement des acomptes de rendez-vous via Connect (vous êtes le marchand ; Stripe traite les paiements de vos clients) — Data Privacy Framework / clauses contractuelles types ;
• SumUp (SumUp Payments Limited, Irlande, UE) — uniquement si vous choisissez SumUp comme moyen d'encaissement des acomptes de rendez-vous : SumUp traite les paiements de vos clients pour votre compte (vous êtes le marchand) ;
• OpenStreetMap Foundation (Nominatim, Royaume-Uni) — géocodage de l'adresse de l'établissement — décision d'adéquation UK.
• DINUM — Annuaire des Entreprises (Direction interministérielle du numérique, France, UE) — vérification du SIRET auprès de l'annuaire public des entreprises lors de l'inscription en ligne (source de données publique de l'État).

4. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation sur vos données. Écrivez-nous à contact@kards-fidelite.com — réponse sous 30 jours.

À la fin de votre contrat, vous pouvez demander la restitution des données de votre programme de fidélité dans un format structuré, puis leur suppression ou anonymisation (voir CGU, article 12 — réversibilité).

Vous pouvez également saisir la CNIL : cnil.fr/fr/plaintes.

5. Cookies

Nos pages ne déposent aucun cookie publicitaire ni traceur tiers. Seuls des éléments techniques indispensables sont utilisés : votre session de connexion au portail et vos préférences (thème, boutique sélectionnée) sont conservées via le stockage local (localStorage) de votre navigateur, et l'anti-robot Cloudflare Turnstile est chargé sur les formulaires.