Quardy

1. Introduction

La présente Politique de Confidentialité décrit comment Quardy, éditée par Damien Buchet (SIRET : 52825331300035), collecte, utilise et protège vos données personnelles.

Elle s'applique à l'application mobile Quardy (App Store et Google Play), aux cartes de fidélité et cartes cadeaux ajoutées à Apple Wallet ou Google Wallet, aux pages web associées (qr.quardy.app, account.quardy.app), à l'interface de pilotage de l'offre Business (console.quardy.app) et au site quardy.app.

2. Responsable du traitement

Damien Buchet
SIRET : 52825331300035
Email : damien@quardy.app
Site web : https://quardy.app

Quardy est responsable du traitement des données de votre compte (client ou commerçant). En revanche, pour les données des clients d'un commerce (cartes de fidélité, historique des passages, clients ajoutés à la main, cartes cadeaux), le commerçant est responsable du traitement et Quardy agit comme sous-traitant, pour son compte. Les engagements de Quardy envers les commerçants sont décrits dans l'Accord de traitement des données (DPA).

3. Les rôles dans Quardy

• Client : vous collectez des cartes de fidélité auprès de commerces, dans l'application ou directement dans votre Wallet, sans compte
• Commerçant : vous créez et gérez un programme de fidélité pour vos clients
• Membre d'équipe : vous scannez les cartes des clients pour le compte d'un commerce (offres Team et Business)
• Membre d'une organisation (offre Business) : propriétaire, administrateur ou lecteur dans l'interface de pilotage, avec les droits que vous donne le propriétaire

Un même compte peut cumuler plusieurs rôles.

4. Données collectées

Quardy collecte uniquement les données nécessaires au fonctionnement du service.

4.1 Données de compte

• Prénom et nom : pour vous identifier auprès des commerçants
• Adresse email : pour la connexion à votre compte et, pour les commerçants, les emails liés au service
• Langue préférée et date d'acceptation des conditions d'utilisation
• Photo de profil (facultative) : si vous en ajoutez une dans l'interface de pilotage

4.2 Données de fidélité

• Cartes de fidélité : commerces auxquels vous êtes inscrit, langue de la carte
• Solde : tampons, points ou cagnotte ; pour une carte de membre, le montant des achats saisis par le commerçant et le statut atteint
• Historique des passages : date, opération, montant d'achat éventuel, membre de l'équipe qui a scanné et, en offre Business, établissement du passage
• Scan du ticket de caisse (commerces qui l'ont activé) : la photo du ticket que vous envoyez, et ce qui en est lu (commerce, date, heure, numéro et montant du ticket), rattachés à votre carte
• Consentement marketing : votre choix d'accepter ou non les communications du commerçant

Certains programmes (offre Business) demandent aussi, selon leur réglage, votre code postal et votre pays, votre adresse email, votre téléphone ou votre date de naissance, avec ou sans compte. Quand vous les saisissez vous-même, l'application ou la page indique à quoi ils servent. Votre email reste sur la carte avec votre choix : il ne sert aux communications du commerçant que si vous les acceptez.

4.3 Cartes ajoutées au Wallet sans compte

Vous pouvez ajouter une carte directement à Apple Wallet ou Google Wallet sans créer de compte. Nous enregistrons alors la carte, son solde et son historique, ainsi que votre prénom et votre nom si vous les indiquez (le commerçant peut les rendre obligatoires). Pour mettre à jour la carte dans Apple Wallet, nous conservons des identifiants techniques transmis par votre appareil (identifiant d'enregistrement et jeton de notification Apple).

Quand un commerçant a indiqué l'emplacement de sa boutique, toute carte de ce commerce ajoutée à Apple Wallet ou Google Wallet (avec ou sans compte) contient les coordonnées géographiques de la boutique. C'est votre téléphone qui décide seul de vous présenter la carte quand vous passez à proximité, selon les réglages de localisation et de notifications de votre Wallet : votre position n'est jamais transmise à Quardy ni au commerçant. Vous pouvez désactiver cette suggestion dans les options de la carte (Apple Wallet) ou dans les réglages de Google Wallet.

4.4 Clients ajoutés par le commerçant

Un commerçant peut enregistrer lui-même un client qui n'utilise ni l'application ni le Wallet (par exemple une personne sans smartphone). Il saisit alors son prénom, son nom et/ou son numéro de téléphone et, si son programme les demande (offre Business), son code postal, son pays, son adresse email et sa date de naissance. En offre Business, il peut aussi importer ses clients depuis un fichier. Un client ajouté ou importé ainsi n'est jamais inscrit aux communications du commerçant. Ces données ne sont visibles que par ce commerçant.

4.5 Cartes cadeaux

Lorsqu'un commerçant émet une carte cadeau, nous enregistrons le prénom et l'adresse email du bénéficiaire, le prénom de l'expéditeur, le montant et le solde, afin d'envoyer la carte au bénéficiaire et de permettre son utilisation.

4.6 Données des commerçants

• Commerce : nom, adresse, logo, image de fond, réglages de la carte et du programme
• Abonnement : offre souscrite et identifiants de client Stripe. Les données bancaires sont traitées uniquement par Stripe
• Équipe (offres Team et Business) : membres de l'équipe, rôles, codes d'invitation et journal des actions (qui a fait quoi, et quand)
• Campagnes : contenu des notifications envoyées et nombre de destinataires
• Statistiques : nombre de nouveaux clients et de passages par jour ; en offre Business, par établissement et entre établissements
• Bilans par email (offre Business) : choix de chaque membre de l'organisation de les recevoir ou non

4.7 Données techniques

• Jeton de notification : pour vous envoyer des notifications, si vous les autorisez
• Rapports d'erreurs : modèle d'appareil, version de l'application, adresse IP et identifiant de compte au moment d'une erreur, pour corriger les dysfonctionnements
• Mesures de performance : temps de démarrage, téléchargement des mises à jour et erreurs de l'application, avec un identifiant aléatoire propre à l'installation, sans lien avec votre compte (ni nom, ni email, ni identifiant de compte), pour rendre l'application plus rapide
• Adresse IP : conservée uniquement sous forme chiffrée (hachée), pour limiter les abus sur les pages publiques

5. Finalités et bases légales

• Création et gestion de votre compte et de vos cartes : exécution du contrat
• Gestion du programme de fidélité par le commerçant : exécution du contrat (Quardy agit pour le commerçant)
• Communications marketing des commerçants (campagnes de notifications) : consentement
• Envoi des cartes cadeaux au bénéficiaire : exécution de la demande du commerçant
• Emails d'accompagnement et d'information aux commerçants : intérêt légitime, avec possibilité de se désinscrire à tout moment
• Gestion des abonnements et facturation : exécution du contrat et obligations légales
• Sécurité, prévention des abus et correction des erreurs : intérêt légitime

6. Partage des données

6.1 Avec les commerçants

Lorsque vous rejoignez un programme de fidélité, le commerçant a accès à :

• Votre prénom et votre nom (s'ils sont renseignés)
• L'état de votre carte (tampons, points, cagnotte, ou montant des achats et statut pour une carte de membre) et l'historique des passages
• Votre préférence marketing
• Votre code postal et votre pays, votre téléphone et votre date de naissance, si le programme les demande (offre Business)
• Votre adresse email, uniquement si vous avez accepté ses communications, dans l'export de sa liste de clients

Si le commerce utilise l'offre Business, ces informations sont accessibles aux personnes habilitées de son organisation, depuis son interface de pilotage. Pour le support, l'administrateur de Quardy peut accéder à cette interface et y agir pour le compte du commerçant ; chacune de ses modifications est inscrite au journal de l'interface de pilotage au nom de « Support Quardy ».

6.2 Avec nos sous-traitants

Nous ne vendons jamais vos données personnelles. Nous faisons appel aux prestataires suivants, uniquement pour faire fonctionner le service :

• Google Cloud / Firebase (Google) : hébergement, base de données, authentification, stockage des fichiers et traitements serveur. Union européenne
• Apple : connexion avec Apple, cartes Apple Wallet et leurs mises à jour
• Google : connexion avec Google, cartes Google Wallet et leurs mises à jour, recherche de la fiche Google du commerce
• Stripe : paiement et gestion des abonnements des commerçants
• Resend : envoi des emails (emails aux commerçants, exports de clients, cartes cadeaux, invitations et bilans de l'offre Business). États-Unis
• Expo (650 Industries) : acheminement des notifications push de l'application et mesure de ses performances. États-Unis
• Sentry (Functional Software) : suivi des erreurs techniques. États-Unis
• Anthropic (Anthropic PBC) : lecture des photos de tickets de caisse envoyées par les clients des commerces qui ont activé le scan du ticket (extraction du commerce, de la date et du montant). États-Unis, clauses contractuelles types
• Cloudflare : hébergement et protection du site quardy.app

7. Durée de conservation

• Données de compte : tant que votre compte est actif
• Cartes de fidélité et historique des passages : tant que la carte existe. Une carte retirée par le commerçant reste visible dans votre application, désactivée, jusqu'à ce que vous la supprimiez
• Cartes cadeaux : pendant leur durée de validité, puis tant que le commerçant les conserve
• Photos de tickets de caisse : pendant la durée de validité des tickets du commerce plus 30 jours (de 90 jours à 12 mois au plus), le temps de vérifier qu'un même ticket n'est pas présenté deux fois, puis supprimées ; les données lues restent dans l'historique du commerce tant qu'il existe
• Données de facturation : conservées par Stripe selon les obligations légales applicables
• Rapports d'erreurs : durée limitée, selon la politique de conservation de Sentry
• Mesures de performance : 90 jours

À la suppression de votre compte, vos données de compte, vos cartes et leur historique sont supprimés. Si vous êtes commerçant, votre commerce est supprimé et les cartes de vos clients sont désactivées.

Offre Business : quand une organisation est supprimée, par son propriétaire ou 12 mois après la fin de son abonnement, les cartes sans compte (Wallet seul, clients ajoutés par le commerçant) et les cartes cadeaux sont supprimées. Une carte liée à un compte reste visible dans votre application, désactivée, sans l'email, le téléphone, la date de naissance, le code postal et le pays demandés par le programme.

8. Sécurité des données

• Chiffrement des données en transit (HTTPS/TLS) et au repos
• Hébergement en Europe sur Google Cloud (Firebase)
• Authentification via Firebase Authentication, sans mot de passe stocké par Quardy
• Règles d'accès côté serveur : un commerçant n'accède qu'aux données de ses propres clients
• Droits des membres d'équipe et des membres d'une organisation limités à leur rôle et à leurs établissements
• Limitation des requêtes sur les pages publiques

9. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : consulter vos données dans l'application ou sur demande
• Droit de rectification : modifier vos informations dans les paramètres
• Droit à l'effacement : supprimer une carte, ou votre compte et toutes vos données
• Droit à la portabilité : recevoir vos données dans un format structuré (contactez-nous)
• Droit d'opposition et à la limitation du traitement
• Droit de retrait du consentement : refuser à tout moment les communications d'un commerçant, depuis la carte concernée
• Directives post-mortem : définir le sort de vos données après votre décès

Pour exercer ces droits, utilisez les fonctionnalités de l'application ou écrivez-nous à damien@quardy.app. Si votre demande concerne les données qu'un commerce détient sur vous, vous pouvez aussi vous adresser directement à ce commerçant ; nous l'aiderons à y répondre.

10. Permissions de l'application

• Appareil photo : pour scanner les QR codes
• Notifications (optionnel) : pour vous informer de vos récompenses et des messages des commerçants que vous avez acceptés
• Accès aux photos (optionnel) : pour ajouter le logo ou l'image de fond d'un commerce

11. Cookies et suivi

L'application mobile Quardy n'utilise pas de cookies. Nous n'utilisons pas de services d'analyse comportementale ni de publicité ciblée.

12. Transferts hors de l'Union européenne

Vos données sont hébergées dans l'Union européenne, sur Google Cloud (Firebase). Certains sous-traitants listés ci-dessus (notamment Resend, Expo, Sentry, Anthropic, Stripe, Apple et Google) peuvent traiter des données aux États-Unis. Ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis et/ou les clauses contractuelles types de la Commission européenne.

13. Mineurs

Quardy n'est pas destinée aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données concernant des mineurs.

14. Modifications de la politique

Nous pouvons modifier cette politique de confidentialité. Toute modification significative vous sera notifiée via l'application ou par email. La date de dernière mise à jour est indiquée en bas de ce document.

15. Contact et réclamations

Pour toute question concernant vos données personnelles :

Email : damien@quardy.app
Site web : https://quardy.app

Vous pouvez également introduire une réclamation auprès de la CNIL :

CNIL
3 Place de Fontenoy
TSA 80715
75334 PARIS CEDEX 07
Site web : www.cnil.fr