Politique de confidentialité

Cette politique explique comment Fidpop traite les données personnelles. Elle distingue deux situations : les données des professionnels qui utilisent Fidpop (gérants, employés, prospects), pour lesquelles Fidpop est responsable de traitement, et les données des clients des commerces, que Fidpop traite pour le compte de chaque commerce.

1. Responsable de traitement

Pour les comptes professionnels et le site : Youness HALIL LATTIF, entrepreneur individuel (EI), nom commercial YHL STUDIO, 162 avenue Paul Vaillant-Couturier, 75014 Paris. Contact pour toute question sur vos données : écrivez à dpo@fidpop.fr (données personnelles). Fidpop n’a pas désigné de délégué à la protection des données : ce n’est pas obligatoire à sa taille.

2. Données des professionnels

Traitement	Données	Base légale	Durée
Compte gérant ou employé	Nom, email, mot de passe (haché), rôle, réglages de double authentification	Exécution du contrat	Durée du contrat, puis 30 jours
Connexion et appareils connectés	Appareil et navigateur, adresse IP tronquée, dates de connexion, codes de connexion envoyés par email (stockés hachés, 10 minutes)	Intérêt légitime (sécurité des comptes)	13 mois après la dernière utilisation
Facturation	Raison sociale, SIRET (vérifié dans l’annuaire public des entreprises, recherche-entreprises.api.gouv.fr), adresse et email de facturation. Paiement en ligne : IBAN et mandat SEPA, ou carte bancaire, traités par Stripe ; nous n’en voyons que le type et les 4 derniers chiffres.	Contrat (paiement de l’abonnement) et obligation légale (factures)	10 ans (pièces comptables)
Essai gratuit (un seul par établissement et par moyen de paiement)	Empreintes (hachage HMAC-SHA-256 avec une clé secrète) du SIRET et du moyen de paiement (empreinte fournie par Stripe, jamais le numéro de carte ni l’IBAN), date de la case cochée « Je certifie avoir 18 ans ou plus et agir au nom et pour le compte de cette entreprise », version des CGV acceptée. Aucune date de naissance.	Intérêt légitime (prévention des essais à répétition) et exécution du contrat	3 ans après l’inscription
Sécurité du service	Connexions, échecs de connexion, adresse IP, navigateur, actions sensibles	Intérêt légitime (sécurité)	12 mois
Exercice des droits	Nom, email, demande, réponse	Obligation légale	5 ans après la réponse
Mesure d’audience du site public (accueil, essai, aide, pages légales)	Pages vues, site d’origine, pays, type de navigateur et d’appareil, temps de chargement, sans cookie ni stockage dans le navigateur (Cloudflare Web Analytics) ; jamais sur la carte, l’inscription des clients ni les espaces connectés	Intérêt légitime (statistiques anonymes et agrégées du site), sans consentement : aucun cookie ni traceur	Données détaillées 7 jours chez Cloudflare, puis statistiques agrégées consultables 6 mois
Outil gratuit « QR code avis Google » : envoi de l’affiche, puis 3 emails de conseils, dont une présentation de Fidpop	Email professionnel, nom du commerce, lien de la page d’avis Google, texte de l’affiche, page d’origine du lien suivi ; jamais revendus ni cédés. Si la recherche de commerce ou la vérification de sécurité est proposée : données de navigation transmises à Google (recherche Google Maps) ou à Cloudflare (Turnstile)	Intérêt légitime (prospection d’un professionnel, en rapport avec son activité) ; information dès le formulaire, opposition en un clic dans chaque email	3 ans après le dernier email ou la dernière demande ; après une désinscription, seule une empreinte de l’email est gardée, pour ne plus jamais écrire
Support	Échanges par email	Exécution du contrat	Durée du contrat

3. Données des clients des commerces

Quand un client s’inscrit au programme de fidélité d’un commerce, ce commerce est responsable de traitement et Fidpop son sous-traitant (contrat de sous-traitance). Chaque commerce publie sa propre politique de confidentialité, accessible depuis la page d’inscription et depuis la carte. Fidpop ne traite ces données que sur instruction du commerce, ne les vend jamais et ne les utilise pas pour son propre compte. En résumé :

• Données obligatoires : prénom et numéro de téléphone. Facultatives : nom, email (seulement pour retrouver la carte en cas de changement de téléphone), jour et mois d’anniversaire (jamais l’année).
• Le numéro de téléphone et l’email sont chiffrés dans la base de données.
• Rappel à proximité du point de vente (Apple Wallet, Google Wallet) : la carte contient l’adresse, la latitude et la longitude des points de vente du commerce. C’est votre téléphone qui détecte que vous êtes à proximité : ni le commerce ni Fidpop ne reçoivent votre position.
• Consentements séparés et prouvables (date, choix, texte exact) : conditions du programme, offres du commerce, emails, notifications.
• Les offres ne sont envoyées qu’aux clients qui les ont acceptées, avec une case séparée et non cochée (article L34-5 du Code des postes et des communications électroniques).
• Depuis sa carte (« Mes données »), le client télécharge ses données, choisit ses notifications, refuse les offres et supprime ses données. Si le commerce envoie des emails, chacun contient un lien de désinscription en 1 clic.
• Après 3 ans sans passage, les données sont anonymisées automatiquement. Les preuves de consentement sont conservées 5 ans.

4. Destinataires

• Les équipes autorisées de Fidpop, pour le support et la sécurité, dans la limite de leurs missions.
• Nos sous-traitants, chacun pour une mission précise : hébergement (Hostinger), protection et accélération du site (Cloudflare : adresse IP et données en transit) et mesure d’audience sans cookie des pages publiques (Cloudflare Web Analytics), réception des emails envoyés à contact@fidpop.fr et à dpo@fidpop.fr (redirection par Cloudflare vers une messagerie Google (Gmail)), envoi des emails (Brevo), copie chiffrée des sauvegardes (Cloudflare R2), surveillance du site (UptimeRobot), encaissement des abonnements des commerces (Stripe : moyen de paiement, nom et adresse de facturation du commerce, email du gérant ; jamais les données des clients des commerces), services de notification des navigateurs si le client active les notifications (Google, Apple, Mozilla, Microsoft). Apple Wallet (mise à jour de la carte par le service de notification d’Apple) et Google Wallet (prénom et initiale, numéro, lien et solde de la carte, messages du commerce), si le client y ajoute sa carte. Détail : liste des sous-traitants.

Aucune donnée n’est vendue, louée ni utilisée à des fins publicitaires.

5. Transferts hors de l’Union européenne

Les données sont hébergées dans l’Union européenne. Certains prestataires sont établis aux États-Unis ou y ont des serveurs (Cloudflare, Google, Apple, Mozilla, Microsoft, UptimeRobot) : les transferts éventuels sont encadrés par le Data Privacy Framework UE–États-Unis et des clauses contractuelles types. Les sauvegardes envoyées à Cloudflare sont chiffrées par Fidpop avant l’envoi : Cloudflare ne peut pas les lire.

6. Sécurité

Connexion chiffrée (HTTPS, HSTS), mots de passe hachés, double authentification par code email pour l’administration et, par défaut, pour les gérants, déconnexion à distance des appareils connectés, numéros de téléphone chiffrés, cloisonnement strict entre commerces, journal des actions sensibles, sauvegardes quotidiennes chiffrées et copie hors du serveur. En cas de violation de données présentant un risque, la CNIL est notifiée sous 72 heures et les commerces concernés sont prévenus sans délai.

7. Cookies

Seuls des cookies strictement nécessaires ou exemptés de consentement sont utilisés : aucun consentement n’est demandé. La mesure d’audience des pages publiques (Cloudflare Web Analytics) ne dépose aucun cookie chez les visiteurs mesurés ; le cookie fidpop_equipe, posé aux personnes connectées à Fidpop, évite seulement que leurs visites soient comptées. Liste complète : politique cookies.

8. Durées de conservation

Le tableau complet est publié sur la page Durées de conservation. Les suppressions sont automatiques.

9. Vos droits

Vous pouvez accéder à vos données, les rectifier, les effacer, en limiter le traitement, vous y opposer et demander leur portabilité. Utilisez la page Exercer mes droits ou écrivez à dpo@fidpop.fr (données personnelles) ; nous répondons sous un mois. Si vous êtes client d’un commerce, la rubrique « Mes données » de votre carte est le plus rapide. Vous pouvez aussi déposer une réclamation sur cnil.fr.

10. Autres informations

Aucune décision automatisée produisant des effets juridiques ne vous concerne. Vous pouvez définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).