Politique de confidentialité

Objet et champ d’application

La présente politique décrit la manière dont HECATEK SARL collecte et traite les données personnelles dans deux contextes distincts : la consultation du site vitrine fidelcard.fr, et l’utilisation de l’Application FidelCard par les commerçants et par leurs clients.

Elle est établie conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

Elle complète les conditions générales d’utilisation et les conditions générales de vente, sans s’y substituer.

Responsable du traitement

HECATEK, SARL au capital de 10 000 €, immatriculée au RCS de Toulon sous le numéro 930 741 277, dont le siège social est situé 183 Chemin des Négadoux, 83140 Six-Fours-les-Plages, représentée par Madame Ambre Fichan.

Pour les données liées à la consultation du site, aux demandes de contact et à la gestion des Comptes Utilisateurs, HECATEK agit en qualité de responsable du traitement.

Pour les données de fidélité de la clientèle d’un commerce partenaire, à savoir les points, l’historique des passages et les segments de clientèle, le Professionnel affilié est responsable du traitement. HECATEK agit alors en qualité de sous-traitant au sens de l’article 28 du RGPD, sur instruction documentée du Professionnel et sans utiliser ces données à ses propres fins.

HECATEK n’a pas désigné de délégué à la protection des données. Les demandes relatives aux données personnelles sont traitées par la direction, aux coordonnées figurant en fin de page.

Données collectées

FidelCard applique un principe de collecte minimale : seules les données strictement nécessaires à chaque fonctionnalité sont demandées, et aucune donnée n’est achetée auprès de tiers.

Sur le site vitrine :

• Formulaire de contact et de demande de démonstration : nom, type de commerce, adresse électronique, et selon les cas nombre estimé de clients fidèles, adresse du commerce et message libre. Les champs facultatifs sont signalés comme tels.
• Données techniques : adresse IP, horodatage et informations de requête, enregistrées dans les journaux de l’hébergeur et utilisées pour la sécurité du service ainsi que pour limiter les envois automatisés du formulaire.

Dans l’Application :

• Carte de fidélité digitale : aucune donnée personnelle n’est requise pour obtenir et utiliser une carte, ni à l’inscription, ni lors du passage en caisse.
• Compte Utilisateur, facultatif : adresse électronique et mot de passe, ou données d’authentification Google ou Apple.
• Réservation de produits : nom, prénom et numéro de téléphone, nécessaires au Professionnel pour préparer et remettre la commande.
• Notifications push : identifiant technique du terminal et consentement, révocable à tout moment.
• Fonctionnalités optionnelles : données de localisation, uniquement si vous activez expressément la fonctionnalité concernée.
• Comptes professionnels : informations relatives à l’entreprise et à son dirigeant. Les coordonnées bancaires sont saisies et conservées directement par Stripe, et ne transitent jamais par les serveurs de HECATEK.

Aucune donnée relevant des catégories particulières mentionnées à l’article 9 du RGPD, telles que les données de santé, les opinions politiques ou les convictions religieuses, n’est collectée.

Finalités et bases légales

Chaque traitement repose sur une base légale identifiée :

• Répondre à une demande de contact ou de démonstration : exécution de mesures précontractuelles prises à votre demande, article 6.1.b du RGPD.
• Créer et gérer un Compte Utilisateur ou un compte professionnel : exécution du contrat, article 6.1.b.
• Faire fonctionner le programme de fidélité et la réservation de produits : exécution du contrat, article 6.1.b, pour le compte du Professionnel concerné.
• Envoyer des notifications promotionnelles : consentement préalable, article 6.1.a, retirable à tout moment sans conséquence sur les autres fonctionnalités.
• Facturer les abonnements et conserver les pièces comptables : obligation légale, article 6.1.c, et exécution du contrat.
• Assurer la sécurité du site et de l’Application, prévenir la fraude et les envois automatisés : intérêt légitime, article 6.1.f, consistant à protéger le service et ses utilisateurs.

Les données recueillies pour une finalité déterminée ne sont pas réutilisées pour une finalité incompatible.

Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Elles sont accessibles aux seules personnes habilitées de HECATEK, et transmises aux prestataires suivants dans la stricte mesure nécessaire à leur mission :

• Vercel Inc., hébergement et diffusion du site vitrine, ainsi que journaux techniques associés.
• Discord Netherlands B.V., réception des demandes envoyées via les formulaires du site, qui sont transmises à l’espace de travail interne de l’équipe commerciale.
• Back4App (Parse Platform), hébergement de la base de données de l’Application.
• Stripe, traitement des paiements et de la facturation des abonnements professionnels.
• Mailgun EU, envoi des courriels transactionnels, infrastructure située dans l’Union européenne.
• Firebase Cloud Messaging (Google), acheminement technique des notifications push.

Chacun de ces prestataires agit en qualité de sous-traitant, sur instruction de HECATEK, dans le cadre d’un contrat comportant les engagements prévus à l’article 28 du RGPD. Ils ne sont pas autorisés à exploiter les données à d’autres fins.

Les données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l’impose.

Transferts hors Union européenne

Certains prestataires, notamment Vercel, Discord, Stripe et Firebase Cloud Messaging, sont susceptibles de traiter des données en dehors de l’Union européenne, en particulier aux États-Unis.

Ces transferts sont encadrés par les garanties appropriées prévues au chapitre V du RGPD : clauses contractuelles types adoptées par la Commission européenne, et le cas échéant certification au titre du cadre de protection des données entre l’Union européenne et les États-Unis. Une copie des garanties applicables peut être demandée aux coordonnées figurant en fin de page.

Durées de conservation

Les données ne sont pas conservées au-delà de ce qui est nécessaire aux finalités poursuivies :

• Demandes de contact et de démonstration : trois ans à compter du dernier échange, puis suppression.
• Journaux techniques et de sécurité : douze mois au maximum.
• Compte Utilisateur : pendant toute la durée d’utilisation de l’Application, puis archivage limité à la durée de prescription légale applicable.
• Réservations de produits : le temps nécessaire à l’exécution de la réservation, puis la durée de prescription légale applicable.
• Données de fidélité : pendant la durée du programme, et jusqu’à un an après la dernière activité du client.
• Comptes professionnels et pièces comptables : pendant la durée du contrat, puis dix ans pour les documents comptables, conformément à l’article L. 123-22 du Code de commerce.
• Preuve du consentement aux notifications : le temps du consentement, puis trois ans à titre probatoire.

Sécurité

HECATEK met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données contre la perte, l’accès non autorisé, la divulgation et l’altération, notamment :

• chiffrement systématique des échanges entre le navigateur et le site, ainsi qu’avec l’Application ;
• en-têtes de sécurité restreignant les ressources que la page peut charger et interdisant son affichage dans un site tiers ;
• limitation du nombre d’envois du formulaire depuis une même origine et filtrage des envois automatisés ;
• accès aux systèmes restreint aux personnes habilitées, selon le principe du moindre privilège ;
• recours à des prestataires reconnus pour l’hébergement et le paiement, ce dernier étant entièrement délégué à Stripe.

Aucun dispositif ne pouvant garantir une sécurité absolue, HECATEK est tenue à une obligation de moyens renforcée sur ce point.

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité des traitements déjà effectués.

Ces droits s’exercent auprès de HECATEK, 183 Chemin des Négadoux, 83140 Six-Fours-les-Plages, ou par courriel à infos@hecatek.com. Une copie d’un titre d’identité peut être demandée en cas de doute raisonnable sur l’identité du demandeur. Il y est répondu dans un délai d’un mois, prolongeable de deux mois en cas de demande complexe, avec information préalable.

Lorsque la demande porte sur des données de fidélité gérées pour le compte d’un commerce partenaire, elle est transmise à ce dernier, seul responsable du traitement concerné.

Vous disposez enfin du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Absence de décision automatisée

Aucune décision produisant des effets juridiques ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé, au sens de l’article 22 du RGPD.

La segmentation de clientèle proposée aux commerçants, qui distingue par exemple les clients nouveaux, réguliers et fidèles, repose sur des critères de fréquence définis par le commerçant. Elle sert uniquement à cibler des offres commerciales et n’emporte aucune conséquence sur les droits des personnes concernées.

Mineurs

L’Application n’est pas destinée aux enfants de moins de quinze ans. La création d’un Compte Utilisateur suppose d’avoir atteint cet âge, ou de disposer de l’autorisation du titulaire de l’autorité parentale, conformément à l’article 8 du RGPD et à l’article 45 de la loi Informatique et Libertés.

Si un compte a été créé en méconnaissance de cette règle, sa suppression peut être demandée aux coordonnées figurant en fin de page.

Cookies et traceurs

Site vitrine : aucun cookie n’est déposé. Le site ne recourt ni à la mesure d’audience, ni à la publicité ciblée, ni à un service tiers de suivi. Les polices de caractères sont hébergées sur le domaine du site, aucune requête n’est adressée à un tiers lors de la consultation. C’est la raison pour laquelle aucun bandeau de consentement n’est affiché.

Application : seuls des traceurs strictement nécessaires au fonctionnement technique sont utilisés, notamment pour l’authentification et la sécurité de la session. Ils sont exemptés de consentement au sens de l’article 82 de la loi Informatique et Libertés.

Si un outil de mesure d’audience venait à être ajouté, un mécanisme de recueil du consentement conforme aux recommandations de la CNIL serait mis en place au préalable et la présente politique serait modifiée en conséquence.

Violation de données

En cas de violation de données personnelles susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, HECATEK notifie l’incident à la CNIL dans les soixante-douze heures suivant sa découverte, conformément à l’article 33 du RGPD.

Lorsque la violation est susceptible d’engendrer un risque élevé, les personnes concernées en sont informées individuellement dans les meilleurs délais, dans les conditions prévues à l’article 34 du RGPD.

Modification de la politique

La présente politique peut être modifiée pour tenir compte d’une évolution légale, réglementaire, jurisprudentielle ou technique. La version applicable est celle publiée sur le site au moment de la consultation, et la date de dernière mise à jour figure en tête de page.

En cas de modification substantielle affectant un traitement fondé sur le consentement, celui-ci est recueilli à nouveau.

Contact

Pour toute question relative à la présente politique ou à l’exercice de vos droits : HECATEK, 183 Chemin des Négadoux, 83140 Six-Fours-les-Plages, ou infos@hecatek.com.