Politique de confidentialité

Responsable de traitement

Nohad Bahroune, éditeur de Loyali.fr (entrepreneur individuel, SIREN 107 559 908), est responsable du traitement des données personnelles décrites ci-dessous. Pour toute question relative à vos données, vous pouvez nous contacter à contact@loyali.fr.

Données collectées

Selon votre usage du Service, nous collectons :

• Pour les commerçants : nom, email, mot de passe (chiffré), informations de l'établissement, et le cas échéant les informations de facturation gérées par Stripe.
• Pour les clients d'un commerçant (porteurs de carte de fidélité) : nom, numéro de téléphone, email (facultatif), date de naissance (facultative), historique d'achats et de tampons/points, et tout champ personnalisé configuré par le commerçant lors de l'inscription.
• Données techniques : adresse IP et journaux de connexion, à des fins de sécurité et de lutte contre la fraude.

Données de localisation (application mobile Loyali)

Si vous installez l'application mobile Loyali (client final) et l'autorisez, celle-ci accède à votre position - y compris en arrière-plan, application fermée - dans le seul but de vous notifier lorsque vous vous trouvez à proximité d'un commerce où vous détenez une carte de fidélité. Cette position est traitée exclusivement sur votre appareil : elle n'est jamais envoyée à nos serveurs, jamais stockée, ni partagée avec un tiers, y compris le commerçant. Cette autorisation est optionnelle et peut être accordée, refusée ou révoquée à tout moment depuis les réglages de votre téléphone, sans affecter le reste des fonctionnalités de l'application.

Caméra et photothèque (applications mobiles Loyali et Loyali Pro)

Les applications mobiles Loyali (client) et Loyali Pro (commerçant) utilisent l'appareil photo de votre téléphone pour scanner un QR code (carte de fidélité ou code d'un commerce). L'image de la caméra n'est traitée que sur votre appareil pour décoder ce QR code : elle n'est jamais enregistrée, stockée ni transmise à nos serveurs. L'application Loyali Pro permet également au commerçant de choisir une image depuis sa photothèque (logo du commerce, visuel d'une carte) : dans ce cas uniquement, l'image choisie est envoyée à nos serveurs pour être affichée sur la carte de fidélité, au même titre qu'un logo importé depuis le site web. Ces autorisations sont optionnelles et peuvent être gérées à tout moment depuis les réglages de votre téléphone.

Finalités

Ces données sont utilisées pour :

• Fournir et faire fonctionner le programme de fidélité (carte Apple/Google Wallet, suivi des récompenses) ;
• Permettre au commerçant d'envoyer des notifications ou emails à ses propres clients, s'ils y ont consenti ;
• Établir les statistiques d'utilisation affichées au commerçant ;
• Assurer la facturation de l'abonnement du commerçant ;
• Assurer la sécurité du Service et prévenir les abus.

Base légale

Les traitements réalisés pour le compte du commerçant (gestion du programme de fidélité) reposent sur le consentement du client final, recueilli au moment de son inscription via le formulaire public. Le commerçant est responsable du traitement des données de ses propres clients ; Loyali agit en qualité de sous-traitant au sens du RGPD pour ces données. Si le client final est mineur de moins de 15 ans, l'inscription doit être réalisée avec l'autorisation d'un titulaire de l'autorité parentale, conformément à l'article 8 du RGPD.

Destinataires et sous-traitants

Les données peuvent être transmises aux prestataires suivants, dans la stricte mesure nécessaire au fonctionnement du Service : Stripe (paiement et facturation), Resend (envoi d'emails transactionnels et marketing), Apple et Google (génération des cartes Apple Wallet / Google Wallet), Vercel (hébergement du Service, États-Unis - encadré par le Data Privacy Framework), Neon (hébergement de la base de données, États-Unis - encadré par le Data Privacy Framework), Sentry (supervision technique des erreurs, hébergé dans l'Union européenne), Expo (acheminement des notifications push vers votre téléphone, États-Unis). Si votre commerçant a connecté ses propres outils, peuvent également intervenir Twilio (SMS, États-Unis), WhatsApp/Meta (messages), Google Sheets (export de sa liste clients) et SumUp (rapprochement de ses encaissements). Si vous renseignez une adresse (livraison, autocomplétion), celle-ci est transmise à la Base Adresse Nationale (api-adresse.data.gouv.fr, service public français) pour la géolocaliser ; pour une adresse hors de France, un service de repli (Nominatim/OpenStreetMap, Royaume-Uni) peut être utilisé. Plausible Analytics mesure une fréquentation strictement anonyme du site (aucune donnée personnelle, aucun cookie - voir la section « Cookies » ci-dessous). Si le commerçant connecte sa propre intégration (SMS, WhatsApp...) via l'API et les webhooks Loyali, le prestataire de messagerie qu'il choisit devient son propre sous-traitant, distinct de Loyali. Si le commerçant configure un pixel publicitaire Meta (Facebook/Instagram Ads) sur l'une de ses cartes, Meta reçoit une confirmation d'inscription (aucune autre donnée) une fois l'inscription du client final effectivement terminée - voir la section « Cookies » ci-dessous. Chacun de ces prestataires agit dans le cadre de ses propres engagements de conformité.

Annexe - Contrat de sous-traitance (article 28 du RGPD)

Pour les données des clients finaux d'un commerçant (porteurs de carte de fidélité), Loyali agit en qualité de sous-traitant au sens de l'article 28 du RGPD, le commerçant étant responsable du traitement. La présente annexe formalise cette relation et s'applique automatiquement, sans document séparé à signer, dès la création d'un compte commerçant.

Objet et durée : Loyali traite les données des clients finaux exclusivement pour fournir le Service au commerçant (programme de fidélité, notifications, statistiques), pendant toute la durée du contrat entre le commerçant et Loyali.

Instructions: Loyali ne traite ces données que sur instruction documentée du commerçant, telle qu'exprimée via sa configuration du Service (paramétrage de la carte, des notifications, des champs collectés). Loyali informe le commerçant si une instruction lui semble contraire au RGPD.

Confidentialité et sécurité: les personnes autorisées à traiter ces données chez Loyali sont tenues à une obligation de confidentialité. Les mots de passe sont chiffrés, les jetons d'intégration tiers (SMS, WhatsApp, etc. connectés par le commerçant) sont chiffrés au repos, et les accès au tableau de bord sont protégés par authentification.

Sous-traitants ultérieurs: Loyali est autorisé à recourir aux sous-traitants ultérieurs listés à la section « Destinataires et sous-traitants » ci-dessus (Stripe, Resend, Apple, Google, hébergeur Vercel) pour l'exécution du Service. Loyali informera le commerçant de tout changement prévu concernant l'ajout ou le remplacement de ces sous-traitants ultérieurs.

Assistance: Loyali assiste le commerçant, dans la mesure du possible, pour répondre aux demandes d'exercice des droits de ses clients finaux et pour la notification d'éventuelles violations de données les concernant.

Sort des données : à la résiliation du compte commerçant, les données de ses clients finaux sont conservées le temps nécessaire à un éventuel export à la demande du commerçant (voir CGU/CGV, article 5), puis supprimées ou anonymisées, sauf obligation légale de conservation contraire.

Cookies

Loyali n'utilise, par défaut, que des cookies strictement nécessaires au fonctionnement du Service (maintien de votre session de connexion), qui ne requièrent pas de consentement préalable au sens de la réglementation en vigueur. Aucun cookie de suivi ou publicitaire n'est déposé avant votre inscription à une carte de fidélité. La seule exception : si le commerçant a configuré un pixel publicitaire Meta sur sa carte, un cookie tiers Meta est déposé au moment où vous terminez cette inscription (jamais avant, jamais pour une simple visite). Un cookie technique conserve également votre choix de langue d'affichage pendant un an ; comme la session, il ne requiert pas de consentement préalable.

Durée de conservation

Les données d'un client final sont conservées pendant la durée de son adhésion au programme de fidélité, puis supprimées ou anonymisées à la demande du commerçant ou du client final lui-même (voir « Vos droits » ci-dessous). Les données du compte commerçant sont conservées pendant la durée du contrat, puis pour la durée des obligations légales de conservation (notamment comptables).

Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition sur vos données, ainsi que du droit d'introduire une réclamation auprès de la CNIL. Si vous êtes client final d'un commerçant, adressez votre demande en priorité au commerçant concerné ; vous pouvez également nous contacter à contact@loyali.fr.