Politique de confidentialité

En deux phrases

Klovi traite le minimum de données nécessaire à faire fonctionner une carte de fidélité : un prénom, un identifiant de carte, des visites. Nous ne vendons aucune donnée, ne les louons pas, et ne les utilisons pas pour notre propre prospection.

Qui est responsable de quoi

La distinction est importante, parce qu’elle détermine à qui vous devez vous adresser.

• Pour les données des clients finaux (les personnes qui ajoutent une carte de fidélité), le commerçant est le responsable du traitement. Klovi agit comme sous-traitant au sens de l’art. 28 RGPD et de l’art. 9 nLPD : nous n’intervenons que sur instruction du commerçant, dans le cadre d’un accord de sous-traitance conclu avec lui.
• Pour les données des commerçants (le compte, la facturation, l’usage du service) et pour ce site vitrine, Klovi est responsable du traitement.

Responsable du traitement : Klovi. Contact : contact@klovi.ch. Klovi n’a pas désigné de délégué à la protection des données : sa taille et la nature de ses traitements ne l’imposent pas. Les demandes relatives aux données sont traitées à l’adresse ci-dessus.

Les données que nous traitons

Client final d’un commerce

• Prénom (ou le pseudonyme saisi lors de l’inscription).
• Identifiant technique de la carte dans Apple Wallet ou Google Wallet.
• Historique de fidélité : visites, tampons, récompenses débloquées, montant du panier lorsque le commerçant le saisit.
• Coordonnées facultatives (courriel, téléphone, date d’anniversaire) uniquement si le client choisit de les donner.
• Données de proximité : si, et seulement si, le client a activé la notification de localisation de sa carte dans son Wallet. Cette fonction est gérée par Apple ou Google ; Klovi reçoit le déclenchement, pas l’historique de vos déplacements.

Commerçant

• Identité et coordonnées professionnelles, nom de l’établissement.
• Données de compte et de connexion, journaux techniques (adresse IP, horodatage) conservés à des fins de sécurité.
• Données de facturation. Les paiements sont traités par notre prestataire, Stripe : Klovi ne stocke pas les numéros de carte bancaire.

Visiteur de ce site

Le site vitrine ne dépose aucun cookie publicitaire. La mesure d’audience (Google Analytics) ne se charge que si vous l’acceptez dans le bandeau cookies, et les polices de caractères sont servies depuis notre propre domaine. Voir la page Cookies.

Finalités et bases légales

• Faire fonctionner la carte de fidélité — exécution du contrat entre le client et le commerce, et exécution du contrat entre Klovi et le commerçant (art. 6.1.b RGPD).
• Envoyer les notifications push (récompense prête, rappel, proximité) — consentement du client final, recueilli par le commerçant au moment de l’inscription et révocable à tout moment (art. 6.1.a RGPD).
• Sécurité, prévention de la fraude, journalisation — intérêt légitime (art. 6.1.f RGPD).
• Facturation et obligations comptables — obligation légale (art. 6.1.c RGPD ; conservation de dix ans en droit suisse).

Qui d’autre y a accès

Klovi ne communique vos données qu’aux prestataires strictement nécessaires au service, tous liés par un contrat de sous-traitance :

• Hébergement de l’application et de la base de données : Hostinger, sur une infrastructure située au sein de l’Union européenne.
• Distribution des cartes et des notifications : Apple Inc. (Apple Wallet) et Google LLC (Google Wallet), pour la seule remise de la carte et du message sur l’appareil du client.
• Paiement et facturation : Stripe.
• Courriels transactionnels et messages du formulaire de contact : Resend.
• Mesure d’audience du site vitrine, seulement si vous l’acceptez dans le bandeau cookies : Google Ireland Ltd (Google Analytics). Détail sur la page Cookies.

Aucune donnée n’est vendue, louée ni cédée à des fins publicitaires. Elles peuvent être transmises à une autorité lorsque la loi nous y oblige.

Où elles sont stockées, et les transferts

Les données de production sont hébergées dans l’Union européenne. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne ; les échanges entre la Suisse et l’UE ne nécessitent donc pas de garantie supplémentaire. Lorsqu’un prestataire traite des données hors de l’EEE — notamment Apple et Google pour la remise des cartes, et Google pour la mesure d’audience — le transfert est encadré par les clauses contractuelles types de la Commission européenne et les clauses reconnues par le PFPDT.

Combien de temps nous les gardons

• Carte de fidélité active : tant que le client la conserve dans son Wallet et que le commerce utilise Klovi.
• Carte inactive : supprimée 24 mois après la dernière visite.
• Compte commerçant résilié : données supprimées ou anonymisées dans les 90 jours suivant la fin du contrat, sauvegardes comprises.
• Pièces comptables : dix ans, conformément au droit suisse.
• Journaux techniques : 12 mois.

Vos droits

Au titre du RGPD et de la loi fédérale suisse sur la protection des données (nLPD), vous disposez des droits suivants :

• Accéder à vos données et en obtenir une copie.
• Les faire rectifier lorsqu’elles sont inexactes.
• Les faire effacer.
• En demander la portabilité dans un format lisible par machine.
• Vous opposer à un traitement ou en demander la limitation.
• Retirer votre consentement à tout moment, sans que cela remette en cause les envois déjà effectués. Pour les notifications, il suffit de supprimer la carte de son Wallet ou d’en désactiver les notifications.

Comment l’exercer. Si vous êtes le client d’un commerce, adressez-vous d’abord à ce commerce, qui est responsable du traitement ; écrivez-nous à contact@klovi.ch si vous ne parvenez pas à le joindre et nous relaierons la demande. Si vous êtes commerçant, écrivez-nous directement. Nous répondons dans un délai d’un mois.

Réclamation. Vous pouvez saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT) en Suisse, ou l’autorité de contrôle de votre pays de résidence dans l’Union européenne.

Sécurité

Les échanges sont chiffrés en transit (TLS) et les données sensibles le sont au repos. Les accès sont nominatifs et limités aux personnes qui en ont besoin. En cas de violation de données présentant un risque, nous informons l’autorité compétente et, lorsque la loi l’exige, les personnes concernées.

Mineurs

Le service n’est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment leurs données ; signalez-nous tout cas de ce type et nous les supprimerons.

Modifications

Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en tête de page ; tout changement substantiel sera annoncé aux commerçants par courriel.