Politique de confidentialité

1. Responsable de traitement et contact

Le responsable du traitement décrit dans la présente politique est :

• QR-Verse
• Exploité depuis l'Union européenne
• support@qr-verse.com
• Délégué à la protection des données (DPO) : support@qr-verse.com - indiquez "DPO" en objet pour un acheminement correct.
• Représentant UE : Non désigné séparément - le responsable de traitement est établi dans l'Union européenne, un représentant au titre de l'article 27 n'est donc pas requis.
• Autorité de contrôle chef de file : Autoriteit Persoonsgegevens (AP), l'autorité néerlandaise de protection des données - https://autoriteitpersoonsgegevens.nl. En France, vous pouvez également saisir la CNIL : https://www.cnil.fr.

2. Catégories de données à caractère personnel traitées

Nous ne collectons que ce qui est nécessaire à la fourniture du service. Chaque catégorie ci-dessous précise ce que nous conservons et pourquoi.

• Données de compte

  Adresse e-mail, nom affiché, préférence de langue, hash du mot de passe (hors OAuth) et identifiants OAuth de Google ou Apple si vous vous connectez ainsi.

• Données d'abonnement et de facturation

  Identifiant client Stripe, formule, statut d'abonnement, historique de factures, pays de TVA et 4 derniers chiffres de la carte. Nous ne voyons ni ne stockons jamais le numéro complet - Stripe s'en charge.

• Métadonnées des QR codes

  Les QR codes que vous créez, leurs URL cibles (codes dynamiques), les noms que vous leur donnez, le type (URL, vCard, Wi-Fi, etc.) et les paramètres de style choisis.

• Statistiques de scan

  Horodatage de chaque scan, pays déduit de l'IP du scanner (l'IP elle-même n'est jamais stockée), classe d'appareil (mobile/bureau/tablette) et famille d'OS approximative. Toutes les lignes de scan sont pseudonymisées - elles ne peuvent être rattachées à une personne identifiable.

• Générations AI Art

  Le prompt textuel que vous soumettez, les paramètres utilisés (style, force ControlNet, seed) et l'image résultante. Stockés pour vous permettre de re-télécharger ou regénérer. Non utilisés pour entraîner des modèles tiers.

• Journaux d'e-mails

  Événements de livraison, rebond, ouverture et clic pour les e-mails transactionnels et marketing, retournés par notre fournisseur Resend. Utilisés pour le suivi de délivrabilité et la suppression des adresses qui rebondissent.

• Journal des consentements cookies

  Lorsque vous acceptez, refusez ou modifiez les préférences cookies, nous enregistrons les catégories choisies, la consent_version active et l'horodatage. C'est la traçabilité exigée par l'article 7(1) du RGPD.

3. Bases légales (article 6 du RGPD)

Nous nous appuyons sur les bases légales suivantes, associées aux catégories ci-dessus :

• Exécution d'un contrat (article 6(1)(b))

  Données de compte, d'abonnement et de facturation, métadonnées QR - le service ne peut être fourni sans elles.

• Intérêt légitime (article 6(1)(f))

  Statistiques de scan agrégées (sécurité, prévention de la fraude, planification de capacité), journaux d'erreurs et pistes d'audit. Nous avons mis en balance vos intérêts et les nôtres et documenté l'analyse en interne.

• Consentement (article 6(1)(a))

  E-mails marketing, cookies non essentiels (analytique, marketing, affiliation) et historique de prompts AI Art au-delà des sessions actives. Vous pouvez retirer votre consentement à tout moment, aussi facilement que vous l'avez donné.

• Obligation légale (article 6(1)(c))

  Factures et données d'abonnement conservées 7 ans pour respecter les obligations fiscales (Belastingdienst néerlandais, articles équivalents du droit fiscal français comme l'article L102B du LPF).

4. Destinataires et sous-traitants

Nous travaillons avec un cercle restreint de sous-traitants soigneusement sélectionnés. Ils traitent les données uniquement sur nos instructions écrites, dans le cadre d'un accord de traitement (DPA).

Liste complète des sous-traitants : /legal/subprocessors

5. Transferts internationaux de données

L'essentiel de vos données reste dans l'UE. Quelques sous-traitants opèrent depuis les États-Unis. Pour chaque transfert vers les USA, nous nous appuyons sur les Clauses Contractuelles Types (CCT, 2021/914) de la Commission européenne, signées dans le DPA correspondant.

• Stripe (sous-ensemble des données de paiement) - CCT + mesures supplémentaires de Stripe.
• Resend (métadonnées d'e-mails) - CCT + EU-US Data Privacy Framework (le cas échéant).
• Sentry (stack traces d'erreurs, expurgées des données personnelles) - CCT + région UE par défaut.
• Impact / pxf.io (cookies d'affiliation, uniquement après consentement) - CCT.
• Cloudflare (transit edge) - CCT.

Nous ne transférons aucune donnée à caractère personnel vers des sous-traitants situés dans des pays sans décision d'adéquation, sauf couverture par CCT et mesures techniques supplémentaires (chiffrement en transit et au repos).

6. Durées de conservation

Nous conservons les données à caractère personnel uniquement pendant la durée nécessaire. Détails :

• Compte actif

  Indéterminé tant que votre abonnement ou compte gratuit est actif.

• Compte supprimé

  Délai de grâce de 30 jours après votre demande. Pendant ce délai, le compte est suspendu et restaurable. Au terme des 30 jours, suppression définitive et purge des identifiants.

• Données d'abonnement et factures

  7 ans à compter de la date de facture. Imposé par le droit fiscal néerlandais (Algemene Wet inzake Rijksbelastingen, art. 52) et l'article L102B du LPF français.

• Statistiques de scan

  Lignes brutes : 90 jours. Au-delà, agrégation par jour/pays et suppression des enregistrements détaillés.

• Journal des consentements cookies

  12 mois à compter de la décision. Conforme aux lignes directrices de la CNIL et de l'EDPB.

• Journaux d'e-mails

  24 mois. Utilisés pour la délivrabilité et la suppression des adresses qui rebondissent.

• Sauvegardes

  Sauvegardes chiffrées avec une rétention glissante de 35 jours. En cas de demande de suppression, nous ne restaurons pas vos données depuis une sauvegarde sauf obligation légale.

7. Vos droits au titre du RGPD

Vous disposez des droits suivants sur vos données. La plupart s'exercent directement depuis votre compte ; pour les autres, écrivez à support@qr-verse.com - nous répondons sous 30 jours.

• Droit d'accès (article 15)

  Téléchargez une copie complète de vos données au format ZIP.

  Exporter mes données->

• Droit de rectification (article 16)

  Corriger des données personnelles inexactes.

  Modifier le profil->

• Droit à l'effacement (article 17)

  Suppression définitive de votre compte et de vos données. La suppression comporte un délai de grâce de 30 jours pendant lequel vous pouvez l'annuler.

  Supprimer mon compte->

• Droit à la limitation (article 18)

  Demandez-nous de limiter le traitement pendant qu'une réclamation ou correction est en cours.

  Écrire à support@qr-verse.com->

• Droit à la portabilité (article 20)

  Recevez vos données dans un format structuré et lisible par machine (JSON dans un ZIP) et transmettez-les à un autre responsable.

  Exporter mes données->

• Droit d'opposition (article 21)

  Opposez-vous au traitement à des fins de prospection ou fondé sur l'intérêt légitime. Vous pouvez vous désinscrire des e-mails marketing directement.

  Préférences e-mail->

• Droit de retirer son consentement (article 7(3))

  Retirez votre consentement aux cookies ou au marketing à tout moment. Aussi simple que de l'accorder.

  Préférences cookies->

• Droit d'introduire une réclamation (article 77)

  Saisissez l'autorité de contrôle de votre État membre. Notre autorité chef de file est l'AP néerlandaise. En France, contactez la CNIL.

  Trouver votre autorité->

8. Cookies et technologies similaires

Nous utilisons quatre catégories de cookies. Seuls les cookies Nécessaires sont activés par défaut ; le reste est strictement opt-in.

Si nous ajoutons un fournisseur ou modifions une description de catégorie, nous incrémentons CONSENT_VERSION (voir l'audit log de /api/account/cookie-consent) et le bandeau redemande à tous les visiteurs.

9. Mesures de sécurité

Nous suivons les pratiques de sécurité standard du SaaS européen :

• TLS 1.2+ pour tout le trafic entre vous et notre edge (Cloudflare).
• Chiffrement au repos pour la base Supabase Postgres et les buckets de stockage.
• Row-Level Security (RLS) sur chaque table accessible aux utilisateurs - chacun ne lit que ses propres données.
• Secrets stockés en variables d'environnement, jamais en versionnage.
• Alertes Sentry sur les erreurs runtime, avec scrubbing PII automatique.
• Revue de pentest aux releases majeures ; bug bounty disponible - écrivez à support@qr-verse.com.
• Sauvegardes chiffrées AES-256, rétention glissante 35 jours, UE uniquement.
• Authentification à deux facteurs imposée pour les comptes fondateurs et disponible pour chaque utilisateur.

10. Enfants

QR-Verse n'est pas destiné aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès de moins de 16 ans. Si vous êtes parent ou tuteur et pensez que votre enfant a créé un compte, écrivez à support@qr-verse.com - nous le supprimerons sous 5 jours ouvrés. Lorsque le droit local fixe un âge supérieur (ex. 16 en NL/DE, 15 en FR), c'est ce dernier qui s'applique.

11. Modifications de la présente politique

En cas de modification substantielle :

• Nous mettons à jour la version et la date d'entrée en vigueur en haut de cette page.
• Nous prévenons tous les utilisateurs par e-mail au moins 30 jours avant l'entrée en vigueur.
• Si la modification touche les catégories de cookies, nous incrémentons CONSENT_VERSION pour que le bandeau redemande le consentement.
• Nous archivons les versions précédentes et les listons en haut de cette page.

12. Contact

Pour toute question relative à la confidentialité, demande de personne concernée ou sujet DPO :

Nous accusons réception sous 72 heures et traitons les demandes sous 30 jours, conformément à l'article 12(3) du RGPD.