Politique de confidentialité
Version 1.1 — en vigueur depuis le 1er octobre 2026
Vous êtes client final d'un commerçant qui utilise Hafidy ? Une politique simplifiée vous est dédiée : Politique client final.
Cette politique explique quelles données personnelles Hafidy traite, pourquoi, pendant combien de temps, avec quels prestataires, et quels sont vos droits, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.
1. Qui est responsable de vos données ?
LYOUBI HAMZA, Entrepreneur individuel (EI), exerçant sous le nom commercial « Hafidy »
SIREN 102 740 446
Adresse : 1 rue du Soleil Levant, 92140 Clamart, France
Email : contact@hafidy.fr
Téléphone : 07 83 85 28 04
Site web : https://www.hafidy.fr
Hafidy a deux rôles différents :
- Responsable de traitement pour les données des commerçants inscrits (et de leurs comptes employés), des commerces prospectés et des visiteurs du site. C'est l'objet de la présente politique.
- Sous-traitant (article 28 du RGPD) pour les données des clients finaux des commerçants, traitées pour leur compte. Pour ces données, le responsable de traitement est le commerçant ; leur traitement est encadré par l'Accord de sous-traitance (DPA) et expliqué aux clients finaux dans la politique client final.
Hafidy n'a pas désigné de délégué à la protection des données ; pour toute question, écrivez à l'adresse ci-dessus.
2. Quelles données traitons-nous ?
2.1 Commerçants (nos clients)
- Compte : nom du commerce, nom, email, mot de passe (stocké sous forme hachée, jamais en clair)
- Coordonnées du commerce : téléphone, adresse, ville, code postal, pays, position du commerce sur la carte (latitude/longitude)
- Informations professionnelles : type de commerce, réglages du programme de fidélité, logo et visuels de la carte
- Abonnement et facturation : formule, historique des paiements et factures (les données de carte bancaire sont traitées par Stripe ; nous ne les recevons pas)
- Échanges avec le support : messages, signalements de bug (avec, le cas échéant, l'adresse de la page, le navigateur et une capture d'écran)
- Preuve d'acceptation : version des CGV, du DPA et de la présente politique acceptée, date et heure
- Données techniques : adresse IP, journaux de connexion et d'erreurs
2.2 Comptes employés
- Prénom (et, si le commerçant les renseigne, nom, email, téléphone), rôle et code d'accès
2.3 Application mobile du commerçant
- Jetons de notification des appareils du commerçant, pour lui envoyer les notifications de l'application
- Photos du logo, lorsque le commerçant en choisit une depuis son appareil
- Diagnostics de plantage, pour corriger les erreurs de l'application
L'application sert à se connecter à un compte existant : la création du compte et l'abonnement se font sur le site.
2.4 Commerces prospectés
- Coordonnées professionnelles d'un commerce (nom du commerce, adresse, téléphone ou email professionnels, nom du gérant), issues de sources publiques ou d'un contact direct
2.5 Visiteurs du site
- Adresse IP, utilisée pour la sécurité et la limitation du nombre de requêtes
3. Pourquoi traitons-nous ces données ?
| Finalité | Base légale |
|---|---|
| Créer et gérer le compte, fournir le Service, assurer le support | Exécution du contrat (art. 6.1.b RGPD) |
| Gérer l'abonnement, les paiements et les factures | Exécution du contrat ; obligation légale pour la comptabilité (art. 6.1.b et 6.1.c) |
| Envoyer les emails de service (activation, sécurité, factures, changements de conditions) | Exécution du contrat (art. 6.1.b) |
| Envoyer les notifications de l'application mobile | Exécution du contrat (art. 6.1.b) |
| Sécuriser le Service, prévenir la fraude et les abus (limitation de débit, journaux) | Intérêt légitime (art. 6.1.f) |
| Corriger les erreurs (journaux d'erreurs, diagnostics de plantage) | Intérêt légitime (art. 6.1.f) |
| Conserver la preuve de l'acceptation des conditions | Intérêt légitime (art. 6.1.f) |
| Prospection commerciale auprès des professionnels (démarchage de commerces, informations sur nos offres) | Intérêt légitime (art. 6.1.f), avec droit d'opposition à tout moment |
| Répondre aux demandes d'exercice des droits et aux obligations légales | Obligation légale (art. 6.1.c) |
Pour la prospection, vous pouvez vous opposer à tout moment, sans motif, en répondant au message reçu ou en écrivant à contact@hafidy.fr.
4. Combien de temps conservons-nous vos données ?
- Compte commerçant : pendant toute la durée du compte. Après la suppression du compte, les données sont supprimées sous 30 jours ; les sauvegardes qui les contiennent sont écrasées dans un délai de 30 jours supplémentaires.
- Factures et pièces comptables : 10 ans (article L123-22 du Code de commerce).
- Preuve d'acceptation des conditions : 5 ans après la fin de la relation.
- Commerces prospectés : 3 ans à compter du dernier contact, sauf opposition plus tôt.
- Journaux techniques et journal des actions d'administration : 12 mois au plus.
- Adresses IP pour la limitation de débit : quelques minutes à quelques heures (durée de la fenêtre de contrôle).
- Jetons de notification de l'application : jusqu'à la suppression du compte, ou plus tôt lorsque l'appareil n'est plus utilisé.
- Données des clients finaux (traitées pour le commerçant) : supprimées automatiquement après 3 ans sans visite, et au plus tard 30 jours après la suppression du compte du commerçant.
5. Qui a accès à vos données ?
Vos données ne sont jamais vendues. Elles ne sont communiquées qu'à nos sous-traitants, liés par contrat au respect du RGPD, et aux autorités lorsque la loi l'exige.
| Prestataire | Rôle | Localisation et garanties |
|---|---|---|
| Vercel Inc. | Hébergement du site et de l'application web | États-Unis — Data Privacy Framework / clauses contractuelles types |
| Neon Inc. | Base de données | Région Europe (Londres, Royaume-Uni — pays reconnu adéquat par la Commission européenne) |
| Stripe Payments Europe Ltd | Paiements et factures | Irlande (Union européenne) |
| Resend | Envoi des emails | États-Unis — Data Privacy Framework / clauses contractuelles types |
| Upstash | Limitation de débit et protection contre les abus (adresses IP) | Clauses contractuelles types en cas de transfert hors UE |
| Apple | Mises à jour des cartes Apple Wallet ; notifications de l'application sur iPhone | États-Unis — Data Privacy Framework |
| Cartes Google Wallet ; notifications de l'application sur Android | États-Unis — Data Privacy Framework |
6. Transferts hors de l'Union européenne
Certains prestataires sont situés aux États-Unis. Ces transferts reposent sur le Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023) et/ou sur des clauses contractuelles types (décision (UE) 2021/914). La base de données est hébergée au Royaume-Uni, pays qui bénéficie d'une décision d'adéquation.
7. Vos droits
Vous disposez des droits suivants sur vos données :
- Accès : obtenir une copie de vos données
- Rectification : corriger des données inexactes
- Effacement : demander la suppression de vos données
- Limitation : demander le gel temporaire de leur utilisation
- Portabilité : recevoir vos données dans un format structuré (export CSV)
- Opposition : vous opposer aux traitements fondés sur l'intérêt légitime, et à tout moment à la prospection
- Directives post-mortem : définir ce que deviennent vos données après votre décès
Écrivez à contact@hafidy.fr. Nous répondons dans un délai d'un mois (prolongeable de deux mois pour les demandes complexes, avec information). En cas de doute sur votre identité, une vérification peut vous être demandée.
Vous êtes client final d'un commerce ? Adressez-vous de préférence au commerce, responsable de vos données ; si vous nous écrivez, nous transmettons votre demande au commerce concerné.
Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
8. Sécurité
Nous appliquons notamment les mesures suivantes :
- Communications chiffrées (HTTPS), avec HSTS qui impose la connexion sécurisée
- Mots de passe hachés avec bcrypt, jamais stockés en clair
- Sessions révocables côté serveur
- Limitation du nombre de requêtes contre les attaques par force brute et les abus
- Séparation des données de chaque commerçant
- Journal des actions d'administration
- Accès d'administration réservé à un nombre restreint de personnes, et vérifié à chaque action
- Sauvegardes de la base de données gérées par l'hébergeur de base de données
9. Violation de données
Pour les traitements dont Hafidy est responsable, Hafidy notifie à la CNIL toute violation de données présentant un risque dans les 72 heures après en avoir pris connaissance, et informe les personnes concernées si le risque est élevé.
Pour les données des clients finaux, Hafidy informe le commerçant dans les meilleurs délais ; c'est le commerçant, responsable de traitement, qui notifie la CNIL et informe ses clients si nécessaire.
10. Cookies
Hafidy n'utilise aucun traceur tiers : pas de mesure d'audience dans le navigateur, pas de publicité, pas de réseaux sociaux. Seuls des cookies strictement nécessaires sont déposés, ce qui ne demande pas de consentement :
| Cookie | Rôle | Durée |
|---|---|---|
hafidy_token | Session du commerçant connecté | 90 jours |
hafidy_customer | Mémorise la carte de fidélité du client final sur son appareil | 1 an |
11. Âge
L'espace commerçant est réservé aux professionnels majeurs. Les programmes de fidélité sont réservés aux personnes de 15 ans et plus.
12. Modifications
Cette politique peut évoluer. Chaque version est datée ; les commerçants sont informés par email de toute modification importante, et les versions précédentes restent consultables.
13. Contact
Pour toute question sur cette politique ou sur vos données :
Email : contact@hafidy.fr