Politique de confidentialité

1. Qui sommes-nous

La plateforme Kartalik (le « Service ») est éditée par NOVASTACK SARL, au capital de 100 000 MAD, immatriculée au Registre du Commerce de Marrakech sous le n° 185521, dont le siège social est situé APPT N 7 ETG 2 LOT AL MASAR N 643, Marrakech (l'« Éditeur », « nous »). Le Service permet aux restaurants et commerçants de proposer des cartes de fidélité digitales dans Apple Wallet et Google Wallet.

NOVASTACK SARL déclare à la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) les traitements réalisés sur la plateforme — comptes des commerçants et de leur personnel, abonnements et ce site ; programmes de fidélité et cartes de visite numériques exploités avec les commerçants ; transferts vers l'hébergeur et vers Apple et Google. Les numéros de récépissé seront publiés ici dès leur délivrance.

2. Qui est responsable de vos données

Si vous êtes un client titulaire d'une carte de fidélité : l'établissement qui vous propose la carte et l'Éditeur sont conjointement responsables de vos données. L'établissement décide d'ouvrir son programme et ne voit que ses propres clients ; l'Éditeur exploite la plateforme, sécurise vos données et déclare le traitement à la CNDP.

Si vous êtes un commerçant utilisateur du Service : l'Éditeur est le responsable de traitement de vos données de compte.

Si vous travaillez pour un commerçant et disposez d'un compte de gestionnaire de scan : l'Éditeur est le responsable de traitement de votre compte et de ses enregistrements de connexion et de sécurité. L'établissement qui a créé votre compte décide qui en reçoit un, et voit le compte ainsi que les visites qu'il a enregistrées.

Si vous avez laissé vos coordonnées sur une carte de visite numérique : l'entreprise dont vous avez scanné la carte et l'Éditeur sont conjointement responsables, selon le même partage — l'entreprise reçoit vos coordonnées, l'Éditeur exploite la plateforme et déclare le traitement.

3. Quelles données nous collectons

Pour les titulaires d'une carte de fidélité — uniquement ce que le formulaire d'inscription demande et ce que l'utilisation de la carte produit :

identité et contact : prénom, nom, numéro de téléphone, et — seulement si vous choisissez de les donner — adresse e-mail et date d'anniversaire ;
votre carte : le wallet choisi (Apple ou Google), votre solde de points, et le fait que la carte soit installée ou non dans votre wallet ;
vos visites : date et heure de chaque scan, points attribués, montant payé, une note facultative saisie par le caissier, et la localisation du point de vente où le scan a eu lieu ;
les preuves de consentement : la date d'acceptation de cette politique, la version que vous avez acceptée, votre choix de recevoir ou non des messages marketing et la date de ce choix — y compris la date de votre retrait, le cas échéant.
si vous avez rejoint via la carte d'un autre client : l'invitation de quel client vous avez utilisée et, si vous avez choisi de le dire, le type de lien qui vous unit (famille, ami, collègue, voisin, autre) — son nom ne vous est jamais montré, et le vôtre n'est montré qu'à l'établissement ;

Sur le formulaire d'inscription, seuls votre prénom, votre nom et votre numéro de téléphone sont obligatoires — sans eux, la carte ne peut être ni créée ni retrouvée en caisse. Votre adresse e-mail et votre date d'anniversaire sont facultatives : laissez-les vides et la carte fonctionne exactement de la même manière, vous ne recevrez simplement ni e-mail de bienvenue ni offre d'anniversaire.

Pour les commerçants : les données de compte fournies à l'inscription (nom, e-mail, téléphone, nom et adresse de l'établissement, points de vente), une photo de profil si vous en ajoutez une, vos demandes d'abonnement (formule, numéro de téléphone, message), vos abonnements et paiements, la date d'acceptation des conditions, vos journaux de connexion, la position de l'appareil au moment d'un scan (utilisée seulement pour vérifier que le scan a lieu au point de vente, jamais conservée), et le contenu de toute carte de visite numérique que vous publiez (nom, fonction, société, téléphone, e-mail, liens, photo).

Pour les gestionnaires de scan : l'adresse e-mail et le numéro de téléphone que l'établissement saisit lorsqu'il crée votre compte, les prénom, nom et photo de profil que vous ajoutez vous-même, l'établissement auquel vous êtes affecté et vos enregistrements de connexion. Chaque scan est rattaché au compte qui l'a effectué, de sorte que l'établissement peut voir lequel de ses comptes a enregistré quelle visite. L'établissement décide qui dispose d'un compte et peut le désactiver ; pour exercer vos droits sur le compte lui-même, écrivez-nous (section 8).

Nous ne collectons rien d'autre : pas de traceurs de navigation, pas de profils publicitaires, pas de données achetées à des tiers.

3.1 Les cartes de fidélité sont réservées aux majeurs

Vous devez avoir au moins 18 ans pour vous inscrire. Le formulaire d'inscription vous demande de le confirmer et refuse une date de naissance qui indique le contraire. Nous ne collectons pas sciemment les données d'un mineur : si vous pensez que les informations d'un enfant nous sont parvenues, signalez-le à l'établissement ou écrivez à contact@kartalik.com et nous les effacerons.

3.2 Votre carte et votre position

Votre carte peut apparaître sur l'écran verrouillé de votre téléphone lorsque vous vous trouvez à proximité de l'un des points de vente de l'établissement. Il s'agit d'une fonctionnalité du wallet, et non d'un suivi : les adresses des points de vente sont inscrites dans la carte elle-même, et Apple Wallet ou Google Wallet les compare à votre position, sur votre propre téléphone. Votre position ne nous est jamais transmise et nous ne la conservons jamais. Vous pouvez désactiver ce comportement dans les réglages wallet de votre téléphone, sans que la carte en soit affectée.

Les coordonnées enregistrées avec une visite sont celles du point de vente ; elles sont conservées pour que l'établissement puisse distinguer ses différentes succursales dans ses statistiques. Elles indiquent où se trouvait la caisse, non où vous vous trouviez.

3.3 Si vous avez laissé vos coordonnées sur une carte de visite numérique

Une carte de visite numérique vous transmet les coordonnées de son titulaire ; l'ouvrir ne collecte rien sur vous. L'entreprise est informée que sa carte a été ouverte — une unité de plus dans un compteur, avec la date et le moyen d'accès : QR code, lien ou carte du wallet — et rien n'est enregistré sur la personne qui l'a ouverte : ni nom, ni adresse, ni appareil, pas même sous une forme déguisée. Si vous choisissez ensuite de lui remettre les vôtres, le formulaire demande votre nom, un numéro de téléphone ou une adresse e-mail — l'un des deux suffit — et votre société si vous la renseignez, ainsi que le moment où vous avez coché la case de consentement et la version de la présente politique qui vous a été présentée. Sans cette case cochée, le formulaire refuse l'envoi : aucune coordonnée ne peut être laissée par inadvertance.

Nous enregistrons également par quel chemin la carte vous est parvenue : si vous l'avez ouverte via un lien partagé par quelqu'un, l'entreprise voit que sa carte vous est parvenue par cette personne. Ce qu'elle voit est la chaîne des partages, non vos déplacements — et une personne qui ne laisse aucune coordonnée reste un point anonyme de cette chaîne, sans nom, sans numéro de téléphone et sans adresse e-mail rattachés.

Ce que vous laissez va à cette entreprise et à notre hébergeur, et nulle part ailleurs : ces données ne sont jamais inscrites dans une carte Apple Wallet ou Google Wallet, jamais transmises à Apple ou à Google, et jamais utilisées pour vous envoyer quoi que ce soit que cette entreprise ne nous ait pas demandé d'envoyer.

4. Pourquoi nous les traitons

créer votre carte de fidélité et la livrer dans Apple Wallet ou Google Wallet — sur la base du consentement donné sur le formulaire d'inscription ;
enregistrer vos visites et tenir votre solde de points à jour — le cœur du programme de fidélité que vous avez rejoint ;
vous envoyer les actualités et offres de l'établissement sur votre carte — uniquement si vous y avez consenti séparément, et vous pouvez retirer ce consentement à tout moment ;
vous envoyer un e-mail de bienvenue lorsque vous fournissez une adresse e-mail ;
pour enregistrer, lorsque vous rejoignez via la carte d'un autre client, que vous êtes venu par ce client et le type de lien que vous avez choisi de déclarer — afin que l'établissement voie comment sa carte circule et remercie le client qui l'a partagée avec les points qu'il a choisi d'offrir ;
transmettre vos coordonnées à l'entreprise dont vous avez scanné la carte de visite numérique, et lui montrer comment sa carte a circulé — sur la base du consentement que vous donnez sur ce formulaire ;
gérer les comptes commerçants, les abonnements et le support — exécution du contrat avec le commerçant ;
assurer la sécurité du Service (authentification, prévention de la fraude sur les scans, journaux d'accès).

5. Qui reçoit vos données

Vos données ne sont partagées qu'avec les destinataires nécessaires au fonctionnement du Service :

Apple Inc. (Apple Wallet) ou Google LLC (Google Wallet), selon le wallet choisi : votre nom, l'identifiant de votre carte, votre solde de points et le contenu de la carte leur sont transmis pour afficher et mettre à jour la carte sur votre téléphone. Les deux sont établis aux États-Unis. Pour une carte de fidélité, ce transfert n'a lieu qu'avec le consentement que vous donnez à l'adhésion ; pour une carte de visite numérique que vous ajoutez à votre propre wallet, il est nécessaire à l'exécution de notre contrat avec vous (art. 44) ;
Hostinger International Ltd., notre prestataire d'hébergement et de messagerie, dont les serveurs sont situés dans l'Union européenne, dans un pays reconnu par la CNDP comme assurant un niveau de protection adéquat — il héberge le Service et achemine les e-mails transactionnels décrits ci-dessus ;
si vous êtes commerçant : notre comptable externe et l'administration fiscale reçoivent vos données de facturation (nom, adresse, paiements) lorsque le droit comptable et fiscal l'exige ;
si vous êtes commerçant : lorsque vous placez votre établissement sur la carte du tableau de bord, votre navigateur charge le fond de carte et la recherche d'adresse directement depuis OpenStreetMap (OpenStreetMap Foundation, Royaume-Uni) — celui-ci voit l'adresse de votre navigateur comme tout site que vous visitez, et aucune donnée de vos clients ;
l'établissement qui a émis votre carte, qui voit les données de ses propres clients dans son tableau de bord.

Nous ne vendons jamais vos données, et personne d'autre ne les reçoit — sauf lorsque la loi impose une communication à une autorité compétente.

6. Messages marketing

Les messages marketing — sur votre carte ou par e-mail — ne sont envoyés qu'aux clients ayant expressément donné leur accord sur le formulaire d'inscription (loi 09-08, art. 10). Les messages relatifs à votre carte elle-même — mise à jour des points après une visite — font partie du Service et ne sont pas du marketing. Vous pouvez retirer votre consentement marketing à tout moment en le demandant à l'établissement ou en écrivant à contact@kartalik.com, et supprimer la carte de votre wallet arrête immédiatement les messages sur la carte.

7. Combien de temps nous les conservons

votre carte et vos données d'identité : tant que vous utilisez la carte, et en tout état de cause au maximum 36 mois après votre dernière visite — passé ce délai, vos nom, prénom, numéro de téléphone, adresse e-mail et date de naissance sont effacés automatiquement. L'effacement intervient aussi plus tôt, dès que vous le demandez ;
votre historique de visites, y compris les localisations de scan : tant que vous utilisez votre carte — il n'est jamais supprimé en raison de son ancienneté ; une fois votre identité effacée, les enregistrements subsistent sans rien qui vous nomme ;
les enregistrements techniques wallet (accusés de livraison, enregistrements push des cartes supprimées) : respectivement 90 jours et 6 mois ;
l'historique des messages de campagne remis sur votre carte : 90 jours après la campagne, et supprimé immédiatement dès l'effacement de votre carte ;
une coordonnée laissée sur une carte de visite numérique, et le point qu'elle occupe dans la chaîne des partages : conservés jusqu'à ce que l'entreprise les efface ou supprime la carte. Il n'y a pas d'expiration automatique — un échange de cartes de visite a vocation à durer — l'effacement intervient donc lorsqu'il est demandé ;
les données de compte commerçant : pendant la vie du compte, puis les durées imposées par le droit commercial marocain ;
les comptes de gestionnaires de scan : aussi longtemps que l'établissement conserve le compte, et jusqu'à ce qu'il le supprime ;
les journaux techniques : 30 jours.

La fin d'un abonnement ne supprime rien : elle met seulement la carte de fidélité hors ligne, afin qu'elle puisse être remise en service exactement telle qu'elle était. La suppression intervient lorsqu'elle est demandée — par vous, ou par l'établissement qui ferme son compte — et, pour une carte laissée inutilisée, automatiquement au bout de 36 mois.

8. Vos droits

La loi 09-08 vous donne le droit d'accéder à vos données, de les faire rectifier, de vous opposer à leur traitement — y compris à des fins de marketing — et de les faire supprimer.

Si vous êtes titulaire d'une carte de fidélité, adressez-vous à l'établissement qui l'a émise — son tableau de bord efface vos données personnelles immédiatement — ou écrivez à contact@kartalik.com : nous vous répondons directement, donnons accès sans délai et procédons aux rectifications dans un délai franc de dix jours, comme l'exige la loi 09-08.

Si vous êtes commerçant ou titulaire d'un compte de gestionnaire de scan, écrivez à contact@kartalik.com pour les données de votre propre compte : nous en sommes alors le responsable de traitement et nous vous répondons directement. Nous donnons accès sans délai et procédons aux rectifications dans un délai franc de dix jours, comme l'exige la loi 09-08.

L'effacement supprime vos prénom, nom, numéro de téléphone, adresse e-mail et date d'anniversaire, désactive la carte et annule les enregistrements de notification de votre téléphone. Les enregistrements de visite eux-mêmes subsistent pour les statistiques de l'établissement, dépouillés de tout ce qui vous identifie. Être dépourvu d'identifiants n'équivaut pas à être anonyme : tant que vous détenez encore le pass sur votre téléphone, un rattachement à ces enregistrements reste théoriquement possible, et nous les traitons en conséquence.

Si vous avez laissé vos coordonnées sur une carte de visite numérique, adressez-vous à l'entreprise dont il s'agissait, ou écrivez à contact@kartalik.com. L'effacement supprime votre nom, votre numéro de téléphone, votre adresse e-mail et votre société ; le point que vous occupez dans la chaîne des partages subsiste, dépouillé de tout ce qui vous nomme, afin que la chaîne de personne d'autre ne soit rompue.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une plainte auprès de la CNDP (www.cndp.ma).

9. Comment nous les protégeons

Tout le trafic est chiffré (HTTPS/TLS). L'accès à vos données exige une authentification et est limité par rôle ; chaque établissement ne voit jamais que ses propres clients. Les mots de passe sont stockés hachés, les secrets sensibles des cartes sont chiffrés au repos, et les scans sont protégés contre la falsification par des codes signés à usage unique.

10. Les cookies

Le Service n'utilise que des cookies strictement nécessaires à son fonctionnement : votre session de connexion, votre langue et votre préférence de thème clair/sombre. Il n'y a aucun cookie analytique ou publicitaire, donc aucun bandeau cookies n'est requis.

11. Évolution de cette politique

Nous pouvons mettre à jour cette politique au fil de l'évolution du Service ; la date ci-dessus reflète toujours la dernière version. Un changement substantiel est annoncé sur le Service avant d'entrer en vigueur.

12. Nous contacter

Pour toute question sur cette politique ou vos données : contact@kartalik.com — APPT N 7 ETG 2 LOT AL MASAR N 643, Marrakech.

Conditions Générales d'Utilisation et de Vente · Accord de traitement des données · Mentions légales