Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement au sens de l'art. 4, point 7, du RGPD est :

• TOY GmbH
• Dr. Adolf-Schärf-Straße 1/2/24
• 2353 Guntramsdorf, Autriche
• Numéro de TVA : ATU78882167
• E-mail : support@tapradar.app
• Site web : www.tapradar.app

Aucun délégué à la protection des données n'a été désigné, les conditions de l'art. 37 du RGPD n'étant pas réunies. Veuillez adresser vos demandes relatives à la protection des données à l'adresse e-mail ci-dessus ; nous les traitons sans délai, au plus tard dans un délai d'un mois à compter de leur réception.

2. Structure de cette politique

Afin de vous permettre de vous orienter rapidement, cette politique de confidentialité se divise en une partie générale (points 1 à 4), une partie spécifique décrivant en détail les quatre domaines fonctionnels de l'application ainsi que les données de localisation et de notification push (points 5 à 7), une partie relative aux clients professionnels, aux paiements et aux avis (points 8 à 12), une partie relative au site web, aux destinataires, aux transferts vers des pays tiers et aux durées de conservation (points 13 à 16), ainsi qu'une partie relative à vos droits, à la sécurité des données et à d'autres informations (points 17 à 22). Une liste des sources officielles figure à la fin du document.

3. Principes généraux du traitement des données

Nous traitons les données à caractère personnel dans le respect des principes du RGPD, notamment la licéité, la loyauté, la transparence, la limitation des finalités, la minimisation des données, l'exactitude, la limitation de la conservation ainsi que l'intégrité et la confidentialité (art. 5 du RGPD). Tout traitement de données à caractère personnel repose sur au moins l'une des bases juridiques suivantes :

• Art. 6, § 1, point a) du RGPD – le consentement de la personne concernée, notamment pour le partage des données de localisation, la réception de notifications push et la fonction facultative d'amis et de classement
• Art. 6, § 1, point b) du RGPD – la nécessité à l'exécution d'un contrat ou à des mesures précontractuelles, par exemple la mise à disposition des fonctions Radar, Tampon, Cartes et Home ainsi que la gestion des abonnements
• Art. 6, § 1, point c) du RGPD – le respect d'une obligation légale, par exemple les obligations de conservation fiscales et commerciales
• Art. 6, § 1, point f) du RGPD – la protection d'intérêts légitimes, par exemple la prévention de la fraude et des abus, la sécurité informatique et le développement de la plateforme, dans la mesure où ces intérêts ne sont pas supplantés par les intérêts ou les droits fondamentaux de la personne concernée

4. Vue d'ensemble : qui traite quoi ?

TapRadar relie deux groupes d'utilisateurs : les clients finaux qui découvrent des commerces locaux et collectent des tampons via l'application gratuite, et les clients professionnels qui gèrent leur fidélisation client via le tableau de bord payant. Les deux groupes génèrent des données qui sont traitées en partie exclusivement par TOY GmbH, en partie conjointement avec le partenaire contractuel concerné. Les points 5 à 12 ci-dessous décrivent ces flux de données en détail, structurés selon les quatre domaines de l'application ainsi que selon les données de localisation, de notification push, de paiement et d'avis.

5.1 Radar – découvrir des commerces locaux

Dans la section Radar, nous vous présentons sur une carte les commerces partenaires TapRadar situés à proximité. Vous pouvez affiner l'affichage à l'aide de filtres (offre, bon, récompense, mieux notés, rayon de 500 mètres) et de catégories telles que café, restaurant, coiffeur ou marché. Pour chaque commerce partenaire, les horaires d'ouverture, les avis et un badge indiquant la formule choisie par ce commerce (Bronze, Gold ou Platinum) sont affichés ; ce badge concerne exclusivement le client professionnel et ne constitue pas une donnée à caractère personnel vous concernant.

Pour fournir cette fonctionnalité, nous traitons votre localisation (voir point 6), les filtres et catégories que vous choisissez, ainsi que vos interactions avec les commerces partenaires affichés, par exemple la consultation du profil d'un commerce. Nous utilisons ces données d'interaction pour améliorer les résultats de recherche et augmenter la pertinence des commerces partenaires affichés. Base juridique : art. 6, § 1, point a) du RGPD pour le partage de la localisation, art. 6, § 1, points b) et f) du RGPD pour les données de filtre, de catégorie et d'interaction.

5.2 Tampon – collecter des tampons numériques

Dans la section Tampon, vous pouvez recevoir automatiquement un tampon numérique en touchant un point NFC ou, alternativement, en scannant un code QR à la caisse d'un commerce partenaire. Votre progression, par exemple 7 tampons sur 10, s'affiche immédiatement ; une fois le nombre de tampons requis atteint, vous pouvez utiliser la récompense enregistrée, par exemple un café gratuit ou une réduction. Vous recevez également des points pour votre niveau dans la section Home pour chaque tampon.

À cette fin, nous traitons l'heure et le lieu de chaque tamponnage, le commerce partenaire concerné, le nombre actuel de tampons par carte de fidélité, les récompenses utilisées ainsi que le code d'utilisation correspondant. Base juridique : art. 6, § 1, point b) du RGPD. Afin de vérifier qu'un tamponnage a effectivement eu lieu sur place, nous comparons en outre la localisation de votre appareil ; voir le point 6 pour plus de détails.

5.3 Cartes – portefeuille numérique pour cartes de fidélité existantes

Dans la section Cartes, vous pouvez enregistrer numériquement dans votre portefeuille TapRadar des cartes de fidélité de tiers déjà existantes, par exemple de Billa, DM, H&M, Spar ou Hofer, en scannant ou en saisissant manuellement le code-barres ou le code QR correspondant, puis en la présentant à la caisse. Les marques citées ne sont que des exemples de cartes que vous enregistrez vous-même ; TapRadar n'est affilié à aucune de ces entreprises et n'échange aucune donnée avec elles.

Les données de carte et de code-barres que vous enregistrez sont stockées de manière chiffrée et utilisées exclusivement pour l'affichage dans votre propre application. Base juridique : art. 6, § 1, point b) du RGPD, car vous nous chargez spécifiquement de ce stockage en ajoutant la carte.

5.4 Home – profil et gamification

Dans la section Home, vous trouverez votre profil avec un système de niveaux à 20 échelons allant de « Débutant » à « Champion ». Vous gagnez des points pour les tampons collectés, les avis publiés et les amis invités, suivez un objectif hebdomadaire et profitez d'un système de séries dans lequel sept jours actifs consécutifs déclenchent un bonus. Vous pouvez également inviter des amis et comparer votre progression dans un classement.

À cette fin, nous traitons votre solde de points, votre niveau, votre compteur de série, votre historique d'objectifs ainsi que – si vous utilisez activement cette fonction – la liste des amis que vous avez invités ou avec qui vous êtes connecté, et leurs données de progression agrégées visibles pour vous, dans la mesure où ces personnes ont également consenti à la visibilité mutuelle. Base juridique pour les fonctions principales (niveau, points, série, objectif hebdomadaire) : art. 6, § 1, point b) du RGPD. Base juridique pour la fonction facultative d'amis et de classement : art. 6, § 1, point a) du RGPD, car cela rend des données visibles à d'autres personnes. Les niveaux, points et classements n'ont aucune valeur monétaire et ne sont pas transférables.

6. Données de localisation et GPS en détail

TapRadar utilise les données de localisation de votre appareil à deux fins distinctes : (a) la fonction Radar pour afficher les commerces partenaires à proximité, et (b) la vérification des visites clients, en comparant la localisation de votre appareil au moment d'un tamponnage NFC ou QR avec la localisation enregistrée du commerce partenaire, afin d'empêcher un tamponnage sans présence physique.

Selon votre système d'exploitation, vous pouvez contrôler le partage de localisation de manière granulaire, par exemple avec les options « toujours », « uniquement pendant l'utilisation de l'application » ou « une seule fois ». Pour la fonction principale de vérification des tampons, un partage pendant l'utilisation de l'application suffit ; un partage permanent de la localisation en arrière-plan n'est nécessaire que si vous souhaitez utiliser la publicité de proximité d'un commerce partenaire Platinum (voir point 7.2). Base juridique : art. 6, § 1, point a) du RGPD en lien avec les paramètres d'autorisation de votre système d'exploitation, subsidiairement notre intérêt légitime à la prévention de la fraude conformément à l'art. 6, § 1, point f) du RGPD. Vous pouvez révoquer le partage de localisation à tout moment via les paramètres de votre appareil ; certaines fonctions, notamment la vérification des tampons et la publicité de proximité, ne seront alors plus disponibles ou seulement de manière limitée.

7.1 Notifications de service de TapRadar

Nous envoyons des notifications push de service sous notre propre responsabilité, par exemple concernant la sécurité du compte, des modifications importantes de la plateforme ou la confirmation d'opérations. Base juridique : art. 6, § 1, points b) et f) du RGPD.

7.2 Notifications push marketing et campagnes des clients professionnels

Les clients professionnels peuvent envoyer, via le tableau de bord, des campagnes et des notifications push aux clients finaux qui sont déjà clients du commerce partenaire concerné (au moins un tampon collecté) ou qui se trouvent à proximité – dans le cadre de la publicité de proximité disponible exclusivement dans la formule Platinum – et qui ont accordé un partage de localisation à cet effet. Les notifications push sont limitées à une certaine fréquence selon la formule (Gold : jusqu'à 2 campagnes image/PDF par mois, pas de notifications push ; Platinum : jusqu'à 4 campagnes par mois, plus notifications push, déclenchement de proximité, compte à rebours de campagne et reciblage dans les 30 jours suivant votre dernière visite).

Vous pouvez désactiver à tout moment la réception de notifications push marketing et de campagnes, en totalité ou par commerce partenaire, via les paramètres de votre appareil ou les paramètres de l'application, sans que cela ne vous prive de l'accès aux fonctions principales de l'application. Base juridique : art. 6, § 1, point a) du RGPD en lien avec l'art. 174 du TKG 2021.

8. Inscription et compte utilisateur (clients finaux)

Lors de l'inscription dans l'application TapRadar, nous collectons votre adresse e-mail, votre mot de passe (stocké de manière chiffrée), le nom d'affichage choisi ainsi que des informations de profil facultatives. Finalité : création, gestion et sécurisation de votre compte utilisateur. Base juridique : art. 6, § 1, point b) du RGPD.

9. Inscription, compte et données d'entreprise (clients professionnels)

Pour les clients professionnels souscrivant à une formule Bronze, Gold ou Platinum, nous traitons en outre : le nom de l'entreprise, la forme juridique, l'adresse du commerce, le numéro de TVA, la personne de contact (nom, e-mail, numéro de téléphone), les horaires d'ouverture, la catégorie et la description du commerce, ainsi que les images et documents PDF publicitaires téléchargés et le contenu des campagnes. Finalité : exécution du contrat, mise à disposition du tableau de bord professionnel, facturation. Base juridique : art. 6, § 1, points b) et c) du RGPD.

10. Système de code PIN pour employés

Selon leur formule, les clients professionnels peuvent créer jusqu'à 15 (Platinum), 5 (Gold) ou 1 (Bronze) accès employés avec un code PIN individuel. À cette fin, nous traitons les initiales ou noms d'employés saisis par le client professionnel, ainsi qu'un journal d'activité automatisé des tamponnages et utilisations effectués via le code PIN concerné. Le client professionnel concerné, en tant qu'employeur, est responsable de la licéité de ce traitement vis-à-vis des employés concernés ; TOY GmbH fournit à cet égard uniquement l'infrastructure technique. Base juridique du côté de TOY GmbH : art. 6, § 1, point b) du RGPD ainsi qu'art. 6, § 1, point f) du RGPD.

11. Traitement des paiements

Le traitement des paiements pour les formules payantes s'effectue via notre prestataire de services de paiement Stripe. Nous ne stockons pas nous-mêmes de données de carte de paiement complètes ; celles-ci sont traitées exclusivement par Stripe. Nous recevons de Stripe des confirmations du statut de paiement et des montants de facture, ainsi que, le cas échéant, les quatre derniers chiffres du moyen de paiement utilisé, à des fins de documentation et de facturation. Base juridique : art. 6, § 1, points b) et c) du RGPD. Pour plus d'informations sur le traitement des données par Stripe, veuillez consulter la politique de confidentialité de Stripe sur stripe.com/privacy.

12. Avis

Lorsque vous, en tant que client final, publiez un avis sur un commerce partenaire, nous traitons le texte de l'avis, la notation par étoiles, l'horodatage ainsi que la preuve d'une visite vérifiée (justificatif de tampon). Les avis sont affichés au commerce partenaire ainsi qu'aux autres utilisateurs de l'application avec votre nom d'affichage. Base juridique : art. 6, § 1, point a) du RGPD en lien avec l'art. 6, § 1, point f) du RGPD. Si un avis est signalé comme illicite, par exemple parce qu'il est insultant ou manifestement non fondé sur une visite réelle, nous examinons le signalement et l'avis concerné dans le cadre de notre procédure de signalement et d'examen, et communiquons le résultat à la personne ayant signalé l'avis ainsi qu'à son auteur.

13. Utilisation du site web, fichiers journaux du serveur et cookies

Lors de la consultation de notre site web www.tapradar.app, notre hébergeur traite automatiquement des données d'accès techniques (adresse IP, date et heure d'accès, page consultée, navigateur et système d'exploitation utilisés, URL de référence) dans des fichiers journaux du serveur. Finalité : garantir un fonctionnement sans incident et la sécurité informatique. Base juridique : art. 6, § 1, point f) du RGPD. Notre bannière de consentement distingue les cookies techniquement nécessaires à la langue, à la connexion, à la sécurité et à l'enregistrement de votre choix, des catégories facultatives Analyse et Marketing. Les cookies facultatifs d'analyse ou de marketing et les services associés ne sont utilisés qu'après votre consentement volontaire. Vous pouvez modifier votre choix à tout moment via « Paramètres des cookies » dans le pied de page ou retirer votre consentement pour l'avenir.

14. Destinataires et sous-traitants

Nous ne transmettons des données à caractère personnel que dans la mesure nécessaire à la fourniture de nos services ou lorsque nous y sommes légalement tenus. Nos sous-traitants ou destinataires comprennent notamment :

• prestataires d'hébergement et d'infrastructure (exploitation des serveurs et bases de données)
• Stripe (traitement des paiements)
• prestataires de services de notification push (par ex. Apple Push Notification Service, Firebase Cloud Messaging) pour les notifications de service et de campagne
• prestataires d'envoi d'e-mails (communication transactionnelle et de service)
• prestataires informatiques dans le cadre de la maintenance et du support

Nous avons conclu, dans la mesure légalement requise, des contrats de sous-traitance conformément à l'art. 28 du RGPD avec tous nos sous-traitants. Dans la mesure où un commerce partenaire (client professionnel) consulte vos données de tampon, de visite ou de campagne dans le tableau de bord dans le cadre de l'exécution du contrat, il agit à cet égard en tant que responsable de traitement indépendant ou, dans le cas de campagnes push, en tant que responsable conjoint conformément au point 7.2 de la présente politique.

15. Transferts vers des pays tiers

Dans la mesure où certains des prestataires mentionnés ci-dessus traitent des données en dehors de l'Espace économique européen (EEE), ce qui peut notamment concerner certains services cloud et de notification push de prestataires américains, nous garantissons, par des garanties appropriées, un niveau de protection des données adéquat, notamment par la conclusion de clauses contractuelles types de l'UE conformément à l'art. 46, § 2, point c) du RGPD ou la certification du destinataire dans le cadre du Data Privacy Framework UE-États-Unis, le cas échéant.

16. Durées de conservation

Nous ne conservons les données à caractère personnel que le temps nécessaire aux finalités respectives :

• Données de compte (clients finaux et professionnels) : pendant la durée d'existence du compte utilisateur ou de la relation contractuelle ; après suppression du compte, les données sont en principe supprimées dans un délai de 30 jours, sauf obligations légales de conservation contraires
• Données de tampon, de récompense et d'utilisation : pendant la durée du compte auprès du commerce partenaire concerné ; après résiliation du contrat client professionnel, les cartes de fidélité correspondantes sont marquées comme inactives et supprimées après 12 mois
• Données du portefeuille de cartes (point 5.3) : jusqu'à leur suppression par vos soins ou jusqu'à la suppression de votre compte
• Données de gamification (niveau, points, série, objectif hebdomadaire) : pendant la durée d'existence de votre compte
• Connexions d'amis et classement : jusqu'à leur suppression par vos soins ou jusqu'à la suppression de votre compte
• Données de facturation et de paiement : 7 ans conformément au § 132 BAO et au § 212 UGB
• Journaux de diffusion et d'interaction push : 12 mois
• Fichiers journaux du serveur : généralement 30 à 90 jours
• Données de localisation pour la vérification des tampons : pas de stockage permanent ; traitement uniquement pendant la durée de la vérification, puis réduction à un journal d'événements (heure, résultat)
• Communications d'assistance : 3 ans à compter de la clôture du dossier, sauf conservation plus longue légalement requise

17. Vos droits en tant que personne concernée

Sous réserve des conditions légales, vous disposez des droits suivants :

• droit d'accès (art. 15 du RGPD)
• droit de rectification (art. 16 du RGPD)
• droit à l'effacement (art. 17 du RGPD)
• droit à la limitation du traitement (art. 18 du RGPD)
• droit à la portabilité des données (art. 20 du RGPD)
• droit d'opposition aux traitements fondés sur l'art. 6, § 1, point f) du RGPD (art. 21 du RGPD)
• droit de retirer un consentement donné, avec effet pour l'avenir (art. 7, § 3, du RGPD)

Pour exercer ces droits, un message informel à support@tapradar.app suffit. Nous traiterons votre demande sans délai, au plus tard dans un délai d'un mois ; ce délai peut être prolongé de deux mois supplémentaires en cas de demandes complexes ou nombreuses, ce dont nous vous informerons.

18. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées conformément à l'art. 32 du RGPD afin de protéger vos données contre la perte, l'utilisation abusive et l'accès non autorisé, notamment le chiffrement de la transmission des données (TLS), le chiffrement des données particulièrement sensibles stockées telles que les mots de passe et les données du portefeuille de cartes, des restrictions d'accès selon le principe du moindre privilège, des mises à jour de sécurité régulières ainsi que la journalisation des événements pertinents pour la sécurité. Nos mesures de sécurité sont continuellement adaptées à l'état de l'art.

19. Absence de décision automatisée, profilage limité

Les niveaux, points et classements au sein de l'application reposent sur des règles automatisées, mais entièrement transparentes et compréhensibles, sans effet juridique ou effet significatif similaire au sens de l'art. 22 du RGPD. Dans le cadre de la publicité de proximité (point 7.2), un profilage limité basé sur la localisation a lieu afin de vous afficher des notifications de commerces partenaires à proximité ; ce traitement repose exclusivement sur votre consentement et n'a aucun effet juridique ou effet significatif similaire au sens de l'art. 22 du RGPD. Aucune décision automatisée ayant un effet juridique à l'égard des utilisateurs n'a lieu.

20. Protection des mineurs

TapRadar ne s'adresse pas spécifiquement aux enfants de moins de 14 ans. Si nous constatons que des données à caractère personnel d'un enfant n'ayant pas atteint l'âge minimum applicable en vertu du droit national ont été collectées sans le consentement d'un représentant légal, nous supprimerons ces données sans délai.

21. Modifications de cette politique de confidentialité

Nous nous réservons le droit de modifier cette politique de confidentialité afin de l'adapter à l'évolution du cadre juridique ou aux nouvelles fonctionnalités de la plateforme. La version publiée sur www.tapradar.app/datenschutz au moment de votre visite ou utilisation fait foi. En cas de modifications substantielles reposant sur une base juridique modifiée, telle qu'un consentement initial, nous recueillerons à nouveau ce consentement.

22. Contact et droit de réclamation

Pour toute question relative à la protection des données, vous pouvez nous contacter à support@tapradar.app. Sans préjudice de tout autre recours administratif ou judiciaire, vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle, notamment l'autorité compétente pour l'Autriche :

• Autorité autrichienne de protection des données (Österreichische Datenschutzbehörde)
• Barichgasse 40-42, 1030 Vienne, Autriche
• Site web : www.dsb.gv.at

Sources

Sources officielles de l'UE et autrichiennes sur lesquelles repose cette politique de confidentialité :

• Règlement général sur la protection des données (RGPD), règlement (UE) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Autorité autrichienne de protection des données: https://www.dsb.gv.at/