Politique de confidentialité

1. Introduction

Loonine est une plateforme de cartes de fidélité numériques exploitée par Advanced PrecisionMed Solutions Limited, exploitant sous la marque Loonine (« nous », « notre »). La présente Politique de confidentialité explique comment nous collectons, utilisons, conservons, partageons et protégeons les données personnelles lorsque vous utilisez l'application mobile Loonine, le site marketing et les services associés (le « Service »).

La présente Politique s'applique à tous les utilisateurs du Service dans le monde. Les droits et obligations diffèrent selon la juridiction ; nous le précisons lorsque cela est pertinent.

En utilisant le Service, vous confirmez avoir lu et compris la présente Politique. Si vous n'êtes pas d'accord, vous devez cesser d'utiliser le Service.

2. Qui sommes-nous et notre rôle

Responsable du traitement (pour les titulaires de comptes professionnels et les visiteurs du site marketing) :
Advanced PrecisionMed Solutions Limited, exploitant sous la marque Loonine
Siège social : Aspect Tower, Zone B, Suite 1206, Executive Tower, P.O. Box 118212, Dubaï, Émirats arabes unis
Contact : [email protected]

Notre rôle varie selon les données traitées :

• Lorsque vous vous inscrivez en tant que gérant ou employé, ou lorsque vous visitez notre site marketing, nous sommes le responsable du traitement et nous décidons de l'usage de vos données personnelles.

• Lorsqu'un commerce utilise Loonine pour gérer son programme de fidélité (collecte de numéros de téléphone clients, noms, historiques de tampons, etc.), le commerce est le responsable du traitement de ces données clients et Loonine agit en tant que sous-traitant sur instructions du commerce. Le commerce est responsable de l'obtention du consentement du client et du traitement des demandes d'exercice des droits.

Représentant UE/EEE (Article 27 du RGPD) :
Loonine a désigné Prighter (https://prighter.com) comme son représentant désigné dans l'Union européenne au titre de l'article 27 du Règlement Général sur la Protection des Données. Les personnes concernées dans l'UE/EEE peuvent contacter directement le représentant pour toute question relative à la protection des données ou pour exercer leurs droits au titre du RGPD.

• Représentant : Prighter Group
• Formulaire en ligne : https://app.prighter.com/portal/17251912031 (les demandes sont transmises à Loonine via ce formulaire)

Contacter notre représentant désigné est une option parmi d'autres. Les personnes concernées dans l'UE/EEE conservent le droit de nous contacter directement à [email protected], ainsi que le droit d'introduire une réclamation auprès de leur autorité de contrôle locale. Nous répondrons aux demandes dans les délais fixés par l'article 12 du RGPD (un mois, prorogeable de deux mois supplémentaires pour les demandes complexes, après notification).

3. Quelles données nous collectons

Titulaires de comptes professionnels (responsable : Loonine) :
• Nom du commerce, adresse e-mail, préférence de langue
• Mot de passe haché (bcrypt ; nous ne pouvons pas récupérer le mot de passe en clair)
• Logo du commerce (facultatif)
• Plan d'abonnement et statut de facturation (entièrement gérés par Apple sur l'App Store, ou par Google sur Google Play)
• Code commerce généré par nous pour la connexion des employés

Employés (responsable : le commerce employeur ; sous-traitant : Loonine) :
• Nom de l'employé, identifiant, mot de passe haché, dernier horodatage de connexion, état actif/désactivé, compteurs d'échecs de connexion

Clients des commerces (responsable : le commerce ; sous-traitant : Loonine) :
• Nom du client (saisi par le commerce)
• Numéro de téléphone (utilisé comme identifiant unique au sein de la liste clients du commerce ; stocké au format E.164)
• Adresse e-mail (facultative)
• Historique des tampons / points / visites avec horodatages
• Historique d'utilisation des récompenses
• Jeton QR généré et code numérique court d'affichage
• Jetons push de portefeuille et identifiants de carte (uniquement si le client ajoute la carte de fidélité à Apple Wallet ou à Google Wallet)

Visiteurs du site marketing (responsable : Loonine) :
• Pages consultées, adresse IP, métadonnées de requête (journalisées de façon transitoire à des fins de sécurité et de détection d'abus uniquement). Le site marketing n'utilise actuellement aucun outil d'analyse ni traceur publicitaire.

Collectées automatiquement (responsable : Loonine) :
• Adresse IP (pour la limitation de débit, la détection d'abus et l'audit d'authentification)
• Journaux de requêtes (méthode HTTP, endpoint, code de statut, durée, user-agent)
• Jetons d'authentification (stockés dans le Trousseau iOS sur l'appareil ; jetons bearer transmis via TLS)
• Rapports de plantage et traces de pile (envoyés à Sentry - voir /subprocessors. Nous configurons Sentry avec send_default_pii=false et filtrons les erreurs client attendues avant transmission, de sorte qu'aucune donnée personnelle n'atteigne le journal d'erreurs)

Autorisations appareil photo, photothèque, notifications push : demandées par l'app iOS uniquement au moment où nous en avons besoin. L'appareil photo sert exclusivement à scanner les QR codes client et n'est jamais enregistré ni transmis ; la photothèque n'est consultée que lorsque l'utilisateur choisit une image de logo à téléverser.

4. Base légale du traitement (RGPD)

Nous nous appuyons sur les bases légales suivantes au titre de l'article 6 du RGPD (et équivalents LGPD, PDPL des Émirats) :

Exécution du contrat (article 6.1.b) :
• Exploitation des comptes professionnels et employés
• Émission et mise à jour des cartes de fidélité
• Enregistrement des événements tampon / points / visite
• Suivi et utilisation des récompenses
• Traitement des achats in-app via Apple (App Store) ou Google (Google Play)

Intérêt légitime (article 6.1.f) :
• Authentification des utilisateurs et maintien de la sécurité de session
• Prévention de la fraude, des abus, des attaques par force brute et des accès non autorisés
• Conservation à court terme des journaux de requêtes et de sécurité
• Envoi de rapports de plantage et d'événements d'erreur à notre prestataire de surveillance d'erreurs à des fins de diagnostic
• Protection de notre infrastructure et des droits des autres utilisateurs

Consentement (article 6.1.a) :
• Envoi du SMS de bienvenue à un client nouvellement ajouté (consentement obtenu par le commerce au moment de l'ajout du client ; voir Section 7).
• Utilisation de cookies ou traceurs similaires (actuellement aucun sur notre site marketing ; en cas d'ajout, une bannière de consentement explicite sera déployée au préalable).

Obligation légale (article 6.1.c) :
• Réponse aux demandes légales des autorités publiques
• Conservation des enregistrements lorsque la loi fiscale, comptable ou anti-fraude l'exige

Nous n'utilisons pas les données personnelles à des fins publicitaires, de profilage comportemental ou de vente à des tiers. Nous n'utilisons pas les données personnelles pour des décisions automatisées produisant des effets juridiques ou similaires (l'article 22 du RGPD ne s'applique pas à notre Service).

5. Comment nous utilisons les données personnelles

En bref, uniquement pour faire fonctionner le Service :

• Créer et authentifier les comptes professionnels et employés
• Générer les cartes de fidélité et traiter les événements tampon / points / visite sur instruction du commerce
• Émettre et mettre à jour les cartes Apple Wallet et Google Wallet et diffuser les notifications push pour tenir à jour les compteurs de tampons sur les appareils des clients
• Envoyer un unique SMS de bienvenue contenant le lien de la carte de fidélité lorsqu'un client est ajouté pour la première fois à un programme
• Maintenir la sécurité opérationnelle, prévenir les abus et répondre aux demandes légales
• Fournir un support client lorsque vous nous contactez

Nous ne :
• Vendons ni ne louons jamais de données personnelles à qui que ce soit
• Utilisons jamais les données personnelles pour construire des profils publicitaires
• Partageons jamais les données clients entre commerces sans lien sur la plateforme

6. Sous-traitants et partage avec des tiers

Nous nous appuyons sur un petit nombre de sous-traitants soigneusement sélectionnés. Chacun est contractuellement tenu de traiter les données personnelles uniquement sur nos instructions écrites et d'appliquer des mesures techniques et organisationnelles équivalentes.

Notre liste complète et à jour des sous-traitants, avec le pays d'opération et le mécanisme juridique de transfert pour chacun, est publiée à :
https://loonine.com/subprocessors

Nous nous engageons à donner un préavis de 30 jours sur cette page avant d'ajouter tout nouveau sous-traitant.

Autres divulgations limitées :

• Au sein de votre commerce : les employés d'un commerce peuvent accéder aux fiches clients de ce commerce mais jamais aux données d'un autre commerce. L'isolation multi-tenant est appliquée au niveau de la requête base de données sur chaque endpoint.

• Apple Inc. : l'app iOS utilise les services système Apple standard (APNs, App Store, Apple Wallet). Le traitement de ces données par Apple est régi par la propre politique de confidentialité d'Apple.

• Google LLC : l'app Android utilise les services système Google standard (Google Play, Google Play Billing, Firebase Cloud Messaging pour la diffusion des notifications, et l'API Google Wallet pour les cartes de fidélité). Le traitement de ces données par Google est régi par la propre politique de confidentialité de Google.

• Demandes légales : nous pouvons divulguer des données personnelles si nous y sommes contraints par un processus légal valide. Nous contestons les demandes abusives ou illégales lorsque cela est possible.

• Transfert d'activité : si Loonine est acquis ou fusionné, les utilisateurs concernés seront notifiés avant que le transfert ne prenne effet.

• Intérêts vitaux : dans le cas rare où des données personnelles devraient être divulguées pour protéger la vie ou la sécurité physique d'une personne.

Nous ne procédons à aucune autre forme de partage de données.

7. Données clients - Avis particulier

Le produit Loonine permet à un commerce d'inscrire un client à un programme de fidélité en saisissant son numéro de téléphone et son nom. Comme nous ne communiquons jamais directement avec le client à ce moment-là, la responsabilité juridique d'obtenir le consentement du client incombe au commerce, et non à Loonine.

Lorsqu'un commerce ajoute un client :
• Le commerce confirme dans l'app iOS qu'il a obtenu le consentement clair et éclairé du client, recueilli verbalement, pour recevoir un SMS contenant le lien de sa carte de fidélité et pour être inscrit au programme de fidélité.
• Loonine enregistre cette confirmation comme une entrée dans le journal d'audit, liée à l'employé qui a effectué l'inscription.

Le SMS de bienvenue :
• Est envoyé une seule fois par client et par commerce
• Contient : le nom du commerce, le lien de la carte de fidélité du client, et un libellé explicite de désabonnement (« Reply STOP to opt out » / « Répondez STOP pour vous désabonner »)
• Est de nature transactionnelle ; nous n'envoyons aucun SMS promotionnel ni marketing

Si vous êtes client d'un commerce utilisant Loonine et que vous souhaitez :
• Cesser de recevoir des SMS → répondez STOP, ou contactez directement le commerce
• Faire supprimer votre fiche → contactez directement le commerce. Le commerce est le responsable du traitement et peut vous supprimer immédiatement. Si le commerce ne répond pas, écrivez à [email protected] et nous donnerons suite à une demande de suppression vérifiée sous 30 jours.

8. Transferts internationaux de données

L'infrastructure principale de Loonine est exploitée aux États-Unis (région US East). Nos sous-traitants sont situés aux États-Unis, au Liban et en périphérie dans des États membres de l'UE (voir /subprocessors).

Lorsque des données personnelles sont transférées depuis un pays appliquant des règles de transfert restrictives (comme l'UE/EEE, la Suisse) vers un pays dépourvu de décision d'adéquation, le transfert est effectué sous une ou plusieurs des garanties suivantes :

• Clauses Contractuelles Types (CCT) adoptées par la Commission européenne dans la décision 2021/914
• Mesures contractuelles équivalentes reconnues par l'autorité de protection des données de la juridiction d'origine

Le mécanisme de transfert spécifique à chaque sous-traitant est identifié sur la page /subprocessors.

Nous ne nous appuyons pas sur le consentement de l'utilisateur comme seule base pour les transferts internationaux systématiques. (Le consentement au titre de l'article 49 du RGPD est réservé aux transferts occasionnels et non répétitifs et ne suffirait pas pour le fonctionnement courant du Service.)

Une copie des CCT applicables et de notre Analyse d'Impact de Transfert peut être obtenue sur demande à [email protected].

9. Conservation des données

Données de compte professionnel : conservées pendant toute la durée de vie du compte. Lorsqu'un commerce supprime son compte (Profil > Supprimer le compte dans l'app iOS), toutes les données associées (commerce, employés, clients, cartes de fidélité, tampons et récompenses) sont purgées de façon permanente et immédiate des bases de données primaires. Les sauvegardes sont écrasées sur un cycle glissant de 30 jours.

Données de compte employé : conservées jusqu'à ce que le gérant supprime le compte employé ou supprime l'ensemble du compte commerce.

Fiches clients : conservées tant que le commerce responsable exploite un programme de fidélité avec ce client. Les fiches clients appartenant à un commerce qui supprime son compte sont purgées avec le commerce comme décrit ci-dessus. Les fiches clients inactives (aucun tampon depuis 36 mois) sont anonymisées : le nom et le numéro de téléphone sont remplacés par un hachage non réversible ; l'historique agrégé est conservé pour l'analyse du commerce.

Jetons d'authentification : les jetons d'accès expirent au bout de 30 minutes ; les jetons de rafraîchissement au bout de 7 jours ou à la déconnexion. Les deux sont supprimés à la déconnexion.

Journaux de requêtes et de sécurité : conservés jusqu'à 180 jours pour les enquêtes de sécurité, la détection de fraude et le débogage opérationnel. Au-delà de 180 jours, les journaux sont purgés en masse via notre tâche de rétention automatisée. Les journaux de plus de 180 jours ne réapparaissent jamais.

Rapports de plantage et événements d'erreur : conservés jusqu'à 90 jours dans Sentry ; les compteurs agrégés au-delà de cette durée sont conservés sans identifiants.

Journal d'audit du consentement : conservé pendant 5 ans pour satisfaire aux exigences de responsabilité du RGPD (article 5.2) et aux obligations équivalentes de tenue de registres.

Enregistrements requis par la loi (fiscalité, facturation) : conservés pendant la durée requise par la juridiction applicable (en général 7 à 10 ans pour les enregistrements de facturation).

10. Vos droits

Disponibilité du Service - important pour les résidents de pays restreints :

Loonine n'est actuellement proposé qu'aux utilisateurs physiquement situés dans une liste définie de pays (US, UE 27, pays du CCG hors Arabie saoudite, Liban et Jordanie - voir la liste en direct à https://loonine.com/availability). Les utilisateurs qui ouvrent l'app depuis tout autre pays voient un message « pas encore disponible dans votre région » et ne peuvent ni s'inscrire ni utiliser le Service. La restriction géographique est appliquée au niveau de l'API (géolocalisation IP de Cloudflare) et au niveau de l'inscription client (indicatif pays du téléphone).

Si vous résidez en dehors des pays pris en charge et que l'app iOS est néanmoins installée sur votre appareil (par exemple parce que vous l'aviez auparavant via une autre région de l'App Store), l'API rejette toutes les requêtes depuis votre pays avec un code HTTP 451 (indisponible pour raisons légales). Aucune de vos données personnelles n'est traitée.

Selon votre lieu de résidence, vous disposez d'un ou plusieurs des droits suivants sur les données personnelles que nous détenons à votre sujet :

• Accès - demander une copie des données personnelles détenues
• Rectification - corriger les données inexactes ou incomplètes
• Effacement (« droit à l'oubli ») - demander la suppression des données personnelles, sous réserve des obligations légales de conservation
• Limitation - demander que nous restreignions le traitement de vos données
• Portabilité - recevoir vos données dans un format structuré, lisible par machine
• Opposition - vous opposer au traitement fondé sur l'intérêt légitime
• Retrait du consentement - lorsque le traitement repose sur le consentement, le retirer à tout moment (sans affecter le traitement licite antérieur)
• Droit d'introduire une réclamation auprès d'une autorité de contrôle (voir ci-dessous)
• Droit de refuser la « vente » ou le « partage » de données personnelles (Californie) - Loonine ne vend ni ne partage de données personnelles ; ce droit est satisfait par défaut
• Droit à la non-discrimination pour l'exercice de vos droits (Californie, Brésil, autres)

Comment exercer ces droits :
Écrivez à [email protected] avec l'objet « Data Rights Request » et un énoncé clair du droit que vous souhaitez exercer. Nous nous engageons à :
• Accuser réception de votre demande sous 7 jours
• Y répondre sur le fond sous 30 jours (prorogeable de 60 jours pour les demandes complexes, après notification)
• Vérifier votre identité au moyen de votre adresse e-mail enregistrée avant toute divulgation ou suppression

Nous ne facturons aucun frais pour une demande raisonnable d'exercice de droits.

Autorités de contrôle par région :
• Résidents de l'UE : votre autorité nationale de protection des données. France : CNIL (cnil.fr). Allemagne : BfDI (bfdi.bund.de). Trouvez la vôtre sur edpb.europa.eu/about-edpb/about-edpb/members_en
• Résidents des Émirats : UAE Data Office (PDPL des Émirats, décret-loi fédéral 45/2021)
• Résidents de Californie : California Privacy Protection Agency (cppa.ca.gov) ou California Attorney General
• Résidents du Brésil : ANPD (gov.br/anpd)
• Autres pays : votre autorité locale de protection des données

11. Confidentialité des enfants

Le Service Loonine est destiné à un usage par des commerces et leur personnel adulte. Le Service ne s'adresse pas aux enfants, et nous ne collectons pas sciemment de données personnelles directement auprès d'enfants.

Âge minimum pour une inscription directe : 16 ans. (Certaines juridictions fixent un âge plus bas pour le consentement numérique - France : 15 ; Émirats : 21 pour la pleine capacité juridique. Nous retenons 16 ans comme minimum mondial prudent.)

Si un client inscrit au programme de fidélité d'un commerce est mineur, il appartient au commerce de s'assurer qu'il a obtenu le consentement nécessaire du parent ou du représentant légal du mineur avant l'inscription.

Si vous pensez que nous avons collecté par inadvertance des données personnelles d'un enfant, contactez [email protected] et nous les supprimerons rapidement.

12. Sécurité des données

Mesures techniques et organisationnelles que nous mettons en œuvre :

En transit :
• Toutes les données échangées entre l'app iOS et notre API sont chiffrées en TLS 1.2 ou supérieur
• Les apps iOS et Android utilisent toutes deux le SSL certificate pinning (EC P-256 SPKI SHA-256) pour empêcher les attaques de l'homme du milieu, même si le magasin de certificats de l'appareil est compromis
• L'authentification des cartes de portefeuille utilise des jetons cryptographiques propres à chaque carte, sur Apple Wallet comme sur Google Wallet ; un jeton compromis ne peut pas servir à s'authentifier sur une autre carte

Au repos :
• Les mots de passe sont hachés avec bcrypt avec un sel par mot de passe ; nous ne pouvons pas récupérer les mots de passe en clair
• Les jetons d'authentification Wallet sont générés aléatoirement pour chaque carte client
• Les connexions à la base de données utilisent asyncpg chiffré en TLS
• Le stockage d'images utilise HTTPS pour le téléversement et l'URL signée pour la récupération

Contrôles d'accès :
• L'accès aux systèmes de production est restreint aux opérateurs autorisés sur la base du besoin d'en connaître
• Toute authentification utilise bcrypt + JWT avec rotation des jetons de rafraîchissement
• Le verrouillage de compte se déclenche après 5 tentatives de connexion échouées dans une fenêtre de 15 minutes
• Protection contre la force brute sur les endpoints OTP, login, refresh et admin
• Isolation multi-tenant par commerce appliquée à chaque requête base de données

Surveillance :
• Tous les événements d'authentification, modifications de compte et opérations sensibles côté sécurité sont consignés dans un journal d'audit inviolable
• Les erreurs côté serveur sont transmises à notre prestataire de surveillance d'erreurs avec les PII supprimées

Réponse aux incidents et notification de violation :
Nous nous engageons à notifier les utilisateurs concernés et l'autorité de contrôle compétente dans les 72 heures suivant la connaissance d'une violation de données personnelles susceptible d'entraîner un risque pour les droits et libertés des personnes, conformément aux articles 33-34 du RGPD et aux obligations équivalentes.

Malgré ces mesures, aucune méthode de transmission ou de stockage n'est sûre à 100 %. L'utilisation du Service relève de votre seule responsabilité, et nous recommandons de choisir un mot de passe solide et unique.

13. Cookies et technologies similaires

Le site marketing Loonine (loonine.com) n'utilise actuellement AUCUN cookie publicitaire, AUCUN cookie d'analyse et AUCUN traceur tiers. Les seules données stockées localement sur le site marketing sont l'état de connexion HTTPS strictement nécessaire et la langue choisie par le visiteur (loonine.lang) conservée dans le localStorage afin que votre préférence linguistique persiste entre les visites.

L'app iOS Loonine stocke :
• Jetons d'authentification - dans le Trousseau iOS, supprimés à la déconnexion
• Préférences utilisateur (langue choisie, dernier filtre utilisé) - dans iOS UserDefaults
• Rapports de plantage - envoyés à notre prestataire de surveillance d'erreurs avec les PII supprimées

Si nous ajoutons à l'avenir des outils d'analyse ou d'autres cookies sur le site marketing, nous déploierons au préalable une bannière de consentement granulaire (conformément à la directive ePrivacy de l'UE et aux recommandations de la CNIL) et nous mettrons à jour la présente Politique.

14. Modifications de la présente Politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps en temps. La date de « Dernière mise à jour » en tête du présent document indique la dernière révision.

Pour les changements substantiels (par ex. un nouveau sous-traitant, une nouvelle catégorie de données collectées, un changement de base légale du traitement), nous notifierons les utilisateurs au moins 30 jours à l'avance via :
• Une mise à jour de la Politique avec un résumé clair des changements en tête
• Une notification in-app aux utilisateurs actifs
• Un e-mail aux titulaires de comptes professionnels

L'utilisation continue du Service après les modifications vaut acceptation de la Politique mise à jour. Si vous n'acceptez pas les modifications, vous pouvez supprimer votre compte avant leur prise d'effet.

15. Contact

Pour toute question, préoccupation ou demande d'exercice de droits :

Advanced PrecisionMed Solutions Limited, exploitant sous la marque Loonine
Aspect Tower, Zone B, Suite 1206, Executive Tower
P.O. Box 118212, Dubaï, Émirats arabes unis
E-mail : [email protected]
Site : loonine.com

Les résidents de l'UE/EEE peuvent également contacter notre représentant désigné au titre de l'article 27 - Prighter - via les canaux listés à la Section 2 (https://app.prighter.com/portal/17251912031).