Politique de Confidentialité

Le responsable du traitement des données personnelles collectées via l'application Connect & Boost est :

• Société : Connect & Boost [Raison sociale à compléter — SIRET : XXXXXXXXX]
• Adresse : [Adresse à compléter]
• Email : contact@connectandboost.fr
• Site : https://connectandboost.fr

2.1 Comptes marchands (commerçants)

Lorsqu'un commerçant crée un compte via Google OAuth, nous collectons :

• Adresse email Google
• Nom et photo de profil Google
• Jetons d'accès OAuth (access token + refresh token) chiffrés AES-256-GCM, nécessaires pour accéder à Google Business Profile en votre nom
• Informations sur vos établissements Google Business (nom, adresse, identifiant de localisation)

2.2 Participants aux jeux (clients des commerçants)

Lorsqu'un client participe à un jeu (via QR code) :

• Prénom
• Numéro de téléphone
• Adresse email (optionnel)
• Date et heure de participation
• Résultat du jeu (gain ou non)
• Consentement explicite daté

2.3 Données techniques

• Logs de connexion (IP, navigateur, horodatage)
• Cookies de session (authentification)

Connect & Boost utilise l'API Google Business Profile (scope business.manage) pour :

• Synchroniser les avis Google de vos établissements vers notre plateforme
• Publier des réponses aux avis Google en votre nom, depuis notre interface
• Importer vos établissements lors de la configuration initiale

Important :L'accès à votre compte Google est limité strictement aux actions listées ci-dessus. Nous ne lisons pas vos emails, n'accédons pas à vos autres services Google, et ne vendons jamais vos données Google à des tiers.

Les jetons d'accès OAuth sont chiffrés avec AES-256-GCM avant stockage en base de données. Vous pouvez révoquer cet accès à tout moment depuis myaccount.google.com/permissions ou depuis votre tableau de bord Connect & Boost.

L'utilisation des données Google est soumise à la Politique de Confidentialité de Google.

• Données des participants (RGPD) : 36 mois à compter du consentement, puis suppression automatique
• Données des comptes marchands : Durée du contrat + 5 ans (obligations comptables)
• Jetons Google OAuth : Durée de la connexion active. Supprimés immédiatement en cas de déconnexion ou révocation
• Logs techniques : 12 mois

Vos données ne sont jamais vendues. Elles peuvent être partagées uniquement avec :

• Supabase — hébergement base de données (UE, ISO 27001)
• Vercel — hébergement application (UE disponible, SOC 2)
• Google LLC — pour les appels API Google Business Profile (via vos tokens)
• Stripe — paiements et abonnements (PCI DSS niveau 1)

Ces sous-traitants sont liés par des accords de traitement de données (DPA) conformes au RGPD.

• Chiffrement en transit : HTTPS/TLS 1.3
• Chiffrement au repos : AES-256 pour les jetons sensibles
• Accès restreint aux données par rôle (principe du moindre privilège)
• Authentification via Supabase Auth (passwords hachés bcrypt)
• Journalisation des accès sensibles

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit d'opposition : vous opposer à certains traitements
• Droit à la limitation : limiter temporairement le traitement
• Droit de retrait du consentement : à tout moment pour les traitements fondés sur le consentement

Pour exercer vos droits : contact@connectandboost.fr — Réponse sous 30 jours.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL.

Nous utilisons uniquement des cookies strictement nécessaires :

• Cookie de session : maintien de votre connexion (durée : session)
• Cookie CSRF : protection contre les attaques cross-site

Aucun cookie publicitaire ou de tracking tiers n'est utilisé.

Nous pouvons mettre à jour cette politique. Toute modification substantielle sera notifiée par email ou via une bannière sur l'application. La date de dernière mise à jour est indiquée en haut de ce document.