Politique de confidentialité

Version en vigueur : 28 août 2026. Cette politique décrit les traitements de données personnelles liés au site vostrai.com et à la plateforme VOSTRAI, sur la base des fonctionnalités et prestataires déclarés à cette date.

Responsable du traitement pour les données propres à VOSTRAI : VOSTRAI, SAS au capital de 100 euros, SIREN 108 740 853, immatriculée au R.C.S. d’Amiens, siège social : Étage 0 - Appartement 617, 14 rue des Francs Juges, 80080 Amiens, France.

Contact général et protection des données : vostrai.contact@gmail.com - 06 42 53 81 51 Site : https://vostrai.com

1. Objet et champ d’application

La présente politique de confidentialité a pour objet d’expliquer de manière transparente quelles données personnelles sont traitées dans le cadre de VOSTRAI, pour quelles finalités, sur quelles bases juridiques, pendant combien de temps, avec quels destinataires et quels droits peuvent être exercés.

Elle concerne notamment :

• les visiteurs du site vostrai.com ;

• les professionnels qui créent un compte, souscrivent à VOSTRAI ou utilisent la plateforme ;

• les personnes physiques agissant pour le compte d’un Client professionnel (dirigeants, salariés, collaborateurs autorisés) ;

• les clients finaux des commerçants lorsque leurs données sont gérées au moyen du CRM et des fonctionnalités de fidélité VOSTRAI. Cette politique complète les documents contractuels et légaux de VOSTRAI :

• Conditions Générales d’Utilisation : https://vostrai.com/legal/cgu

• Conditions Générales de Vente : https://vostrai.com/legal/cgv

• Mentions légales : https://vostrai.com/legal/mentions-legales

2. Rôles de VOSTRAI au regard du RGPD

Le rôle juridique de VOSTRAI dépend de la catégorie de données concernée.

2.1 Données des visiteurs et des Clients professionnels

VOSTRAI détermine les finalités et les moyens essentiels des traitements nécessaires à la gestion de son site, de ses comptes professionnels, de ses abonnements, de sa facturation, de la sécurité de la plateforme et de ses obligations légales. Pour ces traitements, VOSTRAI agit en qualité de responsable du traitement.

2.2 Données des clients finaux présentes dans le CRM

Lorsqu’un commerçant utilise VOSTRAI pour gérer les données de ses propres clients, le commerçant détermine en principe les finalités de son programme de fidélité et les données qu’il souhaite collecter. Le commerçant agit alors en qualité de responsable du traitement et VOSTRAI traite les données pour son compte, en qualité de sous-traitant, conformément aux instructions documentées du Client et aux exigences applicables de l’article 28 du RGPD.

Le Client professionnel reste notamment responsable de l’information de ses clients, du choix d’une base juridique appropriée, de la pertinence des données collectées, de la durée de conservation qu’il définit pour ses propres finalités, ainsi que du respect des règles applicables aux communications commerciales et aux programmes de fidélité.

Important La mise à disposition d’un champ ou d’une fonctionnalité dans VOSTRAI ne signifie pas, à elle seule, que son utilisation est juridiquement autorisée dans toutes les situations. Le Client doit configurer son programme conformément aux règles qui lui sont applicables.

3. Données personnelles traitées

3.1 Données des Clients professionnels et utilisateurs du compte

Selon les fonctionnalités utilisées, VOSTRAI peut traiter les catégories suivantes :

• identité : nom et prénom ;
• coordonnées : adresse postale et adresse e-mail ;
• informations professionnelles : nom du commerce ou de l’organisation ;
• données de compte et d’authentification : identifiants techniques, données nécessaires à la connexion et à la gestion des sessions ;
• données techniques et de sécurité : notamment adresse IP, horodatages et informations techniques nécessaires à la sécurité, à la prévention des abus et au diagnostic ;
• données de facturation et d’abonnement : offre souscrite, statut de l’abonnement, montants, factures, références et statut des transactions ;
• données liées à l’utilisation du Service, lorsque nécessaires au fonctionnement, à la sécurité ou au support du compte. VOSTRAI ne collecte pas, pour l’ouverture du compte professionnel, de numéro de téléphone ni de SIREN/SIRET lorsque ces champs ne sont pas demandés par le Service. Le numéro de téléphone publié dans la présente politique est le numéro de contact de VOSTRAI, et non une donnée requise des abonnés.

3.2 Données des clients finaux gérées par les commerçants dans le CRM

Selon la configuration choisie par le Client professionnel, le CRM VOSTRAI peut contenir :

• nom et prénom ;
• adresse e-mail et numéro de téléphone ;
• date de naissance ;
• historique des passages ou interactions de fidélité ;
• solde et historique de points, tampons, avantages ou récompenses ;
• identifiants et informations techniques nécessaires à la carte de fidélité Apple Wallet ou Google Wallet ;
• historique des notifications et communications liées au programme de fidélité ;
• informations liées aux demandes d’avis Google et, lorsque la fonctionnalité le prévoit, au suivi de ces demandes. VOSTRAI n’a pas vocation à héberger des catégories particulières de données au sens de l’article 9 du RGPD (données de santé, opinions politiques, convictions religieuses, données biométriques d’identification, etc.). Les Clients professionnels ne doivent pas renseigner de telles données sauf nécessité, base juridique appropriée et encadrement spécifique.

4. Origine et modes de collecte

Les données peuvent être collectées :

• directement auprès du Client professionnel lors de la création ou de la gestion de son compte ;
• automatiquement lors de l’utilisation de la plateforme, notamment pour l’authentification, la sécurité et le fonctionnement technique ;
• auprès de Stripe pour les informations de statut de paiement et de transaction nécessaires à la gestion de l’abonnement ;
• auprès du Client professionnel ou de ses clients finaux lorsqu’ils s’inscrivent à un programme de fidélité ou utilisent une carte VOSTRAI ;
• auprès d’Apple ou Google uniquement dans la mesure nécessaire au fonctionnement des cartes Wallet et selon les fonctionnalités effectivement activées. Les données de carte bancaire complètes ne sont pas destinées à être stockées par VOSTRAI. Les paiements sont traités par Stripe. VOSTRAI peut conserver les références, statuts et informations de facturation nécessaires à la gestion de l’abonnement et à ses obligations comptables.

5. Finalités et bases juridiques

Pour les traitements dont VOSTRAI est responsable, les principales finalités et bases juridiques sont les suivantes :

Données principalement Finalité Base juridique concernées Création et gestion du compte, fourniture du Identité, e-mail, adresse, commerce, Exécution du contrat ou mesures Service et administration de l’abonnement compte, abonnement précontractuelles ; intérêt légitime lorsque la personne agit pour une société Facturation, comptabilité et obligations légales Facturation, factures, références de Obligation légale ; exécution du transaction contrat Authentification, sécurité, prévention des abus et Identifiants techniques, IP, journaux, Intérêt légitime à sécuriser et diagnostic technique horodatages exploiter le Service Envoi des e-mails strictement liés au compte et Adresse e-mail, statut du compte ou Exécution du contrat ; intérêt au Service abonnement légitime à informer sur le fonctionnement du Service Gestion des demandes relatives aux droits et Identité, e-mail, éléments de la demande Obligation légale obligations RGPD Défense des droits, prévention de la fraude et Données pertinentes du compte, Intérêt légitime ; obligation légale gestion des litiges transactions, journaux le cas échéant VOSTRAI n’utilise pas, à la date de la présente politique, les données des Clients professionnels pour leur adresser des newsletters, des offres commerciales ou des relances marketing. Les e-mails envoyés sont limités aux communications liées au compte, au paiement, à la sécurité ou au fonctionnement du Service.

Pour les données des clients finaux traitées pour le compte d’un commerçant, la base juridique du traitement est déterminée par le commerçant responsable du traitement. VOSTRAI ne substitue pas sa propre base juridique à celle du Client professionnel.

6. Destinataires et prestataires

Les données sont accessibles uniquement aux personnes et prestataires qui en ont besoin pour les finalités décrites ci-dessus, dans la limite de leurs attributions.

VOSTRAI ne vend pas les données personnelles de ses utilisateurs ou des clients finaux à des annonceurs.

7. Hébergement et transferts internationaux

VOSTRAI s’appuie sur des prestataires internationaux. En conséquence, certaines données peuvent être traitées depuis des pays situés en dehors de l’Espace économique européen (EEE), notamment les États-Unis, selon le prestataire et la fonctionnalité utilisée.

Les données applicatives hébergées dans Supabase sont stockées dans la région technique configurée pour le projet VOSTRAI. Supabase indique que les données principales du projet restent dans la région choisie. Des opérations de support, de sécurité, de sous-traitance ou d’autres traitements peuvent toutefois impliquer des transferts internationaux selon les conditions du prestataire.

Vercel indique que ses principales installations de traitement sont situées aux États-Unis et prévoit des mécanismes contractuels de transfert, dont les clauses contractuelles types de la Commission européenne lorsque celles-ci sont requises. Stripe prévoit également des mécanismes de transfert internationaux, notamment le Data Privacy Framework lorsqu’il est applicable et les clauses contractuelles types en solution de sauvegarde ou lorsque nécessaire.

Lorsque le RGPD exige un mécanisme spécifique pour un transfert vers un pays ne bénéficiant pas d’une décision d’adéquation, VOSTRAI s’appuie sur les garanties mises en place par le prestataire concerné et, lorsque nécessaire, sur les clauses contractuelles types adoptées par la Commission européenne.

8. Durées de conservation

Les données ne sont conservées que pendant la durée nécessaire à la finalité concernée, puis supprimées, anonymisées ou archivées de manière restreinte lorsque la loi ou la défense de droits le justifie.

Catégorie Durée / critère de conservation Données du compte professionnel et relation contractuelle Pendant la durée du compte et de l’abonnement, puis archivage restreint pendant la durée nécessaire à la preuve et à la défense des droits, en principe jusqu’à 5 ans après la fin de la relation contractuelle.

Factures et pièces comptables 10 ans conformément aux obligations de conservation des documents comptables.

Références et justificatifs de transaction Pendant la durée nécessaire à la gestion contractuelle et comptable, avec conservation pouvant atteindre 10 ans lorsqu’ils constituent des pièces justificatives.

Journaux de connexion, sécurité et données techniques Pendant la durée strictement nécessaire à la sécurité, au diagnostic et à la prévention des abus ; lorsqu’ils sont sous le contrôle de VOSTRAI, ils sont destinés à ne pas être conservés au-delà de 12 mois sauf incident, obligation ou besoin de preuve justifiant une conservation plus longue.

Données des clients finaux dans le CRM Pendant la durée définie par le Client professionnel responsable du traitement, dans la limite de la durée nécessaire à son programme de fidélité. Elles peuvent être supprimées à l’initiative du Client ou à la fin de la relation contractuelle, sous réserve des délais techniques nécessaires à la suppression des sauvegardes et des obligations légales applicables.

Demandes d’exercice de droits Pendant la durée nécessaire au traitement de la demande et à la démonstration du respect des obligations de VOSTRAI, dans la limite des délais de prescription applicables.

9. Cookies et autres traceurs

Le site vostrai.com et la plateforme VOSTRAI utilisent :

• des cookies et technologies équivalentes strictement nécessaires au fonctionnement du service (authentification, sécurité, gestion de session, prévention des abus, fonctionnement technique de la plateforme). Ils ne servent pas à créer des profils publicitaires ;
• un outil de mesure d’audience, Vercel Analytics, qui n’est activé qu’après recueil du consentement de l’utilisateur via le bandeau affiché lors de la première visite. Tant que ce consentement n’est pas donné, aucun script de mesure d’audience n’est chargé. Le consentement peut être retiré à tout moment depuis le lien « Gérer les cookies » présent en bas de page ;
• un outil de mesure de performance technique, Vercel Speed Insights, destiné à mesurer les temps de chargement et la qualité d’affichage des pages.

VOSTRAI n’utilise ni traceur publicitaire, ni pixel publicitaire, et ne revend aucune donnée à des annonceurs.

Le détail de ces traceurs, de leurs catégories et de leur durée de conservation figure dans la politique de cookies.

Si VOSTRAI met ultérieurement en place d’autres traceurs non strictement nécessaires, la présente politique sera mise à jour et ces traceurs seront soumis au même mécanisme de recueil du consentement avant leur activation, lorsque la réglementation l’exige.

10. Cartes Wallet, notifications et avis Google

VOSTRAI permet aux Clients professionnels de proposer des cartes de fidélité compatibles avec Apple Wallet et Google Wallet. Lorsque cette fonctionnalité est utilisée, les données nécessaires à la création, à l’ajout, à la mise à jour et à l’utilisation de la carte peuvent transiter par les services Apple ou Google. Ces plateformes disposent de leurs propres conditions et politiques de confidentialité.

VOSTRAI peut également permettre au commerçant d’envoyer des notifications liées au programme de fidélité. Le Client professionnel détermine les destinataires, le contenu, la finalité et la base juridique de ses communications.

VOSTRAI agit comme outil technique et sous-traitant pour les données de ses clients finaux lorsque ces notifications sont envoyées pour le compte du Client.

Pour les fonctionnalités relatives aux avis Google, VOSTRAI peut enregistrer le fait qu’une demande d’avis a été présentée ou envoyée et faciliter une redirection vers Google. Une fois l’utilisateur sur les services Google, les traitements effectués par Google sont régis par la politique de confidentialité et les conditions de Google.

11. Sécurité et confidentialité

VOSTRAI met en œuvre des mesures techniques et organisationnelles proportionnées aux risques afin de préserver la confidentialité, l’intégrité et la disponibilité des données personnelles. Ces mesures comprennent notamment des mécanismes d’authentification et de contrôle des accès, la limitation des accès aux personnes habilitées, l’utilisation de connexions sécurisées et l’appui sur les mesures de sécurité des prestataires techniques sélectionnés.

Aucun système informatique ne peut toutefois garantir un risque nul. Les utilisateurs doivent également protéger leurs identifiants, utiliser des mots de passe robustes et informer VOSTRAI sans délai en cas de suspicion de compromission de leur compte.

En cas de violation de données personnelles, VOSTRAI applique les obligations prévues par le RGPD. Lorsqu’elle agit comme responsable du traitement, VOSTRAI documente l’incident et notifie la CNIL dans les délais requis si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes. Si le risque est élevé, les personnes concernées sont informées lorsque la réglementation l’exige. Lorsqu’elle agit comme sous-traitant, VOSTRAI informe le Client responsable du traitement sans délai indu et l’assiste conformément à ses obligations contractuelles et réglementaires.

12. Droits des personnes

Selon la situation et la base juridique applicable, les personnes concernées peuvent exercer notamment :

• le droit d’accès à leurs données ;
• le droit de rectification des données inexactes ou incomplètes ;
• le droit à l’effacement, dans les cas prévus par le RGPD ;
• le droit à la limitation du traitement ;
• le droit d’opposition lorsque le traitement repose sur l’intérêt légitime ;
• le droit à la portabilité lorsque les conditions de l’article 20 du RGPD sont réunies ;
• le droit de retirer un consentement à tout moment lorsqu’un traitement repose sur le consentement, sans affecter la licéité du traitement antérieur au retrait ;
• le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de manière significative, lorsque l’article 22 du RGPD est applicable ;
• le droit de définir des directives relatives au sort de leurs données après leur décès dans les conditions prévues par le droit français ;
• le droit d’introduire une réclamation auprès de la CNIL. Pour les données traitées directement par VOSTRAI en qualité de responsable du traitement, les demandes peuvent être adressées à :

E-mail : vostrai.contact@gmail.com Courrier : VOSTRAI - Étage 0 - Appartement 617, 14 rue des Francs Juges, 80080 Amiens, France VOSTRAI répond dans les meilleurs délais et, en principe, dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires lorsque la complexité ou le nombre de demandes le justifie ; la personne concernée en est alors informée dans le premier mois.

Une pièce d’identité n’est pas demandée systématiquement. VOSTRAI peut demander des informations complémentaires ou un justificatif d’identité uniquement en cas de doute raisonnable sur l’identité du demandeur et de manière proportionnée à la nature de la demande.

12.1 Demandes concernant les données d’un commerçant dans le CRM

Lorsqu’une personne souhaite exercer ses droits sur des données gérées par un commerçant au moyen de VOSTRAI, elle doit en priorité contacter le commerçant concerné, qui est généralement responsable du traitement. Si une telle demande est reçue directement par VOSTRAI, VOSTRAI peut la transmettre au Client concerné et l’assister dans le traitement de la demande conformément au RGPD.

12.2 Limites du droit à l’effacement

Le droit à l’effacement n’est pas absolu. Certaines données peuvent devoir être conservées lorsqu’une obligation légale l’impose, lorsqu’elles sont nécessaires à la constatation, à l’exercice ou à la défense de droits en justice, ou dans les autres cas prévus par l’article 17 du RGPD. La fermeture d’un compte n’entraîne donc pas nécessairement la suppression immédiate de toutes les données, notamment des factures et pièces comptables soumises à une obligation de conservation.

13. Données des mineurs et données sensibles

VOSTRAI est un service destiné aux professionnels et n’est pas conçu comme un service directement destiné aux mineurs. Lorsqu’un Client professionnel inscrit un mineur à son programme de fidélité ou collecte une date de naissance permettant d’identifier un mineur, il lui appartient de vérifier la licéité du traitement et, lorsque nécessaire, les règles spécifiques applicables à l’âge et au consentement.

Les Clients ne doivent pas utiliser les champs libres de VOSTRAI pour stocker des données sensibles ou des informations excessives sans nécessité et sans encadrement juridique approprié.

14. Modification de la présente politique

VOSTRAI peut modifier la présente politique afin de refléter une évolution du Service, de ses prestataires, de ses pratiques ou du cadre juridique applicable. La date de mise à jour figurant en tête du document permet d’identifier la version en vigueur.

En cas de modification substantielle affectant les finalités du traitement, les destinataires, les modalités d’exercice des droits ou toute autre information importante, VOSTRAI mettra en œuvre une information appropriée des personnes concernées conformément aux exigences applicables.

15. Réclamation auprès de la CNIL

Toute personne concernée dispose du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), notamment si elle estime, après avoir contacté VOSTRAI ou le Client professionnel concerné, que ses droits ne sont pas respectés.

CNIL : https://www.cnil.fr

16. Références juridiques et documentaires principales

Les références ci-dessous sont fournies pour faciliter la vérification du cadre juridique et des engagements publics des principaux prestataires. Elles ne remplacent pas les contrats effectivement souscrits par VOSTRAI.

Règlement (UE) 2016/679 (RGPD): https://eur-lex.europa.eu/eli/reg/2016/679/oj CNIL - Informer les personnes: https://www.cnil.fr/fr/informer-les-personnes CNIL - Clauses contractuelles types responsable / sous-traitant: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable- de-traitement-et-sous-traitant Code de commerce - article L.123-22 (conservation comptable): https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006219327 Code civil - article 2224 (prescription de droit commun): https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000019017112 Vercel - Data Processing Addendum: https://vercel.com/legal/dpa Supabase - Security / Data residency: https://supabase.com/docs/guides/security Supabase - Available regions: https://supabase.com/docs/guides/platform/regions Stripe - Data Processing Agreement: https://stripe.com/legal/dpa Contact Pour toute question relative à cette politique ou à la protection des données : vostrai.contact@gmail.com.