Politique de confidentialité

1. Responsable de traitement et contact

RELOKE LTD, société enregistrée en Angleterre et au Pays de Galles (company number 17037940), qui exploite le service sous le nom commercial « KiftMe », est responsable du traitement de vos données personnelles. Les informations complètes de l’éditeur (dénomination, forme juridique, siège social, immatriculation) ainsi que celles de l’hébergeur figurent dans les Mentions légales (document distinct).

Aucun délégué à la protection des données (DPO) n’est désigné à ce jour. Un contact dédié aux questions de protection des données traite vos demandes : pour toute question relative à cette politique ou à l’exercice de vos droits, écrivez à ce contact, à l’adresse indiquée en bas de cette page.

2. Définitions

• Donnée personnelle : toute information se rapportant à une personne physique identifiée ou identifiable.
• Traitement : toute opération portant sur des données personnelles (collecte, enregistrement, conservation, consultation, transmission, suppression…).
• Responsable de traitement : l’entité qui détermine les finalités et les moyens du traitement (ici, KiftMe).
• Sous-traitant : un prestataire qui traite des données pour le compte de KiftMe et selon ses instructions (par exemple Stripe pour les paiements).
• Kifter : la personne qui crée et finance un Kift.
• Destinataire : la personne qui reçoit le Kift et l’utilise.

3. Qui est concerné (catégories de personnes)

Cette politique s’applique aux catégories de personnes suivantes :

• Kifter : l’utilisateur inscrit qui crée et paie un Kift. Données : informations de compte (e-mail ou téléphone, prénom, nom d’utilisateur, date de naissance, mot de passe sous forme chiffrée), Kifts créés et financés, données de paiement, appareils et sessions de connexion.
• Destinataire non inscrit : la personne qui reçoit un Kift sans avoir encore de compte. Donnée : un e-mail ou un numéro de téléphone, utilisé uniquement pour lui remettre le Kift.
• Destinataire inscrit : la personne qui reçoit un Kift et le récupère sur un compte. Données : en plus du compte, les éléments nécessaires au versement des fonds qui lui reviennent (compte de versement).
• Business onboardé : un commerçant disposant d’un compte professionnel KiftMe. Données : identité et coordonnées du commerce (nom commercial, nom légal, e-mail et téléphone de contact). Les documents de vérification d’identité (KYC) éventuellement requis sont collectés et conservés par Stripe, et non par KiftMe.
• Business non onboardé (libre service) : un commerçant saisi librement par un Kifter, sans compte KiftMe. Données : nom et adresse du commerce saisis par le Kifter ; aucune donnée personnelle d’un représentant n’est collectée.
• Visiteur non inscrit : toute personne qui consulte le service ou utilise le formulaire d’aide public sans compte. Données : nom, e-mail et message saisis dans le formulaire d’aide, ainsi que l’adresse IP.

Le détail des données et de leurs finalités figure au §4.

4. Données traitées, finalités, bases légales et durées

Caractère obligatoire des données (art. 13). Les informations demandées à l’inscription (e-mail ou téléphone, prénom, nom d’utilisateur, date de naissance, mot de passe) ainsi que l’acceptation des Conditions générales d’utilisation sont nécessaires pour créer un compte : sans elles, le compte ne peut pas être créé. La présente politique de confidentialité est une information qui vous est communiquée ; elle ne constitue pas, en elle-même, une base de traitement. Le seul traitement reposant sur votre consentement est l’envoi d’e-mails marketing : il est facultatif et son refus n’a aucune conséquence sur l’accès au service.

Données reçues de tiers ou dérivées (art. 14). Certaines données ne sont pas collectées directement auprès de vous : les détails de paiement (marque / 4 derniers chiffres / pays de la carte, score de risque, résultat 3D Secure, statut du compte Stripe) nous sont transmis par Stripe lors du paiement et de l’évolution de votre compte ; certains signaux de risque sont dérivés de votre activité. La source de ces données est indiquée dans le tableau ci-dessus.

Données de localisation approximative. Nous traitons une localisation approximative, déduite de votre appareil lors de la connexion et des métadonnées de la photo du reçu que vous scannez. Elle sert à vérifier la cohérence d’une utilisation (par exemple un reçu scanné loin du commerce attendu) et à prévenir la fraude. Il ne s’agit pas d’un suivi précis et continu de vos déplacements.

Compteurs d’usage. Pour appliquer les plafonds du service et prévenir l’abus, nous tenons des compteurs des montants et du nombre de Kifts par période. Ces compteurs nous permettent de faire respecter les limites annoncées et de détecter un usage anormal.

5. Destinataires et sous-traitants

Vos données ne sont jamais vendues. Elles sont transmises uniquement aux sous-traitants nécessaires au fonctionnement du service, nommés ci-dessous, et limitées à ce qui leur est utile :

• Stripe — paiements, comptes marchands/destinataires (Connect), versements, remboursements, paiement sans contact en magasin. Données transmises : e-mail, nom, téléphone, montants, identifiants internes ; en retour, Stripe nous communique les détails de la carte (marque, 4 derniers chiffres, pays), le résultat 3D Secure et un score de risque. La vérification d’identité (KYC) des destinataires et professionnelle (KYB) des commerçants, lorsqu’elle est requise, est opérée et conservée par Stripe ; KiftMe ne collecte ni ne stocke ces documents. KiftMe ne stocke jamais votre numéro de carte complet.
• OpenAI — lecture automatique et vérification visuelle des tickets. Donnée transmise : l’image ou le PDF complet du reçu que vous scannez.
• Mistral — lecture automatique (extraction du texte) des tickets. Donnée transmise : l’image ou le PDF du reçu.
• Supabase (logiciel auto-hébergé) — base de données, authentification et stockage des fichiers. Brique open-source que nous hébergeons nous-mêmes sur notre infrastructure AWS (Europe, Irlande) : aucune donnée n’est transmise à la société Supabase.
• Amazon Web Services (Amazon SES) — envoi de nos e-mails (codes, reçus, notifications, invitations). Donnée transmise : votre adresse e-mail et le contenu du message. Région d’envoi configurée : Europe (Irlande, eu-west-1).
• Cloudflare (Turnstile) — vérification anti-robot lors de la connexion. Donnée transmise : un jeton technique et votre adresse IP.
• Redis (logiciel auto-hébergé) — limitation de débit, codes à usage unique et brouillons d’inscription temporaires. Brique open-source hébergée sur notre propre infrastructure AWS (Europe, Irlande) : aucune donnée n’est transmise à un tiers.
• Amazon Web Services (AWS) — infrastructure d’hébergement de l’application : fait fonctionner et délivre l’application (serveurs, exécution du code, journaux techniques). À ce titre, ce prestataire est susceptible de traiter les données qui transitent par l’application. L’hébergement est situé dans l’Union européenne (région Europe — Irlande, eu-west-1).
• Service de notification push de votre navigateur/appareil — acheminement des notifications push. Ce service est déterminé par votre navigateur ou votre système (Google, Mozilla ou Apple). Le contenu transmis est volontairement minimal (identifiant technique de notification, type d’événement, lien) et ne contient ni nom, ni montant, ni contenu personnel.
• Fournisseurs de recherche de catalogue (Google Places, Google Books, Mapbox, Spotify, Last.fm, OMDb, Ticketmaster) — uniquement lorsque vous recherchez une expérience à offrir. Donnée transmise : les termes de votre recherche (et, pour l’autocomplétion d’adresse via Mapbox, l’adresse saisie). Aucune donnée d’identification de votre compte ne leur est transmise.

Nous n’utilisons pas d’outil d’analyse d’audience tiers, ni de service d’e-mailing ou de SMS tiers en dehors de ceux listés ci-dessus.

Vos données peuvent par ailleurs être communiquées aux autorités administratives ou judiciaires lorsque la loi l’exige.

6. Transferts de données hors Union européenne

Certains sous-traitants traitent des données en dehors de l’Union européenne. Pour chacun :

Reste dans l’Union européenne : l’hébergement de l’application sur Amazon Web Services (AWS) est situé en région Europe (Irlande, eu-west-1), et l’envoi de nos e-mails via Amazon SES est configuré en région Europe (Irlande).

Adéquation et garanties. Les États-Unis ne bénéficient pas d’une décision d’adéquation générale de la Commission européenne : les transferts vers nos sous-traitants américains s’appuient donc sur des clauses contractuelles types (art. 46 du RGPD). Le Royaume-Uni (Last.fm) bénéficie, lui, d’une décision d’adéquation de la Commission européenne, qui reconnaît un niveau de protection équivalent.

Les images de tickets que vous scannez peuvent être envoyées à des services situés aux États-Unis (OpenAI). Vous pouvez demander une copie des garanties applicables à ces transferts à l’adresse de contact indiquée au §1.

7. Décisions automatisées et profilage (article 22 RGPD)

KiftMe utilise des traitements entièrement automatisés qui peuvent vous affecter. Conformément à l’article 22 du RGPD, voici lesquels, leur logique et vos garanties.

7.1 Validation automatique d’un reçu

Lorsque vous scannez un reçu pour débloquer l’utilisation d’un Kift, la décision de valider ou de refuser le reçu est prise automatiquement.

• Logique : un score de confiance est calculé à partir de la cohérence du reçu avec le service attendu (commerce, montant, date), de la qualité de la lecture, et de signaux de fraude (photo déjà utilisée, image générée par intelligence artificielle, tentative de manipulation du système).
• Conséquence : un reçu validé déclenche le versement ; un reçu refusé ne le déclenche pas. Vous pouvez réessayer le scan jusqu’à trois fois.
• Garanties (art. 22.3 du RGPD). Si votre reçu est refusé, vous avez le droit d’obtenir une intervention humaine, d’exprimer votre point de vue et de contester la décision. Concrètement, vous pouvez contester ce refus : votre reçu est alors transmis à la personne qui vous a offert le Kift, qui le réexamine et décide de le valider ou non ; les cas signalés comme fraude sont réexaminés par une équipe interne KiftMe. Cette intervention humaine est réelle : la personne voit le reçu et peut renverser le refus automatique. Si elle valide, le versement est débloqué.

7.2 Évaluation du risque de paiement et de fraude

Pour protéger le service contre la fraude et le blanchiment, certains paiements ou plafonds sont évalués automatiquement (notamment à partir du score de risque de Stripe et de signaux d’usage). Un paiement à risque élevé peut être refusé, et le plafond d’un Kift peut être ajusté automatiquement pour un compte récent ou présentant des signaux de risque.

• Logique : score de risque de paiement, ancienneté du compte, fréquence d’usage, signaux d’appareil et de localisation.
• Vos garanties : vous pouvez exprimer votre point de vue et demander une intervention humaine en nous écrivant à l’adresse de contact (§1) ; nous réexaminons alors votre situation.

Ces traitements de prévention de la fraude ne se fondent pas sur des données sensibles (article 9).

8. Systèmes d’intelligence artificielle (AI Act)

KiftMe utilise des systèmes d’IA pour les usages suivants, et vous en informe :

• Lecture automatique des tickets (modèles d’OCR et de vision Mistral et OpenAI) : analyse de l’image de votre reçu pour en extraire le commerce, les montants et la date, et vérifier la cohérence avec le service. Une mention « Analyse IA » est affichée pendant le traitement de votre reçu.
• Assistant et structuration de catalogue côté commerçant (modèle OpenAI) : aide les commerçants à structurer leur catalogue à partir d’un texte ou d’un menu. Une mention « Assisté par IA » est affichée sur l’assistant d’onboarding et la fonction de scan de menu.

Le message personnel que vous joignez à un Kift n’est pas analysé par une IA.

Certains de ces modèles d’IA peuvent être opérés en dehors de l’Union européenne : les transferts correspondants et leurs garanties sont décrits au §6. Ces systèmes n’utilisent pas de données sensibles au sens de l’article 9 du RGPD.

Vous disposez d’un droit à une explication du rôle de l’IA dans les décisions reposant sur ces systèmes lorsqu’elles vous affectent significativement (voir §7 pour la contestation).

9. Données sensibles

KiftMe ne traite pas volontairement de données sensibles au sens de l’article 9 du RGPD (santé, opinions, religion, etc.), et n’utilise aucune donnée biométrique.

Toutefois, deux espaces de saisie libre peuvent en contenir si vous en ajoutez :

• Les tickets que vous scannez peuvent révéler le type de commerce fréquenté (par exemple une pharmacie). Nous vous invitons à n’envoyer que des tickets nécessaires à la validation de votre Kift.
• Le message personnel joint à un Kift est un champ libre. Une mention vous invite à éviter d’y inscrire des informations sensibles, car ce message est conservé.

Nous vous demandons de ne pas communiquer de données sensibles qui ne seraient pas nécessaires.

10. Vos droits et comment les exercer

Vous disposez des droits suivants sur vos données. Pour les exercer, utilisez les réglages de votre compte lorsque c’est indiqué, ou écrivez à l’adresse de contact du §1.

• Droit d’accès et de portabilité : vous pouvez exporter vos données depuis les réglages de votre compte. L’export est fourni dans un fichier téléchargeable et inclut votre profil, vos Kifts, vos paiements (sans numéro de carte) et les décisions de validation. (L’export n’inclut pas les données techniques brutes de lecture des tickets ni les journaux internes de sécurité.)
• Droit d’effacement : vous pouvez demander la suppression de votre compte depuis les réglages. Cette opération anonymise votre compte : vos informations d’identification sont effacées de votre profil actif. Pour respecter nos obligations comptables et légales, deux ensembles de données survivent 10 ans sous une forme archivée à accès restreint, puis sont supprimés : (a) les données financières de vos paiements (montants, Kifts) ; (b) un instantané de vos données d’identité (e-mail, téléphone, prénom, date de naissance) constitué au moment de la suppression. La suppression est bloquée tant que vous avez des Kifts en cours.
• Droit de rectification : pour corriger vos données, contactez-nous à l’adresse du §1 ; nous procédons à la rectification. Certaines informations de profil peuvent également être modifiées directement dans les réglages de votre compte.
• Droit d’opposition : vous pouvez vous opposer à tout moment et sans condition aux communications marketing, via le lien de désinscription présent dans nos e-mails ou les préférences de notification de votre compte. Vous pouvez également vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime (prévention de la fraude, analyse des tickets, sécurité) en nous écrivant à l’adresse du §1 ; nous cessons alors le traitement sauf motif légitime impérieux ou défense d’un droit en justice.
• Droit à la limitation du traitement : adressez votre demande à l’adresse du §1.
• Droit de retirer votre consentement : lorsque le traitement repose sur votre consentement (e-mails marketing), vous pouvez le retirer à tout moment, sans effet sur les traitements déjà réalisés.
• Directives post-mortem : conformément à l’article 85 de la loi Informatique et Libertés, vous pouvez définir des directives relatives au sort de vos données après votre décès, et désigner une personne chargée de leur exécution.

L’exercice de vos droits est gratuit. Pour protéger votre compte, nous pouvons être amenés à vérifier votre identité avant de répondre. Nous traitons vos demandes dans un délai d’un mois à compter de leur réception ; ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses, auquel cas nous vous en informons.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez à tout moment introduire une réclamation auprès de la CNIL (voir §16).

11. Durées de conservation

Nous conservons vos données pour les durées suivantes :

12. Sécurité

Nous mettons en œuvre les mesures techniques suivantes, effectivement présentes dans le produit :

• Cloisonnement et contrôle d’accès à la base de données (politiques de sécurité au niveau des lignes, accès restreints par utilisateur/rôle).
• Mots de passe stockés sous forme de condensé chiffré (jamais en clair).
• Chiffrement des secrets d’authentification forte et des jetons de notification push (AES-256-GCM).
• Pseudonymisation des identifiants d’appareils de confiance et des empreintes de tickets.
• Chiffrement des échanges (HTTPS/TLS), avec en-tête de sécurité forçant les connexions chiffrées en production.
• Authentification forte du paiement (3D Secure) déléguée à Stripe.
• Journalisation des actions sensibles et limitation de débit contre les abus.
• Accès interne aux données strictement limité au personnel autorisé qui en a besoin.
• Double authentification (2FA) disponible pour sécuriser l’accès aux comptes.

13. Cookies et traceurs

KiftMe ne dépose aucun traceur publicitaire ni outil d’analyse d’audience tiers. Les éléments déposés sur votre appareil sont strictement nécessaires au fonctionnement et exemptés de consentement :

Aucun de ces traceurs n’est soumis à consentement : aucun bandeau (CMP) n’est donc requis à ce jour. Si un outil de mesure d’audience venait à être activé, un bandeau de consentement serait mis en place au préalable. Le détail figure dans la Politique cookies (document distinct).

14. Mineurs

KiftMe est réservé aux personnes âgées d’au moins 15 ans, conformément au seuil français du consentement numérique. La date de naissance est demandée à l’inscription et l’accès est refusé en dessous de cet âge. Si nous apprenons qu’un compte a été créé par une personne plus jeune, nous le supprimons.

15. Modifications de cette politique

Nous pouvons modifier cette politique pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de document. En cas de modification substantielle, nous vous en informons par un moyen approprié (par e-mail ou via l’application) avant son entrée en vigueur.

16. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données n’est pas conforme, vous pouvez introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.