Politique de confidentialité

Mise à jour : novembre 2026. Projet – à faire relire par un avocat avant le lancement.

1. Qui est responsable

Pour le site et les comptes des commerces : [ Dénomination sociale (ex. kumbak SUARL) – à compléter ], [ Adresse du siège (rue et numéro) – à compléter ], [ Code postal et ville – à compléter ], e-mail : [ E-mail pour les demandes relatives aux données personnelles – à compléter ].

Pour les cartes de fidélité, le responsable est le commerce dont le nom figure sur la carte. Nous traitons ces données pour son compte, selon la loi organique n° 2004-63 du 27 juillet 2004 portant sur la protection des données à caractère personnel.

2. Carte de fidélité des clients

Pour obtenir une carte, vous n'avez besoin de donner aucune donnée. Nous enregistrons seulement : un numéro de carte aléatoire, votre solde de tampons, la date des tampons et des récompenses utilisées, et la langue choisie. Ces données servent uniquement au programme de fidélité.

Elles restent enregistrées tant que le commerce propose le programme. Vous pouvez faire supprimer votre carte à tout moment : sur la page de la carte, auprès du commerce ou auprès de nous.

Sauvegarder la carte (facultatif)

Si vous sauvegardez votre carte avec un e-mail, nous n'enregistrons l'adresse qu'après le clic sur le lien de confirmation. Nous l'utilisons seulement pour vous renvoyer, à votre demande, les liens vers vos cartes – jamais pour de la publicité. Vous pouvez retirer l'e-mail à tout moment sur la page de la carte.

Supprimer la carte

Sur la page de la carte, vous pouvez supprimer vous-même votre carte. Nous supprimons alors immédiatement la carte, tous les tampons, les identifiants d'appareil et l'e-mail.

Offres (facultatif)

Vous recevez les offres d'un commerce seulement si vous les activez sur la page de votre carte : sur le téléphone via la carte Wallet, ou par e-mail après une seconde confirmation. Nous enregistrons quand et avec quel texte vous avez donné votre consentement. Vous pouvez le retirer à tout moment sur la page de la carte ou via le lien présent dans chaque e-mail. Les avis concernant votre propre carte, comme « récompense prête », font partie du service et arrivent sans consentement.

Anniversaire (facultatif)

Si un commerce propose un message d'anniversaire, vous pouvez indiquer le jour et le mois – sans l'année. Nous utilisons la date seulement pour envoyer ce jour-là le message du commerce sur votre carte, et seulement si vous avez accepté les offres sur votre téléphone. Vous pouvez la supprimer à tout moment.

Avis Google

Si vous touchez « Donnez votre avis », nous ouvrons la page d'avis du commerce chez Google. Ce n'est qu'à ce moment que votre navigateur transmet des données, comme votre adresse IP, à Google ; la politique de confidentialité de Google s'applique. Si le commerce accorde un bonus, nous enregistrons seulement que votre carte l'a reçu et quand – pas si ni ce que vous avez écrit.

Inviter des amis

Si vous partagez votre lien d'invitation, nous retenons seulement, sur la nouvelle carte, de quelle carte venait l'invitation, pour vous créditer le bonus. Nous ne contactons jamais vos amis.

3. Apple Wallet et Google Wallet

Si vous ajoutez la carte à votre Wallet, elle est enregistrée sur votre téléphone. Pour la mettre à jour après un tampon, nous enregistrons pour les appareils Apple un identifiant d'appareil et un jeton de notification créés par Apple pour la carte. Les mises à jour passent par le service de notifications d'Apple (Apple Inc., États-Unis) ou l'API Google Wallet (Google). Nous ne transmettons que les données de la carte du point 2, jamais de nom ni d'e-mail. Ces transferts à l'étranger se font dans le cadre de l'autorisation de l'INPDP : [ Numéro de récépissé de déclaration / autorisation INPDP – à compléter ].

Les messages liés à la proximité (si le commerce les utilise) sont calculés par votre téléphone. Nous ne recevons aucune position.

4. Comptes des commerces

Pour les propriétaires, responsables et employés, nous enregistrons le nom, l'e-mail, un mot de passe chiffré (bcrypt), le rôle et qui a tamponné quand. Pour la facturation : raison sociale, adresse et matricule fiscal, conservés pendant la durée légale de conservation des documents comptables.

Sur la page « Points de vente », vous pouvez charger une carte Google Maps pour vérifier l'emplacement. Elle ne se charge qu'après votre clic ; ce n'est qu'alors que des données comme votre adresse IP sont transmises à Google. « Ma position » demande la position de votre appareil ; elle est seulement reprise dans le formulaire.

Traduction automatique

Les textes que vous écrivez pour votre carte – récompenses, texte de la carte, messages – sont traduits automatiquement entre le français et l'arabe, pour que vous n'ayez à les écrire qu'une fois. Pour cela, nous envoyons uniquement ce texte à DeepL SE, Maarweg 165, 50825 Cologne, Allemagne. Nous n'envoyons aucune donnée de vos clients. Merci de ne pas écrire de données personnelles dans ces textes.

E-mails

Pour les liens de mot de passe, de confirmation et de récupération, nous utilisons un prestataire d'envoi : [ Prestataire d'envoi d'e-mails avec adresse (ADR-005) – à compléter ]. Les e-mails envoyés sont supprimés de notre système après 7 jours ; les liens de mot de passe sont valables 1 heure, les liens de confirmation 48 heures, et nous n'en gardons qu'une empreinte (hash).

5. Cookies

Nous utilisons uniquement des cookies techniquement nécessaires :

• kb_session : garde les comptes des commerces connectés, jusqu'à 30 jours.
• kb_lang : retient la langue choisie (français ou arabe), 1 an.
• kb_theme : retient le mode clair ou sombre si vous le changez dans le tableau de bord, 1 an.

Nous n'utilisons aucun outil d'analyse ou de publicité, aucune police ni script de serveurs tiers, aucun plugin de réseaux sociaux.

6. Hébergement et journaux du serveur

Le site est hébergé chez : [ Hébergeur avec adresse (si hors de Tunisie : autorisation INPDP pour le transfert requise) – à compléter ]. Le serveur traite les données techniquement nécessaires à l'affichage (adresse IP, heure, page consultée) pour livrer la page et la protéger contre les attaques. Les journaux sont supprimés après 7 jours.

7. Vos droits

Vous avez le droit d'accéder à vos données, de les faire rectifier ou supprimer et de vous opposer à leur traitement (loi organique n° 2004-63). Écrivez-nous à [ E-mail pour les demandes relatives aux données personnelles – à compléter ]. Vous pouvez aussi saisir l'Instance Nationale de Protection des Données Personnelles (INPDP), Tunis.