Politique de Confidentialité

1. Responsable du traitement

ScanPass collecte et traite vos données dans le respect du Règlement Général sur la Protection des Données (RGPD - UE 2016/679). Vous pouvez nous contacter via la page Nous contacter.

2. Données collectées

• Compte : nom, prénom, e-mail, téléphone (optionnel), ville, date de naissance (optionnel).
• Paiement : aucune donnée bancaire n'est stockée. Les paiements transitent par Stripe (PCI-DSS Level 1).
• Billets : nom du participant, e-mail, statut de scan, horodatage.
• Technique : adresse IP, user-agent (logs de sécurité, conservés 12 mois maximum).

3. Finalités

• Émission et contrôle des billets (exécution du contrat).
• Sécurité de la plateforme (intérêt légitime).
• Obligations comptables et fiscales (10 ans).
• Communications transactionnelles liées à votre commande.
• Newsletter et promotions (uniquement avec votre consentement explicite).

4. Base légale

Exécution du contrat (art. 6.1.b RGPD), obligation légale (6.1.c), intérêt légitime (6.1.f) pour la sécurité, et consentement (6.1.a) pour le marketing.

5. Durée de conservation

• Compte actif : tant que vous l'utilisez.
• Compte supprimé : anonymisation immédiate.
• Données comptables (commandes, dons) : 10 ans (obligation légale).
• Logs de sécurité : 12 mois.

6. Vos droits

Vous pouvez à tout moment :

• Accéder à vos données et les exporter (espace Compte → Paramètres).
• Rectifier vos informations (espace Compte → Profil).
• Supprimer votre compte (anonymisation).
• Vous opposer au traitement marketing (paramètres notifications).
• Introduire une réclamation auprès de la CNIL (cnil.fr).

7. Sécurité

Vos données sont protégées par chiffrement TLS en transit et au repos. Les mots de passe sont hashés (bcrypt). L'accès aux données est restreint via Row Level Security et journalisé. Les mots de passe compromis (base HIBP) sont automatiquement refusés.

8. Cookies

Nous utilisons uniquement des cookies essentiels au fonctionnement (session, préférences). Aucun cookie publicitaire ni de tracking tiers. Voir notre bandeau de consentement.

9. Partage avec des tiers

• Stripe (paiement) — sous-traitant DPA signé.
• Lovable Cloud / Supabase (hébergement) — UE.
• Aucune vente, location ou partage à des fins commerciales avec des tiers.

10. Transferts hors UE

Les données sont hébergées au sein de l'Union Européenne. Stripe peut traiter certaines données aux États-Unis sous clauses contractuelles types (DPA Stripe).