Politique de confidentialité — QR Suisse

1. Qui est responsable de vos données

Skyday Sàrl, exploitant du service QR Suisse, est responsable du traitement de vos données personnelles au sens de la loi fédérale suisse sur la protection des données (nLPD) et, le cas échéant, du RGPD (voir §7).

• Siège / adresse complète : Rue de Lousse 32a, 1987 Hérémence, Suisse (source : registre du commerce, zefix.ch, consulté le 2026-09-11)
• Numéro IDE (identifiant des entreprises) : CHE-347.343.213
• Contact pour toute question relative à vos données : contact@qrsuisse.ch

Pour la part du traitement des paiements qu'il effectue en son nom propre, Stripe est un responsable de traitement distinct (voir §6.2). C'est aussi le cas pour Stripe Link (voir §2.3).

Pour nos campagnes publicitaires (§2.8), Google est lui aussi responsable de traitement pour la part qu'il effectue en son nom propre ; pour la collecte des données sur notre site, Skyday Sàrl et Google peuvent être considérées comme responsables conjointes (voir §6.4).

2. Quelles données nous collectons, et pourquoi

QR Suisse ne collecte que les données nécessaires au fonctionnement du service, à la mesure de son audience et, si vous l'acceptez, à ses campagnes publicitaires. Nous ne vendons aucune donnée. Nous ne transmettons à aucun tiers, à des fins publicitaires, votre adresse email, votre nom, ni aucune donnée sur votre utilisation du tableau de bord.

Trois traitements de notre site public dépendent de votre consentement. Dans la bannière de cookies affichée lors de votre première visite, vous pouvez les accepter tous ou les refuser tous en un clic, ou choisir catégorie par catégorie avec « Personnaliser ». Vous pouvez modifier ce choix à tout moment :

• la mesure d'audience (§2.4) : des statistiques agrégées, qui ne visent pas à vous identifier individuellement ;
• la publicité (§2.8) : la mesure des inscriptions obtenues grâce à nos annonces Google Ads ;
• le remarketing (§2.8) : l'affichage de nos annonces aux personnes qui ont visité notre site, en fonction des pages visitées.

Pour la publicité et le remarketing, Google intervient comme responsable de traitement. Refuser l'une ou l'autre de ces catégories n'a aucune conséquence sur votre accès au site ni sur votre utilisation du service.

2.1 Données de votre compte (si vous êtes titulaire d'un compte)

Deux façons de créer un compte coexistent aujourd'hui. La très grande majorité des comptes sont créés par inscription en libre-service, ouverte publiquement et immédiate : que vous créiez un compte privé ou un compte entreprise, la création est instantanée, la connexion se fait automatiquement dès la création, et l'acceptation des CGU/CGV et de la présente politique est enregistrée avec sa date et sa version (voir tableau ci-dessus). À titre résiduel, certaines entreprises participant à un programme pilote obtiennent un compte par une création manuelle effectuée par Skyday Sàrl, avec l'adresse email qu'elles nous indiquent, sans jeton d'invitation envoyé par email. Ce cas résiduel est distinct de l'invitation d'un utilisateur additionnel au sein d'un compte déjà existant (fonctionnalité « Utilisateurs » de votre tableau de bord), qui reste régie par ses propres règles et n'est pas concernée par cette section.

Si vous utilisez « Mot de passe oublié ? » depuis la page de connexion pour retrouver l'accès à votre compte :

• L'adresse email que vous saisissez n'est ni enregistrée ni journalisée par nous, qu'elle corresponde ou non à un compte : elle sert uniquement à rechercher le compte concerné. Si l'adresse correspond à un utilisateur actif d'un compte ni suspendu ni en attente de suppression, un email contenant un lien à usage unique est envoyé à l'adresse enregistrée sur ce compte — jamais à une autre adresse.
• La réponse qui vous est affichée est identique que l'adresse corresponde ou non à un compte (« Si un compte correspond à cette adresse, vous recevrez un email dans quelques minutes »). Nous ne révélons pas si une adresse est inscrite chez nous.
• Pour limiter les abus (demandes en série), nous comptons les demandes par adresse IP et par adresse email à l'aide d'empreintes non réversibles (hachage salé), gardées en mémoire du serveur uniquement sur une fenêtre de 60 minutes. Ces empreintes ne sont jamais écrites dans une base de données ni sur disque, jamais rattachées à votre compte, et ni l'adresse IP ni l'adresse email n'y figurent en clair. À l'expiration de la fenêtre, elles cessent d'être prises en compte et sont supprimées de la mémoire par une purge automatique ; elles disparaissent en tout cas au redémarrage du serveur.
• Le lien reçu n'est transmis à aucun tiers : aucun outil Google ne se charge sur les pages concernées (§2.4, §2.8) et le navigateur reçoit pour consigne de ne pas communiquer l'adresse de la page à d'autres sites.
• Lorsque vous définissez votre nouveau mot de passe, vos sessions ouvertes sont fermées — vous devez vous reconnecter avec le nouveau mot de passe — et nous vous envoyons un email de notification (sans aucun lien) pour que vous puissiez réagir si ce changement ne vient pas de vous. Il en va de même lorsque le lien a été déclenché pour vous par un administrateur de votre compte.

Si vous participez à un test sur notre environnement de validation (« staging ») avant la mise en production d'une nouvelle fonctionnalité, un compte de test y est créé selon les mêmes règles — voir §6.3 pour le détail de cet environnement et §5 pour sa durée de conservation propre, plus courte que celle de votre compte de production. Sur cet environnement, le paiement est simulé (mode test de Stripe) : aucune donnée bancaire réelle n'y est jamais saisie.

2.2 Statistiques d'usage de vos QR codes

Pour chaque QR code que vous créez, nous conservons :

• un compteur du nombre total de scans (scanCount) ;
• un compte de scans par jour civil (une seule ligne par QR et par jour, sans autre information), qui alimente la courbe de tendance de votre tableau de bord.

Ni l'un ni l'autre ne contient le moindre détail individuel sur les personnes qui scannent : pas de journal par scan, pas d'horodatage individuel, pas d'appareil, pas de pays, pas de navigateur, pas d'adresse IP enregistrée en base de données. Deux personnes qui scannent le même QR le même jour y sont strictement indiscernables.

La profondeur d'historique consultable dépend de votre plan : 7 derniers jours (Gratuit) ou 15 mois (Pro ou Entreprise). Les données journalières elles-mêmes sont conservées 15 mois pour tous les comptes, puis supprimées automatiquement (§5) — de sorte qu'un passage au plan Pro ou Entreprise donne immédiatement accès à l'historique déjà constitué.

Traitement technique transitoire, non persistant : au moment d'un scan, l'adresse IP de la personne qui scanne est transformée en une empreinte non réversible (hachage salé) et gardée en mémoire du serveur pendant 5 secondes maximum, uniquement pour éviter de compter deux fois un scan accidentel (double-tap, prévisualisation automatique d'une application caméra). Cette empreinte n'est jamais écrite dans une base de données, jamais associée à une identité, jamais visible dans vos statistiques, et disparaît définitivement à l'expiration des 5 secondes ou au redémarrage du serveur. Ce mécanisme est strictement identique sur notre environnement de validation (§6.3).

2.3 Abonnement et facturation (si vous souscrivez le plan Pro ou Entreprise)

Le paiement de l'abonnement Pro ou Entreprise (mensuel ou annuel) est confié à Stripe, prestataire de paiement (§6.2). Concrètement :

Nous ne demandons ni nom ni adresse de facturation obligatoires (Skyday Sàrl n'est pas assujettie à la TVA), et nous ne conservons chez nous aucun numéro ou fragment de carte, aucune adresse, aucun montant, aucune facture.

Stripe Link. Au moment de payer, la page Stripe peut vous proposer d'utiliser Link, le portefeuille de paiement à un clic de Stripe : il permet d'enregistrer votre nom, vos coordonnées et vos données de paiement chez Stripe, pour les réutiliser ensuite chez d'autres commerçants qui, comme nous, utilisent Stripe. Nous avons choisi de garder cette option activée. Pour cette fonctionnalité précise, Stripe agit selon ses propres conditions, en tant que responsable de traitement indépendant — pas comme un simple prestataire agissant sur nos instructions : vous et Stripe déterminez alors chacun séparément les finalités et les moyens de ce traitement particulier (conditions Link : stripe.com/legal/link ; politique de confidentialité propre à Link : link.com/privacy). Vous pouvez à tout moment saisir votre carte manuellement, sans jamais utiliser Link — cette option reste toujours disponible sur la page de paiement ; Link n'est qu'une proposition, jamais une obligation.

Les emails liés à l'abonnement (reçus, factures, échec de paiement) vous sont envoyés par Stripe.

Si votre abonnement Pro ou Entreprise prend fin (annulation ou échec de paiement) alors que votre compte dépasse le quota du plan Gratuit, votre compte passe en période de grâce (14 jours) puis en état limité : vos QR au-delà du quota affichent alors une page d'information neutre à la personne qui scanne. Cette page ne mentionne jamais la raison (impayé, annulation) : elle indique seulement que le QR code n'est plus actif et que son propriétaire peut le réactiver en passant au plan Pro. Elle n'affiche ni la destination du QR code ni aucune donnée de sa carte de visite. Si votre compte disposait d'une ou plusieurs clés API ou de packs de créations non consommés (§2.5, §2.6), ceux-ci ne sont pas supprimés : vos clés API sont gelées : elles refusent l'authentification tant que le compte n'est pas au plan Pro ou Entreprise, et leur configuration (nom, droits) est conservée. Au plan Gratuit, la page « Clés API » du tableau de bord n'affiche pas vos clés : vous ne pouvez ni les consulter, ni les révoquer, ni les régénérer, ni les réactiver tant que vous n'avez pas repris un abonnement Pro ou Entreprise. Le solde des packs reste comptabilisé sans être remis à zéro (voir §5 et §9.6 des CGU/CGV). La configuration de votre domaine personnalisé, si vous en avez un, est elle aussi conservée (§2.7).

2.4 Mesure d'audience du site public

En complément des données décrites ci-dessus (qui concernent votre compte et votre usage du service une fois inscrit), nous mesurons la fréquentation de notre site public (pages consultées avant inscription, provenance de la visite, taux de conversion à l'inscription, point d'abandon dans le formulaire d'inscription), à l'aide de Google Analytics 4 (GA4), un outil de Google LLC.

Ce traitement est distinct des statistiques de scan de vos QR codes (§2.2) : il ne concerne que la fréquentation de notre propre site, pas l'usage de vos QR codes par vos clients.

Ce traitement ne concerne, à ce stade, que les visiteurs du site public et le parcours d'inscription — pas votre usage du tableau de bord une fois connecté à votre compte, qui n'est pas mesuré par cet outil.

Ce traitement ne se déclenche qu'après votre consentement explicite : tant que vous n'avez pas accepté via la bannière de cookies, Google Analytics ne se charge pas sur ce site (aucune requête n'est envoyée à Google) et aucune information relative à votre visite ne lui est transmise.

Si vous avez accepté la mesure d'audience sans accepter la catégorie « Publicité », Google Analytics se charge avec l'instruction de ne déposer aucun cookie publicitaire, de ne transmettre aucune donnée à Google Ads et de ne pas utiliser vos visites pour la publicité personnalisée. Si vous avez aussi accepté « Publicité », l'événement « inscription complétée » sert à mesurer nos campagnes Google Ads (§2.8). Vos visites ne servent au remarketing que si vous avez accepté les trois catégories (§2.8).

Base légale : votre consentement, donné via la bannière de cookies, pour le dépôt de cookies/identifiants par Google Analytics (art. 45c de la loi sur les télécommunications pour la Suisse ; art. 5(3) de la directive européenne "vie privée et communications électroniques" pour les visiteurs résidant dans l'Union européenne) ; à titre complémentaire, l'intérêt légitime de Skyday Sàrl à mesurer l'usage de son propre site pour l'améliorer, pour le traitement de la donnée elle-même une fois le cookie déposé.

Conservation : deux durées sont réglées dans la configuration de Google Analytics 4. Les données détaillées de chaque visite (pages vues, événements) sont conservées 2 mois. Les données rattachées à l'identifiant de votre navigateur, y compris les inscriptions mesurées, sont conservées 14 mois au plus, ce qui nous permet de reconnaître une visite ultérieure du même navigateur et de comparer l'évolution du trafic d'une année sur l'autre. Les données sont ensuite supprimées selon le mécanisme de purge propre à cet outil. Les rapports standard de Google Analytics, qui ne contiennent que des statistiques agrégées, restent consultables au-delà de ces durées.

Vous opposer / retirer votre consentement : vous pouvez à tout moment refuser ou retirer votre consentement via le lien « Gérer mes préférences de cookies » en pied de page, disponible sur toutes les pages du site. Retirer votre consentement à la mesure d'audience met aussi fin à la mesure des conversions publicitaires et au remarketing (§2.8), qui passent par Google Analytics.

2.5 Journal technique des appels à l'API Pro/Entreprise

Si votre compte dispose d'une ou plusieurs clés API du plan Pro ou Entreprise et que vous les utilisez pour appeler notre API de gestion de QR codes par programmation, nous conservons un journal technique de ces appels. Ce traitement est distinct des statistiques de scan (§2.2) et de la mesure d'audience du site public (§2.4), et n'a pas de finalité statistique produit : il sert uniquement à l'investigation en cas d'abus signalé, de clé API compromise, ou de litige sur l'usage de votre quota. Le nombre de clés actives que votre compte peut avoir dépend de votre plan (1 pour Pro, 10 pour Entreprise — voir §5 des CGU/CGV) ; ce journal fonctionne de la même façon, quel que soit le nombre de clés actives de votre compte.

Nous n'enregistrons aucune adresse IP dans ce journal, même sous forme hachée.

Conservation : 12 mois glissants, avec une purge automatique quotidienne des entrées plus anciennes.

Destinataires : Jérôme, uniquement en cas d'investigation (abus signalé, clé compromise, litige sur le quota). Aucun tiers.

Hébergement : Infomaniak, comme le reste du service (§6.1) — aucun transfert hors Suisse.

2.6 Packs de créations API complémentaires (si vous en achetez)

Si votre compte est au plan Pro ou Entreprise et que vous achetez un pack de créations complémentaires (§5 des CGU/CGV) pour dépasser le quota mensuel inclus, le paiement — unique, sans abonnement ni renouvellement automatique — est confié à Stripe, de la même façon que pour l'abonnement (§2.3). Nous conservons, en plus des données déjà décrites au §2.3 :

Ces données suivent le même sort que le reste des données de votre compte : conservées tant que le compte existe (§5), supprimées avec lui.

2.7 Domaine personnalisé (plans Pro et Entreprise)

Avec un abonnement Pro ou Entreprise, vous pouvez rattacher à votre compte un domaine personnalisé, c'est-à-dire un sous-domaine d'un nom de domaine dont vous disposez (par exemple qr.votre-entreprise.ch) ; vos QR codes utilisent alors cette adresse (§5 des CGU/CGV). Si ce nom contient votre nom ou celui de votre entreprise individuelle (par exemple qr.jean-dupont.ch), il constitue une donnée personnelle.

Vérification DNS. Nos serveurs interrogent le DNS public pour vérifier les deux enregistrements que vous avez créés (CNAME et TXT) : lorsque vous lancez une vérification depuis le tableau de bord, puis régulièrement tant que votre compte est à un plan payant. Ces requêtes ne portent que sur votre nom d'hôte et ne transmettent aucune autre donnée.

Certificat HTTPS et journaux publics (Certificate Transparency). Pour que vos QR codes puissent être servis en HTTPS sous votre domaine, notre passerelle (§6.1) obtient automatiquement un certificat auprès de l'autorité de certification Let's Encrypt (§6.6), au premier accès à votre domaine une fois celui-ci vérifié. Un certificat étant valable 90 jours au plus, la passerelle peut ensuite en demander de nouveaux pour votre domaine. Seul votre nom d'hôte figure dans ces demandes : aucune de vos coordonnées n'est transmise à Let's Encrypt. Comme pour tout certificat HTTPS public, Let's Encrypt publie chaque certificat, donc votre nom d'hôte, dans des journaux publics dits « Certificate Transparency » : ces journaux, tenus par plusieurs organisations dans le monde, sont consultables par quiconque et conçus pour ne jamais être modifiés. Cette publication est définitive : ni nous ni Let's Encrypt ne pouvons la retirer, même après le retrait de votre domaine ou la suppression de votre compte (§5, §8). Votre nom d'hôte est d'ailleurs déjà public dès que vous créez les enregistrements DNS. N'ajoutez pas de domaine personnalisé dont le nom ne doit pas être rendu public.

Scans passant par votre domaine. Les scans d'un QR code imprimé avec votre domaine personnalisé passent d'abord par notre passerelle, hébergée chez Infomaniak à Genève (§6.1), qui les transmet à notre application. L'adresse IP de la personne qui scanne transite par la passerelle pour acheminer la requête. Le scan est ensuite traité exactement comme tout autre scan (§2.2) : le domaine personnalisé n'ajoute aucune donnée à vos statistiques.

Journaux techniques de la passerelle. Comme tout serveur, la passerelle tient des journaux techniques de fonctionnement (démarrage, erreurs, obtention des certificats). Ils peuvent contenir votre nom d'hôte et l'adresse IP de certaines requêtes. Ils servent uniquement à l'exploitation et à la sécurité du service, ne sont consultés que pour ces besoins, ne sont pas utilisés pour les statistiques et ne sont transmis à aucun tiers.

Fin d'abonnement et retrait. À la fin de votre abonnement payant, votre configuration (nom d'hôte, jeton, statut) est conservée, sans être revérifiée, pour que votre domaine puisse redevenir actif si vous reprenez un abonnement. Vous pouvez retirer votre domaine à tout moment depuis le tableau de bord, quel que soit votre plan : sa configuration est alors supprimée immédiatement.

2.8 Publicité en ligne (Google Ads), sur consentement

Nous pouvons faire connaître QR Suisse par des annonces diffusées par Google Ads, le service publicitaire de Google (sur le moteur de recherche Google et sur les sites et applications du réseau publicitaire de Google). Cela recouvre deux usages, soumis chacun à son propre consentement :

• la mesure des conversions (catégorie « Publicité ») : pour savoir quelles annonces sont utiles, nous mesurons combien de personnes créent un compte après avoir cliqué sur l'une d'elles ;
• le remarketing (catégorie « Remarketing ») : nous pouvons montrer nos annonces aux personnes qui ont visité notre site public sans s'inscrire.

Les deux passent par Google Analytics (§2.4). La mesure des conversions n'a lieu que si vous avez accepté « Mesure d'audience » et « Publicité ». Le remarketing n'a lieu que si vous avez accepté les trois catégories : « Mesure d'audience », « Publicité » et « Remarketing ». Si vous cochez « Remarketing » sans « Publicité », votre choix est enregistré mais reste sans effet : aucun cookie publicitaire n'est déposé, aucune donnée n'est transmise à Google Ads et vos visites ne servent pas au remarketing.

Mesure des conversions. Lorsque vous cliquez sur une de nos annonces, Google ajoute à l'adresse de la page d'arrivée un identifiant de clic. Si vous avez accepté la catégorie « Publicité », cet identifiant est enregistré dans un cookie sur notre site. Si vous créez ensuite un compte, Google Analytics relie votre inscription à ce clic et transmet cette conversion à notre compte Google Ads.

Remarketing. Si vous avez accepté les trois catégories et que vous ne vous êtes pas inscrit, nous pouvons vous montrer des annonces QR Suisse sur les sites et applications du réseau publicitaire de Google après votre visite. Pour cela, Google Analytics vous inscrit dans une liste d'audience, que nous partageons avec notre compte Google Ads. Google retrouve ensuite votre navigateur, à l'aide de ses propres identifiants, lorsqu'il vous affiche des annonces. Nous ne voyons que la taille approximative de ces listes, jamais qui en fait partie.

• Les listes sont construites uniquement à partir des pages de notre site public et du parcours d'inscription.
• Les personnes dont l'inscription a été mesurée sont exclues de ces annonces.
• Vous restez dans une liste que nous utilisons pour nos annonces 90 jours au plus après votre dernière visite correspondante. Google Analytics tient aussi automatiquement une liste de tous les visiteurs mesurés, dont la durée est fixée par Google : nous ne l'utilisons jamais pour diffuser nos annonces.
• Aucune liste n'est fondée sur une information relative à la santé, et nous ne ciblons personne en fonction de sa santé. Nos pages destinées aux cabinets médicaux s'adressent aux professionnels dans le cadre de leur activité.
• Nous n'utilisons ni « audiences similaires » ni extension d'audience à partir de nos listes.

Le remarketing est un profilage au sens de la nLPD : une évaluation automatisée de votre intérêt probable pour notre service, à partir de vos visites. Il n'a lieu qu'avec votre consentement exprès, donné en cochant la catégorie « Remarketing » ou en cliquant sur « Tout accepter », dont le texte la mentionne expressément, et n'entraîne aucune autre conséquence pour vous que l'affichage d'une annonce.

Dans notre compte Google Ads, nous voyons uniquement des nombres agrégés (conversions par campagne ou par annonce, taille approximative des listes), jamais l'identité d'une personne. Nous n'enregistrons pas l'identifiant de clic dans notre base de données et ne l'utilisons pas nous-mêmes.

Ce que nous ne faisons pas :

• Nous ne transmettons à Google ni votre adresse email, ni votre nom, ni aucune autre donnée de votre compte, même sous forme chiffrée ou hachée. Nous n'utilisons ni les « conversions améliorées » ni le « Customer Match » de Google.
• Aucun outil Google ne se charge sur votre tableau de bord une fois connecté, ni sur les pages d'invitation, de réinitialisation du mot de passe ou de redirection de vos QR codes. La publicité ne concerne que notre site public et le parcours d'inscription.
• Nous n'utilisons pas la fonction « Google Signals », qui rattache les visites aux comptes Google des visiteurs connectés.
• Nos campagnes ne sont diffusées qu'en Suisse.

Avant votre consentement. Tant que vous n'avez pas accepté la catégorie « Publicité », aucun cookie publicitaire n'est déposé et aucune donnée n'est transmise à Google Ads. Tant que vous n'avez pas accepté « Publicité » et « Remarketing », vos visites ne servent pas au remarketing. Si vous n'avez pas non plus accepté la mesure d'audience, aucun outil Google ne se charge (§2.4, §9).

Si vous aviez déjà fait un choix avant la publication de la version 1.18 de la présente politique : la bannière vous est présentée à nouveau. Un accord donné auparavant pour la mesure d'audience ne vaut accord ni pour la publicité ni pour le remarketing.

Rôle de Google. Pour les données qu'il reçoit dans le cadre de Google Ads, Google est responsable de traitement et les utilise aussi pour ses propres finalités (§6.4). Vous pouvez gérer de façon générale la personnalisation des annonces que Google vous montre dans « Mon Centre de publicités » (myadcenter.google.com). Ce réglage est indépendant de vos choix sur notre site.

Base légale : votre consentement exprès, donné en acceptant la catégorie « Publicité » pour la mesure des conversions, et la catégorie « Remarketing » pour le remarketing (voir §3). Ces traitements n'ont pas lieu sans votre consentement ; nous n'invoquons pas d'intérêt légitime à leur place.

Conservation : voir §5.

Retirer votre consentement : à tout moment, catégorie par catégorie, via le lien « Gérer mes préférences de cookies » en pied de page. Si vous retirez « Remarketing », vos visites ne vous ajoutent plus à nos listes de remarketing ; la mesure des conversions continue si « Publicité » reste acceptée. Si vous retirez « Publicité », plus aucune donnée n'est transmise à Google Ads depuis votre navigateur, vos visites ne vous ajoutent plus à nos listes de remarketing, et les cookies publicitaires déposés sur notre domaine sont supprimés. Votre éventuelle présence dans une liste que nous utilisons pour nos annonces prend fin au plus tard 90 jours après votre dernière visite correspondante (§5). Le retrait vaut pour l'avenir : il ne remet pas en cause les conversions déjà transmises.

2.9 Demandes de support (plans Pro et Entreprise)

Si votre compte est au plan Pro ou Entreprise, vous pouvez nous adresser une demande d'assistance depuis votre tableau de bord (« Contacter le support ») et la suivre dans « Mes demandes ». Dans votre compte, chaque demande n'est visible que par l'utilisateur qui l'a envoyée : ni l'administrateur ni les autres utilisateurs du compte n'y ont accès. Si votre compte repasse au plan Gratuit, vous pouvez toujours consulter vos demandes, mais vous ne pouvez plus en envoyer de nouvelles, ni écrire dans une demande existante, ni la marquer comme résolue.

Données sensibles. N'indiquez dans vos demandes ni données de patients ou de santé, ni autres données sensibles, ni mot de passe ou clé API : nous n'en avons jamais besoin. Si vous êtes tenu à un secret professionnel, il vous appartient de ne nous transmettre aucune donnée qui en relève. Si un tel passage nous parvient malgré tout, nous pouvons l'effacer de la demande : il est alors remplacé par la mention « [donnée retirée] ». Vous pouvez aussi nous demander cet effacement en écrivant à contact@qrsuisse.ch.

Qui traite votre demande. Vos demandes sont lues et traitées par une personne de Skyday Sàrl, sans outil d'intelligence artificielle. Aucun tiers n'y a accès, en dehors de notre hébergeur Infomaniak, qui agit pour notre compte en tant que sous-traitant (§6.1).

E-mails de notification. Lorsque nous avons répondu, nous vous en avertissons par e-mail. Cet e-mail ne contient ni le contenu de votre demande ni celui de notre réponse : vous les consultez dans « Mes demandes », une fois connecté. Il est envoyé uniquement à l'utilisateur qui a envoyé la demande, à l'adresse e-mail de son accès, dans la langue de la demande ; il n'est pas envoyé si cet utilisateur a été désactivé, ni si le compte est suspendu ou en attente de suppression. De notre côté, chaque nouvelle demande ou nouveau message de votre part déclenche une alerte envoyée à notre adresse contact@qrsuisse.ch (§2.10) : elle ne contient ni l'objet, ni le texte, ni votre nom, ni l'identité de votre compte, seulement un lien vers notre interface d'administration. Ces e-mails sont envoyés via le service de messagerie d'Infomaniak (§6.1).

Fermeture, réouverture et conservation. Tant que votre compte est au plan Pro ou Entreprise, vous pouvez marquer une demande comme résolue à tout moment, même avant notre réponse, avec le bouton « Marquer comme résolue » : elle est alors close. À défaut, une demande à laquelle nous avons répondu est close automatiquement si vous n'y avez pas écrit dans les 30 jours qui suivent notre dernière réponse ; une demande qui attend notre réponse n'est jamais close automatiquement. Nous pouvons aussi clore une demande nous-mêmes. Une demande close peut être rouverte : si vous y écrivez (au plan Pro ou Entreprise), ou si nous y écrivons. Nous n'écrivons dans une demande close que pour donner suite à cette même demande, par exemple pour compléter ou corriger notre réponse, ou pour vous informer que le problème signalé est résolu ; jamais pour un autre sujet, ni dans le seul but de prolonger sa conservation. Vous en êtes averti par e-mail, dans les conditions décrites ci-dessus. Pour une nouvelle question, ouvrez de préférence une nouvelle demande. Les demandes sont conservées 24 mois après leur dernière fermeture, qu'elle soit de votre fait, du nôtre ou automatique (pour une demande ouverte, y compris une demande rouverte, 24 mois après sa dernière modification), puis supprimées automatiquement, avec tous leurs messages et la trace interne de nos interventions. Une réouverture annule la fermeture précédente : le délai de 24 mois repart de la fermeture suivante. Elles sont en tout cas supprimées, avec cette trace, lors de la suppression définitive de votre compte (§5).

Si l'utilisateur qui a envoyé une demande est désactivé par un administrateur du compte, la demande est conservée, rattachée au compte, jusqu'à l'échéance ci-dessus ; plus personne ne la voit dans le compte et aucun e-mail n'est plus envoyé à son sujet. Cet utilisateur peut obtenir l'accès à ses demandes en écrivant à contact@qrsuisse.ch.

Base légale : exécution du contrat d'abonnement ; pour votre avis facultatif sur nos réponses, pour la trace interne de nos interventions et pour les statistiques globales sur la résolution des demandes, l'intérêt légitime de Skyday Sàrl (voir §3).

Hébergement : Infomaniak, en Suisse (§6.1) — aucun transfert hors de Suisse.

2.10 Messages adressés à contact@qrsuisse.ch

Si vous nous écrivez à contact@qrsuisse.ch, que vous soyez client ou non (question, exercice de vos droits, demande hors du tableau de bord), nous traitons votre adresse e-mail, votre nom s'il apparaît, le contenu de votre message et de ses pièces jointes éventuelles, ainsi que nos réponses, uniquement pour vous répondre et, le cas échéant, donner suite à votre demande. Ces messages sont lus par une personne de Skyday Sàrl, sans outil d'intelligence artificielle. Ils sont hébergés en Suisse par le service de messagerie d'Infomaniak (§6.1), sans redirection ni copie vers une autre messagerie.

Conservation : 12 mois après notre dernier échange avec vous. Nous supprimons ces messages une fois par trimestre ; un message est donc effacé au plus tard 15 mois après ce dernier échange.

Base légale : notre intérêt légitime à répondre aux messages qui nous sont adressés ; si vous êtes client, l'exécution du contrat (voir §3).

2.11 Protection contre les créations en double via l'API (plans Pro et Entreprise)

Lorsque votre programme crée un QR code via notre API (§2.5), il peut ajouter à sa demande un en-tête Idempotency-Key, c'est-à-dire une valeur qu'il choisit pour désigner cette création. Cet en-tête est facultatif. S'il est présent et que la création a lieu, nous conservons les données suivantes :

Si la même demande nous parvient une seconde fois, par exemple parce que votre programme l'a renvoyée après une coupure réseau, nous ne créons pas de second QR code. Nous vous renvoyons celui qui a déjà été créé, sans décompter une autre création de votre quota mensuel ni un crédit de pack (§2.6). Le contenu de la demande, notamment le libellé, la destination et les coordonnées d'une carte de contact, n'est pas copié à cette fin : il n'est enregistré que dans le QR code lui-même (§2.1). Si la création n'a pas lieu (demande invalide, droits insuffisants, quota épuisé, erreur de notre part), nous n'enregistrons rien : vous pouvez réutiliser la même valeur une fois le problème réglé.

Choisissez une valeur aléatoire (nous recommandons un UUID v4) et n'y mettez aucune donnée personnelle, par exemple un nom, une adresse email ou un numéro de client. Nous n'en conservons que l'empreinte, mais cette valeur n'a pas besoin d'avoir un sens.

Aucun autre usage : ces données servent uniquement à éviter les doublons. Elles ne servent ni à établir des statistiques, ni à facturer, ni à analyser votre utilisation de l'API. La valeur de l'en-tête n'est inscrite dans aucun journal. Chaque appel reste inscrit au journal technique des appels (§2.5), où une demande répétée apparaît comme telle ; ce journal ne contient ni la valeur de l'en-tête ni son empreinte.

Conservation : ces données ne sont plus prises en compte 24 heures après la création. Une demande renvoyée plus tard crée donc un nouveau QR code et décompte une nouvelle création. Une purge automatique quotidienne les supprime ensuite, au plus tard 72 heures après la création. Elles sont en tout cas supprimées avec votre compte (§5). Si vous supprimez le QR code entre-temps, son identifiant est retiré de ces données : une demande répétée avec la même valeur est alors refusée, sans nouvelle création. Si vous révoquez la clé API, ces données ne sont plus utilisées et sont supprimées dans le même délai.

Destinataires : aucun. Ces données sont traitées automatiquement, et aucun tiers n'y a accès.

Hébergement : Infomaniak, comme le reste du service (§6.1). Aucun transfert hors de Suisse.

Base légale : exécution du contrat (voir §3).

3. Base légale du traitement

• Compte et contenu des QR codes : exécution du contrat qui nous lie — l'accord de pilote pour les PME encore en phase pilote, les conditions générales (CGU/CGV) dès l'abonnement, y compris au plan Gratuit (art. 31 al. 2 let. a nLPD par analogie / art. 6.1.b RGPD si applicable). Pas de consentement distinct requis.
• Statistiques agrégées de scans : intérêt légitime de Skyday Sàrl et du titulaire à mesurer l'usage d'un QR code qu'il a créé, de façon strictement agrégée et non individualisante — le traitement est réduit au minimum nécessaire à cette finalité (§2.2).
• Abonnement et facturation : exécution du contrat d'abonnement (Pro ou Entreprise) ; conservation des pièces comptables en vertu d'une obligation légale (art. 958f CO). Les traitements que Stripe effectue pour son propre compte (fraude, obligations réglementaires, et Link pour la part qu'il traite en son nom propre) reposent sur les bases légales décrites dans la politique de confidentialité de Stripe (et, pour Link, dans celle de Link).
• Mesure d'audience du site public : votre consentement, donné via la bannière de cookies (art. 45c de la loi sur les télécommunications pour la Suisse ; art. 5(3) de la directive européenne "vie privée et communications électroniques" pour les visiteurs résidant dans l'UE) ; à titre complémentaire, l'intérêt légitime de Skyday Sàrl à mesurer l'usage de son propre site — détail au §2.4.
• Publicité en ligne : mesure des conversions Google Ads (§2.8) : votre consentement exprès, donné en acceptant la catégorie « Publicité » de la bannière de cookies (art. 45c de la loi sur les télécommunications et art. 31 al. 1 nLPD pour la Suisse ; art. 5(3) de la directive européenne « vie privée et communications électroniques » et art. 6.1.a RGPD pour les visiteurs résidant dans l'Union européenne). Ce consentement est distinct de celui donné pour la mesure d'audience. Aucun autre motif n'est invoqué.
• Remarketing Google Ads (§2.8) : votre consentement exprès, donné en acceptant la catégorie « Remarketing » de la bannière de cookies, distinct des deux précédents (mêmes dispositions). Il ne produit d'effet que si vous avez aussi accepté la mesure d'audience et la publicité. Le bouton « Tout accepter » vaut acceptation des trois catégories ; chacune est enregistrée et peut être retirée séparément. Aucun autre motif n'est invoqué.
• Journal technique des appels à l'API Pro/Entreprise : l'intérêt légitime de Skyday Sàrl et du titulaire de la clé à pouvoir investiguer un abus, une clé compromise ou un litige sur l'usage du quota — pas une finalité statistique produit ; à titre complémentaire, l'exécution ou la preuve du contrat d'abonnement Pro/Entreprise en cas de désaccord sur le quota (§2.5).
• Achat d'un pack de créations API complémentaires (§2.6) : exécution du contrat d'achat du pack — une prestation ponctuelle, distincte de l'abonnement mais soumise à la même logique contractuelle (art. 31 al. 2 let. a nLPD par analogie / art. 6.1.b RGPD si applicable). Pas de consentement distinct requis.
• Domaine personnalisé (§2.7) : exécution du contrat d'abonnement Pro ou Entreprise, dont le domaine personnalisé est une fonctionnalité que vous choisissez d'activer (art. 31 al. 2 let. a nLPD par analogie / art. 6.1.b RGPD si applicable). La publication du nom d'hôte dans les journaux Certificate Transparency est exigée par les principaux navigateurs pour qu'un certificat HTTPS soit accepté : elle est indissociable de la fonctionnalité. Pas de consentement distinct requis. Pour les journaux techniques de la passerelle : intérêt légitime de Skyday Sàrl à assurer l'exploitation et la sécurité du service.
• Demandes de support (§2.9) : exécution du contrat d'abonnement Pro ou Entreprise, dont le support par formulaire est une prestation (art. 31 al. 2 let. a nLPD par analogie / art. 6.1.b RGPD si applicable). Pour votre avis facultatif sur nos réponses, pour la trace interne de nos interventions et pour les statistiques globales sur la résolution des demandes : intérêt légitime de Skyday Sàrl à améliorer son support et à pouvoir établir qui a traité une demande (art. 31 al. 1 nLPD / art. 6.1.f RGPD si applicable). Pas de consentement distinct requis.
• Messages adressés à contact@qrsuisse.ch (§2.10) : intérêt légitime de Skyday Sàrl à répondre aux messages qui lui sont adressés (art. 31 al. 1 nLPD / art. 6.1.f RGPD si applicable) ; lorsque vous êtes client, exécution du contrat qui nous lie.
• Protection contre les créations en double via l'API (§2.11) : exécution du contrat d'abonnement Pro ou Entreprise et, le cas échéant, du contrat d'achat d'un pack de créations : il s'agit de ne pas créer deux fois le même QR code ni décompter deux fois la même création (art. 31 al. 2 let. a nLPD par analogie / art. 6.1.b RGPD si applicable). Pas de consentement distinct requis.

4. Qui a accès à vos données

• En interne : uniquement la ou les personnes opérant le service pour Skyday Sàrl, y compris via le tableau de bord Stripe pour la facturation.
• Vous voyez uniquement les données de votre propre compte et les statistiques agrégées de vos propres QR codes — jamais celles d'un autre titulaire. Cela vaut aussi pour vos clés API et vos packs de créations (§2.5, §2.6).
• Au sein d'un compte comptant plusieurs utilisateurs, les utilisateurs autorisés à voir les QR codes créés par d'autres voient, pour chacun de ces QR codes, le prénom et le nom de l'utilisateur qui l'a créé, ou le nom de la clé API qui l'a créé — jamais son adresse email. Un utilisateur désactivé reste affiché comme auteur de ses QR codes, avec la mention « (désactivé) » ; si un utilisateur est supprimé, ses QR codes restent dans le compte et sont affichés comme créés par un « Ancien membre ».
• Export de la liste et téléchargement des images (plans Pro et Entreprise) : les utilisateurs d'un compte peuvent exporter dans un fichier CSV la liste des QR codes qu'ils voient. Ses colonnes sont : Identifiant, Libellé, Type, URL publique, Destination (QR de type lien), Statut, Scans, « Créé le », Créé par, Étiquettes. La colonne « Créé par » n'apparaît que pour les utilisateurs autorisés à voir les QR codes créés par d'autres. La destination y figure en entier : pour un QR de type email, téléphone ou SMS, elle comprend l'adresse email ou le numéro de téléphone (et, le cas échéant, le message) que vous y avez saisis ; pour un QR de type calendrier, les détails de l'événement. Le fichier ne contient jamais le contenu des cartes de visite ni l'adresse email des utilisateurs. Il est généré par nos serveurs au moment de votre demande et vous est transmis directement, sans être enregistré chez nous. Les utilisateurs peuvent aussi télécharger les images de plusieurs QR codes, réunies dans un fichier ZIP : ces images et ce fichier sont générés directement dans votre navigateur, à partir de l'adresse publique de chaque QR code ; nos serveurs ne les produisent ni ne les conservent. Une fois téléchargés, ces fichiers sont sous la responsabilité du titulaire du compte.
• Les personnes qui scannent un QR de type carte de contact reçoivent les coordonnées que vous avez choisi d'y publier.
• Nous ne vendons aucune donnée, et aucun revendeur ni courtier en données n'a accès à vos données. Les seuls tiers sont nos sous-traitants d'hébergement et de paiement (§6), Google et Gencie pour la mesure d'audience du site public (§2.4, §6.4, §6.5), Google pour la publicité en ligne (§2.8, §6.4) (ces deux traitements uniquement si vous y avez consenti), ainsi que Let's Encrypt si vous utilisez un domaine personnalisé (§2.7, §6.6). Si vous utilisez Stripe Link (§2.3), Stripe partage vos données avec les autres commerçants chez qui vous choisissez de payer via Link, hors de notre relation avec vous, selon les conditions propres de Link.
• Google, pour la mesure d'audience du site public (§2.4) et, selon les catégories que vous avez acceptées, pour la mesure de nos campagnes Google Ads et le remarketing (§2.8), dans les rôles décrits au §6.4.
• Gencie (produit Weboard, société suisse), à qui nous donnons un accès en lecture seule à nos données Google Analytics et Search Console, via une connexion API officielle, afin de les consulter dans un tableau de bord unique. Gencie n'effectue aucune collecte supplémentaire sur ce site : il accède uniquement aux données déjà décrites au §2.4. Cette mention est strictement limitée au module de restitution ("reporting") de Weboard, seul module que nous utilisons ; Weboard propose par ailleurs d'autres fonctionnalités, non activées ici, dont un module d'analyse s'appuyant sur des outils d'intelligence artificielle tiers — ce module n'est pas décrit dans cette politique tant qu'il n'est pas utilisé pour ce site, et une mise à jour serait publiée avant toute activation future.
• Let's Encrypt (Internet Security Research Group, États-Unis), uniquement si vous utilisez un domaine personnalisé : reçoit votre nom d'hôte pour émettre le certificat HTTPS correspondant, et le publie dans les journaux publics Certificate Transparency, consultables par quiconque (§2.7, §6.6).
• Journal technique des appels à l'API Pro/Entreprise (§2.5) : consultable uniquement par Jérôme, uniquement en cas d'investigation. Aucun tiers n'y a accès.
• Données anti-doublon des créations par API (§2.11) : traitées automatiquement, consultées par personne en dehors d'une intervention technique sur le service. Aucun tiers n'y a accès.
• Demandes de support et messages adressés à contact@qrsuisse.ch (§2.9, §2.10) : lus uniquement par la ou les personnes opérant le service pour Skyday Sàrl, sans outil d'intelligence artificielle. Dans votre compte, une demande de support n'est visible que par l'utilisateur qui l'a envoyée. Aucun tiers n'y a accès, en dehors de notre hébergeur Infomaniak, sous-traitant (§6.1).

5. Durée de conservation

• Pendant la relation (pilote, ou abonnement Gratuit/Pro/Entreprise) : votre compte, vos QR codes et leur compteur total sont conservés tant que la relation existe.
• Statistiques journalières : conservées 15 mois glissants, tous plans confondus, puis supprimées automatiquement — première suppression automatisée du service, limitée à ces seules données journalières. Le compteur total n'est pas concerné. Les statistiques d'un QR ou d'un compte supprimé disparaissent avec lui.
• Fin d'un pilote sans suite (règle validée par la gérance de Skyday Sàrl le 2026-09-11, durée précisée le 2026-09-16, applicable aux PME encore en phase pilote) : un pilote se termine officiellement soit lorsque la PME passe à l'abonnement Pro (la règle « Fin de l'abonnement Pro ou Entreprise » ci-dessous s'applique alors — aucune suppression), soit, à défaut, automatiquement 6 mois après son début. Dans ce second cas — pilote arrivé à son terme sans passage à l'abonnement — le compte et les QR codes associés sont supprimés au plus tard 3 mois après cette fin officielle du pilote, sauf instruction contraire de votre part.
• Fin de l'abonnement Pro ou Entreprise, ou réduction du nombre de clés autorisées (ex. Entreprise → Pro) : votre compte n'est pas supprimé — il repasse aux règles du plan Gratuit (après la période de grâce, §2.3), ou conserve un quota de clés réduit, et vous pouvez vous réabonner ou repasser à un plan supérieur à tout moment. Vos clés API en excédent et vos packs de créations non consommés ne sont pas supprimés non plus : ils sont gelés — pour une clé API, un champ technique (frozenAt) est renseigné avec la date du gel, la clé refuse toute authentification avec le même message générique qu'une clé inconnue (anti-énumération), et sa configuration (nom, droits) est conservée ; pour un pack, le solde est conservé tel quel, jamais remis à zéro ni remboursé. Au plan Gratuit, la page « Clés API » n'affiche pas vos clés, et vous ne pouvez ni les consulter, ni les révoquer, ni les régénérer, ni les réactiver tant que vous n'avez pas repris un abonnement Pro ou Entreprise. Au plan Pro ou Entreprise, une clé gelée reste visible dans votre tableau de bord avec un badge « Gelée », et vous pouvez la révoquer, la régénérer ou la réactiver vous-même avec le bouton « Réactiver ». Deux règles de comptage distinctes s'appliquent alors : pour réactiver une clé gelée, seules vos clés actives comptent, et la réactivation est possible tant que leur nombre est inférieur à la limite de votre plan ; pour créer une nouvelle clé, vos clés gelées comptent aussi, tant que vous ne les avez pas révoquées. Une clé réactivée fonctionne immédiatement, avec sa configuration inchangée ; vos autres clés gelées restent gelées. La date de cette réactivation est enregistrée sur la clé, comme ses autres dates de gestion (création, dernière utilisation, régénération, révocation), et conservée avec elle. Tant que votre plan ne change pas, aucune clé gelée n'est réactivée automatiquement : ni le renouvellement de votre abonnement, ni la révocation d'une autre clé, ni la régénération (rotation) de la clé gelée elle-même ne la réactivent. Vos packs gelés redeviennent utilisables dès que votre compte repasse au plan Pro ou Entreprise. Vos clés gelées, elles, ne redeviennent actives automatiquement et immédiatement que lorsque vous passez à un plan qui autorise davantage de clés actives (reprise d'un abonnement Pro ou Entreprise, ou passage de Pro à Entreprise — voir §9.5 et §9.6 des CGU/CGV), dans la limite du nouveau plan : d'abord les clés gelées le plus récemment (en pratique, celles qui étaient actives juste avant le dernier gel), puis les autres ; dans chacun de ces deux groupes, les plus anciennes (par date de création) en premier. Clés et packs ne sont supprimés que si le compte lui-même est supprimé (ci-dessous, ou §15.1 des CGU/CGV).
• Domaine personnalisé (§2.7) : sa configuration (nom d'hôte, jeton de vérification, statut et dates) est conservée tant que votre compte existe, y compris au plan Gratuit après la fin d'un abonnement payant, pour que le domaine puisse redevenir actif si vous reprenez un abonnement. Elle est supprimée immédiatement si vous retirez le domaine depuis le tableau de bord, ce qui est possible à tout moment, quel que soit votre plan, et avec votre compte dans tous les cas de suppression décrits dans cette section. Le certificat HTTPS du domaine, document public qui ne contient que le nom d'hôte, est conservé sur notre passerelle (§6.1) ; chaque certificat est valable 90 jours au plus. Les journaux techniques de la passerelle sont conservés le temps nécessaire à l'exploitation et à la sécurité du service. Exception : la publication du nom d'hôte dans les journaux publics Certificate Transparency est définitive (§2.7) ; Let's Encrypt conserve en outre ses propres journaux selon sa politique de confidentialité (§6.6).
• Compte Gratuit inactif (mécanisme implémenté et actif) : un compte du plan Gratuit est considéré inactif après 6 mois sans connexion ni scan d'un de ses QR codes ; ce délai repart entièrement à zéro à la moindre connexion ou au moindre scan. À mesure que ce délai s'écoule, vous êtes averti par une série d'e-mails : relances aux mois 1, 2, 3 et 4 d'inactivité, avertissement explicite au mois 5, puis rappels à J-7, J-2 et J-1 avant l'échéance des 6 mois. À l'échéance (J0), nous vous envoyons une annonce de suppression accompagnée d'un lien de récupération valable 30 jours, et votre compte passe en état « en attente de suppression définitive » : vos données (compte, QR codes, statistiques) restent intactes mais ne sont plus accessibles que par ce lien de récupération. Si vous ne réactivez pas votre compte dans ce délai supplémentaire de 30 jours, il est supprimé de façon définitive et irréversible — compte, QR codes et statistiques.
• Données de mesure d'audience du site public (GA4) : données détaillées de chaque visite conservées 2 mois ; données rattachées à l'identifiant de votre navigateur conservées 14 mois au plus ; durées réglées dans la configuration de Google Analytics 4, puis suppression selon le mécanisme propre à cet outil (voir §2.4 pour le détail).
• Cookies publicitaires déposés sur notre domaine (§2.8) : 90 jours au plus à compter de leur dépôt, puis supprimés automatiquement par votre navigateur ; supprimés immédiatement si vous retirez votre consentement à la catégorie « Publicité ». Les données que Google reçoit dans le cadre de Google Ads sont conservées par Google selon sa propre politique (§6.4).
• Appartenance à une liste de remarketing (§2.8) : 90 jours au plus après votre dernière visite correspondante pour les listes que nous utilisons pour nos annonces, durée réglée dans leur configuration ; la liste de tous les visiteurs que Google Analytics tient automatiquement, que nous n'utilisons jamais pour nos annonces, suit la durée fixée par Google ; après un retrait de votre consentement à la catégorie « Remarketing » ou « Publicité », plus aucune visite ne vous y ajoute.
• Votre choix dans la bannière de cookies : mémorisé 6 mois dans un cookie technique de notre site, qui ne contient que vos choix. La bannière vous est ensuite présentée à nouveau.
• Journal technique des appels à l'API Pro/Entreprise (§2.5) : conservé 12 mois glissants, avec une purge automatique quotidienne des entrées plus anciennes.
• Données anti-doublon des créations par API (§2.11) : prises en compte pendant 24 heures après la création, puis supprimées par une purge automatique quotidienne, au plus tard 72 heures après la création ; supprimées en tout cas avec votre compte.
• Demandes de support (§2.9) : vous pouvez marquer une demande comme résolue à tout moment (plans Pro et Entreprise) ; à défaut, une demande à laquelle nous avons répondu est close automatiquement si vous n'y avez pas écrit dans les 30 jours qui suivent notre dernière réponse. Un nouveau message, de votre part ou de la nôtre, rouvre une demande close. Chaque demande est conservée 24 mois après sa dernière fermeture, par vous, par nous ou automatique (pour une demande ouverte, y compris rouverte, 24 mois après sa dernière modification), puis supprimée automatiquement, avec ses messages et la trace interne de nos interventions. Elle est en tout cas supprimée, avec cette trace, en même temps que votre compte.
• Messages adressés à contact@qrsuisse.ch (§2.10) : conservés 12 mois après notre dernier échange avec vous, puis supprimés lors de notre suppression trimestrielle, soit au plus tard 15 mois après ce dernier échange. Ils ne dépendent pas de l'existence d'un compte et suivent cette durée propre.
• Sur simple demande, à tout moment (droit à l'effacement, §8) : suppression du compte sous 30 jours maximum à compter de votre demande. Une fois celle-ci traitée par notre équipe, la suppression — compte, QR codes, statistiques, clés API, packs de créations, données anti-doublon des créations par API, configuration de domaine personnalisé, demandes de support (avec la trace interne de nos interventions) et fiche client chez Stripe (nom, email, adresse, moyens de paiement) — intervient dans la foulée, via le même mécanisme technique que la suppression automatique des comptes Gratuit inactifs (ci-dessus) ; Stripe n'en conserve plus qu'un identifiant technique, sans aucune donnée d'identification. Les factures déjà émises restent conservées indépendamment (voir « Factures et historique de paiement » ci-dessous), car Stripe fige nom/email/adresse sur chaque facture au moment de son émission — cette conservation comptable n'est pas affectée par la suppression de la fiche client. Les données Link, le cas échéant, restent gérées selon les conditions propres à Link, indépendamment de cette suppression. La publication du nom d'hôte d'un domaine personnalisé dans les journaux publics Certificate Transparency, le cas échéant, ne peut pas être effacée (§2.7). Les messages échangés avec nous à contact@qrsuisse.ch, y compris votre demande de suppression, suivent leur propre durée de conservation (ci-dessus).
• Factures et historique de paiement : conservés 10 ans (obligation comptable, art. 958f CO), chez Stripe et dans la comptabilité de Skyday Sàrl — même après la suppression de votre compte. Ils ne comportent que les éléments d'une facture (email, plan, montant, date), jamais de données de carte.
• Empreinte IP transitoire de déduplication : 5 secondes maximum, jamais persistée (§2.2).
• Lien de réinitialisation de mot de passe (§2.1) : valable 60 minutes lorsque vous le demandez vous-même via « Mot de passe oublié ? » (24 heures lorsqu'un administrateur de votre compte le déclenche pour vous), et à usage unique — chaque nouvelle demande annule le lien précédent. Nous n'en conservons que l'empreinte cryptographique : elle est effacée dès que le lien est utilisé ; à défaut, le lien cesse d'être utilisable à l'expiration de sa durée de validité, et son empreinte, devenue inutile, est écrasée par celle d'une éventuelle nouvelle demande ou supprimée avec le compte.
• Adresse saisie dans « Mot de passe oublié ? » et compteurs anti-abus : l'adresse saisie n'est pas conservée. Les empreintes non réversibles servant à limiter les demandes en série sont gardées en mémoire du serveur uniquement, sur une fenêtre de 60 minutes, jamais persistées (§2.1).
• Comptes de test sur l'environnement de validation (« staging ») : conservés le temps de la fenêtre de test annoncée, puis supprimés au plus tard 30 jours après la clôture de cette fenêtre.

Justification : la relation commerciale par abonnement n'est plus bornée dans le temps comme l'était le pilote ; sans règle d'inactivité, la conservation deviendrait illimitée par défaut, contraire au principe de proportionnalité (art. 6 al. 2-4 nLPD). La rétention de 15 mois des statistiques journalières et la règle d'inactivité à 6 mois (avec sa cascade d'avertissements par e-mail et son délai de récupération de 30 jours) bornent cette conservation ; la conservation de 10 ans des factures est une obligation légale, pas un choix. Le gel (plutôt que la suppression) des clés API et des packs de créations — à la fin d'un abonnement payant ou lors de toute réduction du nombre de clés autorisées par un changement de plan — suit le même principe de réversibilité que la période de grâce Pro→Gratuit, sans créer de nouvelle donnée conservée indéfiniment : l'état gelé n'est qu'un indicateur sur une donnée déjà existante (la clé ou le pack), et la date de réactivation d'une clé n'est qu'une date de gestion de plus sur cette même clé ; l'un et l'autre, comme le solde gelé, restent bornés par la durée de vie du compte lui-même (ci-dessus). La conservation de la configuration du domaine personnalisé après la fin d'un abonnement payant suit le même principe de réversibilité ; vous pouvez y mettre fin à tout moment en retirant le domaine, et elle reste bornée par la durée de vie du compte, donc, pour un compte Gratuit, par la règle d'inactivité. La suppression pour inactivité d'un compte Gratuit est désormais un mécanisme automatisé, vérifié techniquement ; la suppression liée à la fin d'un pilote reste, à ce jour, une action réalisée par Skyday Sàrl.

6. Hébergement et sous-traitants

6.1 Infomaniak (hébergement, Suisse)

Vos données de compte, vos QR codes, vos statistiques, vos clés API, vos packs de créations, la configuration de votre domaine personnalisé, vos demandes de support et les identifiants d'abonnement conservés par nous sont hébergés exclusivement en Suisse, chez Infomaniak :

• Serveur applicatif (production) : Jelastic Cloud, Genève (DC2).
• Base de données (production) : hébergement Infomaniak distinct (MariaDB).
• Passerelle des domaines personnalisés (production) : serveur Infomaniak distinct, Genève (DC2). Elle reçoit les scans adressés à un domaine personnalisé, détient les certificats HTTPS correspondants et transmet les requêtes au serveur applicatif (§2.7).

Infomaniak agit comme sous-traitant au sens de l'art. 9 nLPD / art. 28 RGPD. Skyday Sàrl a conclu avec Infomaniak, le 29 septembre 2026, un accord de sous-traitance (DPA) couvrant à la fois la nLPD et le RGPD. Cet accord s'applique à l'ensemble des services Infomaniak utilisés par Skyday Sàrl pour QR Suisse : hébergement des environnements de production et de validation (§6.3), passerelle des domaines personnalisés, bases de données, envoi des emails de service et boîte de messagerie contact@qrsuisse.ch (ci-dessous).

Messagerie (emails de service). Les emails de service que notre application vous envoie (notamment : lien de réinitialisation et notification de changement de mot de passe, invitation à rejoindre un compte, messages liés à l'inactivité d'un compte, rappel d'un choix du plan Pro non finalisé, avis de réponse à vos demandes de support, sans leur contenu) sont émis via le service de messagerie (relais SMTP) d'Infomaniak, également hébergé en Suisse. Ce relais achemine donc l'adresse du destinataire et le contenu de ces emails — y compris, pour une réinitialisation, le lien à usage unique — le temps de leur envoi ; Infomaniak intervient ici aussi comme sous-traitant, dans le cadre de l'accord de sous-traitance décrit ci-dessus. Les emails liés à l'abonnement (reçus, factures, échec de paiement) sont, eux, envoyés par Stripe (§2.3). La boîte contact@qrsuisse.ch, qui reçoit les messages que vous nous adressez (§2.10) et nos alertes de support (§2.9), est hébergée par le service de messagerie d'Infomaniak, en Suisse, dans le cadre du même accord de sous-traitance.

6.2 Stripe (paiement et abonnement)

Le paiement, la gestion de l'abonnement (portail client) et l'envoi des reçus et factures sont assurés par Stripe Payments Europe, Limited, Dublin, Irlande (société du groupe Stripe, dont la maison mère est aux États-Unis). Stripe intervient à trois titres :

• comme sous-traitant de Skyday Sàrl pour la gestion de votre abonnement (Pro ou Entreprise) et de vos achats de packs de créations, dans le cadre du Data Processing Agreement de Stripe (stripe.com/legal/dpa), intégré à son contrat de services ;
• comme responsable de traitement indépendant pour le traitement des paiements proprement dit — détection de la fraude, respect de ses obligations légales et réglementaires (lutte contre le blanchiment, identification), amélioration de ses services. Pour cette part, c'est la politique de confidentialité de Stripe qui s'applique : stripe.com/privacy ;
• comme responsable de traitement indépendant, également, pour Stripe Link (§2.3) — selon les conditions et la politique de confidentialité propres à Link (stripe.com/legal/link, link.com/privacy).

Stripe fait appel à ses propres sous-traitants et sociétés affiliées, dont la liste est publiée à l'adresse stripe.com/legal/service-providers. Les transferts hors de Suisse qui en résultent sont décrits au §7.

6.3 Environnement de validation (« staging »)

En complément de l'environnement de production, Skyday Sàrl peut utiliser un second environnement Infomaniak, distinct mais équivalent en nature (Jelastic Cloud Genève DC2 + base MariaDB distincte, même code applicatif, mêmes mesures de sécurité), pour tester une fonctionnalité avant sa mise en production. Cet environnement n'est accessible qu'à la gérance de Skyday Sàrl et, ponctuellement et sur invitation, à un nombre restreint de titulaires participant à un test (« key users ») — jamais en accès public, son adresse n'est ni publiée ni indexée. Stripe y fonctionne en mode test uniquement (aucune donnée bancaire réelle). Si vous y participez, voir §2.1 et §5.

6.4 Google (mesure d'audience et publicité, sur consentement)

Nous utilisons deux services de Google Ireland Limited (Dublin, Irlande), dont la société mère est Google LLC (États-Unis). Ils ne s'appliquent qu'à notre site public et au parcours d'inscription, jamais à votre tableau de bord une fois connecté, et uniquement dans la mesure des catégories que vous avez acceptées :

• Google Analytics 4 (mesure d'audience, §2.4). Pour ce service, Google agit comme sous-traitant de Skyday Sàrl, dans le cadre des conditions de Google relatives au traitement des données (Google Ads Data Processing Terms, qui couvrent aussi Google Analytics) : il traite ces données pour nous fournir les statistiques. Nous n'avons pas activé le partage des données de Google Analytics avec Google pour ses propres produits et services.
• Google Ads (mesure des conversions publicitaires et remarketing, §2.8). Pour les données qu'il reçoit dans ce cadre, y compris les conversions et, si vous avez accepté le remarketing, les listes d'audience que Google Analytics transmet à notre compte Google Ads, Google agit comme responsable de traitement, selon les Google Ads Controller-Controller Data Protection Terms. Il les utilise aussi pour ses propres finalités, notamment pour fournir, mesurer, améliorer et sécuriser ses services publicitaires et lutter contre la fraude, selon sa politique de confidentialité (policies.google.com/privacy).

Collecte sur notre site : responsabilité conjointe. Pour la collecte des données publicitaires sur notre site et leur transmission à Google, Skyday Sàrl et Google peuvent être considérées comme responsables conjointes. Chacune répond seule des traitements qu'elle effectue ensuite pour son propre compte. Les rôles sont répartis ainsi :

• Skyday Sàrl décide d'utiliser Google Ads sur son site public et choisit les catégories soumises à votre consentement ; vous informe (la présente politique et la bannière de cookies) ; recueille votre consentement, globalement ou catégorie par catégorie, l'enregistre pour chaque catégorie et le communique à Google à chaque visite ; empêche techniquement toute transmission à Google Ads sans votre consentement ; règle les listes de remarketing qu'elle utilise pour ses annonces (pages utilisées, durée de 90 jours au plus, exclusion des personnes inscrites) ; et reste votre interlocuteur pour l'exercice de vos droits.
• Google fournit les outils, reçoit les données et détermine seul les traitements qu'il effectue ensuite pour son propre compte (§2.8) ; il en répond seul et vous en informe dans sa propre politique de confidentialité.

Vous pouvez exercer vos droits auprès de Skyday Sàrl comme auprès de Google, quel que soit le traitement concerné (§8). Nous traitons nous-mêmes ce qui relève de notre site et de notre compte Google Ads ; si votre demande porte sur un traitement que Google effectue pour son propre compte, nous vous indiquons comment l'adresser à Google.

Voir §7 pour le transfert de données que cela implique.

En dehors de ces cas, aucun autre prestataire ne traite vos données personnelles, à l'exception de Gencie (§6.5) et, si vous utilisez un domaine personnalisé, de Let's Encrypt (§6.6). Le développement du service s'appuie sur des outils d'assistance au développement logiciel (dont un assistant IA), mais ces outils n'ont accès à aucune donnée personnelle réelle — ils interviennent uniquement sur le code source et la documentation du projet.

6.5 Gencie (Weboard) — consultation en lecture de nos rapports d'audience

Pour consulter les statistiques d'audience de notre site (§2.4) dans un tableau de bord unique, nous utilisons Weboard, un produit de Gencie, société suisse. Gencie se connecte en lecture seule à notre compte Google Analytics 4 (et Search Console) via une API officielle — il ne dépose aucun cookie ni traceur supplémentaire sur ce site et ne collecte aucune donnée nouvelle : il consulte les données déjà décrites au §2.4. Gencie agit comme sous-traitant pour ce traitement, dans le cadre d'un contrat de sous-traitance conforme à la nLPD/au RGPD. L'infrastructure principale de Weboard est hébergée en Suisse (Infomaniak).

Cette description est strictement limitée au module de restitution ("reporting") de Weboard, seul module que nous utilisons à ce jour. Weboard propose d'autres fonctionnalités non activées pour ce site, dont un module d'analyse s'appuyant sur des outils d'intelligence artificielle tiers établis hors de Suisse ; ce module impliquerait, s'il était activé un jour, un transfert de données vers d'autres pays, qui serait alors documenté ici avant son activation, avec la vérification de garantie correspondante — pas rétroactivement.

6.6 Let's Encrypt (certificats HTTPS des domaines personnalisés)

Les certificats HTTPS des domaines personnalisés (§2.7) sont émis par Let's Encrypt, autorité de certification exploitée par l'Internet Security Research Group (ISRG), organisation à but non lucratif établie aux États-Unis. Let's Encrypt n'agit pas sur nos instructions : il émet les certificats selon ses propres conditions et selon les règles qui s'imposent à toute autorité de certification publique, dont la publication de chaque certificat dans les journaux Certificate Transparency. Il est donc responsable de traitement indépendant pour le traitement qu'il fait du nom d'hôte. Il ne reçoit de nous que ce nom d'hôte, jamais vos autres données. Sa politique de confidentialité : letsencrypt.org/privacy. Voir §7 pour le transfert que cela implique.

7. Transferts de données hors de Suisse

• Compte, QR codes, statistiques, état de l'abonnement, clés API, packs de créations, journal technique des appels à l'API, données anti-doublon des créations par API, configuration de domaine personnalisé, demandes de support et messages adressés à contact@qrsuisse.ch (§2.5, §2.6, §2.7, §2.9, §2.10, §2.11) : aucun transfert — hébergement Infomaniak en Suisse (production et validation).
• Données de paiement et d'abonnement confiées à Stripe (§2.3, §2.6) : transférées vers l'Irlande (Stripe Payments Europe Ltd), puis, pour les besoins de Stripe et de ses sous-traitants, vers d'autres pays, dont les États-Unis (Stripe, Inc.). Bases juridiques :
  • Irlande : État membre de l'UE, reconnu par le Conseil fédéral comme assurant un niveau de protection adéquat (annexe 1 de l'ordonnance sur la protection des données — art. 16 al. 1 nLPD).
  • États-Unis : Swiss-U.S. Data Privacy Framework, reconnu par le Conseil fédéral comme assurant un niveau de protection adéquat pour les entreprises américaines certifiées, en vigueur depuis le 15 septembre 2024 ; Stripe déclare sa certification à ce cadre (stripe.com/legal/data-privacy-framework). À titre de garantie complémentaire, le DPA de Stripe incorpore les clauses contractuelles types applicables lorsque ce cadre ne s'applique pas.
  • Autres pays des sous-traitants de Stripe : garanties contractuelles prévues par le DPA de Stripe.
• Si vous utilisez Stripe Link : vos données peuvent être transférées et réutilisées selon les conditions propres à Link, hors de notre relation contractuelle avec Stripe (§2.3, §6.2).
• Données confiées à Google (§2.4, §2.8), uniquement si vous avez consenti à la mesure d'audience, à la publicité ou au remarketing : transférées vers l'Irlande (Google Ireland Limited) et vers les États-Unis (Google LLC). Bases juridiques :
  • Irlande : État membre de l'UE, reconnu par le Conseil fédéral comme assurant un niveau de protection adéquat (annexe 1 de l'ordonnance sur la protection des données ; art. 16 al. 1 nLPD).
  • États-Unis : Swiss-U.S. Data Privacy Framework, reconnu par le Conseil fédéral comme assurant un niveau de protection adéquat pour les entreprises américaines certifiées. La certification de Google LLC à ce cadre (y compris son volet suisse) est active, vérifiée le 2026-10-14 sur le registre officiel (dataprivacyframework.gov).
• Nom d'hôte de votre domaine personnalisé (§2.7, §6.6), uniquement si vous utilisez cette fonctionnalité : transmis à Let's Encrypt (ISRG) aux États-Unis pour l'émission du certificat, puis publié dans les journaux Certificate Transparency, consultables dans le monde entier. Ce transfert ne repose pas sur une décision d'adéquation, mais sur les exceptions prévues par la loi : il est en relation directe avec l'exécution du contrat qui nous lie, puisque le certificat est indispensable au fonctionnement du domaine personnalisé que vous avez choisi d'activer (art. 17 al. 1 let. b ch. 1 nLPD) ; de plus, ce nom d'hôte a déjà été rendu accessible à tout un chacun par vous-même, dans le DNS public (art. 17 al. 1 let. e nLPD). Si le RGPD s'applique : art. 49 par. 1 let. b RGPD.
• Gencie (§6.5), qui consulte nos rapports d'audience en lecture seule, héberge l'infrastructure du module de reporting que nous utilisons en Suisse (Infomaniak) : cela n'entraîne, pour ce module précis, aucun transfert supplémentaire hors de Suisse.

RGPD : le service est proposé en inscription libre-service à des particuliers et à des entreprises, majoritairement en Suisse, et nos campagnes publicitaires ne sont diffusées qu'en Suisse. Le RGPD peut néanmoins s'appliquer en complément de la nLPD lorsqu'une personne située dans l'Union européenne est concernée par un traitement, par exemple lorsqu'elle visite notre site public et accepte la mesure d'audience (§2.4) ou la publicité (§2.8). Vous bénéficiez alors des droits décrits au §8. Les accords de sous-traitance d'Infomaniak (§6.1) et de Stripe (§6.2) couvrent également le RGPD.

8. Vos droits

Que vous soyez titulaire ou utilisateur d'un compte, personne qui nous a écrit à contact@qrsuisse.ch, personne figurant sur une carte de contact publiée par un titulaire, visiteur du site public ayant consenti à la mesure d'audience (§2.4) ou à la publicité (§2.8), ou simplement une personne dont l'IP a été traitée transitoirement lors d'un scan (voir §2.2 et, pour un scan passant par un domaine personnalisé, les journaux techniques de la passerelle décrits au §2.7 — dans ce dernier cas, l'absence de toute donnée identifiante limite en pratique l'exercice de ces droits), vous disposez des droits suivants, tels que prévus par la loi fédérale suisse sur la protection des données (nLPD) et, lorsque le RGPD s'applique en complément (voir §7), par ce règlement :

• Droit d'accès (art. 25 nLPD) : obtenir la confirmation que des données vous concernant sont traitées, et une copie de ces données.
• Droit de rectification (art. 32 al. 1 nLPD) : faire corriger une donnée inexacte (ex. adresse email) ; si l'exactitude d'une donnée ne peut être établie, vous pouvez demander qu'une mention de son caractère litigieux y soit ajoutée.
• Droit à l'effacement et à l'interdiction d'un traitement déterminé, par le biais de l'action en protection de la personnalité (art. 32 al. 2 nLPD, renvoyant aux art. 28, 28a et 28g à 28l du Code civil) : vous pouvez demander la suppression de votre compte et des données associées (voir §5 pour les délais et pour les pièces comptables que la loi nous oblige à conserver), l'interdiction d'un traitement déterminé de vos données, ou l'interdiction de leur communication à un tiers déterminé. Ce droit ne peut pas s'appliquer à la publication du nom d'hôte d'un domaine personnalisé dans les journaux publics Certificate Transparency, qui est définitive (§2.7). Pour la mesure d'audience (§2.4), la publicité et le remarketing (§2.8), ce droit s'exerce simplement en refusant ou en retirant votre consentement, catégorie par catégorie. Retirer votre consentement au remarketing n'affecte ni la mesure d'audience ni la mesure des conversions. Retirer votre consentement à la publicité met aussi fin au remarketing, sans affecter la mesure d'audience. Retirer votre consentement à la mesure d'audience met fin à la mesure des conversions et au remarketing, qui passent par Google Analytics (§2.8).
• Droit à la portabilité (art. 28 nLPD), lorsque les conditions légales sont réunies (traitement automatisé de données que vous nous avez communiquées, dans le cadre de votre consentement ou de l'exécution du contrat) : vos QR codes et leurs statistiques peuvent vous être remis, ou transmis à un autre responsable de traitement, dans un format électronique couramment utilisé, sur demande.
• Lorsque le RGPD s'applique (personne résidant dans l'Union européenne concernée par un traitement, voir §7) : vous disposez en complément, pour ce traitement, du droit d'opposition (art. 21 RGPD) et du droit à la limitation du traitement (art. 18 RGPD), tels que définis par ce règlement. Le droit suisse ne nomme pas ces deux droits séparément ; leur substance — faire cesser ou circonscrire un traitement déterminé — est couverte, pour l'ensemble des titulaires, par l'action en protection de la personnalité décrite ci-dessus.

Pour exercer l'un de ces droits, contactez contact@qrsuisse.ch. Nous répondons dans les délais prévus par la nLPD et, le cas échéant, le RGPD. Si vous avez envoyé une demande de support, vous pouvez la consulter à tout moment dans « Mes demandes » (§2.9) ; si votre accès a été désactivé, écrivez-nous à cette même adresse pour obtenir vos demandes. Pour les données que Stripe traite en son nom propre (§6.2), y compris pour Link, vous pouvez aussi vous adresser directement à Stripe (ou à Link) selon les modalités de leurs politiques de confidentialité respectives. Pour les données que Google traite en son nom propre, notamment dans le cadre de Google Ads (§2.8, §6.4), vous pouvez également vous adresser directement à Google selon sa propre politique de confidentialité ; pour la collecte effectuée sur notre site, vous pouvez vous adresser à nous comme à Google (§6.4).

Vous disposez également du droit de saisir l'autorité de contrôle compétente — en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT), https://www.edoeb.admin.ch ; si le RGPD s'applique à votre situation (§7), également l'autorité de contrôle compétente de votre État de résidence dans l'Union européenne.

9. Sécurité de vos données

Des mesures techniques et organisationnelles sont en place pour protéger vos données : hachage des mots de passe (bcrypt, facteur de coût 12), sessions chiffrées, limitation des tentatives de connexion et des demandes de renouvellement de mot de passe, HTTPS/HSTS, validation stricte des données saisies, en-têtes de sécurité HTTP (dont une politique de sécurité du contenu stricte). Pour la réinitialisation du mot de passe : lien à usage unique et de durée limitée (60 minutes), dont seule l'empreinte est stockée ; réponse identique que le compte existe ou non ; fermeture des sessions ouvertes et email de notification après tout changement ; l'adresse du lien n'est transmise ni à l'outil de mesure d'audience ni à un site tiers (aucune mesure sur ces pages, en-tête « Referer » désactivé). Pour le paiement : aucune donnée de carte ne transite par nos serveurs ; les notifications envoyées par Stripe à notre application sont signées et vérifiées ; l'accès de notre application à Stripe utilise une clé aux permissions restreintes. Pour la mesure d'audience (§2.4), la publicité et le remarketing (§2.8) : aucun outil Google ne se charge et aucune requête n'est envoyée à Google avant votre consentement explicite (mode de consentement de base) ; les catégories « Publicité » et « Remarketing » sont refusées par défaut ; tant que « Publicité » n'est pas acceptée, Google Analytics reçoit l'instruction de ne déposer aucun cookie publicitaire et de ne transmettre aucune donnée à Google Ads ; tant que « Publicité » et « Remarketing » ne sont pas toutes deux acceptées, il reçoit l'instruction de ne pas utiliser vos visites pour la publicité personnalisée ; aucun outil Google ne se charge hors du site public et du parcours d'inscription ; un refus ou un retrait est immédiatement et symétriquement respecté ; l'adresse IP est anonymisée avant tout enregistrement dans Google Analytics ; le suivi d'abandon de formulaire ne capture jamais la valeur saisie dans un champ. Pour le journal technique des appels à l'API Pro/Entreprise (§2.5) : aucun secret ni empreinte d'authentification n'y figure, aucune adresse IP n'y est enregistrée, même hachée, et l'identifiant de ressource journalisé n'est pas énumérable. Pour les packs de créations API (§2.6) : l'achat est confié à Stripe selon les mêmes garanties que l'abonnement (aucune donnée de carte ne transite par nos serveurs), et un mécanisme technique garantit qu'un même paiement ne peut jamais créer deux fois le même pack. Pour le domaine personnalisé (§2.7) : notre passerelle n'obtient un premier certificat pour un domaine qu'avec l'autorisation de notre application, qui ne la donne qu'aux domaines vérifiés de comptes à un plan payant ; un domaine n'est vérifié qu'après une double vérification DNS effectuée par nos serveurs (enregistrement CNAME et jeton TXT aléatoire prouvant le contrôle du domaine), ce qui empêche un tiers de revendiquer un nom qu'il ne contrôle pas ; un même nom d'hôte ne peut être rattaché qu'à un seul compte ; un domaine personnalisé ne sert que les QR codes du compte auquel il est rattaché. Pour les demandes de support (§2.9) : dans le compte, chaque demande n'est accessible qu'à l'utilisateur qui l'a envoyée ; les e-mails de notification et d'alerte ne contiennent ni l'objet ni le texte des demandes ; un passage effacé est remplacé dans notre base de données, et pas seulement masqué à l'affichage. Pour la protection contre les créations en double (§2.11) : seules des empreintes calculées avec une clé secrète sont conservées, jamais la valeur de l'en-tête ni le contenu de la demande ; la reconnaissance est limitée à la clé API qui a créé le QR code ; la création, le décompte du quota et l'enregistrement anti-doublon forment une seule opération, réalisée en entier ou pas du tout. Ces mesures s'appliquent identiquement sur l'environnement de production et sur l'environnement de validation (même code déployé), à l'exception de la passerelle des domaines personnalisés, qui n'existe qu'en production. En cas de violation de données vous concernant, une procédure de gestion des violations de données s'applique.

10. Modifications de cette politique

Cette politique peut être mise à jour si le service évolue (nouvelle fonctionnalité traitant des données personnelles, changement d'hébergeur ou de prestataire de paiement, etc.). Toute modification substantielle fera l'objet d'une communication aux titulaires de compte. La version en vigueur est toujours celle publiée dans l'application.