En résumé. Nuvy collecte le minimum d'informations nécessaires au fonctionnement de votre carte de fidélité : prénom, nom, téléphone. Aucune publicité, aucun cookie de tracking, aucune revente de données. Vos données restent en Europe pour la base, et transitent vers Apple et Google uniquement pour le service Wallet.
Le commerçant chez qui vous avez créé votre carte est responsable de traitement. Nuvy agit comme sous-traitant technique (article 28 RGPD).
La présente politique s'applique aux traitements de données personnelles effectués par Nuvy SASU (RCS Pontoise 104 162 219, siège social 4 rue des Chardonnerets, 95220 Herblay-sur-Seine) dans le cadre de l'exploitation du site nuvy.pro et de la solution SaaS de fidélité digitale Nuvy.
Nuvy n'a pas désigné de Délégué à la protection des données (DPO), n'y étant pas tenue. Pour toute question relative à vos données personnelles, vous pouvez écrire à contact@nuvy.pro.
Lorsque vous créez une carte de fidélité Nuvy chez un commerçant partenaire :
Pour les données du commerçant lui-même (compte d'accès, facturation, prospection commerciale), Nuvy agit en tant que responsable de traitement autonome.
Pour exercer vos droits, vous pouvez contacter directement le commerçant ou Nuvy à contact@nuvy.pro — Nuvy relaiera la demande au commerçant si nécessaire.
Nuvy applique le principe de minimisation : seules les données strictement nécessaires sont collectées.
Aucune adresse postale, aucune adresse email, aucune date de naissance, aucune information sur le sexe, aucune information bancaire ne sont collectées auprès du client final.
| Finalité du traitement | Base légale | Source |
|---|---|---|
| Tenir le programme de fidélité : enregistrer les passages, calculer les tampons, gérer les récompenses | Exécution du contrat (art. 6.1.b RGPD) | Inscription du client |
| Notifications transactionnelles : mise à jour de la carte Wallet après chaque passage, information de service (changement d'horaire, fermeture exceptionnelle) | Exécution du contrat (art. 6.1.b) | Inscription du client |
| Notifications marketing : promotions, événements, nouveautés du commerçant | Consentement (art. 6.1.a RGPD + art. L34-5 CPCE) | Case opt-in distincte |
| Statistiques anonymisées du programme pour le commerçant (agrégats : heures de pointe, taux de rétention) | Intérêt légitime du commerçant à piloter son activité (art. 6.1.f) | — |
| Sécurité et lutte contre la fraude (rate limiting, détection d'usages anormaux) | Intérêt légitime (art. 6.1.f) | — |
| Facturation et obligations comptables (commerçants uniquement) | Obligation légale (art. 6.1.c) | Souscription |
| Prospection commerciale par Nuvy (commerçants uniquement) | Intérêt légitime (B2B) | — |
Vos données sont accessibles uniquement à Nuvy (équipe technique), au commerçant chez qui vous avez créé la carte, et aux sous-traitants techniques listés ci-dessous. Aucune donnée n'est revendue, louée ou cédée à des tiers à des fins commerciales.
| Sous-traitant | Service rendu | Localisation | Garantie |
|---|---|---|---|
| Supabase, Inc. | Base de données et stockage de fichiers | Région eu-west-3 (Paris) | Données dans l'UE |
| Railway Corporation | Hébergement de l'application web et de l'API | États-Unis | Clauses contractuelles types (CCT) art. 46.2.c RGPD |
| Apple Inc. | Service Apple Wallet et notifications push (APNs) | États-Unis | Dérogation art. 49.1.b RGPD (exécution du contrat à la demande de la personne concernée) |
| Google LLC | Service Google Wallet et notifications associées | États-Unis | Dérogation art. 49.1.b RGPD |
| Stripe Payments Europe Ltd | Encaissement des abonnements commerçants | Irlande (UE) | Données dans l'UE pour le traitement principal |
| Meta Platforms Ireland Ltd | Messagerie WhatsApp Business pour le contact commercial (commerçants uniquement) | Irlande (UE) / États-Unis | CCT art. 46.2.c RGPD |
Certains traitements impliquent des transferts de données vers les États-Unis :
Nuvy s'engage à informer ses utilisateurs de toute évolution réglementaire significative concernant ces transferts (notamment en cas de remise en cause du Data Privacy Framework ou des CCT par la jurisprudence européenne).
| Catégorie de données | Durée active | Archivage |
|---|---|---|
| Données de fidélité du client final | 3 ans après la dernière interaction (dernier passage en boutique) | — |
| Données de consentement (preuve) | 3 ans après le retrait du consentement ou la suppression du compte | — |
| Données du compte commerçant après résiliation | 60 jours (export possible) | Données de facturation : 10 ans (art. L123-22 C. com.) |
| Logs serveur (adresses IP, requêtes techniques) | 7 jours glissants | — |
| Sauvegardes Supabase (Point-in-Time Recovery) | 7 jours | — |
À l'issue de ces durées, les données sont effacées des bases de production. Les données comptables liées aux factures émises auprès des commerçants sont archivées 10 ans conformément à l'article L123-22 du Code de commerce.
Nuvy met en œuvre des mesures techniques et organisationnelles proportionnées aux risques :
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Nuvy en informera la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées dans les meilleurs délais.
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
Pour exercer ces droits, écrivez à contact@nuvy.pro en précisant votre demande et le numéro de téléphone associé à votre carte (pour vous identifier). Nous vous répondrons dans un délai maximum d'un mois.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) — cnil.fr/fr/plaintes.
Le service Nuvy est ouvert aux personnes majeures. Les mineurs de 15 ans et plus peuvent créer une carte avec l'accord de leur représentant légal. Nuvy ne procède à aucun ciblage publicitaire envers les mineurs.
Si un parent ou tuteur légal estime qu'un mineur a créé une carte sans son consentement, il peut demander la suppression immédiate des données à contact@nuvy.pro.
La présente politique peut être mise à jour pour refléter des évolutions techniques, réglementaires ou d'organisation interne. La date de dernière mise à jour figure en tête de document. Toute modification substantielle (changement de finalité, ajout d'un sous-traitant majeur, modification de durée de conservation) sera notifiée :
Vous pouvez à tout moment consulter la version en vigueur sur cette page.
Pour toute question relative à vos données personnelles, exercer vos droits, ou signaler un incident :