Cette politique explique comment nous collectons, utilisons, partageons et protégeons les données personnelles lorsque vous utilisez QRkit.io.
Mise à jour:
Contrôleur : marc.IT digital solution
Propriétaire / Personne responsable : Marc Wolf
Adresse : Rehleite 1, 95326 Kulmbach, Allemagne
Courriel : [email protected]
Demandes de confidentialité : veuillez utiliser [email protected] et mentionner "Confidentialité" ou "Datenschutz" dans la ligne d'objet.
Autorité de surveillance (Bavière): Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Germany.
Cette politique de confidentialité s'applique à notre site Web, au tableau de bord de compte, aux API, au paiement, à la communication d'assistance et aux services associés.
En utilisant QRkit.io, vous reconnaissez également nos Conditions d'utilisation.
Données traitées
Objectif : Créez des comptes, authentifiez les utilisateurs, prenez en charge la connexion sans mot de passe et Google Sign-In, maintenez les sessions actives et fournissez un accès sécurisé au tableau de bord.
Base juridique : Art. 6, paragraphe 1, point b) du RGPD (exécution d'un contrat) et de l'art. 6(1)(f) RGPD (sécurité des services et prévention des abus).
Données traitées
Objectif : Traitez les abonnements payants, rapprochez les événements de paiement Stripe et les webhooks, fournissez des aperçus de facturation, gérez les remboursements et documentez les événements de facturation.
Base juridique : Art. 6, paragraphe 1, point b) du RGPD (exécution du contrat) et art. 6(1)(c) du RGPD (obligations légales de conservation et de comptabilité).
Données traitées
Objectif : Générez des codes QR, faites fonctionner les destinations dynamiques et fournissez des statistiques d'analyse dans le tableau de bord.
Base juridique : Art. 6, paragraphe 1, point b) du RGPD (exécution du contrat).
Données traitées
Objectif : Envoyez des e-mails d'activation, des e-mails de connexion, des notifications liées à la facturation, des réponses d'assistance, des confirmations d'annulation et des avis de service via notre infrastructure SMTP configurée.
Base juridique : Art. 6, paragraphe 1, point b) du RGPD (exécution du contrat) et art. 6(1)(f) RGPD (communication client fiable).
Données traitées
Objectif : Mesurer la portée et l’utilisation des pages publiques après consentement, vous permettre de vous connecter avec Google et, si vous le demandez explicitement dans les paramètres de votre compte, connecter votre propre propriété Google Analytics à votre tableau de bord QRkit.
Base juridique : Art. 6, paragraphe 1, point a) du RGPD (consentement pour l’analyse non essentielle des pages publiques), art. 6, paragraphe 1, point b) du RGPD (exécution des fonctions de connexion et d’intégration demandées) et art. 6(1)(f) du RGPD (intégrité du compte et fonctionnement des fonctionnalités).
Données traitées
Objectif : Détectez les abus, limitez le nombre de tentatives de connexion répétées, enquêtez sur les incidents, corrélez les journaux du serveur et des applications avec les requêtes et maintenez la stabilité du service.
Base juridique : Art. 6(1)(f) du RGPD (sécurité des services, prévention de la fraude et intégrité opérationnelle).
Nous utilisons des cookies essentiels et des jetons comparables pour vous connecter, maintenir actives les sessions de tableau de bord authentifiées et protéger les demandes liées au compte. Notre cookie de session principal est nommé qr_auth_session. Il est configuré comme HTTP-only, utilise SameSite=Lax et est destiné à durer jusqu'à 30 jours, à moins que vous ne vous déconnectiez ou qu'il ne soit effacé.
Nous générons également des jetons d'action de courte durée pour l'activation de compte et les flux de connexion sans mot de passe. Ces jetons ne sont pas utilisés à des fins publicitaires ; ils existent pour effectuer les étapes d'authentification demandées par l'utilisateur et expirent généralement après environ une heure.
Si vous donnez votre consentement à l'analyse, QRkit.io peut charger Google Tag Manager et Google Analytics sur les pages publiques afin de mesurer les vues de page, les chemins visités, les référents, la localisation approximative, les données liées à l'appareil ou au navigateur et certains événements d'interaction. Si vous choisissez de connecter votre propre compte Google Analytics dans le tableau de bord, cela reste une intégration produit distincte, demandée par l'utilisateur, décrite ci-dessous.
Si vous donnez votre consentement au marketing et que l'intégration correspondante est activée, QRkit.io peut également charger sur les pages publiques des technologies marketing ou d'attribution telles que Meta Pixel. Les technologies d'analyse et de marketing non essentielles restent désactivées tant que vous ne les acceptez pas dans les paramètres des cookies, et vous pouvez y modifier votre choix à tout moment.
Les paiements pour les forfaits payants sont traités par Stripe. Nous ne stockons pas les détails bruts de la carte de paiement dans l'application QRkit.io. Au lieu de cela, nous stockons le client Stripe, l'abonnement, le plan, le statut, les références de facture et les horodatages de facturation associés qui sont nécessaires pour que l'état de votre abonnement reste synchronisé et visible dans votre compte.
Si l'accès au portail de facturation est disponible pour votre compte, Stripe reçoit également les données nécessaires pour vous permettre d'afficher les factures, les détails du mode de paiement ou l'état de l'abonnement dans le portail client Stripe.
Stripe peut également traiter les signaux anti-fraude et de risque de paiement dans le cadre du paiement et de la facturation récurrente. Des informations supplémentaires sont disponibles dans notre Politique de remboursement.
Si vous vous connectez avec Google, Google agit en tant que fournisseur d'identité et nous envoie les détails de profil nécessaires pour authentifier votre compte. Si vous n'utilisez pas Google Sign-In, ce traitement n'a pas lieu.
Séparément, QRkit peut offrir une connexion facultative Google Analytics dans le tableau de bord si vous l'initiez explicitement dans les paramètres de votre compte. Dans ce cas, nous stockons les données d'accès requises pour récupérer votre propriété Google Analytics sélectionnée et affichons ces analyses dans votre tableau de bord jusqu'à ce que vous déconnectiez l'intégration.
Pour les codes QR dynamiques, nous enregistrons les événements d'analyse afin que les analyses du tableau de bord fonctionnent. En fonction des métadonnées de demande disponibles, cela peut inclure l'heure d'analyse, le système d'exploitation, le pays, la ville, le code QR concerné et une empreinte digitale hachée dérivée des attributs de la demande afin de réduire le comptage des doublons et d'améliorer la qualité des rapports.
Nous traitons également des données d’analyse des pages publiques fondées sur le consentement, telles que les vues de page, les chemins visités, les informations de référent, la localisation approximative, les signaux de l’appareil ou du navigateur et certains événements d’interaction, y compris l’inscription, la création de QR codes ou les téléchargements de QR codes. En outre, nous enregistrons les événements d'activité du tableau de bord lorsque des utilisateurs authentifiés utilisent avec succès les points de terminaison pertinents du tableau de bord. Ces événements peuvent inclure le nom de l'itinéraire, la clé de fonctionnalité, la méthode HTTP, l'état de la réponse, le compte de l'acteur, le compte du propriétaire et les ID de demande associés afin que l'utilisation du produit, le support et l'analyse des incidents restent traçables.
Nous utilisons des mesures de protection techniques et organisationnelles conçues pour protéger les données personnelles, notamment le transport crypté, les contrôles d'accès, les contrôles d'authentification côté serveur, la limitation du débit, la validation des demandes et la surveillance opérationnelle.
Pour éviter les abus tels que des tentatives de connexion infructueuses répétées ou une activité de compte suspecte, nous pouvons stocker des données d'événement liées à la sécurité, notamment des références IP ou e-mail hachées, les résultats de l'événement, les mesures de durée et le contexte de la demande technique. Nous pouvons également corréler les ID de demande avec les journaux d'accès au serveur Web, les journaux d'erreurs d'application et les journaux d'infrastructure lors d'enquêtes sur des incidents, des signaux de fraude ou des problèmes de livraison de webhooks.
Aucun système en ligne n’est totalement sans risque, nous ne pouvons donc pas garantir une sécurité absolue.
Nous ne vendons pas de données personnelles. Nous partageons des données uniquement lorsque cela est nécessaire pour exploiter le service, effectuer les transactions demandées, transmettre des communications ou nous conformer aux obligations légales.
Rôle : Fournisseur d'hébergement et d'infrastructure pour les serveurs d'applications, les bases de données, le stockage, les sauvegardes et les services réseau opérationnels utilisés pour exécuter QRkit.io.
Données typiques impliquées : Enregistrements de compte, contenu du code QR, actifs générés, analyses d'analyse, journaux de serveur et télémétrie technique nécessaires à l'hébergement, à la sauvegarde et à la réponse aux incidents.
Rôle : Processeur de paiement pour le paiement, la gestion des abonnements, le traitement des factures, l'accès au portail client et les contrôles de fraude aux paiements.
Données typiques impliquées : E-mail de facturation, métadonnées d'abonnement et de facture, identifiants liés au paiement et références de transaction liées au webhook.
Rôle : Fournisseur d’analyse pour la mesure fondée sur le consentement des pages publiques, fournisseur d’identité pour Google Sign-In et fournisseur facultatif pour une connexion Google Analytics demandée par l’utilisateur.
Données typiques impliquées : Données d’analyse publiques fondées sur le consentement, telles que les vues de page, les chemins visités, les informations de référent, la localisation approximative et certains événements d’interaction, ainsi que les identifiants OAuth, les informations de profil nécessaires à la connexion et, si vous le connectez vous-même, les métadonnées du compte ou de la propriété Google Analytics ainsi que les jetons d’accès.
Rôle : Fournisseur optionnel de marketing et d’attribution lorsque Meta Pixel est activé et que vous consentez aux cookies marketing sur les pages publiques.
Données typiques impliquées : Données de marketing et d’attribution sur les pages publiques fondées sur le consentement, telles que les vues de page, les données d’événement, les identifiants de navigateur et les valeurs de cookies marketing.
Rôle : Fournisseur de livraison de courrier utilisé pour les e-mails transactionnels via l'hôte SMTP configuré smtps.udag.de.
Données typiques impliquées : Adresse du destinataire, métadonnées de l'expéditeur, contenu du message et toute facture ou pièce jointe de support requise pour le message.
Nous pouvons également divulguer des informations lorsque la loi l'exige, pour appliquer nos politiques, pour défendre des réclamations légales ou pour protéger les droits, la sécurité et l'intégrité du service.
Nous conservons ces données pendant que votre compte est actif et aussi longtemps que nécessaire pour fournir le service. Si un compte est supprimé ou résilié, nous supprimons ou bloquons les données restantes, sauf si leur conservation continue est requise pour des réclamations légales, la prévention des abus ou des obligations légales.
Notre cookie de session principal peut rester valide jusqu'à 30 jours, sauf si vous vous déconnectez ou s'il est effacé plus tôt. Les jetons d’action d’activation et de connexion sont généralement de courte durée et expirent généralement après environ 1 heure.
Les enregistrements relatifs à la facturation sont conservés pendant la période de conservation légalement requise, généralement jusqu'à 10 ans lorsque le droit commercial ou fiscal s'applique.
Les données relatives à la sécurité, les événements d'authentification, les journaux d'accès et les journaux techniques sont conservés uniquement aussi longtemps que nécessaire sur le plan opérationnel pour la limitation du débit, la réponse aux incidents, la prévention de la fraude et l'intégrité du service. En cas d'incident ou de litige, les preuves sélectionnées peuvent être conservées plus longtemps jusqu'à ce que le problème soit résolu.
Nous conservons les conversations d'assistance, les demandes d'annulation et les communications de service aussi longtemps que nécessaire pour traiter la demande, documenter le résultat et respecter les obligations de conservation ou de traitement des litiges.
Les analyses d'analyse liées aux campagnes QR sont conservées pendant que le code QR ou les données de compte associés sont nécessaires à la fonction d'analyse du tableau de bord, à moins qu'une suppression antérieure ne soit demandée ou légalement requise.
Certains de nos fournisseurs traitent des données personnelles dans plusieurs pays. Lorsque les données sont transférées en dehors de l'Union européenne ou de l'Espace économique européen, nous nous appuyons sur des garanties appropriées telles que des décisions d'adéquation, des protections contractuelles et des mécanismes de transfert comparables requis par la loi applicable.
Emplacement typique : Germany / Union européenne
Notre configuration d'hébergement de production prévue est basée dans l'UE. Nous n’envisageons pas de transferts réguliers vers des pays tiers via la pile d’hébergement principale elle-même.
Emplacement typique : EEE, Royaume-Uni, États-Unis et autres sites du groupe Stripe
Stripe peut traiter les données de paiement et de facturation dans l'ensemble de l'infrastructure de son groupe international. Lorsque les données personnelles quittent l'EEE, Stripe applique les mécanismes de transfert proposés dans le cadre de ses conditions contractuelles et de la loi applicable.
Emplacement typique : EEE, États-Unis et autres pays Google
L’analyse publique fondée sur le consentement via Google, Google Sign-In et toute connexion Google Analytics demandée par l’utilisateur peuvent impliquer un traitement dans des pays en dehors de l’EEE, y compris les États-Unis.
Emplacement typique : EEE, États-Unis et autres sites Meta
Si le consentement marketing est donné et que Meta Pixel est activé, Meta peut traiter des données d’attribution et de publicité liées aux pages publiques via son infrastructure internationale, y compris en dehors de l’EEE.
Emplacement typique : Dépend du fournisseur
Les e-mails transactionnels sont acheminés via l'infrastructure SMTP configurée pour QRkit.io. Selon le domaine du fournisseur et du destinataire, le traitement des messages peut impliquer un routage transfrontalier.
Pour exercer vos droits, contactez-nous au [email protected]. Nous devrons peut-être vérifier votre identité avant de traiter certaines demandes. La même adresse peut être utilisée pour les demandes générales de confidentialité et de protection des données.
Notre service n'est pas destiné aux enfants de moins de 13 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants de moins de 13 ans. Si vous pensez qu'un enfant nous a fourni des données, veuillez nous contacter et nous prendrons les mesures appropriées.
Notre site Web et notre tableau de bord peuvent contenir des liens vers des services tiers. Leurs pratiques de confidentialité sont régies par leurs propres politiques, et non par la présente politique de confidentialité.
Nous pouvons mettre à jour cette politique de confidentialité pour refléter les changements de produit, opérationnels, juridiques ou de fournisseur. Les changements importants sont reflétés en mettant à jour la date en haut de cette page. L'utilisation continue du service après les mises à jour signifie que vous acceptez la politique révisée.
Si vous avez des questions sur cette politique de confidentialité ou sur nos pratiques en matière de données, contactez-nous au [email protected] pour des demandes de confidentialité, de facturation ou liées au compte, ou via notre page de contact.
