Sécurité & Protection des données

1. Isolation des données entre commerçants

Chaque commerce sur Fidow est cloisonné par des règles d'accès appliquées au niveau de la base de données, pas seulement au niveau de l'application. Cela signifie qu'un commerçant ne peut techniquement pasaccéder aux données de fidélité (clients, points, transactions, niveaux, récompenses) d'un autre commerçant, même en cas de bug applicatif ou de tentative de manipulation des requêtes.

• Les portefeuilles de points ne peuvent être modifiés que par le serveur de confiance, jamais directement par un client ou un commerçant.
• Les transactions de fidélité sont strictement filtrées par propriétaire : un commerçant ne voit que les transactions de son propre commerce.
• Les scans de cartes reposent sur des jetons à durée très courte, signés cryptographiquement et à usage unique, qui empêchent toute interférence d'un commerce sur la fidélité d'un autre.
• Les notifications push sont liées à un appareil + un utilisateur précis : impossible d'envoyer une notif au client d'un autre commerçant.

2. Authentification & sessions

• Mots de passe : stockés sous forme de hash cryptographique à l'état de l'art, jamais en clair, jamais visibles par l'équipe Fidow.
• Sessions : cookies inaccessibles depuis JavaScript, protégés contre le vol par XSS et la falsification entre sites.
• Authentification biométrique (Face ID / empreinte) disponible sur l'application mobile pour ajouter une couche locale.
• Changement de mot de passe : déconnecte automatiquement les autres appareils.
• Routes sensibles protégées par vérification d'origine et limitation de fréquence (anti force-brute et anti-abus).

3. Chiffrement

• En transit : tout le trafic est chiffré (HTTPS / TLS à jour, certificats automatiquement renouvelés).
• Au repos : la base de données et le stockage de fichiers sont chiffrés au niveau disque par notre hébergeur.
• Mots de passe : hash cryptographique unidirectionnel, irréversible.
• Jetons internes : signés avec un secret serveur — toute altération les invalide immédiatement.
• Paiements : aucune donnée bancaire ne transite par nos serveurs. Stripe gère tout (certifié PCI-DSS).

4. Sous-traitants techniques (RGPD)

Tous nos sous-traitants ont signé un accord de traitement de données (DPA) :

Nous ne vendons aucune donnée.Aucun partenaire publicitaire n'a accès aux données de fidélité ou de contact de vos clients.

5. Données personnelles & logs

• Les logs d'erreur sont automatiquement nettoyés avant envoi : IP, emails, cookies et en-têtes sont supprimés côté serveur.
• Aucun pixel publicitaire ni cookie tiers par défaut. Les outils de mesure ne se chargent qu'après consentement explicite (CNIL / Consent Mode v2).
• Les jetons à usage unique (QR de scan, liens d'invitation) ont une durée de vie très courte et sont à usage unique.
• Les logs de session sont conservés 90 jours maximum.

6. Droits RGPD de vos clients

Chaque client dispose nativement, depuis son espace personnel :

• Portabilité (Art. 20) : bouton « Exporter mes données » → téléchargement JSON complet.
• Droit à l'effacement (Art. 17) : suppression du compte, anonymisation des transactions (les agrégats restent côté commerçant pour la comptabilité — 10 ans, art. L.123-22 Code de commerce).
• Rectification (Art. 16) : modification du profil à tout moment.
• Opposition : désactivation des notifications, retrait du consentement cookies.
• Réclamation : auprès de la CNIL.

Important pour les commerçants: vous n'avez aucune démarche à faire — Fidow gère automatiquement ces demandes pour les clients qui les exercent depuis leur compte. Une fois un client supprimé, son nom apparaît comme « Compte supprimé » dans vos historiques.

7. Pour vous, commerçant — DPA dédié

Quand vous utilisez Fidow pour gérer la fidélité de vos clients, vous restez responsable de traitementau sens du RGPD pour les données de ces clients. Fidow agit comme votre sous-traitant (Art. 28 RGPD). À ce titre, nous mettons à votre disposition un Accord de traitement de données (DPA)qui formalise nos engagements, la liste de nos sous-traitants ultérieurs et nos mesures techniques et organisationnelles.

8. Signaler une faille de sécurité

Vous pensez avoir identifié une vulnérabilité ? Merci de nous en informer de façon responsable àcontact@fidow.fren précisant « Signalement de faille »en objet. Nous nous engageons à accuser réception sous 72 heures et à traiter les rapports avec la plus grande priorité. Merci de ne pas divulguer publiquement la faille avant qu'elle n'ait été corrigée.

9. Notification des violations de données

En cas de violation susceptible d'engendrer un risque pour les droits et libertés des personnes, nous notifierons la CNIL dans les 72 heures (Art. 33 RGPD) et informerons les utilisateurs concernés sans délai injustifié(Art. 34 RGPD), via email et/ou notification dans l'application.