shield_lock Confidentialité

Politique de confidentialité

Dernière mise à jour : novembre 2026 | Responsable du traitement : Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Principes généraux

Nous traitons les données personnelles en conformité avec le RGPD (UE) 2016/679. La protection de vos données est au cœur de nos préoccupations. qr3.app a été conçu selon le principe de Privacy by Design : les adresses IP ne sont jamais stockées — elles sont immédiatement pseudonymisées à la périphérie (Cloudflare Workers) avec HMAC-SHA-256, un secret de longue durée, une finalité et le jour UTC avant la persistance des données.

2. Données traitées

2.1 Utilisation de l'API (utilisateurs enregistrés)

  • Données de compte : adresse e-mail, nom (via l'authentification Clerk.com)
  • Données de facturation : identifiant client Stripe, statut de l'abonnement (aucune donnée de carte de crédit — Stripe les traite directement)
  • Données d'utilisation : codes QR créés, configurations de l'espace de travail
  • Base juridique : art. 6, paragr. 1, let. b du RGPD (exécution du contrat)

2.2 Analyses de scan (utilisateurs finaux scannant les codes QR)

  • Pseudonyme IP : HMAC-SHA-256 avec secret de longue durée, finalité et jour UTC — donnée personnelle pseudonymisée ; non récupérable directement depuis le hachage, mais le détenteur du secret peut recalculer un candidat d'adresse IP connu pour ce jour
  • Données de l'appareil : type d'appareil, système d'exploitation, navigateur (à partir de l'User-Agent, anonymisé)
  • Données géographiques : pays, ville (à partir de l'en-tête Cloudflare CF-IPCountry — aucune adresse IP stockée)
  • Base juridique : art. 6, paragr. 1, let. f du RGPD (intérêt légitime des détenteurs de codes QR à disposer de statistiques)
  • Conservation : 90 jours, puis suppression automatique

2.3 Visite du site web (qr3.app)

Pour compter les pages vues par version linguistique, qr3.app utilise Cloudflare Web Analytics. Ce service n'utilise pas de cookies ni aucun autre mécanisme de stockage côté client, ne stocke pas les adresses IP et ne crée pas de profils d'utilisateurs. Les données collectées, de manière agrégée, sont : le chemin de la page, le référent (referrer), le type de navigateur et d'appareil, et le pays. Prestataire : Cloudflare, Inc., en tant que sous-traitant (Accord sur le traitement des données). Base juridique : art. 6, paragr. 1, let. f du RGPD — intérêt légitime à mesurer la portée par langue. Aucun cookie d'opt-out n'est requis, car aucune donnée n'est stockée sur votre appareil.

2.4 Statistiques d'utilisation et journaux de webhooks (utilisateurs enregistrés)

  • Statistiques d'utilisation : Activité du tableau de bord par jour (les jours UTC où un utilisateur a ouvert le tableau de bord d'un workspace) et compteurs d'utilisation de l'API par opération et par jour (nombre de requêtes d'une clé API par opération et par résultat). Pour l'activité du tableau de bord sont stockés les identifiants de l'utilisateur, de l'organisation et du workspace, le jour UTC et l'heure du premier accès de ce jour ; pour les compteurs de l'API, les identifiants de l'organisation, du workspace et de la clé API, le jour UTC, l'opération, le résultat, le nombre et l'heure de la première et de la dernière requête du jour — aucune adresse IP et aucun User-Agent.
  • Journaux de livraison des webhooks : Pour chaque tentative de livraison : type d'événement, heure, statut, code de statut HTTP et temps de réponse, données de l'événement envoyées, ainsi que le premier kilo-octet (1 Ko) de la réponse du destinataire ou un message d'erreur. Pour les événements de scan, les données de l'événement contiennent le pays, le type d'appareil, le système d'exploitation, le navigateur et la langue du visiteur ; pour les événements de code, le code complet avec l'adresse cible et les notes. Ni l'adresse IP ni le User-Agent des visiteurs ne sont stockés, mais les données de l'événement et la réponse du destinataire peuvent contenir des données personnelles.
  • Finalité : Exploitation, recherche d'erreurs et amélioration du produit
  • Base juridique : art. 6, paragr. 1, let. f du RGPD (intérêt légitime à un fonctionnement sûr, à la recherche d'erreurs et au développement du service)
  • Conservation : 90 jours (le jour UTC en cours et les 89 jours précédents), puis suppression automatique ; immédiate avec DELETE /v1/account

2.5 Journal d'audit (utilisateurs enregistrés)

  • Contenu : Pour chaque modification dans un workspace (par exemple des codes, des clés API, des membres ou des webhooks) : date et heure, action, ressource concernée, valeurs modifiées et auteur de la modification (identifiant de l'utilisateur ou de la clé API). Pour les appels directs à l'API, également le pseudonyme IP (HMAC-SHA-256 par jour UTC, finalité distincte) et le User-Agent. Aucune adresse IP, aucun secret et aucune clé API ne sont stockés.
  • Finalité : Traçabilité des modifications pour l'équipe d'un workspace et sécurité du service
  • Base juridique : art. 6, paragr. 1, let. f du RGPD (intérêt légitime à des modifications traçables et à la sécurité du service)
  • Conservation : pseudonyme IP et User-Agent 90 jours, l'entrée 365 jours (à chaque fois le jour UTC en cours et les jours précédents), puis suppression automatique ; avec DELETE /v1/account, les entrées des organisations propres sont supprimées immédiatement et, dans les autres équipes, le pseudonyme IP et le User-Agent sont effacés

3. Transmission de données à des tiers

Nous ne transmettons des données qu'aux prestataires suivants. Sauf indication contraire, ils traitent les données pour notre compte (art. 28 du RGPD). Lorsque des données parviennent aux États-Unis, ce transfert repose sur le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), dans le cadre duquel les sociétés américaines de ces prestataires sont certifiées (décision d'adéquation, art. 45 du RGPD), et à titre subsidiaire sur les clauses contractuelles types de la Commission européenne figurant dans leurs accords de traitement des données (art. 46, paragr. 2, let. c du RGPD).

  • Cloudflare, Inc. (USA) — infrastructure, CDN, Workers : hébergement du site web, du tableau de bord et de l'API, base de données, stockage de fichiers et files d'attente, envoi des e-mails système (Cloudflare Email Service) et Web Analytics (section 2.3)
  • Clerk, Inc. (USA) — authentification : adresse e-mail, nom, données de connexion et de session (dont l'adresse IP, la localisation qui en est déduite et le navigateur) et e-mails de confirmation. Lors de l'inscription, Clerk intègre une protection contre les inscriptions automatisées (Cloudflare Turnstile). Si vous vous connectez avec un compte Google, Clerk reçoit de ce compte votre nom et votre adresse e-mail.
  • Stripe Payments Europe, Ltd. (Irlande) — traitement des paiements et factures. Stripe collecte directement les données de paiement ; nous ne recevons aucune donnée de carte. Stripe est lui-même responsable de la prévention de la fraude, de ses propres obligations légales et du développement de ses produits.
  • Functional Software, Inc. (Sentry) (USA, stockage dans l'UE) — analyse des erreurs pour l'API, les redirections et le tableau de bord : messages d'erreur et échantillons de requêtes (méthode, chemin sans paramètres, code de statut, durée, identifiants internes). Nous supprimons les adresses IP, les en-têtes, les cookies et les paramètres avant l'envoi ; les adresses e-mail et les clés figurant dans le texte sont masquées. Base juridique : art. 6, paragr. 1, let. f du RGPD (intérêt légitime à un fonctionnement sans erreur et sûr)
  • Google Cloud EMEA Ltd. (Irlande ; Google Cloud Web Risk) — vérification des adresses de destination contre l'hameçonnage et les logiciels malveillants : lors de la création ou de la modification d'un code, lors d'une vérification via l'API et lors du contrôle nocturne, l'adresse de destination du code ou les liens de sa landing page. Seule l'adresse est transmise, aucune donnée de compte ou de visiteur ; si l'adresse elle-même contient des données personnelles (par exemple dans un paramètre), elles sont transmises avec elle. Base juridique : art. 6, paragr. 1, let. f du RGPD (protection des visiteurs contre les destinations frauduleuses et sécurité du service)
  • Microsoft (Microsoft 365) — la boîte aux lettres office@qr3.app : les e-mails que vous nous adressez, y compris les réponses aux e-mails système, et nos réponses. Base juridique : art. 6, paragr. 1, let. b du RGPD (demandes relatives au contrat) ou let. f (autres demandes)

Aucune transmission à des fins publicitaires n'a lieu.

4. Vos droits (RGPD art. 15 à 22)

  • Accès (art. 15) : GET /v1/account/privacy ou e-mail à office@qr3.app
  • Portabilité des données (art. 20) : GET /v1/account/export — exportation JSON de toutes les données
  • Effacement (art. 17) : DELETE /v1/account ou e-mail. Votre compte est effacé immédiatement : les organisations dont vous êtes propriétaire, avec tous leurs espaces de travail, codes, passeports produits, fichiers et statistiques (si une telle organisation compte un autre administrateur d'organisation, celui-ci la reprend avec ses données et son abonnement), vos adhésions à d'autres organisations, votre connexion Clerk et votre fiche client Stripe. Un abonnement en cours prend fin immédiatement, sans remboursement au prorata. Pour les très grands comptes, l'effacement s'achève en quelques heures. Les données effacées restent restaurables dans les sauvegardes de la base de données (Cloudflare D1 Time Travel) pendant 30 jours au maximum, puis elles disparaissent définitivement. Sont exclues les factures, que nous conservons chez Stripe pendant le délai légal de conservation de sept ans (§ 132 BAO), ainsi que les signalements de tiers concernant des codes abusifs (prévention des abus).
  • Limitation du traitement (art. 18) : e-mail à office@qr3.app
  • Opposition (art. 21) : à tout moment pour des motifs liés à des intérêts légitimes

5. Cookies

qr3.app utilise exclusivement des cookies de session techniquement nécessaires (authentification via Clerk). Aucun cookie de marketing ou de suivi. Le consentement au titre de la directive sur les cookies n'est donc pas requis. Cloudflare Web Analytics (voir section 2.3) n'utilise pas non plus de cookies.

6. Sécurité des données

Toutes les données sont transmises de manière chiffrée (TLS 1.3). Chiffrement de la base de données au repos (at-rest) via Cloudflare D1. Les clés d'API sont stockées sous forme de hachage. Signatures de webhooks via HMAC-SHA256.

7. Droit de recours

Vous disposez du droit d'introduire une réclamation auprès de l'autorité autrichienne de protection des données :
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Wien

8. Contact pour la protection des données

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app