Politique de Confidentialité
Version 1.1 — Dernière mise à jour : 10 octobre 2026
Conforme aux articles 13 et 14 du Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.
1. Responsable de traitement
Le responsable de traitement est la société SYDELY, SAS au capital de 1 000 €, 17 rue Corneille, 59510 Hem, RCS Lille Métropole 105 004 329, représentée par son Président, Sulayman Feddal — contact (général et demandes RGPD) : contact@sydely.com. Coordonnées complètes : voir Mentions légales.
Important. Lorsqu'un commerçant utilise Sydely pour gérer son programme de fidélité, c'est ce commerçant qui est responsable de traitement des données de ses clients finaux. Sydely agit alors comme sous-traitant, dans les conditions définies par notre Contrat de Sous-traitance (DPA).
2. Données traitées
Comptes commerçants (Sydely est responsable de traitement)
- Identification : nom commercial, nom et prénom du gérant, email professionnel.
- Authentification : mot de passe (haché, jamais stocké en clair).
- Configuration commerciale : logo, photos, couleurs, mécanique de fidélité, paliers de récompense.
- Facturation : coordonnées de facturation, identifiant client Stripe (les données bancaires ne transitent jamais par Sydely).
- Données techniques : adresse IP, journaux de connexion, identifiants techniques de session.
Clients finaux (Sydely est sous-traitant du commerçant)
- Identification : nom, prénom.
- Coordonnées : numéro de téléphone, adresse email (selon configuration du commerçant).
- Historique de fidélité : nombre de tampons ou points, dates des visites, récompenses débloquées.
- Données techniques : identifiant unique de carte (numéro de série), jeton de notification push (APNS / Google Wallet).
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Création et gestion du compte commerçant | Exécution du contrat (art. 6.1.b) |
| Facturation et paiement de l'abonnement | Exécution du contrat + obligation légale comptable (art. 6.1.b et c) |
| Génération et mise à jour des cartes de fidélité numériques | Exécution du contrat (art. 6.1.b) |
| Notifications push de mise à jour de la carte | Exécution du contrat (art. 6.1.b) |
| Notifications marketing du commerçant à ses clients finaux | Consentement explicite du client final (art. 6.1.a) |
| Sécurité, prévention de la fraude, journalisation | Intérêt légitime (art. 6.1.f) |
| Statistiques d'usage anonymisées | Intérêt légitime (art. 6.1.f) |
| Communications Sydely vers commerçants (nouveautés, offres) | Consentement (art. 6.1.a) — opt-in séparé au signup |
| Mesure d'audience publicitaire (efficacité des campagnes Meta, TikTok, Google Ads et ChatGPT Ads) | Intérêt légitime (art. 6.1.f) — droit d'opposition art. 21 ci-dessous |
4. Destinataires
Les données sont accessibles aux personnels habilités de Sydely et aux sous-traitants suivants, dans la limite stricte de leurs missions techniques :
- Supabase — base de données et authentification (UE)
- Vercel — hébergement applicatif (US, DPF)
- Stripe — traitement des paiements (UE/US, DPF)
- Apple — distribution Apple Wallet, notifications APNS (US, DPF)
- Google — distribution Google Wallet (US, DPF)
- Resend — emails transactionnels (US, DPF)
- Brevo — envoi des SMS (codes de vérification, campagnes des commerçants) (France, UE)
- Meta Platforms Ireland — mesure d'audience publicitaire (Meta Pixel et Conversions API) (UE/US, DPF)
- TikTok Technology Limited — mesure d'audience publicitaire (pixel TikTok) (Irlande, UE)
- Google Ireland Limited — mesure d'audience publicitaire (balise Google Ads) (UE/US, DPF)
- OpenAI — mesure d'audience publicitaire (pixel et API Conversions ChatGPT Ads) (UE/US)
Liste actualisée et détaillée : page Sous-traitants.
Aucune donnée n'est vendue à des tiers.
5. Transferts hors Union européenne
Certains sous-traitants sont établis aux États-Unis. Ces transferts sont encadrés par :
- Le Data Privacy Framework (décision d'adéquation UE 2023/1795 du 10 juillet 2023), pour les sous-traitants y étant certifiés.
- Les clauses contractuelles types de la Commission européenne (décision 2021/914), à défaut.
6. Durées de conservation
- Compte commerçant actif : pendant toute la durée de la relation contractuelle.
- Compte commerçant résilié : 3 ans à compter du dernier contact pour des finalités de prospection ; archivage intermédiaire des éléments contractuels nécessaires à la défense des droits jusqu'à 5 ans (prescription civile).
- Pièces comptables (factures) : 10 ans (art. L123-22 Code de commerce).
- Données des clients finaux : tant que la carte est active et au plus tard 3 ans après la dernière interaction (recommandation CNIL fidélité).
- Logs de connexion : 1 an maximum (décret 2021-1363).
- Preuve d'acceptation des CGU/CGV : durée du contrat + 5 ans.
7. Sécurité
Sydely met en œuvre les mesures techniques et organisationnelles appropriées (article 32 RGPD) : chiffrement TLS 1.3 en transit, chiffrement AES-256 au repos, mots de passe hashés (bcrypt), Row Level Security Postgres, sauvegardes chiffrées, journalisation, contrôle d'accès strict, sensibilisation des personnels, procédure d'incident. Détails dans le DPA.
8. Cookies et traceurs
Cookies strictement nécessaires (exemptés de consentement, art. 82 loi Informatique et Libertés) : cookies d'authentification (Supabase), cookies de sécurité de paiement (Stripe Checkout).
Traceurs de mesure publicitaire : afin de mesurer l'efficacité de ses propres campagnes publicitaires, Sydely utilise sur son site :
- Meta Pixel et l'API Meta Conversions (Facebook, Instagram) ;
- le pixel TikTok ;
- la balise Google Ads (gtag.js) ;
- le pixel ChatGPT Ads d'OpenAI et son API Conversions.
Ces traceurs enregistrent les pages visitées et les étapes de conversion d'un commerçant (inscription, passage au paiement, abonnement). Lors d'une conversion, peuvent être transmis un identifiant interne et un hash SHA-256 de l'email du commerçant. Le pixel ChatGPT Ads n'est pas chargé sur les pages utilisées par les clients finaux des commerçants (carte, ajout au Wallet, tamponnage). Aucune donnée saisie par les clients finaux (nom, téléphone, email, solde) n'est transmise à ces régies.
Base légale : intérêt légitime (art. 6.1.f RGPD), la finalité étant strictement limitée à la mesure de conversion de nos propres campagnes. Vous pouvez vous y opposer à tout moment en nous écrivant à contact@sydely.com, en bloquant les cookies tiers dans votre navigateur, ou en utilisant les contrôles de confidentialité de chaque régie : Meta, TikTok, Google, OpenAI.
9. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Accès (art. 15) : obtenir une copie de vos données.
- Rectification (art. 16) : corriger les données inexactes ou incomplètes.
- Effacement (art. 17) : demander la suppression de vos données.
- Limitation (art. 18) : restreindre temporairement le traitement.
- Portabilité (art. 20) : récupérer vos données dans un format structuré.
- Opposition (art. 21) : vous opposer pour motif légitime ou à la prospection.
- Retrait du consentement (art. 7.3) : à tout moment, sans rétroactivité.
- Sort des données après décès (art. 85 LIL) : directives transmissibles à contact@sydely.com.
Pour exercer ces droits : contact@sydely.com. Réponse sous 1 mois maximum. Une preuve d'identité peut être demandée en cas de doute raisonnable.
Pour les données de clients finaux, l'exercice des droits s'adresse en premier lieu au commerçant gestionnaire du programme de fidélité, qui est leur responsable de traitement. Sydely apporte son assistance technique au commerçant.
10. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — cnil.fr/fr/plaintes — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — 01 53 73 22 22.
11. Décision automatisée
Sydely ne prend aucune décision automatisée produisant des effets juridiques ou affectant significativement les personnes concernées au sens de l'article 22 du RGPD.
12. Mineurs
Le Service n'est pas destiné aux mineurs de moins de 15 ans. Lorsqu'un programme de fidélité est susceptible d'accueillir des mineurs, le commerçant doit recueillir le consentement parental conformément à l'article 7-1 de la loi Informatique et Libertés.
13. Modifications
La présente politique peut être mise à jour. Toute modification substantielle est notifiée aux commerçants par email. Les versions antérieures sont disponibles sur demande.
14. Contact
Toute question relative à la protection des données : contact@sydely.com.