Politique de confidentialité

1. Responsable de la protection des renseignements personnels

Conformément à l'article 3.1 de la Loi 25, BoniZone a désigné un responsable de la protection des renseignements personnels (RPRP). Toute demande relative à la protection de vos données doit être adressée à :

2. Renseignements collectés

Nous collectons uniquement les renseignements nécessaires à la fourniture du service (principe de minimisation) :

• Clients : prénom, nom, adresse courriel, code client unique (FID-XXXXX), historique de points et d'échanges, préférences de notifications. Facultativement, si vous l'acceptez dans « Points automatiques » : l'empreinte des cartes de paiement que vous liez (voir Square à la section 9).
• Commerçants (PME) : nom du commerce, type de commerce, adresse courriel, adresse physique et coordonnées GPS (optionnelles, nécessaires si la vérification géographique est activée). Le commerçant peut aussi publier un numéro de téléphone, un site web et ses heures d'ouverture. À partir de l'adresse du commerce, nos serveurs calculent uneposition sur la carte (voir OpenStreetMap à la section 9). Ces renseignements — adresse, téléphone, site web, heures et position — sont destinés à être vus : ils s'affichent aux membres, sur la carte des commerces et sur la page publique du commerce. Un commerçant qui exploite sous son propre nom ou depuis son domicile doit en tenir compte avant de les publier ; il peut les retirer en tout temps dans ses paramètres.
• Représentants commerciaux : nom, prénom, adresse courriel, numéro de téléphone, secteur assigné, et — au moment où un mandat est accepté en ligne — le nom saisi, l'horodatage et l'adresse IP de l'acceptation. Ces trois derniers éléments constituent la preuve de l'engagement et sont conservés aussi longtemps que le mandat produit ses effets.
• Données techniques : horodatage des connexions, jetons d'authentification, et adresse IP au moment des tentatives de connexion. L'adresse IP est conservée dans un journal de sécurité aux seules fins de protection des comptes et de prévention de la fraude ; elle n'est jamais utilisée à des fins commerciales ou publicitaires.

Nous ne collectons pas de numéro de carte de crédit, de données bancaires, ni aucun renseignement personnel sensible au sens de la Loi 25 (santé, orientation sexuelle, origine ethnique, convictions religieuses, etc.).

Âge minimum : vous devez avoir au moins 14 ans pour créer un compte.

3. Finalités du traitement

Vos renseignements sont utilisés pour :

• Créer et gérer votre compte utilisateur.
• Administrer les programmes de points et récompenses.
• Vous envoyer des notifications de promotions (avec votre consentement explicite, révocable en tout temps).
• Vous prévenir quand vous gagnez ou échangez des points. Cet avis est une notificationsur votre appareil (navigateur ou application iPhone), si vous les avez activées — aucun courriel n'est envoyé à chaque achat ou échange.
• Assurer la sécurité de la plateforme et prévenir la fraude (notamment via les QR codes dynamiques).
• Respecter nos obligations légales.

Nous ne vendons, ne louons et ne partageons pas vos renseignements personnels à des tiers à des fins commerciales ou publicitaires. Le commerce dont vous rejoignez le programme de fidélité a toutefois accès à certains de vos renseignements afin d'administrer ce programme ; cet accès est décrit à la section 4.

4. Accès des commerçants à vos renseignements

Lorsque vous adhérez au programme de fidélité d'un commerce, ce commerce devient responsable des renseignements que vous lui confiez dans ce cadre, et BoniZone agit comme sous-traitant (fournisseur technique). Concrètement, le commerce dont vous rejoignez le programme a accès à :

• votre prénom, nom et adresse courriel ;
• votre solde de points dans son commerce ;
• votre historique d'achats et d'échanges réalisés chez lui (nombre de visites, montants dépensés, dates).

Ces renseignements lui servent uniquement à administrer son propre programme : vous identifier en caisse, attribuer vos points, honorer vos récompenses et comprendre la fréquentation de son commerce.

Important :

• Chaque commerce voit uniquement vos activités réalisées chez lui. Il ne voit jamais vos achats ni vos points accumulés dans les autres commerces de la plateforme.
• Si plusieurs commerces font partie d'un même réseau (franchise), l'exploitant du réseau peut consulter des statistiques regroupées de ses propres succursales, ainsi que la liste de ses meilleurs clients (nom et total de points).
• BoniZone n'utilise jamais ces renseignements à ses propres fins commerciales et ne les vend à personne (voir section 3).

L'accès d'un commerce à vos renseignements ne constitue pas une vente ni un partage à un tiers à des fins publicitaires : il s'agit du commerce avec lequel vous choisissez de faire affaire en adhérant à son programme.

5. Conservation des données

Vos données sont conservées tant que votre compte est actif. Si vous demandez la suppression de votre compte, vos renseignements personnels identifiables sont effacés dans un délai de 30 jours. Certaines données agrégées et anonymisées (ex. : statistiques globales de transactions) peuvent être conservées à des fins analytiques sans permettre de vous identifier.

Récompenses réclamées dans l'app. Quand vous appuyez sur « Réclamer », nous notons la récompense, la boutique et l'heure, pour que la caisse puisse la valider dans les 10 minutes. Le commerçant voit alors votre nom, votre code et votre solde chez lui. Ces réclamations sont effacées après 30 jours ; une récompense remise reste, comme tout échange, dans votre historique de points.

Journaux techniques de sécurité. Pour détecter la fraude et les intrusions (tentatives de connexion, adresses IP, connexions depuis un nouvel appareil), nous conservons un journal de sécurité pendant une durée maximale de 12 mois, après quoi ces entrées sont supprimées automatiquement. Les adresses IP ne servent qu'à cette fin de sécurité et ne sont jamais utilisées pour vous profiler à des fins commerciales.

Les données que nous sommes légalement tenus de conserver (ex. : données comptables en vertu de la Loi sur les impôts) sont conservées pour la durée prescrite par la loi applicable, puis détruites de façon sécurisée.

6. Vos droits

Conformément à la Loi 25 et à la LPRPDE, vous avez le droit de :

• Accéder à vos renseignements personnels — via la fonction « Télécharger mes données » dans votre profil, disponible immédiatement.
• Corriger vos informations inexactes — directement dans les paramètres de votre compte (section « Informations du compte »).
• Porter vos données (droit à la portabilité) — la fonction « Télécharger mes données » de votre profil génère un rapport PDF reprenant l'ensemble de vos renseignements (compte, boutiques, transactions, échanges). Sur demande auprès de notre responsable de la protection, ce rapport peut aussi vous être fourni dans un format structuré et lisible par machine, conformément à l'article 27 de la Loi 25.
• Retirer votre consentement aux communications promotionnelles — section « Notifications » de votre profil, en tout temps.
• Demander l'effacement de votre compte et de toutes vos données — via la fonction « Supprimer définitivement mon compte » dans votre profil.
• Porter plainte auprès de nous — écrivez à notre responsable de la protection (section 1). Nous accusons réception dans les 10 jours et vous transmettons une réponse motivée dans un délai maximal de 30 jours. La marche à suivre complète figure dans notre politique de gouvernance. Vous n'êtes jamais tenu de passer par nous d'abord : les deux recours ci-dessous vous restent ouverts en tout temps.
• Porter plainte auprès de la Commission d'accès à l'information du Québec (CAI) : www.cai.gouv.qc.ca
• Porter plainte auprès du Commissariat à la protection de la vie privée du Canada : www.priv.gc.ca

7. Sécurité

Nous appliquons des mesures de sécurité techniques et organisationnelles, notamment :

• Chiffrement des mots de passe avec bcrypt (facteur de coût 12).
• Authentification par jetons JWT signés, stockés dans un cookie httpOnly sécurisé inaccessible aux scripts JavaScript (durée de vie 30 jours).
• QR codes dynamiques signés HMAC-SHA256, renouvelés toutes les 30 secondes, pour prévenir la fraude. Lorsque votre appareil est hors ligne, l'application affiche à la place votre code de membre permanent (le même que vous pouvez déjà partager manuellement), accepté en caisse en repli.
• Limitation des tentatives de connexion (rate limiting).
• En-têtes de sécurité HTTP (CSP avec nonce par requête, HSTS, X-Frame-Options).
• Contrôle d'accès strict par rôles (client, commerçant, administrateur).
• Dans l'application iPhone, verrouillage facultatif par Face ID, Touch ID ou le code de l'appareil (voir section 8).

8. Témoins (cookies) et stockage local

Votre session est maintenue par un unique cookie d'authentification, nommé token. Ce cookie est de type httpOnly — il est géré exclusivement par notre serveur et ne peut pas être lu par des scripts JavaScript, ce qui protège votre compte contre les attaques de type XSS. Il expire automatiquement après 30 jours.

Un second cookie technique, d'une durée de cinq minutes, peut être déposé lors du déverrouillage d'un compte d'administration de la plateforme. Il ne concerne pas les comptes membres ni commerçants, ne contient aucun renseignement sur vous et disparaît de lui-même.

Aucun cookie de traçage ou d'analyse n'est utilisé. Aucun tiers (Google Analytics, Meta Pixel, etc.) n'a accès à vos données de navigation. Aucune bannière de consentement aux cookies n'est requise puisque ce cookie est strictement nécessaire au fonctionnement du service.

Stockage local pour le mode hors ligne : afin que vous puissiez consulter votre carte de fidélité sans connexion Internet, l'application conserve une copie de votre carte (votre nom, votre solde de points et votre code de membre) dans la mémoire locale de votre appareil (localStorage). Ces données restent sur votre appareil, ne sont transmises à aucun tiers, et servent uniquement à afficher votre carte quand le réseau est indisponible. Elles sont effacées lorsque vous vous déconnectez ou videz les données du site.

Application iPhone. L'application conserve de la même façon, sur votre appareil, une copie de votre carte et de vos soldes pour le mode hors ligne et pour ses widgets ; votre jeton de connexion est rangé dans le trousseau d'iOS. Tout est effacé à la déconnexion.

• Localisation : demandée seulement quand vous ouvrez la carte des boutiques, et seulement pour vous situer sur cette carte. Votre position reste sur votre appareil : elle n'est jamais envoyée à BoniZone ni aux commerçants, et n'est pas enregistrée. Vous pouvez refuser ou retirer cette autorisation dans les Réglages d'iOS ; la carte fonctionne sans elle.
• Face ID / Touch ID : le verrouillage de l'application est facultatif (iOS propose le code de l'appareil en repli). La reconnaissance est faite entièrement par iOS ; BoniZone ne reçoit, ne voit et ne conserve aucune donnée biométrique — l'application apprend seulement si le déverrouillage a réussi.
• Positions des boutiques : pour une boutique dont nos serveurs n'ont pas encore la position, l'application peut la retrouver à partir de son adresse avec le service de cartes d'Apple. Seule l'adresse du commerce est transmise, jamais votre position ni votre identité.

9. Transferts à l'extérieur du Québec

Conformément à l'article 17 de la Loi 25, nous vous informons que vos renseignements personnels sont traités à l'extérieur du Québec par les fournisseurs suivants. Chacun est lié envers BoniZone par les conditions de service que nous avons acceptées, lesquelles encadrent l'usage qu'il peut faire de ces renseignements et lui interdisent de les utiliser à ses propres fins. Une entente de traitement des données (Data Processing Agreement) est en vigueur avec Turso, qui héberge la base de données et détient donc l'essentiel des renseignements personnels, ainsi qu'avec Stripe et Resend, où elle fait partie des conditions de service que nous avons acceptées. Nous poursuivons la même démarche auprès de nos autres fournisseurs.

• Vercel Inc. (États-Unis) : L'application BoniZone est hébergée sur l'infrastructure de Vercel Inc. (San Francisco, Californie, USA). Les requêtes de vos appareils transitent par les serveurs de Vercel lors de chaque utilisation de la plateforme. Vercel est certifié SOC 2 Type 2 et GDPR. Politique de confidentialité : vercel.com/legal/privacy-policy
• Turso / ChiselStrike Inc. (États-Unis) : Notre base de données (noms, courriels, historique de points) est hébergée chez Turso (ChiselStrike Inc., USA). Les données sont chiffrées en transit (TLS) et au repos. Politique de confidentialité : turso.tech/legal/privacy
• Stripe Inc. (États-Unis) : Les paiements d'abonnements des commerçants sont traités par Stripe Inc. (San Francisco, Californie, USA). BoniZone ne stocke aucune donnée de carte de crédit — tout est géré directement par Stripe, certifié PCI DSS niveau 1. Politique de confidentialité : stripe.com/en-ca/privacy
• Resend Inc. (États-Unis) : L'envoi de nos courriels transactionnels (vérification de compte, réinitialisation de mot de passe, notifications, alertes de sécurité) est assuré par Resend Inc. (USA). Seuls votre adresse courriel et le contenu du message concerné transitent par ce service. Politique de confidentialité : resend.com/legal/privacy-policy
• Upstash, Inc. (États-Unis) : lorsque ce service est activé, il tient les compteurs qui limitent les tentatives répétées (connexion, codes de vérification, mot de passe oublié). Ces compteurs sont identifiés par une adresse IP et, pour certains, par l'adresse courriel visée ; ils ne contiennent rien d'autre et s'effacent d'eux-mêmes après une heure au plus. Politique de confidentialité : upstash.com/trust/privacy.pdf
• OpenStreetMap Foundation (Royaume-Uni) : nos serveurs envoient l'adresse d'un commerce au service Nominatim d'OpenStreetMap pour la placer sur la carte (ou, quand un commerçant remplit son adresse à partir de sa position, les coordonnées de son commerce pour retrouver l'adresse). Seul ce qui concerne le commerce est transmis, depuis nos serveurs — aucun renseignement sur les membres, et votre navigateur n'envoie plus d'adresses à ce service. Lorsque vous affichez une carte des commerces sur le site, votre navigateur télécharge toutefois les images de la carte (« tuiles ») directement depuis les serveurs d'OpenStreetMap, qui reçoivent alors, comme tout site web, votre adresse IP et la zone affichée. Politique de confidentialité : osmfoundation.org/wiki/Privacy_Policy
• Square, Inc. / Block, Inc. (États-Unis et Canada) : seulement chez un commerce qui a relié sa caisse Square à BoniZone. Square nous transmet chaque vente de ce commerce (montant, heure, numéro de reçu, type et 4 derniers chiffres de la carte, et une « empreinte » de la carte, un code calculé par Square qui ne permet pas de retrouver son numéro). Square nous transmet toutes les ventes du commerce, même celles de clients qui ne sont pas membres. Pour une personne qui n'est pas membre, nous ne gardons rien qui se rattache à elle : les renseignements de sa carte ne sont jamais enregistrés, et il ne reste que le montant, l'heure et le numéro de reçu, effacés après 24 heures. Pour un membre, l'empreinte de la carte n'est gardée que transformée par un code secret (HMAC) qui n'est pas dans la base, et elle n'est pas gardée avec la vente une fois les points donnés. Quand la caissière écrit votre code BoniZone dans la note de la vente, nous le lisons pour vous créditer ; la note n'est pas conservée. Vous n'êtes reconnu automatiquement par votre carte que si vous l'avez accepté dans votre profil (« Points automatiques »). Vous pouvez retirer cet accord et vos cartes liées à tout moment ; retirer l'accord efface les cartes liées. Politique de confidentialité : squareup.com/ca/fr/legal/general/privacy
• Services de notifications poussées : si vous activez les notifications sur votre appareil, celles-ci sont acheminées par le service de notification de votre navigateur ou système d'exploitation (Google, Apple ou Mozilla selon votre appareil), généralement situé aux États-Unis. Seul un identifiant technique d'abonnement, sans autre renseignement personnel, est transmis à ce service.

Évaluation au titre de l'article 17. Avant de confier vos renseignements à ces fournisseurs, nous avons évalué le niveau de protection en tenant compte non seulement de leurs mesures de sécurité (certifications SOC 2, GDPR, PCI DSS selon le cas), mais aussi du régime juridique du pays de destination. Ces fournisseurs étant établis aux États-Unis, vos renseignements peuvent en théorie faire l'objet d'une demande d'accès des autorités américaines en vertu de lois telles que le CLOUD Act — un risque qu'une certification de sécurité ne peut écarter, puisqu'elle protège contre les intrusions mais non contre une demande légale gouvernementale. Pour atténuer ce risque résiduel, nous : (1) limitons les renseignements transférés au strict nécessaire (aucune donnée bancaire ni renseignement sensible n'est collecté) ; (2) exigeons le chiffrement en transit et au repos ; (3) nous appuyons sur les conditions de service de chaque fournisseur, qui l'obligent à n'utiliser vos renseignements qu'aux seules fins du service rendu à BoniZone, et sur l'entente de traitement des données conclue avec l'hébergeur de la base de données. En utilisant BoniZone, vous êtes informé de ce transfert hors Québec et acceptez ce risque résiduel.

Sous-traitants ultérieurs. Ces fournisseurs peuvent eux-mêmes recourir à une infrastructure infonuagique sous-jacente (par exemple Amazon Web Services ou Google Cloud Platform), le plus souvent située aux États-Unis. Chacun maintient sa propre liste de sous-traitants, accessible via sa politique de confidentialité liée ci-dessus. Chaque fournisseur demeure responsable envers BoniZone des traitements confiés à ces couches additionnelles.

10. Incidents de confidentialité

En cas d'incident de confidentialité présentant un risque sérieux de préjudice (accès non autorisé, divulgation, perte de renseignements personnels), BoniZone s'engage à :

• Consigner l'incident dans notre registre des incidents de confidentialité dès sa détection.
• Notifier la Commission d'accès à l'information du Québec (CAI) ainsi que les personnes concernées avec diligence — et au plus tard 72 heures après que nous ayons pris connaissance d'un incident présentant un risque de préjudice sérieux. (Ce délai de 72 heures est un engagement volontaire de BoniZone, plus strict que la seule exigence de « diligence » de la Loi 25.)
• Vous indiquer, dans l'avis, la nature de l'incident, les renseignements touchés et les mesures que vous pouvez prendre pour réduire le risque (ex. : changer votre mot de passe).
• Documenter les mesures prises pour contenir l'incident et en limiter les conséquences.

Si vous suspectez que vos renseignements ont été compromis, contactez immédiatement notre responsable de la protection (section 1).

11. Modifications

Nous nous réservons le droit de modifier cette politique. En cas de changement important, vous serez informé par courriel ou par un avis visible dans l'application au moins 30 jours avant l'entrée en vigueur des modifications. La date de dernière mise à jour figure en haut de cette page.