Politique de confidentialité

1. Responsable de la protection des renseignements personnels

Conformément à l'article 3.1 de la Loi 25, MonBoni a désigné un responsable de la protection des renseignements personnels (RPRP). Toute demande relative à la protection de vos données doit être adressée à :

2. Renseignements collectés

Nous collectons uniquement les renseignements nécessaires à la fourniture du service (principe de minimisation) :

• Clients : prénom, nom, adresse courriel, code client unique (FID-XXXXX), historique de points et d'échanges, préférences de notifications.
• Commerçants (PME) : nom du commerce, type de commerce, adresse courriel, adresse physique et coordonnées GPS (optionnelles, nécessaires si la vérification géographique est activée).
• Données techniques : horodatage des connexions, jetons d'authentification (pour la sécurité et la détection de fraude). Nous ne collectons pas votre adresse IP de façon permanente.

Nous ne collectons pas de numéro de carte de crédit, de données bancaires, ni aucun renseignement personnel sensible au sens de la Loi 25 (santé, orientation sexuelle, origine ethnique, convictions religieuses, etc.).

Âge minimum : vous devez avoir au moins 14 ans pour créer un compte.

3. Finalités du traitement

Vos renseignements sont utilisés pour :

• Créer et gérer votre compte utilisateur.
• Administrer les programmes de points et récompenses.
• Calculer automatiquement votre niveau de fidélité (voir section 8).
• Vous envoyer des notifications de promotions (avec votre consentement explicite, révocable en tout temps).
• Assurer la sécurité de la plateforme et prévenir la fraude (notamment via les QR codes dynamiques).
• Respecter nos obligations légales.

Nous ne vendons, ne louons et ne partageons pas vos renseignements personnels à des tiers à des fins commerciales ou publicitaires.

4. Conservation des données

Vos données sont conservées tant que votre compte est actif. Si vous demandez la suppression de votre compte, vos renseignements personnels identifiables sont effacés dans un délai de 30 jours. Certaines données agrégées et anonymisées (ex. : statistiques globales de transactions) peuvent être conservées à des fins analytiques sans permettre de vous identifier.

Les données que nous sommes légalement tenus de conserver (ex. : données comptables en vertu de la Loi sur les impôts) sont conservées pour la durée prescrite par la loi applicable, puis détruites de façon sécurisée.

5. Vos droits

Conformément à la Loi 25 et à la LPRPDE, vous avez le droit de :

• Accéder à vos renseignements personnels — via la fonction « Télécharger mes données » dans votre profil, disponible immédiatement.
• Corriger vos informations inexactes — directement dans les paramètres de votre compte (section « Informations du compte »).
• Porter vos données (droit à la portabilité) — l'export JSON disponible dans votre profil constitue un format structuré et lisible par machine, conformément à l'article 27 de la Loi 25.
• Retirer votre consentement aux communications promotionnelles — section « Notifications » de votre profil, en tout temps.
• Demander l'effacement de votre compte et de toutes vos données — via la fonction « Supprimer définitivement mon compte » dans votre profil.
• Contester une décision automatisée (ex. : votre niveau de fidélité) — en contactant notre responsable de la protection (voir section 1).
• Porter plainte auprès de la Commission d'accès à l'information du Québec (CAI) : www.cai.gouv.qc.ca
• Porter plainte auprès du Commissariat à la protection de la vie privée du Canada : www.priv.gc.ca

6. Sécurité

Nous appliquons des mesures de sécurité techniques et organisationnelles, notamment :

• Chiffrement des mots de passe avec bcrypt (facteur de coût 10).
• Authentification par jetons JWT signés (durée de vie limitée).
• QR codes dynamiques signés HMAC-SHA256, renouvelés toutes les 30 secondes, pour prévenir la fraude.
• Limitation des tentatives de connexion (rate limiting).
• En-têtes de sécurité HTTP (CSP, HSTS, X-Frame-Options).
• Contrôle d'accès strict par rôles (client, commerçant, administrateur).

7. Témoins (cookies)

Cette application n'utilise pas de cookies de traçage ou d'analyse. L'authentification est gérée via des jetons JWT stockés dans le stockage local de votre navigateur (localStorage), utilisés uniquement pour maintenir votre session active. Aucun tiers (Google Analytics, Meta Pixel, etc.) n'a accès à vos données de navigation.

8. Profilage et décisions automatisées

Conformément à l'article 12.1 de la Loi 25, nous vous informons que MonBoni utilise un système automatisé de calcul de niveau de fidélité (Bronze, Argent, Or, Platine) basé sur le cumul de vos points de fidélité :

• Bronze : 0 à 499 points
• Argent : 500 à 1 999 points
• Or : 2 000 à 4 999 points
• Platine : 5 000 points et plus

Ce classement est entièrement basé sur vos activités au sein du service (achats, échanges) et n'implique aucune autre variable personnelle. Il n'a aucun impact sur votre solvabilité, votre accès au crédit ou d'autres décisions ayant des effets juridiques ou significatifs en dehors de la plateforme.

Vous pouvez consulter vos points et votre niveau à tout moment dans votre profil. Pour contester votre niveau ou demander une révision manuelle, contactez notre responsable de la protection (section 1).

9. Transferts à l'extérieur du Québec

Conformément à l'article 17 de la Loi 25, nous vous informons que certaines données peuvent être traitées à l'extérieur du Québec dans les situations suivantes :

• Square (États-Unis) : Si un commerçant utilise Square comme système de caisse, les transactions de paiement sont traitées par Square Inc. (California, USA), soumis à la législation américaine. MonBoni ne transmet que les données strictement nécessaires à l'attribution des points (montant de transaction, identifiant anonymisé). Politique de confidentialité de Square : squareup.com/ca/en/legal/general/privacy

Avant tout transfert, nous nous assurons que le destinataire offre un niveau de protection adéquat, conformément aux exigences de la Loi 25.

10. Incidents de confidentialité

En cas d'incident de confidentialité présentant un risque sérieux de préjudice (accès non autorisé, divulgation, perte de renseignements personnels), MonBoni s'engage à :

• Consigner l'incident dans un registre interne dès sa détection.
• Notifier la Commission d'accès à l'information du Québec (CAI) dans les délais prescrits.
• Aviser les personnes concernées par courriel lorsque l'incident présente un risque de préjudice sérieux.

Si vous suspectez que vos renseignements ont été compromis, contactez immédiatement notre responsable de la protection (section 1).

11. Modifications

Nous nous réservons le droit de modifier cette politique. En cas de changement important, vous serez informé par courriel ou par un avis visible dans l'application au moins 30 jours avant l'entrée en vigueur des modifications. La date de dernière mise à jour figure en haut de cette page.