Confidentialité et données

En résumé

• Votre adresse électronique est votre identifiant : vous vous connectez par un code à usage unique qui y est envoyé, sans mot de passe. Sans elle, pas de compte.
• Chaque commerçant voit ce qui se passe chez lui : vos passages, vos points, vos bons. Il ne voit pas ce que vous achetez ailleurs.
• Nous ne vendons rien à personne. Il n’y a pas de régie publicitaire derrière Fidko.
• Ce site public ne dépose aucun cookie et ne contient aucun traqueur.
• Vous supprimez votre compte depuis l’application, en trois gestes, sans nous écrire ni attendre : Profil → Confidentialité et conditions → Supprimer mon compte. L’effacement est immédiat, et cette page détaille ce qui part et ce qui reste.

Qui décide de quoi

La question du responsable de traitement n’est pas de la paperasse : elle dit à qui vous adressez vos demandes.

Le commerçant est responsable de traitement

pour les données de fidélité de ses clients : votre adhésion à sa carte, vos points, vos passages chez lui, vos bons. C’est lui qui décide de son programme, de ses règles et de ses messages. Le Studio Web agit alors comme sous-traitant au sens de l’article 28 du RGPD, sur la base d’un contrat de sous-traitance.

Les commerces d’un réseau sont responsables conjoints

lorsqu’ils partagent une même carte : au sens de l’article 26 du RGPD, ils doivent convenir entre eux par écrit de la répartition de leurs obligations. Vous pouvez exercer vos droits auprès de n’importe lequel d’entre eux.

Le Studio Web est responsable de traitement

pour ses propres traitements : le compte Fidko qui vous permet de vous connecter, la sécurité du service, les demandes envoyées par le formulaire de contact du site ou depuis l’application (« Parler de mon commerce »), la relation avec les commerçants qui utilisent Fidko et sa comptabilité.

Ce qui est collecté

Pour créer et tenir votre compte

• Votre adresse électronique — obligatoire. C’est ce qui vous identifie : le code de connexion y est envoyé, et c’est elle qui vous rend vos cartes quand vous changez de téléphone.
• Votre prénom — obligatoire : il est demandé à l’inscription, avec votre adresse, et enregistré dès la création du compte ; vous le corrigez dans votre profil. C’est ce qui permet au commerçant de vous appeler par votre nom au comptoir.
• Votre nom — facultatif : vous le donnez dans votre profil, si vous le voulez.
• Votre date de naissance — uniquement si vous la donnez, et uniquement pour la récompense d’anniversaire proposée par un commerçant. Vous pouvez la corriger jusqu’à ce qu’elle ait servi à une récompense ; ensuite, elle ne change plus : c’est ce qui empêche de fêter son anniversaire douze fois par an. Vous pouvez aussi la retirer à tout moment, dans « Mes informations » : elle est effacée, et plus aucun cadeau d’anniversaire ne vous est offert. Si elle a déjà servi, vous ne pourrez plus en donner une, ni une autre ni la même : pour reconnaître la même, il faudrait l’avoir gardée. Le cadeau arrive sur votre carte ; le message qui l’annonce ne vous parvient que si vous acceptez les offres des commerces, et que vous n’avez pas bloqué la carte qui l’offre — celle du commerce, ou celle du réseau.
• Votre attestation d’avoir quinze ans ou plus, demandée une fois, à la création du compte, et la version des conditions générales et de cette politique que vous avez acceptées, avec la date.
• Votre accord pour recevoir les offres des commerces — facultatif, et jamais donné d’avance : tant que vous ne l’avez pas activé, aucun commerce ne vous envoie d’offre. C’est un seul réglage, dans l’application (Profil › Notifications), qui vaut pour tous les commerces dont vous avez la carte, ceux que vous rejoindrez ensuite compris. Si une carte à votre nom est ouverte en caisse, ou une carte que vous aviez quittée rouverte, par un commerçant qui lit l’un de vos codes, son message de bienvenue vous le dit — en notification, ou par courriel si votre téléphone n’en reçoit pas — avec le moyen de bloquer ce commerce. Vous le retirez à tout moment, au même endroit, ou par le lien de désabonnement présent dans chacun des courriels que vous envoient les commerces (le courriel qui porte votre code de connexion n’en a pas : ce n’est pas une offre) : plus aucun commerce ne vous écrit d’offre. Si vous l’aviez retiré par ce lien, le réactiver dans l’application rétablit aussi les courriels d’offres.
• L’historique de vos réponses à cet accord, pour pouvoir prouver ce que vous avez accepté, et quand : chaque changement — oui ou non —, sa date et d’où il vient (l’application, le lien d’un courriel, la suppression du compte). Quand vous répondez dans l’application, elle envoie avec votre réponse le numéro de version de la phrase affichée sous l’interrupteur, celle que vous aviez sous les yeux : c’est elle qui dit à quoi vous avez dit oui. Un retrait par le lien d’un courriel ou par la suppression du compte n’a pas de phrase à prouver, et n’en porte pas. Une réponse ne s’y corrige pas, une nouvelle s’y ajoute ; chacune est gardée cinq ans à compter de sa date — un oui, tant qu’il vaut, puis cinq ans après la réponse qui le remplace (voir Combien de temps).
• Si vous aviez un compte avant le 24 septembre 2026 : vos réponses d’alors, données carte par carte (« recevoir les offres de ce commerce »), et leur date. Nous les gardons, sans plus nous en servir pour vous écrire, comme preuve de ce que vous aviez accepté et quand. Aucune n’a été reprise dans l’accord unique : il a démarré désactivé pour tout le monde.

Pour faire fonctionner la carte, chez chaque commerçant

• Votre historique d’achat chez lui : la date et l’heure du passage, la boutique, le montant réglé s’il est saisi, les points ou tampons gagnés, les bons consommés, la personne de l’équipe qui a servi, une note en cas de geste commercial, et le motif écrit si un passage est annulé.
• Vos soldes : points, tampons en cours, cagnotte, palier atteint.
• Vos bons acquis, avec leur date de fin de validité.
• Un code public et un code de parrainage, tirés au hasard, qui vous désignent sans révéler votre identité.
• Si vous bloquez ce commerçant, la date du blocage. Bloqué, il ne vous écrit plus rien — ni message, ni offre, ni relance, ni mot d’anniversaire, ni même l’avis d’un bon gagné ou utilisé —, même si vous acceptez les offres des commerces, et ses offres n’apparaissent plus dans l’application. Sur la carte commune d’un réseau dont il fait partie, il se tait aussi pour tout ce qu’il y écrit : ses messages, l’avis d’un bon gagné chez lui et son rappel avant l’expiration, d’un palier atteint ou d’un bon utilisé chez lui. Ce que le réseau vous écrit lui-même — sa bienvenue, son cadeau d’anniversaire et son rappel, ce qu’un autre commerce du réseau déclenche — ne vient pas de ce commerçant : pour le faire taire, bloquez la carte du réseau elle-même. Votre carte, vos points et vos bons restent, et leur historique se lit toujours sur la carte. Vous bloquez depuis sa carte ou après avoir signalé l’un de ses messages, et vous débloquez depuis sa carte ou dans Profil › Notifications. Le commerçant n’en est pas averti, et sa fiche client ne le montre pas : il ne voit que le nombre de clients que ses offres atteignent, sans savoir lesquels.

Pour la sécurité et le bon fonctionnement

• Les codes à usage unique envoyés par courriel pour vous connecter.
• Vos sessions ouvertes, et l’identifiant d’installation que l’application tire au hasard pour reconnaître votre appareil, avec son système (iPhone ou Android).
• Si vous acceptez les notifications : le jeton de notification de votre téléphone, et les versions de l’application et du système, pour joindre le bon appareil. Ce jeton part après votre oui : quand vous touchez « Continuer » sur l’écran qui suit l’inscription, ou « Activer les notifications » dans Profil › Notifications, ou que vous y activez l’accord aux offres, puis que vous acceptez dans la boîte de votre téléphone, s’il en ouvre une. Il repart ensuite à chaque ouverture de session, pour rester à jour. Une connexion — ou une reconnexion — suffit aussi sur un téléphone qui a déjà autorisé Fidko, pour ce compte ou pour un autre — un iPhone, ou un Android 13 ou plus récent : ces systèmes n’autorisent une application qu’après votre oui dans leur propre boîte, dans leurs réglages ou, pour un Android passé de la version 12 à la 13, dans l’application avant la mise à jour. Sur ces téléphones, c’est dans cette boîte que vous dites non : refusez-y, et aucun jeton ne part ; vous pourrez changer d’avis dans les réglages du téléphone. Android 12 et les versions antérieures, eux, autorisent les notifications sans rien demander : là, seul votre oui dans l’application compte, et « Plus tard » ou la déconnexion l’effacent. Sur ces versions, et sur elles seules, l’écran qui suit l’inscription propose donc « Plus tard » : il retire ce téléphone de votre compte, et le jeton ne repart qu’après un oui dans l’application.
• Les journaux techniques du service. À chaque requête, notre API et notre serveur web écrivent l’adresse IP d’où elle vient, l’appareil qui l’envoie (le navigateur ou l’application, et son système), l’heure, l’adresse demandée — sans ce qui suit le « ? » — et la réponse donnée. Ils servent à retrouver l’origine d’une panne ou d’une attaque ; ils s’effacent d’eux-mêmes, par rotation (voir Combien de temps). S’y ajoutent les journaux transmis par Apple lorsqu’un pass ne se met pas à jour.
• Le journal d’audit : les actions qui engagent un commerce ou un compte — un passage annulé, un solde corrigé, un message envoyé aux clients, une carte modifiée, un compte supprimé —, avec la date, l’auteur, et souvent l’adresse IP et l’appareil depuis lesquels il a agi. Il sert à rendre compte d’une action contestée.

Si vous nous écrivez depuis l’application

• Le texte d’un signalement — un message reçu d’un commerce, ce qu’un commerce affiche, ou autre chose — et le commerce qu’il concerne, pour l’instruire.
• Une demande de contact pour votre commerce (« Parler de mon commerce ») : votre nom, celui du commerce, un numéro de téléphone, une adresse électronique, votre métier et votre accord à être recontacté. C’est le seul endroit où l’application vous demande votre numéro de téléphone à vous — celui d’un commerce, au verso de sa carte, est décrit plus bas. Le Studio Web s’en sert pour vous répondre, par courriel ou par téléphone, et pour vous présenter l’espace commerçant de Fidko : c’est une démarche commerciale, faite parce que vous l’avez demandée, et rien d’autre — ni liste de diffusion, ni transmission à un tiers. Ces coordonnées sont gardées trois ans après notre dernier échange ; vous pouvez retirer votre accord, les faire corriger ou effacer à tout moment en écrivant à contact@fidko.fr.

Si vous travaillez dans un commerce

• L’adresse électronique à laquelle le commerce vous invite dans son équipe, et votre rôle. Chaque passage que vous enregistrez est attribué à votre compte.
• Ce que vous écrivez : les messages envoyés aux clients, la note d’un geste commercial, le motif d’une annulation.
• Le nom et l’adresse de chaque boutique du commerce — l’adresse est située sur la carte par l’IGN, voir plus bas.
• Le logo que le commerce importe pour sa carte, s’il en importe un : une image, que vous choisissez vous-même dans le sélecteur de fichiers de votre téléphone — Fidko n’a pas accès à votre photothèque. Nous la gardons chez notre hébergeur, convertie en PNG et sans ses métadonnées (ni lieu ni date de prise de vue) ; elle s’affiche dans l’application chez les clients du commerce, et part chez Apple et Google dans leurs cartes Wallet.
• Le verso de la carte, si le commerce le remplit : l’adresse et le numéro de téléphone du commerce, et les lignes qu’il y ajoute (ses horaires, par exemple). L’application les préremplit depuis la fiche du commerce ; il les corrige ou les efface. Ils s’affichent chez les clients du commerce, dans l’application, et partent chez Apple et Google dans leurs cartes Wallet. Gardés tant qu’une version de la carte les porte.

Pour classer les commerces par distance

L’onglet « Trouver » de l’application peut demander votre position, et seulement à ce moment-là. Elle sert à une chose : classer les commerces du plus proche au plus loin.

• Fidko ne demande que votre position approximative, jamais la position précise : votre téléphone ne lui donne qu’un secteur, pas l’endroit exact où vous êtes.
• Elle est lue sur votre téléphone, envoyée avec la requête de recherche — dans un en-tête de la requête, jamais dans une adresse web, qui finirait dans un journal —, et jamais enregistrée : ni en base, ni dans les journaux.
• Sur la carte, elle sert aussi à poser le point « vous » et à cadrer la vue sur votre secteur. La zone alors affichée l’entoure : quand la carte demande les commerces de cette zone, elle nous transmet donc aussi, approximativement, l’endroit où vous êtes — de la même façon, dans un en-tête de la requête et jamais dans une adresse web, sans être enregistrée ni journalisée.
• Elle n’est transmise à personne d’autre : aucun service de cartographie ne la reçoit. Le lien « Itinéraire » d’un commerce ouvre Google Maps hors de l’application, sur une recherche par son NOM et sa ville, pas par coordonnées ; le bouton du plan qui ouvre le quartier dans Google Maps y cherche « commerces à proximité », sans votre position.
• Vous pouvez refuser. L’onglet fonctionne sans : les commerces s’affichent alors par ordre alphabétique, sans distance.

La carte de l’onglet « Trouver »

L’onglet « Trouver » montre une carte. Pour la dessiner, votre téléphone demande les morceaux de carte de la zone que vous regardez à l’écran.

• Ce fond de carte est servi par nos propres serveurs (tuiles.fidko.fr), pas par un service de cartographie. Ce serveur n’écrit aucun journal : ni la zone regardée, ni votre adresse IP ne sont conservées.
• Les commerces épinglés sur la carte sont demandés à nos serveurs pour la zone affichée. À l’ouverture, si vous avez donné votre position, cette zone est centrée sur elle ; ensuite, c’est vous qui la déplacez. Elle voyage dans un en-tête de la requête, jamais dans une adresse web, et n’est ni enregistrée ni journalisée.
• Les données de la carte viennent d’OpenStreetMap : © les contributeurs d’OpenStreetMap, sous licence ODbL.

Ce que nous ne collectons pas : le détail de vos articles (nous connaissons un montant, pas votre panier), vos coordonnées bancaires — Fidko ne traite aucun paiement de client —, aucune image — l’appareil photo ne sert qu’à lire un QR code, et seul le code lu est envoyé —, ni vos contacts, ni vos photos, ni le micro, ni aucun identifiant publicitaire, et rien qui vienne d’un site tiers, puisqu’il n’y a aucun traqueur. Votre position n’est pas dans cette liste : voir juste au-dessus ce qu’il en est exactement.

Pourquoi, et sur quelle base

Combien de temps

Supprimer votre compte

Depuis l’application, sans nous écrire et sans délai : ouvrez l’onglet Profil, touchez Confidentialité et conditions, puis Supprimer mon compte, et écrivez le mot SUPPRIMER pour confirmer. C’est volontairement un peu laborieux : on ne supprime pas un compte d’un pouce qui glisse. L’effacement décrit ci-dessous a lieu immédiatement.

Si votre compte est celui d’un commerçant ou d’un membre d’une équipe, l’application s’ouvre sur l’espace du commerce : touchez les initiales du commerce, en haut de l’écran, pour ouvrir les Réglages, puis, tout en bas, Supprimer mon compte, et écrivez le mot SUPPRIMER pour confirmer.

Si vous n’avez plus l’application — téléphone perdu, changé, désinstallé —, écrivez à contact@fidko.fr depuis l’adresse électronique de votre compte, en demandant sa suppression. Nous ne supprimons jamais un compte sur la seule foi d’une adresse qu’on nous donne : il suffirait d’écrire celle de quelqu’un d’autre. Nous vous répondons à cette adresse sous 24 heures, pour vérifier que la demande vient bien de vous ; le compte est ensuite supprimé comme depuis l’application, et nous vous le confirmons par écrit, dans le mois au plus tard — le délai que fixe le RGPD.

Si vous êtes le seul responsable d’un commerce en activité, supprimer votre compte ferme aussi ce commerce : l’écran le dit, avec la date, avant que vous confirmiez. Le commerce quitte aussitôt « Trouver » et ferme 30 jours plus tard ; jusque-là, seuls les autres membres de son équipe, s’il en a, peuvent encore enregistrer des passages et rendre des bons. Pour qu’il reste ouvert sans vous, nommez d’abord un autre responsable, dans Réglages puis Équipe.

Ce qui se passe alors :

• Votre adresse électronique est effacée.
• Votre prénom, votre nom et votre date de naissance sont effacés.
• Toutes vos sessions sont révoquées, sur tous vos appareils.
• Vos cartes sont retirées des programmes auxquels vous adhériez, et les passes Wallet correspondants sont invalidés.
• Les écritures comptables du programme restent, mais sans rien qui vous désigne : le commerçant conserve le fait qu’un passage a eu lieu, sans la personne qui l’a fait.
• L’accord aux offres est retiré, et ce retrait s’ajoute à l’historique de vos accords, qui reste, rattaché à un compte qui ne porte plus ni nom ni adresse : chaque réponse y est gardée cinq ans à compter de sa date — votre dernier oui, cinq ans à compter de ce retrait —, puis effacée. C’est la preuve qu’aucune offre ne vous a été envoyée sans votre accord : nous devons pouvoir la produire même après votre départ.

Vous pouvez aussi quitter la carte d’un seul commerçant sans supprimer votre compte : la carte s’ouvre dans l’application, et Quitter ce programme se trouve en bas. Vos autres cartes restent. Sans l’application, demandez-le par la même adresse, en nommant le commerce. Quitter une carte n’efface pas ce qu’elle garde : son historique et son solde restent attachés à votre compte, et vous les retrouvez si vous la rejoignez de nouveau. Pour les effacer, supprimez votre compte.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données, ainsi que du droit de retirer votre consentement à tout moment lorsqu’il est la base du traitement.

• Pour vos données de fidélité chez un commerçant, adressez-vous d’abord à ce commerçant : c’est lui le responsable. Nous l’assistons techniquement.
• Pour votre compte Fidko, écrivez à contact@fidko.fr. Nous répondons dans un délai d’un mois.
• Si la réponse ne vous convient pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris — cnil.fr.

Qui d’autre voit vos données

• Le commerçant chez qui vous avez une carte, et lui seul : un commerçant ne voit jamais l’activité d’un autre. Dans un réseau, les participants partagent le solde de la carte commune — c’est le principe même de la carte commune.
• Apple et Google, pour que votre carte s’affiche et se mette à jour dans leur portefeuille, et pour vous transmettre les notifications. Cela implique un transfert de données vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne et le cadre de protection des données UE–États-Unis.
• Expo (Expo Application Services), qui relaie toutes nos notifications vers Apple et vers Google : les avis de votre carte — une récompense gagnée, utilisée ou qui va expirer, un palier atteint, un cadeau d’anniversaire — comme les messages et les offres des commerces. Passent donc par ses serveurs : le jeton de notification de votre téléphone ; le texte de chaque notification, qui nomme le commerce et, selon le cas, la récompense ou le palier ; et des identifiants techniques de la carte, du programme, du commerce et, selon le cas, de la récompense ou du palier, qui ne disent pas qui vous êtes. Pour obtenir ce jeton, votre téléphone contacte aussi Expo lui-même : il lui transmet le jeton que lui donne Apple ou Google, un identifiant propre à cette installation de l’application et, comme toute connexion, son adresse IP. Ni votre nom, ni votre adresse électronique, ni votre date de naissance n’y transitent. Transfert vers les États-Unis, encadré comme ci-dessus.
• Google, sur Android seulement, par deux bibliothèques que l’application embarque :
  • Firebase Cloud Messaging, qui livre nos notifications aux téléphones Android : Google attribue à cette installation de l’application un identifiant et un jeton de notification, et traite la livraison de chaque notification. Ce jeton ne lui est demandé qu’après votre oui aux notifications (voir plus haut).
  • ML Kit, qui décode le QR code que lit l’appareil photo. Le décodage a lieu sur le téléphone, et aucune image ne part ; mais Google déclare que ML Kit lui envoie des informations sur l’appareil et l’application (fabricant, modèle, version du système et de l’application), un identifiant propre à cette installation et des mesures de performance, pour mesurer et diagnostiquer son propre service, sans les transmettre à d’autres (déclaration de Google).
  Sur iPhone, ni l’un ni l’autre : les notifications y passent par Apple, et le QR code y est décodé par le système. Transfert vers les États-Unis, encadré comme ci-dessus.
• Notre hébergeur, OVH SAS (2 rue Kellermann, 59100 Roubaix), dont les serveurs qui portent Fidko sont situés en France : la base de données, les logos des commerces, les journaux techniques et le fond de carte y sont gardés. OVH les héberge pour notre compte et n’en fait aucun autre usage.
• OVH SAS, encore, pour l’envoi de nos courriels : ils partent de notre boîte contact@fidko.fr, hébergée chez OVH. Passent par ses serveurs de messagerie l’adresse du destinataire et le texte de chaque courriel que Fidko envoie : le code de connexion, les messages du service — une confirmation, une invitation dans une équipe, un message de bienvenue — et les courriels des commerces, qui nomment le commerce et, selon le cas, votre prénom et une récompense.
• L’IGN (Institut national de l’information géographique et forestière, établissement public français), côté commerçant seulement : l’adresse de chaque point de vente d’un commerce est envoyée à son service de géocodage, la Géoplateforme (data.geopf.fr), pour situer la boutique sur la carte. C’est l’adresse publique d’un magasin, envoyée quand le commerce l’enregistre ou la change. Aucune donnée de client n’y part — ni votre position, ni votre compte, ni vos cartes.

Aucune donnée n’est vendue, louée, ni transmise à un annonceur ou à un courtier.

Comment c’est protégé

• Tout transite en HTTPS, sans exception.
• Il n’y a pas de mot de passe de client à voler : vous vous connectez par un code à usage unique, valable quelques minutes.
• Les mots de passe des équipes commerçantes sont hachés avec Argon2id, jamais stockés en clair.
• Les jetons de session sont à usage unique : réutiliser un ancien jeton révoque toute la famille de sessions, ce qui rend un vol immédiatement visible.
• Une caisse ne peut techniquement écrire que dans les programmes auxquels son commerce participe — ce n’est pas une règle de code, c’est une contrainte de la base de données.
• La liste locale que la caisse garde pour travailler hors ligne ne contient aucun nom : des codes et des soldes, rien de plus.

Cookies et mesure d’audience

Ce site public ne dépose aucun cookie, n’utilise aucun outil de mesure d’audience, aucun pixel et aucun bouton de réseau social. Les caractères typographiques sont servis depuis nos propres serveurs : votre adresse IP n’est transmise à aucun tiers pendant votre visite. Il n’y a donc pas de bandeau de consentement à cliquer, et c’est volontaire.

Le seul élément mémorisé dans votre navigateur est votre préférence de thème clair ou sombre, si vous en choisissez une. Elle reste chez vous et ne nous parvient jamais.

Les mineurs

Fidko n’est pas destiné aux enfants. À la création d’un compte, l’application demande d’attester avoir quinze ans ou plus, et n’en ouvre aucun sans cette attestation ; une date de naissance qui donnerait moins de quinze ans est refusée. En dessous de cet âge, l’accord du titulaire de l’autorité parentale serait requis en France, et Fidko ne le recueille pas. Si vous constatez qu’un compte a été ouvert par un enfant, écrivez-nous et nous le supprimerons.

Si ce texte change

Nous numérotons et datons chaque version, et le service garde celle que vous avez acceptée. Quand ce texte change, l’application vous le signale — un bandeau en tête de l’onglet Fidélité — et vous le montre dans Profil → Confidentialité et conditions, où vous l’acceptez de nouveau : pas caché au milieu d’une mise à jour.