Politique de Confidentialité — RGPD

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via la plateforme Push (accessible à l'adresse just-push.com) est :

• Raison sociale : PUSH
• Forme juridique : SASU (Société par actions simplifiée unipersonnelle), capital 1 €
• SIRET : 104 991 310 00012 — RCS Paris 104 991 310
• Siège social : 229 Rue Saint-Honoré, 75001 Paris, France
• Représentant légal : Sonny HADJ LARBI, Président
• Email : [email protected]

Push est une plateforme de wallet marketing permettant aux commerçants d'envoyer des notifications push via Apple Wallet et Google Wallet à leurs clients.

2. Données collectées

Nous collectons différentes catégories de données selon le type d'utilisateur :

2.1 Commerçants (utilisateurs de la plateforme)

• Nom et prénom du représentant
• Adresse email professionnelle
• Numéro de téléphone
• Adresse de l'établissement
• Numéro SIRET
• Données de facturation (via Square)
• Logo et visuels de l'enseigne

2.2 Clients finaux (porteurs de cartes wallet)

• Prénom
• Adresse email (optionnel)
• Numéro de téléphone (optionnel)
• Date de naissance (optionnel, pour offres anniversaire)
• Données de scan / visite (horodatage, localisation du point de vente)
• Historique de fidélité (nombre de points, tampons, récompenses)

2.3 Données collectées automatiquement

• Adresse IP (anonymisée dans les analytics)
• Type de navigateur et système d'exploitation
• Pages visitées et durée de visite (site landing uniquement)

3. Finalités du traitement

Les données personnelles sont traitées pour les finalités suivantes :

• Gestion des comptes : création, authentification et administration des comptes commerçants
• Fourniture du service : génération des cartes wallet, envoi des notifications push via Apple Wallet et Google Wallet
• Programme de fidélité : suivi des points, tampons et récompenses des clients finaux
• Notifications wallet : envoi de notifications push manuelles ou automatisées aux porteurs de cartes
• Analytics anonymisés : statistiques d'utilisation agrégées pour améliorer le service (nombre de scans, taux de rétention, etc.)
• Facturation : gestion des abonnements et paiements via Square
• Support client : traitement des demandes d'assistance

4. Base légale du traitement

Le traitement des données repose sur les bases légales suivantes :

• Exécution du contrat (Article 6.1.b RGPD) : pour les commerçants, le traitement est nécessaire à l'exécution du contrat d'abonnement à la plateforme Push.
• Consentement (Article 6.1.a RGPD) : pour les clients finaux, le traitement repose sur le consentement libre et éclairé lors de l'ajout volontaire de la carte wallet à leur appareil. Le retrait du consentement est possible à tout moment en supprimant la carte de son wallet.
• Intérêt légitime (Article 6.1.f RGPD) : pour les analytics anonymisés et l'amélioration du service.
• Obligation légale (Article 6.1.c RGPD) : pour la conservation des données de facturation conformément au Code de commerce.

5. Durée de conservation

Les données personnelles sont conservées selon les durées suivantes :

À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

6. Destinataires des données

Les données personnelles peuvent être communiquées aux destinataires suivants :

• PUSH (SASU) : en tant que responsable du traitement et sous-traitant technique pour le compte des commerçants. Un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD encadre cette relation.
• Apple Inc. : pour la génération et la mise à jour des passes Apple Wallet (Apple Push Notification service).
• Google LLC : pour la génération et la mise à jour des passes Google Wallet (Google Wallet API).
• Block, Inc. (Square) : pour le traitement sécurisé des paiements par carte bancaire via la filiale européenne Squareup Europe Ltd. Square est certifié PCI-DSS niveau 1.
• Hetzner Online GmbH : hébergeur de l'infrastructure (serveurs situés en Allemagne, Union Européenne).
• Cloudflare, Inc. : réseau de diffusion (CDN), cache et protection DDoS pour just-push.com.

Aucune donnée personnelle n'est vendue, louée ou cédée à des tiers à des fins commerciales ou publicitaires.

7. Transferts de données hors Union Européenne

Certains de nos sous-traitants sont situés en dehors de l'Union Européenne. Ces transferts sont encadrés par les garanties suivantes :

• Apple Inc. (États-Unis) : transfert encadré par les Clauses Contractuelles Types (SCC) de la Commission européenne et le EU-US Data Privacy Framework (DPF).
• Google LLC (États-Unis) : transfert encadré par les Clauses Contractuelles Types (SCC) et le EU-US Data Privacy Framework (DPF). Google est certifié au titre du DPF.
• Block, Inc. (Square — États-Unis) : transfert encadré par les Clauses Contractuelles Types (SCC) et le EU-US Data Privacy Framework (DPF). Le traitement des paiements en Europe est effectué par la filiale Squareup Europe Ltd (Irlande). Square est certifié PCI-DSS niveau 1.
• Cloudflare, Inc. (États-Unis) : transfert encadré par les Clauses Contractuelles Types (SCC) et le EU-US Data Privacy Framework (DPF), uniquement pour les métadonnées techniques (logs CDN).

L'infrastructure principale (serveurs, base de données) est hébergée en Union Européenne chez Hetzner Online GmbH (Allemagne). Seules les données strictement nécessaires au fonctionnement des services wallet et paiement sont transmises aux prestataires américains.

8. Droits des personnes

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (Art. 15) : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification (Art. 16) : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (Art. 17) : demander la suppression de vos données dans les conditions prévues par le RGPD.
• Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition (Art. 21) : vous opposer au traitement de vos données pour des motifs légitimes.
• Droit à la limitation (Art. 18) : obtenir la limitation du traitement dans certains cas.
• Droit de retrait du consentement : retirer votre consentement à tout moment, sans que cela ne remette en cause la licéité du traitement effectué avant le retrait.

Pour exercer vos droits, adressez votre demande par email à [email protected] en précisant votre identité et le droit que vous souhaitez exercer. Nous nous engageons à répondre dans un délai d'un mois.

En cas de difficulté, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr

9. Cookies

Le site just-push.com utilise des cookies nécessaires et, uniquement avec votre consentement, Meta Pixel pour mesurer les campagnes publicitaires.

Les traceurs Meta restent bloqués tant que vous n'avez pas donné votre consentement. Le bouton Cookies permet ensuite de modifier ou retirer ce choix aussi facilement que vous l'avez donné.

10. Sécurité des données

Push met en œuvre les mesures techniques et organisationnelles suivantes pour garantir la sécurité de vos données :

• Chiffrement en transit : toutes les communications sont chiffrées via TLS 1.2+ (HTTPS)
• Authentification : tokens JWT signés avec l'algorithme ES256 (courbes elliptiques)
• Mots de passe : hashés avec bcrypt (facteur de coût adaptatif)
• Base de données : PostgreSQL hébergée sur serveur dédié Hetzner en Allemagne (Union Européenne), accès restreint par firewall
• Sauvegardes : sauvegardes automatiques quotidiennes chiffrées
• Accès : principe du moindre privilège, authentification multi-facteurs pour les administrateurs
• Monitoring : surveillance continue des accès et alertes en cas d'activité suspecte

11. Délégué à la Protection des Données (DPO)

Pour toute question relative à la protection de vos données personnelles ou pour exercer vos droits, vous pouvez contacter notre référent RGPD :

• Email : [email protected]
• Adresse postale : PUSH — DPO, 229 Rue Saint-Honoré, 75001 Paris, France
• Délai de réponse : 1 mois maximum (prolongeable de 2 mois en cas de demande complexe)

Vous avez également le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr/fr/plaintes

12. Mise à jour de la politique

La présente politique de confidentialité peut être modifiée à tout moment pour s'adapter aux évolutions légales, réglementaires ou techniques. En cas de modification substantielle, les utilisateurs seront informés par email ou par notification sur la plateforme.

La date de dernière mise à jour est indiquée en haut de cette page. Nous vous invitons à consulter régulièrement cette page pour rester informé de nos pratiques en matière de protection des données.

Historique des modifications :

• 25 mai 2026 : mise à jour responsable du traitement (PUSH SASU, immat. RNE) + prestataires (Square, Hetzner, Cloudflare)
• 2 avril 2026 : version initiale de la politique de confidentialité