Politique de confidentialité

Cette politique de confidentialité décrit comment Contenza K/S (« nous », « notre », « QRStandard ») collecte, utilise et protège les données personnelles lorsque vous utilisez qrstandard.eu. Nous sommes le responsable du traitement de toutes les données personnelles traitées via ce service.

1. Qui nous sommes

Contenza K/S
CVR : 43349023 · TVA : DK43349023
Danemark
Contact : qrstandard.eu/contact

2. Données que nous collectons

Nous collectons uniquement les données minimales nécessaires au fonctionnement du service :

• Données de compte : Votre adresse e-mail, collectée lors de l'inscription ou de la connexion. Nous utilisons un système d'authentification par lien magique — aucun mot de passe n'est jamais stocké.
• Données de codes QR : Les libellés, URLs de destination et configurations que vous créez pour vos codes QR.
• Analytique de scan : Lorsqu'un code QR est scanné, nous enregistrons l'horodatage, le pays approximatif (déduit de l'adresse IP, non stockée), le type d'appareil et l'URL de référence. Nous ne stockons pas les adresses IP issues des scans.
• Données de facturation : Lors d'un abonnement, Stripe traite vos données de paiement directement. Nous stockons votre identifiant client Stripe et le statut d'abonnement. Nous ne voyons ni ne stockons les numéros de carte bancaire.
• Données d'utilisation : Les journaux d'accès serveur (adresse IP, chemin de requête, horodatage) sont conservés jusqu'à 30 jours à des fins de sécurité et de débogage.

3. Base juridique du traitement

• Contrat (Art. 6(1)(b) RGPD) : Traitement de votre adresse e-mail et des données de codes QR pour fournir le service auquel vous êtes abonné.
• Intérêts légitimes (Art. 6(1)(f) RGPD) : Journaux serveur pour la sécurité et la prévention des abus ; analytique de scan pour vous fournir des données de performance des redirections.
• Obligation légale (Art. 6(1)(c) RGPD) : Conservation des dossiers de facturation conformément à la loi danoise sur la comptabilité (Bogføringsloven).

4. Où vos données sont stockées

Toutes les données sont stockées sur des serveurs en Allemagne (Hetzner Cloud, centre de données de Nuremberg) et ne quittent pas l'Espace Économique Européen. Nous n'utilisons pas de fournisseurs cloud américains pour le stockage de données personnelles.

5. Sous-traitants

Nous utilisons les sous-traitants tiers suivants :

• Hetzner Online GmbH (Allemagne) — Infrastructure serveur et stockage
• Stripe, Inc. — Traitement des paiements. Stripe est certifié PCI-DSS et conforme au RGPD. Le transfert de données vers les États-Unis est couvert par le cadre EU-États-Unis de protection des données.
• Resend, Inc. — E-mails transactionnels (envoi de liens magiques, reçus). Les données sont traitées conformément au RGPD sur la base de clauses contractuelles types.

6. Durée de conservation des données

• Tokens de connexion : Expirent après 15 minutes et sont définitivement invalidés après première utilisation.
• Cookies de session : Expirent après 30 jours d'inactivité.
• Codes QR et données de redirection : Conservés jusqu'à ce que vous les supprimiez ou fermiez votre compte.
• Événements de scan : Conservés 24 mois, puis supprimés.
• Dossiers de facturation : Conservés 5 ans conformément à la loi danoise sur la comptabilité.
• Journaux serveur : Conservés 30 jours.

7. Vos droits au titre du RGPD

En tant que personne concernée, vous disposez des droits suivants :

• Accès (Art. 15) : Demander une copie de toutes les données personnelles que nous détenons sur vous.
• Rectification (Art. 16) : Correction des données inexactes. Vous pouvez mettre à jour votre adresse e-mail en nous contactant.
• Effacement (Art. 17) : Demander la suppression de votre compte et de toutes les données associées. Nous y donnons suite dans les 30 jours, sous réserve de nos obligations légales de conservation des dossiers de facturation.
• Portabilité (Art. 20) : Demander vos données dans un format lisible par machine (JSON).
• Limitation (Art. 18) : Demander la limitation du traitement de vos données pendant qu'une réclamation est en cours.
• Opposition (Art. 21) : Vous opposer au traitement fondé sur des intérêts légitimes.

Pour exercer l'un de ces droits, contactez-nous via notre formulaire de contact. Nous répondons dans les 30 jours. Vous avez également le droit de déposer une réclamation auprès de l'Autorité danoise de protection des données (Datatilsynet) sur datatilsynet.dk.

8. Cookies

Nous utilisons un cookie propriétaire :

• qrr_session — un token de session d'authentification. HttpOnly, Secure, SameSite=Lax. Expire après 30 jours. Ce cookie est strictement nécessaire au fonctionnement du service et ne nécessite pas de consentement au titre de l'Art. 5(3) de la directive ePrivacy.

Nous n'utilisons pas de cookies de suivi, de publicité ou de scripts d'analyse tiers. Nous n'utilisons pas Google Analytics, Meta Pixel ni outils similaires.

9. Sécurité

Toutes les données sont transmises via TLS (HTTPS). Les mots de passe ne sont jamais stockés — l'authentification utilise des tokens à usage unique signés cryptographiquement. L'accès à la base de données est limité aux processus d'application s'exécutant sur le même serveur. Les sauvegardes sont stockées de manière chiffrée.

10. Modifications de cette politique

Nous informons les utilisateurs enregistrés des modifications importantes de cette politique par e-mail au minimum 14 jours avant leur entrée en vigueur. La version actuelle est toujours disponible sur qrstandard.eu/privacy.