Carimbo

Politique de confidentialité

Mise à jour le 3 octobre 2026.
Ce que Carimbo enregistre, pourquoi, combien de temps, et comment le faire effacer.

Responsable du traitement

Le responsable du traitement des données décrites sur cette page est l'éditeur de Carimbo : Nolan Loureiro EI, 8 B RUE Abel 75012 Paris FRANCE. Pour toute question sur vos données : nolan.loureiro@icloud.com, ou la page d'assistance. Ses autres coordonnées figurent dans les mentions légales.

Le client d'un commerce ne donne rien

C'est le point le plus important de cette page, et il est rare : quand votre client ajoute sa carte, il ne saisit ni son nom, ni son téléphone, ni son adresse électronique. Rien ne lui est demandé.

Son navigateur tire au hasard un code sans signification, et c'est ce code qui porte ses passages. Carimbo ne sait donc pas qui il est, et ne peut pas le savoir. Le commerçant non plus : il voit un code et un nombre de passages.

Ce qui est conservé pour chaque carte : ce code, le nombre de passages, la date du dernier passage, le dernier message affiché sur la carte, la trace des passages reçus ces sept derniers jours, qui empêche de compter deux fois le même, et une clé technique qui permet au téléphone de récupérer ses mises à jour. Pour une carte rangée dans Apple Wallet s'y ajoutent, pour chaque appareil qui l'a ajoutée, l'identifiant que Wallet lui donne et le jeton qui sert à le prévenir d'une mise à jour.

Le téléphone du client sonne pour sa carte (à un passage de la récompense, quand elle est gagnée, avant que ses points expirent) et pour un message de son commerçant, une fois par semaine au plus. Les autres messages s'affichent sur la carte sans sonner. Il peut couper ces notifications à tout moment dans les réglages de son téléphone, sans retirer sa carte.

Le commerçant, lui, s'identifie

Pour lui, sont conservés : le nom de son commerce, son adresse électronique, ses réglages et le texte de sa carte, le logo qu'il a choisi dans ses photos (formule Business), les messages qu'il envoie à ses clients, l'état de son abonnement, et la date de sa dernière connexion. S'y ajoutent, selon l'endroit où il s'est abonné, les identifiants de paiement fournis par Stripe (abonnement souscrit sur le site), ou la preuve d'achat transmise par Apple ou par Google (abonnement pris dans l'application) : l'identifiant de l'achat, le produit acheté, la date de fin de la période en cours, et s'il s'agit d'un achat réel ou d'un achat de test. Aucun numéro de carte bancaire n'est reçu ni conservé par Carimbo.

Et si un paiement a été fait sans que le compte soit créé — le formulaire refermé avant la fin —, l'adresse donnée au paiement est gardée sept jours au plus, le temps de prévenir la personne et d'annuler son abonnement avant tout prélèvement. Passé ce délai, cette inscription non achevée est effacée, l'adresse avec elle.

Pour ouvrir son espace, selon la façon dont il se connecte :

son mot de passe, jamais en clair : Carimbo n'en garde qu'une empreinte, qui permet de le vérifier, pas de le retrouver ;
ou son code à quatre chiffres, si son espace en a un ;
ou, avec « Se connecter avec Apple » ou avec Google, le lien avec ce compte : un identifiant sans nom ni photo, et l'adresse transmise, qui peut être un relais d'Apple. S'il a été remis, s'y ajoute un jeton d'Apple, gardé chiffré, qui ne sert qu'à rompre ce lien quand l'espace est supprimé.

S'il a demandé à être prévenu sur son téléphone, s'y ajoutent, pour chaque appareil : l'adresse d'envoi que son navigateur nous donne — elle désigne ce téléphone chez Apple, Google ou Mozilla —, les deux clés qui servent à chiffrer le message pour lui seul, le nom qu'il a donné à l'appareil, et la date où on l'a vu pour la dernière fois. Il peut retirer un appareil depuis son espace, et cela efface tout cela.

Pourquoi

Faire fonctionner le service — tenir les compteurs, fabriquer les cartes, les mettre à jour. C'est l'exécution du contrat.
Facturer l'abonnement — l'exécution du contrat. Garder ensuite les pièces comptables des abonnements souscrits sur le site est une obligation légale (code de commerce).
Prévenir le commerçant d'un problème sur son compte. C'est notre intérêt légitime, et le sien.
Garder le service en état et le protéger — les sauvegardes, le blocage des tentatives répétées, les réponses aux messages laissés sur la page d'assistance, et l'avertissement de qui a payé sans finir son inscription. C'est notre intérêt légitime.

Les informations demandées au commerçant sont celles sans lesquelles son espace ne peut pas fonctionner : sans elles, le service ne peut pas lui être fourni.

Aucune donnée n'est vendue, louée, ni utilisée à des fins publicitaires. Il n'y a aucun traceur publicitaire sur ce site, et aucun cookie de mesure d'audience — d'où l'absence de bandeau à accepter.

L'application du commerçant

Une application est proposée aux commerçants, sur iPhone et sur Android, pour tenir leur espace et scanner les cartes au comptoir. Elle est réservée à eux : vos clients n'ont rien à installer, leur carte vit dans le portefeuille de leur téléphone.

Ce que l'application garde sur le téléphone du commerçant : l'identifiant de son commerce, sa session, un jeton qui identifie l'appareil, et les passages scannés sans réseau — le temps qu'ils repartent. Sur iPhone, elle garde aussi une copie de la fiche du commerce, pour l'afficher sans attendre le réseau, et, s'il les remplit, le prénom, le nom et la photo de son profil, qui ne quittent jamais le téléphone.

Ce qu'elle envoie à Carimbo, et seulement pour faire fonctionner le service :

à la création de l'espace : le nom du commerce, l'adresse électronique, le mot de passe choisi (ou le code, pour un espace à code), le nombre de passages et la récompense ;
avec Apple ou Google : le jeton signé qu'ils remettent à l'application, qui porte l'identifiant du compte et son adresse ;
à chaque utilisation : sa session et ce jeton d'appareil, et le code lu sur la carte du client, pour compter le passage ;
ce que le commerçant écrit ou règle : les messages à ses clients, le nom, la récompense et la couleur de la carte, le lien d'avis ;
en formule Business, le logo qu'il choisit dans ses photos, une fois recadré sur le téléphone ;
quand il cherche son espace, ou a oublié son mot de passe ou son code : son adresse électronique ;
quand il s'abonne : la preuve d'achat que lui rend l'App Store (une transaction signée par Apple) ou Google Play (le produit et le jeton d'achat). Carimbo contrôle la signature d'Apple, ou fait confirmer l'achat par Google, avant de l'appliquer.

Dans l'autre sens, au moment de l'achat, l'application donne à Apple ou à Google un code tiré de l'identifiant de l'espace, qui ne contient ni nom ni adresse. Il revient dans leurs avis de renouvellement et de résiliation, et permet à Carimbo de retrouver l'espace concerné.

Aucun suivi publicitaire, aucun profilage, et aucune image de la caméra n'est conservée : la caméra ne sert qu'à lire le code, image par image, sans jamais rien enregistrer. La seule image envoyée est le logo choisi par le commerçant, recadré sur le téléphone puis réenregistré sans ses métadonnées (date, lieu, appareil).

Sur Android, la lecture des codes passe par ML Kit, une bibliothèque de Google qui fonctionne sur le téléphone. D'après la documentation de Google, elle lui envoie des informations techniques : le modèle et le système de l'appareil, la version de l'application, un identifiant propre à l'installation, des mesures de performance et des codes d'erreur, pour entretenir et améliorer la bibliothèque. Ni l'image de la caméra ni le contenu des codes lus ne figurent dans cette liste.

Le commerçant peut supprimer son espace à tout moment : dans l'application, Réglages, puis « Supprimer mon espace… », ou sans l'application, sur la page Supprimer mon espace. Si son espace est en pause ou son abonnement terminé, il touche « … » en haut de l'écran de l'application, puis « Supprimer mon espace… ».

Combien de temps

Les cartes et les passages : tant que l'espace du commerce existe. Si le commerçant a activé l'expiration des points, les compteurs sont remis à zéro selon le délai qu'il a choisi. La trace qui empêche de compter deux fois un passage s'efface au bout de sept jours.
Le compte d'un commerçant, et la preuve d'achat de son abonnement : tant que son espace existe. Ils partent avec lui quand il le supprime.
Un espace en pause, dont l'abonnement est terminé : un an après la fin de l'abonnement, ou après la dernière connexion du commerçant si elle est plus récente. Un courriel le prévient quinze jours avant ; se reconnecter à son espace, dans l'application, suffit à le garder. Passé ce délai, l'espace est effacé, avec les cartes et les passages de ses clients.
Un espace créé sans jamais d'abonnement, et qui n'a jamais eu de client : quatre-vingt-dix jours après la dernière connexion, puis il est effacé, sans message préalable.
Le logo du commerçant : tant que l'espace existe ; effacé avec lui ou dès qu'il est retiré ; gardé sans être affiché hors de la formule Business.
Un message laissé sur la page d'assistance : le temps de traiter la demande.
Les pièces comptables des abonnements souscrits sur le site : dix ans, comme la loi l'exige. Les achats faits dans l'application sont facturés par Apple ou par Google, qui gardent leurs propres reçus.
Les sauvegardes chiffrées du service, faites chaque jour : trente jours, puis elles sont effacées. Elles contiennent une copie des données, illisible sans la clé de l'éditeur, et ne servent qu'à remettre le service en état après une panne.

Qui d'autre les voit

Carimbo s'appuie sur des services extérieurs, et uniquement pour ce qui est nécessaire :

Railway Corporation — hébergement du site et des données.
Resend — envoi des courriels adressés aux commerçants, et des messages laissés sur la page d'assistance.
GitHub — dépôt des sauvegardes chiffrées décrites plus haut, illisibles sans la clé de l'éditeur.
Stripe — paiement des abonnements souscrits sur le site avant l'arrivée de l'application. Le site n'en propose plus de nouveaux.
Apple (App Store) et Google (Google Play) — encaissement des abonnements pris dans l'application. Ils connaissent le compte et le moyen de paiement du commerçant, et reçoivent de l'application le code décrit plus haut ; ils ne nous transmettent que la preuve de l'achat.
Apple et Google — distribution et mise à jour des cartes dans le portefeuille du téléphone, et distribution de l'application du commerçant.
Apple et Google, pour le commerçant qui entre avec « Se connecter avec Apple » ou avec Google — ils confirment son compte ; quand l'espace est supprimé, et si Apple a remis le jeton décrit plus haut, Carimbo lui demande de rompre ce lien.
Tout le monde, pour le logo d'un commerçant en formule Business : il est publié à une adresse publique, lue par Google Wallet, et il est inclus dans les cartes Apple de ses clients.
Google, sur Android — ML Kit, qui lit les codes, pour les informations techniques décrites plus haut.
Apple, Google ou Mozilla, selon le navigateur du commerçant — acheminement des notifications jusqu'à son téléphone. Le contenu du message leur est illisible : il est chiffré pour ce seul appareil.

Chacun ne reçoit que ce dont il a besoin pour rendre son service. Nous ne faisons appel qu'à des prestataires qui s'engagent, dans leurs conditions, à assurer à ces données une protection au moins équivalente à celle que décrit cette page.

Plusieurs de ces prestataires sont établis hors de l'Union européenne, notamment aux États-Unis, et les données peuvent y être traitées. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou le cadre de protection des données UE–États-Unis, selon le prestataire.

Vos droits

Pour supprimer votre espace et toutes ses données, inutile de nous écrire : c'est dans l'application (Réglages, puis « Supprimer mon espace… ») ou sur la page Supprimer mon espace, qui dit aussi ce qui est effacé et ce qui reste. Si votre espace est en pause ou votre abonnement terminé, touchez « … » en haut de l'écran de l'application, puis « Supprimer mon espace… ».

Vous pouvez demander l'accès, la rectification, l'effacement, la limitation ou la portabilité de vos données, et vous opposer à leur traitement. Une seule adresse pour tout cela : nolan.loureiro@icloud.com, ou la page d'assistance. Nous répondons sous un mois.

Un client final qui retire sa carte de son téléphone arrête seulement ses mises à jour : la carte reste enregistrée chez Carimbo, avec son code et ses passages. Pour la faire effacer, il lui suffit d'écrire à son commerçant, ou de nous écrire directement, en donnant le code inscrit sous le QR de sa carte. Le commerçant l'efface depuis la fiche de cette carte, parmi ses clients : la carte disparaît alors de Carimbo, avec les appareils inscrits pour la recevoir. La carte déjà dans son téléphone y reste, mais ne se met plus à jour. Seules les sauvegardes chiffrées du service en gardent une copie, trente jours au plus.

Vous pouvez aussi, à tout moment, adresser une réclamation à la CNIL (www.cnil.fr).

Sécurité

Les échanges sont chiffrés, les sauvegardes le sont aussi. L'accès à l'espace d'un commerce est protégé par un mot de passe, un code ou un compte Apple ou Google, et les tentatives répétées sont bloquées.