Informations légales

Mentions légales

Qui édite ce site, qui l'héberge, et ce que deviennent les données personnelles.

Éditeur du site

Hébergement

Le site et le serveur de Perify sont hébergés par Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis — téléphone : +1 559 288 7060 — vercel.com. Le serveur de Perify tourne à Paris (France) ; les pages de ce site sont servies par le réseau mondial de Vercel.

La base de données est stockée par Neon (Neon, LLC, filiale de Databricks, Inc., 160 Spear Street, San Francisco, CA 94105, États-Unis), sur des serveurs situés à Francfort (Allemagne).

Un commerce est encore servi par l'ancienne version de Perify, en attendant son passage sur ce serveur : son programme tourne chez Google (Google Apps Script) et les données de ses clients sont stockées dans Google Sheets (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande ; Google a des serveurs dans le monde entier).

Les données du programme de fidélité sont donc enregistrées dans l'Union européenne (serveur à Paris, base de données à Francfort), sauf : la copie de la carte que Google reçoit dès qu'un client appuie sur « Ajouter à Google Wallet », le jeton de notification que Perify envoie à Apple pour Apple Wallet, et les données du commerce encore servi par Google. Vercel et Neon sont des sociétés américaines : voir « Mes prestataires », plus bas.

Propriété intellectuelle

Le site, la plateforme Perify, ses textes, ses visuels et son code sont la propriété de l'éditeur. Les noms, logos et marques des commerces qui apparaissent sur ce site appartiennent à leurs titulaires respectifs.

Données personnelles

Sur ce site

Sans votre accord, ce site ne dépose aucun cookie et ne mesure pas votre visite (voir « Cookies et mesure d'audience » ci-dessous). Si vous remplissez le formulaire d'essai gratuit, vos coordonnées sont transmises au serveur de Perify (hébergé par Vercel, à Paris), qui les enregistre dans sa base de données (Neon, à Francfort) et me les envoie par e-mail via Brevo, mon prestataire d'envoi, dans ma boîte professionnelle (iCloud, d'Apple). Si cet envoi échoue, le formulaire vous propose d'ouvrir votre messagerie avec votre demande déjà écrite.

Elles servent d'abord à vous répondre : c'est vous qui me demandez un essai, et je les utilise pour y donner suite, avant tout contrat (article 6.1.b du RGPD). Je les garde ensuite pour suivre notre échange (rendez-vous, essai, suite que vous y donnez) : c'est mon intérêt légitime (article 6.1.f), et vous pouvez vous y opposer à tout moment, sans avoir à vous justifier. Si votre commerce figure déjà dans mon suivi de prospection, j'y note votre demande (voir « Prospection commerciale », plus bas). Je ne les utilise pour rien d'autre.

Elles sont conservées 3 ans au plus après votre demande : la base les efface alors automatiquement (au bout de 30 jours pour un envoi repéré comme automatique), et j'efface à la main, dans le même délai, l'e-mail reçu dans ma boîte. Pour y accéder, les corriger, les faire effacer, en limiter l'usage, les récupérer ou vous opposer à leur suivi, écrivez-moi ; vous pouvez aussi saisir la CNIL.

Cookies et mesure d'audience

Avec votre accord seulement, ce site peut utiliser Microsoft Clarity, un outil de mesure d'audience de Microsoft, pour comprendre comment ses pages sont parcourues et les améliorer : cartes des clics, profondeur de défilement et enregistrement de la visite (mouvements, clics, défilement). Ce que vous tapez dans le formulaire d'essai est masqué et n'est pas envoyé à Clarity ; quand une demande d'essai part, le site le signale à Clarity, sans rien de son contenu. Tant que vous n'avez pas cliqué sur « Accepter », Clarity n'est pas chargé : aucun cookie n'est déposé et rien n'est envoyé à Microsoft.

Les cookies. Si vous acceptez, Clarity dépose deux cookies sur perify.app : _clck, qui reconnaît votre navigateur d'une visite à l'autre (1 an), et _clsk, qui relie les pages d'une même visite (1 jour). Microsoft peut aussi utiliser ses propres cookies, sur ses domaines (MUID, CLID, ANONCHK, MR, SM), dont la durée est fixée par Microsoft. Votre accord ne vaut que pour la mesure d'audience : le site indique à Clarity que le stockage lié à la publicité est refusé.

Où vont les données. Elles sont hébergées par Microsoft, sur son service Azure. Comme je suis établi dans l'Union européenne, mon contrat Clarity est passé avec Microsoft Ireland Operations Limited, qui a signé avec Microsoft Corporation, aux États-Unis, des clauses contractuelles types (« SCC ») permettant le transfert des données. Microsoft indique agir pour Clarity en tant que responsable de traitement et avoir accès à ces données. Les enregistrements sont gardés 30 jours (jusqu'à 9 mois pour ceux que je mets en favori et pour un échantillon tiré au hasard). Pour en savoir plus : les conditions d'utilisation de Clarity et la déclaration de confidentialité de Microsoft.

Votre choix. Il est gardé six mois dans votre navigateur (une petite mémoire locale, pas un cookie), puis la question vous est reposée. Vous pouvez le changer à tout moment avec le lien « Gérer les cookies », en bas de chaque page : si vous retirez votre accord, les cookies de Clarity sont effacés et la mesure s'arrête.

Prospection commerciale

Je contacte moi-même des commerces situés en France pour leur présenter Perify, mon service de carte de fidélité : par e-mail, par message sur Instagram ou Facebook, par téléphone ou en passant en boutique. Pour cette prospection, c'est moi, Valentin CARRILLO, entrepreneur individuel (Perify), qui décide de l'usage des données : j'en suis le responsable de traitement (mes coordonnées sont en haut de cette page). Elle ne vise que des commerces, jamais leurs clients.

• Données utilisées : le nom du commerce, son métier, son adresse, ses horaires, son téléphone, son site, son adresse e-mail professionnelle et ses comptes professionnels sur les réseaux sociaux ; le prénom ou le nom de son responsable, seulement s'il les affiche lui-même ou me les donne ; ce qui est publié sur le commerce et m'aide à vérifier qu'il est ouvert et à préparer mon message (une actualité, un produit, un changement de propriétaire, sa note et son nombre d'avis en ligne) ; l'endroit où j'ai trouvé chaque information ; des notes sur nos échanges (moyen de contact, dates, réponses, suite prévue). Jamais de donnée sensible (santé, opinions, religion…).
• D'où elles viennent : de sources accessibles au public : ce que le commerce publie lui-même (son site, sa page Facebook ou Instagram, sa fiche d'établissement en ligne), la carte libre OpenStreetMap (© les contributeurs d'OpenStreetMap, licence ODbL), les annuaires professionnels, les avis en ligne et les annonces légales (BODACC) ; ou ce que vous m'avez dit vous-même. Je fais une partie de ces recherches avec Claude, l'assistant d'Anthropic.
• Pourquoi : vous présenter Perify et suivre mes échanges avec vous. Base légale : mon intérêt légitime à faire connaître mon service à des professionnels, par un message en rapport avec leur activité (article 6.1.f du RGPD). Entre professionnels, la CNIL admet ce type de message sans accord préalable s'il porte sur votre métier, si vous savez d'où viennent vos coordonnées et pourquoi je vous écris, et si vous pouvez vous y opposer simplement. Voici comment je vous le dis : chacun de mes e-mails indique tout en bas où j'ai trouvé votre adresse (ou que vous me l'avez donnée), à quoi elle me sert, comment refuser et où lire vos droits ; mon premier message sur Instagram ou Facebook dit où j'ai trouvé votre compte et que vous pouvez refuser, et le lien vers cette page est dans la présentation de mon compte ; au téléphone, je vous dis qui je suis, pourquoi je vous appelle, où j'ai trouvé votre numéro et que vous pouvez refuser ; en boutique, je vous dis qui je suis et pourquoi je passe, et je vous laisse ma carte, qui renvoie à cette page. Je n'écris qu'aux coordonnées que le commerce affiche pour être contacté, ou à celles que vous m'avez données.
• Qui y a accès : moi, et les services que j'utilise pour cette prospection ; je ne vends ni ne prête ces données à personne. Apple (iCloud), ma messagerie professionnelle, envoie et garde mes e-mails. Anthropic (Claude) : mon suivi de prospection est une page privée de son assistant Claude, où je note chaque commerce et l'avancée de nos échanges, et j'y fais une partie de mes recherches ; Anthropic traite ces contenus en tant que responsable de traitement de son côté, selon ses propres règles. Meta (Instagram, Facebook) garde les messages que je vous y envoie. Ces sociétés peuvent garder ces données hors de l'Union européenne, notamment aux États-Unis, avec les garanties prévues par le RGPD : des clauses contractuelles types pour Apple et pour Anthropic, le cadre de protection des données UE–États-Unis pour Meta. Le détail est plus bas, dans « Mes prestataires » ; pour obtenir une copie de ces garanties, écrivez-moi.
• Combien de temps : si je ne vous ai finalement pas contacté, j'efface ce que j'ai noté sur votre commerce, dans mon suivi et dans mes fichiers de travail, au plus tard un mois après l'avoir noté. Sinon, je garde ces données 3 ans au plus après votre dernier contact avec moi (une réponse, une demande, un rendez-vous), ou après leur collecte si vous ne m'avez jamais répondu, puis je les efface. Un message que je vous envoie, resté sans réponse, ne prolonge pas ce délai. Si vous me dites non (« STOP », « non merci »…), j'efface le reste et je ne garde que le nom du commerce, sa commune et les coordonnées par lesquelles je vous ai contacté, dans une liste « ne plus contacter » : c'est ce qui me permet de ne plus vous solliciter. Je garde cette liste aussi longtemps que je prospecte, et au moins 3 ans, comme le recommande la CNIL. Des copies peuvent rester chez Anthropic selon ses propres règles de conservation : une conversation supprimée, par exemple, disparaît de ses serveurs sous 30 jours, plus tard si ses contrôles de sécurité l'ont signalée.
• Vos droits : accès, rectification, effacement, limitation, et opposition à tout moment, sans avoir à vous justifier : répondez « STOP » ou « non merci » à mon e-mail ou à mon message, dites-le-moi au téléphone ou de vive voix, ou écrivez-moi à contact [arobase] perify.app. Je ne vous recontacte alors plus, par aucun moyen. Vous pouvez adresser une réclamation à la CNIL — cnil.fr.

Dans le programme de fidélité

Quand vous prenez une carte de fidélité chez un commerçant, c'est ce commerçant qui décide de ce programme et de l'usage fait de vos données : il en est le responsable de traitement. Perify est son sous-traitant au sens de l'article 28 du RGPD : je traite ces données uniquement sur ses instructions, pour faire fonctionner le programme, et je n'en fais aucun usage propre — ni revente, ni réutilisation pour un autre commerce, ni prospection pour mon compte.

Un contrat de sous-traitance est signé avec chaque commerçant. Les données de chaque commerce sont cloisonnées : aucun commerçant n'accède aux clients d'un autre. Si un commerçant quitte Perify, il repart avec son fichier et ses données sont supprimées des serveurs de Perify.

Pour faire fonctionner le programme, je m'appuie sur des prestataires (hébergement, base de données, envoi des e-mails, Apple Wallet, Google Wallet, plan de la boutique, et Google pour le commerce encore servi par l'ancienne version) : ils sont listés plus bas, dans « Mes prestataires ».

Vos droits

Vous pouvez demander l'accès à vos données, leur correction, leur effacement, leur portabilité, la limitation de leur traitement, ou vous opposer à leur usage. Adressez votre demande au commerce concerné, ou écrivez-moi : je la transmets et l'exécute. Réponse sous un mois.

Chaque e-mail d'offre envoyé par le serveur de Perify contient, tout en bas, un lien « Ne plus recevoir ces offres » : une page s'ouvre, vous confirmez d'un appui, l'effet est immédiat et votre carte continue de fonctionner. Les e-mails de service, comme celui qui vous donne le code d'un cadeau, continuent d'arriver. Les e-mails du commerce encore servi par l'ancienne version partent par Google, sans ce lien : pour ne plus recevoir ses offres, dites-le au commerçant ou écrivez-moi, et je vous retire de sa liste d'envoi.

Si une réponse ne vous satisfait pas, vous pouvez saisir la CNIL — cnil.fr.

Mes prestataires

Voici les services que j'utilise et ce qu'ils reçoivent. Quand des données peuvent quitter l'Union européenne, j'indique la garantie que le prestataire annonce.

• Vercel Inc. (États-Unis) : héberge ce site et le serveur de Perify, et reçoit l'adresse IP de votre appareil pour vous afficher les pages. Le serveur tourne à Paris ; Vercel peut y accéder depuis les États-Unis. Garantie : Vercel est certifié au cadre de protection des données UE–États-Unis, et son contrat de traitement contient des clauses contractuelles types.
• Neon (Neon, LLC, filiale de Databricks, Inc., États-Unis) : la base de données (programme de fidélité, demandes d'essai), stockée à Francfort (Allemagne). Garantie : Databricks et Neon sont certifiés au cadre UE–États-Unis.
• Brevo SAS (Paris) : envoie les e-mails du serveur de Perify (demande d'essai, code d'un cadeau, offres). Ses serveurs sont dans l'Union européenne (France, Allemagne, Belgique). Brevo indique que certaines de ses équipes hors de l'Union (États-Unis, Inde) peuvent y accéder, avec des garanties ; sa filiale américaine est certifiée au cadre UE–États-Unis.
• Apple (iCloud) : ma boîte e-mail professionnelle, qui reçoit les demandes d'essai, mes échanges de prospection et vos demandes. Pour l'Europe, mon contrat est passé avec Apple Distribution International (Irlande). Apple indique que les données sont généralement stockées par Apple Inc. aux États-Unis ; ces transferts sont encadrés par des clauses contractuelles types.
• Apple Inc. (Apple Wallet, États-Unis) : prévient l'iPhone qu'une carte a changé. Perify n'envoie à Apple qu'un jeton de notification (un identifiant technique de l'appareil) et l'identifiant du type de carte : jamais le contenu de la carte, qui va directement du serveur de Perify à votre téléphone. Garantie : selon sa politique de confidentialité, Apple encadre ses transferts de données hors d'Europe par des clauses contractuelles types.
• Google (Google Wallet) : dès que vous appuyez sur « Ajouter à Google Wallet », même si vous n'allez pas au bout, Google reçoit votre prénom s'il est donné, le numéro et le QR de la carte, vos tampons, le cadeau en cours et son code, le prochain cadeau, l'offre du moment et le lien de votre carte en ligne. Pour l'Europe, c'est Google Ireland Limited ; Google a des serveurs dans le monde entier et peut aussi utiliser ces informations pour ses propres services, selon ses règles de confidentialité. Garantie : Google LLC est certifié au cadre UE–États-Unis. Si vous ne voulez pas de copie chez Google, gardez votre carte dans Apple Wallet ou sur sa page web.
• Google (Apps Script, Google Sheets, Gmail) : pour le commerce encore servi par l'ancienne version de Perify, en attendant son passage sur le serveur de Perify, le programme tourne chez Google : les données de ses clients (prénom, nom, e-mail et date de naissance s'ils sont donnés, carte, passages, cadeaux, abonnements aux notifications) sont stockées dans Google Sheets, et ses e-mails partent par Gmail. Pour l'Europe, c'est Google Ireland Limited ; Google a des serveurs dans le monde entier. Garantie : Google LLC est certifié au cadre UE–États-Unis.
• Google (Google Fonts) : la page où le commerçant vérifie les codes des cadeaux, et d'anciennes pages de démonstration, chargent encore leur police chez Google, qui reçoit alors l'adresse IP de l'appareil. Ce site et la carte de fidélité n'en chargent pas. Garantie : Google LLC est certifié au cadre UE–États-Unis.
• OpenStreetMap (Fondation OpenStreetMap) : affiche le plan de la boutique sur la page web de votre carte ; quand le plan s'affiche, la Fondation reçoit l'adresse IP de votre téléphone. Ses données sont gardées au Royaume-Uni, reconnu par la Commission européenne comme protégeant les données aussi bien que l'Union, et aux Pays-Bas ; les images du plan passent par un réseau mondial de serveurs relais.
• Microsoft (Clarity) : mesure d'audience de ce site, seulement si vous cliquez sur « Accepter » (voir « Cookies et mesure d'audience »). Garantie : clauses contractuelles types ; Microsoft Corporation est aussi certifiée au cadre UE–États-Unis.
• Meta (Instagram, Facebook) : les messages de prospection que j'envoie sur ces réseaux. Pour l'Europe, c'est Meta Platforms Ireland Limited. Garantie : Meta Platforms, Inc. est certifiée au cadre UE–États-Unis.
• Anthropic (Claude) : mon suivi de prospection, une page privée de son assistant Claude, et une partie de mes recherches. J'utilise Claude avec un abonnement individuel : Anthropic Ireland, Limited est alors responsable de traitement de son côté, selon ses propres règles, et les données sont gardées sur des serveurs aux États-Unis. J'ai refusé que mes conversations servent à entraîner ses modèles. Garantie : clauses contractuelles types.

Le cadre de protection des données UE–États-Unis repose sur une décision de la Commission européenne du 10 juillet 2023 ; les sociétés certifiées figurent sur sa liste officielle. Les clauses contractuelles types sont des contrats approuvés par la Commission européenne. Pour obtenir une copie des garanties d'un prestataire, écrivez-moi.