Maison Pass

Politique de confidentialité

Dernière mise à jour : 8 septembre 2026

1. Qui est responsable de vos données ?

Le service Maison Pass est édité par Anatole Gontharet, entrepreneur individuel, dont les coordonnées figurent dans les mentions légales. Deux situations sont à distinguer :

  • Données des commerçants (compte, facturation) : Maison Pass est responsable de traitement.
  • Données des clients finaux des programmes de fidélité : le commerçant est responsable de traitement et Maison Pass agit en qualité de sous-traitant, pour son compte et selon ses instructions.

Pour toute question relative à vos données : support@maisonpass.com. Maison Pass n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas requise.

2. Données des commerçants

Lors de la création et de l'utilisation d'un compte commerçant :

  • Adresse email et mot de passe (stocké sous forme de hash) ;
  • Informations de l'établissement (nom, adresse, couleur de marque, coordonnées de contact) ;
  • Données de facturation, traitées par Stripe — nous ne stockons jamais votre numéro de carte bancaire.
  • Les coordonnées géographiques de l'établissement (latitude, longitude, libellé d'adresse normalisé et indice de précision), obtenues à partir de l'adresse saisie auprès du service public de géocodage de la Base Adresse Nationale (IGN — Géoplateforme), qui ne reçoit que l'adresse de l'établissement, ou placées manuellement par le commerçant ; elles servent à afficher la carte à proximité de la boutique ;
  • Pour les membres d'équipe invités : adresse email, rôle, dates d'invitation et d'acceptation ;
  • La correspondance échangée avec notre support ;
  • Les journaux techniques nécessaires à la sécurité et au bon fonctionnement du service (adresse IP, identifiants techniques, horodatages, événements d'erreur).

Ces données sont traitées pour l'exécution du contrat d'abonnement (article 6.1.b du RGPD), pour le respect de nos obligations légales, notamment comptables (6.1.c), et, pour les journaux techniques, la preuve de l'acceptation des conditions et la correspondance de support, sur le fondement de notre intérêt légitime à sécuriser le service et à établir nos droits (6.1.f).

3. Données des clients finaux

Lors de l'inscription à un programme de fidélité, le commerçant collecte via la plateforme :

  • Prénom, et le cas échéant nom ;
  • Jour et mois de naissance, sans l'année (optionnel, uniquement pour la récompense d'anniversaire) ;
  • Historique des scans et soldes de fidélité (points, passages, récompenses) ;
  • Le cas échéant, le montant de l'achat saisi par le commerçant au moment du passage ;
  • La langue d'affichage de votre carte (français ou anglais). Elle est détectée lors de votre inscription d'après les préférences de votre appareil, et vous pouvez la changer à tout moment depuis votre carte. Elle détermine la langue des libellés et des règles inscrits sur la carte ; aucune autre utilisation n'en est faite ;
  • Votre choix de recevoir ou non les communications du commerce, et sa date ;
  • Les identifiants techniques nécessaires au fonctionnement de la carte (numéro de carte, jeton d'enregistrement dans le portefeuille du téléphone).

Ces données sont traitées pour la gestion du programme de fidélité auquel le client s'est volontairement inscrit. Elles ne sont accessibles qu'au commerce concerné et à son personnel autorisé.

Ces données sont traitées sur le fondement de l'exécution du programme de fidélité auquel vous avez adhéré (article 6.1.b du RGPD). Seules les communications promotionnelles du commerce reposent sur votre consentement, que vous pouvez retirer à tout moment depuis votre carte, sans effet sur la licéité des envois antérieurs.

Lorsque vous ajoutez votre carte à Google Wallet, les données qui y figurent (votre prénom s'il est renseigné, votre solde, l'identifiant de la carte, les coordonnées du commerce) sont transmises à Google, qui les traite selon sa propre politique de confidentialité. Lorsque vous ajoutez votre carte à Apple Wallet, elle est délivrée directement à votre appareil : Apple ne reçoit ni son contenu ni votre solde, seulement le signal qu'une mise à jour est disponible. Si vous supprimez votre carte, la carte Google Wallet correspondante est rendue inactive et vidée de vos données.

Aucune décision produisant des effets juridiques à votre égard n'est prise de manière automatisée. L'attribution automatique d'un avantage d'anniversaire ou l'expiration d'un solde, annoncée à l'avance sur votre carte, résultent des règles du programme du commerce.

Si votre téléphone le permet, votre carte peut s'afficher automatiquement sur l'écran verrouillé lorsque vous êtes à proximité du commerce. Cet affichage est déclenché par votre téléphone, qui compare lui-même votre position à celle enregistrée dans la carte : ni le commerçant ni Maison Pass ne reçoivent votre position, et rien dans nos services n'enregistre ni ne montre au commerce que vous êtes passé devant sa boutique.

4. Sous-traitants

Nous faisons appel aux sous-traitants techniques suivants :

  • Supabase — hébergement de la base de données, Union européenne (région AWS eu-west-1, Irlande) ;
  • Vercel — hébergement de l'application (États-Unis, transferts encadrés par clauses contractuelles types / Data Privacy Framework) ;
  • Stripe — traitement des paiements des commerçants (États-Unis, transferts encadrés par clauses contractuelles types / Data Privacy Framework) ;
  • Resend — envoi des emails de compte adressés aux commerçants et à leurs équipiers (invitations, sécurité du compte), région Union européenne (Irlande) ; aucun email n'est adressé aux clients des programmes de fidélité ;
  • Sentry — détection des erreurs techniques (Union européenne, Allemagne) ;
  • Google (Gmail) — acheminement et stockage des emails adressés au support (États-Unis, transferts encadrés par clauses contractuelles types / Data Privacy Framework) ;
  • IGN — Géoplateforme (service public français) — reçoit la seule adresse de l'établissement du commerçant pour la convertir en coordonnées ; il n'agit pas pour notre compte et ne reçoit aucune donnée de client ;
  • Apple — distribution des cartes au format Apple Wallet ;
  • Google — distribution des cartes au format Google Wallet.

Vos données sont stockées dans l'Union européenne (Irlande). L'application qui les traite est exécutée par Vercel aux États-Unis, dans le cadre du Data Privacy Framework et de clauses contractuelles types. Apple et Google traitent les données figurant dans les cartes selon leurs propres conditions, décrites à la section 3.

Nous ne vendons ni ne louons aucune donnée à des tiers à des fins commerciales ou publicitaires.

5. Durées de conservation

  • Compte commerçant : pendant toute la durée d'utilisation du service, puis cinq ans après la clôture du compte — durée alignée sur la prescription des obligations entre commerçants (article L110-4 du Code de commerce), à des fins de preuve. Les factures et documents comptables sont conservés dix ans (article L123-22 du même code).
  • La preuve d'acceptation des conditions générales (version acceptée, date et adresse email) est conservée cinq (5) ans, y compris en cas de suppression du compte, au titre de la constatation, de l'exercice ou de la défense de droits en justice (article 17.3.e du RGPD et article L110-4 du Code de commerce).
  • Données du programme de fidélité : effacées dans les trente jours suivant la clôture du compte, après restitution éventuelle au commerçant (annexe 1 des conditions générales).
  • Carte de fidélité client : tant que la carte est active. Le client peut supprimer sa carte et ses données à tout moment, immédiatement et définitivement, via le lien accessible depuis son pass (voir section 7).
  • Journaux techniques : journaux d'exécution de l'application (Vercel) pendant la durée de rétention de l'hébergeur ; journaux de la base de données (Supabase) sept jours ; événements d'erreur (Sentry) quatre-vingt-dix jours ; journaux d'envoi des emails (Resend) trente jours.
  • Correspondance de support : durée du traitement de la demande, puis trois ans.
  • Membres d'équipe : tant que l'accès est actif ; l'email d'un équipier dont l'accès est révoqué est conservé dans le journal d'invitation pendant un an.

6. Sécurité

La base de données est hébergée dans l'Union européenne, les données sont chiffrées, et l'accès est restreint par des politiques de sécurité au niveau de la base de données (Row Level Security). Les mots de passe sont stockés sous forme de hash.

7. Vos droits (RGPD)

Vous disposez à tout moment des droits suivants :

  • Accès et portabilité : le client final peut télécharger l'intégralité de ses données depuis sa page carte (« Télécharger mes données ») dans un format structuré et lisible par machine ; le commerçant peut demander l'export des données de son compte à support@maisonpass.com ;
  • Effacement : le client final peut supprimer définitivement sa carte et ses données depuis sa page carte — l'effet est immédiat ; le commerçant peut demander la clôture de son compte à support@maisonpass.com, ses données étant alors restituées puis supprimées dans les conditions de l'article 10 des conditions générales et de leur annexe 1 ;
  • Rectification : contactez le commerce concerné, ou notre support ; le commerçant modifie ses informations depuis ses réglages ;
  • Limitation : vous pouvez demander la limitation du traitement dans les cas prévus à l'article 18 du RGPD ;
  • Opposition : vous pouvez cesser de participer à un programme en supprimant votre carte, et vous opposer aux traitements fondés sur notre intérêt légitime ;
  • Retrait du consentement : vous pouvez retirer à tout moment votre consentement aux communications promotionnelles, depuis votre carte, sans effet sur les envois antérieurs ;
  • Directives post-mortem : vous pouvez définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Nous répondons dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois si sa complexité le justifie. Lorsque nous ne pouvons pas vous identifier avec certitude, nous pouvons demander des informations complémentaires.

Pour exercer ces droits ou pour toute question : support@maisonpass.com. Pour les données d'un programme de fidélité, vous pouvez également vous adresser directement au commerce concerné, responsable de traitement. Vous pouvez enfin déposer une réclamation auprès de la CNIL : cnil.fr.

8. Cookies

Le service n'utilise que des cookies strictement nécessaires, qui ne requièrent pas de consentement :

  • les cookies de session d'authentification de l'espace commerçant ;
  • un cookie posé lorsque vous rejoignez un programme de fidélité (mp_card_suivi de l'identifiant du commerce), conservé un an, qui permet de retrouver votre carte si vous scannez à nouveau le code du commerce depuis le même appareil.

Aucun traceur non essentiel (mesure d'audience, publicité) n'est déposé. Le paiement et le portail de facturation s'exécutent sur le domaine de Stripe, qui y applique sa propre politique de cookies. Si une mesure d'audience était activée à l'avenir, cette politique serait mise à jour et, sauf dispositif exempté de consentement, votre consentement recueilli au préalable.