Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est : Bitcage LLC — 10320 NW 53rd St, Sunrise, FL 33351, États-Unis — Contact : [email protected]

2. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement du service :

• Données de compte : adresse email ou numéro de téléphone utilisé pour la connexion, nom et téléphone si vous les renseignez, adresse de wallet, langue et devise d'affichage
• Données de transaction : paiements, tickets et demandes de paiement (montants, commerçant, hash des transactions blockchain, dates)
• Données des demandes de paiement : l'adresse email qu'un commerçant saisit pour vous envoyer une demande de paiement
• Vérification d'identité (KYC) : lorsqu'un seuil l'impose, Didit collecte votre pièce d'identité, un selfie et un contrôle du vivant. Bitcage ne conserve que le statut et la référence de la vérification, pas vos documents
• Données techniques : adresse IP et informations du navigateur dans les journaux de nos hébergeurs, et rapports d'erreurs (Sentry pour nos serveurs, PostHog pour le site et l'application)
• Données de mesure d'audience : pages vues, actions dans l'application et, sur le site, les zones où vous cliquez et faites défiler (cartes de chaleur) (PostHog), reliées à votre compte (identifiant et adresse email) uniquement si vous acceptez les cookies d'analyse
• Enregistrements de session dans l'application, uniquement si vous acceptez les cookies d'analyse : les écrans consultés et ce que vous y faites et saisissez (PostHog), y compris ce qu'ils affichent (comme votre adresse email, votre adresse de wallet et les montants). Les mots de passe ne sont jamais enregistrés. Sur les bornes Bitcage (terminaux installés chez les commerçants), les sessions sont toujours enregistrées de la même façon, pour améliorer et dépanner les bornes. Le site www.bitcage.com n'enregistre aucune session

3. Finalités du traitement

Vos données sont utilisées pour :

• Créer et sécuriser votre compte et vous connecter
• Traiter les paiements en crypto et régler les commerçants
• Vérifier votre identité lorsque la réglementation anti-blanchiment l'exige (KYC/LCB-FT)
• Envoyer des emails transactionnels (demandes de paiement, invitations, rappels de vérification)
• Détecter et corriger les erreurs, assurer la sécurité et prévenir la fraude
• Mesurer l'utilisation du site et de l'application pour les améliorer

4. Base légale

Le traitement de vos données personnelles repose sur :

• L'exécution du contrat : compte, paiements, emails transactionnels
• Les obligations légales : vérification d'identité et conservation des transactions (KYC/LCB-FT)
• L'intérêt légitime : sécurité, prévention de la fraude, suivi des erreurs, mesure d'audience anonyme (sans cookie) et enregistrement des sessions sur les bornes
• Votre consentement : cookies, identifiants d'analyse et enregistrements de session (PostHog), que vous pouvez retirer à tout moment

5. Durée de conservation

Nous conservons vos données pendant :

• Données de compte : durée d'utilisation + 3 ans
• Historique des transactions : 5 ans (obligation réglementaire)
• Données de vérification d'identité : 5 ans après la fin de la relation (conservées par Didit)
• Journaux techniques et rapports d'erreurs : 12 mois maximum
• Données de mesure d'audience : 25 mois maximum ; les cookies d'analyse expirent au bout de 12 mois maximum
• Enregistrements de session : 90 jours maximum

6. Sécurité des données

Nous protégeons vos données par :

• Le chiffrement HTTPS de toutes les communications
• Des jetons d'authentification signés et une connexion par signature du wallet
• Des wallets non-custodiaux : nous ne détenons jamais vos clés privées
• Un accès aux données personnelles limité au personnel autorisé
• Des rapports d'erreurs serveur expurgés des adresses IP, cookies, en-têtes et contenus des requêtes

7. Prestataires et destinataires

Nous ne vendons JAMAIS vos données. Nous les partageons uniquement avec les prestataires qui assurent une partie du service, chacun pour sa finalité :

• Thirdweb (Thirdweb, Inc., États-Unis) : connexion par email ou téléphone, wallets et infrastructure blockchain
• Didit (Espagne) : vérification d'identité (pièce d'identité, selfie, contrôle du vivant)
• Brevo (Sendinblue SAS, France) : emails transactionnels
• Cloudflare (Cloudflare, Inc., États-Unis) : acheminement et protection du site et de l'application, qui reçoit votre adresse IP, et mesure anonyme des performances sans cookie
• Vercel (Vercel Inc., États-Unis) : hébergement du site et de l'application
• Railway (Railway Corporation, États-Unis) : hébergement de nos serveurs et de la base de données
• Sentry (Functional Software, Inc., États-Unis ; données stockées dans l'Union européenne) : suivi des erreurs de nos serveurs
• PostHog (PostHog, Inc., États-Unis ; données stockées dans l'Union européenne) : mesure d'audience, enregistrements de session dans l'application (avec votre consentement) et rapports d'erreurs du site et de l'application
• Mapbox (Mapbox, Inc., États-Unis) : carte des commerçants, qui reçoit votre adresse IP et la zone affichée lorsque vous ouvrez la carte
• Commerçants : le commerçant que vous payez reçoit le détail de la transaction et, si nécessaire, votre statut de vérification
• Autorités : uniquement sur demande légale valide

Ces prestataires agissent sur nos instructions dans le cadre d'accords de traitement des données, et ne reçoivent que les données dont ils ont besoin.

8. Transferts internationaux

Bitcage LLC et plusieurs prestataires (Thirdweb, Cloudflare, Vercel, Railway, Mapbox, ainsi que les sociétés mères de Sentry et PostHog) sont établis aux États-Unis : vos données peuvent donc y être traitées. Ces transferts reposent sur le Data Privacy Framework UE–États-Unis lorsque le destinataire est certifié, et à défaut sur les clauses contractuelles types de la Commission européenne. Les données de suivi des erreurs et de mesure d'audience sont stockées dans l'Union européenne.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Pour exercer ces droits, contactez-nous à :[email protected]

10. Transparence de la blockchain

Les transactions blockchain sont publiques par nature. Les hash de transaction, adresses de wallet et montants sont visibles sur les explorateurs de blockchain publics. Bitcage ne peut ni supprimer ni modifier les données inscrites sur les blockchains.

11. Cookies et technologies similaires

Le site et l'application enregistrent quelques éléments sur votre appareil (cookies ou stockage du navigateur) :

• Strictement nécessaires (sans consentement) : votre session de connexion et de wallet (Thirdweb), vos préférences de langue et d'affichage, les réglages des bornes Bitcage, votre choix concernant les cookies, et les fichiers de l'application mis en cache pour l'usage hors ligne
• Mesure d'audience et enregistrement de session (PostHog), uniquement avec votre consentement : un identifiant anonyme qui permet de suivre vos visites dans le temps et, dans l'application, d'enregistrer vos sessions et de les relier à votre compte et à votre adresse email. Il expire au bout de 12 mois maximum
• Sans votre consentement, ou si vous refusez : PostHog fonctionne sans cookie ni stockage sur votre appareil, n'enregistre aucune session et compte seulement les visites de façon anonyme
• Carte (Mapbox) : lorsque vous ouvrez la carte des commerçants, Mapbox peut enregistrer un identifiant technique pour compter les chargements de carte
• Le suivi des erreurs serveur (Sentry) n'utilise aucun cookie

Vous pouvez modifier votre choix à tout moment avec le lien « Gérer les cookies » en bas du site et de l'application, ou en effaçant les données de votre navigateur.

12. Mineurs

Bitcage n'est pas destiné aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données concernant des mineurs.

13. Mises à jour

Cette politique peut être mise à jour. Les changements importants vous seront notifiés par email ou dans l'application. La dernière version est toujours disponible sur notre site.

14. Contact et réclamations

Pour toute question sur vos données personnelles : [email protected]

Vous pouvez également introduire une réclamation auprès de votre autorité de protection des données (en France, la CNIL : www.cnil.fr).