Politique de confidentialité

1. Qui est responsable ?

Kadova est le responsable du traitement pour ce qui concerne cette plateforme. Contact : privacy@kadova.nl.

2. Rôles au titre du RGPD

Selon la situation :

• Responsable de traitement : Kadova pour les données de compte utilisateur, les opérations de la plateforme, la facturation, le support et les visites du site web
• Sous-traitant : Kadova pour les données à caractère personnel des consommateurs/utilisateurs finaux que notre client (l'organisation) traite via la boutique, l'envoi de cartes cadeaux ou le wallet — les instructions découlent du compte client et du DPA
• Responsable de traitement : l'organisation cliente pour les données de son personnel, de ses clients et des détenteurs de cartes cadeaux au sein de son locataire

2. Quelles données traitons-nous ?

Selon votre usage de la plateforme, nous pouvons traiter :

• Données de compte : nom, e-mail, rôle, organisation
• Données de transaction : montants de cartes cadeaux, magasin, date et heure
• Données techniques : adresse IP, navigateur, appareil et journaux de sécurité
• Communication : e-mail et SMS pour la livraison de cartes cadeaux numériques (si activé)
• Données de paiement : traitées par Stripe ou Mollie ; nous ne stockons pas les numéros de carte complets
• Consentements : préférences cookies et confidentialité avec horodatage

3. Pourquoi utilisons-nous vos données ?

Nous traitons les données uniquement pour des finalités claires :

• Fournir et gérer votre compte et organisation
• Émettre, échanger et rapporter les cartes cadeaux
• Facturation des abonnements et services plateforme
• Prévention de la fraude et sécurité de la plateforme
• Optionnel : analytics web (Google Analytics 4) et amélioration du produit — uniquement avec consentement cookies
• Optionnel : marketing (avec consentement)

4. Bases légales (RGPD art. 6)

Nous nous appuyons sur les bases suivantes :

• Contrat — gestion du compte et enregistrement des cartes cadeaux
• Intérêt légitime — sécurité, prévention de la fraude et stabilité
• Obligation légale — p.ex. conservation des factures pendant 7 ans
• Consentement — analytics et marketing ; révocable via Mes données

5. Cookies

Nous utilisons des cookies et technologies similaires :

• Essentiels : session, authentification et langue — toujours actifs
• Analytics (Google Analytics 4) : mesure les visites des pages marketing — uniquement après consentement ; le Consent Mode refuse le stockage analytics jusqu’alors
• Vous pouvez modifier votre choix plus tard via Mes données (connecté) ou en effaçant les cookies du navigateur

6. Partage avec des tiers

Nous ne vendons pas vos données. Nous les partageons uniquement avec des sous-traitants nécessaires au service :

• Hébergement et base de données (région UE)
• Fournisseurs e-mail et SMS pour les notifications
• Stripe et Mollie pour les paiements
• Stockage cloud pour documents et exports (UE)
• Google Analytics 4 — analytics web sur les pages marketing (consentement requis)
• Chaque organisation (client) ne voit que les données de son organisation

7. Retention periods

We do not keep data longer than necessary:

• Account data: while the account is active; max. 2 years after last login
• Deleted accounts: 30-day cooling-off, then anonymisation
• Transactions and invoices: 7 years (legal requirement)
• Audit logs: 3 years
• Consent records: 5 years after withdrawal
• Session cookies: up to 7 days

8. Security

We apply appropriate technical and organisational measures, including TLS in transit, encryption at rest for sensitive fields, role-based access, audit logging and security reviews.

10. Transferts hors de l'EEE

Dans la mesure du possible, nous traitons les données dans l'UE (p. ex. Render Frankfurt, Cloudflare R2 UE). Certains sous-traitants (p. ex. Sentry, Apple, Google, Expo) peuvent traiter des données aux États-Unis. Nous utilisons des clauses contractuelles types (CCT) ou des garanties équivalentes lorsque cela est requis. Consultez /legal/subprocessors pour les détails par sous-traitant.

11. Kadova Winkel (application mobile)

L'application mobile traite en outre :

• Session stockée localement et transactions hors ligne (conservation limitée ; synchronisées avec la plateforme)
• Déverrouillage biométrique via le système d'exploitation — Kadova ne stocke aucune donnée d'empreinte digitale/faciale
• Caméra pour le scan de QR — les images ne sont pas stockées de manière permanente
• Jetons d'appareil push via Apple APNs ou Firebase Cloud Messaging

12. Données des consommateurs via les clients

Si vous achetez ou recevez une carte cadeau via une organisation utilisant Kadova, cette organisation est généralement le responsable de traitement. Kadova traite ces données en tant que sous-traitant sur les instructions du client. Les questions de confidentialité directes concernant les achats de cartes cadeaux doivent d'abord être adressées à cette organisation ; Kadova aide les clients avec les demandes RGPD via la plateforme.

9. Your rights

Under the GDPR you have rights including:

• Access and a copy of your data (art. 15)
• Rectification of inaccurate data (art. 16)
• Erasure (art. 17) — via My data, with 30-day cooling-off
• Data portability in a structured format (art. 20)
• Withdraw consent (art. 7)
• Lodge a complaint with your supervisory authority

10. Children

Our service is intended for organisations and their staff. We do not knowingly collect data from children under 16.

11. Changes

We may update this policy when law or our services change. The current version is always on this page. Material changes will be communicated by email or in-app notice.

12. Contact

Privacy questions or requests? Contact privacy@kadova.nl. We respond to GDPR requests within 30 days.