Dernière mise à jour : 23 août 2026
La présente politique de confidentialité décrit comment TapBack collecte, utilise et protège les données personnelles traitées via le site www.tapback.fr et le service TapBack (ci-après « le Service »), conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
Deux catégories de personnes sont concernées par cette politique : les commerçants qui souscrivent au Service (« le Client »), et les clients finaux des commerçants qui utilisent une carte de fidélité TapBack (« le porteur de carte »).
Romain Julien--Garnache-Creuillot
Entrepreneur individuel exerçant sous le nom commercial TapBack
219 avenue de Muret, Appartement 403, 31300 Toulouse, France
SIRET 108 826 884 00018
E-mail : contact.tapback@gmail.com
TapBack n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de la taille et de l'activité de l'entreprise. Toute question relative à vos données peut être adressée à l'e-mail ci-dessus.
2.1 Pour les commerçants (Clients). Lors de la création d'un compte et de l'utilisation du tableau de bord, TapBack collecte : nom du commerce, adresse e-mail, mot de passe (stocké sous forme chiffrée), logo et visuels éventuellement importés, données de facturation transmises à Stripe, statistiques d'utilisation du Service.
Ces données sont traitées pour l'exécution du contrat d'abonnement (gestion du compte, fourniture du Service, facturation), sur le fondement de l'exécution contractuelle (article 6.1.b du RGPD), ainsi que pour l'envoi de communications liées au compte (confirmation d'abonnement, alertes techniques) sur le fondement de l'intérêt légitime de TapBack.
2.2 Pour les porteurs de carte (clients finaux des commerçants). Lorsqu'un porteur de carte scanne un tag NFC ou accède à sa carte via un lien, TapBack crée un identifiant technique associé à un cookie déposé sur son navigateur (voir article 7), ainsi qu'un historique de visites (dates de passage) et l'état de sa progression vers la récompense définie par le commerçant. Aucun nom, adresse e-mail ou numéro de téléphone n'est demandé au porteur de carte pour utiliser le Service.
S'il choisit d'ajouter sa carte à Google Wallet, un identifiant de carte et le solde de points sont transmis à Google dans ce seul but (voir article 5).
Ces données sont traitées sur le fondement de l'intérêt légitime de TapBack et du commerçant à faire fonctionner le programme de fidélité auquel le porteur de carte a volontairement adhéré en scannant le tag.
2.3 Avant toute inscription. La page de création de compte permet de personnaliser sa carte (nom, récompense, couleur, logo, bannière) avant de s'inscrire. Les images déposées à cette étape sont enregistrées sur nos serveurs dans un dossier temporaire, associé à un identifiant aléatoire déposé en cookie (« tapback_brouillon », voir article 7). Elles sont rattachées au compte si l'inscription est menée à son terme, et effacées automatiquement dans les 24 heures dans le cas contraire. Aucune autre donnée n'est conservée à ce stade.
Le calcul de la progression vers une récompense est un simple comptage, sans profilage : aucune donnée du porteur de carte n'est analysée, croisée ou notée.
Un unique mécanisme automatique peut restreindre l'usage d'une carte. Afin d'empêcher qu'un compteur soit gonflé artificiellement, le Service suspend une carte lorsque trois passages consécutifs sont espacés d'un intervalle correspondant très précisément au délai minimum entre deux visites — un rythme qui ne correspond pas à une fréquentation réelle. La carte cesse alors de compter les visites. Cette suspension n'a aucun effet juridique et ne repose sur aucune donnée personnelle : elle ne considère que l'écart entre des horodatages. Un porteur de carte suspendue à tort peut le signaler au commerçant concerné, qui nous en informe pour rétablissement.
Les données de compte d'un Client sont conservées pendant toute la durée de l'abonnement. À la résiliation, elles ne sont pas supprimées : le compte est désactivé et ses tags cessent de fonctionner, mais l'historique et les cartes de fidélité sont conservés afin que le Service reprenne à l'identique si le Client se réabonne (voir article 4.4 des conditions générales). Le Client peut à tout moment supprimer définitivement son compte depuis ses réglages : cette action efface immédiatement ses cartes de fidélité, l'historique de visites et ses tags, et elle est irréversible. Les données de facturation sont conservées au-delà, pour la durée imposée par les obligations comptables et fiscales.
Les données d'un porteur de carte sont conservées tant que la carte de fidélité est active auprès du commerçant concerné. Le cookie d'identification a une durée de vie d'un an à compter de son dépôt ou de son dernier renouvellement.
Les données sont susceptibles d'être transmises aux prestataires suivants, dans la stricte mesure nécessaire à la fourniture du Service :
— Stripe (paiement des abonnements des commerçants) — société établie aux États-Unis, encadrée par des clauses contractuelles types ;
— Railway Corporation (hébergement du site et de la base de données) — société établie aux États-Unis, encadrée par des clauses contractuelles types ;
— Google (fonctionnalité Google Wallet, à la seule initiative du porteur de carte qui choisit d'y ajouter sa carte) ;
— Brevo (envoi des e-mails transactionnels aux commerçants).
Ces prestataires n'utilisent les données transmises que pour l'exécution des services qu'ils fournissent à TapBack, et non à leurs propres fins commerciales.
TapBack ne vend ni ne loue aucune donnée personnelle à des tiers.
Certains prestataires mentionnés à l'article 5 (Stripe, Railway, Google) sont établis hors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou un mécanisme équivalent garantissant un niveau de protection adéquat des données.
Le Site utilise trois catégories de cookies, toutes strictement nécessaires au fonctionnement du Service et ne nécessitant pas de consentement préalable au sens de la réglementation applicable :
— un cookie de session pour l'authentification des commerçants sur le tableau de bord, d'une durée de 8 heures ;
— un cookie d'identification (« tapback_customer_id ») déposé sur le navigateur d'un porteur de carte lors de son premier scan, permettant de le reconnaître lors de ses visites suivantes sans création de compte, d'une durée d'un an. Ce cookie est strictement technique et n'est utilisé à aucune fin publicitaire ;
— un cookie de brouillon (« tapback_brouillon ») déposé lorsqu'un visiteur personnalise sa carte avant de s'inscrire, permettant de retrouver les images qu'il a déposées, d'une durée de 24 heures (voir article 2.3).
Aucun cookie de mesure d'audience tiers ou publicitaire n'est utilisé sur le Site.
TapBack met en œuvre les mesures techniques et organisationnelles raisonnables pour protéger les données contre l'accès non autorisé, la perte ou l'altération, notamment : chiffrement des mots de passe, connexion au Site en HTTPS, accès restreint aux données de facturation (traitées directement par Stripe, jamais stockées par TapBack).
Conformément au RGPD, toute personne concernée dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur ses données, ainsi que du droit de définir des directives relatives à leur sort après son décès. Ces droits peuvent être exercés en écrivant à contact.tapback@gmail.com, en précisant votre demande. Une réponse vous sera apportée dans un délai d'un mois.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.
La présente politique peut être mise à jour pour refléter une évolution du Service ou de la réglementation. La date de dernière mise à jour figure en haut de ce document.