Politique de confidentialité

Dernière mise à jour : 23/10/2026

La présente politique explique quelles données Fidwins, service édité par David Blond sous le nom commercial VEO Digital, collecte, pourquoi, combien de temps elles sont conservées et quels sont vos droits, conformément au Règlement général sur la protection des données (RGPD) et à la loi « Informatique et Libertés ».

1. Responsable du traitement

Le responsable du traitement, pour les données décrites comme telles ci-dessous, est David Blond, entrepreneur individuel (EI), exerçant sous le nom commercial VEO Digital (SIREN 107 488 934), 10 rue de la Dame Blanche, 25870 Tallenay, France. Aucun délégué à la protection des données n'est désigné, le service n'y étant pas tenu ; le référent pour toute question relative aux données est David Blond.

Pour toute question relative à vos données : contact@veodigital.fr

2. Deux rôles bien distincts

Fidwins met des cartes de fidélité digitales, un jeu et des outils de parrainage à disposition des commerçants. Il faut donc distinguer deux situations :

• Vous êtes commerçant et vous vous abonnez à Fidwins : nous sommes responsables du traitement de vos données.
• Vous êtes client d'un commerçant (vous avez une carte de fidélité, ou vous avez joué à son jeu) : c'est le commerçant qui est responsable de vos données. VEO Digital agit uniquement comme sous-traitant, pour son compte et selon ses instructions. Pour toute demande, adressez-vous d'abord à votre commerçant — nous l'assistons, et vous pouvez nous écrire en second recours.

3. Vous êtes client d’un commerçant : l’essentiel

Si vous avez une carte de fidélité ou si vous avez joué chez un commerçant qui utilise Fidwins :

• Ce qui est enregistré : votre prénom, votre numéro de téléphone, vos passages et vos cadeaux ; si vous jouez, le résultat de chaque tour et une empreinte technique de votre appareil (hachée, sans votre nom) ; si vous participez au tirage du mois, votre nom de compte Instagram.
• Qui en est responsable : votre commerçant. Fidwins (VEO Digital) héberge ces données en Europe pour son compte, ne les utilise pour rien d'autre et ne les vend pas.
• Combien de temps : tant que vous êtes client, et au plus trois ans après votre dernier passage ; si le commerçant cesse d'utiliser Fidwins, tout est supprimé dans les trente jours.
• Si vous ajoutez votre carte à votre téléphone : Apple ou Google reçoivent votre prénom et votre solde pour afficher la carte, à votre demande seulement.
• Les offres du commerçant : vous ne les recevez sur votre carte que si vous l'avez accepté (case non cochée par défaut), et vous pouvez changer d'avis à tout moment en boutique ou en retirant la carte de votre téléphone.
• Vos droits : accéder à vos données, les corriger, les supprimer ou vous opposer à leur utilisation, en boutique ou au numéro du commerce ; en second recours, écrivez-nous à contact@veodigital.fr. Vous pouvez aussi déposer une réclamation auprès de la CNIL.

Le détail de chacun de ces points figure dans les sections suivantes.

4. Données collectées

Pour un commerçant abonné :

• Nom du commerce, adresse e-mail de connexion, mot de passe (haché par notre prestataire d'authentification)
• Ce qu'il dépose pour sa carte, ses affiches et son jeu (logo, photos, couleurs, adresse, horaires et téléphone de la boutique, lien vers sa fiche d'avis Google, cadeaux du jeu, message de proximité)
• L'identifiant de sa fiche Google, lorsqu'il la recherche depuis son espace (la recherche est faite auprès de Google ; aucune note ni aucun avis n'est enregistré), et les coordonnées géographiques de sa boutique, calculées une fois à partir de son adresse (voir § 6)
• Données de facturation gérées par Stripe — nous ne stockons aucune coordonnée bancaire

Pour le client final d'un commerçant :

• Son prénom
• Son numéro de téléphone, s'il est renseigné : il identifie sa carte (une seule carte par numéro chez un même commerce), permet au commerçant de lui envoyer le lien de sa carte par SMS depuis son propre téléphone, et limite les cadeaux du jeu à un par personne sur la période fixée par le commerçant
• Sa progression de fidélité (tampons ou points, récompenses gagnées et utilisées) et l'historique de ses passages
• Son choix concernant les offres du commerçant (case non cochée par défaut), la date de ce choix et la manière dont sa carte a été créée (par lui-même, ou par le commerçant en caisse)

S'il joue au jeu du commerçant (roue ou tampon, au comptoir ou depuis un flyer) :

• Pour chaque tour : le cadeau tiré, la date, l'origine (comptoir ou flyer) et une empreinte technique de l'appareil, calculée à partir de l'identifiant du cookie de jeu (voir § 9) et de l'adresse IP, puis hachée de façon irréversible. Elle sert uniquement à faire respecter la règle « un tour par appareil et par jour » et à retrouver un cadeau gagné si la page est rechargée avant qu'il soit réclamé. L'adresse IP elle-même n'est pas enregistrée avec le tour ; elle n'existe en clair que dans un compteur technique de limitation du nombre de requêtes, conservé au plus vingt heures (voir « Données techniques »).
• S'il gagne et réclame son cadeau : son prénom et son numéro de téléphone, qui créent sa carte de fidélité (ou ajoutent le cadeau à sa carte existante), puis la date de remise du cadeau en caisse et, pour un cadeau gagné depuis un flyer, sa date limite d'utilisation.
• Le jeu peut proposer un lien vers la page d'avis Google du commerce. L'avis est publié chez Google, depuis le compte Google du client et selon les règles de Google : Fidwins ne le reçoit pas, ne le conserve pas et ne vérifie pas s'il a été publié.

Parrainage, bonus Instagram et tirage du mois (seulement si le commerçant les active) :

• Parrainage : un code d'invitation aléatoire rattaché à la carte du parrain (ou à son tour gagnant) et, pour chaque ami invité, qui l'a invité, le résultat (bonus accordé ou refusé, et pourquoi), le mois, et une empreinte hachée de l'appareil — elle sert à refuser qu'on se parraine soi-même depuis le même téléphone. Aucune coordonnée de l'ami invité n'est enregistrée : le lien part du téléphone du parrain.
• Bonus Instagram : le fait que le client a déclaré suivre le compte Instagram du commerce (déclaration sur l'honneur, une seule fois).
• Tirage du mois : la participation du client, le nom de compte Instagram qu'il indique (pour que le commerçant vérifie sa story) et le statut de sa participation ; pour chaque tirage, le lot, la date et le prénom du gagnant, conservé comme preuve que le tirage a eu lieu.

Cartes cadeaux (si le commerçant en émet) : ce qui est offert, les prénoms du bénéficiaire et de l'offrant et le petit message, s'ils sont renseignés, ainsi que les dates d'émission, d'utilisation et de fin de validité.

Ces données sont soit saisies par le commerçant en caisse, soit renseignées par le client final lui-même via le formulaire d'inscription à sa carte, le jeu ou sa carte.

Aucun nom de famille, aucune date de naissance, aucune adresse e-mail, aucune donnée bancaire, aucune donnée de localisation et aucune donnée sensible ne sont demandés au client final. VEO Digital n'utilise aucune donnée à ses propres fins publicitaires et n'en vend aucune.

Données techniques : pour garantir la sécurité du service, notre hébergeur Cloudflare conserve des journaux techniques (adresse IP, horodatage, page consultée) pendant une durée fixée par Cloudflare ; un compteur de limitation du nombre de requêtes par adresse IP est conservé au plus vingt heures. Ces éléments ne sont consultés qu'en cas d'incident de sécurité ou d'abus et ne sont jamais associés à une carte ou à un prénom. Les e-mails adressés aux commerçants sont conservés trente jours par notre prestataire d'envoi (voir § 6).

5. Finalités & base légale

• Faire fonctionner la carte de fidélité (compter les passages, déclencher les récompenses, afficher la carte dans un portefeuille numérique) — base légale : l'exécution du contrat entre le client et son commerçant.
• Organiser le jeu et remettre les cadeaux gagnés, y compris le parrainage, le bonus Instagram et le tirage du mois — base légale : l'exécution des conditions du jeu et du règlement du tirage, acceptés par le joueur.
• Gérer l'abonnement du commerçant (compte, facturation, e-mails de service) — base légale : l'exécution du contrat.
• Prévenir la fraude (limitation du nombre de tampons par jour, codes à usage unique, un tour de jeu par appareil et par jour, un cadeau par numéro de téléphone sur une période, limitation du nombre de requêtes par adresse IP, refus de l'auto-parrainage) — base légale : l'intérêt légitime du commerçant et de VEO Digital.
• Recevoir les offres du commerçant sur sa carte (annonces que le commerçant envoie aux cartes Apple Wallet de ses clients, affichées sur l'écran verrouillé). Pour un client qui a créé sa carte lui-même, la base légale est son consentement (case non cochée par défaut ; sans cette case, il ne reçoit pas ces annonces). Pour un client inscrit en caisse par le commerçant, c'est l'intérêt légitime du commerçant à informer ses clients existants d'offres du même commerce, le commerçant étant tenu de l'en informer lors de l'inscription. Dans tous les cas, le client peut s'y opposer à tout moment auprès de son commerçant, ou en retirant la carte de son téléphone, ce qui arrête immédiatement ces messages. Les notifications de service (nouveau tampon, cadeau gagné) relèvent du fonctionnement de la carte et ne sont pas concernées.
• Message de proximité : si le commerçant a rédigé un message de proximité, le téléphone du client peut l'afficher lorsqu'il se trouve à moins de 150 mètres de la boutique. Ce rapprochement est calculé par le téléphone lui-même (iOS ou Google Wallet) à partir de la position de la boutique inscrite dans la carte : Fidwins ne reçoit jamais la position du client. Pour le désactiver sur iPhone : application Cartes, ouvrir la carte, touchez le bouton d'information, puis désactivez « Suggérer sur l'écran verrouillé ».
• Obligations légales et comptables — base légale : le respect d'une obligation légale.

6. Destinataires, sous-traitants et transferts

Vos données ne sont jamais vendues. Elles sont accessibles au commerçant concerné et, dans la stricte mesure nécessaire au fonctionnement du service, aux prestataires techniques suivants :

• Supabase (Supabase Pte. Ltd, Singapour) — base de données, comptes de connexion et fichiers, hébergés sur des serveurs situés dans l'Union européenne ; son accord de traitement des données comprend les clauses contractuelles types de la Commission européenne.
• Cloudflare (Cloudflare, Inc., États-Unis) — hébergement et diffusion du site, exécution du service, cache et compteur anti-abus (adresse IP, au plus vingt heures), sur un réseau mondial ; clauses contractuelles types et certification au cadre de protection des données UE–États-Unis.
• Stripe (pour l'Europe, Stripe Payments Europe Ltd, Irlande ; transferts vers Stripe, LLC, États-Unis) — paiement des abonnements des commerçants uniquement ; clauses contractuelles types et certification au cadre de protection des données UE–États-Unis. Stripe traite aussi, pour son propre compte, les données nécessaires à la prévention de la fraude au paiement.
• Apple (Apple Inc., États-Unis ; pour l'Europe, Apple Distribution International Ltd, Irlande) — Apple Wallet et notifications, uniquement si le client choisit lui-même d'ajouter sa carte à son iPhone ; clauses contractuelles types.
• Google (Google LLC, États-Unis ; Google Ireland Ltd) — Google Wallet, uniquement si le client choisit lui-même d'ajouter sa carte à son téléphone, et recherche de sa fiche Google par le commerçant ; certification au cadre de protection des données UE–États-Unis et clauses contractuelles types.
• Resend (Plus Five Five, Inc., États-Unis) — envoi des e-mails aux commerçants uniquement (bienvenue, paiement refusé, lien pour terminer l'inscription, réinitialisation du mot de passe, rappel du tirage du mois) ; contenu et journaux conservés trente jours aux États-Unis ; clauses contractuelles types et certification au cadre de protection des données UE–États-Unis. Aucun e-mail n'est envoyé aux clients finaux.
• OpenStreetMap Foundation (service Nominatim, Royaume-Uni) — conversion de l'adresse de la boutique en coordonnées géographiques, une seule fois, pour que la carte puisse s'afficher à proximité du commerce ; le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne.

Lorsque le client ouvre lui-même le lien d'avis Google ou le compte Instagram du commerce proposés par le jeu, il quitte Fidwins : Google ou Instagram appliquent alors leur propre politique. Aucune donnée de sa carte ne leur est transmise à cette occasion.

Certains de ces prestataires (Cloudflare, Stripe, Apple, Google, Resend) traitent tout ou partie des données hors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), auxquelles chaque prestataire s'engage, et, pour Stripe, Google, Cloudflare et Resend, par leur certification au cadre de protection des données UE–États-Unis.

Cas particulier des portefeuilles numériques (Apple Wallet, Google Wallet). Lorsqu'un client final choisit d'ajouter sa carte à son iPhone ou à son téléphone Android, un jeu de données réduit (prénom, progression, récompense en cours, lien vers la carte, identifiant technique de la carte, nom et coordonnées du commerce) est transmis à Apple ou à Google. Cette transmission est réalisée à la demande du client et ne se produit pas s'il ne clique pas sur le bouton correspondant. Une fois la carte présente dans son portefeuille, elle est régie par les politiques de confidentialité d'Apple et de Google, consultables ici : apple.com/legal/privacy et policies.google.com/privacy. Le client peut supprimer sa carte de son portefeuille à tout moment depuis son téléphone.

7. Durée de conservation

• Carte d'un client final : tant qu'il est client du commerce, et au plus trois ans après son dernier passage (tampon, cadeau ou participation) ; la fiche est alors supprimée.
• Tours de jeu, parrainages, participations au tirage : trois ans, à titre de preuve et de prévention de la fraude. Le nom de compte Instagram indiqué pour le tirage et le prénom du gagnant, conservé comme preuve du tirage, suivent la même durée.
• Cartes cadeaux : jusqu'à la fin de leur validité, puis trois ans (preuve comptable du commerçant).
• Client supprimé par son commerçant : sa fiche, son historique de passages et ses participations sont effacés immédiatement. Sa carte Google Wallet est désactivée et son prénom en est retiré ; sa carte Apple Wallet n'est plus mise à jour et ne fonctionne plus (elle reste sur son iPhone jusqu'à ce qu'il la retire, Apple ne permettant pas de l'enlever à distance). Les tours de jeu et les parrainages déjà enregistrés restent, détachés de toute fiche, pendant la durée ci-dessus.
• Fin de l'abonnement du commerçant : toutes les données du commerce et de ses clients (cartes, passages, jeu, parrainages, tirages, cartes cadeaux, fichiers, compte de connexion) sont supprimées dans un délai maximum de 30 jours après la fin de l'abonnement, à l'exception des documents comptables (factures Stripe), conservés dix ans conformément à la loi.
• Jetons de notification Apple : tant que la carte est présente sur l'iPhone.
• Données techniques : compteur anti-abus par adresse IP, au plus vingt heures ; journaux de Cloudflare, durée fixée par Cloudflare ; e-mails aux commerçants, trente jours chez Resend.
• Cookies : voir § 9 (cookie de jeu « kards_roue » : 60 jours au plus).

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès, de rectification et d'effacement
• Droit à la limitation et à l'opposition au traitement
• Droit à la portabilité de vos données : sur demande, une copie de vos données vous est remise (ou remise à votre commerçant) dans un format courant lisible par machine
• Droit de retirer votre consentement lorsque le traitement en dépend (les offres du commerçant) — pour l'essentiel, nos traitements reposent sur l'exécution du contrat, non sur le consentement.

Si vous êtes client d'un commerçant, adressez votre demande à ce commerçant, en boutique ou au numéro indiqué sur sa carte : c'est lui le responsable de vos données, et son espace lui permet de corriger ou de supprimer votre fiche immédiatement. En second recours, ou si vous n'obtenez pas de réponse, écrivez-nous à contact@veodigital.fr. Si vous êtes commerçant, écrivez-nous à la même adresse. Une réponse vous est apportée dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.

9. Cookies et stockage local

Ce site n'utilise que des cookies strictement nécessaires au service demandé, qui ne requièrent donc pas de consentement. Aucun cookie publicitaire, de mesure d'audience ou de traçage tiers n'est déposé.

• Côté commerçant : le cookie de session de son compte (connexion), deux préférences d'affichage du tableau de bord (version de l'interface, 90 jours ; commerce sélectionné, un an) et, sur un appareil de caisse qu'il a autorisé, un cookie qui mémorise cette autorisation (2 ans, révocable à tout moment depuis son espace).
• Page de paiement des commerçants : le module de paiement Stripe dépose ses propres cookies de prévention de la fraude (__stripe_mid, un an ; __stripe_sid, trente minutes ; m, deux ans), nécessaires à la sécurité du paiement demandé (voir la politique cookies de Stripe).
• Côté client final : « kards_roue ». Un identifiant tiré au hasard, qui ne contient ni nom ni numéro. Il n'est déposé que lorsque le client lance le jeu ou demande un lien d'invitation (parrainage). Il sert à appliquer les conditions du jeu (un tour par appareil et par jour), à retrouver un cadeau gagné si la page est rechargée avant qu'il soit réclamé, et à empêcher de se parrainer soi-même depuis le même téléphone. Il n'est lisible que par notre serveur (cookie « httpOnly »), n'est transmis à aucun tiers et expire au bout de 60 jours. Le client peut l'effacer à tout moment depuis les réglages de son navigateur ; il sera alors considéré comme un nouvel appareil.
• Stockage local du navigateur, sans cookie : le jeu note, le temps de la visite seulement, l'heure d'un éventuel rechargement automatique de la page, pour ne pas recharger en boucle ; la page d'ajout au portefeuille mémorise, le temps de la visite, qu'elle a déjà proposé l'ajout automatique ; l'espace commerçant mémorise qu'un écran d'accueil a été vu. Aucun de ces éléments ne sert à la publicité ni à la mesure d'audience.

La carte d'un client final ne dépose aucun autre cookie : elle ne nécessite ni compte, ni connexion.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables afin de protéger vos données contre tout accès, perte ou divulgation non autorisés : les échanges sont chiffrés (HTTPS), les données de chaque commerce sont cloisonnées, le lien d'une carte est secret et imprévisible, le QR code présenté en caisse change toutes les 60 secondes et ne peut servir qu'une fois, seul un commerçant connecté peut ajouter un tampon à ses propres clients, l'accès d'administration est réservé à David Blond, et les sauvegardes sont chiffrées et conservées hors des services de synchronisation en ligne. En cas de violation de données présentant un risque pour les personnes, nous en informons le commerçant concerné dans les meilleurs délais (c'est lui qui notifie la CNIL pour ses clients, avec notre aide) et, pour les données dont nous sommes responsables, la CNIL dans les 72 heures ; les personnes concernées sont informées lorsque le risque est élevé.

11. Mineurs

Le service ne s'adresse pas spécifiquement aux mineurs et ne demande pas l'âge. Une carte de fidélité peut être créée par toute personne cliente du commerce. Si vous avez moins de 15 ans, demandez l'accord d'un parent avant de cocher la case « recevoir les offres ». Le tirage du mois est réservé aux personnes majeures.

David Blond, EI (VEO Digital) · SIREN 107 488 934 · 10 rue de la Dame Blanche, 25870 Tallenay, France · Mentions légales · CGV