Politique de confidentialité

Nous prenons la protection de tes données très au sérieux. Tes données personnelles sont traitées de manière confidentielle, conformément au RGPD et à la présente politique. doWallet est hébergé en Allemagne ; tes données ne quittent l'EEE que dans les cas indiqués à la section 11.

1. Responsable du traitement

Le responsable du traitement au sens du RGPD est Applox GmbH, Röhrichtweg 29, 44263 Dortmund, Allemagne. Contact et représentation dans les mentions légales.

2. Délégué à la protection des données

Tu peux joindre notre délégué à la protection des données à l'adresse dsb@dowallet.de.

3. Données collectées et finalités

3.1 Données de compte et d'utilisation

• E-mail, nom, mot de passe haché (argon2id) · création de compte et authentification.
• Appartenance à une organisation et à un workspace, rôle.
• Métadonnées de session (adresse IP, user agent, horodatage) · détection des abus.
• Journal d'audit : qui a modifié quoi et quand (diff avant/après). L'adresse IP et le user agent sont supprimés après 90 jours ; l'entrée est conservée selon le réglage du tenant (365 jours par défaut).
• Codes de connexion et invitations, uniquement pendant leur durée de validité.

3.2 Données liées aux passes

• Définitions de templates et de campagnes (saisies par le client).
• Passes émis avec numéro de série, jeton d'authentification (chiffré AES-256-GCM), attributs (saisis en option par le détenteur), attribution UTM.
• Enregistrements d'appareils Apple Wallet (identifiant de la bibliothèque Wallet de l'appareil et jeton push, que l'appareil enregistre lui-même auprès de doWallet).
• Événements de cycle de vie (passe activé, désactivé, réactivé).
• Clics sur les liens et événements pour l'analyse des campagnes. L'adresse IP et le user agent des clics sont supprimés après 7 jours, les clés e-mail des événements après 90 jours.

3.3 Détenteurs de passes (clients finaux de nos clients)

Lorsqu'un client final réclame un passe, nous enregistrons l'enregistrement de l'appareil et, le cas échéant, l'adresse e-mail fournie volontairement · exclusivement pour le compte de l'émetteur du passe (sous-traitance selon l'art. 28 RGPD, voir l'accord de sous-traitance dans les conditions générales).

3.4 Pages d'atterrissage publiques

Sur les pages sous /p/<slug>, l'émetteur du passe (notre client) distribue des passes à ses clients finaux. Pour les données collectées à cet endroit, l'émetteur est responsable du traitement et doWallet est sous-traitant. Le nom et l'e-mail ne sont collectés que si le client final coche une case explicite. Une clé d'appareil (cookie dw_attr_<slug> et stockage local, 180 jours) garantit qu'un seul passe est émis par téléphone. Elle est strictement nécessaire et ne contient aucune donnée personnelle.

3.5 Pitch decks

Les présentations sous /pitch/<token> collectent des statistiques d'utilisation simples et internes (diapositives vues, durée). Un identifiant de session opaque est conservé uniquement en mémoire du navigateur. Aucun cookie n'est déposé et ni l'adresse IP ni le user agent ne sont enregistrés. Conservation 12 mois.

3.6 Demandes via formulaires de contact

Si tu nous contactes via un formulaire sur dowallet.de, nous enregistrons tes informations pour traiter la demande. L'adresse IP et le user agent sont supprimés après 30 jours ; la demande elle-même est supprimée après 24 mois. Une notification avec ton nom, ton e-mail, ton entreprise, l'offre choisie et ton message est envoyée par e-mail à une boîte d'Applox GmbH chez Google Workspace (section 5).

3.7 Mesure d'audience sans cookie et minimisée

Pour savoir quelles pages sont lues, nous comptons les pages vues sur les pages publiques de dowallet.de (accueil, produit, solutions, tarifs, feuille de route, nouveautés, documentation, Trust Center et textes juridiques) et sur les pages d'atterrissage sous /p/<slug>. Nous utilisons pour cela le logiciel libre Umami, que la société Applox GmbH exploite elle-même sur ses propres serveurs chez Hetzner à Falkenstein (Allemagne). Aucun tiers ne reçoit ces données. Ne sont jamais comptés : l'application après connexion, les pages de connexion et d'inscription, le back-office, les pitch decks, le scanner ainsi que les liens d'invitation, de désabonnement et de passe.

Ton navigateur envoie la page vue à dowallet.de lui-même, pas à un autre serveur. Sont transmis : l'adresse de la page sans paramètres (sur les pages publiques, seuls les marqueurs de campagne utm_source, utm_medium et utm_campaign sont conservés ; les pages d'atterrissage sont comptées sans aucun paramètre), sur les pages publiques le titre de la page, le site d'où tu viens (uniquement son nom de domaine) et ce que ton navigateur envoie de toute façon avec chaque page : identifiant du navigateur (user agent), langue préférée et adresse IP. Nous raccourcissons l'adresse IP sur nos serveurs avant qu'elle n'atteigne la statistique (IPv4 du dernier octet, IPv6 aux 48 premiers bits) ; l'adresse IP complète n'est ni transmise ni enregistrée dans la statistique (comme toute requête, la page vue figure dans le journal d'accès du serveur, point 3.8). Seuls sont enregistrés la page vue, le navigateur, le système d'exploitation, le type d'appareil et la localisation approximative qui en sont déduits (pays, région et ville dans la mesure où ils découlent de l'adresse IP raccourcie), ainsi qu'un identifiant de visite : une valeur de hachage de l'adresse IP raccourcie, de l'identifiant du navigateur, d'une clé secrète et du jour en cours, qui change donc chaque jour. Cet identifiant est un pseudonyme et non une donnée anonyme : qui connaît la clé pourrait le recalculer pour une adresse IP raccourcie et un identifiant de navigateur connus. Nous ne le faisons pas et ne recoupons la statistique avec aucune autre donnée ; les visites de jours différents ne peuvent pas être reliées.

Aucun cookie n'est déposé, rien n'est placé dans le stockage de ton navigateur et aucune propriété de ton appareil, comme la taille de l'écran ou les réglages de langue, n'est lue. Comme rien n'est stocké sur ton terminal et qu'aucune information n'y est lue qui ne soit de toute façon transmise avec la page, aucun consentement n'est requis selon notre analyse au titre du § 25 TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques) ; c'est pourquoi il n'y a pas de bannière cookies. La base juridique est notre intérêt légitime à comprendre l'audience et l'utilisation de notre site et à l'améliorer (art. 6 par. 1 lit. f RGPD). Applox GmbH est aussi responsable du comptage sur les pages d'atterrissage ; l'émetteur du passe ne reçoit pas ces données. Les données sont supprimées après 25 mois.

Opposition : si tu as activé « Do Not Track » ou « Global Privacy Control » dans ton navigateur, nous ne comptons aucune page vue. Tu peux en outre t'opposer au traitement selon l'art. 21 RGPD (dsb@dowallet.de) ; comme la statistique ne contient ni nom ni adresse IP et que nous ne pouvons pas t'y retrouver, le réglage du navigateur est le moyen efficace.

3.8 Journaux d'accès des serveurs

À chaque requête vers dowallet.de et ses sous-domaines (app., api. et pass.dowallet.de, donc aussi les pages d'atterrissage, les liens de passe et les requêtes des apps Wallet), le serveur web écrit une ligne dans le journal d'accès : horodatage, hôte demandé, méthode, chemin avec les paramètres de l'adresse (par exemple des marqueurs de campagne ou des identifiants dans des liens), code de statut, volume transféré, temps de réponse, l'adresse IP complète, l'identifiant du navigateur (user agent), la page de provenance (referer) et un identifiant de requête. Pour la recherche d'adresses de l'éditeur de lieux, seul le chemin sans paramètres et sans page de provenance est journalisé : les termes recherchés et les coordonnées ne le sont jamais.

La finalité est la sécurité de l'exploitation : détecter, repousser et analyser les attaques et les abus, et trouver des erreurs (art. 6 par. 1 lit. f RGPD). Le journal reste au maximum 90 jours sur le serveur. Chaque nuit, une copie chiffrée part vers le stockage de sauvegarde chez Hetzner à Falkenstein, où elle est supprimée automatiquement après 365 jours. Nous n'utilisons pas le journal pour établir des profils et ne le recoupons avec aucune autre donnée ; il ne permet pas de rechercher une personne, car il ne contient ni noms ni adresses e-mail. L'application elle-même ne journalise les requêtes qu'avec une adresse IP raccourcie (IPv4 /24, IPv6 /64) et sans les paramètres de l'adresse ; ces journaux restent 30 jours sur le serveur et 365 jours dans la copie chiffrée.

3.9 Page d'état et surveillance de la disponibilité

Nous vérifions nous-mêmes que doWallet est joignable : le logiciel open source Gatus, qu'Applox GmbH exploite sur ses propres serveurs chez Hetzner à Falkenstein (Allemagne), appelle chaque minute les adresses publiques de doWallet et signale les pannes. Aucune donnée personnelle n'est traitée à cette fin et aucun service de surveillance externe ne reçoit de données.

Le résultat s'affiche sur la page d'état status.dowallet.de. Elle ne dépose aucun cookie, n'enregistre rien dans ton navigateur et ne charge rien depuis d'autres serveurs. Comme pour toute requête, le serveur d'Applox GmbH placé devant elle (lui aussi chez Hetzner à Falkenstein) inscrit la requête avec l'adresse IP complète, l'identifiant du navigateur (user agent) et la page de provenance dans son journal d'accès. Celui-ci est conservé 14 jours sur ce serveur et 30 jours dans notre stockage de journaux, lui aussi à Falkenstein. La finalité est l'exploitation sûre de la page (art. 6 par. 1 lit. f RGPD).

4. Bases juridiques

• Art. 6 par. 1 lit. b RGPD (exécution du contrat) · mise à disposition de la plateforme.
• Art. 6 par. 1 lit. c RGPD (obligation légale) · conservation fiscale.
• Art. 6 par. 1 lit. f RGPD (intérêts légitimes) · sécurité informatique, prévention de la fraude, journal d'audit, journaux d'accès des serveurs (point 3.8), protection anti-bot, mesure d'audience sans cookie (point 3.7), page d'état et surveillance de la disponibilité (point 3.9).
• Art. 6 par. 1 lit. a RGPD (consentement) · e-mails aux détenteurs de passes, nom et e-mail sur les pages d'atterrissage.

5. Destinataires et sous-traitants

• Hetzner Online GmbH (Allemagne) · hébergement des serveurs, stockage d'objets, sauvegardes, journaux d'accès, tuiles de carte et recherche d'adresses. Accord de sous-traitance conclu.
• Apple Inc. (États-Unis) · Apple Wallet : notifications push via APNs vers les appareils sur lesquels un passe est enregistré. Apple ne reçoit que le jeton push de l'appareil et l'identifiant du type de passe ; l'appareil télécharge le passe directement chez doWallet. Le transfert a lieu sur instruction de l'émetteur du passe, parce qu'il émet des passes Wallet. Base juridique : voir section 11.
• Google LLC (États-Unis) · API Google Wallet : contenu du passe sous forme de classe et d'objet Wallet, y compris les informations sur le détenteur que le modèle place sur le passe. Le transfert a lieu sur instruction de l'émetteur du passe, parce qu'il émet des passes Wallet. Base juridique : voir section 11.
• Brevo (Sendinblue SAS, France) · envoi des e-mails transactionnels (codes de connexion, invitations, factures, e-mails de passes), sauf si le client a configuré son propre serveur SMTP. Accord de sous-traitance conclu.
• doCaptcha (Applox GmbH, Allemagne) · protection anti-bot de la connexion, des formulaires et, avec Page Guard, du site. Service de la même société sur des serveurs en Allemagne, pas un tiers ; voir point 6.1.
• sevDesk GmbH (Allemagne) · facturation et comptabilité : données de l'entreprise et contact de facturation de nos clients. Accord de sous-traitance conclu.
• Google Ireland Limited (Google Workspace, Irlande) · boîtes e-mail d'Applox GmbH. Elles reçoivent actuellement les notifications de demandes de contact (point 3.6) et de justificatifs de paiement téléversés (organisation, numéro de facture, montant, note du client), ainsi que les signalements à security@applox.com et les réponses à nos e-mails, jusqu'à ce que ces boîtes passent chez un fournisseur en Allemagne. Pour le traitement aux États-Unis, voir section 11.
• Destinataires configurés par le client · son propre serveur SMTP, des endpoints webhook, l'API de son système pour la valeur du passe (à l'émission, doWallet envoie les informations que le client définit, par exemple l'ID du passe, le numéro de série, le modèle, les marqueurs de campagne et les attributs du passe, y compris le nom et l'e-mail du détenteur s'il y a consenti) et des adresses d'images par passe (doWallet récupère l'image une fois à cette adresse). Ces transferts ont lieu sur instruction du client ; il choisit lui-même ces destinataires et en est responsable.

La surveillance de la disponibilité, la page d'état et la mesure d'audience sont exploitées par Applox GmbH elle-même sur des serveurs chez Hetzner en Allemagne (points 3.7 et 3.9) ; elles n'impliquent aucun autre destinataire. doWallet n'utilise aucun service externe de surveillance, de page d'état ou de rapports d'erreurs.

6. Services intégrés

6.1 doCaptcha (protection anti-bot)

La connexion, la demande d'un code de connexion, « Mot de passe oublié » et le formulaire de contact sont protégés par doCaptcha, un service d'Applox GmbH (Allemagne), la société qui exploite aussi doWallet ; les données ne quittent ni la société ni l'Allemagne. Lorsque Page Guard est actif, doCaptcha vérifie aussi les autres pages du site et de l'application. Les pages que les détenteurs de passes ouvrent depuis leur wallet, un QR code ou un e-mail (landing pages, invitations personnelles, liens de passe, désinscription, scanner) n'exécutent jamais doCaptcha. Ton navigateur charge un script depuis widget.docaptcha.com et communique avec l'API de doCaptcha. Sont transmis ton adresse IP, le user-agent et des signaux techniques qui révèlent un accès automatisé : propriétés du navigateur, nombres et intervalles des mouvements de souris, clics et frappes et, avec Page Guard, le temps passé et le nombre de saisies par changement de page. Ce que tu tapes, les touches, les adresses des pages et les textes des liens ne quittent pas ton navigateur. Lorsqu'un agent IA s'identifie par son user-agent ou une signature (Web Bot Auth), doCaptcha vérifie ces informations ; les moteurs de recherche et les aperçus de liens sont exclus. Le service dépose exactement un cookie first-party d'autorisation (__dc_clr, 30 minutes, strictement nécessaire) dès que Page Guard est actif ; il atteste que ton navigateur a réussi la vérification. Le widget des formulaires lui-même ne dépose aucun cookie et n'utilise aucun stockage du navigateur. La protection sert uniquement à bloquer les accès, les tentatives de connexion et les e-mails déclenchés de façon abusive (art. 6 par. 1 lit. f RGPD ; accès à ton terminal selon l'art. 25 al. 2 n° 2 TDDDG).

6.2 Cartes et recherche d'adresses

L'éditeur de lieux de l'application affiche une carte et propose une recherche d'adresses. Ton navigateur charge les tuiles, les polices et les symboles depuis le stockage d'objets de doWallet chez Hetzner à Falkenstein. Les termes recherchés et les points cliqués sur la carte sont envoyés à l'API doWallet, qui y répond avec son propre service de géocodage sur des serveurs doWallet en Allemagne. Aucun tiers ne reçoit ton adresse IP ni ta recherche. Les termes recherchés et les coordonnées n'entrent jamais dans une base de données ni dans un journal. Pour que les recherches répétées soient rapides, le terme recherché et les coordonnées arrondies servent, uniquement sous forme de hachage, de clé à un cache : avec la réponse, ils restent 24 heures au plus (10 minutes sans résultat) dans la mémoire vive des serveurs doWallet, sans lien avec ta personne (art. 6 par. 1 lit. b RGPD). Données cartographiques © contributeurs OpenStreetMap, disponibles sous la licence Open Database License (ODbL).

Sur les pages d'atterrissage, le bouton « In Karten öffnen » n'ouvre l'app de cartes de ton appareil (Plans sur iPhone, sinon Google Maps) qu'après ton geste ; ce n'est qu'alors que ce fournisseur reçoit les coordonnées du lieu, selon ses propres conditions.

7. Cookies et technologies similaires

Nous n'utilisons que des cookies strictement nécessaires et un stockage de préférences. Il n'y a ni cookies d'analyse ni cookies marketing ; la mesure d'audience (point 3.7) fonctionne sans cookies et sans stockage du navigateur. Chaque entrée est décrite avec sa finalité et sa durée dans notre politique relative aux cookies. Tes paramètres sont accessibles à tout moment ici : Paramètres des cookies

8. Tes droits

Tu disposes à tout moment des droits suivants :

• Accès (art. 15) · aperçu complet de tes données chez nous.
• Rectification (art. 16).
• Effacement (art. 17) · suppression complète avec délai de grâce de 30 jours, révocable.
• Limitation (art. 18).
• Portabilité (art. 20) · export sous forme d'archive JSON.
• Opposition (art. 21) et retrait du consentement (art. 7 par. 3).
• Réclamation auprès d'une autorité de contrôle (pour Dortmund : LDI NRW).

Comment exercer tes droits :

• Clients : export et suppression sous Paramètres → Profil → Droits sur les données. Une synthèse de l'accord de sous-traitance (AVV / DPA) y est téléchargeable en PDF ; l'accord à signer est disponible via dsb@dowallet.de.
• Détenteurs de passes : tu retires ton consentement aux e-mails concernant un passe via le lien présent dans chaque e-mail. Le passe reste dans ton wallet. Tu peux demander l'effacement de tes données auprès de l'émetteur du passe ou à dsb@dowallet.de.
• Les émetteurs de passes peuvent supprimer les données personnelles d'un passe dans la liste des passes via « Personenbezogene Daten löschen ».

Pour toute autre demande, écris à dsb@dowallet.de.

9. Durée de conservation

Les comptes actifs sont conservés pendant toute la durée de la relation contractuelle. Les journaux d'accès des serveurs suivent le point 3.8. Toutes les autres données suivent les délais ci-dessous, appliqués automatiquement par un traitement quotidien :

10. Mesures techniques et organisationnelles

• Chiffrement du transport en TLS 1.2 ou supérieur, TLS 1.3 de préférence ; les requêtes non chiffrées sont redirigées vers HTTPS.
• Identifiants wallet et jetons d'authentification des passes chiffrés en AES-256-GCM avec clés rotatives.
• Mots de passe hachés avec argon2id.
• Limitation de débit, protection CSRF, CSP Helmet, liste d'autorisation CORS.
• Pare-feu Hetzner Cloud et pare-feu des serveurs avec listes d'autorisation, limitation de débit au reverse proxy ; sauvegardes de la base de données toutes les 6 heures, chiffrées avant l'envoi.
• Analyse de vulnérabilités de chaque image avant le déploiement ; un test d'intrusion externe est prévu. Journal d'audit avec adresse IP et user agent (supprimés après 90 jours).

11. Transferts internationaux de données

Nous exploitons l'hébergement, la base de données, les sauvegardes, les tuiles de carte, la recherche d'adresses, la mesure d'audience, la surveillance et la page d'état en Allemagne (Hetzner, Falkenstein). Brevo (Sendinblue SAS) envoie les e-mails transactionnels depuis la France, donc au sein de l'UE.

Nous ne transférons de données issues des passes vers les États-Unis que lorsque cela découle du fait que notre client émet des passes Wallet et que tu enregistres un passe dans ton Wallet : à Apple Inc., pour Apple Wallet, le jeton push de ton appareil et l'identifiant du type de passe (ton appareil télécharge le passe lui-même directement chez doWallet) ; à Google LLC, pour Google Wallet, le contenu du passe, y compris les informations te concernant que le modèle place sur le passe. Pour Google LLC, la base juridique est la décision d'adéquation de la Commission européenne relative au EU-U.S. Data Privacy Framework du 10 juillet 2023 (art. 45 RGPD), dans le cadre de laquelle Google LLC est certifiée, complétée par les clauses contractuelles types. Apple Inc. n'est pas certifiée dans le cadre du Data Privacy Framework ; pour Apple, le transfert repose sur les clauses contractuelles types de la Commission (art. 46 par. 2 lit. c RGPD).

Les boîtes e-mail d'Applox GmbH sont fournies par Google Ireland Limited (Google Workspace, Irlande) ; Google peut aussi traiter leurs données aux États-Unis. La base juridique est la décision d'adéquation relative au EU-U.S. Data Privacy Framework (art. 45 RGPD), dans le cadre de laquelle Google LLC est certifiée, complétée par les clauses contractuelles types (art. 46 par. 2 lit. c RGPD).

Les destinataires qu'un client configure lui-même (section 5) peuvent se trouver hors de l'UE ; ce transfert a lieu sur son instruction et sous sa responsabilité. Les outils de notre exploitation établis hors d'Allemagne (GitLab et Let’s Encrypt aux États-Unis, 1Password au Canada) ne reçoivent aucune donnée te concernant ; ils figurent dans le Trust Center.

doWallet ne contient aucune fonction d'IA et ne transmet aucune donnée à des fournisseurs d'IA.

12. Modifications de cette politique

Nous nous réservons le droit d'adapter cette politique. Les modifications importantes sont communiquées par e-mail.