Politique de confidentialité complète de Vuelvy

1. Responsable du traitement

Le responsable des traitements réalisés pour ses propres finalités décrits ici est Alejandro García Martínez, qui exploite Vuelvy comme marque commerciale.

Identifiant fiscal : 49170885J
Domicile fiscal : Calle Cronista Carlos Valcarcel, 8, 30120 Murcia, Espagne
Contact général : info@vuelvy.com
Assistance du service : soporte@vuelvy.com
Confidentialité et exercice des droits : privacy@vuelvy.com
Sécurité et incidents : seguridad@vuelvy.com
Sites et service : vuelvy.com, www.vuelvy.com et applications associées

2. Périmètre et droit applicable

Cette politique concerne visiteurs, contacts commerciaux, clients, utilisateurs de comptes, personnes réservant un rendez-vous et, sous les réserves ci-dessous, détenteurs de cartes et contacts gérés par les clients Vuelvy. Les traitements relèvent principalement du règlement (UE) 2016/679, de la loi organique espagnole 3/2018 et de la loi 34/2002, ainsi que des règles sectorielles applicables.

3. Nos rôles de responsable de traitement et de sous-traitant

Alejandro García Martínez est responsable de traitement pour le site, l’acquisition de prospects, les contrats, la facturation, les comptes, l’assistance, la sécurité, la prévention des fraudes, ses propres analyses et communications Vuelvy. Lorsqu’un client utilise la plateforme pour gérer des contacts, segmenter des publics, émettre des cartes ou mener des campagnes, il détermine les finalités et est normalement responsable du traitement. Alejandro García Martínez agit alors comme sous-traitant selon ses instructions et l’accord de traitement des données. Cette politique ne remplace pas l’obligation du client d’informer ses utilisateurs.

4. Personnes concernées et sources

Les données peuvent provenir de la personne, de son organisation, d’un client Vuelvy qui les importe légalement, d’intégrations autorisées comme Shopify ou un CRM, d’Apple Wallet ou Google Wallet lors de l’ajout ou de l’actualisation d’une carte, d’une réservation Cal.com et d’une navigation consentie. Nous pouvons aussi utiliser des données professionnelles publiques si un intérêt légitime valable justifie une prospection B2B proportionnée, sans invoquer cette base pour des sollicitations électroniques non demandées interdites par le droit espagnol.

5. Catégories de données

Nous ne traitons que les catégories nécessaires à chaque finalité et à la configuration souscrite.

Identité et contact : nom, e-mail, téléphone professionnel et organisation
Profil professionnel et commercial : fonction, site, secteur, besoin, volume, échéance et notes de relation
Compte et contrat : organisation, membres, rôles, authentification, facturation, assistance et audit
Données Wallet : identifiant interne, classe et objet de carte, statut, points, niveau, avantages, utilisation, historique et préférences
Configuration fournisseur : modèle souscrit, identifiants d’émetteur et de projet, compte de service, rôles, autorisations, statut de publication et, en BYOC, identifiants ou jetons nécessaires au compte client
Appareil et distribution : identifiants techniques d’enregistrement, jetons de mise à jour, système Wallet et signaux observables d’enregistrement, d’utilisation ou de suppression fournis par le prestataire
Navigation et mesure : adresse IP, identifiants de cookies, navigateur, appareil, URL, référent, campagne, événements, clics et défilement
Sécurité : journaux d’accès, IP transformée si approprié, user-agent, incidents et preuves de consentement

6. Finalités et bases juridiques

Chaque traitement repose sur une base juridique précise. Le consentement n’est pas imposé pour une fonctionnalité qui n’en a pas besoin.

Répondre, préparer des propositions et souscrire des services : mesures précontractuelles ou contrat
Créer des comptes, fournir la plateforme, émettre, maintenir et retirer des cartes, intégrer, assister et facturer : exécution du contrat
Gérer intégration, vérifications, audits et demandes de sécurité ou conformité d’Apple, Google et autres fournisseurs : contrat, obligation légale ou intérêt légitime selon le cas
Respecter les obligations comptables, fiscales, de consommation, de protection des données ou les demandes valides des autorités : obligation légale
Protéger la plateforme, prévenir les abus, conserver un minimum de traces et défendre des droits : intérêt légitime
Envoyer actualités ou contenus non essentiels : consentement ou autre autorisation légale documentée
Activer GA4, Microsoft Clarity et technologies équivalentes : consentement à l’analyse
Activer Google Ads, Meta Pixel, TikTok Pixel, audiences ou mesure publicitaire : consentement publicitaire et marketing

7. Formulaires, diagnostic et relation commerciale

Lorsqu’un formulaire est rempli, nous traitons les données fournies, page d’origine, paramètres UTM, langue, référent, preuve de consentement et signaux techniques de sécurité. Ils servent à répondre, qualifier la demande, préparer le diagnostic et assurer le suivi associé. Cal.com gère les réservations. Une demande n’est pas inscrite au marketing récurrent sans sélection de la case distincte ou autre autorisation légale documentée.

8. Comptes, contrats, assistance et facturation

Pour fournir le SaaS, nous traitons données des administrateurs et membres, autorisations, activité du compte, réglages, tickets, échanges, utilisation souscrite et documents administratifs. Les demandes d’assistance et incidents peuvent être adressés à soporte@vuelvy.com. Lorsque les paiements seront activés, le prestataire de paiement ou Shopify Billing traitera les moyens de paiement selon le modèle ; Vuelvy n’a pas besoin de stocker les numéros de carte complets. Les traces d’audit servent à la sécurité, à la traçabilité et à la conformité.

9. Données gérées par les clients dans Vuelvy

Le client décide des contacts importés, de la finalité du programme, du contenu des cartes et des communications. Vuelvy peut traiter identifiants, coordonnées, attributs de segmentation, statut de fidélité, points, coupons, utilisations, événements, consentements et jetons techniques nécessaires à l’actualisation. Le client doit avoir une base juridique, fournir sa propre information et respecter désinscriptions, oppositions et minimisation. Instructions, durée, garanties, assistance, restitution, suppression et sous-traitants ultérieurs figurent dans l’accord de traitement.

10. Google Analytics 4 et Microsoft Clarity

Avec le consentement à l’analyse, nous pouvons utiliser Google Analytics 4 pour mesurer utilisateurs, sessions, campagnes, parcours et conversions, et Microsoft Clarity pour comprendre l’expérience via indicateurs comportementaux, cartes de chaleur et enregistrements de sessions. GA4 peut traiter identifiants clients, appareil, navigateur, événements et localisation approximative ; Google indique supprimer les adresses IP des utilisateurs européens avant journalisation. Clarity enregistre la structure visible et les interactions : clics, mouvements et défilement. Les champs de formulaire restent masqués et nous ne configurons pas délibérément la capture de mots de passe ou de contenu saisi. Le consentement peut être refusé ou retiré dans les paramètres de cookies.

GA4 : mesure agrégée, attribution et amélioration ; conservation configurée jusqu’à 14 mois
Clarity : sessions ordinaires jusqu’à 30 jours ; données agrégées, cartes de chaleur et sessions sélectionnées jusqu’à 9 mois
Noms, e-mails et téléphones ne sont pas envoyés comme paramètres ordinaires d’analyse
Microsoft et Alejandro García Martínez agissent comme responsables indépendants pour Clarity selon les conditions du fournisseur

11. Google Ads, Meta Pixel et TikTok Pixel

Les balises de conversion, remarketing ou audience de Google Ads, Meta Pixel et TikTok Pixel ne peuvent être activées qu’avec le consentement publicitaire. Elles peuvent recevoir URL et référent, événement et horaire, campagne ou annonce, IP, user-agent, identifiants de cookie ou d’appareil et conversions telles qu’une demande confirmée. Nous n’envoyons ni texte libre des formulaires, ni mots de passe, ni catégories particulières de données. Le rapprochement avancé ou l’envoi d’audiences à partir d’e-mails ou téléphones ne sont activés que s’ils sont expressément configurés, annoncés et fondés sur une base juridique suffisante.

Google utilise les signaux Consent Mode pour respecter les catégories acceptées
Meta peut être responsable conjoint pour la collecte et la transmission par ses outils, puis responsable de ses traitements ultérieurs
TikTok peut être responsable conjoint, indépendant ou sous-traitant selon la fonction et les conditions régionales
Refuser le marketing empêche Vuelvy de charger ces pixels publicitaires dans le navigateur

12. Communications et Klaviyo

Klaviyo sert à synchroniser les profils commerciaux, enregistrer les événements de relation et envoyer des communications. Un prospect peut donner lieu à un profil opérationnel pour traiter sa demande, mais l’inscription marketing n’est demandée qu’avec un consentement distinct ou une autre autorisation légale applicable. Chaque message commercial propose une désinscription. Le retrait n’affecte pas les messages transactionnels nécessaires à une demande, un compte ou un contrat.

13. Sous-traitants du service

Nous utilisons des prestataires soumis à contrat, confidentialité, instructions et mesures de sécurité pour exploiter Vuelvy. Les accès se limitent à la fonction nécessaire. Certaines intégrations dépendent du modèle souscrit.

Vercel Inc. : hébergement du site et de l’application Next.js, réseau de diffusion, fonctions et journaux techniques
OVHcloud (OVH Hispano S.L.) : serveur PostgreSQL et sauvegardes à Milan, Italie (Union européenne) ; stockage objet Versity exploité directement par Vuelvy sur son Mac mini en Espagne (Union européenne)
Cloudflare Inc. : DNS, réseau, sécurité, prévention des abus et Turnstile
Resend Inc. : invitations, récupération de compte, alertes de sécurité et autres e-mails transactionnels
Klaviyo Inc. : CRM, profils, événements, listes et communications consenties
Cal.com Inc. : réservation et gestion des rendez-vous
Google Cloud et Google Wallet : infrastructure et intégration des cartes Google lorsqu’elles sont activées
Apple et APNs : distribution et mises à jour des cartes Apple Wallet
Shopify : application, API, webhooks et facturation pour les clients connectant une boutique

14. Prestataires de mesure et autres destinataires

Google Ireland Limited et les entités Google, Meta Platforms Ireland Limited, TikTok Technology Limited et ses entités régionales, ainsi que Microsoft Ireland Operations Limited ou Microsoft Corporation peuvent recevoir des données lorsque leurs technologies sont activées. Selon le produit et les conditions, ils peuvent être sous-traitants, responsables conjoints ou indépendants. Nous pouvons aussi communiquer des données aux conseils tenus à confidentialité, auditeurs, assureurs, acquéreurs dans une opération sociétaire et autorités en présence d’une obligation ou demande valable.

15. Apple Wallet, Google Wallet et intégrations

Lors de l’enregistrement d’une carte, Apple ou Google traite les informations selon sa politique et les réglages du compte de la personne. La carte peut contenir des informations visibles, un identifiant et des coordonnées de lieux ; l’appareil peut fournir à Vuelvy les identifiants techniques et jetons nécessaires à l’ajout, à la gestion ou à la mise à jour. Pour la proximité, Apple ou Google évalue la position et décide de la pertinence de la carte ou d’une alerte selon ses autorisations et règles. Configurer des lieux ne donne pas, en soi, à Vuelvy accès à la position précise ou à un historique continu. Apple et Google exploitent leurs plateformes comme responsables indépendants. Shopify, CRM et autres intégrations sont activés sur instruction du client et échangent le minimum défini par leur configuration.

16. Google Wallet en modèle agrégateur ou BYOC

Le modèle figure au contrat Vuelvy et ne modifie pas les rôles imposés par la loi : le client professionnel est normalement responsable des données des détenteurs et des communications ; Alejandro García Martínez est sous-traitant pour l’exploitation sur instructions et responsable des traces strictement nécessaires à la sécurité, à la facturation, aux recours et à sa propre conformité ; Google traite données de compte, d’appareil et de plateforme selon ses conditions et sa politique.

Agrégateur : lorsque Google l’autorise, Alejandro García Martínez utilise l’infrastructure et les identifiants gérés par Vuelvy pour créer ou administrer émetteurs, classes et objets de plusieurs clients, transmettre les contenus et données nécessaires et recevoir les signaux de cycle de vie exposés par l’API
BYOC : le client contrôle compte émetteur, projet et identifiants Google ; Vuelvy y accède avec les droits minimaux pour exécuter les instructions, trace les accès et protège, renouvelle ou supprime les secrets selon le contrat et l’accord de traitement
Google peut recevoir identifiants d’émetteur, de classe et d’objet, éléments de marque et visuels, champs visibles, liens, lieux configurés, données d’émission ou mise à jour et signaux nécessaires à l’enregistrement, l’utilisation ou la suppression
Le service ne donne pas à Vuelvy accès au contenu général du compte Google Wallet du détenteur ni à ses moyens de paiement. Vuelvy ne traite que les données du programme ou renvoyées par des API autorisées, ne vend pas les données Wallet et ne les utilise pas pour de la publicité tierce
Tout changement de modèle ou d’émetteur exige une autorisation documentée. Migration, export, révocation des accès, suppression ou conservation se font selon le contrat, l’accord de traitement, les capacités Google et les obligations légales

17. Transferts internationaux

Certains prestataires ou sous-traitants ultérieurs traitent des données hors de l’Espace économique européen. Avant activation, nous retenons le mécanisme approprié : décision d’adéquation, cadre UE–États-Unis de protection des données si l’entité est certifiée, clauses contractuelles types de la Commission européenne et, si nécessaire, analyse du transfert et mesures complémentaires. Les garanties applicables peuvent être demandées à privacy@vuelvy.com.

18. Conservation et suppression

Nous ne conservons les données que pendant la durée nécessaire à chaque finalité et à la gestion des responsabilités.

Demandes et opportunités inactives : normalement 12 mois après le dernier échange
Marketing : jusqu’à désinscription ; preuves de consentement et d’opposition conservées pendant les délais de prescription applicables
Contrats, factures et pièces comptables : pendant la relation, puis généralement 6 ans ou la durée impérative supérieure
Données de compte et de service : pendant le contrat et le délai convenu d’export, restitution ou suppression
Données clients et détenteurs de cartes : selon instructions, paramètres de conservation et accord de traitement
Identifiants et accès BYOC : tant que nécessaires au service ; à sa fin, révocation, restitution ou suppression selon contrat, sauf traces minimales d’audit ou conservation légale
Journaux de sécurité et d’assistance : durée minimale liée au risque, normalement 30 à 180 jours sauf incident
Sauvegardes : suppression par rotation contrôlée et blocage jusqu’à écrasement

19. Segmentation et décisions automatisées

Nous pouvons calculer un score de prospect pour prioriser le suivi et créer des segments de campagne ou d’analyse. Les prestataires publicitaires peuvent constituer des audiences ou attribuer des conversions avec consentement. Vuelvy ne prend pas de décisions exclusivement automatisées produisant des effets juridiques ou similaires significatifs sur visiteurs ou prospects. Si un client configure un profilage, il doit l’évaluer, informer les personnes et prévoir les garanties requises.

20. Droits des personnes

Vous pouvez demander accès, rectification, effacement, opposition, limitation et portabilité, retirer votre consentement à tout moment et ne pas faire l’objet de décisions automatisées dans les cas prévus par la loi. Écrivez à privacy@vuelvy.com en indiquant le droit et les informations suffisantes pour retrouver les données. Une vérification d’identité proportionnée peut être demandée. Si Vuelvy agit pour un client, nous transmettons ou coordonnons la demande avec ce responsable. Vous pouvez aussi saisir l’Agence espagnole de protection des données sur aepd.es.

21. Sécurité et incidents

Nous appliquons des mesures adaptées au risque : TLS, accès par rôle, séparation des environnements, secrets chiffrés, traçabilité, validation des entrées, prévention des abus, sauvegardes, gestion des vulnérabilités et minimisation des journaux. Aucun système n’est infaillible. Les signalements confidentiels peuvent être adressés à seguridad@vuelvy.com sans identifiants ni données personnelles inutiles. En cas de violation de données, nous évaluons le risque, documentons la réponse et informons clients, autorités ou personnes si la loi ou le contrat l’exige.

22. Mineurs, données sensibles et modifications

Vuelvy est un service professionnel qui ne s’adresse pas aux moins de 14 ans. Catégories particulières de données, identifiants financiers, pièces d’identité ou données de mineurs ne doivent pas être ajoutés aux cartes, formulaires ou champs libres sans accord écrit préalable de Vuelvy, analyse spécifique, garanties adaptées et, pour les cartes privées ou informations sensibles dans Google Wallet, autorisation expresse de Google si requise. Nous actualisons cette politique lorsque traitements, fournisseurs ou exigences légales évoluent et communiquons les changements importants lorsque nécessaire. La version espagnole prévaut dans les limites autorisées par la loi.

23. Connexion avec Google

Lorsque cette option est disponible, vous pouvez créer votre compte, vous connecter ou associer votre compte Google à un compte Vuelvy grâce à la connexion avec Google. Elle est facultative : vous pouvez aussi utiliser un e-mail et un mot de passe. Nous utilisons Google exclusivement pour vous authentifier et protéger votre compte. Nous ne demandons que les autorisations openid, email et profile ; nous ne demandons pas l’accès à Gmail, Google Drive, Google Agenda, Contacts ni à d’autres données de votre compte Google, ni d’autorisations sensibles ou restreintes. Choisir Google ne vaut pas consentement aux communications commerciales et ne fusionne pas automatiquement les identités : nous n’acceptons que les adresses e-mail validées par Google, et un compte Vuelvy existant n’est associé que si vous le demandez alors que vous êtes connecté.

Données reçues de Google : l’identifiant stable de votre compte Google, votre adresse e-mail validée, votre nom et, le cas échéant, l’adresse de votre photo de profil. Elles sont enregistrées dans votre utilisateur Vuelvy et dans l’enregistrement de la connexion avec Google
Jetons : à la fin de la connexion, Google remet des jetons OAuth. Les jetons d’accès et, si Google en émettait un, d’actualisation sont stockés chiffrés dans notre base de données. Le jeton d’identité signé par Google, qui reprend ces données de base, est conservé avec la connexion, protégé par les contrôles d’accès et de sécurité de la base de données, sans chiffrement supplémentaire propre. Nous ne demandons l’accès que pendant votre connexion et n’utilisons pas ces jetons pour consulter d’autres services Google
Finalité et base juridique : créer et gérer votre compte, vous connecter, associer ce mode d’accès, prévenir les accès non autorisés et traiter les incidents de sécurité, sur la base du contrat ou de mesures précontractuelles et de notre intérêt légitime en matière de sécurité. Le personnel n’accède à ces données que pour l’assistance que vous demandez, la sécurité, l’enquête sur des abus ou le respect d’obligations légales
Prestataires : Vercel exécute l’application et le processus d’authentification ; OVHcloud héberge la base de données PostgreSQL et ses sauvegardes ; Cloudflare fournit réseau et sécurité ; Resend envoie les e-mails transactionnels nécessaires à votre compte, comme la récupération d’accès et les alertes de sécurité. Ils agissent comme sous-traitants avec un accès limité à leur fonction. Google traite votre connexion en tant que responsable indépendant conformément à sa politique de confidentialité : https://policies.google.com/privacy
Utilisations exclues : nous ne vendons pas les données reçues de Google et ne les utilisons ni ne les cédons pour la publicité, le remarketing, la création ou l’enrichissement d’audiences, des profils commerciaux ou l’entraînement de modèles d’intelligence artificielle ou d’apprentissage automatique. Les sections 10, 11, 12 et 19 relatives aux analyses, pixels, communications et à la segmentation ne s’appliquent pas à ces données et ne prévalent pas sur cette exclusion
L’utilisation par Vuelvy des informations reçues des API Google, et leur transfert vers toute autre application, respecte le Règlement sur les données utilisateur des services d’API Google (https://developers.google.com/terms/api-services-user-data-policy), y compris les exigences d’utilisation limitée lorsqu’elles s’appliquent. Nous ne partageons ces données qu’avec les prestataires indiqués, lorsque la loi l’exige ou avec votre consentement
Conservation et déconnexion : nous conservons la connexion tant que vous gardez votre compte, puis uniquement le minimum nécessaire à la sécurité, aux obligations légales ou à la défense de réclamations. Vous pouvez retirer l’accès de Vuelvy sur https://myaccount.google.com/connections : l’autorisation accordée à Vuelvy est révoquée et vous pourrez l’accorder de nouveau lors de votre prochaine connexion. Cela ne ferme pas les sessions Vuelvy déjà ouvertes, ne supprime pas à lui seul ses enregistrements et ne clôture pas votre compte. Pour demander la suppression, écrivez à privacy@vuelvy.com ; nous pourrons vérifier votre identité de manière proportionnée et conserver ce que la loi exige. La suppression de votre utilisateur supprime aussi la connexion et ses jetons, qui ne subsistent que dans les sauvegardes jusqu’à leur rotation
Nouvelles utilisations : si nous souhaitions utiliser ces données pour une autre finalité ou demander à Google des autorisations supplémentaires, nous vous en informerions au préalable et solliciterions votre consentement lorsque nécessaire. Un avis de mise à jour de cette politique ne remplace pas ce consentement