Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur goodly.be est :

• Goodly
• Responsable : Ermal Ibraj
• Localisation : Belgique
• Email : contact@goodly.be

Compte tenu de la nature et de l'échelle des traitements réalisés, la désignation d'un Délégué à la Protection des Données (DPO) n'est pas requise. Pour toute question relative à vos données, vous pouvez nous écrire à tout moment à contact@goodly.be.

Rôles : responsable ou sous-traitant selon les données

• Données des commerçants et des visiteurs du site : Goodly agit en qualité de responsable du traitement.
• Données des clients finaux (les consommateurs qui utilisent une carte de fidélité) : le commerçant est responsable du traitement ; Goodly agit en qualité de sous-traitant au sens de l'article 28 du RGPD, sur instruction du commerçant. Les engagements de sous-traitance de Goodly sont détaillés à l'article 13 des CGV. Pour exercer vos droits sur les données liées à votre carte de fidélité, vous pouvez vous adresser au commerçant concerné ou à Goodly (article 9).
• Données du personnel des commerçants (employés utilisant l'accès caisse) : le commerçant est responsable du traitement ; Goodly agit en qualité de sous-traitant, sur instruction du commerçant.

2. Données collectées

a) Commerçants (utilisateurs de la plateforme)

• Identité, adresse e-mail et numéro de téléphone
• Nom et adresse du commerce, type d'activité
• Données de facturation (traitées par Stripe ; Goodly ne stocke aucune donnée de carte bancaire)
• Données de connexion (date, adresse IP, appareil)
• Préférences (langue, personnalisation des cartes, réglages du programme)

b) Clients finaux des commerçants

• Prénom et nom (obligatoires)
• Adresse e-mail (obligatoire)
• Numéro de téléphone (facultatif ; sert à rapprocher les ventes de la caisse connectée)
• Code PIN de la carte de fidélité
• Langue
• Historique des visites, tampons, points et récompenses
• Identifiant client de la caisse connectée (Lightspeed ou Shopify), uniquement si le commerçant a activé la connexion
• Code de parrainage
• Préférences de communication (offres par e-mail ou notification)
• Sur la page d'ajout de carte : pays, type d'appareil et navigateur (mesure d'audience, sans adresse IP conservée)

Géolocalisation : Goodly ne collecte pas la position des clients finaux. Pour les notifications de proximité, ce sont les coordonnées du commerce qui sont inscrites dans la carte Wallet ; la détection de proximité est effectuée localement par l'appareil (Apple/Google), sans transmission de la position de l'utilisateur à Goodly.

Le programme de fidélité est réservé aux personnes âgées de 13 ans et plus. Une notice d'information dédiée aux clients finaux est disponible sur la page programme de fidélité.

c) Personnel des commerçants (employés utilisant l'accès caisse)

• Code d'accès
• Actions effectuées (connexion, consultation d'une fiche client, tampon, remise, annulation, refus)
• Horodatage, adresse IP et appareil
• Position GPS approximative, uniquement si le commerçant a activé le contrôle de proximité

Pour ces données, le commerçant est responsable du traitement et Goodly agit en qualité de sous-traitant. Le commerçant informe son personnel de l'existence de ce journal d'activité (finalité, données enregistrées, durée de conservation de 90 jours).

Visiteurs du site goodly.be

• Pages consultées, provenance, pays, type d'appareil et navigateur, temps de page visible, jalons de lecture vidéo et étapes du formulaire sans valeurs saisies — mesure d'audience interne sans identifiant stocké sur votre appareil ni adresse IP conservée (voir la politique cookies)
• Préférence de langue

Mesure publicitaire facultative OpenAI Ads

Avec votre consentement, Goodly utilise le pixel OpenAI Ads pour mesurer les visites attribuables à ses publicités. Il fonctionne uniquement sur les pages marketing du site public dans les six langues. Il est absent du tableau de bord, des pages de connexion, d’inscription et de configuration du compte, ainsi que des pages destinées aux clients finaux (cartes de fidélité, pass et cartes cadeaux).

Le seul événement configuré par Goodly est page_viewed (page consultée). OpenAI reçoit l’URL de la page et la page de provenance (origine et chemin, sans paramètres ni fragment), des informations techniques de navigateur et de connexion, dont l’adresse IP, ainsi que des identifiants pseudonymes de navigateur et de clic publicitaire. Ces données ne sont pas anonymes.

Goodly ne fournit pas explicitement de données de contact au pixel. Toutefois, le rapprochement avancé automatique est activé dans la configuration OpenAI : après votre accord, le SDK peut détecter les champs de formulaire pris en charge et hacher dans votre navigateur l’e-mail, le téléphone, le prénom et le nom avant leur envoi à OpenAI pour le rapprochement publicitaire. Les champs de pays, ville, région et code postal pris en charge peuvent aussi être transmis, sans hachage. Le hachage ne rend pas ces données anonymes.

3. Finalités du traitement

• Fourniture et gestion du service de cartes de fidélité digitales (cartes, tampons, points, récompenses, parrainage)
• Gestion des comptes commerçants, de la facturation et du support
• Envoi de notifications Wallet liées au fonctionnement de la carte (tampon, récompense, mise à jour)
• Envoi de notifications géolocalisées (si activé par le commerçant)
• Envoi d'offres aux clients finaux par e-mail ou notification, y compris par campagnes automatisées, uniquement avec leur accord
• Rapprochement des ventes de la caisse connectée (Lightspeed, Shopify) si le commerçant l'a activée
• Journal d'activité de l'accès caisse (sécurité et traçabilité des opérations)
• Fonctionnement de l'assistant IA et génération de textes de campagnes
• Envoi d'e-mails transactionnels aux commerçants (sécurité, facturation, codes de vérification)
• Envoi d'e-mails de conseils et d'offres Goodly aux commerçants (avec lien de désinscription)
• Mesure d'audience et amélioration du service
• Mesure facultative des visites attribuables aux publicités Goodly avec OpenAI Ads, avec votre consentement
• Prévention de la fraude et sécurité de la plateforme

Notifications et e-mails

• Clients finaux — notifications de service : les notifications liées au fonctionnement de la carte (tampon reçu, récompense disponible, mise à jour de la carte) sont envoyées au titre de l'exécution du service.
• Clients finaux — offres : les offres par e-mail ou notification ne sont envoyées qu'avec l'accord du client (case à cocher lors de l'inscription), révocable à tout moment auprès du commerçant ou de Goodly.
• Commerçants — e-mails transactionnels : les e-mails de sécurité, de facturation et les codes de vérification sont envoyés au titre du contrat.
• Commerçants — conseils et offres Goodly : ces e-mails comportent un lien de désinscription.

4. Base légale du traitement

• Exécution du contrat (art. 6.1.b RGPD) : traitement des données des commerçants nécessaire à la fourniture du service (inscription, gestion du compte, facturation, support, e-mails transactionnels) ; notifications de service liées au fonctionnement de la carte.
• Intérêt légitime (art. 6.1.f RGPD) : mesure d'audience interne sans identifiant déposé sur l’appareil, journaux techniques et de sécurité, prévention de la fraude, e-mails de conseils aux commerçants clients (opposition possible à tout moment).
• Consentement (art. 6.1.a RGPD) : offres envoyées aux clients finaux par e-mail ou notification, e-mails marketing, activation des notifications géolocalisées ; mesure publicitaire facultative OpenAI Ads et rapprochement avancé automatique.
• Données des clients finaux et du personnel : Goodly agit sur instruction du commerçant, responsable du traitement, qui détermine la base légale applicable.
• Obligation légale (art. 6.1.c RGPD) : conservation des données de facturation conformément aux obligations comptables et fiscales belges.

5. Destinataires et sous-traitants

Les données peuvent être partagées avec les sous-traitants suivants, dans le cadre strict de la fourniture du service :

Les données de vos clients ne sont transmises à Lightspeed ou Shopify que si vous activez vous-même la connexion à votre caisse. L'intégration SumUp est annoncée mais n'est pas active : aucune donnée n'est transmise à SumUp à ce jour, et cette liste sera mise à jour avant toute activation.

Goodly ne vend ni ne loue vos données personnelles. Avec votre accord, les données de mesure publicitaire décrites ci-dessus sont transmises à OpenAI. Son utilisation des données est décrite dans sa politique de confidentialité.

6. Transferts hors Union européenne

Certains sous-traitants sont situés hors de l'Union européenne (États-Unis, Canada). Ces transferts sont encadrés par :

• Le Data Privacy Framework UE-US, pour les sous-traitants qui y sont certifiés (Vercel, Stripe, Apple, Google)
• Les clauses contractuelles types (CCT) adoptées par la Commission européenne (Resend, Anthropic, Supabase)
• La décision d'adéquation de la Commission européenne relative au Canada (Lightspeed)

Goodly s'assure que chaque sous-traitant offre des garanties appropriées conformément aux articles 44 à 49 du RGPD.

Les données transmises au pixel OpenAI peuvent être traitées hors de l’Union européenne, notamment aux États-Unis. La politique de confidentialité d’OpenAI décrit ses traitements et les protections applicables aux transferts internationaux.

7. Durée de conservation

• Comptes commerçants : conservés tant que le Compte existe. Le commerçant peut supprimer son Compte à tout moment depuis ses réglages ; Goodly ne pratique aucune suppression automatique pour inactivité. Les données de facturation sont conservées 10 ans conformément aux obligations comptables et fiscales belges.
• Données des clients finaux : conservées tant que la carte du client existe ; supprimées à la demande du commerçant (outils du tableau de bord) ou du client (article 9), ou avec le compte du commerçant.
• Journal d'activité du personnel : 90 jours.
• Événements de vente transmis par la caisse connectée : 24 mois.
• Codes de vérification : 24 heures.
• Journaux techniques et de sécurité : 12 mois.
• Mesure d'audience interne : 12 mois, sans adresse IP.
• Mesure OpenAI Ads : votre choix Goodly est valable 30 jours ; les durées des cookies et stockages sont détaillées dans la politique cookies. Ces durées ne déterminent pas la conservation des données déjà reçues par OpenAI, décrite dans sa politique de confidentialité.

8. Droits des personnes

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie
• Droit de rectification : faire corriger vos données inexactes ou incomplètes
• Droit à l'effacement : demander la suppression de vos données, sous réserve des obligations légales de conservation
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine
• Droit d'opposition : vous opposer au traitement de vos données fondé sur l'intérêt légitime
• Droit à la limitation : demander la limitation du traitement dans certains cas
• Droit de retirer votre consentement : à tout moment, sans que cela n'affecte la licéité du traitement effectué avant le retrait

9. Exercice des droits

Pour exercer vos droits, envoyez un email à contact@goodly.be en précisant votre identité et la nature de votre demande. Goodly s'engage à répondre dans un délai de 30 jours.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'Autorité de Protection des Données (APD) belge :

• Autorité de Protection des Données
• Rue de la Presse 35, 1000 Bruxelles
• www.autoriteprotectiondonnees.be
• Email : contact@apd-gba.be

10. Cookies

Le site utilise des cookies fonctionnels pour la connexion et vos préférences, une mesure d’audience interne sans cookie et, uniquement avec votre accord, le pixel OpenAI Ads sur ses pages marketing. La bannière propose d’autoriser la mesure ou de refuser avec la même visibilité. Le contrôle « Préférences cookies » du site public permet de modifier ce choix ou de retirer votre consentement à tout moment.

Pour plus de détails, consultez notre politique cookies.

11. Sécurité

Goodly met en place des mesures techniques et organisationnelles pour protéger vos données :

• Connexions chiffrées via HTTPS/TLS
• Chiffrement des données sensibles au repos
• Row Level Security (RLS) pour l'isolation des données par commerçant
• Accès restreint aux données de production
• Mots de passe hashés (jamais stockés en clair)
• Paiements traités par Stripe (certifié PCI DSS), sans stockage de données bancaires sur nos serveurs

12. Intelligence artificielle

L'assistant disponible sur le site et dans le tableau de bord est un agent conversationnel automatisé (intelligence artificielle) fondé sur l'API Claude d'Anthropic PBC. Les échanges avec l'assistant, ainsi que les éléments nécessaires à la génération des textes de campagnes, sont transmis à Anthropic pour produire les réponses ; ils sont traités conformément aux engagements contractuels d'Anthropic et ne sont pas utilisés pour entraîner des modèles.

Sur demande d’un administrateur habilité, Anthropic traite également uniquement des indicateurs fonctionnels du parcours (nombre de pages, temps de page visible, étapes du formulaire et du compte, catégories d’erreurs et jalons vidéo) pour prioriser des pistes techniques à vérifier. Pour cette analyse, aucun identifiant de visiteur, URL, e-mail ou contenu saisi n’est transmis. Les pistes proposées ne constituent pas des causes établies d’une interruption du parcours.

Conformément à l'article 50 du Règlement européen sur l'intelligence artificielle (AI Act), les interactions avec un système d'IA sont clairement signalées comme telles dans l'interface (assistant « IA »). Les réponses et suggestions de l'assistant sont des aides à la décision : elles n'ont pas de valeur contractuelle, n'engagent pas Goodly et n'entraînent aucune décision automatisée produisant des effets juridiques sur les personnes. Seuls les présents documents et les échanges avec l'équipe Goodly font foi.

13. Modification de la politique

Goodly se réserve le droit de modifier la présente politique de confidentialité à tout moment. Les modifications substantielles seront communiquées par email. La date de dernière mise à jour est indiquée en haut de cette page.

14. Contact

Pour toute question relative à la protection de vos données personnelles : contact@goodly.be