Politique de confidentialité

Qui sommes-nous

MarvelockPay est un service de paiement à l'usage pour casiers connectés. La société responsable du service est :

Pour toute question sur vos données : contact@marvelock.com. La désignation d'un délégué à la protection des données (DPO) est [pending legal review].

La question de savoir si l'établissement exploitant votre casier ou MarvelockPay agit comme responsable de traitement (et l'autre comme sous-traitant) est [pending legal review].

Données collectées et finalités

Pour vous permettre d'ouvrir un casier et de régler votre séjour, nous collectons : votre e-mail et votre téléphone (obligatoires, afin de vous informer d'un prélèvement, d'un échec de paiement ou de l'approche du plafond — vous pouvez être absent plusieurs jours) ; votre nom, le cas échéant ; les références de paiement fournies par Stripe (jamais votre numéro de carte — Stripe traite votre carte directement) ; vos sessions de casier et prélèvements ; et votre identifiant de connexion (numéro de téléphone ou compte Google) si vous créez un compte.

Base légale : l'exécution de votre contrat de location et le paiement de votre séjour, ainsi que votre consentement pour les coordonnées utilisées afin de vous notifier.

Votre carte

Nous ne voyons ni ne conservons jamais votre numéro de carte complet. Stripe le saisit de façon sécurisée dans votre navigateur et ne nous transmet qu'un jeton. Nous restons ainsi dans le périmètre PCI le plus léger (SAQ-A).

Destinataires

Nous ne partageons vos données qu'avec les prestataires nécessaires au fonctionnement du service, et nous ne les vendons jamais :

• Stripe — traite votre paiement. C'est Stripe, et non MarvelockPay, qui reçoit vos données de carte ; nous ne conservons que des références Stripe.
• AWS — envoie vos notifications par e-mail et SMS.
• L'établissement qui exploite le casier que vous avez utilisé.
• Hetzner — notre hébergeur, situé dans l'UE.
• Le fournisseur de serrures (RAS) — ne reçoit que des données de serrure et d'appareil pour générer les codes d'accès, jamais vos données personnelles.

Le rôle précis de chaque prestataire (sous-traitant, sous-traitant ultérieur ou responsable indépendant) est [pending legal review].

Durées de conservation

Nous conservons vos coordonnées pendant [pending legal review], puis les anonymisons. Les documents financiers (vos prélèvements) sont conservés pour la durée exigée par la loi et la comptabilité — [pending legal review] — en ne conservant qu'une référence anonymisée une fois vos coordonnées effacées.

Vos droits

Vous pouvez demander l'accès, la rectification, l'effacement, la limitation ou l'opposition au traitement de vos données, leur portabilité, et le retrait de votre consentement à tout moment.

Vous pouvez également introduire une réclamation auprès de votre autorité de protection des données. En France, il s'agit de la CNIL (www.cnil.fr).

Transferts internationaux

Vos données sont traitées dans l'UE. En cas de transfert hors UE par un prestataire, des garanties appropriées s'appliquent.

Modifications

Toute mise à jour sera publiée ici avec une nouvelle date d'entrée en vigueur.