Informations de compte : nom, adresse e-mail, numéro de téléphone, nom de l'entreprise, données d'immatriculation de l'entreprise et identifiants de connexion lorsque vous créez un compte QrX.

Données de transaction : montants des paiements, statut des paiements, références de commande, adresses de livraison, événements de scan de code QR et confirmations de paiement traités via notre plateforme.

Informations financières : coordonnées bancaires (IBAN), adresses de facturation, données de facturation et informations de règlement des paiements nécessaires au traitement des transactions.

Données techniques : adresse IP, type de navigateur, identifiants d'appareil, système d'exploitation, résolution d'écran et données analytiques d'utilisation collectées automatiquement lorsque vous accédez à nos Services.

Données de communication : messages, demandes de support, retours et correspondance échangés avec notre équipe.

Données de livraison : informations sur le transporteur, numéros de suivi, mises à jour du statut de livraison et preuves de livraison liées aux flux QrX On Delivery.

Données des destinataires des marchands (rôle de sous-traitant) : nom, adresse, e-mail, téléphone, référence de commande, statut du colis et du paiement des clients d'un marchand, traités uniquement pour fournir les Services demandés par le marchand.

Pour fournir et exploiter nos services de paiement, y compris la génération de codes QR, le traitement des paiements, la coordination des livraisons et le suivi des transactions en temps réel.

Pour vérifier votre identité, authentifier votre compte et assurer la sécurité de notre plateforme au moyen de mesures de détection et de prévention de la fraude.

Pour communiquer avec vous au sujet de votre compte, de vos transactions et des mises à jour du service, et pour répondre à vos demandes de support.

Pour traiter les règlements, générer les factures et gérer la facturation conformément à votre contrat marchand.

Pour améliorer les performances de notre plateforme, développer de nouvelles fonctionnalités et analyser les schémas d'utilisation afin d'améliorer l'expérience utilisateur.

Pour respecter nos obligations légales, notamment en matière de déclarations fiscales, de réglementation relative à la lutte contre le blanchiment de capitaux et de conservation des registres financiers en vertu du droit néerlandais et du droit de l'UE.

Exécution d'un contrat : traitement nécessaire pour fournir nos Services aux marchands, transporteurs et clients, y compris la gestion des comptes et le traitement des paiements.

Intérêts légitimes : traitement nécessaire à la prévention de la fraude, à la sécurité de la plateforme, à l'amélioration du service et à l'analyse commerciale, lorsque ces intérêts ne prévalent pas sur vos droits.

Obligations légales : traitement requis pour respecter le droit fiscal néerlandais, la réglementation financière, la législation relative à la lutte contre le blanchiment de capitaux et les autres exigences légales impératives.

Consentement : lorsque nous nous fondons sur votre consentement explicite, par exemple pour les communications marketing ou les cookies analytiques facultatifs. Vous pouvez retirer votre consentement à tout moment.

Instructions du sous-traitant : lorsque QrX agit en qualité de sous-traitant, nous traitons les données des destinataires sur instruction documentée du marchand et sur les bases juridiques que ce marchand détermine en tant que responsable du traitement.

Prestataires de services de paiement : Stripe, Mollie et MultiSafePay traitent les paiements. Chaque prestataire de services de paiement agit en qualité de responsable du traitement indépendant ou de sous-traitant, selon le flux de paiement et ses propres conditions.

Partenaires de livraison : les transporteurs tels que UPS, GLS et Peddler reçoivent les données de livraison et de paiement nécessaires pour coordonner les opérations QrX On Delivery.

Infrastructure cloud : nous hébergeons les Services sur Google Cloud (y compris Cloud Run) dans l'Espace économique européen, avec les services Google associés nécessaires au fonctionnement de la plateforme. Cloudflare fournit l'infrastructure, la diffusion de contenu et le stockage de fichiers.

Prestataires de communication : Bird (SMS et WhatsApp), SendGrid (e-mail) et Firebase (notifications push) traitent les données de contact afin de transmettre les messages transactionnels.

Analyse et surveillance : Sentry pour le suivi des erreurs, Microsoft Clarity pour l'analyse et les informations de session du site web et des pages de paiement consommateurs, et Intercom pour le support client, chacun étant lié par un accord de traitement des données.

Autorités publiques : nous communiquons des données lorsque le droit néerlandais ou le droit de l'UE, une décision de justice contraignante ou une autorité de contrôle compétente l'exige.

Google Cloud et Firebase : hébergement, stockage, environnement d'exécution des applications et notifications push.

Cloudflare : infrastructure, diffusion de contenu et stockage de fichiers.

Stripe, Mollie et MultiSafePay : encaissement et règlement des paiements.

Bird (MessageBird) : SMS, WhatsApp et messagerie associée utilisés pour la transmission des codes PIN et les notifications transactionnelles.

SendGrid : envoi d'e-mails transactionnels.

UPS et les autres transporteurs sélectionnés pour une expédition : nom, adresse et données du colis nécessaires au transport de la commande.

Sentry (surveillance des erreurs), Microsoft Clarity (analyse et informations de session du site web et des pages de paiement consommateurs) et Intercom (support client) : chacun étant lié par un accord de traitement des données.

Données opérationnelles et fichiers détenus exclusivement : supprimés dans les meilleurs délais lors d'une suppression client confirmée, dès qu'ils ne sont plus nécessaires, sans période d'attente standard supplémentaire. Une obligation en cours ne justifie la conservation que des éléments de preuve nécessaires, et non du compte entier.

Registres fiscaux nécessaires de QrX : 7 ans à compter du point de départ légal applicable ; 10 ans uniquement pour une catégorie applicable plus longue, telle que les registres OSS/IOSS ou immobiliers. Pour l'administration fiscale néerlandaise, le délai court à partir du moment où les données perdent leur pertinence actuelle. La clôture d'un compte ne le fait pas recommencer. Cela ne s'applique pas automatiquement à chaque détail de transaction ou à chaque fichier.

E-mails ordinaires et journaux techniques : 30 jours au maximum à compter de l'enregistrement initial. Les journaux clients non nécessaires pouvant être attribués de manière fiable sont supprimés plus tôt lors de la suppression client. Les événements ultérieurs ne font pas recommencer le délai du message initial.

Journaux de sécurité et d'accès nécessaires : 90 jours au maximum à compter de l'événement. Les registres minimaux de traçabilité des suppressions sont conservés 24 mois au maximum après leur achèvement, limités aux références nécessaires, à l'auteur, à la version de la politique, aux décomptes et aux résultats, sans copie du contenu supprimé.

Sauvegardes de reprise après sinistre à accès restreint : 190 jours au maximum à compter de la création de l'archive, avec un effacement ciblé anticipé lorsque cela est possible en toute sécurité. Avant que des données restaurées ne soient rendues disponibles, les suppressions antérieures sont réappliquées à l'aide du registre de suppression indépendant en vigueur.

Factures, documents de règlement et éléments de preuve nécessaires : suivent le délai de l'enregistrement sous-jacent. Les autres correspondances et fichiers sont classés selon leur finalité ; aucune conservation illimitée ne découle du présent calendrier.

Droit d'accès : demander une copie des données personnelles que nous détenons à votre sujet.

Droit de rectification : demander la correction de données personnelles inexactes ou incomplètes.

Droit à l'effacement : demander la suppression de vos données personnelles lorsqu'il n'existe aucun motif impérieux de poursuivre le traitement (« droit à l'oubli »).

Droit à la limitation : demander que nous limitions le traitement de vos données dans certaines circonstances.

Droit à la portabilité des données : recevoir vos données personnelles dans un format structuré et lisible par machine et les transmettre à un autre responsable du traitement.

Droit d'opposition : vous opposer au traitement fondé sur des intérêts légitimes, y compris la prospection directe.

Droit de retirer votre consentement : lorsque le traitement est fondé sur le consentement, le retirer à tout moment sans que cela porte atteinte à la licéité du traitement antérieur.

Droit d'introduire une réclamation : vous pouvez introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre de l'UE de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation présumée a été commise.