Réponses aux questions que les marchands, les partenaires et les évaluateurs de sécurité posent le plus souvent lorsqu'ils évaluent QrX. Pour savoir comment QrX protège les données au quotidien, consultez « Sécurité et protection des données ».

Non. QrX B.V. n'est ni une banque, ni un établissement de monnaie électronique, ni un prestataire de services de paiement agréé. Les paiements des consommateurs sont encaissés par des prestataires de paiement agréés (actuellement Stripe, Mollie et MultiSafePay). QrX fournit le logiciel, le flux de paiement par QR code et les outils marchands autour de ces paiements, et ne détient jamais les fonds des clients.

Non. Les numéros de carte et les identifiants de paiement sont traités par le prestataire de paiement conforme à la norme PCI DSS. QrX reçoit le résultat du paiement et l'utilise pour coordonner la livraison.

QrX héberge la plateforme sur Google Cloud dans l'Espace économique européen. Si un prestataire transfère des données en dehors de l'EEE, QrX utilise un mécanisme de transfert valable, comme les clauses contractuelles types de l'UE.

La liste à jour figure dans la Politique de confidentialité et dans l'Avenant relatif au traitement des données (Data Processing Addendum).

Oui. Lorsque QrX traite les données des clients d'un marchand (pour les expéditions, le Payment on Delivery, l'envoi des codes PIN ou les retours), QrX est le sous-traitant et le marchand est le responsable du traitement. Le Data Processing Addendum de QrX (verwerkersovereenkomst) au titre de l'article 28 du RGPD fait partie des Conditions générales de QrX et s'applique automatiquement. Consultez-le sur qrx.eu/data-processing-addendum. Il couvre les mesures de sécurité, les sous-traitants ultérieurs (avec un délai de 14 jours pour s'opposer à un nouveau sous-traitant), la notification des violations, les audits, ainsi que la suppression ou la restitution des données.

QrX informe le marchand concerné dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles, à temps pour que le marchand puisse respecter l'obligation de notification sous 72 heures prévue à l'article 33 du RGPD lorsqu'elle s'applique.

La connexion à PortalX utilise un mot de passe et un code de vérification à usage unique. Les autorisations basées sur les rôles définissent ce que chaque membre de l'équipe peut voir et faire, et le cloisonnement par compte maintient les données de chaque marchand dans son propre compte et ses propres canaux. L'accès à l'API utilise une clé API de canal échangée contre des jetons Bearer de courte durée, et les webhooks sont signés avec HMAC-SHA256.

QrX ne conserve les données personnelles que le temps nécessaire à leur finalité. Les documents fiscaux sont conservés pendant la durée légale (7 ans, ou 10 ans pour certaines catégories). La Politique de confidentialité indique les durées de conservation actuelles des données opérationnelles, des journaux et des sauvegardes, ainsi que l'état de leur mise en œuvre.

QrX ne prend pas de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets similaires significatifs. La réussite ou l'échec d'un paiement est déterminé par le prestataire de paiement agréé. Les contrôles de fraude et de sécurité peuvent signaler une transaction pour examen, et une personne peut examiner un signalement sur demande.

La page d'état publique est status.qr-x.app.

Les pages Payment on Delivery de QrX sont servies sur go.qr-x.app, le portail marchand sur portal.qr-x.app, l'API sur api.qr-x.net et le site web sur qrx.eu. QrX ne vous demande jamais votre mot de passe, votre code de vérification ou votre numéro de carte par chat, par email ou par téléphone.

Oui. Contactez l'équipe QrX via qrx.eu/security ou qrx.eu/book-demo pour discuter de votre intégration, de vos exigences d'accès et de votre questionnaire de sécurité. Dans le cadre du Data Processing Addendum, QrX peut répondre aux demandes d'audit avec des synthèses ou des rapports de sécurité à jour.

Contactez le support QrX à [email protected] en précisant qu'il s'agit d'un signalement de sécurité. Pour les questions de confidentialité, écrivez à [email protected]. N'incluez ni secrets ni mots de passe dans votre message. Les signalements de sécurité sont toujours traités par une personne.