Cette politique a deux parties. Partie A : les données des commerçants clients et des visiteurs du site, dont BoostWin est responsable. Partie B : les données des joueurs, dont le commerce qui organise le jeu est responsable, BoostWin agissant pour son compte comme sous-traitant.
Partie A. Commerçants et visiteurs : BoostWin responsable
A1. Responsable du traitement
IND COMPANY (SAS, SIREN 102 926 201), qui exploite la marque BoostWin, 47 rue Vivienne, 75002 Paris. Contact : contact@boostwin.fr ou +33 6 99 70 33 20. Données personnelles : dpo@boostwin.fr.
A2. Données traitées
- Compte : email professionnel, mot de passe (haché avec bcrypt, jamais stocké en clair).
- Commerce : nom, ville, adresse du commerce si vous la renseignez, logo, réglages du jeu et des lots.
- Facturation : raison sociale, SIREN, adresse de facturation. Le paiement est traité par Stripe : BoostWin ne voit jamais vos données de carte.
- Kit : adresse de livraison et validation du bon à tirer.
- Preuves : acceptation des CGV (version et date).
- Messages que vous nous envoyez par email.
A3. Finalités et bases légales
- Exécution du contrat (art. 6.1.b) : compte, Service, facturation, Kit, support.
- Obligation légale (art. 6.1.c) : conservation des pièces comptables.
- Intérêt légitime (art. 6.1.f) : sécurité du Service et prévention des abus.
A4. Durées de conservation
- Compte et commerce : durée du contrat, puis 3 ans.
- Factures et pièces comptables : 10 ans (article L.123-22 du Code de commerce).
A5. Destinataires
BoostWin ne vend ni ne loue aucune donnée. Seuls ont accès le personnel habilité de BoostWin et ses sous-traitants : Supabase (base de données et stockage des fichiers), Vercel (hébergement), Brevo (emails), Stripe (paiement) et Anthropic (analyse automatique des logos).
Partie B. Joueurs : le commerce responsable, BoostWin sous-traitant
B1. Qui est responsable ?
Quand vous jouez chez un commerce équipé de BoostWin, ce commerce organise le jeu et est responsable du traitement de vos données. BoostWin les traite pour son compte, sur ses instructions, comme sous-traitant (article 28 du RGPD ; annexe 1 de nos CGV). Le règlement du jeu de chaque commerce est accessible depuis le jeu, par le lien « Règlement du jeu ».
B2. Données traitées
- Achat : montant et date. En Mode Ticket, la photo du ticket (voir B3).
- Empreintes du ticket : valeurs calculées (hash) à partir de la photo et des informations du ticket (numéro, date, heure, montant). Elles ne permettent pas de reconstituer le ticket et servent à repérer un ticket déjà utilisé. Le numéro du ticket n'est jamais enregistré en clair.
- Partie : lot gagné, code BW-XXXX et son statut (utilisé ou non).
- Email : demandé après un gain pour vous envoyer votre code ; certains lots l'exigent. Les offres du commerce ne vous sont envoyées que si vous cochez la case prévue, qui n'est jamais cochée par défaut.
- Données techniques anti-fraude : adresse IP, identifiant de l'appareil (calculé à partir du navigateur et de la taille de l'écran) et, en Mode Comptoir, un identifiant aléatoire conservé dans un cookie.
B3. La photo du ticket (Mode Ticket)
- Le texte du ticket est lu sur votre téléphone, dans le navigateur.
- Une copie réduite de la photo est envoyée au serveur, qui en calcule une empreinte pour repérer un ticket déjà utilisé.
- Seulement si le texte est illisible, cette copie est transmise à Anthropic, aux États-Unis, pour en extraire le montant, la date, le numéro et le nom du commerce.
- La photo est analysée puis supprimée : elle n'est jamais conservée, ni en base de données, ni dans un espace de stockage, ni dans les journaux. Seules ses empreintes restent.
B4. Finalités et bases légales
Le commerce, responsable du traitement, fixe les bases légales. Le Service les met en œuvre ainsi :
- Participation au jeu, attribution et validation du lot, envoi du code : organisation du jeu auquel vous participez.
- Contrôle anti-fraude : intérêt légitime du commerce (un ticket ou une visite ne sert qu'une fois).
- Offres du commerce : votre consentement, retirable à tout moment auprès du commerce.
- Statistiques du commerce : chiffres agrégés (participations, gains, retours).
B5. Durées de conservation
- Photo du ticket : jamais conservée.
- Adresse IP, identifiants de l'appareil, empreintes du ticket, email sans accord pour les offres : anonymisés 13 mois après la participation.
- Email avec accord pour les offres : anonymisé 3 ans après votre dernière participation dans ce commerce.
- Un gain encore valable n'est jamais anonymisé avant la fin de sa validité.
- Montant, date, lot et statut du code : conservés sans aucune donnée personnelle, pour les statistiques du commerce.
- Les journaux techniques ne contiennent ni le texte du ticket, ni la photo, ni le résultat de son analyse.
B6. Destinataires
Le commerce organisateur voit vos participations et votre email dans son espace. Les sous-traitants de BoostWin interviennent pour lui : Supabase (base de données), Vercel (hébergement), Brevo (envoi du code par email) et Anthropic (photos de tickets illisibles uniquement). BoostWin ne vend ni ne loue aucune donnée.
B7. Exercer vos droits
Adressez-vous au commerce où vous avez joué. Vous pouvez aussi écrire à dpo@boostwin.fr : BoostWin transmet votre demande au commerce et l'aide à y répondre.
Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, et du droit de retirer votre consentement à tout moment (sans effet rétroactif). Une réponse est apportée dans un délai d'un mois. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
Cookies
Seuls des cookies strictement nécessaires sont déposés :
- session du commerçant connecté à son espace ;
- écran comptoir du commerce (Mode Comptoir) ;
- identifiant aléatoire du joueur en Mode Comptoir, pour qu'un même code ne serve qu'une fois (1 an).
Aucun cookie publicitaire ni de mesure d'audience tiers. Ces cookies ne nécessitent donc pas de consentement préalable (lignes directrices de la CNIL).
Sécurité
Chiffrement TLS en transit, mots de passe hachés, accès aux données limités aux personnes habilitées, environnements de production et de test séparés.
Transferts hors de l'Union européenne
Certains sous-traitants, dont Anthropic (États-Unis), traitent des données hors de l'Union européenne. Ces transferts sont encadrés par les garanties prévues au chapitre V du RGPD, notamment les clauses contractuelles types de la Commission européenne.
Évolution de la politique
Toute modification substantielle est notifiée par email aux commerçants abonnés et signalée sur le site.
Dernière mise à jour : octobre 2026.