Editor: Shams Factory · SIRET 88889743600026 · 43 Rue Talma, 94400 Vitry-sur-Seine

Política de privacidad

Última actualización: 28 de octubre de 2026 · Contacto: legal@cartia.fr

1. ¿Quiénes somos?

Esta política describe cómo el editor del Servicio identificado al inicio de la página («Cartia», «nosotros») trata los datos personales en el marco del servicio SaaS de fidelización digital accesible en cartia.fr y mediante las aplicaciones asociadas (en particular Cartia Mostrador).

Rationalab es, igual que Cartia, un nombre y una actividad de Shams Factory. No es una sociedad distinta: misma persona jurídica, mismo SIRET. El responsable del tratamiento de datos de las cuentas de comerciantes, y el encargado del tratamiento respecto a los miembros de los programas de fidelidad, es Shams Factory.

Contacto de protección de datos / jurídico: legal@cartia.fr.

2. Alcance y funciones

Cartia trata datos en dos contextos principales:

Cuentas de comerciantes (Clientes SaaS) - Cartia es responsable del tratamiento de datos para la creación de la cuenta, la autenticación, la facturación de la suscripción, el soporte y la seguridad de la plataforma.
Miembros finales de los programas de fidelidad - el comerciante determina los fines de su programa (adhesión, saldos, recompensas, comunicaciones). En ese marco, el comerciante es, en principio, el responsable del tratamiento de datos; Cartia actúa como encargado técnico del tratamiento para alojar y hacer funcionar el Servicio.

Al registrarse, una sola casilla reúne la aceptación de los términos y de esta política, y el acuerdo para recibir las notificaciones de Wallet y los correos de marketing del comerciante. Los consentimientos de «adhesión al programa» y de «marketing» se registran por separado.

3. Datos recopilados

3.1 Comerciantes y equipos

identidad y datos de contacto (nombre, correo electrónico y, si aplica, teléfono);
información de la organización y del local (nombre, dirección mostrada, ajustes);
datos de la cuenta y registros técnicos (inicios de sesión, acciones de seguridad);
datos de facturación y de suscripción (Plan Gratis, Pro o Business, estado, historial de eventos de pago) - el pago con tarjeta lo procesa Stripe;
intercambios con el soporte;
nombre comercial, rótulo y logotipo, cuando se publican como referencias comerciales.

Referencias comerciales. Cartia puede publicar el nombre comercial, el rótulo o el logotipo de un comerciante para presentarlo como usuario del Servicio, en las condiciones del artículo 10 de los términos de uso. Cuando estos elementos permiten identificar a una persona física que ejerce una actividad profesional, constituyen datos personales.

3.2 Miembros finales (clientes del comerciante)

datos de adhesión (nombre, apellido, fecha de nacimiento, género, correo electrónico y/o teléfono);
saldos / progreso (sellos, puntos), historial de operaciones EARN / REDEEM;
consentimientos (programa, marketing) y marcas de fecha y hora asociadas;
identificadores técnicos vinculados a la tarjeta digital / QR (tokens de adhesión, referencias de la tarjeta);
en su caso, datos necesarios para mostrar la tarjeta en el teléfono.

Wallet de Apple / Google. Los clientes pueden agregar su tarjeta a Apple Wallet y a Google Wallet. Entonces se tratan identificadores técnicos del pase (número de serie, tokens de autenticación, saldo) mediante los servicios de Apple y/o Google necesarios para mostrar y actualizar la tarjeta en el dispositivo del Miembro final.

Notificaciones de Wallet - distinción importante (RGPD). Las actualizaciones del saldo o del estado de la tarjeta (por ejemplo, los puntos ganados tras un escaneo) son notificaciones transaccionales ligadas a la ejecución del programa: no requieren un consentimiento de marketing (opt-in) independiente, siempre que se informe con claridad al momento de la adhesión. Cartia también se apoya en las notificaciones de Wallet y en los correos de marketing para enviar las ofertas y campañas del comerciante. Estos envíos se basan en la casilla marcada al registrarse. Para dejar de recibir las notificaciones de Wallet, elimine la tarjeta del comerciante de su Apple Wallet o de su Google Wallet. Para dejar de recibir los correos de marketing, use el enlace «Darse de baja» que aparece en cada correo de marketing: también pone fin a las ofertas enviadas a la tarjeta. El usuario también puede desactivar las notificaciones desde el pase o desde la aplicación Wallet.

3.3 Datos técnicos y medición de audiencia

cookies y almacenamientos estrictamente necesarios para el funcionamiento (sesión, seguridad, preferencias esenciales);
analítica propia (mediciones de audiencia y de uso realizadas por cuenta de Cartia, sin instalar cookies publicitarias de terceros de tipo red publicitaria) - destinada a mejorar el Servicio y su fiabilidad;
registro de uso del espacio del comerciante (panel de control, mostrador, asistente de creación), vinculado a la cuenta: pantallas consultadas, tiempo de visualización, acciones que modifican la cuenta o que fallan - destinado a acompañar la puesta en marcha y a corregir los puntos de bloqueo del Servicio.

4. Fines y bases jurídicas

Prestación del Servicio (cuenta, programa, QR, escaneo, panel de control) - ejecución del contrato (comerciante) / interés legítimo o contrato según el caso (Miembros finales, a través del comerciante).
Facturación y gestión de los Planes (Gratis, Pro, Business) mediante Stripe - ejecución del contrato y obligaciones contables.
Seguridad, prevención del fraude, limitación de solicitudes (rate-limiting) - interés legítimo / obligación legal.
Soporte y mejora del producto - interés legítimo; analítica propia en ese marco.
Comunicaciones de marketing de Cartia (dirigidas a comerciantes) - consentimiento o interés legítimo según el canal y la situación (prospecto / cliente), con derecho de oposición.
Referencias comerciales (publicación del nombre comercial, del rótulo o del logotipo de un comerciante en el sitio y en las cuentas oficiales de Cartia) - interés legítimo de Cartia en presentar el Servicio y a sus usuarios, con derecho de oposición: el comerciante puede solicitar su retiro en cualquier momento, sin consecuencias para la suscripción, conforme al artículo 10 de los términos de uso. Este tratamiento no se aplica a los Clientes que no hayan aceptado expresamente estas disposiciones.
Marketing del comerciante hacia sus Miembros finales - bajo la responsabilidad del comerciante, con base en el consentimiento recabado al registrarse cuando se requiera.
Respuesta a las solicitudes de derechos y cumplimiento normativo - obligación legal.

5. Destinatarios y encargados del tratamiento

Los datos pueden comunicarse, en la medida necesaria, a:

el equipo autorizado de Cartia (soporte, operación, facturación);
Stripe, para el pago de los Planes de pago (Pro, Business);
Hetzner Online GmbH - proveedor de alojamiento del Servicio (servidores y base de datos ubicados en Alemania, Unión Europea);
o2switch - almacenamiento de copias de seguridad cifradas en Francia, Unión Europea; la clave privada de descifrado no se confía a este proveedor;
en su caso, las autoridades competentes mediante requerimiento legal, o asesores (abogado, contador) bajo confidencialidad.

Cuando Cartia publica una referencia comercial, el nombre comercial, el rótulo o el logotipo pasan a ser visibles para el público en cartia.fr y, en su caso, en las cuentas oficiales de Cartia (Instagram, Facebook, LinkedIn, TikTok). Esas plataformas tratan entonces esos contenidos según sus propias condiciones.

Cartia no vende los datos personales. Las transferencias a Apple y/o Google relacionadas con la incorporación y la actualización de los pases de Wallet se limitan a los datos técnicos necesarios para que la tarjeta funcione en el dispositivo del Miembro final.

Sobre el tratamiento de los Miembros finales por cuenta del comerciante, vea también el acuerdo de encargo del tratamiento (DPA).

6. Transferencias fuera de la UE

El alojamiento de la aplicación y la base de datos están ubicados en Alemania (Hetzner Cloud), es decir, dentro de la Unión Europea. Ciertos proveedores (en particular Stripe, Apple y Google) pueden realizar tratamientos con transferencias amparadas por garantías adecuadas (cláusulas contractuales tipo / mecanismos reconocidos). Para cualquier pregunta: legal@cartia.fr.

7. Plazos de conservación

Cuenta de comerciante activa: durante la relación contractual y luego archivo limitado a lo necesario (facturación, pruebas) según los plazos legales (en particular las obligaciones contables, hasta 10 años para ciertos documentos).
Cuenta inactiva / cerrada: supresión o anonimización de los datos no necesarios en un plazo razonable tras el cierre, salvo obligaciones de conservación.
Miembros finales: durante la vigencia del programa y de la relación comerciante–miembro, y después según las instrucciones del comerciante y el marco de referencia de la CNIL (autoridad francesa de protección de datos) aplicable a las actividades comerciales (gestión corriente y luego archivo intermedio).
Anonimización: cuando la ficha de un Miembro final se anonimiza mediante el producto, se retiran / reemplazan los identificadores personales; el historial operativo puede conservarse en forma no identificable para preservar la integridad del libro de operaciones (ledger).
Registros técnicos / de seguridad: duración limitada, proporcionada a las necesidades de diagnóstico y de seguridad.
Cookies / medición de audiencia: duraciones cortas compatibles con el fin perseguido (sesión o periodo móvil limitado para las estadísticas propias).
Registro de uso del espacio del comerciante: 400 días como máximo.
Referencias comerciales: durante la relación contractual, hasta una solicitud de retiro (retiro en un plazo de diez (10) días hábiles de los soportes controlados por Cartia) o hasta la terminación definitiva. No se pueden garantizar las copias, los contenidos compartidos o los archivos ya recuperados por terceros.

Las copias de seguridad sirven para la recuperación tras un incidente y su acceso está limitado a las personas autorizadas. Los respaldos se conservan 14 días en el VPS de Hetzner y 30 días en o2switch. Se conserva una copia de seguridad adicional en un soporte físico. Si se restaura una copia de seguridad anterior, las supresiones y anonimizaciones realizadas desde entonces deben volver a aplicarse antes de reanudar el servicio.

8. Cookies y rastreadores

Cartia utiliza cookies y almacenamientos esenciales para el funcionamiento del Servicio (autenticación, seguridad, balanceo de carga, preferencias estrictamente necesarias). Estos rastreadores no requieren consentimiento en el sentido de la normativa sobre cookies cuando son indispensables para el servicio solicitado.

Dos cookies propias de preferencia (12 meses) recuerdan sus opciones de visualización: cartia_locale recuerda el idioma que usted eligió, y solo se instala cuando usted elige un idioma o sigue un enlace que contiene ?lang=; cartia_currency recuerda la moneda que usted eligió, y solo se instala cuando usted elige una moneda. Si rechaza la propuesta de mostrar los precios en la moneda de su país, su rechazo se recuerda en el almacenamiento local de su navegador (cartia_currency_suggestion_dismissed); ese país se deduce de su dirección IP en el momento de la visita, mediante una base de datos local, y no se conserva ni se transmite a ningún tercero.

La medición de audiencia también se apoya en una analítica propia (eventos técnicos del lado de Cartia, sin red publicitaria para esta medición). Las páginas del sitio público se cuentan en el servidor, sin rastreador publicitario: la dirección IP solo sirve, en el instante de la visita, para deducir una ubicación aproximada (ciudad) y un identificador técnico que se renueva cada día; no se conserva ni se transmite a ningún tercero.

Una cookie propia de medición de audiencia (30 días) recuerda la procedencia de su visita — buscador, red social, asistente de IA, enlace compartido — para saber qué contenidos dan a conocer Cartia y para no contar varias veces a una misma persona que abre varios enlaces. No contiene ningún identificador de persona, no permite ningún seguimiento de un sitio a otro, y no se comparte ni se revende.

Para saber qué páginas del sitio público son útiles, Cartia también mide, página por página, el tiempo de visualización, la profundidad de lectura y el número de clics en botones y enlaces, con el texto de esos botones. Estas mediciones son agregadas, no se asocian a ninguna persona identificada y nunca registran lo que usted escribe en un formulario.

En su espacio de comerciante (panel de control, mostrador, asistente de creación), Cartia registra, en cambio, vinculados a su cuenta, las pantallas que usted abre, el tiempo que permanecen visibles y las acciones que modifican su cuenta o que fallan (un escaneo rechazado, una cámara que no se inicia, un campo rechazado). Esta información sirve para ayudarle a poner en marcha su tarjeta y a corregir los puntos de bloqueo del Servicio; se basa en el interés legítimo de Cartia. Este registro nunca contiene lo que usted escribe, el nombre ni los datos de contacto de sus clientes, ni su dirección IP; no instala ninguna cookie ni almacenamiento adicional en su dispositivo, y se conserva 400 días como máximo. Usted tiene los derechos descritos en el apartado 10, incluido el de oponerse.

Con su consentimiento explícito (el aviso «Cookies y medición de audiencia»), Cartia puede activar el píxel de Meta (Meta Platforms Ireland) para medir la eficacia de nuestras campañas publicitarias en las redes de Meta. Este rastreador no se instala si usted lo rechaza. Puede cambiar su elección en cualquier momento mediante el enlace «Cookies» al pie de la página.

9. Seguridad

Cartia aplica medidas técnicas y organizativas apropiadas: autenticación, control de acceso multiinquilino (aislamiento de las organizaciones), cifrado en tránsito mediante HTTPS/TLS, registro de actividad, limitación de solicitudes (rate-limiting) en ciertos procesos. Los datos se almacenan en la infraestructura de Hetzner Cloud en Alemania (UE). Como ningún sistema está exento de riesgo, le invitamos a usar contraseñas robustas y a informar de cualquier incidente sospechoso a legal@cartia.fr.

Cartia conserva copias de seguridad en su VPS en Alemania, una copia cifrada en o2switch en sus centros de datos de Clermont-Ferrand (Francia) y una copia adicional en un soporte físico. Los respaldos se generan cada 6 horas. Retención configurada: 14 días en el VPS y 30 días en o2switch. La vigilancia del VPS envía una alerta si no se registra ningún envío exitoso a o2switch en 8 horas.

Si Cartia llegara a cerrar de forma definitiva y organizada, nos comprometemos a avisar a cada comerciante y a enviarle por correo, antes del cierre, una exportación de su archivo de clientes y de los saldos de fidelidad disponibles, sea cual sea su plan. La entrega se hace a la dirección del propietario de la cuenta, tras verificar al destinatario, mediante un archivo cifrado o un enlace seguro.

10. Sus derechos (RGPD)

Según su situación, usted tiene, en particular, los siguientes derechos conforme al RGPD (GDPR, Reglamento General de Protección de Datos de la Unión Europea):

acceso, rectificación, supresión;
limitación y oposición;
portabilidad, cuando proceda;
retiro del consentimiento, cuando el tratamiento se base en él;
reclamación ante la CNIL (la autoridad francesa de protección de datos, cnil.fr).

Para los Miembros finales: diríjase en primer lugar al comerciante con el que se inscribió. Desde el panel de control de Cartia, el comerciante puede exportar o anonimizar una ficha de cliente (proceso ya disponible en el producto para los roles autorizados).

Para los comerciantes / usuarios del SaaS: escriba a legal@cartia.fr indicando su solicitud y los datos que permitan identificarle. Respondemos dentro de los plazos legales.

Referencias comerciales. Usted puede oponerse a la publicación de su nombre comercial, rótulo o logotipo, o solicitar su retiro, en cualquier momento y sin necesidad de justificación, escribiendo a legal@cartia.fr. El retiro no tiene ninguna consecuencia para su suscripción. Vea el artículo 10 de los términos de uso.

11. Menores

El Servicio SaaS está dirigido a profesionales. Los programas de fidelidad de los comerciantes pueden dirigirse a un público amplio; el comerciante es responsable de definir una política adecuada (edad mínima, información a los padres) según su actividad.

12. Modificaciones

Esta política puede actualizarse para reflejar la evolución del Servicio o de la ley. La fecha de «última actualización» al inicio de la página es la que prevalece. En caso de un cambio sustancial, se dará a los usuarios afectados una información razonable.

13. Contacto

Para cualquier pregunta sobre esta política o sobre el ejercicio de sus derechos: legal@cartia.fr. Editor: Shams Factory, SIRET 88889743600026, 43 Rue Talma, 94400 Vitry-sur-Seine.

Aviso legal · Términos de uso · Acuerdo de encargo del tratamiento (DPA) · Volver al inicio