Politique de Confidentialité

La plateforme Spirit Pay est éditée et exploitée par COUP DE POUCE 49 (C.D.P. 49, CDP49), SA coopérative ouvrière de production à conseil d'administration (SCOP), dont le siège social est situé au 458 B rue Saint-Léonard, 49000 Angers, France. En tant que responsable du traitement, COUP DE POUCE 49 (Spirit Pay) détermine les finalités et les moyens du traitement de vos données personnelles. SIRET : 490 314 887 00038.

Contact données personnelles : contact@spiritpay.net — réponse garantie dans les 30 jours conformément à l'Art. 12 RGPD.

Nous appliquons le principe de minimisation des données (Art. 5.1.c RGPD) - nous ne collectons que ce qui est strictement nécessaire :

• Marchands / Entreprises : Nom, email, téléphone, SIRET, IBAN bénéficiaire, historiques de connexion et transactions.
• Clients finaux (payeurs) : Email (confirmation uniquement), statut de transaction renvoyé par la banque. Nous ne stockons jamais vos identifiants bancaires.
• Données techniques : Adresses IP pseudonymisées, logs d'accès, statuts de webhooks ERP.

• Exécution du contrat (Art. 6.1.b) : Création de compte, génération des liens de paiement, initiation des virements Open Banking, lettrage ERP.
• Obligations légales (Art. 6.1.c) : LCB-FT, DSP2, obligations comptables françaises et européennes.
• Intérêt légitime (Art. 6.1.f) : Sécurité de la plateforme, détection de fraude, analytics internes.
• Consentement (Art. 6.1.a) : Cookies non essentiels, communications marketing (uniquement si vous avez accepté).

Toutes les données transitent via TLS 1.3. Les données sensibles sont chiffrées au repos (AES-256-GCM). Les mots de passe sont hashés avec bcrypt (sel unique par compte).

Les échanges entre les systèmes des clients professionnels (intégrateurs, ERP, portails) et la plateforme Spirit Pay transitent par un relais sécurisé opéré par OVH SAS en France, puis sont traités sur notre infrastructure hébergée en Union européenne. Les données de paiement (montants, références, statuts) sont conservées sur une base de données située en Union européenne. La connexion bancaire du payeur est assurée par Bridge (France, agrément ACPR) ; les identifiants bancaires du payeur ne transitent pas par les serveurs du marchand. La liste complète des sous-traitants techniques figure au § 5 de la présente politique.

L'accès à la base de données est restreint à l'équipe technique via VPN + authentification forte (2FA).

Spirit Pay ne revend jamais vos données. Nos sous-traitants agréés sont :

• Données de compte : Durée de la relation contractuelle + 5 ans (archivage probatoire).
• Transactions financières : 10 ans (obligation comptable et fiscale française).
• Logs de sécurité : 12 mois glissants, puis suppression automatique.
• Tokens de session (dashboard marchand / développeur / admin) : jeton d'accès valide 30 minutes maximum ; déconnexion automatique après 15 minutes d'inactivité ; révocation immédiate (blacklist) en cas de déconnexion.
• Session espace payeur : durée limitée (1 heure maximum, non prolongée automatiquement) ; révoquée à la déconnexion.
• Cookies de consentement : 12 mois (renouvellement du consentement demandé à l'échéance).

Conformément au RGPD (Art. 15 à 22), vous disposez des droits suivants. Pour les exercer, contactez contact@spiritpay.net - réponse sous 30 jours maximum.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (autorité de contrôle française).

Nous utilisons uniquement des cookies strictement nécessaires au fonctionnement du service (session, sécurité). Aucun cookie publicitaire ou de tracking tiers n'est déposé sans votre consentement explicite.

Vous pouvez modifier votre choix à tout moment en effaçant le localStorage de votre navigateur (clé : spiritpay_cookie_consent).