Politique de confidentialité

Dernière mise à jour : 19 juillet 2026.

1. Qui traite vos données ?

L'application Trusya est éditée par JGdev, SASU au capital de 1 000 €, RCS Chambéry 106 826 118, siège 122 Rue de la Pérousaz, 73390 Chamousset (voir les Mentions légales).

Trusya est un programme de fidélité multi-commerçants. La répartition des rôles RGPD est la suivante :

Le commerçant (l'établissement dont vous êtes client) est responsable de traitement des données de son programme de fidélité (vos points, vos passages, vos récompenses chez lui).
JGdev agit comme sous-traitant (art. 28 RGPD) pour le compte de chaque commerçant, dans le cadre d'un accord de sous-traitance (DPA).
JGdev est par ailleurs responsable de traitement pour ce qui relève de votre compte et du fonctionnement de la plateforme (création de compte, authentification, avatar, classement, jeux, sécurité, statistiques d'usage).

Contact : contact@trusya.com.

2. Quelles données sont collectées ?

Compte & identification : adresse e-mail, pseudo, mot de passe (conservé chiffré, jamais en clair). L'inscription se fait par e-mail + mot de passe ; aucun numéro de téléphone n'est collecté à ce jour.
Fidélité (par établissement) : adhésion à un établissement, points d'expérience (XP) et jetons, historique des passages et des montants associés, série (streak), succès/trophées, récompenses débloquées.
Jeux / duels : parties jouées, mises en jetons, résultats, classement.
Géolocalisation : votre position GPS, uniquement au moment où vous activez la disponibilité pour un duel, afin de vérifier votre présence à proximité de l'établissement. Cette position n'est pas conservée (elle sert au calcul de distance puis est oubliée).
Technique : jeton de notification push, état de la permission de notification (activée ou non, tel que rapporté par votre appareil), vos préférences de notification par établissement, journaux techniques, identifiants d'appareil.
Avatar (photo) : pour créer votre avatar, vous prenez une photo (selfie). Cette photo est transmise à notre prestataire OpenAI (États-Unis) le temps de générer un avatar dessiné (cartoon) vous ressemblant, puis elle n'est pas conservée par Trusya — seul l'avatar généré est stocké. La photo n'est jamais utilisée à des fins d'identification.

3. Pourquoi (finalités) et sur quelle base légale ?

Finalité	Base légale
Créer et gérer votre compte, vous authentifier	Exécution du contrat (CGU)
Faire fonctionner le programme de fidélité (points, récompenses)	Exécution du contrat / intérêt légitime du commerçant
Animer le service (jeux, duels, classement, succès)	Exécution du contrat / intérêt légitime
Vérifier votre présence pour les duels (géolocalisation)	Consentement (révocable à tout moment)
Envoyer des notifications push	Consentement
Attribuer le bonus de jetons « notifications activées » (si proposé par le commerçant)	Exécution du contrat / intérêt légitime du commerçant
Limiter les notifications aux établissements où vous êtes actif (voir § 3 bis)	Intérêt légitime (ne pas vous sur-solliciter)
Générer votre avatar	Consentement
Prévenir la fraude et sécuriser le service	Intérêt légitime
Tenir la comptabilité (montants encaissés)	Obligation légale
Améliorer le service (statistiques)	Intérêt légitime

3 bis. Notifications : fonctionnement par établissement

Réglage par établissement : les notifications de chaque commerce se gèrent directement depuis son écran d'accueil dans l'application (encadré « notifications »). Couper les notifications d'un commerce est aussi simple que les activer, et n'affecte pas les autres établissements. Le réglage global (tout couper) se fait dans les réglages de votre téléphone.
Sélection automatique : pour ne pas vous sur-solliciter, les notifications d'animation d'un établissement (nouvelle récompense, événement, classement) ne sont envoyées par défaut que si vous y avez été actif au cours des 60 derniers jours (critère : date de votre dernier passage crédité). Vous pouvez à tout moment passer outre ce fonctionnement automatique pour un commerce donné, dans les deux sens (forcer l'activation ou couper), via le réglage ci-dessus.
Bonus « notifications activées » : certains commerçants choisissent d'offrir un bonus de jetons (pourcentage affiché dans l'application) sur chaque passage aux clients joignables par notification. Ce bonus cesse simplement si vous désactivez les notifications ; les jetons déjà acquis restent acquis. Pour l'attribuer, l'application vérifie l'état de la permission de notification de votre appareil et le transmet à nos serveurs.

4. Qui reçoit vos données ? (sous-traitants)

Vos données ne sont jamais vendues. Elles peuvent être traitées par des prestataires techniques agissant pour notre compte :

Supabase — hébergement de la base de données et des fichiers, en région Union européenne.
OpenAI — génération de l'avatar à partir de la photo (selfie) que vous fournissez (États-Unis, voir § 5). La photo n'est pas conservée par Trusya.
Expo (650 Industries, Inc.) — diffusion des notifications push (États-Unis).
OCR.space (a9t9 software GmbH, Allemagne) — lecture optionnelle du montant d'un ticket de caisse (option activable par le commerçant ; la saisie manuelle reste disponible). L'image du ticket est transmise le temps de la lecture (localisation des serveurs : voir § 5) puis n'est pas conservée par Trusya ; seul le montant est conservé.
Hostinger — hébergement du site trusya.com.
Apple / Google — distribution de l'application et acheminement des notifications.
Le commerçant dont vous êtes client a accès aux données de fidélité vous concernant chez lui (jamais celles d'autres établissements).

5. Transferts hors Union européenne

Certains prestataires sont situés aux États-Unis. Selon le prestataire, ces transferts sont encadrés par des garanties appropriées distinctes :

Certification EU-U.S. Data Privacy Framework (les clauses contractuelles types s'appliquant en garantie de repli) : Google LLC (distribution Android, notifications FCM) et 650 Industries, Inc. (« Expo », notifications push) ;
Clauses contractuelles types de la Commission européenne : OpenAI (OpenAI Ireland Ltd, génération de l'avatar) et Apple (Apple Distribution International Ltd, distribution iOS et notifications APNs).

Vos données de fidélité, elles, sont hébergées en UE (Supabase).

En particulier, la photo (selfie) que vous fournissez pour l'avatar est transmise à OpenAI (États-Unis) uniquement le temps de la génération. Selon OpenAI, les données envoyées via son API ne sont pas utilisées pour entraîner ses modèles et ne sont conservées que de façon limitée (environ 30 jours) à des fins de lutte contre les abus, puis supprimées.

La fonction optionnelle de lecture de ticket (OCR) est assurée par a9t9 software GmbH (« OCR.space »), société établie en Allemagne (UE). Dans sa version standard, les images de tickets peuvent toutefois être traitées sur des serveurs situés aux États-Unis le temps de la lecture. Ce traitement est minimisé : la fonction est facultative (la saisie manuelle reste toujours possible), l'image est transmise de manière transitoire et n'est jamais conservée (seul le montant l'est), et un ticket de caisse ne comporte en principe aucune donnée permettant de vous identifier. Un commerçant souhaitant éviter tout traitement hors UE peut recourir à la saisie manuelle.

6. Combien de temps conservons-nous vos données ?

Compte & données de profil : tant que votre compte est actif, puis supprimé après 3 ans d'inactivité.
Données de fidélité : pendant la durée de votre adhésion à l'établissement.
Géolocalisation : non conservée (usage instantané).
Données comptables (montants encaissés) : conservées 10 ans (obligation légale), mais dissociées de votre identité en cas de suppression de compte (totaux anonymes).
Photo (selfie) fournie pour l'avatar : non conservée par Trusya ; traitée transitoirement par OpenAI (voir § 5).
Journaux techniques : 12 mois.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants : accès, rectification, effacement (« droit à l'oubli »), opposition, limitation, portabilité, retrait de votre consentement à tout moment, et définition de directives relatives au sort de vos données après votre décès.

Effacement : vous pouvez supprimer votre compte directement depuis l'application (Profil → Supprimer mon compte). Les comptes ayant agi comme « équipe » d'un commerce passent par l'assistance, pour des raisons de comptabilité.
Pour exercer vos autres droits : contact@trusya.com.
Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des mots de passe, cloisonnement strict des données par utilisateur et par établissement (Row Level Security), chiffrement des échanges (HTTPS), hébergement des données en UE, accès restreint.

9. Mineurs

L'application est réservée aux personnes âgées d'au moins 16 ans. La création d'un compte par une personne de moins de 16 ans n'est pas autorisée.

10. Cookies

Le site trusya.com n'utilise aucun cookie de mesure d'audience ni de publicité. Seul un stockage strictement nécessaire au fonctionnement de l'espace gérant (informations de session) est utilisé. Le détail figure dans notre politique cookies.

11. Modifications

La présente politique peut être mise à jour. Toute modification substantielle vous sera signalée.