Le responsable du traitement des données collectées dans le cadre du programme de fidélité est :

Vos données sont traitées exclusivement pour :

• Gérer votre carte de fidélité (création, suivi des réservations comptées, déblocage des récompenses)
• Vous envoyer les emails liés à votre carte (bienvenue, récompenses débloquées, expiration)
• Vous envoyer, uniquement si vous avez coché la case correspondante, les offres exclusives GRent
• Tenir un journal d'audit des opérations sur votre carte (art. 6 al. 1 let. f RGPD — intérêt légitime à la sécurité)

Le traitement repose sur votre consentement explicite (art. 6 al. 1 let. a RGPD, art. 31 nLPD), donné lors de l'inscription via les cases à cocher dédiées. Vous pouvez retirer ce consentement à tout moment, sans justification, depuis le lien présent dans chaque email ou en nous contactant directement.

Vos données fidélité sont conservées 3 ans à compter de votre dernière activité (dernier scan ou dernier email ouvert). Au-delà, elles sont automatiquement supprimées ou anonymisées.

Si vous avez également effectué des réservations payantes, les données nécessaires à ces contrats (identité, permis, paiement) sont conservées séparément 10 ans conformément à l'art. 958f CO (obligation comptable suisse). Voir la politique générale.

Aucun tiers ne reçoit vos données fidélité à des fins commerciales. Les seuls sous-traitants techniques sont :

• Supabase (région Frankfurt, UE) — hébergement de la base de données
• Resend — envoi des emails transactionnels et marketing
• Vercel — hébergement de l'application web

Tous sont liés par des clauses de protection des données conformes au RGPD.

Vous disposez à tout moment des droits suivants :

• Accès — télécharger un export complet de vos données au format JSON
• Rectification — corriger des informations erronées (par email à contact@grent.ch)
• Effacement — demander la suppression de vos données fidélité, en un clic
• Opposition — refuser à tout moment les communications marketing (lien dans chaque email)
• Portabilité — récupérer vos données dans un format structuré et lisible (JSON)
• Retrait du consentement — à tout moment, sans incidence sur la légalité des traitements antérieurs

L'accès, l'effacement et l'opposition sont accessibles en un clic via le lien personnel reçu dans votre email de bienvenue (page /fidelite/desinscription/...).

• HTTPS strict avec HSTS sur l'ensemble du domaine
• Mots de passe administrateur stockés sous forme de hash bcrypt
• Politique de sécurité du contenu (CSP) stricte
• Accès base de données par jeton serveur uniquement (Row Level Security activée)
• Journal d'audit conservé pour chaque action administrative sur votre fiche
• Limitation de débit sur les endpoints publics pour prévenir les abus

Si vous estimez que le traitement de vos données ne respecte pas la législation, vous pouvez introduire une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT) :

Toute modification matérielle de cette politique sera notifiée par email aux membres du programme au moins 30 jours avant son entrée en vigueur. La version courante est toujours accessible à l'adresse grent.ch/fidelite/confidentialite.