Vie privée — l’application kwitto
Version du 11/08/2026. Ce document existe aussi en Nederlands et en English.
En bref. kwitto est une caisse professionnelle : les données qu’elle contient — l’équipe du commerce, les clients à livrer — appartiennent au commerce, pas à nous. L’application n’a ni publicité, ni traceur, ni mesure d’audience ; rien n’est vendu, loué ou échangé. Tout est chiffré sur l’appareil, tout transite en HTTPS, et l’effacement se fait depuis le back office du commerçant.
1. Ce que couvre ce document
Cette déclaration couvre l’application de caisse kwitto, installée sur les terminaux et téléphones d’un commerce (iOS et Android). Le site kwitto.be a sa propre déclaration.
L’application est un outil professionnel, remis par un commerçant à son équipe. Personne n’y crée de compte personnel : les terminaux sont enrôlés par le commerce, et les vendeurs y sont inscrits par le commerce, dans son back office.
2. Qui est responsable de quoi
Deux rôles, que le RGPD distingue et que nous tenons séparés :
- Le commerçant est le responsable du traitement des données de son équipe et de ses clients. C’est lui qui décide qui figure dans sa caisse, et pourquoi.
- JW Consulting & Services SRL, Rue Henri Maubel, 106 - 1190 Bruxelles, numéro d’entreprise BE0817.628.341, est le sous-traitant : nous traitons ces données pour le compte du commerçant, selon ses instructions, dans le cadre de l’accord de sous-traitance (art. 28 RGPD) remis avec le contrat de service.
Une exception : les données de diagnostic (§ 3.d), que nous collectons pour notre propre compte afin de maintenir le logiciel en état de marche. Pour celles-là, le responsable du traitement, c’est nous.
Pour toute question sur ce document : bonjour@kwitto.be.
3. Les données que l’application traite
a) L’équipe du commerce
Pour ouvrir une session vendeur et attribuer chaque vente à la bonne personne, l’application reçoit du back office : le nom de chaque vendeur, son rôle (caissier, gérant…) et, s’il en a un, l’identifiant de son badge.
Le code PIN d’un vendeur, l’application ne le connaît pas : elle n’en reçoit qu’une empreinte cryptographique (bcrypt), qui permet de vérifier le code sans jamais le stocker ni le transmettre en clair.
Le numéro de registre national (NISS) ne concerne qu’un cas : le commerce soumis au système de caisse enregistreuse (SCE, la « boîte noire » de l’horeca), où la loi impose d’identifier chaque utilisateur de la caisse auprès du module fiscal. Hors SCE, le NISS n’atteint jamais l’appareil : le champ n’est pas transmis du tout — pas transmis vide, pas transmis.
- Pourquoi : faire fonctionner la caisse, et, sous SCE, respecter l’obligation légale d’identification.
- Base légale (celle du commerçant) : l’exécution du contrat de travail (art. 6.1.b RGPD) et, pour le NISS, l’obligation légale (art. 6.1.c).
b) Les clients à livrer
Quand le commerce utilise les tournées de livraison, le téléphone du livreur reçoit, pour chaque arrêt : le nom du client, son adresse, son numéro de téléphone, les références de la commande et, le cas échéant, le message qui accompagne un colis cadeau.
- Pourquoi : livrer au bon endroit, et pouvoir joindre le client à la porte.
- Base légale (celle du commerçant) : l’exécution de la commande du client (art. 6.1.b).
c) Les photos de preuve de livraison
À la porte, le livreur peut photographier l’endroit où le colis a été déposé, ou une marchandise abîmée, pour attacher une preuve au bon de livraison. La photo est prise avec l’appareil photo, jamais depuis la galerie : l’application n’a aucun accès aux photos personnelles du téléphone. La consigne affichée au livreur est de photographier le lieu ou la marchandise — pas les personnes.
- Pourquoi : prouver la livraison en cas de contestation.
- Base légale (celle du commerçant) : son intérêt légitime à prouver la livraison (art. 6.1.f).
d) Les données de diagnostic
Quand l’application rencontre une erreur, un rapport technique part vers notre outil de supervision (Sentry). Ce rapport est configuré au plus sobre :
- l’envoi de données personnelles par défaut est désactivé dans l’outil ;
- le seul « utilisateur » attaché à un rapport est l’identifiant du terminal — une machine, pas une personne ;
- un filtre retire tout le reste du rapport avant l’envoi.
Un rapport contient : l’erreur, la version de l’application, le modèle d’appareil et sa version de système, l’identifiant du terminal. Il ne contient ni vente, ni nom, ni rien de ce qui a été tapé à l’écran.
- Pourquoi : savoir que l’application a un problème avant qu’on nous le signale.
- Base légale : notre intérêt légitime à maintenir le logiciel en état de marche (art. 6.1.f). Responsable : nous.
4. Ce que l’application ne fait pas
- Aucune publicité, aucun SDK publicitaire, aucun identifiant publicitaire.
- Aucune vente, location ou échange de données. À personne, jamais.
- Aucun traceur, aucune mesure d’audience, aucun profil d’utilisateur.
- Aucun accès aux contacts, à la position, au micro ou à la galerie du téléphone. La caméra ne sert qu’à la preuve de livraison, au moment où le livreur la demande.
- Aucune décision automatisée concernant des personnes.
5. Où vivent les données, et comment elles sont protégées
- Sur l’appareil : dans une base de données chiffrée (SQLCipher). La clé de chiffrement ne quitte pas la puce sécurisée de l’appareil (Keystore sur Android, Secure Enclave sur iOS).
- Hors des sauvegardes : les données de l’application sont exclues des sauvegardes du système et des transferts d’appareil à appareil.
- En transit : exclusivement en HTTPS, entre l’appareil et le back office du commerce.
- Sur les serveurs : le back office est hébergé chez Scaleway (Online SAS), serveurs situés en France.
6. Combien de temps, et comment effacer
Les données de l’équipe et des clients se gèrent dans le back office du commerçant. Retirer un vendeur, corriger ou effacer une fiche client : c’est là que cela se passe, et le changement se propage aux terminaux à la synchronisation suivante. Ce que l’application garde sur l’appareil n’est qu’une copie de travail.
Deux limites, fixées par la loi plutôt que par nous :
- le journal de caisse est un registre comptable et fiscal : le commerçant est tenu de le conserver aussi longtemps que le droit comptable et fiscal belge l’impose ;
- ce journal est inaltérable par conception : effacer une fiche client n’efface pas les ventes passées — c’est un registre, pas un profil.
Les rapports de diagnostic sont conservés 90 jours chez notre outil de supervision, puis supprimés.
Désinstaller l’application supprime la base locale chiffrée de l’appareil.
7. Vos droits
Si vous travaillez dans un commerce qui utilise kwitto, ou si vous êtes client d’un tel commerce : vos droits d’accès, de rectification, d’effacement, de limitation et d’opposition s’exercent auprès du commerçant, qui est le responsable de vos données. Nous l’assistons pour y répondre, comme l’accord de sous-traitance le prévoit.
Pour les données de diagnostic, dont nous sommes responsables : écrivez à bonjour@kwitto.be. Nous répondons dans le mois.
Si la réponse ne vous satisfait pas, vous pouvez saisir l’Autorité de protection des données :
Autorité de protection des données — Rue de la Presse 35, 1000 Bruxelles contact@apd-gba.be — +32 (0)2 274 48 00 — autoriteprotectiondonnees.be
8. Qui d’autre voit ces données
| Prestataire | Pour quoi | Où sont les données |
|---|---|---|
| Scaleway (Online SAS), serveurs situés en France | Héberger le back office que l’application synchronise | France (Union européenne) |
| Sentry (Functional Software, Inc.) | Recevoir les rapports de diagnostic — sans données personnelles, voir § 3.d | États-Unis |
Le transfert vers Sentry est encadré par les clauses contractuelles types de la Commission européenne et par l’adhésion du prestataire au cadre de protection des données UE–États-Unis.
Nous ne transmettons rien à personne d’autre. Ni Apple ni Google ne reçoivent de données du commerce par l’application ; les magasins d’applications ne voient que ce que tout magasin voit — le téléchargement.
9. Modifications
Nous pouvons faire évoluer cette déclaration. La date en tête indique la dernière version. Si un changement modifie ce que fait l’application de données déjà collectées, les commerçants concernés sont prévenus avant sa mise en service.