Confidentialité des codes QR

La plupart des générateurs de codes QR publient une politique de confidentialité rédigée par des juristes pour des juristes. Quelque part dans le document, on trouve la formule « nous prenons votre vie privée au sérieux », et c'est à peu près tout ce qu'on obtient de concret. Vous restez à deviner quelles données sont réellement collectées, qui y a accès, et ce qui se passe quand vous supprimez votre compte. Cet article est différent. Nous allons vous dire exactement ce que QR Nova collecte, ce que nous ne collectons pas, comment nous anonymisons les données de scan, et quels sont vos droits, en langage clair, sans habillage juridique.

Quelles données QR nova collecte (et ce qu'il ne collecte pas)

Il y a deux aspects aux données liées aux codes QR : ce que nous savons sur vous (la personne qui crée des codes), et ce que nous savons sur les scanners (les personnes qui scannent vos codes). Ce sont des choses très différentes, et la plupart des plateformes de codes QR brouillent la frontière entre les deux.

Ce que nous stockons sur vous (titulaires de compte)

Lorsque vous créez un compte, nous stockons votre adresse e-mail, votre prénom et nom (si vous le fournissez via la connexion Google) et les paramètres de votre espace de travail. C'est tout. Nous ne demandons pas votre numéro de téléphone, votre adresse physique, le nom de votre entreprise ou aucune information démographique. Nous ne construisons pas de profil vous concernant au-delà de ce qui est nécessaire pour faire fonctionner le service.

Vos codes QR, leurs destinations, leurs paramètres de design et leur historique de scans sont stockés et associés à votre compte. Si vous supprimez votre compte, tout cela part avec lui.

Ce que nous stockons sur les scanners (les personnes qui scannent vos codes)

C'est là que c'est important, car c'est là que la plupart des générateurs de codes QR sont vagues. Voici ce qui se passe quand quelqu'un scanne un de vos codes QR dynamiques :

Donnée	Ce que nous stockons	Ce que nous ne stockons pas
Adresse IP	Hachage SHA-256 (irréversible)	L'adresse IP brute, jamais
Localisation	Pays et ville (dérivés de l'IP avant le hachage)	Adresse postale, coordonnées GPS ou localisation précise
Appareil	Catégorie d'appareil (mobile, ordinateur de bureau, tablette)	Modèle d'appareil, numéro de série ou identifiants uniques
Navigateur	Préférence de langue du navigateur	Chaîne user-agent complète, empreinte du navigateur ou cookies
Horodatage	Moment du scan	—
Paramètres UTM	Balises de campagne si présentes dans l'URL	—
Identité	Rien	Nom, e-mail, téléphone, informations de compte ou tout identifiant personnel

Le but des statistiques de scan est de vous indiquer combien de personnes ont scanné votre code, approximativement d'où, et sur quel type d'appareil. C'est une donnée agrégée, pas un suivi individuel. Nous ne pouvons pas vous dire qui a scanné votre code. Nous ne pouvons pas inverser un hachage IP pour le découvrir. C'est voulu.

Codes QR statiques : zéro donnée par conception

Si vous générez un code QR statique sur QR Nova, la situation est encore plus simple : nous ne collectons rien du tout. Les codes statiques sont générés entièrement dans votre navigateur. L'URL de destination est encodée directement dans le motif QR. Aucune redirection ne passe par nos serveurs. Aucun scan n'est enregistré. Aucune statistique n'existe. Nous ne savons littéralement pas que le code a été créé.

Cela est important pour les cas d'usage où la vie privée est non négociable : informations médicales, liens internes d'entreprise, coordonnées personnelles, ou tout ce pour quoi même un suivi anonymisé est indésirable. Un code QR statique de QR Nova est aussi privé qu'une URL écrite sur un morceau de papier.

Comment nous anonymisons les données de scan

L'expression « nous anonymisons vos données » est devenue sans signification à force d'être répétée. Toutes les entreprises le disent. Peu expliquent ce qu'elles entendent par là. Voici exactement ce que nous faisons.

Lorsqu'un événement de scan arrive, l'adresse IP du scanner passe par SHA-256, une fonction de hachage cryptographique. Cela convertit l'IP en une chaîne de caractères de longueur fixe. La propriété critique de SHA-256 est qu'il s'agit d'une fonction à sens unique : on peut aller de l'IP au hachage, mais on ne peut pas aller du hachage à l'IP. Il n'y a pas de clé, pas de déchiffrement, aucun moyen de l'inverser.

Nous utilisons le hachage à deux fins : la déduplication (pour qu'une personne qui scanne le même code cinq fois de suite compte comme un seul scan, pas cinq) et les statistiques agrégées (nombre de scans par région). Après le hachage, l'IP brute est abandonnée. Elle n'est jamais écrite dans notre base de données.

Cela signifie que même si notre base de données était d'une façon ou d'une autre compromise, un attaquant trouverait des chaînes hachées, pas des adresses IP. Et même nous, en tant qu'opérateur de la plateforme, ne pouvons pas identifier les scanners individuels à partir de nos propres données.

Sécurité du compte

La vie privée et la sécurité sont des choses différentes, mais elles se conditionnent mutuellement. Des données privées mais mal sécurisées ne sont pas vraiment privées. Voici comment nous protégons l'accès à votre compte.

Authentification sans mot de passe

Notre méthode de connexion principale est le lien magique sans mot de passe. Lorsque vous vous connectez, nous envoyons un lien à usage unique à votre adresse e-mail. Ce lien utilise un jeton cryptographiquement aléatoire à haute entropie, et le jeton est haché avant d'être stocké, notre base de données elle-même ne contient donc jamais un jeton de connexion utilisable. Chaque lien expire au bout de 15 minutes et ne peut être utilisé qu'une seule fois. Après utilisation, il est supprimé.

Nous prenons également en charge Google OAuth pour les utilisateurs qui le préfèrent. Les deux méthodes évitent la principale vulnérabilité d'authentification : les mots de passe réutilisés.

Protection contre les bots

Notre page de connexion inclut une protection anti-bots basée sur des défis pour empêcher le bourrage d'identifiants automatisé et les attaques par force brute. Nous maintenons également une liste de blocage de plus de 3 000 domaines d'e-mail jetables pour prévenir les abus de comptes temporaires.

Sécurité des clés API

Si vous utilisez l'API QR Nova, vos clés API sont hachées avant leur stockage via HMAC avec un secret côté serveur. Nous ne pouvons pas lire votre clé API après sa création, vous la voyez une fois, puis elle n'existe plus que sous forme de hachage irréversible de notre côté. Si votre clé est compromise, vous la révoquez et en générez une nouvelle.

Limitation du débit

Chaque point d'accès, pages publiques, authentification et appels API, est soumis à une limitation du débit. Les utilisateurs du niveau gratuit bénéficient de limites de rafale plus faibles ; les forfaits payants montent en puissance. Cela prévient les abus, les attaques par force brute et les tentatives de déni de service. Les limites de débit sont appliquées au niveau du réseau de diffusion avant que les requêtes atteignent notre application.

Conformité rgpd — pas une case à cocher, un système

La conformité RGPD n'est pas un certificat à encadrer. C'est un ensemble de comportements qui se produisent dans votre code ou ne s'y produisent pas. Voici comment les nôtres fonctionnent.

Refus par défaut

Lorsque vous visitez QR Nova pour la première fois, tous les suivis non essentiels sont refusés. Les cookies d'analyse, les cookies marketing et les balises publicitaires sont bloqués. Rien ne se déclenche avant que vous fassiez un choix explicite. Ce n'est pas un détail technique, notre système de consentement s'intègre au Consent Mode v2 de Google, ce qui signifie que les balises Google Analytics et Google Ads ne peuvent littéralement pas s'activer avant l'obtention du consentement.

Un vrai choix

Notre bannière de consentement aux cookies présente « Accepter » et « Refuser » avec le même poids visuel. Pas de dark patterns. Pas d'astuces de couleur pour rendre « Accepter » plus visible. Pas de bascules de « intérêt légitime » enfouies dans un sous-menu. Vous pouvez également personnaliser les catégories (analyses, marketing) que vous acceptez ou refusez individuellement.

Des enregistrements de consentement auditables

Chaque décision de consentement, accepter, refuser ou personnaliser, est enregistrée avec un horodatage, un identifiant anonyme (pas votre compte, pas votre IP) et les choix spécifiques effectués. Ce journal existe pour que, si un régulateur demande un jour « pouvez-vous prouver que cet utilisateur a consenti au suivi analytique ? », nous puissions répondre avec un enregistrement horodaté. L'adresse IP dans le journal de consentement est hachée, comme les données de scan.

Droit à la suppression

Vous pouvez supprimer votre compte depuis les paramètres du tableau de bord. Aucun ticket de support. Aucun « veuillez nous envoyer un e-mail et attendez 30 jours ouvrés ». La suppression est traitée automatiquement après une courte période de grâce (au cas où vous changeriez d'avis). Une fois cette fenêtre fermée, votre compte, vos codes QR, vos données de scan et vos enregistrements de consentement sont définitivement supprimés.

Services tiers et ce qu'ils voient

Aucune application web ne fonctionne en complète isolation. Nous utilisons un petit nombre de services tiers, et voici exactement ce que chacun voit :

Service	Rôle	Ce qu'il reçoit	Condition
Processeur de paiement	Facturation des abonnements	E-mail, moyen de paiement, historique de facturation	Uniquement si vous souscrivez à un forfait payant
Service d'e-mail	E-mails transactionnels (liens magiques, bienvenue, reçus)	Votre adresse e-mail	Uniquement quand nous devons vous envoyer un e-mail
Analyse	Comprendre comment les visiteurs utilisent notre site	Données d'utilisation anonymisées	Uniquement si vous accordez le consentement analytique
Surveillance des erreurs	Détecter et corriger les bugs	Contexte d'erreur (aucune donnée personnelle)	Automatique, données minimales

C'est la liste complète. Aucun réseau publicitaire. Aucun service d'enrichissement de données. Aucun « partenaire » qui achète l'accès aux statistiques de scan. Nous ne monétisons pas vos données car nous monétisons le produit. Notre modèle économique repose sur les abonnements, pas sur la surveillance.

Statique vs dynamique : comparaison en termes de confidentialité

Le profil de confidentialité d'un code QR dépend entièrement de s'il est statique ou dynamique. Cette distinction mérite d'être répétée car c'est la décision de confidentialité la plus importante que vous prenez lors de la création d'un code QR.

Fonctionnalité	Code QR statique	Code QR dynamique
Généré où	Votre navigateur (côté client)	Nos serveurs
Données envoyées à QR Nova	Aucune	URL de destination et paramètres de design
Suivi des scans	Aucun, impossible	Statistiques anonymisées (IP hachée, pays, appareil)
Modifiable après impression	Non	Oui, changez la destination sans réimprimer
Compte requis	Non	Oui
Meilleur pour la confidentialité	Oui, empreinte de données nulle	Correct, anonymisé, mais les données existent

Si votre cas d'usage ne nécessite pas de modifiabilité ou de statistiques de scan, un code QR statique vous offre la meilleure confidentialité possible : littéralement zéro collecte de données. Pour les cas où vous avez besoin de suivre les performances ou de mettre à jour les destinations, les codes dynamiques vous offrent des statistiques avec des protections de confidentialité significatives intégrées.

Pour une analyse approfondie des différences fonctionnelles, consultez notre guide codes QR statiques vs dynamiques.

Ce que nous vous dirions même si c'était inconfortable

La transparence va dans les deux sens. Voici des choses que nous pensons que vous devriez savoir, même si elles ne sont pas flatteuses du point de vue marketing :

• Les codes QR dynamiques impliquent bien une redirection via nos serveurs. C'est ainsi que fonctionnent les statistiques de scan. Si l'idée d'un serveur intermédiaire vous dérange, utilisez un code statique.
• Les données de localisation au niveau du pays et de la ville sont dérivées des adresses IP avant le hachage. Cela signifie que nous extrayons des informations géographiques de l'IP du scanner, puis supprimons l'IP. Les données de localisation elles-mêmes sont approximatives, au mieux au niveau de la ville, mais elles existent dans votre tableau de bord de statistiques.
• Nous ne détenons aucune certification de sécurité (pour l'instant). Nous n'avons pas encore poursuivi les certifications ISO 27001 ou SOC 2. Ce que nous avons, c'est un ensemble de pratiques de sécurité concrètes documentées sur cette page. Nous préférons vous montrer ce que nous faisons réellement plutôt que d'agiter un certificat qui ne vous dit rien de précis.
• Si nous sommes un jour contraints par les autorités judiciaires de produire des données, nous ne pouvons produire que ce que nous avons. Pour les événements de scan, ce sont des IP hachées et des localisations approximatives. Pour les comptes, ce sont des adresses e-mail et des configurations de codes QR. Nous ne pouvons pas produire d'IP brutes parce que nous ne les avons pas.

En résumé

La protection de la vie privée dans le secteur des codes QR est un niveau bas à atteindre. La plupart des générateurs ne l'abordent pas, ou le font avec un langage juridique vague qui protège l'entreprise, pas l'utilisateur. Nous avons construit QR Nova sur une hypothèse différente : moins de données stockées signifie moins de risques, pour vous comme pour nous.

Les codes statiques ne collectent rien. Les codes dynamiques collectent des statistiques anonymisées. Les IP sont hachées avant stockage. Le consentement est refusé par défaut. La suppression est en libre-service. Le partage de données avec des tiers n'existe pas.

Si vous avez des questions sur tout cela, notre Politique de confidentialité, nos Conditions d'utilisation et notre Politique en matière de cookies contiennent les versions juridiquement contraignantes. Cet article, c'est la version lisible par un être humain.