Cookies et stockage

Version 2026-09-20-draft-1.

Ce qui a été inventorié (code + smoke HTML production)

### Strictement nécessaires

• Sessions Supabase (cookies d'authentification, SameSite Lax, attribut Secure seulement si l'URL publique est en HTTPS). Nécessaires à la connexion demandée.

• Cookie `fidelon_merchant` (httpOnly) : commerce actif pour un compte multi-établissements. Pas de tracking publicitaire.

• Cache PWA limité aux icônes, au manifeste et aux fichiers statiques `/_next/static/`. Les pages, API, exports, OTP et jetons ne sont pas mis en cache.

### Fonctionnels à la demande

• Suppression d'une ancienne clé de navigateur `wallets:cid:` lors de l'ouverture d'une carte : ce n'est plus une session.

• Permission caméra du scanner commerçant : décodage QR local (html5-qrcode). Ce n'est pas un consentement marketing. Une saisie manuelle reste disponible.

### Traceurs optionnels

• Aucun SDK publicitaire ou analytique dans les dépendances applicatives (`package.json`).

• Smoke HTML de `fidelon.vercel.app` (2026-09-20) : aucun gtag / GTM / Plausible / PostHog / Vercel Analytics détecté dans la page d'accueil.

• Ce constat n'exclut pas des options futures d'hébergeur : elles devront être inventoriées avant activation.

Consentement cookies

Aucun traceur facultatif n'est chargé. Une bannière « tout accepter » serait trompeuse. Cette page informe. Si un traceur optionnel est ajouté plus tard, il devra être bloqué avant un choix valable, avec refus aussi accessible que l'accord.

Les cookies strictement nécessaires (Auth, commerce actif) ne sont pas confondus avec un consentement marketing email/SMS.

Les durées exactes des cookies de session dépendent de la configuration Auth réellement déployée. Elles ne sont pas inventées ici.

Ce texte est un document de préparation. Il ne constitue pas une attestation de conformité RGPD, une certification, ni un contrat signé. Les durées, prix, médiateurs, DPO et numéros d'entreprise absents ne sont pas remplacés par des valeurs fictives.

Les qualifications encore ouvertes (compte client commun, régime consommateur du service gratuit avec marketing, Data Act, DSA, accessibilité, NIS2, CRA) sont décrites dans QUALIFICATION-LEGALE.md. Elles ne sont pas tranchées par ce document.