# Square et Pilotiko : votre compte de vente relié, sans automatisme

> Square et Pilotiko : les trois permissions OAuth demandées, la durée de vie des jetons, ce qui reste manuel aujourd'hui et comment révoquer l'accès.

Mis à jour le 15 octobre 2026 · https://app.pilotiko.com/integrations/square

Pilotiko peut aujourd'hui relier votre compte Square par OAuth avec trois permissions : PAYMENTS_READ, PAYMENTS_WRITE et MERCHANT_PROFILE_READ. Il ne lit encore aucune vente et ne crée aucun paiement. Statut : Connexion du compte seulement : aucune action automatique pour l'instant. Vos ventes en personne et en ligne restent dans Square.

## En bref
- Statut : Connexion du compte seulement : aucune action automatique pour l'instant.
- Permissions demandées : PAYMENTS_READ, PAYMENTS_WRITE, MERCHANT_PROFILE_READ.
- Square fait expirer les jetons d'accès après 30 jours ; ils se renouvellent par un jeton de rafraîchissement.
- Ni lecture des ventes, ni paiement, ni remboursement ne sont branchés.

## Que fait la connexion Square dans Pilotiko ?

Elle conserve, chiffrée, l'autorisation que vous donnez à Pilotiko sur votre compte vendeur Square. Aucune fonction ne s'en sert encore.

Square sert souvent deux usages à la fois : le terminal au comptoir et les paiements en ligne. Pilotiko classe Square dans la capacité « Encaissements » au statut **connexion seulement** : le parcours d'autorisation est construit, mais aucune opération sur vos ventes ne l'est. Pilotiko ne verra donc pas une vente faite au comptoir mardi matin, et ne pourra pas non plus la rembourser.

Square décrit chaque permission par les points d'accès qu'elle ouvre [1]. Pilotiko en demande trois, listées ci-dessous, en prévision de l'encaissement et du rapprochement des ventes. Les avoir demandées ne signifie pas qu'elles sont utilisées : aucun appel n'est fait à l'API Payments ni à l'API Merchants.

Square renvoie le jeton au format JSON ; le code d'autorisation vaut 5 minutes et ne sert qu'une fois [2]. Pilotiko n'utilise pas PKCE avec Square : l'échange se fait côté serveur avec le secret de l'application.

- **PAYMENTS_READ** : lecture des paiements, par exemple ListPayments ou GetPayment [1]. Non utilisée aujourd'hui.
- **PAYMENTS_WRITE** : création, annulation et remboursement de paiements, par exemple CreatePayment ou RefundPayment [1]. Non utilisée aujourd'hui ; toute utilisation future attendra l'accord d'une personne.
- **MERCHANT_PROFILE_READ** : informations sur le compte vendeur et ses points de vente, par exemple ListLocations ou RetrieveMerchant [1]. Non utilisée aujourd'hui.

## Comment relier Square à Pilotiko ?

Le compte Square qui autorise doit être celui de l'entreprise. Si Pilotiko n'a pas encore activé son application Square, la carte l'indique et n'affiche pas de bouton.

1. **Trouver la carte Square** — Dans Pilotiko, page Connexions, groupe Encaissements.
2. **Lancer la connexion** — Cliquez sur Connecter ; Pilotiko prépare une demande à usage unique, valable 10 minutes, liée à votre entreprise et à vous.
3. **Lire la page d'autorisation Square** — Square affiche les trois permissions demandées ; vérifiez qu'il s'agit du bon compte vendeur.
4. **Autoriser** — Square vous renvoie vers Pilotiko avec un code ; Pilotiko l'échange contre un jeton et le chiffre.
5. **Contrôler** — La carte passe à « Connecté » et précise qu'aucune action automatique n'a lieu.

## Qu'est-ce qui est disponible, en mise en service ou à venir avec Square ?

| Fonction | Statut | Détail |
|---|---|---|
| Relier le compte vendeur Square | Connexion du compte seulement : aucune action automatique pour l'instant | Trois permissions demandées, jeton chiffré |
| Lire les ventes au comptoir et en ligne | Bientôt | Aucun appel à l'API Payments |
| Créer un paiement ou rembourser | Bientôt | Exigera l'approbation d'une personne |
| Lire vos points de vente (Locations) | Bientôt | Aucun appel à l'API Merchants |
| Débrancher Square côté Pilotiko | Disponible | Jetons effacés, journal d'audit |

## Que voit Pilotiko d'une journée de ventes Square ?

**Exemple : un salon de coiffure avec 2 points de vente et 41 ventes Square un samedi**

Le salon encaisse au comptoir avec Square dans ses deux succursales et prend quelques acomptes en ligne. Square est relié à Pilotiko depuis une semaine.

- Ventes au comptoir (2 succursales) : 35
- Acomptes payés en ligne : 6
- Ventes lues par Pilotiko : 0
- Points de vente lus par Pilotiko : 0 sur 2
- Remboursements faits par Pilotiko : 0
- **= Les 41 ventes restent dans Square ; dans Pilotiko, les rendez-vous de la journée ne sont pas marqués « payés » automatiquement.**

## Comment vos données Square sont-elles protégées (Loi 25) ?

Le jeton Square est chiffré au repos (AES-256-GCM) et n'est jamais affiché, ni dans l'interface ni dans les journaux. Selon la loi québécoise sur le secteur privé, toute entreprise est responsable des renseignements personnels qu'elle détient, et la personne ayant la plus haute autorité veille au respect de la loi [3]. Pilotiko ne collecte aujourd'hui aucune donnée de vente Square : il n'y a rien à protéger de plus que le jeton lui-même.

Le jour où les ventes seront lues, elles contiendront des renseignements sur vos clients ; la loi prévoit alors un droit d'accès, avec copie dans un format structuré et couramment utilisé sur demande [3]. La CAI rappelle que ce droit à la portabilité s'applique depuis le 22 septembre 2024 [4]. Détails : [vos droits](/vos-droits) et [sous-traitants](/sous-traitants).

Révocation : dans Pilotiko, Déconnecter efface le jeton et note l'action au journal d'audit. Dans Square, le vendeur peut révoquer l'accès de l'application, ce qui invalide ses jetons [2].

## Quelles sont les limites propres à Square ?

Square fait expirer ses jetons d'accès après 30 jours [2]. Une connexion inutilisée pendant longtemps devra donc être renouvelée par le jeton de rafraîchissement, sinon reconnectée. Aucun vrai compte Square n'a encore été essayé avec Pilotiko, et l'application OAuth n'est pas encore enregistrée.

Pour l'encaissement en ligne seulement, comparez avec [Stripe](https://app.pilotiko.com/integrations/stripe) ; pour un terminal d'une autre marque, voyez [Clover](https://app.pilotiko.com/integrations/clover). Toutes les connexions sont sur la page [Intégrations](https://app.pilotiko.com/integrations), et vos rendez-vous peuvent déjà venir d'[Acuity Scheduling](https://app.pilotiko.com/integrations/acuity-scheduling) par migration.

## Questions fréquentes

### Pilotiko voit-il les ventes faites sur mon terminal Square ?

Non, pas encore. La permission de lecture est demandée, mais aucune lecture n'est programmée. Vos ventes restent visibles seulement dans Square.

### Pourquoi Pilotiko demande-t-il PAYMENTS_WRITE s'il ne crée pas de paiement ?

Pour que l'encaissement puisse être branché plus tard sans vous redemander l'accès. Aujourd'hui, aucun paiement n'est créé, et tout paiement futur attendra l'accord d'une personne.

### Combien de temps dure l'autorisation Square ?

Square fait expirer le jeton d'accès après 30 jours et fournit un jeton de rafraîchissement pour en obtenir un nouveau. Si le renouvellement échoue, la carte passe à « à reconnecter ».

### Puis-je relier plusieurs succursales Square ?

La connexion se fait au niveau du compte vendeur, qui regroupe ses points de vente. Pilotiko ne lit pas encore la liste de ces points de vente.

### Comment couper l'accès de Pilotiko à Square ?

Cliquez sur Déconnecter dans Pilotiko pour effacer le jeton. Vous pouvez aussi révoquer l'application dans Square, ce qui invalide ses jetons.

### Mes clients verront-ils un changement à la caisse ?

Non. Rien ne change dans Square : ni au comptoir, ni dans vos liens de paiement en ligne.

## Sources

1. Square Developer, « OAuth permissions reference », https://developer.squareup.com/docs/oauth-api/square-permissions (consulté le 2026-10-15)
2. Square Developer, « OAuth API overview », https://developer.squareup.com/docs/oauth-api/overview (consulté le 2026-10-15)
3. LégisQuébec, « Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) », https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1 (consulté le 2026-10-15)
4. Commission d'accès à l'information du Québec, « Principaux changements apportés par la Loi 25 », https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25 (consulté le 2026-10-15)