Accord de traitement des données (sous-traitance)

1. Objet, durée, nature et finalité

Gestion du programme de fidélité du Responsable : cartes Apple Wallet et Google Wallet, validation des visites et récompenses, tableau de bord, envoi des offres aux clients qui l’ont accepté. Pour la durée du contrat.

2. Données et personnes concernées

Clients du Responsable : numéro de carte, historique des visites et récompenses, prénom et e-mail (facultatifs), consentement aux offres. Aucune donnée sensible.

3. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Responsable, ce que constitue l’usage du service.
• Garantir la confidentialité des données par les personnes autorisées à les traiter.
• Mettre en œuvre des mesures de sécurité appropriées : chiffrement en transit, isolation des données par commerce contrôlée en base de données, accès limités, hébergement dans l’Union européenne.
• Aider le Responsable à répondre aux demandes d’exercice des droits : les clients peuvent télécharger et supprimer leurs données eux-mêmes ; le Responsable peut exporter et supprimer un client depuis le tableau de bord.
• Notifier au Responsable toute violation de données dans les meilleurs délais, au plus tard 48 heures après en avoir pris connaissance.
• À la fin du contrat, supprimer les données dans les 30 jours, après que le Responsable a pu les exporter.
• Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables.

4. Sous-traitants ultérieurs

Le Responsable autorise le recours aux prestataires suivants. Tout changement lui est annoncé à l’avance et il peut s’y opposer en résiliant le contrat.

• Cloudflare, Inc. : Hébergement de l’application, stockage des logos et images (Cloudflare R2, Union européenne)
• Neon, Inc. : Base de données PostgreSQL, hébergée à Francfort (Union européenne)
• Stripe Payments Europe, Ltd. : Paiement des abonnements des commerçants (aucune donnée des clients des commerces)
• Resend, Inc. : Envoi des e-mails de connexion aux commerçants
• Apple Inc. et Google LLC : Cartes Apple Wallet et Google Wallet, uniquement lorsque le client ajoute sa carte

5. Transferts hors de l’Union européenne

Les données sont stockées dans l’Union européenne. Les accès éventuels depuis des pays tiers sont encadrés par les clauses contractuelles types de la Commission européenne ou le Data Privacy Framework.

6. Obligations du Responsable

Informer ses clients du traitement, disposer d’une base légale, ne recueillir que les données nécessaires, et recueillir le consentement avant l’envoi d’offres.