Accord de traitement des données (DPA)
Dernière mise à jour : 29 octobre 2026
Cet accord fait partie des conditions générales. Il encadre les traitements que [À compléter] (« le Sous-traitant ») réalise pour le compte du Commerçant (« le Responsable de traitement ») sur les données de ses clients, conformément à l'article 28 du RGPD.
1. Description du traitement
| Objet | Gestion d'un programme de fidélité : cartes Wallet, validation des passages, fichier clients, relances et campagnes par SMS et e-mail. |
|---|---|
| Durée | Durée de l'abonnement, puis 3 mois. |
| Personnes concernées | Clients du Commerçant porteurs d'une carte ; employés du Commerçant utilisant le comptoir. |
| Données | Prénom, nom, téléphone, e-mail, date d'anniversaire, étiquettes, notes, historique des passages et récompenses, consentements et désinscriptions, messages envoyés, identifiants techniques Wallet ; pour les employés : prénom et code chiffré. |
| Opérations | Collecte via la page du commerce, hébergement, consultation, modification, envoi de messages, export, suppression. |
| Données exclues | Le Commerçant s'engage à ne saisir aucune donnée sensible (santé, opinions, religion, etc.) dans les notes ou étiquettes. |
2. Engagements du Sous-traitant
- Traiter les données uniquement sur instruction documentée du Commerçant (réglages et actions faits dans l'espace commerçant) et l'informer si une instruction lui paraît illicite.
- Garantir la confidentialité : seules les personnes habilitées, tenues au secret, accèdent aux données, et seulement pour le support ou la maintenance.
- Mettre en œuvre les mesures de sécurité décrites à l'article 5.
- N'utiliser les données pour aucune autre finalité : ni prospection pour son propre compte, ni revente, ni entraînement de modèles.
- Aider le Commerçant à répondre aux demandes des personnes : l'espace commerçant permet l'accès, l'export, la rectification, la désinscription et la suppression ; le client peut aussi supprimer lui-même sa carte.
- Notifier au Commerçant toute violation de données dans les 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification à la CNIL.
- Aider le Commerçant à réaliser une analyse d'impact si elle est requise.
- Mettre à disposition les informations nécessaires pour démontrer le respect de cet accord et permettre un audit, à la charge du Commerçant, une fois par an, avec un préavis de 30 jours.
3. Sous-traitants ultérieurs
Le Commerçant autorise le recours aux sous-traitants listés dans la politique de confidentialité (Supabase, Vercel, Brevo, Apple, Google, HighLevel si le Commerçant choisit d'envoyer par son propre compte, Cloudflare si l'anti-robot est activé). Tout ajout ou remplacement est annoncé par e-mail 30 jours à l'avance ; le Commerçant peut s'y opposer en résiliant sans frais. Chaque sous-traitant est soumis aux mêmes obligations.
4. Transferts hors de l'Union européenne
Les données sont stockées dans l'Union européenne. Les transferts éventuels vers les sous-traitants situés hors UE sont encadrés par le Data Privacy Framework ou les clauses contractuelles types de la Commission européenne.
5. Mesures de sécurité
- Chiffrement des échanges (HTTPS, HSTS) ; base de données hébergée dans l'UE avec cloisonnement par commerce au niveau de la base (Row Level Security).
- Mots de passe et codes employés hachés ; jetons d'intégration chiffrés (AES-256-GCM) ; liens de carte et QR codes signés.
- Limitation des tentatives de connexion et de code, protection anti-robots, en-têtes de sécurité, dépendances surveillées.
- Journal des actions sensibles (exports, suppressions) consultable par le Commerçant ; sauvegardes gérées par l'hébergeur.
6. Durées de conservation par défaut
- Clients sans aucune activité depuis 3 ans : supprimés automatiquement.
- Journal des messages envoyés : 24 mois.
- Fin de l'abonnement : toutes les données sont supprimées 3 mois après, sauf obligation légale. Le Commerçant peut les exporter avant.
7. Engagements du Commerçant
- Informer ses clients (le pied de page de chaque carte renvoie vers ces informations et affiche le nom du commerce).
- Recueillir le consentement aux offres de manière libre et explicite (case non cochée) et n'importer que des contacts dont il peut prouver l'accord.
- Renseigner dans ses réglages sa raison sociale et un contact pour les données personnelles.
- Respecter les plages d'envoi et ne pas contourner les désinscriptions.
Contact du Sous-traitant pour toute question relative à cet accord : contact@nedelis.com.