Contrat de sous-traitance

Article 28 du RGPD. Ce contrat est annexé aux conditions générales et s'applique dès l'ouverture d'un compte. Il dit ce que l'éditeur a le droit de faire des données de vos clients, et ce qu'il s'engage à faire pour vous.

1. Les deux parties

Le responsable du traitement est le commerce titulaire du compte. C'est lui qui décide de créer un programme de fidélité, qui en fixe les règles et qui répond de ses clients.

Le sous-traitant est À COMPLÉTER, Micro-entreprise, SIRET À COMPLÉTER, À COMPLÉTER. Il fournit l'outil et héberge les données pour le compte du commerce.

2. Ce qui est traité

Objet

Faire fonctionner la carte de fidélité du commerce : inscription, comptage des passages, récompenses, rangs, notifications, relances, parrainage, tableau de bord.

Durée

Celle du compte, plus trente jours après sa fermeture (délai de restitution).

Personnes concernées

Les clients du commerce qui s'inscrivent eux-mêmes à sa carte.

Catégories de données

Prénom, numéro de téléphone, adresse électronique si elle est donnée, date et heure de chaque passage, nombre de passages, rang, récompenses obtenues et remises, code de parrainage et lien de parrainage, date du consentement, identifiants techniques de la carte.

Pas de données sensibles

Le service ne traite aucune donnée de santé, d'opinion, d'origine, de religion, de vie sexuelle ou d'infraction, ni aucune donnée bancaire. Le commerce s'interdit d'en saisir.

3. Instructions

Le sous-traitant ne traite les données que sur instruction documentée du commerce. L'usage du service vaut instruction pour les opérations décrites ci-dessus. Il n'utilise ces données ni pour son propre compte, ni pour les revendre, ni pour entraîner un modèle, ni pour les croiser avec celles d'un autre commerce. Si une loi l'oblige à un traitement que le commerce n'a pas demandé, il l'en informe avant, sauf interdiction légale. S'il estime qu'une instruction viole le RGPD, il le dit.

Le conseil hebdomadaire envoyé au commerce est produit par un modèle d'intelligence artificielle à partir de chiffres agrégés uniquement — nombre de passages, nombre de clients, répartition par rang. Aucun nom, aucun téléphone, aucune donnée individuelle ne lui est transmis.

4. Confidentialité et sécurité

Les personnes autorisées à accéder aux données sont tenues à la confidentialité. Les mesures en place sont les suivantes :

• chiffrement des échanges (HTTPS) et des données au repos chez l'hébergeur de la base ;
• accès à la base réservé au serveur, par une clé de service ; aucune requête depuis le navigateur ;
• cloisonnement par commerce : chaque écran ne lit que les données du commerce de la session ;
• mots de passe des commerçants stockés sous forme d'empreintes, jamais en clair ;
• adresses des cartes impossibles à deviner, ne révélant ni nom ni téléphone ;
• sauvegardes automatiques et quotidiennes de la base par l'hébergeur ;
• journalisation des accès administratifs.

5. Sous-traitants ultérieurs

Le commerce autorise les sous-traitants ultérieurs suivants. Tout ajout ou remplacement lui est annoncé un mois avant, et il peut s'y opposer par écrit — auquel cas il peut résilier sans frais.

Railway Corporation

Hébergement de l'application. railway.com — À COMPLÉTER

Supabase, Inc.

Hébergement de la base de données. supabase.com — À COMPLÉTER Région eu-west-3 (Paris, France). Les données des clients ne quittent pas la France.

Apple Inc. et Google LLC

Portefeuilles Apple Wallet et Google Wallet, et acheminement des notifications. Reçoivent ce qui est affiché sur la carte du client. Indispensables au service.

Brevo (Sendinblue SAS)

Envoi des e-mails de service (identifiants, factures, rappels). France. Reçoit l'adresse électronique du destinataire.

Stripe Payments Europe, Ltd.

Encaissement de l'abonnement du commerce. Ne traite aucune donnée des clients finaux : les données bancaires sont celles du commerce, et elles ne passent pas par le service.

Anthropic PBC

Rédaction du conseil hebdomadaire, à partir de chiffres agrégés seulement. Aucune donnée personnelle ne lui est transmise.

6. Transferts hors de l'Union européenne

Les données des clients sont stockées en France. Certains prestataires ci-dessus sont établis aux États-Unis : les transferts qui en découlent reposent sur les clauses contractuelles types de la Commission européenne ou sur le cadre de protection des données UE – États-Unis, selon le prestataire.

7. Droits des personnes

C'est au commerce de répondre aux demandes de ses clients. Le sous-traitant l'aide : il lui donne accès aux données concernées, les corrige ou les supprime sur demande, et fournit un export. Une demande reçue directement d'un client est transmise au commerce sans y répondre sur le fond.

Le lien de désinscription présent sur chaque carte permet au client d'arrêter toutes les notifications lui-même, sans intervention du commerce.

8. Violation de données

Le sous-traitant informe le commerce sans délai injustifié, et au plus tard sous 24 heures après en avoir pris connaissance. Il lui transmet la nature de l'incident, les données touchées, le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises. C'est au commerce de notifier la CNIL dans les 72 heures et, s'il y a lieu, ses clients.

9. Aide à la conformité

Le sous-traitant aide le commerce, dans la mesure de ses moyens, pour la sécurité, les notifications de violation, les analyses d'impact et les consultations préalables. Il met à disposition tout ce qui est nécessaire pour démontrer le respect de l'article 28 et accepte un audit, une fois par an au plus, sur préavis de trente jours, aux frais du commerce.

10. Fin du contrat

À la fermeture du compte, le commerce dispose de trente jours pour demander un export de ses données. Passé ce délai, elles sont supprimées, sauvegardes comprises dans les délais de rotation de l'hébergeur. Pendant la vie du compte, un client sans passage depuis 3 ans est supprimé automatiquement.

11. Contact

Pour toute question relative à ce contrat : À COMPLÉTER.