1. Objet
Le présent accord fait partie du contrat conclu entre le Client et à compléter : raison sociale (l'« Éditeur ») selon les conditions générales. Il fixe les conditions dans lesquelles l'Éditeur, sous-traitant, traite des données personnelles pour le compte du Client, responsable de traitement, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés. Les termes employés ont le sens que leur donne le RGPD.
2. Description du traitement
| Nature des opérations | Hébergement, enregistrement, organisation, consultation, calcul, rapprochement, envoi de messages, export, suppression. |
|---|---|
| Finalités | Fournir le Service au Client : encaissement et tickets, gestion des clients, programme de fidélité et cartes dématérialisées, campagnes SMS et e-mail, stock, pilotage, dépenses, préparation de la TVA et du dossier comptable, consolidation de Réseau. |
| Personnes concernées | Clients et prospects du Client, porteurs de ses cartes de fidélité, destinataires de ses campagnes, Utilisateurs (salariés et collaborateurs du Client), fournisseurs personnes physiques. |
| Catégories de données | Identité et coordonnées ; date de naissance si le Client la collecte ; historique d'achat, avoirs, soldes et mouvements de fidélité ; consentements et oppositions, avec leur preuve ; données de vente et de paiement (moyen et montant, jamais le numéro complet d'une carte bancaire) ; justificatifs de dépenses ; opérations bancaires si le Client active la synchronisation bancaire ; journaux d'activité des Utilisateurs. |
| Données sensibles | Aucune n'est attendue. Le Client s'interdit de saisir dans les champs libres des données de santé, d'opinion ou toute autre donnée relevant de l'article 9 du RGPD. |
| Durée | La durée du contrat, puis le temps de la restitution et de la suppression prévues à l'article 9 ci-dessous. |
3. Instructions du Client
L'Éditeur ne traite les données que sur instruction documentée du Client. Constituent ces instructions : le contrat, le présent accord, et les réglages et actions que le Client et ses Utilisateurs effectuent dans le Service. L'Éditeur n'utilise pas les données à ses propres fins, ne les vend pas, ne les communique pas à d'autres clients, et ne les rapproche pas des données d'une autre Boutique sauf configuration de Réseau décidée par le Client — et dans ce cas, l'animateur réseau ne reçoit que des agrégats, et les responsables du réseau lisent les ventes des autres boutiques sans leur marge ni les fiches clients de la boutique.
Si l'Éditeur estime qu'une instruction enfreint la réglementation, il en informe le Client immédiatement. S'il est tenu par le droit de l'Union ou d'un État membre de procéder à un traitement non prévu, il en informe le Client avant de le faire, sauf si ce droit l'interdit.
4. Confidentialité
Les personnes autorisées à traiter les données chez l'Éditeur sont soumises à une obligation de confidentialité. Leur accès est limité à ce qu'exigent le support et l'exploitation du Service, et journalisé.
5. Sécurité
L'Éditeur met en œuvre les mesures techniques et organisationnelles décrites en annexe 1, adaptées au risque au sens de l'article 32 du RGPD. Il peut les faire évoluer à condition de ne pas réduire le niveau de protection.
6. Sous-traitants ultérieurs
Le Client autorise de manière générale l'Éditeur à recourir aux sous-traitants ultérieurs listés en annexe 2. L'Éditeur informe le Client par écrit de tout ajout ou remplacement au moins trente jours à l'avance. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut d'une solution acceptable dans ce délai, il peut résilier la partie du Service concernée, sans frais.
L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord, et reste responsable envers le Client de leur exécution.
Ne sont pas des sous-traitants ultérieurs de l'Éditeur les prestataires que le Client choisit et relie lui-même au Service sous son propre contrat, notamment un logiciel de caisse tiers, un terminal de paiement ou sa banque.
7. Droits des personnes
Le Service fournit au Client les moyens de répondre aux demandes des personnes : consulter et exporter une fiche, la rectifier, enregistrer une opposition aux messages commerciaux, anonymiser un client. Si l'Éditeur reçoit directement une demande, il la transmet au Client sans délai et n'y répond pas lui-même, sauf instruction du Client. Il aide le Client, dans la mesure du possible, à s'acquitter de ces obligations.
8. Violations de données
L'Éditeur notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, avec les informations prévues à l'article 33 du RGPD dont il dispose, complétées au fil de l'enquête. Il prend les mesures nécessaires pour en limiter les conséquences et assiste le Client pour la notification à la CNIL et, le cas échéant, l'information des personnes concernées.
9. Fin du contrat
À la fin du contrat, l'Éditeur restitue au Client, à sa demande, l'ensemble des données dans un format ouvert, puis les supprime ainsi que leurs copies au plus tard trois mois après la fin du contrat, les sauvegardes s'effaçant au terme de leur cycle de rotation. Il ne conserve que ce que le droit de l'Union ou d'un État membre l'oblige à garder, pour la durée prescrite. Il justifie de la suppression sur demande.
10. Assistance et audit
L'Éditeur aide le Client à réaliser une analyse d'impact et, le cas échéant, la consultation préalable de la CNIL, en lui fournissant les informations dont il dispose. Il met à sa disposition les informations nécessaires pour démontrer le respect du présent accord.
Le Client peut faire réaliser un audit, une fois par an au plus, sauf violation de données, sur préavis écrit de trente jours, par un auditeur indépendant tenu au secret et qui n'est pas un concurrent de l'Éditeur. L'audit se déroule sans perturber le Service ni exposer les données des autres clients ; ses frais sont à la charge du Client.
11. Transferts hors de l'Union européenne
Les données sont hébergées dans l'Union européenne. Aucun transfert vers un pays tiers n'a lieu sans garanties appropriées au sens du chapitre V du RGPD : décision d'adéquation, dont le Data Privacy Framework pour les sociétés américaines qui y ont adhéré, ou clauses contractuelles types de la Commission européenne.
12. Obligations du Client
Le Client, responsable de traitement, garantit qu'il dispose d'une base légale pour chaque traitement qu'il confie à l'Éditeur, qu'il informe les personnes concernées, qu'il recueille les consentements requis — notamment pour les SMS et e-mails commerciaux et pour la carte de fidélité dématérialisée — et qu'il tient son registre des activités de traitement.
Annexe 1 — Mesures de sécurité
- Chiffrement : tous les échanges passent en HTTPS ; les secrets d'intégration et les clés d'accès aux services tiers sont chiffrés en base ; les mots de passe et codes PIN ne sont conservés que sous forme d'empreinte.
- Cloisonnement : les données de chaque Boutique sont isolées par la base de données elle-même (sécurité au niveau des lignes), entre clients comme entre les Boutiques d'un même Réseau. Le démarrage du serveur vérifie que ce cloisonnement est effectivement en vigueur.
- Contrôle d'accès : comptes nominatifs, rôles et permissions par Boutique, relus par le serveur à chaque requête ; codes PIN pour la caisse ; connexion par fournisseur d'identité possible ; console de l'Éditeur limitée aux informations d'abonnement, sans accès aux clients ni aux ventes.
- Traçabilité : journal d'audit des actes sensibles, consultable par le Client ; journalisation de chaque accès de l'Éditeur à travers les clients.
- Intégrité : registre des ventes inaltérable et scellé ; justificatifs scellés par une empreinte horodatée ; aucun solde de stock ou de fidélité ne s'édite, il ne bouge que par un mouvement daté et motivé.
- Disponibilité : sauvegardes régulières de la base, de la clé maître et des archives en trois emplacements distincts ; procédure de restauration écrite et rejouée par un test automatisé ; caisse capable d'encaisser hors connexion.
- Minimisation : l'animateur réseau ne reçoit que des agrégats, jamais une fiche client nominative ; les rapports techniques contenant des données personnelles sont effacés après usage ; les numéros de carte bancaire ne sont jamais enregistrés.
- Développement : aucun test ne joint un service réel ni des données réelles ; les évolutions sont relues et testées avant mise en production.
Annexe 2 — Sous-traitants ultérieurs
Les prestataires marqués « si activé » n'interviennent que lorsque le Client active la fonction correspondante.
| Prestataire | Rôle | Localisation des données | Garanties |
|---|---|---|---|
| Scaleway SAS, Paris (France) | Hébergement des serveurs, de la base de données et des sauvegardes | Union européenne | Contrat article 28 |
| Amazon Web Services EMEA SARL, Luxembourg — service Amazon SES | Envoi des e-mails transactionnels et des e-mails de campagne | Union européenne (région de Paris) | Contrat article 28 ; groupe établi aux États-Unis : Data Privacy Framework et clauses contractuelles types |
| OVH SAS, Roubaix (France) | Envoi des SMS de campagne, si activé | Union européenne | Contrat article 28 |
| Mistral AI, Paris (France) | Lecture automatique des factures fournisseurs et des justificatifs de dépense, si activé | Union européenne | Contrat article 28 |
| Powens, Paris (France) | Synchronisation des comptes bancaires professionnels, si activé | Union européenne | Contrat article 28 ; établissement agréé par l'ACPR pour le service d'information sur les comptes |
Cartes de fidélité dans le téléphone
Lorsque le Client propose la carte de fidélité dématérialisée et qu'un porteur l'ajoute à son téléphone, les données nécessaires à l'affichage de la carte (numéro et code de la carte, solde, nom de la Boutique et, si le Client le prévoit, prénom du porteur) sont transmises à Apple (Apple Wallet) ou à Google (Google Wallet), puis mises à jour au fil des achats. Ces sociétés, établies ou rattachées aux États-Unis et adhérentes au Data Privacy Framework, fournissent l'application Wallet au porteur sous leurs propres conditions. Aucun historique d'achat ni aucune coordonnée ne leur est transmis.