Accord de traitement des données

1. Parties

• Le responsable du traitement : le commerçant titulaire du compte (« le Commerçant »).
• Le sous-traitant : [Société, n° BCE, adresse], éditeur d’enko (« le Prestataire »).

2. Objet et durée

Le Prestataire traite des données personnelles pour le compte du Commerçant afin de fournir le service de carte de fidélité décrit dans les conditions d’utilisation. L’accord s’applique pendant toute la durée d’utilisation du service, puis jusqu’à la suppression ou l’anonymisation des données prévue à l’article 11.

3. Nature et finalités du traitement

• Inscription des clients au programme de fidélité et gestion de leur carte (visites, tampons, récompenses).
• Mise à jour des cartes Apple Wallet et Google Wallet des clients qui les ont ajoutées.
• Envoi d’offres aux seuls clients ayant donné leur consentement.
• Statistiques destinées au Commerçant.
• Sécurité du service et prévention des abus.

4. Données et personnes concernées

Personnes concernées : les clients du Commerçant inscrits à son programme de fidélité.

Données : prénom ; téléphone ou e-mail ; consentement aux offres et sa date ; historique des visites, tampons et récompenses (avec, le cas échéant, le montant de l’addition) ; code de carte ; identifiants techniques Wallet ; empreinte irréversible de l’adresse IP lors de l’inscription.

Aucune catégorie particulière de données (article 9 du RGPD) n’est traitée.

5. Obligations du Prestataire

Le Prestataire s’engage à :

• ne traiter les données que sur instruction documentée du Commerçant, ces conditions et l’usage du service valant instructions, et à l’informer si une instruction lui paraît contraire au RGPD ;
• veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
• mettre en œuvre les mesures de sécurité prévues à l’article 32 du RGPD (article 6 ci-dessous) ;
• ne recourir à un autre sous-traitant qu’aux conditions de l’article 7 ;
• aider le Commerçant à répondre aux demandes d’exercice des droits des personnes ;
• aider le Commerçant à respecter ses obligations de sécurité, de notification des violations et, le cas échéant, d’analyse d’impact ;
• supprimer ou anonymiser les données au terme du service (article 11) ;
• mettre à la disposition du Commerçant les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables, annoncés à l’avance et à ses frais.

6. Mesures de sécurité

• Données hébergées dans l’Union européenne.
• Chiffrement des échanges (HTTPS).
• Isolation stricte des données de chaque commerce au niveau de la base de données.
• Accès limité selon le rôle de chaque membre de l’équipe du Commerçant.
• Historique des opérations non modifiable : toute correction est une nouvelle opération, avec son motif et son auteur.
• Clés d’accès serveur jamais exposées aux navigateurs ni aux applications.
• Adresse IP jamais enregistrée en clair.
• Sauvegardes : [modalités à confirmer].

7. Sous-traitants ultérieurs

Le Commerçant autorise le Prestataire à recourir aux sous-traitants suivants :

• Supabase : base de données et authentification, région Union européenne ;
• Vercel : hébergement du site et des pages des clients.

Lorsqu’un client ajoute sa carte à Apple Wallet ou Google Wallet, le contenu de la carte est transmis à Apple ou à Google pour être affiché sur son téléphone. [Qualification juridique de ce transfert à préciser.]

Le Prestataire informe le Commerçant de tout ajout ou remplacement d’un sous-traitant ultérieur ; le Commerçant peut s’y opposer pour un motif légitime, et à défaut d’accord, supprimer son compte. Le Prestataire impose à ses sous-traitants des obligations équivalentes à celles du présent accord.

8. Transferts hors de l’Union européenne

Si un sous-traitant ultérieur traite des données hors de l’Espace économique européen, le transfert est encadré par une garantie prévue par le RGPD (décision d’adéquation ou clauses contractuelles types de la Commission européenne).

9. Violations de données

Le Prestataire notifie au Commerçant toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance [délai proposé], avec les informations utiles pour permettre au Commerçant, le cas échéant, de notifier l’Autorité de protection des données et d’informer les personnes concernées.

10. Droits des personnes

Chaque client peut supprimer lui-même ses données depuis sa carte : ses données personnelles sont alors effacées et sa carte désactivée ; un historique anonyme des visites est conservé pour les statistiques du Commerçant. Le Prestataire transmet sans délai au Commerçant toute autre demande qu’il recevrait directement.

11. Fin du service

À la suppression du compte du Commerçant, les données personnelles de ses clients sont anonymisées et les cartes désactivées. À la demande du Commerçant formulée avant la suppression, le Prestataire lui remet une copie des données de ses clients dans un format courant [modalités à préciser]. Seuls subsistent un historique anonyme des opérations et les données que la loi impose de conserver.

12. Obligations du Commerçant

Le Commerçant s’assure de disposer d’une base légale pour chaque traitement, informe ses clients (notamment par la politique de confidentialité mise à sa disposition), ne sollicite le consentement aux offres que de manière libre et éclairée, et n’utilise les données qu’aux fins du programme de fidélité.

13. Droit applicable

Cet accord est soumis au droit belge. Il prévaut sur les conditions d’utilisation pour tout ce qui concerne la protection des données personnelles.