Contrat de sous-traitance des données personnelles

1. Parties et objet

Le présent contrat est conclu entre le commerçant, responsable du traitement, et Romain Delanne, entreprise individuelle (EI), immatriculée sous le numéro 911446987, dont le siège est situé 8 rue Girard, 94700 Maisons-Alfort, joignable à contact@fidly.cards, sous-traitant, au sens de l'article 28 du règlement (UE) 2016/679. Il encadre le traitement, par le sous-traitant et pour le compte du commerçant, des données personnelles des clients du programme de fidélité de l'établissement.

2. Nature, finalité et durée

Nature : hébergement, enregistrement, mise à jour et distribution des cartes de fidélité ; tenue du registre des tampons et récompenses ; envoi des mises à jour vers les portefeuilles numériques. Finalité : la gestion du programme de fidélité de l'établissement. Durée : celle du contrat de service Fidly entre les parties.

3. Données et personnes concernées

Personnes concernées : les clients de l'établissement qui adhèrent à son programme. Données traitées : un identifiant de carte opaque, le nombre de tampons et l'historique des passages et des récompenses, un identifiant de carte du portefeuille numérique, le cas échéant une clé publique de protection de carte, l'état du consentement aux offres, et, uniquement si le client les a donnés, un prénom et un numéro de téléphone. Une empreinte d'adresse IP est conservée une heure pour la protection contre les abus.

L'adhésion au programme ne demande aucune donnée personnelle : la carte est anonyme par défaut.

4. Instructions du responsable du traitement

Le sous-traitant ne traite les données que sur instruction documentée du commerçant, laquelle résulte de la configuration du service par le commerçant et du présent contrat. Il informe le commerçant si une instruction lui paraît contraire à la réglementation.

5. Confidentialité et sécurité

Le sous-traitant s'engage à la confidentialité des données et s'assure que les personnes autorisées à les traiter y sont tenues. Il met en œuvre des mesures techniques et organisationnelles adaptées : isolation des données de chaque établissement au niveau de la base de données, chiffrement des échanges, stockage des jetons et secrets sous forme hachée, journal d'audit des opérations sensibles, sauvegardes.

6. Sous-traitants ultérieurs et autres destinataires

Le commerçant autorise le recours aux sous-traitants ultérieurs suivants, nécessaires au service : Supabase (base de données et authentification, hébergée sur Amazon Web Services, région Union européenne, Irlande) ; Vercel (hébergement de l'application) ; Apple (distribution et mise à jour des cartes dans le portefeuille numérique des clients qui l'utilisent) ; Resend (envoi des courriels de service).

Google Wallet : lorsqu'un client demande à ajouter sa carte à Google Wallet, le sous-traitant transmet à Google le contenu de cette carte, puis chacune de ses mises à jour tant que la carte existe, même si le client l'a retirée de son portefeuille : nom et logo du commerce, position de ses établissements, images de la carte, nombre de tampons, récompense, date du dernier passage, offre et messages du commerce, choix du client de recevoir ou non les offres, liens de la carte et identifiant opaque de son code. Aucun prénom ni numéro de téléphone n'est transmis. Le commerçant donne instruction au sous-traitant de procéder à cette transmission à la demande du client.

Google conserve la carte pour l'afficher au client. Ni l'éditeur ni le commerçant ne peuvent la supprimer chez Google : seul le client peut la retirer de son portefeuille. Une carte fermée (fusion, remplacement, fin du programme) y est rendue inactive, sans solde ni code.

Google n'agit pas comme sous-traitant. Ses conditions (conditions d'utilisation des API Google, conclues avec Google LLC, États-Unis, et conditions de l'API Google Wallet) en font un responsable de traitement distinct, qui applique ses propres règles de confidentialité ; pour les données européennes, ce responsable est Google Ireland Limited (Dublin, Irlande). Google peut traiter ces données hors de l'Union européenne, notamment aux États-Unis : Google LLC adhère au cadre de protection des données UE–États-Unis, et les clauses contractuelles types s'appliquent à défaut.

Anthropic : l'éditeur fait vérifier par Anthropic Ireland, Limited (Dublin, Irlande), avec son modèle d'intelligence artificielle Claude, les images que le commerçant ajoute à sa carte (logo, photo de fond, tampon), avant leur publication. Il le fait pour son propre compte, afin de protéger le service, et non pour celui du commerçant ; cette vérification est décrite dans la politique de confidentialité. Seules ces images, qui peuvent montrer des personnes, sont transmises à Anthropic : jamais les données des clients. Elles sont traitées hors de l'Union européenne, notamment aux États-Unis, en vertu des clauses contractuelles types de la Commission européenne prévues par le contrat de traitement des données d'Anthropic. Anthropic ne les utilise pas pour entraîner ses modèles et les efface dans les trente jours, sauf si ses systèmes les signalent comme contraires à ses règles d'utilisation (conservation jusqu'à deux ans) ou si la loi l'y oblige.

Tout changement dans cette liste est notifié au commerçant, qui peut s'y opposer en résiliant le service.

7. Assistance et droits des personnes

Le sous-traitant aide le commerçant à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, opposition) : une carte et les données qui lui sont liées peuvent être supprimées à la demande du commerçant. Il l'assiste, dans la mesure du raisonnable, pour la sécurité, la notification des violations de données et les analyses d'impact.

Le sous-traitant notifie au commerçant toute violation de données personnelles le concernant dans les meilleurs délais après en avoir eu connaissance.

8. Sort des données à la fin du contrat

À la fermeture du compte de l'enseigne, les cartes des clients sont désactivées, sans solde ni code. Les données du programme sont supprimées dans un délai de trente jours après la fin du contrat, sauf obligation légale de conservation ; sur demande préalable du commerçant, un export lui est remis avant suppression.

9. Audit

Le sous-traitant met à disposition du commerçant les informations nécessaires pour démontrer le respect de ses obligations et contribue aux audits raisonnables, avec un préavis et dans le respect de la confidentialité des autres établissements.