Contrat de sous-traitance (DPA)
Dernière mise à jour :
Ce contrat, annexé aux CGV et CGU commerçants, encadre le traitement des données personnelles des clients finaux que Fidpop (le « Sous-traitant ») réalise pour le compte du commerce abonné (le « Responsable de traitement »), conformément à l’article 28 du RGPD.
1. Objet, durée et nature du traitement
| Objet | Fourniture du service de cartes de fidélité Fidpop. |
|---|---|
| Durée | Durée de l’abonnement, puis 30 jours pour permettre l’export, avant suppression. |
| Opérations | Collecte via le formulaire d’inscription, hébergement, consultation, mise à jour, envoi de notifications et d’emails, statistiques, export, anonymisation, suppression. |
| Finalités | Gestion du programme de fidélité ; envoi d’offres aux clients qui l’ont accepté ; statistiques de fréquentation. |
| Personnes concernées | Clients finaux du commerce inscrits au programme ; pour les opérations de caisse, l’employé qui les a enregistrées. |
| Données | Prénom, téléphone ; nom, email, jour et mois d’anniversaire s’ils sont donnés ; historique des passages, tampons, points et récompenses ; consentements ; abonnements aux notifications. |
| Données sensibles | Aucune. Le Responsable de traitement s’engage à n’en saisir aucune dans les motifs de correction ou les messages. |
2. Obligations du Sous-traitant
- Traiter les données uniquement sur instruction documentée du Responsable de traitement (paramétrage du service, CGV, présent contrat), et l’informer si une instruction lui paraît contraire au RGPD.
- Garantir la confidentialité des données : seules les personnes habilitées y accèdent, sous engagement de confidentialité.
- Mettre en œuvre les mesures de sécurité décrites à l’article 4.
- Aider le Responsable de traitement à répondre aux demandes d’exercice des droits. Sur sa carte, le client peut télécharger ses données, refuser les offres et supprimer ses données. Dans l’Espace gérant, le gérant peut rectifier une fiche, supprimer les données d’un client et exporter la liste de ses clients.
- Aider le Responsable de traitement pour les analyses d’impact et la consultation préalable de la CNIL, si elles sont nécessaires.
- Tenir un registre des traitements effectués pour le compte du Responsable de traitement.
3. Sous-traitants ultérieurs
Le Responsable de traitement autorise le recours aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation et garanties |
|---|---|---|
| Hostinger International Ltd (Chypre) | Hébergement du service, de la base de données et des sauvegardes quotidiennes | Serveurs en France |
| Cloudflare, Inc. (États-Unis) | Protection et accélération du site : tout le trafic passe par Cloudflare (adresse IP, pages demandées, données des formulaires, chiffrées en transit) | Union européenne et États-Unis (cadre de protection des données UE–États-Unis et clauses contractuelles types) |
| Cloudflare, Inc. (R2) | Copie des sauvegardes hors du serveur, chiffrées par Fidpop avant l’envoi : Cloudflare ne peut pas les lire | Stockage limité à l’Union européenne |
| Sendinblue SAS (Brevo), Paris | Envoi des emails aux clients qui ont donné leur email (adresse, prénom, contenu de l’email) | Union européenne |
| Apple, Google, Mozilla, Microsoft | Acheminement des notifications de la carte, si le client les active (message chiffré de bout en bout, sans donnée d’identification) | Union européenne et États-Unis (cadre de protection des données UE–États-Unis ou clauses contractuelles types) |
| Apple (Apple Wallet) | Notifications de mise à jour de la carte, si le client l’ajoute à Apple Wallet (jeton technique de l’iPhone ; la carte reste sur l’iPhone) | Union européenne et États-Unis (cadre de protection des données UE–États-Unis) |
| Google (Google Wallet) | Affichage et mise à jour de la carte dans Google Wallet, si le client l’y ajoute : prénom et initiale, numéro, lien et solde de la carte, messages du commerce | Union européenne et États-Unis (clauses contractuelles types et cadre de protection des données UE–États-Unis) |
Fidpop informe le Responsable de traitement de tout ajout ou remplacement par email au moins 30 jours à l’avance ; celui-ci peut s’y opposer en résiliant son abonnement. Fidpop impose à chaque sous-traitant ultérieur des obligations équivalentes.
4. Mesures de sécurité
- Chiffrement des échanges (HTTPS, HSTS) et en-têtes de sécurité stricts.
- Numéros de téléphone chiffrés en base ; recherche par empreinte à clé secrète.
- Cloisonnement des données par commerce, vérifié par des tests automatisés.
- Mots de passe hachés (Argon2id), double authentification (code par email ou application) obligatoire pour l’administration et, selon le réglage choisi, pour les gérants (activée par défaut), limitation des tentatives de connexion, déconnexion à distance des appareils connectés.
- Droits par rôle (gérant, employé) ; l’employé ne voit que le Comptoir.
- Journal des actions sensibles conservé 12 mois ; historique des opérations de fidélité non modifiable.
- Sauvegardes quotidiennes chiffrées (AES-256), conservées 14 jours sur le serveur et 30 jours hors du serveur (copie chiffrée avant l’envoi).
- Accès de l’équipe Fidpop à l’Espace gérant d’un commerce en lecture seule, limité à 30 minutes et journalisé.
- Mode assistance, seulement sur autorisation du gérant : l’équipe Fidpop agit dans l’Espace gérant pendant la durée choisie (1 heure, 24 heures ou 7 jours), retirable à tout moment. Chaque action est journalisée et un résumé est envoyé au gérant. Restent exclus : mot de passe, double authentification et email du gérant ; moyen de paiement et abonnement ; équipe et connexion d’un téléphone au Comptoir ; export de la liste des clients ; demande au support.
5. Violation de données
Fidpop notifie au Responsable de traitement toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations utiles pour lui permettre, le cas échéant, de notifier la CNIL sous 72 heures et d’informer les personnes concernées.
6. Fin du contrat
À la fin de l’abonnement, le Responsable de traitement peut exporter ses données pendant 30 jours. Fidpop supprime ensuite l’ensemble des données, copies comprises ; les sauvegardes sont effacées au fil de leur rotation (14 jours sur le serveur, 30 jours hors du serveur). Sur demande, Fidpop confirme la suppression par écrit.
7. Audit
Fidpop met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations. Un audit sur pièces peut être demandé une fois par an, avec un préavis de 30 jours, à la charge du demandeur. Si ces informations ne suffisent pas, le Responsable de traitement peut faire réaliser, une fois par an et avec un préavis de 30 jours, un audit sur place par un auditeur indépendant tenu au secret, à ses frais.
8. Obligations du Responsable de traitement
- Informer ses clients (politique de confidentialité pré-remplie, à compléter dans l’Espace gérant).
- Ne pas envoyer d’offres aux clients qui ne les ont pas acceptées.
- Gérer les accès de son équipe et activer la double authentification.