Contrat de sous-traitance (DPA)

Le présent contrat est conclu entre l’entreprise qui utilise Fidelia (le « responsable du traitement », « vous ») et Metadia Ltd, société immatriculée en Angleterre et au pays de Galles sous le numéro 14573833, dont le siège social est situé 71-75 Shelton Street, Covent Garden, Londres WC2H 9JQ, Royaume-Uni (le « sous-traitant », « Fidelia »). Il fait partie intégrante de nos conditions générales et s’applique automatiquement tant que vous utilisez Fidelia. En cas de contradiction entre le présent contrat et les conditions générales en matière de protection des données à caractère personnel, le présent contrat prévaut.

Les termes tels que données à caractère personnel, traitement, responsable du traitement, sous-traitant, sous-traitant ultérieur, personne concernée et violation de données à caractère personnel ont le sens que leur donne le RGPD.

Fidelia traite des données à caractère personnel pour faire fonctionner votre programme de fidélité numérique : permettre aux clients d’y adhérer, créer et mettre à jour leurs cartes dans Apple Wallet, Google Wallet ou sur le web, enregistrer les tampons, points, soldes et récompenses, envoyer les messages que vous programmez, et mettre à votre disposition le tableau de bord, les statistiques et l’export. Le traitement dure aussi longtemps que vous utilisez Fidelia, augmenté du délai nécessaire à la suppression des données après la fin du contrat (voir « Fin du contrat »).

Fidelia ne traite pas ces données pour ses propres finalités et ne les vend pas, ne les loue pas et ne les utilise pas à des fins publicitaires.

Personnes concernées : vos clients qui adhèrent à votre programme de fidélité (les « titulaires de carte ») et les membres de votre personnel, dans la mesure où leurs actions sont enregistrées dans votre historique des tampons.

• Identification : prénom et, si le titulaire de carte la communique, adresse e-mail.
• Préférences et consentements : langue, date d’acceptation des conditions, consentement à recevoir des actualités.
• Données de la carte : numéro de carte aléatoire, type de portefeuille, identifiants techniques des appareils Apple sur lesquels la carte est installée, statut de la carte.
• Historique de fidélité : tampons, points, soldes, récompenses, visites et niveaux VIP, avec la date, l’heure, l’établissement et le membre du personnel de chaque opération, ainsi que les notes que vous ajoutez lors de la correction d’une carte.
• Messages : le contenu des messages que vous envoyez et les cartes auxquelles ils ont été remis.
• Sécurité : un hachage salé de l’adresse IP utilisée lors de l’adhésion, conservé pendant un jour.

Le service ne nécessite aucune catégorie particulière de données (telles que des données concernant la santé). Vous ne devez pas saisir de telles données dans Fidelia, par exemple dans les noms ou les notes de correction.

• Vous déterminez les finalités du traitement et veillez à ce qu’il repose sur une base juridique valable.
• Vous informez vos clients du traitement, par exemple au moyen d’un avis au comptoir ou sur votre site web et en renvoyant à notre politique de confidentialité.
• Vous n’envoyez des actualités qu’aux clients qui y ont consenti et veillez à l’exactitude des informations que vous saisissez.
• Vous donnez vos instructions au moyen des paramètres du tableau de bord ou par écrit à hello@fidelia.se. Votre utilisation de Fidelia conformément aux conditions générales constitue votre instruction documentée.

Fidelia s’engage à :

• ne traiter les données à caractère personnel que sur vos instructions documentées, y compris en ce qui concerne les transferts en dehors de l’EEE, à moins que la loi ne l’exige ; dans ce cas, nous vous en informerons au préalable, sauf si la loi l’interdit ;
• vous informer sans délai si nous estimons qu’une instruction constitue une violation de la réglementation relative à la protection des données ;
• veiller à ce que toutes les personnes chez Fidelia ayant accès aux données soient soumises à une obligation de confidentialité et n’y accèdent qu’en cas de nécessité ;
• appliquer les mesures de sécurité décrites dans le présent contrat ;
• vous aider, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées et à respecter vos obligations en matière de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable ;
• mettre à votre disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, et permettre la réalisation d’audits dans les conditions décrites ci-dessous.

• Hébergement dans l’Union européenne (base de données à Francfort, en Allemagne ; sites web en France).
• Chiffrement des données en transit (HTTPS/TLS) et au repos.
• Cloisonnement strict entre les entreprises au niveau de la base de données elle-même (sécurité au niveau des lignes), de sorte qu’une entreprise ne puisse jamais lire les données d’une autre.
• Accès fondé sur les rôles : les membres du personnel ne voient que les prénoms et la carte qu’ils scannent ; seuls les propriétaires et les gérants voient les adresses e-mail, l’historique et l’export.
• Numéros de carte aléatoires de 128 bits ; le code-barres ne contient que ce numéro.
• Un historique en ajout seul : les tampons et récompenses ne peuvent être ni modifiés ni supprimés, mais uniquement annulés par une nouvelle opération enregistrée.
• Mots de passe et codes PIN conservés sous forme de hachage ; secrets et clés de signature conservés en dehors du code source.
• Limitation du nombre de requêtes et délais d’attente contre les abus, sauvegardes régulières, et accès de notre équipe limité au support et à la maintenance, au moyen d’un compte individuel.

Nous pouvons mettre à jour ces mesures, à condition que le niveau global de protection ne diminue pas.

Vous accordez à Fidelia une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Chacun d’eux est lié par un contrat écrit imposant des obligations en matière de protection des données au moins équivalentes à celles du présent contrat, et Fidelia demeure pleinement responsable envers vous de l’exécution de leurs obligations. Les sous-traitants ultérieurs actuels sont :

• Supabase, Inc. : base de données, authentification, stockage de fichiers et fonctions serveur ; données hébergées dans l’UE (Francfort, Allemagne).
• o2switch SAS, France : hébergement des sites web et de l’application, et serveur de messagerie.
• Google Ireland Limited : cartes dans Google Wallet, pour les titulaires de carte qui l’utilisent.
• Apple Inc. et Apple Distribution International Ltd. : notifications de mise à jour des cartes dans Apple Wallet (jeton technique de notification uniquement), pour les titulaires de carte qui l’utilisent.
• Cloudflare, Inc. : service de noms de domaine et protection du réseau.

Stripe traite uniquement les données de paiement du commerçant, et non celles des titulaires de carte. Nous vous informerons par e-mail au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables pendant ce délai ; si nous ne parvenons pas à trouver ensemble une solution, vous pouvez mettre fin au contrat avant l’entrée en vigueur du changement.

Les données sont hébergées dans l’Union européenne. Lorsqu’un sous-traitant ultérieur est susceptible d’y accéder depuis un pays situé en dehors de l’Espace économique européen, Fidelia veille à ce que le transfert soit encadré par une décision d’adéquation, telle que le cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les entreprises certifiées, ou par les clauses contractuelles types de la Commission européenne, assorties de mesures supplémentaires si nécessaire.

Fidelia est exploitée par Metadia Ltd, établie au Royaume-Uni. L’accès de notre équipe aux données depuis le Royaume-Uni est couvert par la décision d’adéquation de la Commission européenne pour le Royaume-Uni.

Votre tableau de bord vous permet de consulter les données et l’historique d’un client, de corriger une carte et de supprimer un client. La suppression efface immédiatement le prénom et l’adresse e-mail, désactive toutes les cartes de ce client et ne conserve qu’un historique anonyme.

Si une personne concernée s’adresse directement à Fidelia, nous vous transmettons sa demande sans délai et n’y répondons pas nous-mêmes, sauf si vous nous le demandez. Si vous avez besoin d’une aide supplémentaire, par exemple pour un export, nous vous assistons dans un délai raisonnable.

Fidelia vous notifie toute violation de données à caractère personnel affectant vos données dans les meilleurs délais et, si possible, dans les 48 heures après en avoir pris connaissance. La notification décrit, dans la mesure où ces éléments sont connus, la nature de la violation, les données et le nombre de personnes concernées, les conséquences probables et les mesures prises ou envisagées. Nous vous tenons ensuite informé et vous aidons à notifier la violation à l’Autorité de protection des données (APD/GBA) et aux personnes concernées lorsque cela est requis.

Sur demande, nous vous fournissons les informations nécessaires pour vérifier que nous respectons le présent contrat, telles qu’une description de nos mesures et des certifications de nos sous-traitants ultérieurs. Si ces informations ne suffisent pas, vous pouvez faire réaliser un audit, au maximum une fois par an, moyennant un préavis d’au moins 30 jours, par un auditeur indépendant tenu à la confidentialité, pendant les heures de bureau et sans perturber le service. Les frais de l’audit sont à votre charge, sauf s’il révèle un manquement significatif de notre part. Les audits menés par une autorité de contrôle restent possibles en toutes circonstances.

Lorsque vous clôturez votre compte ou que le contrat prend fin, vous pouvez nous demander de vous restituer les données de vos clients dans un format courant (CSV). Nous les supprimons ensuite dans un délai de 30 jours, à moins que la loi ne nous impose de les conserver. Les sauvegardes sont écrasées dans les 30 jours qui suivent. Sur demande, nous confirmons la suppression par écrit.

Les cartes figurant dans les portefeuilles de vos clients sont désactivées lors de la suppression des données.

Les règles de responsabilité de nos conditions générales s’appliquent au présent contrat, sans limiter les droits que le RGPD confère aux personnes concernées. Le présent contrat est régi par le droit de l’Angleterre et du pays de Galles ; les tribunaux d’Angleterre et du pays de Galles ont une compétence exclusive. En cas de divergence entre les versions linguistiques du présent contrat, la version anglaise prévaut.