Contrat de sous-traitance des données

Le présent contrat lie le Commerçant, responsable de traitement, et [À compléter : raison sociale], éditeur de MyCadeau.io, sous-traitant au sens de l'article 28 du Règlement général sur la protection des données (RGPD). Il fait partie des conditions générales et s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression des données.

• Finalités : organiser le jeu et remettre les lots ; tenir la carte de fidélité ; proposer de laisser un avis Google ; envoyer les campagnes d'emails et de SMS aux Clients qui y ont consenti ; produire les statistiques du Commerçant.
• Personnes concernées : les Clients du Commerçant qui participent au jeu ou détiennent sa carte de fidélité.
• Données : prénom, nom, email ou téléphone, date d'anniversaire si le Client la donne, consentement marketing et sa date, participations, lots, passages en caisse, identifiant technique haché de l'appareil. Aucune donnée sensible, aucune adresse IP conservée.
• Durée : 3 ans au plus après le dernier échange du Client avec l'établissement, ou jusqu'à sa suppression par le Commerçant.

L'Éditeur s'engage à :

• ne traiter les données que sur instruction documentée du Commerçant (les réglages de son espace valent instruction), et à l'informer si une instruction lui paraît contraire au RGPD ;
• ne jamais utiliser les données des Clients pour son propre compte, ni les vendre ou les céder ;
• garantir la confidentialité des données, y compris par les personnes autorisées à y accéder ;
• mettre en œuvre des mesures de sécurité adaptées : chiffrement des échanges, cloisonnement des données de chaque Commerçant au niveau de la base, accès restreints et journalisés, sauvegardes, limitation des tentatives ;
• aider le Commerçant à répondre aux demandes des Clients (accès, rectification, effacement, opposition) : le Commerçant peut supprimer un contact depuis son espace, et chaque email ou SMS comporte un lien de désinscription ;
• notifier au Commerçant toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, pour lui permettre de prévenir la CNIL dans le délai de 72 heures ;
• mettre à disposition les informations nécessaires pour démontrer le respect du présent contrat, et permettre un audit raisonnable, à la charge du Commerçant, sur préavis de 30 jours.

Le Commerçant autorise l'Éditeur à faire appel aux prestataires suivants, liés par des obligations équivalentes :

• Supabase Inc.

  Base de données, comptes et fichiers · [À compléter : région d'hébergement de la base Supabase, par ex. Francfort (UE)]

• Railway Corp.

  Hébergement de l'application · Selon la région du service

• Stripe Payments Europe Ltd.

  Paiement des abonnements (données du commerçant uniquement) · Union européenne

• Resend Inc.

  Envoi des emails · États-Unis

• Sendinblue SAS (Brevo)

  Envoi des SMS · France

• Apple Inc. et Google LLC

  Cartes de fidélité Wallet et leurs notifications · États-Unis

Les transferts hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données UE–États-Unis. L'Éditeur informe le Commerçant de tout changement de prestataire au moins 30 jours à l'avance ; le Commerçant peut s'y opposer en résiliant son abonnement. [À vérifier : localisation exacte de chaque prestataire et garanties de transfert]

Avant la fin de son abonnement, le Commerçant peut exporter ses contacts consentants depuis son espace. Les données de l'établissement sont supprimées [À valider : 90] jours après la fin de l'abonnement, sauf obligation légale de conservation.

Pour toute question relative aux données : [À compléter : email de contact].