Politique de confidentialité et accord de sous-traitance.

1. Qui traite quoi

Fidelova intervient dans deux rôles distincts, qu'il est essentiel de ne pas confondre :

Autrement dit : le fichier client appartient au Commerçant, qui décide de ce qu'il en fait. Fidelova ne fait que l'héberger et le traiter selon ses instructions. Les conditions de cette sous-traitance figurent en Partie II, qui a valeur contractuelle.

Responsable de traitement pour les données de compte :
Jeremy Bertec, 20 chemin de Tournemire, 81100 Castres — contact@fidelova.fr

2. Données traitées

Données du compte commerçant
Nom du commerce, nom et prénom, adresse électronique, numéro de téléphone (facultatif), mot de passe (stocké sous forme de condensat, jamais en clair), historique d'abonnement et de facturation, journaux de connexion.
Finalités : fourniture du service, facturation, sécurité, assistance.
Bases légales : exécution du contrat ; obligation légale pour les données comptables ; intérêt légitime pour la sécurité.

Données des clients finaux
Nom ou prénom, numéro de téléphone, adresse électronique (facultative), solde de points ou tampons, historique des passages et récompenses, consentement aux communications commerciales, statut de désinscription SMS.
Finalité : faire fonctionner le programme de fidélité du Commerçant.
Base légale : déterminée par le Commerçant, responsable de ce traitement — en pratique son intérêt légitime pour la tenue du programme, et le consentement pour la prospection commerciale.

Données de navigation
Le site vitrine fidelova.fr ne dépose aucun cookie et ne charge aucun traceur tiers. L'application utilise uniquement les dispositifs strictement nécessaires au maintien de la session.

3. Durées de conservation

4. Destinataires et sous-traitants ultérieurs

Aucune donnée n'est vendue, louée ni cédée. Elles sont accessibles à l'éditeur et aux prestataires techniques suivants, agissant comme sous-traitants ultérieurs :

Aucune donnée de carte bancaire ne transite par les serveurs de Fidelova ni n'y est stockée : la saisie s'effectue directement auprès de Stripe.

5. Sécurité

Chiffrement des communications en TLS, mots de passe stockés sous forme de condensat bcrypt, cloisonnement strict entre commerces (un commerçant ne peut jamais accéder aux clients d'un autre), limitation du nombre de tentatives sur les points d'entrée sensibles, accès à la base de données restreint au compte de service applicatif, journalisation des accès.

6. Vos droits

Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

Clients finaux d'un commerce : adressez votre demande au commerçant chez qui vous avez souscrit la carte — c'est lui le responsable de vos données. Si vous ne parvenez pas à l'identifier ou à le joindre, écrivez à contact@fidelova.fr : nous transmettrons.

Désinscription des SMS : répondez STOP à tout message reçu. Cette désinscription est immédiate et vaut pour l'ensemble des commerces utilisant Fidelova.

Commerçants : contact@fidelova.fr.

Réponse sous un mois. Réclamation possible auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Article 1 — Objet

Le présent accord définit les conditions dans lesquelles Fidelova, en qualité de sous-traitant, traite pour le compte du Commerçant, responsable de traitement, les données personnelles des clients finaux de ce dernier.

Article 2 — Description du traitement

Nature et finalité : collecte, enregistrement, conservation, consultation, utilisation et effacement des données, aux fins de faire fonctionner le programme de fidélité et d'adresser aux clients finaux les messages décidés par le Commerçant.

Durée : durée de l'abonnement, augmentée de la période de restitution prévue à l'article 9.

Catégories de personnes concernées : clients et prospects du Commerçant ayant adhéré à son programme de fidélité.

Catégories de données : identité (nom, prénom), coordonnées (téléphone, adresse électronique), données d'activité (passages, points ou tampons, récompenses), consentements et statut de désinscription.

Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée. Le Commerçant s'interdit d'en introduire dans les champs libres du service.

Article 3 — Obligations de Fidelova

Fidelova s'engage à :

1. ne traiter les données que sur instruction documentée du Commerçant, l'utilisation du service valant instruction ;
2. informer le Commerçant si une instruction lui paraît constituer une violation du RGPD ;
3. garantir la confidentialité des données et n'y donner accès qu'aux personnes ayant besoin d'en connaître, tenues à une obligation de confidentialité ;
4. mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 5 de la Partie I ;
5. ne procéder à aucun transfert hors de l'Union européenne autre que ceux listés en Partie I, section 4 ;
6. assister le Commerçant, dans la mesure du possible, pour répondre aux demandes d'exercice de droits, ainsi que pour ses obligations d'analyse d'impact et de sécurité ;
7. notifier au Commerçant toute violation de données le concernant dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, en lui fournissant les éléments nécessaires à sa propre notification à la CNIL ;
8. tenir un registre des traitements effectués pour le compte du Commerçant et le mettre à disposition sur demande ;
9. transmettre sans délai au Commerçant toute demande d'exercice de droits qu'elle recevrait directement d'un client final, sans y répondre elle-même ;
10. informer le Commerçant, dans la mesure où la loi le permet, de toute demande contraignante d'une autorité administrative ou judiciaire portant sur ses données, avant d'y déférer.

Article 4 — Obligations du Commerçant

Le Commerçant s'engage à :

1. disposer d'une base légale valable pour chaque traitement, et notamment recueillir le consentement préalable de ses clients avant tout envoi de message de prospection ;
2. informer ses clients du traitement de leurs données, de l'identité de Fidelova comme sous-traitant, et de leurs droits ;
3. documenter par écrit toute instruction particulière ;
4. répondre lui-même aux demandes d'exercice de droits de ses clients ;
5. veiller à la sécurité de ses identifiants d'accès.

Article 5 — Sous-traitants ultérieurs

Le Commerçant autorise Fidelova à recourir aux sous-traitants ultérieurs listés en Partie I, section 4.

Fidelova informe le Commerçant de tout ajout ou remplacement au moins trente (30) jours à l'avance, par courrier électronique. Le Commerçant peut s'y opposer pour un motif légitime et sérieux ; à défaut de solution, il peut résilier sans frais ni pénalité.

Fidelova impose à chaque sous-traitant ultérieur des obligations équivalentes aux présentes et demeure pleinement responsable de leur exécution.

Article 6 — Localisation

Les données sont hébergées dans l'Union européenne. Les prestataires établis hors de l'Union européenne listés en Partie I interviennent sur le fondement des clauses contractuelles types de la Commission européenne ou d'un mécanisme équivalent.

Article 7 — Audit

Fidelova met à la disposition du Commerçant toute information nécessaire pour démontrer le respect des présentes.

Le Commerçant peut réaliser un audit, ou le faire réaliser par un tiers indépendant qu'il mandate, à raison d'une fois par an au maximum hors incident, sur préavis écrit de trente (30) jours, pendant les heures ouvrables, sans perturber l'exploitation et dans le respect de la confidentialité des données des autres clients. Les frais sont à la charge du Commerçant, sauf si l'audit révèle un manquement substantiel.

Article 8 — Violation de données

Toute notification au titre de l'article 3.7 précise, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, et les mesures prises ou proposées.

Article 9 — Sort des données en fin de contrat

À la fin du contrat, le Commerçant dispose d'un délai de trente (30) jours pour demander la restitution des données de ses clients dans un format structuré, couramment utilisé et lisible par machine.

Au terme d'un délai de quatre-vingt-dix (90) jours suivant la fin du contrat, Fidelova supprime l'ensemble des données concernées, y compris les copies existantes, à l'exception des données de désinscription SMS, conservées pour garantir qu'une personne désinscrite ne soit pas re-sollicitée, et des données dont la conservation est imposée par la loi.

Article 10 — Responsabilité

Chaque partie répond des dommages causés par le traitement lorsqu'elle n'a pas respecté les obligations du RGPD qui lui incombent ou a agi en dehors des instructions licites de l'autre partie, dans les conditions de l'article 82 du RGPD.