Accord de traitement des données

1.Rôles

1. 1.1Vous êtes le responsable de traitement des données personnelles de vos clients et de votre personnel. Vous décidez de proposer un programme de fidélité, ce qu'il collecte et ce que vous en faites.
2. 1.2Wivly est votre sous-traitant. Nous ne traitons ces données que pour vous fournir le service, selon vos instructions.
3. 1.3Lorsque nous décidons par nous-mêmes — les données de votre propre compte, les enregistrements de facturation, les journaux de sécurité, les statistiques agrégées de la plateforme — nous agissons en responsable de traitement, et notre notice de confidentialité l'explique séparément.
4. 1.4Aucune des parties n'est responsable conjoint du traitement avec l'autre s'agissant des données de vos clients.

2.Ce qui est traité, et pendant combien de temps

Objet et finalité : faire fonctionner le programme de fidélité, prépayé ou d'abonnement que vous avez configuré, y compris l'émission des cartes wallet, l'enregistrement des visites et récompenses, l'envoi d'offres sur la carte et les rapports qui vous sont destinés.

Durée : tant que votre compte est ouvert, plus la fenêtre d'export de 30 jours décrite dans les conditions générales.

Le service ne requiert aucune catégorie particulière de données (art. 9) et vous ne devez pas l'utiliser pour en stocker.

3.Nos instructions

1. 3.1Nous ne traitons les données personnelles que sur vos instructions documentées. Votre configuration du service, et le présent accord, constituent ces instructions.
2. 3.2Nous vous informerons si, à notre avis, une instruction enfreint le droit de la protection des données, et pourrons suspendre ce traitement jusqu'à résolution.
3. 3.3Si la loi nous impose un traitement allant au-delà de vos instructions, nous vous en informerons au préalable, sauf si la loi interdit cette information.
4. 3.4Nous ne vendons jamais les données de vos clients, ne les utilisons jamais pour notre propre publicité, n'utilisons jamais les données d'un commerçant au profit d'un autre et ne les utilisons jamais pour entraîner des modèles.

4.Confidentialité

Toute personne autorisée à traiter vos données est soumise à une obligation de confidentialité, formée à ses responsabilités et n'y accède que si son travail l'exige. L'accès aux comptes commerçants par nos ingénieurs support est limité dans le temps, en lecture seule par défaut, et consigné dans un journal d'audit.

5.Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées au titre de l'art. 32. Aujourd'hui, elles comprennent :

• Des données stockées dans l'Union européenne, l'application et sa base de données étant hébergées en Irlande et à Dublin.
• Le chiffrement en transit de tout le trafic et le chiffrement au repos au niveau de la base de données.
• Une isolation stricte des locataires : chaque requête est cantonnée à une organisation, et les lectures inter-organisations sont confinées à un module unique et audité, réservé à l'administration de la plateforme.
• Les codes PIN du personnel et des boutiques stockés sous forme d'empreintes scrypt salées, jamais en clair.
• L'identité client portée par un jeton signé httpOnly, jamais exposé au JavaScript de la page.
• Aucune publicité ni pistage inter-sites nulle part. La seule mesure est un comptage des pages vues sans cookies sur nos propres pages vitrines ; elle ne s'exécute jamais sur une surface où figurent les données de vos clients.
• Un accès au moindre privilège pour notre propre équipe, l'accès support aux comptes commerçants étant journalisé comme indiqué ci-dessus.
• Des mises à jour régulières des dépendances et des tests automatisés couvrant l'authentification, les limites d'offre et l'intégrité des cartes.

Les mesures de sécurité évoluent. Nous pouvons les modifier, mais pas d'une manière qui réduirait sensiblement la protection des données de vos clients.

6.Sous-traitants ultérieurs

Vous donnez une autorisation générale pour que nous fassions appel à des sous-traitants ultérieurs. Nous leur imposons des obligations de protection des données au moins aussi protectrices que celles du présent accord, et nous restons pleinement responsables envers vous de leur exécution.

La liste actuelle :

Nous publions les ajouts et retraits sur notre page des sous-traitants au moins 30 jours avant leur prise d'effet. Si vous vous opposez à un nouveau sous-traitant pour des motifs raisonnables tenant à la protection des données dans ce délai, écrivez-nous à privacy@wivly.me ; à défaut de solution, vous pouvez résilier la partie du service concernée sans pénalité.

7.Transferts internationaux

Les données de vos clients sont stockées dans l'UE. Certains sous-traitants sont des sociétés américaines. Lorsque des données leur parviennent, les transferts sont couverts par une décision d'adéquation (le cadre de protection des données UE-États-Unis) ou par les clauses contractuelles types de la Commission européenne, assorties de mesures supplémentaires. La colonne Région ci-dessus indique ce qui s'applique à chaque prestataire.

8.Vous aider à répondre à vos clients

1. 8.1Vos clients exercent leurs droits auprès de vous, pas auprès de nous, puisque vous êtes leur responsable de traitement.
2. 8.2Le tableau de bord vous permet déjà de traiter vous-même les demandes courantes : consulter tout ce qui est détenu sur un membre, l'exporter dans un format lisible par machine, le corriger et le supprimer définitivement.
3. 8.3Si une demande nous parvient directement, nous n'y répondrons pas à votre place. Nous vous la transmettrons rapidement et vous aiderons à répondre, compte tenu de la nature du traitement.

9.Violations de données personnelles

1. 9.1Si nous avons connaissance d'une violation de données affectant les données de vos clients, nous vous en informerons sans retard injustifié et, en tout état de cause, dans les 48 heures suivant cette connaissance.
2. 9.2Notre notification décrira ce qui s'est passé, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées.
3. 9.3Nous vous aiderons à satisfaire vos propres obligations de notification à votre autorité de contrôle et, si nécessaire, à vos clients. La notification à l'autorité relève de votre décision en tant que responsable de traitement.

10.Analyses d'impact

Compte tenu de la nature du traitement et des informations à notre disposition, nous vous apporterons une assistance raisonnable pour les analyses d'impact relatives à la protection des données et toute consultation préalable d'une autorité de contrôle (art. 35 et 36).

11.Suppression et restitution

1. 11.1Vous pouvez exporter vos données à tout moment depuis votre tableau de bord, et pendant 30 jours après la fermeture de votre compte.
2. 11.2À l'issue de ce délai, nous supprimons les données personnelles de vos clients. La suppression est réelle : supprimer un membre entraîne en cascade la suppression de ses cartes, de son historique de visites, de ses notifications et de ses enregistrements d'appareils, plutôt que de marquer une ligne comme masquée.
3. 11.3Indépendamment de votre compte, les données personnelles expirent selon un calendrier publié : les visites individuelles après 24 mois, les analyses agrégées de votre tableau de bord après 14 mois, les enregistrements d'envoi après 6 mois, et le jeton d'un appareil pour une carte retirée sous 30 jours. Une tâche quotidienne l'applique : c'est un processus qui tourne, pas une déclaration d'intention.
4. 11.4Nous ne conservons des données plus longtemps que lorsque la loi l'exige (par exemple les pièces de facturation à des fins fiscales), et uniquement à cette fin.
5. 11.5Les sauvegardes sont conservées selon un cycle glissant et écrasées dans le cours normal des opérations. Les données présentes dans une sauvegarde restent protégées par le présent accord jusqu'à leur écrasement.

12.Audits et informations

1. 12.1Nous mettrons à disposition les informations raisonnablement nécessaires pour démontrer le respect de l'art. 28, sur demande à privacy@wivly.me.
2. 12.2Vous pouvez auditer nos traitements, ou mandater un auditeur indépendant, au plus une fois par an, sauf violation ou exigence d'une autorité de contrôle. Prévenez-nous raisonnablement à l'avance, gardez les constats confidentiels et évitez de perturber le service ou les données d'autres commerçants.
3. 12.3Lorsque nous disposons d'une certification ou d'un rapport tiers approprié, nous pouvons le proposer d'abord pour satisfaire une demande d'audit.

13.Modifications du présent accord

Nous mettrons à jour cet accord à mesure que le service et le droit évoluent. Les changements substantiels portent un nouveau numéro de version et sont notifiés dans le tableau de bord, où il vous sera demandé d'accepter la nouvelle version. La version acceptée et sa date sont enregistrées sur votre compte et affichées dans vos réglages.