Accord de sous-traitance (DPA)

1. Objet

Le présent accord précise les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte du Responsable de traitement, les opérations de traitement de données à caractère personnel nécessaires à la fourniture du service Lamina Fidelity.

2. Description du traitement

• Finalité : gestion d'un programme de fidélité numérique (création de cartes, comptage des visites, récompenses, notifications, prospection commerciale sur instruction du Responsable).
• Catégories de personnes concernées : les clients finaux (porteurs de carte) du Responsable de traitement.
• Catégories de données : prénom, nom, ville, email, téléphone et, selon activation par le Responsable, civilité, date de naissance, adresse postale, profession, nationalité, code de parrainage, historique de visites, consentement marketing.
• Durée : pendant toute la durée du contrat liant les parties (voir CGV).

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du Responsable de traitement ;
• garantir la confidentialité des personnes autorisées à traiter les données ;
• mettre en œuvre les mesures de sécurité prévues à l'article 32 du RGPD, notamment : isolement des données de chaque entreprise cliente (contrôle d'accès systématique par entreprise) ; séparation des accès techniques élevés, réservés au fonctionnement serveur ; authentification par mot de passe pour les comptes entreprise et administrateur ; connexions chiffrées (HTTPS) sur l'ensemble de la plateforme ; journalisation des suppressions et exports de données sensibles ; suppression des fichiers associés (logos, pièces jointes) et désinscription des Wallets Apple/Google lors de la suppression d'une entreprise ou d'un client ;
• respecter les conditions de recours à un sous-traitant ultérieur (article 4 ci-dessous) ;
• assister le Responsable de traitement pour répondre aux demandes d'exercice des droits des personnes concernées ;
• assister le Responsable de traitement en cas de violation de données, conformément à la procédure interne de gestion des violations de données de Lamina ;
• supprimer ou restituer les données à la fin du contrat, selon le choix du Responsable de traitement ;
• mettre à disposition du Responsable de traitement toute information nécessaire pour démontrer le respect du présent accord.

4. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

Le Sous-traitant informera le Responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, donnant au Responsable de traitement la possibilité d'émettre des objections.

5. Transferts hors Union européenne

Les données transmises à Apple et à Google dans le cadre de l'affichage de la carte dans Apple Wallet et Google Wallet font l'objet d'un transfert vers les États-Unis, encadré comme suit :

• Apple encadre ses transferts internationaux de données par des clauses contractuelles types (Standard Contractual Clauses).
• Google adhère au cadre EU-US Data Privacy Framework (DPF) pour Google LLC, complété par des clauses contractuelles types lorsque ce cadre ne s'applique pas.

6. Sort des données à la fin du contrat

À compter de la fin du contrat, le Responsable de traitement dispose d'un délai de 30 jours pour récupérer ou exporter l'ensemble des données de son compte. À l'issue de ce délai, les données à caractère personnel sont supprimées de la base de données de production.

À la date des présentes, l'infrastructure d'hébergement (Supabase) ne réalise aucune sauvegarde automatique des données. La suppression en base de production est donc définitive, sans copie de secours résiduelle. Si cette situation venait à changer (souscription à un plan incluant des sauvegardes automatiques), les présentes seraient mises à jour en conséquence.

7. Durée

Le présent accord s'applique pendant toute la durée des CGV et jusqu'à suppression complète des données conformément à l'article 6.