Accord de traitement des données (DPA)

1. Parties et objet

• Le responsable du traitement est le commerce abonné à REMYZ (le « Client »). Il détermine les finalités du programme de fidélité et les moyens essentiels : qui inscrire, quelles règles de points, quelles récompenses, quels e-mails envoyer et à qui.
• Le sous-traitant est Styvan Hauterville, entrepreneur individuel (EI) exerçant sous le nom commercial « SHAU », RCS de Fort-de-France 107 173 320, 1 Rue de la Tannerie, 97200 Fort-de-France, France (« REMYZ »), qui traite les données pour le compte du Client afin de lui fournir le service.

Le présent accord définit les conditions dans lesquelles REMYZ traite ces données. En cas de contradiction avec les conditions générales sur un point relatif aux données personnelles, le présent accord prévaut.

2. Description du traitement

3. Engagements du sous-traitant

REMYZ s'engage à :

1. traiter les données uniquement sur instruction documentée du Client : les conditions générales, le présent accord, les réglages et les actions effectués par le Client dans le service. REMYZ informe immédiatement le Client si une instruction lui paraît contraire au RGPD ;
2. ne jamais utiliser les données pour son propre compte, notamment pour de la prospection, ni les vendre, louer ou céder ;
3. veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité et n'y accèdent qu'en cas de besoin (assistance, maintenance, incident) ;
4. mettre en œuvre les mesures de sécurité décrites à l'article 4 ;
5. respecter les conditions de l'article 5 pour recourir à un autre sous-traitant ;
6. aider le Client à répondre aux demandes d'exercice des droits (article 7) ;
7. aider le Client à garantir la sécurité du traitement, à notifier les violations de données et, le cas échéant, à réaliser une analyse d'impact, en lui fournissant les informations dont il dispose ;
8. supprimer ou restituer les données au terme du contrat (article 8) ;
9. mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ces obligations (article 9).

4. Mesures de sécurité

Mesures en place à la date du présent accord :

• Chiffrement des échanges : accès au service en HTTPS (TLS) ; cookies de session réservés aux connexions chiffrées et inaccessibles aux scripts ; redirection des requêtes non chiffrées.
• Mots de passe des comptes professionnels hachés avec l'algorithme scrypt, jamais stockés en clair, 10 caractères minimum.
• Double authentification des comptes professionnels par application d'authentification (codes TOTP), avec 10 codes de secours à usage unique ; secret et codes chiffrés en base ; compte verrouillé 15 minutes après 10 codes erronés. Le Client peut l'exiger de toute son équipe ; elle est exigée pour l'administration de la plateforme. Pas de code par e-mail ni d'« appareil de confiance ».
• Comptes et sessions : adresse e-mail des comptes professionnels vérifiée avant l'accès à l'espace commerçant ; liste des appareils connectés, avec déconnexion d'un appareil ou de tous les autres ; un membre désactivé perd immédiatement toutes ses sessions.
• Jetons et codes : identifiants de carte, liens de connexion, de désabonnement et d'invitation aléatoires de 256 bits ; seule l'empreinte (SHA-256) des jetons servant à se connecter est conservée ; code de connexion de l'espace client à 6 chiffres, valable 15 minutes, limité à 5 essais. Le QR code d'une carte ne contient aucune donnée personnelle.
• Isolation entre commerces : chaque donnée est rattachée à l'organisation du Client et chaque requête filtre sur celle-ci ; l'organisation active est déterminée côté serveur à partir des droits de l'utilisateur, jamais à partir d'une valeur envoyée par le navigateur ; des clés étrangères composites empêchent, au niveau de la base de données, de relier une donnée d'un commerce à celle d'un autre ; des tests automatisés vérifient cette isolation.
• Contrôle des accès : rôles propriétaire, administrateur et employé, vérifiés côté serveur à chaque opération ; administration de la plateforme réservée à l'équipe REMYZ.
• Assistance REMYZ en lecture seule : une session d'assistance est liée au compte et à la session authentifiée du membre habilité de REMYZ, avec un motif obligatoire et une durée maximale de 30 minutes. Les modifications sont bloquées côté serveur. L'ouverture, le motif, l'échéance et la fin explicite sont tracés et visibles du commerçant dans son journal d'activité.
• Carte client hors ligne : un cache distinct sur l'appareil conserve le QR, le numéro de membre, le nom du commerce et le dernier solde connu daté, sans coordonnées ni historique d'achats. La carte reste présentable pendant sept jours au maximum, dans la limite de la session. Le cache est effacé à la déconnexion ; une révocation distante ne peut être connue sans retour du réseau. Les stockages et leur suppression sont décrits sur la page cookies.
• Journal d'audit des opérations sensibles (remboursements, ajustements de points, exports, fusions, anonymisations, réglages, gestion de l'équipe, clés d'API) et des événements de sécurité des comptes (connexions réussies ou échouées, double authentification, déconnexions), sans nom, e-mail ni téléphone dans ses métadonnées ; adresses IP tronquées.
• Limitation des tentatives de connexion, d'inscription et de saisie de code ; en-têtes de sécurité (politique de sécurité du contenu, interdiction d'affichage dans un cadre tiers).
• API : clés propres à chaque commerce, affichées une seule fois, dont seule l'empreinte (SHA-256) est conservée ; portée lecture seule ou lecture et écriture ; révocation immédiate ; nombre de requêtes limité par minute et par clé ; l'organisation est déterminée par la clé, jamais par la requête.
• Webhooks : messages signés (HMAC-SHA256) avec un secret propre à chaque adresse, chiffré au repos ; adresses HTTPS uniquement, refus des adresses de réseaux internes ; contenu limité à des identifiants, montants, soldes et statuts, sans donnée personnelle.
• Caisse hors ligne : les achats saisis sans connexion sont conservés sur l'appareil jusqu'à leur transmission ; seul un poste préparé explicitement garde un index minimal des clients (nom affiché, numéro de membre, 4 derniers chiffres du téléphone, empreinte de la carte, solde, sans e-mail ni téléphone complet), effacé à la déconnexion, comme la liste des clients récents du poste.
• Intégrité de l'historique : les mouvements de points sont des écritures conservées, jamais modifiées ni supprimées ; un contrôle compare les soldes à l'historique.
• Base de données isolée sur un réseau interne, sans port exposé sur Internet ; journaux techniques sans données personnelles (masquage automatique).
• Sauvegardes quotidiennes de la base de données, vérifiées après chaque sauvegarde, conservées 7 jours, et hebdomadaires conservées 5 semaines ; procédure de restauration documentée, suivie d'un contrôle des soldes de points. Chiffrement des sauvegardes et copie sur un second site : [À COMPLÉTER : activation en production (prévue par l'outil de sauvegarde)].
• Minimisation : un prénom suffit pour créer une fiche ; l'anonymisation efface les données personnelles d'un client tout en conservant ses achats et ses points sous forme anonyme ; le Client peut fixer une durée de conservation (de 12 à 120 mois) au-delà de laquelle les clients sans activité sont anonymisés automatiquement ; les e-mails ne contiennent pas de pixel de suivi.

REMYZ fait évoluer ces mesures selon l'état de l'art, sans jamais en réduire le niveau global.

5. Sous-traitants ultérieurs

Le Client autorise REMYZ à recourir aux sous-traitants ultérieurs ci-dessous. REMYZ leur impose par contrat des obligations de protection des données équivalentes à celles du présent accord et reste responsable de leur respect.

REMYZ informe le Client par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier son abonnement sans frais avant le changement. Aucun transfert hors de l'Union européenne n'a lieu sans garanties appropriées au sens des articles 44 à 49 du RGPD.

Les logiciels que le Client relie au service par l'API et les adresses de webhooks qu'il déclare sont choisis par lui et agissent pour son compte : ce ne sont pas des sous-traitants ultérieurs de REMYZ.

6. Violations de données

REMYZ notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par e-mail au propriétaire de l'organisation. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Il revient au Client, responsable du traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.

7. Droits des personnes

Le service fournit au Client les outils pour répondre lui-même aux demandes de ses clients :

• accès et portabilité : export des données d'un client au format JSON, que le client peut aussi télécharger depuis son espace ;
• rectification : modification de la fiche client, ou par le client lui-même depuis son espace si le Client l'autorise ;
• effacement : anonymisation de la fiche, qui conserve l'historique comptable sans donnée personnelle, à la demande ou automatiquement selon la durée de conservation choisie par le Client ;
• opposition aux e-mails promotionnels : désabonnement en un clic dans chaque message, ou modification du consentement sur la fiche.

Si une personne s'adresse directement à REMYZ, sa demande est transmise au Client sans délai, sans y répondre à sa place.

8. Fin du contrat

Pendant le contrat, le Client exporte ses données à tout moment (voir l'article 7 des conditions générales). À la fin du contrat, il dispose de 30 jours pour les récupérer ; REMYZ lui remet sur demande une extraction complète dans un format ouvert. À l'issue de ce délai, REMYZ supprime ou anonymise les données de manière irréversible ; les copies présentes dans les sauvegardes disparaissent au fil de leur rotation, au plus tard 5 semaines plus tard. REMYZ confirme la suppression par écrit sur demande.

9. Documentation et audit

REMYZ tient à la disposition du Client la description des mesures de sécurité et toute information raisonnablement nécessaire pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, une fois par an, à ses frais, par un auditeur indépendant tenu au secret, moyennant un préavis de 30 jours et sans perturber le service ni compromettre les données des autres clients.

10. Engagements du responsable

Le Client, responsable du traitement, s'engage à :

• informer ses clients du traitement de leurs données (notamment par les conditions de son programme, affichables sur sa page d'inscription) ;
• disposer d'une base légale pour chaque traitement et ne leur envoyer d'e-mails promotionnels qu'avec leur consentement ;
• ne saisir que des données adéquates et nécessaires, et aucune donnée sensible ;
• donner à REMYZ des instructions conformes au RGPD et gérer avec soin les accès de son équipe.

Contact de REMYZ pour toute question relative au présent accord : contact@remyz.fr.