Contrat de sous-traitance

1.Qui est quoi

Le commerce est responsable de traitement : c'est lui qui décide de fidéliser sa clientèle, définit son programme et choisit ses campagnes. Kadofid est sous-traitant : il fournit l'outil et traite les données pour le compte du commerce, sur ses instructions documentées.

2.Objet, durée, nature et finalité

Objet

l'exécution du programme de fidélité du commerce et des communications qu'il décide d'adresser à ses clients.

Durée

celle de l'abonnement, augmentée du délai de purge de trente jours.

Nature des opérations

collecte, enregistrement, organisation, conservation, consultation, communication par transmission, effacement.

Catégories de personnes

les clients du commerce qui adhèrent à son programme.

Catégories de données

prénom, numéro de téléphone, adresse électronique si donnée, date d'anniversaire si donnée, historique des passages, points, kado, étiquettes et notes internes du commerçant.

Aucune donnée relevant de l'article 9 du règlement, dite sensible, n'est demandée par le produit. Le commerce s'interdit d'en saisir dans les champs libres, notamment dans les notes internes.

3.Instructions

Kadofid ne traite les données que sur instruction du commerce. L'usage du service vaut instruction. Kadofid informe le commerce s'il estime qu'une instruction constitue une violation du règlement, et peut refuser de l'exécuter.

Kadofid ne traite jamais les données des clients d'un commerce pour son propre compte, ne les cède à personne et ne les utilise pas pour entraîner des modèles.

4.Confidentialité et sécurité

Kadofid veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité. Les mesures techniques suivantes sont mises en oeuvre :

• cloisonnement des commerces au niveau de la base de données elle-même, par des politiques de sécurité au niveau ligne ; aucune requête d'un commerce ne peut lire les données d'un autre ;
• chiffrement des échanges en transit et chiffrement des données au repos ;
• authentification sans mot de passe par lien à usage unique, ce qui supprime le risque de réutilisation d'un mot de passe compromis ;
• limitation de débit sur les points d'entrée publics, par un compteur partagé entre toutes les instances ;
• journalisation des actions sensibles, dont toute prise de contrôle d'un compte par le support ;
• sauvegardes quotidiennes conservées dans l'Union européenne, et restauration vérifiée.

5.Prise de contrôle par le support

Le commerce autorise Kadofid à ouvrir, pour les besoins de l'assistance, une session affichant son espace. Cette session exige un motif écrit, est bornée à quatre heures au plus, est en lecture seule, et est signalée à l'écran pendant toute sa durée. Son ouverture et sa fermeture sont journalisées avec l'administrateur, le motif, l'adresse d'origine et la durée réelle, et le commerce les consulte lui-même dans son espace de facturation.

6.Sous-traitants ultérieurs

Le commerce autorise Kadofid à recourir aux sous-traitants ultérieurs suivants. Toute addition ou tout remplacement est notifié au moins trente jours à l'avance, délai pendant lequel le commerce peut s'y opposer et, en cas de désaccord, résilier sans frais.

Supabase

base de données et authentification, hébergement Union européenne

Vercel

hébergement du site et des pages web

Meta Platforms Ireland

envoi des messages WhatsApp

Twilio

envoi des SMS

Resend

envoi des courriels

Stripe

encaissement des abonnements du commerce

Apple

distribution et mise à jour des cartes dans Apple Wallet

Google

distribution et mise à jour des cartes dans Google Wallet

Sentry

collecte des erreurs techniques, hébergement Union européenne

PostHog

mesure d'audience des écrans commerçant, instance Union européenne

7.Transferts hors Union européenne

La base de données et ses sauvegardes restent dans l'Union européenne. Les envois WhatsApp, les envois SMS et l'encaissement des abonnements peuvent impliquer un transfert hors de l'Union, encadré par les clauses contractuelles types de la Commission européenne.

8.Droits des personnes

Kadofid aide le commerce à répondre aux demandes des personnes concernées. Le produit met en oeuvre ces droits en libre service depuis la carte du client, sans que le commerçant ait à intervenir : export de toutes ses données, rectification, désinscription des messages, mise en pause, et effacement.

L'effacement anonymise la fiche immédiatement, puis la purge définitivement au bout de trente jours. Les passages déjà enregistrés restent comptés dans les statistiques agrégées du commerce, sans être rattachés à une personne : un passage anonymisé reste un passage.

9.Violation de données

Kadofid notifie le commerce sans délai injustifié après avoir eu connaissance d'une violation de données le concernant, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises. C'est au commerce, responsable de traitement, qu'il revient de notifier la CNIL dans les soixante-douze heures. Kadofid ne notifie jamais à sa place, et ne tarde jamais à le prévenir.

10.Conservation et sort des données

• Programme de fidélité : trois ans après le dernier passage, puis suppression automatique. Le compte à rebours repart à chaque passage.
• Preuve du consentement aux communications : trois ans après son retrait.
• Journal d'audit : trois ans.
• À la fin du contrat : export complet remis au commerce, puis purge des données personnelles de ses clients trente jours plus tard.

11.Audit

Kadofid met à disposition du commerce les informations nécessaires pour démontrer le respect des obligations de l'article 28, et permet la réalisation d'audits, y compris des inspections, par le commerce ou un auditeur qu'il mandate, sous préavis raisonnable et dans des conditions qui préservent la confidentialité des autres commerces.

12.Le sous-traitant

Sous-traitant

Rudy BONTE

Forme juridique

Entrepreneur individuel (EI)

SIREN ou SIRET

981 160 013

Adresse

4 impasse Lucet Langenier, 97419 La Possession, La Réunion

Courriel

contact@kadofid.com

Téléphone

+262 693 10 64 28

Directeur de la publication

Rudy BONTE