Accord de traitement des données (sous-traitance RGPD)

Version 2026-10-v1 · Dernière mise à jour : 26 octobre 2026

En bref : vos clients sont vos clients. Stamelio traite leurs données uniquement pour faire fonctionner votre programme, selon vos instructions, sans jamais les vendre ni les utiliser pour son propre compte. Les données sont hébergées dans l'Union européenne et vous pouvez les exporter ou les faire supprimer.

1. Parties et objet

Le présent accord est conclu entre le Commerçant qui utilise Stamelio (le « Responsable du traitement ») et [à compléter : nom ou dénomination de l'exploitant], [à compléter : adresse du siège], BCE [à compléter : numéro d'entreprise (BCE)] (« Stamelio », le « Sous-traitant »).

Il complète les conditions d'utilisation et s'applique dès que Stamelio traite des données à caractère personnel des clients du Commerçant. Il met en œuvre l'article 28 du Règlement (UE) 2016/679 (le « RGPD »). Il est accepté en même temps que les conditions d'utilisation.

2. Description des traitements

La nature, les finalités, les catégories de données et de personnes concernées sont décrites à l'annexe 1. Le traitement dure aussi longtemps que le contrat, augmenté du délai de restitution et de suppression prévu à l'article 10.

3. Instructions du Responsable

3.1. Stamelio traite les données uniquement sur instruction documentée du Commerçant. Ces instructions sont constituées par le présent accord, les conditions d'utilisation et les réglages et actions effectués par le Commerçant dans le service (par exemple l'envoi d'une campagne ou l'anonymisation d'un client).

3.2. Si Stamelio est tenue par le droit de l'Union ou d'un État membre de traiter des données sans instruction, elle en informe le Commerçant avant le traitement, sauf si la loi l'interdit.

3.3. Stamelio informe immédiatement le Commerçant si une instruction lui paraît constituer une violation du RGPD.

3.4. Stamelio n'utilise pas les données des clients du Commerçant pour ses propres finalités. Elle ne les vend pas, ne les loue pas et ne les partage pas avec d'autres commerçants. Seules des statistiques anonymes et agrégées, qui ne permettent d'identifier personne, peuvent être produites pour améliorer le service.

4. Confidentialité

Les personnes autorisées à traiter les données chez Stamelio sont soumises à une obligation de confidentialité. Elles n'accèdent aux données que lorsque c'est nécessaire au support demandé par le Commerçant, à la maintenance ou à la sécurité du service.

5. Sécurité

Stamelio met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites à l'annexe 2. Elle peut les faire évoluer, à condition de ne pas réduire le niveau de protection.

6. Sous-traitants ultérieurs

6.1. Le Commerçant autorise Stamelio à faire appel aux sous-traitants ultérieurs listés à l'annexe 3.

6.2. Stamelio informe le Commerçant de tout ajout ou remplacement prévu au moins 30 jours à l'avance, par email ou dans son espace. Le Commerçant peut s'y opposer pour un motif raisonnable lié à la protection des données. À défaut de solution, il peut mettre fin au contrat sans frais.

6.3. Stamelio impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord et reste responsable envers le Commerçant de leur respect.

7. Transferts hors de l'Espace économique européen

Les bases de données et l'envoi des emails sont situés dans l'Union européenne. Certains sous-traitants ont leur siège aux États-Unis et peuvent y accéder (par exemple pour le support ou la maintenance). Ces transferts sont encadrés par des garanties appropriées : décision d'adéquation (EU-US Data Privacy Framework) lorsque le prestataire y adhère, et clauses contractuelles types de la Commission européenne dans les autres cas.

8. Assistance au Responsable

8.1. Droits des personnes. Le service permet au Commerçant de consulter, corriger, exporter et anonymiser les données d'un client, et à chaque client de gérer ses préférences d'emails. Si un client s'adresse directement à Stamelio, Stamelio transmet sa demande au Commerçant sans délai et ne répond pas elle-même sans instruction.

8.2. Autres obligations. Stamelio aide le Commerçant, dans la mesure des informations dont elle dispose, à respecter ses obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact.

9. Violation de données

Stamelio notifie au Commerçant toute violation de données à caractère personnel le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Il revient au Commerçant de notifier, si nécessaire, l'Autorité de protection des données et les personnes concernées ; Stamelio l'y aide.

10. Fin du contrat : restitution et suppression

À la fin du contrat, le Commerçant peut exporter ses données pendant 30 jours. Ensuite, Stamelio supprime ou anonymise les données à caractère personnel des clients du Commerçant, y compris leurs copies, sauf obligation légale de conservation. Les sauvegardes sont effacées au fil de leur rotation normale.

11. Audit et information

Stamelio met à la disposition du Commerçant les informations nécessaires pour démontrer le respect du présent accord. Le Commerçant peut, au plus une fois par an et moyennant un préavis de 30 jours, demander un audit raisonnable, réalisé à ses frais, par lui-même ou par un auditeur indépendant tenu au secret. L'audit ne doit pas compromettre la sécurité du service ni les données d'autres commerçants.

12. Responsabilité et durée

La responsabilité des parties est régie par les conditions d'utilisation et par l'article 82 du RGPD. Le présent accord dure aussi longtemps que Stamelio traite des données pour le compte du Commerçant. En cas de contradiction avec les conditions d'utilisation, le présent accord prévaut pour ce qui concerne la protection des données.

Annexe 1 — Description des traitements

Responsable du traitement : le Commerçant. Sous-traitant : Stamelio.

Nature et finalités : hébergement et fonctionnement du programme de fidélité du Commerçant, à savoir :

• inscription des clients et délivrance de leur carte ;
• enregistrement des passages, du solde et des récompenses ;
• emails liés à la carte : lien de la carte, récompense gagnée, rappels ;
• emails d'actualités et d'offres, uniquement aux clients qui l'ont accepté ;
• statistiques pour le Commerçant ;
• support, sécurité et prévention des abus.

Personnes concernées : les clients du Commerçant inscrits à son programme de fidélité.

Catégories de données :

• identité et contact : prénom, adresse email ;
• date d'anniversaire (jour et mois, sans l'année), si le client la fournit ;
• données de fidélité : passages (date, heure, établissement, membre du personnel qui a enregistré le passage), solde, récompenses gagnées et utilisées ; montant d'achat si le programme est basé sur la dépense ;
• préférences et historique des consentements aux emails ;
• emails envoyés et leur statut de distribution ;
• données techniques : jetons d'accès à la carte, et adresse IP utilisée de façon temporaire pour limiter les abus.

Données sensibles : aucune ; le Commerçant s'engage à ne pas en saisir.

Durée : pendant le contrat. Une carte sans aucun passage depuis 24 mois est anonymisée, sauf instruction contraire du Commerçant. À la fin du contrat, l'article 10 s'applique.

Annexe 2 — Mesures de sécurité

• Chiffrement des échanges (HTTPS/TLS) et des bases de données au repos chez l'hébergeur.
• Hébergement dans l'Union européenne (Francfort pour la base de données, Irlande pour l'envoi des emails).
• Cloisonnement : chaque requête est limitée aux données du commerce connecté ; contrôle d'accès en base de données (Row Level Security) ; aucune interface publique d'accès direct à la base.
• Authentification : mots de passe stockés sous forme de hachage (scrypt) ; rôles et permissions par membre du personnel ; double authentification (code à usage unique) obligatoire pour l'équipe Stamelio.
• Cartes clients : liens et QR codes reposant sur des jetons aléatoires, révocables ; seule leur empreinte est stockée.
• Limitation des abus : limites de débit sur les inscriptions, connexions et formulaires ; protection contre les robots.
• Journalisation des actions sensibles (accès de l'équipe, changements d'abonnement, anonymisations).
• Sauvegardes régulières de la base de données chez l'hébergeur.
• Minimisation : seul le prénom est demandé (pas de nom de famille), l'anniversaire est facultatif et sans l'année ; l'assistant ne reçoit que des chiffres agrégés, jamais de liste nominative.
• Organisation : accès de l'équipe limité aux personnes qui en ont besoin, engagement de confidentialité, procédure écrite de gestion des incidents et des violations de données.

Annexe 3 — Sous-traitants ultérieurs autorisés

Les prestataires de Wallet (Apple, Google) et de paiement seront ajoutés à cette liste, avec préavis, lorsque ces fonctionnalités seront ouvertes.