1. Objet

Le présent Accord de Traitement des Données, ci-après dénommé « DPA » (Data Processing Agreement), a pour objet de définir les conditions dans lesquelles Noyalty, en qualité de sous-traitant, traite les données personnelles pour le compte des utilisateurs professionnels de la plateforme, en qualité de responsables du traitement, conformément au Règlement (UE) 2016/679 (RGPD).

Le présent DPA s'applique à tout utilisateur professionnel ayant créé un compte Noyalty et utilisant la plateforme pour gérer des données personnelles relatives à ses propres clients.

En créant un compte et en utilisant Noyalty, l'utilisateur professionnel accepte les termes du présent DPA.

2. Définitions

« Responsable du traitement » : l'utilisateur professionnel qui utilise Noyalty pour collecter et gérer les données personnelles de ses clients.

« Sous-traitant » : Noyalty, qui traite les données personnelles pour le compte et selon les instructions du responsable du traitement.

« Données personnelles » : toute information permettant d'identifier directement ou indirectement une personne physique, notamment les noms, prénoms, adresses e-mail, numéros de téléphone, dates d'anniversaire, historiques de visites et données de fidélisation des clients finaux.

« Personnes concernées » : les clients finaux dont les données personnelles sont traitées via la plateforme Noyalty.

« Violation de données » : toute violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles.

3. Nature et finalités du traitement

Dans le cadre de l'utilisation de Noyalty, les données personnelles des clients finaux peuvent être traitées aux fins suivantes :

• inscription et gestion des clients dans le programme de fidélité ;

• enregistrement et suivi des tampons et des visites ;

• attribution et gestion des récompenses ;

• envoi de communications (e-mail, SMS) configurées par le responsable du traitement ;

• segmentation de la clientèle ;

• mise en place d'automatisations marketing ;

• fourniture de statistiques et d'analyses au responsable du traitement ;

• fonctionnalités d'intelligence artificielle activées par le responsable du traitement.
  
  
  

4. Catégories de données traitées

Les catégories de données personnelles susceptibles d'être traitées incluent notamment :

• nom et prénom ;

• adresse e-mail ;

• numéro de téléphone ;

• date d'anniversaire ;

• historique des visites et des tampons ;

• récompenses obtenues et utilisées ;

• données d'interaction avec les campagnes de communication ;

• données de segmentation.

Les données effectivement traitées dépendent de la configuration du programme de fidélité choisie par le responsable du traitement.

5. Obligations de Noyalty en qualité de sous-traitant

Noyalty s'engage à :

• traiter les données personnelles uniquement sur instruction documentée du responsable du traitement, sauf obligation légale contraire ;

• garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;

• mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque ;

• respecter les conditions applicables au recours à des sous-traitants ultérieurs ;

• aider le responsable du traitement, dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées ;

• aider le responsable du traitement à garantir le respect des obligations applicables en matière de sécurité, de notification des violations et d'analyse d'impact ;

• supprimer ou restituer les données personnelles à l'issue de la prestation, selon le choix du responsable du traitement ;

• mettre à disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations applicables.
  
  
  

6. Obligations du responsable du traitement

L'utilisateur professionnel, en qualité de responsable du traitement, s'engage à :

• disposer d'une base légale valable pour chaque traitement de données réalisé via Noyalty ;

• informer les personnes concernées de la collecte et de l'utilisation de leurs données ;

• obtenir les consentements nécessaires ;

• répondre aux demandes d'exercice des droits formulées par les personnes concernées ;

• définir des durées de conservation appropriées ;

• respecter la réglementation applicable à la prospection commerciale ;

• ne pas utiliser Noyalty pour traiter des catégories particulières de données (données sensibles) sans avoir préalablement mis en place les garanties appropriées.
  
  
  

7. Sous-traitants ultérieurs

Le responsable du traitement autorise Noyalty à faire appel à des sous-traitants ultérieurs pour assurer la fourniture du service. Les principaux sous-traitants actuellement utilisés sont :

• — Supabase : hébergement et base de données

• — Vercel : hébergement de l'application

• — Stripe : traitement des paiements

• — Brevo : envoi d'e-mails et SMS

• — OpenAI : fonctionnalités d'intelligence artificielle

• — Resend : envoi d'e-mails transactionnels
  
  

Noyalty informera le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants, lui donnant ainsi la possibilité d'émettre des objections.

Noyalty s'assure que ses sous-traitants ultérieurs présentent des garanties suffisantes en matière de protection des données.

8. Sécurité des données

Noyalty met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre toute destruction, perte, altération, divulgation ou accès non autorisé.

Ces mesures comprennent notamment :

• le chiffrement des données en transit et au repos ;

• des contrôles d'accès stricts basés sur le principe du moindre privilège ;

• l'authentification sécurisée des utilisateurs ;

• la surveillance et la journalisation des accès ;

• des procédures de sauvegarde régulières ;

• des tests de sécurité réguliers.
  
  
  

9. Violation de données personnelles

En cas de violation de données personnelles, Noyalty s'engage à en informer le responsable du traitement dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les 72 heures lorsque cela est techniquement possible.

Cette notification contiendra au minimum :

• la nature de la violation ;

• les catégories et le nombre approximatif de personnes concernées ;

• les catégories et le nombre approximatif d'enregistrements concernés ;

• les conséquences probables de la violation ;

• les mesures prises ou envisagées pour remédier à la violation.

Il appartient au responsable du traitement d'effectuer les notifications requises auprès des autorités compétentes et des personnes concernées.

10. Transferts de données hors de l'UE

Certains sous-traitants de Noyalty peuvent être établis ou traiter des données en dehors de l'Union européenne. Ces transferts sont encadrés par des mécanismes conformes au RGPD, notamment :

• des décisions d'adéquation de la Commission européenne ;

• des clauses contractuelles types adoptées par la Commission européenne ;

• ou tout autre mécanisme de transfert reconnu par le RGPD.
  
  
  

11. Durée et suppression des données

Le présent DPA s'applique pendant toute la durée d'utilisation de Noyalty par le responsable du traitement.

À l'issue de la relation contractuelle, Noyalty s'engage, au choix du responsable du traitement :

• à supprimer les données personnelles des clients finaux ; ou

• à les restituer dans un format exploitable.

Certaines données peuvent être conservées au-delà de cette période lorsque la loi l'impose.

12. Exercice des droits des personnes concernées

Lorsqu'un client final souhaite exercer ses droits (accès, rectification, suppression, opposition, portabilité), il doit s'adresser en priorité au responsable du traitement, c'est-à-dire au commerçant ou professionnel dont il utilise le programme de fidélité.

Noyalty s'engage à aider le responsable du traitement à répondre à ces demandes dans les délais impartis, notamment en lui permettant d'accéder, modifier ou supprimer les données concernées via les fonctionnalités de la plateforme.

13. Modification du DPA

Noyalty se réserve le droit de modifier le présent DPA pour tenir compte de l'évolution de la réglementation, des services ou des sous-traitants utilisés.

Les modifications substantielles seront communiquées aux utilisateurs avant leur entrée en vigueur.

14. Contact

Pour toute question relative au présent DPA ou au traitement des données personnelles :

• E-mail : contact@noyalty.com

• Adresse postale : 4 rue Jean Zay, 94380 Bonneuil-sur-Marne