RGPD · Art. 28

DPA — Accord de sous-traitance des données

Data Processing Agreement · Article 28 RGPD

Dernière mise à jour : 20 mai 2026

Le présent Accord de Traitement des Données (DPA) est requis par l'article 28 du RGPD. Il est conclu entre AFC Consulting (Sous-traitant) et le Client commerçant (Responsable de traitement). Il complète et fait partie intégrante des CGV.

Sommaire

Définitions
Objet et durée du traitement
Nature des données traitées
Obligations d'AFC Consulting (Sous-traitant)
Obligations du Client (Responsable de traitement)
Transferts de données hors UE
Droit applicable

Article 1 — Définitions

Responsable de traitement

Le Client (commerçant), qui détermine les finalités et les moyens du traitement des données de ses clients finaux

Sous-traitant

AFC Consulting, qui traite les données personnelles pour le compte du Responsable de traitement

Données personnelles

Toute information permettant d'identifier directement ou indirectement une personne physique

Traitement

Toute opération appliquée aux données (collecte, enregistrement, organisation, conservation, consultation, communication...)

Article 2 — Objet et durée du traitement

Dans le cadre du service Wallet Fidélité, AFC Consulting traite pour le compte du Client les données personnelles des clients finaux, aux fins exclusives suivantes :

Création et gestion des cartes de fidélité Wallet
Enregistrement et mise à jour des tampons et récompenses
Envoi de notifications push autorisées par les clients finaux
Mise à disposition du dashboard statistique au commerçant

La durée du traitement correspond à la durée de l'abonnement actif du Client.

Article 3 — Nature des données traitées

Prénom et nom des clients finaux
Date d'anniversaire (si renseignée)
Identifiant de carte Wallet (token Apple / Google)
Historique des tampons, visites et récompenses
Date et heure de consentement aux notifications push

Article 4 — Obligations d'AFC Consulting (Sous-traitant)

Traiter les données uniquement sur instruction documentée du Client et aux fins définies ci-dessus
Garantir la confidentialité par des mesures techniques adaptées (chiffrement, contrôle d'accès, Row Level Security)
Ne pas sous-traiter sans information préalable du Client
Assister le Client dans le respect des droits des personnes concernées (accès, rectification, suppression, portabilité)
Notifier le Client dans un délai de 72 heures en cas de violation de données susceptible d'engendrer un risque
Supprimer ou restituer toutes les données au terme du contrat, au choix du Client
Mettre à disposition toutes les informations nécessaires pour démontrer la conformité au présent accord

Article 5 — Obligations du Client (Responsable de traitement)

Informer ses clients finaux de la collecte et du traitement de leurs données (affichage en caisse, QR code, supports de communication)
Recueillir le consentement des clients finaux préalablement à l'envoi de toute notification push
Respecter les droits des personnes concernées et transmettre toute demande d'exercice de droits à AFC Consulting
Utiliser le service dans le strict respect du RGPD et de la loi Informatique et Libertés

Article 6 — Transferts de données hors UE

AFC Consulting peut faire appel à des sous-traitants dont les serveurs sont situés hors de l'Union Européenne (notamment Vercel Inc. et Stripe Inc., établis aux États-Unis).

Dans ce cas, les transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission Européenne, garantissant un niveau de protection adéquat.

Article 7 — Droit applicable

Le présent DPA est soumis au droit français et au RGPD. Tout litige relatif à son interprétation ou son exécution relève de la compétence du Tribunal compétent conformément aux CGV.