Accord de traitement des données (DPA)

1. Parties et rôles

Le Commerçant, qui détermine les finalités et les moyens du traitement des données de ses clients finaux dans le cadre de son programme de fidélité et de ses communications, est le responsable de traitement.

Guire Saha, entrepreneur individuel exerçant sous le nom ELYZOR Loyalty, 12 rue Bergnier, 54000 Nancy, France, SIREN 106 214 406 (« ELYZOR »), traite ces données pour le compte du Commerçant et agit en qualité de sous-traitant.

Les traitements qu'ELYZOR réalise pour son propre compte (gestion des comptes commerçants, facturation, sécurité, support, prospection) ne relèvent pas du DPA : ils sont décrits dans la politique de confidentialité.

2. Objet

Le DPA encadre les traitements de données personnelles réalisés par ELYZOR pour fournir le Service au Commerçant, décrits en annexe 1.

3. Durée

Le DPA s'applique pendant toute la durée du contrat et, après sa fin, jusqu'à la suppression ou la restitution des données dans les conditions de l'article 17.

4. Nature des traitements

Hébergement, enregistrement, organisation, consultation, calcul (passages, points, tampons, récompenses), génération de cartes et de passes Wallet, envoi d'emails, réception des événements de délivrance et de désinscription, export et suppression.

5. Finalités

• gérer le programme de fidélité du Commerçant et les cartes de ses clients finaux ;
• enregistrer les passages et récompenses, y compris via le mode comptoir ;
• envoyer, pour le Commerçant, les campagnes email et demandes d'avis aux clients finaux ayant consenti, et gérer les désinscriptions ;
• permettre au Commerçant de consulter et d'exporter sa base clients.

6. Catégories de données et de personnes

Voir l'annexe 1. Le Commerçant s'interdit d'introduire des données sensibles (article 9 du RGPD) ou relatives à des condamnations.

7. Instructions documentées

ELYZOR ne traite les données que sur instruction documentée du Commerçant. Constituent des instructions : les CGV, le DPA, le paramétrage et l'utilisation du Service par le Commerçant, ainsi que ses demandes écrites.

Si une instruction lui paraît contraire au RGPD ou à une autre disposition applicable, ELYZOR en informe immédiatement le Commerçant. ELYZOR peut traiter les données sans instruction lorsque le droit de l'Union ou français l'y oblige ; il en informe alors le Commerçant, sauf interdiction légale.

8. Confidentialité

ELYZOR veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à la fourniture, au support ou à la sécurité du Service.

9. Sécurité

ELYZOR met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, conformément à l'article 32 du RGPD, et les fait évoluer en fonction des risques.

10. Assistance pour les droits des personnes

ELYZOR aide le Commerçant, dans la mesure du possible, à répondre aux demandes d'exercice des droits de ses clients finaux (accès, rectification, effacement, limitation, opposition, portabilité). Le Service permet notamment l'export CSV des clients. Si ELYZOR reçoit directement une demande, il la transmet au Commerçant sans délai et n'y répond pas lui-même sans instruction, sauf pour indiquer à la personne que sa demande a été transmise.

11. Violations de données

ELYZOR notifie au Commerçant toute violation de données personnelles le concernant dans les meilleurs délais et, si possible, dans les 48 heures après en avoir pris connaissance, en fournissant les informations utiles prévues à l'article 33, paragraphe 3, du RGPD dont il dispose. ELYZOR aide le Commerçant à remplir ses obligations de notification à la CNIL et, le cas échéant, de communication aux personnes concernées.

12. Analyse d'impact et consultation préalable

ELYZOR fournit au Commerçant les informations dont il dispose pour l'aider à réaliser une analyse d'impact relative à la protection des données ou une consultation préalable de la CNIL, lorsque celles-ci sont requises.

13. Sous-traitants ultérieurs

Le Commerçant autorise ELYZOR à recourir aux sous-traitants ultérieurs listés en annexe 3. ELYZOR leur impose, par contrat, des obligations de protection des données équivalentes à celles du DPA et reste responsable envers le Commerçant de leur exécution.

14. Information en cas de changement

ELYZOR informe le Commerçant de tout ajout ou remplacement d'un sous-traitant ultérieur, par mise à jour de la page /sous-traitants et par email, au moins 30 jours avant le changement, sauf urgence liée à la sécurité ou à la continuité du Service. Le Commerçant peut s'y opposer par écrit pendant ce délai pour un motif lié à la protection des données ; à défaut de solution, il peut résilier le contrat sans frais avant la prise d'effet du changement.

15. Transferts hors de l'Union européenne

Certains sous-traitants ultérieurs sont établis ou traitent des données hors de l'Union européenne. ELYZOR s'assure que ces transferts reposent sur un mécanisme prévu au chapitre V du RGPD (décision d'adéquation, dont le cadre de protection des données UE–États-Unis pour les entreprises certifiées, ou clauses contractuelles types de la Commission européenne). Les informations disponibles pour chaque prestataire figurent en annexe 3.

16. Fin du contrat

À la fin du contrat, le Commerçant peut exporter ses données clients depuis son compte tant qu'il y a accès, ou en demander la restitution par email.

17. Restitution et suppression

Sauf instruction contraire du Commerçant, les données traitées pour son compte sont conservées six mois après la fin de l'essai ou de l'abonnement, pour permettre une réactivation ou une restitution, puis supprimées. Le Commerçant peut demander une suppression anticipée à tout moment.

Les données peuvent subsister dans les sauvegardes techniques des prestataires pendant leur durée de rotation, sans être utilisées. ELYZOR confirme la suppression au Commerçant qui le demande.

18. Documentation

ELYZOR tient le registre des catégories de traitements réalisées pour le compte de ses clients (article 30, paragraphe 2, du RGPD) et met à la disposition du Commerçant les informations nécessaires pour démontrer le respect du DPA.

19. Audits

Le Commerçant peut, une fois par an et moyennant un préavis de 30 jours, vérifier le respect du DPA, d'abord par un questionnaire écrit auquel ELYZOR répond de bonne foi. Si ces réponses sont insuffisantes, un audit peut être mené, à ses frais, par un auditeur tenu au secret, sans accès aux données des autres clients ni atteinte à la sécurité du Service. Un audit supplémentaire est possible en cas de violation de données ou à la demande d'une autorité de contrôle.

20. Hiérarchie et contact

En cas de contradiction entre le DPA et les CGV sur un point relatif aux données personnelles, le DPA prévaut.

Contact pour toute question relative à la protection des données : contact@elyzorloyalty.com.

Annexe 1 — Description des traitements

Annexe 2 — Mesures techniques et organisationnelles

• Chiffrement des échanges en transit (HTTPS/TLS).
• Cloisonnement des données par commerce au niveau de la base de données (règles de sécurité par ligne) : un commerçant ne peut accéder qu'aux données de son propre commerce.
• Clés d'administration de la base et secrets d'intégration conservés uniquement côté serveur, dans des variables d'environnement protégées, jamais transmis au navigateur.
• Authentification par mot de passe pour les commerçants ; accès d'administration ELYZOR réservé à un compte autorisé, avec authentification à deux facteurs (TOTP) obligatoire.
• Mode comptoir : appareil authentifié par un jeton opaque stocké dans un cookie HttpOnly, empreinte du jeton et code PIN non conservés en clair.
• Liens de désinscription protégés par un jeton chiffré (AES-256-GCM) avec rotation des clés.
• Limitation du nombre de requêtes sur les routes publiques ; adresses IP pseudonymisées (HMAC) dans les compteurs de limitation.
• Vérification de l'authenticité des webhooks (Stripe, Brevo) et des appels planifiés internes par secret.
• Vérification du consentement de chaque destinataire immédiatement avant chaque envoi, et exclusion des adresses désinscrites ou bloquées.
• Mécanismes anti-doublon d'envoi (verrous et journal d'opérations) pour éviter l'envoi multiple d'une même campagne.
• Réponses d'erreur fermées, sans donnée personnelle ni détail technique.
• Aucune donnée de carte bancaire traitée ni conservée par ELYZOR (paiements chez Stripe).
• Procédures documentées de traitement des demandes d'exercice des droits et de gestion des violations de données.

ELYZOR ne revendique aucune certification (ISO 27001, SOC 2 ou autre). Les prestataires d'hébergement disposent de leurs propres certifications, consultables sur leurs sites.

Annexe 3 — Sous-traitants ultérieurs

La liste à jour des sous-traitants ultérieurs, leurs services, les données concernées, leur localisation et le mécanisme de transfert applicable figurent sur la page /sous-traitants, qui fait partie intégrante de la présente annexe.