Contrat de sous-traitance

• Responsable du traitement : le commerce titulaire du compte Stampaz, avec les informations légales qu'il indique dans Réglages.
• Sous-traitant : Miranda Network, S.L., NIF B-75866194, siège social : Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), contact support@mirandanetwork.es.

Le sous-traitant traite les données uniquement pour fournir le service de cartes de fidélité : inscription des clients, gestion des tampons, points et récompenses, émission et mise à jour des cartes dans Apple Wallet et Google Wallet, envoi des notifications décidées par le responsable, statistiques et traitement des demandes d'exercice des droits des clients.

Opérations : collecte, enregistrement, conservation, consultation, modification, communication à Apple et Google pour émettre la carte, exportation et suppression.

Le contrat dure tant que le commerce dispose d'un compte Stampaz.

• Personnes concernées : clients du responsable qui s'inscrivent à son programme de fidélité et membres de son équipe qui utilisent le scanner.
• Données : prénom ; e-mail, téléphone et date d'anniversaire si le responsable les demande ; historique des visites, tampons, points et récompenses ; préférence concernant les offres ; preuve du consentement (date, heure et version du texte) ; identifiants techniques de la carte.
• Aucune catégorie particulière de données ni donnée de localisation n'est traitée : la notification de proximité est décidée par le téléphone du client.

Le responsable donne ses instructions via la configuration de son tableau de bord : quelles données il demande, quelles notifications il envoie, combien de temps les clients inactifs sont conservés (entre 6 et 60 mois) et quelles informations légales sont affichées au client. Lors de l'inscription, le client voit un premier niveau d'information avec les coordonnées du responsable, et Stampaz conserve la preuve de son consentement.

Si le sous-traitant estime qu'une instruction enfreint la réglementation, il en informera le responsable.

• Traiter les données uniquement selon les instructions documentées du responsable et ne pas les utiliser à ses propres fins.
• Garantir la confidentialité des personnes autorisées à traiter les données.
• Appliquer les mesures de sécurité de l'article 32 RGPD : chiffrement en transit, isolement des données par commerce, contrôle des accès, sauvegardes et journalisation des accès.
• Aider le responsable à répondre aux demandes d'exercice des droits des personnes concernées. Les clients peuvent rectifier et télécharger leurs données, ne plus recevoir d'offres et tout supprimer depuis leur carte ; les demandes reçues par le sous-traitant seront transmises sans délai au responsable.
• Notifier au responsable les violations de sécurité dans les meilleurs délais et, en tout état de cause, dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles.
• Aider le responsable, le cas échéant, pour les analyses d'impact et les consultations de l'autorité de contrôle.
• Mettre à la disposition du responsable les informations nécessaires pour démontrer la conformité et permettre des audits raisonnables, moyennant un préavis de 30 jours et aux frais du responsable.
• Tenir le registre des activités de traitement en tant que sous-traitant.

Le responsable autorise de manière générale les sous-traitants ultérieurs suivants :

• Supabase : base de données, authentification et stockage (hébergement dans l'UE).
• Vercel : hébergement de l'application, exécutée dans sa région de Francfort (Union européenne).
• Apple et Google : émission et mise à jour des cartes dans leurs Wallets (uniquement le contenu de la carte : prénom, tampons ou points et code).

Nous informerons au moins 15 jours à l'avance de tout changement de sous-traitants ultérieurs afin que le responsable puisse s'y opposer ; s'il s'y oppose et qu'il n'existe pas d'alternative, il pourra résilier. Chaque sous-traitant ultérieur est soumis à des obligations équivalentes. Les transferts hors de l'EEE sont effectués avec les garanties du chapitre V du RGPD (décisions d'adéquation, comme le cadre de protection des données UE-États-Unis, ou clauses contractuelles types).

• Renseigner ses informations légales dans Réglages, informer ses clients et disposer d'une base légale valable.
• N'envoyer des offres qu'à ceux qui les ont acceptées et sans abuser des notifications.
• Veiller à ce que son personnel respecte le RGPD et protège l'accès au scanner.

À la fin de l'abonnement, le sous-traitant supprime automatiquement toutes les données 30 jours plus tard. Pendant ce délai, le responsable peut les exporter (JSON). Si le responsable supprime son compte, la suppression est immédiate. Seules les données qu'une loi oblige à conserver seront conservées de façon bloquée.