Dernière mise à jour : 7 novembre 2026
Le présent Accord de traitement des données (« DPA ») fait partie des Conditions générales de Passtastic et s’applique automatiquement à tout client qui utilise Passtastic pour gérer un programme de fidélité. Vous n’avez pas besoin de signer ni de demander un exemplaire distinct : du fait de votre acceptation des Conditions générales, le présent DPA est en vigueur entre vous et nous.
Il précise comment nous traitons les données à caractère personnel de vos clients, c’est-à-dire les personnes qui ajoutent l’une de vos cartes de fidélité, comme l’exige l’article 28 du règlement général sur la protection des données (RGPD). Il complète notre Politique de confidentialité, qui présente plus généralement nos pratiques en matière de données.
En cas de contradiction entre le présent DPA et les Conditions générales concernant le traitement des données à caractère personnel de vos clients, le présent DPA prévaut.
Le présent DPA est rédigé en anglais. Les traductions sont fournies à titre indicatif. En cas de divergence entre une traduction et la version anglaise, la version anglaise prévaut.
Les éléments exigés par l’article 28, paragraphe 3, du RGPD. Lorsque le présent DPA mentionne « les données de vos clients », il s’agit des données à caractère personnel décrites ici.
| Objet | La fourniture, par nous et à votre intention, de la plateforme de fidélité numérique Passtastic. |
|---|---|
| Durée | Tant que votre compte est actif, puis jusqu’à ce que vous nous demandiez de supprimer les données (voir la section 12). |
| Nature et finalité | Héberger, conserver, traiter et transmettre les données de vos clients afin de gérer votre programme de fidélité : émettre et mettre à jour les cartes Wallet, enregistrer les visites, tampons, points et soldes, envoyer des notifications et des SMS sur votre instruction, produire des analyses à votre intention et échanger des données avec tout système que vous choisissez de connecter (voir la section 8). |
| Types de données à caractère personnel | Nom, adresse e-mail, numéro de téléphone, activité de fidélité (visites, tampons, points, soldes, récompenses obtenues), jetons de notification Wallet émis par Apple et Google, et tout champ supplémentaire que vous choisissez de collecter dans votre propre formulaire d’inscription. |
| Catégories de personnes concernées | Vos clients, c’est-à-dire les personnes qui ajoutent l’une de vos cartes de fidélité à leur Wallet sur mobile, et toute personne que vous invitez ou importez dans votre programme. |
| Catégories particulières de données | Le Service n’est pas conçu pour les catégories particulières de données à caractère personnel (article 9 du RGPD), telles que les données concernant la santé, les données biométriques ou les informations religieuses, et vous ne devez pas configurer votre formulaire d’inscription pour les collecter. |
La responsabilité de chacun de nous dépend des personnes dont les données sont concernées.
| Données | Notre rôle | Qui est le responsable du traitement |
|---|---|---|
| Les données de vos clients (les personnes qui ajoutent votre carte de fidélité) | Sous-traitant | Vous |
| Les données de votre propre compte (inscription, facturation, utilisation de la plateforme) | Responsable du traitement | Passtastic |
Nous traitons les données de vos clients uniquement sur vos instructions. Vos instructions sont : le présent DPA, les Conditions générales et les actions que vous effectuez sur la plateforme, à savoir le programme que vous configurez, les messages que vous envoyez, les intégrations que vous connectez et toute demande d’assistance que vous nous adressez par écrit.
Nous n’utiliserons pas les données de vos clients à nos propres fins. Nous ne les vendons pas et ne les partageons pas avec d’autres commerçants.
Si nous estimons qu’une de vos instructions enfreindrait le droit de la protection des données, nous vous en informerons et pourrons refuser de l’exécuter jusqu’à ce que le point soit résolu.
En tant que responsable du traitement, vous déterminez les finalités et les moyens du traitement des données de vos clients, et certaines obligations vous incombent à vous seul. En utilisant le Service, vous confirmez que :
L’accès aux données de vos clients est limité aux personnes qui en ont besoin pour exploiter et assister le Service, et toutes les personnes disposant de cet accès sont tenues par des obligations écrites de confidentialité qui survivent à la fin de leur collaboration avec nous.
Nous maintenons les données de chaque organisation logiquement séparées, et chaque personne présente sur votre propre compte dispose d’un rôle qui détermine ce qu’elle peut voir et faire.
Nous protégeons les données de vos clients par le chiffrement en transit (HTTPS/TLS) et au repos, le contrôle d’accès fondé sur les rôles, l’isolement des données par organisation et le chiffrement au repos des identifiants de tout système que vous connectez. L’hébergement de notre base de données et de notre application repose sur des prestataires certifiés ISO 27001 et SOC 2.
Aucun système n’est totalement sûr et nous ne pouvons pas garantir une sécurité absolue, mais nous réexaminons régulièrement ces mesures et ne réduirons pas le niveau global de protection pendant la durée de votre abonnement.
Vous nous accordez une autorisation générale de recruter les sous-traitants ultérieurs énumérés dans la rubrique Sous-traitants ultérieurs de notre Politique de confidentialité. Chacun ne traite que les données minimales nécessaires à sa fonction, et chacun est lié par des conditions de protection des données au moins aussi protectrices que le présent DPA.
Nous tenons cette liste à jour et y publions tout ajout ou remplacement au moins 30 jours avant sa prise d’effet. Les changements sont annoncés par publication sur cette page, et non par e-mail individuel ; veuillez donc la consulter si vous souhaitez suivre les changements.
Lorsque nous devons remplacer un sous-traitant ultérieur à bref délai, en raison d’une panne, d’un problème de sécurité ou parce que le prestataire cesse de nous servir, nous pouvons le faire immédiatement et publierons le changement dès que possible.
Si vous vous opposez, pour un motif raisonnable lié à la protection des données, à un nouveau sous-traitant ultérieur, informez-nous-en avant la prise d’effet du changement. Si nous ne pouvons pas vous proposer d’alternative praticable, vous pouvez résilier la partie concernée du Service sans pénalité pour le reste de votre période payée.
Vous pouvez connecter Passtastic à d’autres systèmes que vous utilisez déjà, tels qu’un système de caisse ou de comptabilité. Ces systèmes vous appartiennent, et non à nous : ils ne sont pas nos sous-traitants ultérieurs, et le sort des données qu’ils contiennent est régi par votre propre contrat avec le prestataire concerné.
Lorsque vous en connectez un, les données circulent dans les deux sens. Nous lisons les informations nécessaires à la gestion de votre programme (ventes, produits, catégories et coordonnées du client figurant sur une vente) et, lorsque vous l’activez, nous écrivons dans ce système : le programme de fidélité, ses règles et ses récompenses, ainsi que les fiches de contact de vos membres, afin que votre personnel puisse les retrouver au comptoir.
Pour cela, nous conservons les identifiants d’accès que vous fournissez, chiffrés au repos. Vous pouvez déconnecter une intégration à tout moment, ce qui met fin à tout nouvel échange de données. Les enregistrements que nous avons déjà écrits dans votre propre système restent les vôtres et y demeurent.
Vos clients exercent leurs droits auprès de vous, en tant que responsable du traitement. La plateforme est conçue pour que vous puissiez répondre vous-même et immédiatement à la plupart des demandes :
Si l’un de vos clients s’adresse directement à nous au sujet de ses données, nous ne répondrons pas à votre place : nous lui dirons de vous contacter en tant que responsable du traitement, et nous vous en informerons afin que vous puissiez répondre dans votre propre délai.
Si un tribunal, une autorité de régulation ou un service répressif exige de nous les données de vos clients, nous vous en informerons avant toute divulgation, afin que vous puissiez répondre ou vous y opposer, sauf si la loi nous interdit de vous le dire. Nous ne divulguerons que ce que nous sommes effectivement tenus de divulguer.
Si nous avons connaissance d’une violation de données à caractère personnel affectant les données de vos clients, nous vous en informerons dans les meilleurs délais à l’adresse e-mail de votre compte.
Nous vous dirons ce que nous savons : ce qui s’est passé, les catégories et le nombre approximatif d’enregistrements concernés, les conséquences probables et ce que nous faisons pour y remédier. Si nous n’avons pas immédiatement une vue d’ensemble, nous vous enverrons ce dont nous disposons et compléterons ensuite.
Il vous appartient de notifier la violation à votre autorité de contrôle et, lorsque cela est exigé, aux personnes concernées ; le RGPD vous accorde 72 heures à compter du moment où vous en avez pris connaissance. Nous vous fournirons les informations raisonnablement à notre disposition pour que vous puissiez respecter ce délai, et nous ne les retiendrons pas dans l’attente de notre propre enquête.
Vous pouvez exporter les données de vos clients depuis le tableau de bord à tout moment tant que votre compte est actif, de sorte que vous disposez toujours de votre propre copie.
Vous pouvez supprimer vous-même les données de vos clients à tout moment à l’aide de la fonction d’effacement décrite à la section 9. Si vous préférez que nous le fassions, écrivez-nous à hello@passtastic.io depuis une adresse de votre compte et nous y donnerons suite dans les meilleurs délais.
À ce jour, nous ne supprimons pas automatiquement les données de vos clients à la fin d’un abonnement : elles restent disponibles pour que vous puissiez les réactiver ou les exporter. Si vous souhaitez qu’elles soient supprimées, demandez-le-nous et nous les supprimerons. Nous pouvons conserver des données lorsque la loi l’exige, et des statistiques anonymisées ou agrégées ne permettant d’identifier personne peuvent être conservées.
Lorsque nous supprimons un titulaire de carte de fidélité, nous conservons un enregistrement minimal non identifiant afin que la même carte Wallet ne puisse pas être recréée sans que personne ne s’en aperçoive, et cet enregistrement expire automatiquement.
Sur demande, nous mettrons à votre disposition les informations raisonnablement nécessaires pour démontrer que nous respectons le présent DPA. Concrètement, il s’agit du présent DPA, de notre Politique de confidentialité, de notre liste actuelle de sous-traitants ultérieurs et d’une description de nos mesures de sécurité, ainsi que des certifications ISO 27001 et SOC 2 détenues par nos prestataires d’infrastructure.
Lorsqu’un audit allant au-delà de cette documentation est exigé par le droit de la protection des données, il est limité à un par période de douze mois, réalisé à vos frais, moyennant un préavis écrit d’au moins 30 jours, pendant les heures normales de bureau, sans perturber le Service et sous réserve de confidentialité. Nous pouvons répondre à une telle demande avec la documentation ci-dessus lorsqu’elle répond raisonnablement à la question.
L’hébergement de notre base de données et de notre application est situé dans l’Union européenne. Certains des sous-traitants ultérieurs énumérés dans notre Politique de confidentialité traitent des données limitées en dehors de l’Espace économique européen ; dans ce cas, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou par une décision d’adéquation.
Nous ne transférerons pas les données de vos clients en dehors de l’EEE sur une autre base sans vous en informer au préalable.
Rien dans le présent DPA ne modifie le régime de responsabilité entre nous. Les limitations et exclusions de responsabilité de la section 7 des Conditions générales s’appliquent aux réclamations fondées sur le présent DPA comme à toute autre réclamation, et s’appliquent une seule fois aux deux documents pris ensemble, et non une fois par document.
Cela ne limite aucun droit dont une personne concernée dispose directement contre l’un de nous en vertu du RGPD, ni rien de ce qui ne peut légalement être limité.
Nous pouvons mettre à jour le présent DPA, par exemple pour tenir compte d’une évolution de la loi ou du fonctionnement du Service. La version en vigueur figure toujours sur cette page, avec sa date de prise d’effet, et nous vous informerons de toute modification substantielle de la même manière que pour les modifications des Conditions générales.
Nous n’apporterons pas de modification réduisant de manière substantielle la protection accordée aux données de vos clients pendant votre période payée.
Pour toute question concernant le présent DPA ou une demande d’une personne concernée, ou pour nous demander de supprimer les données de vos clients, contactez-nous :