Contrat de sous-traitance des données

Le commerce est responsable du traitement des données de ses propres clients : c'est lui qui décide de les collecter, de les garder et de leur écrire. Hello World Pro est sous-traitant : il les héberge et les traite pour le compte du commerce, sur ses instructions, et pour la seule exécution du service.

Hello World Pro reste responsable du traitement pour ce qui le concerne en propre : le compte du commerçant, sa facturation, la sécurité du service. Ces traitements-là sont décrits dans la politique de confidentialité.

Pour faire fonctionner le service souscrit, Hello World Pro traite les données que le commerce saisit ou reçoit : identité et coordonnées de ses clients (nom, téléphone, e-mail, date d'anniversaire), rendez-vous, réservations et commandes, achats et tickets de caisse, cartes et points de fidélité, notes écrites par le commerce, messages envoyés à ses clients.

Deux catégories demandent plus de précautions, et ne sont traitées que si le commerce les utilise :

• les informations de santé notées par le commerce (allergies, contre-indications, précautions), catégorie particulière au sens de l'article 9 du RGPD : elles ne sont enregistrées qu'avec l'accord de la personne, accord daté sur sa fiche, et elles s'effacent avec elle ;
• la photo de la fiche d'un client, quand le commerce en pose une : rangée dans un espace fermé, jamais accessible par une adresse publique, servie par un lien temporaire d'une heure.

Ces données ne servent qu'à fournir le service au commerce. Elles ne sont ni vendues, ni louées, ni utilisées pour de la publicité, ni exploitées pour notre propre compte.

• Ne traiter ces données que sur instruction du commerce, dans les limites du service souscrit.
• N'y donner accès qu'aux personnes qui en ont besoin, tenues à la confidentialité.
• Protéger l'accès : échanges chiffrés, cloisonnement par établissement, double authentification disponible, sauvegardes.
• Aider le commerce à répondre aux demandes de ses clients (accès, rectification, effacement, opposition) et à ses obligations de sécurité.
• Prévenir le commerce sans délai injustifié en cas de violation de données le concernant, avec ce que nous en savons.
• Tenir à jour la liste des sous-traitants ultérieurs ci-dessous et prévenir avant d'en changer, pour que le commerce puisse s'y opposer.

Le commerce autorise Hello World Pro à faire appel aux prestataires suivants, pour les seuls besoins du service :

• Supabase : base de données et comptes (identité Hello ID), hébergés dans l’Union européenne.
• Vercel : hébergement de l’application, du back-office et des sites des commerces.
• Brevo : envoi des e-mails et des SMS (confirmations, rappels, notifications, messages aux clients) depuis la France.
• Stripe : paiements des abonnements, encaissements en ligne et facturation.
• Bunny : hébergement des photos et vidéos publiées par les commerces (stockage et diffusion dans l’Union européenne).
• Expo : acheminement des notifications vers l’iPhone ou l’appareil Android.
• Sentry : journal des erreurs techniques de l’application, pour les réparer.
• Cloudflare : vérification « je ne suis pas un robot » à la connexion, lorsqu’elle est activée.
• Google : fiche d’établissement et avis (Google Places), carte de fidélité dans Google Wallet, et la connexion avec un compte Google pour les seuls comptes de l’équipe Hello World Pro.
• Apple : carte de fidélité dans Apple Wallet, et paiement par carte sur l’iPhone lorsqu’il est activé.

Certains peuvent traiter des données hors de l'Union européenne ; dans ce cas, des garanties appropriées (clauses contractuelles types de la Commission européenne) encadrent ces transferts.

• N'enregistrer que des données utiles à son activité, et informer ses clients de ce qu'il en fait.
• Recueillir le consentement nécessaire à ses messages commerciaux, et respecter les refus : une carte de fidélité s'obtient sans accepter la publicité, et un refus vaut partout.
• Garder ses accès pour lui et retirer ceux des personnes qui quittent son équipe.

Le jour où le contrat prend fin, le commerce peut demander l'export de son fichier clients en fichier tableur. Ses données sont ensuite effacées sous 30 jours, sauf ce que la loi impose de garder : les pièces de caisse, conservées six ans, dont les soldes des cartes cadeaux en cours.

L'échéance d'effacement est enregistrée le jour du départ, pour que le délai annoncé soit celui qui s'applique.

Pour toute question sur ce contrat, ou pour exercer une demande au titre du RGPD, écrivez à contact@helloworldcommunication.com. Une réclamation peut aussi être adressée à la CNIL (www.cnil.fr).