Accord de sous-traitance (article 28 RGPD)
1. Parties et objet
Le présent accord lie le client de Stammo, responsable du traitement, et creaDIG, Muhammed Emin Akyol, Albert-Einstein-Straße 1, 49076 Osnabrück, Allemagne, sous-traitant. Il est conclu avec l'acceptation des CGV et dure aussi longtemps que le contrat principal. Il porte sur l'exploitation de la carte de fidélité digitale, du tableau de bord, du scanner et des messages.
2. Données et personnes concernées
- Clients finaux : numéro de carte aléatoire, tampons, dates de visite, établissement, consentement aux messages et sa date, identifiants d'appareil Wallet pour les mises à jour, avis facultatifs (étoiles, commentaire, éventuellement prénom et e-mail)
- Personnel du client : nom, adresse e-mail, rôle, données de connexion
La finalité est exclusivement la gestion du programme de fidélité et des analyses convenues.
3. Instructions
Le sous-traitant ne traite les données que sur instruction documentée du client, définie par le contrat et les réglages du tableau de bord. S'il estime qu'une instruction est illicite, il en informe le client sans délai.
4. Confidentialité et sécurité
- Transmission chiffrée (TLS) et stockage chiffré dans l'UE (Francfort-sur-le-Main)
- Séparation des données par client et accès selon les rôles
- Mots de passe hachés, limitation des tentatives de connexion, sessions sécurisées
- Minimisation : les cartes fonctionnent sans nom, téléphone ni e-mail
- Sauvegardes régulières et journalisation des accès
5. Sous-traitants ultérieurs
- Vercel Inc. (hébergement)
- Neon Inc. (base de données, région Francfort)
- Resend Inc. (e-mails système, région Irlande)
- Stripe Payments Europe Ltd. (paiement, données du client uniquement)
- Apple Inc. et Google LLC (diffusion des cartes Wallet et des mises à jour)
- Vercel AI Gateway (assistance IA, sans données des clients finaux)
Les transferts hors UE reposent sur le EU-US Data Privacy Framework ou sur les clauses contractuelles types. Tout nouveau sous-traitant est annoncé 4 semaines à l'avance par e-mail ; le client peut s'y opposer pour motif légitime.
6. Assistance et notification
Le sous-traitant aide le client à répondre aux demandes des personnes concernées et notifie toute violation de données sans délai, si possible dans les 24 heures après en avoir pris connaissance.
7. Audits
Le sous-traitant met à disposition les informations nécessaires. Un audit sur place est possible une fois par an sur rendez-vous, ou à tout moment en cas d'incident.
8. Fin du traitement
À la fin du contrat, les données sont restituées sur demande puis supprimées dans un délai de 30 jours, sauf obligation légale de conservation.
Version : octobre 2026