1. Pourquoi cela vous concerne
Au sens de la loi 09-08, l'établissement qui offre la carte de fidélité est le responsable de traitement : c'est vous qui décidez de l'existence du programme, et les données de vos clients sont collectées en votre nom. KartaPass agit comme votre sous-traitant au titre de l'Accord de sous-traitance. Le dépôt CNDP vous incombe donc — une déclaration par établissement, avant le lancement du programme. Traiter sans déclaration est passible d'une amende de 10 000 à 100 000 MAD (doublée pour les personnes morales).
2. Ce qu'il faut déposer
- Une déclaration préalable de votre traitement de gestion clients (formulaire F-211, ou F-214 simplifié si votre pratique correspond à une décision type de la CNDP) — déposée sur le portail en ligne de la CNDP, cndp-forms.ma ;
- Une notification de transfert à l'étranger (formulaire F-118), déposée avec la déclaration : la livraison d'un pass vers Apple Wallet ou Google Wallet envoie les données du pass à Apple Inc. ou Google LLC aux États-Unis. Le transfert repose sur le consentement exprès de votre client, recueilli pour vous sur le formulaire d'inscription.
La CNDP délivre un récépissé ; conservez son numéro — il doit figurer dans vos mentions d'information aux clients.
3. Les informations que les formulaires demandent sur votre sous-traitant
- Sous-traitant : [COMPANY NAME], immatriculée au Registre de commerce de [CITY] sous le n° [RC], ICE [ICE], siège social [ADDRESS], contact [EMAIL] ;
- Finalité du traitement : gestion d'un programme de fidélité clients — inscription, livraison de la carte numérique vers Apple Wallet / Google Wallet, suivi des visites et des points, et messages de la carte ;
- Données collectées : prénom, nom, numéro de téléphone, email et date d'anniversaire facultatifs ; données de carte et de points ; historique des visites (date, points, montant payé, note facultative, point de vente) ; preuves de consentement ;
- Destinataires : votre établissement (vos propres clients uniquement), Apple Inc. ou Google LLC (livraison du pass, États-Unis), l'hébergeur (Union européenne), le fournisseur d'email (emails transactionnels) ;
- Conservation : données de carte et d'identité pendant la vie de la carte et jusqu'à effacement ; historique des visites 24 mois ; enregistrements techniques wallet de 90 jours à 6 mois ; logs techniques 30 jours ;
- Mesures de sécurité : transport chiffré (HTTPS/TLS), secrets sensibles chiffrés au repos, mots de passe hachés, accès par rôle, isolation par établissement, codes de scan protégés contre la falsification ;
- Droits des personnes : accès, rectification, opposition et effacement exercés via votre tableau de bord (effacement immédiat) ou [EMAIL].
4. Ce que la plateforme applique déjà pour vous
- Consentement d'abord : aucune carte n'est créée sans que le client coche le consentement au traitement sur le formulaire d'inscription — le moment de l'acceptation est enregistré ;
- Opt-in marketing (art. 10) : les pushs promotionnels n'atteignent que les clients ayant donné un consentement distinct, révocable à tout moment ;
- Effacement à la demande : supprimer un client retire immédiatement ses données personnelles tout en conservant vos statistiques anonymes ;
- Conservation automatique : l'historique des visites et les enregistrements techniques sont purgés selon le calendrier ci-dessus, sans aucune action de votre part.
5. Où déposer
Les déclarations et demandes de transfert se déposent sur le portail de la CNDP : www.cndp-forms.ma. Formulaires, décisions types et guides : www.cndp.ma. La CNDP accuse réception des déclarations par un récépissé et répond aux demandes de transfert sous deux mois.
Ce kit est un guide pratique pour vous aider à déposer — ce n'est pas un conseil juridique. Pour votre situation particulière, consultez un avocat ou la CNDP.
6. Questions
Nous vous aidons volontiers à remplir les formulaires : [EMAIL].
Accord de sous-traitance des données · Politique de confidentialité · Conditions Générales d'Utilisation et de Vente