Accord de traitement des données

1. Parties et objet

Le présent Accord de traitement des données (l'« Accord ») est conclu entre le commerçant utilisateur de la plateforme Kartalik (vous) et NOVASTACK SARL, au capital de 100 000 MAD, immatriculée au Registre de commerce de Marrakech sous le n° 185521, dont le siège social est situé APPT N 7 ETG 2 LOT AL MASAR N 643, Marrakech (l'« Éditeur » — nous). Il s'applique à toutes les données personnelles de vos clients finaux traitées sur le Service et prend effet dès que vous utilisez le Service.

2. Rôles

Vous et nous sommes conjointement responsables des données personnelles de vos clients finaux (loi 09-08, art. 1-5). Vous décidez d'offrir une carte de fidélité, conduisez votre programme et ne voyez que vos propres clients. Nous exploitons la plateforme : nous fixons les formulaires, les durées de conservation et la sécurité, remettons les cartes dans Apple Wallet et Google Wallet, et déclarons le traitement et ses transferts à la CNDP. Pour les données de votre propre compte marchand, nous sommes responsable de traitement — comme décrit dans la Politique de confidentialité.

Le même partage s'applique à vos cartes de visite numériques : vous décidez de publier une carte et d'inviter les personnes qui la scannent à laisser leurs coordonnées ; nous exploitons la plateforme et déclarons le traitement.

3. Traitements couverts par cet accord

Objet : l'exploitation de cartes de fidélité numériques et de cartes de visite numériques dans Apple Wallet et Google Wallet, pour vos clients et pour les personnes qui scannent votre carte.
Durée : tant que vous utilisez le Service, plus le délai de suppression ci-dessous.
Personnes concernées : vos clients finaux titulaires d'une carte de fidélité, les visiteurs qui choisissent de laisser leurs coordonnées sur l'une de vos cartes de visite numériques, et les membres de votre personnel pour lesquels vous créez un compte de gestionnaire de scan.
Catégories de données : identité et coordonnées (prénom, nom, téléphone, e-mail et date d'anniversaire facultatifs), données de carte (wallet choisi, solde de points, état d'installation), historique des visites (date, points, montant payé, note facultative, point de vente où le scan a eu lieu), preuves de consentement et, pour votre personnel, les données de leur compte ainsi que la trace du compte ayant effectué chaque scan.
Catégories de données pour une carte de visite numérique : le nom, le numéro de téléphone ou l'adresse e-mail et la société facultative qu'un visiteur a choisi de laisser, son enregistrement de consentement, et la chaîne des partages montrant comment votre carte est passée d'une personne à l'autre — un point de cette chaîne ne porte aucune identité propre tant que personne ne lui en attache une en laissant ses coordonnées.
Finalités : la création et la délivrance de la carte, l'enregistrement des visites et des points, l'envoi de messages push sur la carte, la restitution des coordonnées laissées sur une carte de visite numérique ainsi que de l'enregistrement de sa circulation, et la sécurité du Service.

4. Nos engagements

Nous n'utilisons les données de vos clients que pour faire fonctionner le Service — jamais pour notre propre prospection. Nous ne les vendons jamais, ne les louons jamais et ne les utilisons jamais à des fins publicitaires.
Nous en garantissons la confidentialité : l'accès est limité à ce que l'exploitation du Service exige, protégé par authentification et contrôle d'accès par rôle, et chaque établissement ne voit jamais que ses propres clients.
Nous les sécurisons : transport chiffré (HTTPS/TLS), secrets sensibles des cartes chiffrés au repos, mots de passe hachés, isolation des établissements imposée en base de données, et codes de scan protégés contre la falsification.
Nous vous assistons pour les demandes des personnes concernées : votre tableau de bord vous permet d'effacer immédiatement les données personnelles d'un client, et nous répondons à toute demande que vous nous transmettez dans le délai légal.
Nous vous notifions toute violation portant sur les données de vos clients sans retard injustifié et, en tout état de cause, dans les 72 heures après en avoir pris connaissance, avec ce que nous savons : la nature de la violation, les catégories et le nombre approximatif de clients concernés, les conséquences probables et les mesures prises. Lorsque nous ne pouvons pas tout communiquer en une fois, nous le faisons de manière échelonnée et sans autre délai, afin que vous puissiez remplir vos propres obligations de notification.
Nous supprimons sur demande : effacer un client depuis votre tableau de bord retire immédiatement ses données d'identité, et une carte laissée inutilisée est effacée automatiquement 36 mois après sa dernière visite ; les enregistrements de visite eux-mêmes subsistent, dépouillés de tout ce qui nomme le client.
Pour une carte de visite numérique, vous effacez une seule coordonnée depuis la liste des contacts de la carte, et supprimer la carte supprime toutes les coordonnées qui y ont été laissées ; la personne peut aussi écrire à contact@kartalik.com. L'effacement laisse subsister le point anonyme dans la chaîne des partages, afin que la chaîne de personne d'autre ne soit rompue.
Notre personnel et toute personne que nous autorisons à traiter les données de vos clients sont tenus à une obligation de confidentialité qui subsiste après la fin de leur mission.
Nous vous assistons, compte tenu de la nature du traitement et des informations dont nous disposons, pour assurer la sécurité du traitement, pour notifier les violations à la CNDP et aux clients concernés, et pour toute consultation préalable de la CNDP.
Nous ne supprimons rien à la fin d'un abonnement. Mettre fin à un abonnement met seulement la carte de fidélité hors ligne, de sorte qu'un renouvellement la rétablit exactement telle qu'elle était — les données restent tant que vous n'en demandez pas la suppression. Pour clôturer votre compte, écrivez à contact@kartalik.com depuis l'adresse e-mail rattachée au compte ; nous supprimons ou anonymisons les données de vos clients dans les 30 jours suivant cette demande et nous vous le confirmons une fois fait, sauf si la loi impose d'en conserver une partie plus longtemps.
Nous vous informons avant d'ajouter ou de remplacer un prestataire qui reçoit les données de vos clients, afin que vous puissiez vous y opposer avant que le changement ne s'applique à vos données.

5. Vos engagements

Vous n'avez rien à déposer à la CNDP pour le Service : nous déclarons les traitements de la plateforme et leurs transferts, et la page d'adhésion cite notre numéro de récépissé. Tout traitement que vous menez en dehors du Service — un fichier clients à vous, des exports — reste à déclarer par vous.
Vous informez vos clients et recueillez leur consentement — le formulaire d'inscription le fait pour vous et enregistre le moment où chaque client a accepté.
Vous n'utilisez les données qu'à des fins légitimes de fidélisation, respectez les désinscriptions et répondez aux demandes d'accès, de rectification et de suppression de vos clients — le tableau de bord vous en donne les outils.
Vous préservez la confidentialité de vos identifiants de connexion et gérez les accès de votre personnel de manière responsable. Chaque scan étant enregistré au nom du compte qui l'a effectué, vous en informez le membre du personnel concerné avant de créer son compte, et vous désactivez les comptes des personnes ayant quitté l'établissement.

6. Prestataires et destinataires

Le Service s'appuie sur les prestataires suivants, strictement pour le fournir :

Apple Inc. (États-Unis) — livre et met à jour les passes Apple Wallet des clients ayant choisi Apple Wallet ;
Google LLC (États-Unis) — livre et met à jour les passes Google Wallet des clients ayant choisi Google Wallet ;
Hostinger International Ltd. — hébergement ET acheminement des e-mails, sur des serveurs situés dans l'Union européenne ; il envoie les e-mails transactionnels décrits dans la Politique de confidentialité.
OpenStreetMap Foundation (Royaume-Uni) — ses fonds de carte et sa recherche d'adresse sont chargés par VOTRE navigateur sur le sélecteur d'emplacement du tableau de bord ; elle voit l'adresse de votre navigateur, jamais les données de vos clients ;

Au-delà de ceux-ci, nous ne faisons appel à aucun autre prestataire. Le Service ne comporte aucun prestataire de mesure d'audience, aucune régie publicitaire et aucun service d'enrichissement de données clients.

7. Transferts internationaux

L'hébergement reste dans l'Union européenne, qui figure sur la liste CNDP des pays assurant un niveau de protection suffisant. La livraison d'un pass vers Apple Wallet ou Google Wallet transfère les données du pass vers les États-Unis, qui ne figurent pas sur cette liste : le transfert repose sur le consentement exprès du client donné à l'inscription (art. 44) ; nous déposons nous-mêmes les demandes de transfert à la CNDP, vous n'avez rien à déposer.

8. Messages marketing

La plateforme applique pour vous l'article 10 de la loi 09-08 : les pushs marketing n'atteignent que les clients ayant donné un consentement distinct à l'inscription, et les mises à jour de solde après une visite sont des messages de service, pas du marketing. Vous restez responsable du contenu des campagnes que vous envoyez.

9. Audit et information

Sur demande écrite, nous fournissons les informations raisonnablement nécessaires pour démontrer le respect du présent Accord — y compris nos mesures de sécurité et la liste de nos prestataires —, nous autorisons les audits et inspections que vous ou un auditeur mandaté par vous menez et y contribuons, et nous coopérons à tout contrôle de la CNDP concernant ce traitement.

10. Responsabilité et primauté

Chaque partie répond de ses propres obligations au titre de la loi 09-08. En cas de contradiction entre le présent Accord et les Conditions Générales d'Utilisation et de Vente, l'Accord prévaut pour tout ce qui concerne les données personnelles de vos clients. Les limitations de responsabilité des Conditions s'appliquent.

11. Contact

Pour toute question sur cet accord ou sur les données de vos clients : contact@kartalik.com — APPT N 7 ETG 2 LOT AL MASAR N 643, Marrakech.

Conditions Générales d'Utilisation et de Vente · Politique de confidentialité · Conformité CNDP