1. Rôles
Le commerce agit comme responsable du traitement pour son programme de fidélité : il en détermine les finalités, les données nécessaires et les communications. Julien Guy, exploitant de Fastamp, agit comme sous-traitant technique pour les opérations décrites ci-dessous. Chaque partie respecte les obligations qui lui incombent selon la loi fédérale suisse sur la protection des données.
2. Traitements confiés
| Objet | Création et gestion de cartes de fidélité virtuelles. |
| Durée | Durée de l’abonnement, puis période technique de suppression de 30 jours. |
| Personnes concernées | Clients et prospects inscrits auprès du commerce. |
| Données | Identité, email, éventuelles coordonnées historiques, identifiant de carte, solde, transactions, visites, récompenses, informations Wallet, scores prédictifs et données techniques nécessaires aux notifications. |
| Opérations | Collecte, enregistrement, consultation, mise à jour, analyse du rythme de fréquentation, recommandation ou automatisation des relances autorisées, transmission technique aux Wallets, export, suppression et anonymisation. |
3. Instructions du commerce
Fastamp traite les données uniquement pour fournir le service, assurer sa sécurité, répondre au support et exécuter les instructions documentées disponibles dans l’interface. Une instruction qui semble contraire au droit applicable peut être suspendue le temps d’obtenir une clarification.
4. Engagements de Fastamp
- limiter l’accès aux personnes qui en ont besoin ;
- imposer une obligation de confidentialité ;
- mettre en œuvre des mesures techniques et organisationnelles proportionnées aux risques ;
- aider raisonnablement le commerce à répondre aux demandes des personnes concernées ;
- informer le commerce sans retard injustifié d’une violation de sécurité concernant ses données ;
- restituer, supprimer ou anonymiser les données à la fin du service, sauf obligation légale contraire.
5. Mesures de sécurité
- communications chiffrées par HTTPS/TLS ;
- mots de passe stockés sous forme de hash et sessions sécurisées ;
- séparation logique des données par commerce ;
- contrôles d’accès administrateur et commerçant ;
- limitation des tentatives de connexion ;
- identifiants de carte et jetons techniques uniques ;
- journaux techniques et outils d’export et de sauvegarde ; les sauvegardes dépendent de la configuration et des services souscrits.
6. Sous-traitants ultérieurs
- Vercel : hébergement de l’application ;
- Prisma Postgres : base de données, région Paris, France (West) — cdg1 ;
- Apple : génération, installation et mise à jour des passes ;
- Google : génération, installation et mise à jour des passes.
- Resend : envoi des emails transactionnels lorsqu’il est configuré.
- OpenAI : assistance à la rédaction de Signals lorsqu’elle est configurée, à partir de chiffres agrégés et du contexte du programme, sans données clients individuelles.
Le commerce autorise ces prestataires. Fastamp peut les remplacer pour des raisons opérationnelles, à condition de maintenir un niveau de protection approprié et d’informer les commerçants d’un changement important.
7. Transferts internationaux
La base principale est située en France. Certains fournisseurs internationaux peuvent traiter des données techniques hors de Suisse ou de l’Espace économique européen. Fastamp s’appuie alors sur les garanties contractuelles et mécanismes de protection proposés par ces fournisseurs, selon le droit applicable.
8. Contrôle et coopération
Sur demande raisonnable, Fastamp fournit les informations nécessaires pour démontrer le respect du présent accord. Un audit supplémentaire doit être proportionné, annoncé à l’avance, protéger les autres clients et ne pas compromettre la sécurité. Les coûts inhabituels peuvent être facturés après accord préalable.