Quardy

1. Parties et objet

Le présent accord (« DPA ») encadre, conformément à l'article 28 du Règlement général sur la protection des données (RGPD), les traitements de données personnelles réalisés par Quardy pour le compte des commerçants qui utilisent le service.

• Le Commerçant, titulaire d'un compte commerçant Quardy, agit en qualité de responsable du traitement pour les données de ses clients.
• Damien Buchet, éditeur de Quardy (SIRET : 52825331300035, damien@quardy.app), ci-après « Quardy », agit en qualité de sous-traitant.

Ce DPA fait partie intégrante des Conditions Générales d'Utilisation. Il est accepté par le Commerçant lors de la création de son commerce et s'applique pendant toute la durée d'utilisation du service. Il ne couvre pas les données que Quardy traite pour son propre compte (comptes utilisateurs, facturation des abonnements), décrites dans la Politique de Confidentialité.

2. Description du traitement

• Finalité : gestion du programme de fidélité du Commerçant (cartes de fidélité, passages, récompenses, cartes cadeaux, campagnes de notifications, statistiques, export de la liste de clients)
• Nature des opérations : collecte, enregistrement, hébergement, consultation, mise à jour des passes Apple Wallet et Google Wallet, envoi de notifications et d'emails, export, suppression
• Personnes concernées : clients du Commerçant, bénéficiaires de ses cartes cadeaux, membres de son équipe
• Catégories de données : prénom et nom ; numéro de téléphone (clients ajoutés à la main) ; adresse email (clients ayant un compte, bénéficiaires de cartes cadeaux) ; solde et historique des passages, avec montant d'achat éventuel ; consentement marketing ; langue ; identifiants techniques des cartes et des appareils
• Données sensibles : aucune. Le service n'est pas conçu pour traiter des données sensibles au sens de l'article 9 du RGPD
• Durée : pendant toute la durée d'utilisation du service par le Commerçant

3. Obligations de Quardy

3.1 Instructions

Quardy traite les données uniquement sur instruction documentée du Commerçant. Ces instructions sont constituées par les CGU, le présent DPA et les actions réalisées par le Commerçant dans l'application. Si Quardy estime qu'une instruction enfreint la réglementation, elle en informe immédiatement le Commerçant.

3.2 Confidentialité

Quardy garantit que les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité. Quardy n'utilise jamais les données des clients du Commerçant à ses propres fins, ne les vend pas et ne les communique pas à d'autres commerçants.

3.3 Sécurité

Quardy met en œuvre les mesures techniques et organisationnelles décrites en annexe 2 pour garantir un niveau de sécurité adapté au risque.

3.4 Sous-traitants ultérieurs

Le Commerçant autorise Quardy à faire appel aux sous-traitants ultérieurs listés en annexe 1. Quardy leur impose des obligations de protection des données équivalentes à celles du présent DPA. Quardy informe le Commerçant de tout ajout ou remplacement de sous-traitant ultérieur, par la mise à jour de cette page et par email en cas de changement important. Le Commerçant peut s'y opposer en mettant fin à son utilisation du service.

3.5 Droits des personnes

L'application permet au Commerçant de consulter, corriger et supprimer les données de ses clients. Si un client s'adresse directement à Quardy pour une demande concernant les données détenues par le Commerçant, Quardy la transmet au Commerçant dans les meilleurs délais et l'aide à y répondre.

3.6 Violation de données

Quardy notifie au Commerçant toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles pour lui permettre de remplir ses propres obligations de notification.

3.7 Assistance

Quardy fournit au Commerçant, sur demande, les informations raisonnablement nécessaires pour réaliser une analyse d'impact ou répondre à une autorité de contrôle.

3.8 Sort des données

Avant de quitter le service, le Commerçant peut exporter sa liste de clients depuis l'application (offres payantes) ou en faire la demande par email. À la suppression du compte commerçant, le commerce est supprimé et les cartes de ses clients sont désactivées ; les clients disposant d'un compte Quardy conservent l'accès à leur propre carte jusqu'à ce qu'ils la suppriment.

3.9 Audit

Quardy met à la disposition du Commerçant les informations nécessaires pour démontrer le respect du présent DPA. Le Commerçant peut, à ses frais, demander un audit au plus une fois par an, avec un préavis de 30 jours, dans le respect de la confidentialité des données des autres commerçants.

4. Obligations du Commerçant

• Disposer d'une base légale pour les traitements qu'il confie à Quardy, et informer ses clients de l'utilisation de Quardy pour son programme de fidélité
• N'enregistrer que les données nécessaires au programme, et aucune donnée sensible (santé, opinions, etc.) dans les champs libres
• N'envoyer des campagnes de notifications qu'aux clients qui les ont acceptées (Quardy ne cible que ces clients)
• N'utiliser les données de ses clients que pour la gestion de son programme de fidélité, conformément aux CGU

5. Localisation et transferts

Les données sont hébergées dans l'Union européenne, sur Google Cloud (Firebase). Certains sous-traitants ultérieurs listés en annexe 1 peuvent traiter des données aux États-Unis ; ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis et/ou les clauses contractuelles types de la Commission européenne.

6. Responsabilité et durée

La responsabilité de chaque partie est régie par les CGU et par le RGPD. Le présent DPA s'applique tant que Quardy traite des données pour le compte du Commerçant. Il peut être mis à jour pour suivre l'évolution du service ou de la réglementation ; la date de dernière mise à jour est indiquée en bas de cette page.

Annexe 1 : sous-traitants ultérieurs

• Google Cloud / Firebase (Google) : hébergement, base de données, authentification, stockage, traitements serveur. Union européenne
• Apple : émission et mise à jour des passes Apple Wallet
• Google : émission et mise à jour des passes Google Wallet
• Resend : envoi des emails (cartes cadeaux, exports de clients). États-Unis
• Expo (650 Industries) : acheminement des notifications push des campagnes. États-Unis
• Sentry (Functional Software) : suivi des erreurs techniques. États-Unis

Annexe 2 : mesures de sécurité

• Chiffrement des données en transit (HTTPS/TLS) et au repos
• Hébergement en Europe sur une infrastructure Google Cloud
• Authentification des utilisateurs via Firebase Authentication, sans mot de passe stocké par Quardy
• Cloisonnement des données par règles d'accès côté serveur : chaque commerçant n'accède qu'aux données de ses propres clients
• Champs sensibles (abonnement, quotas) modifiables uniquement par le serveur
• Droits limités pour les membres d'équipe : scan des cartes uniquement, sans accès au fichier clients, aux campagnes ni aux paramètres
• Accès aux cartes Wallet sans compte protégé par un jeton secret propre à chaque carte
• Limitation du nombre de requêtes sur les points d'accès publics et sensibles
• Adresses IP conservées uniquement sous forme hachée
• Paiements traités exclusivement par Stripe, sans donnée bancaire chez Quardy
• Supervision des erreurs en continu