Accord de sous-traitance (DPA)

1. Parties

Le sous-traitant : Nuvy SASU, RCS Pontoise 104 162 219, dont le siège social est sis 4 rue des Chardonnerets, 95220 Herblay-sur-Seine, représentée par son Président Tristan Le Van.

Le responsable de traitement : le Commerçant partenaire ayant souscrit à un abonnement Nuvy (le « Client » au sens des CGV), identifié par son compte boutique sur la plateforme.

2. Objet et durée

Le présent accord a pour objet de définir les conditions dans lesquelles Nuvy traite, pour le compte du Commerçant, les données personnelles des clients finaux du Commerçant via la plateforme Nuvy.

La durée du présent accord est alignée sur celle du contrat principal (CGV). Il prend effet à la souscription et cesse à la résiliation du contrat, sous réserve des obligations qui survivent à sa fin (notamment effacement et restitution des données).

3. Description du traitement

Le détail des traitements effectués figure en Annexe 1 :

• Nature et finalité du traitement
• Catégories de personnes concernées et de données traitées
• Durée de conservation
• Mesures de sécurité techniques et organisationnelles (Annexe 2)
• Liste des sous-traitants ultérieurs autorisés (Annexe 3)

4. Obligations du sous-traitant

Nuvy s'engage à :

1. Traiter les données uniquement sur instruction documentée du Commerçant, telle que résultant des CGV, du paramétrage de la plateforme par le Commerçant, et des fonctionnalités utilisées.
2. Garantir la confidentialité des données traitées. Toute personne autorisée à traiter les données est tenue à un engagement contractuel de confidentialité.
3. Mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées au regard des risques (article 32 RGPD), telles que détaillées en Annexe 2.
4. Respecter les conditions de sous-traitance ultérieure définies à l'article 5.
5. Aider le Commerçant, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées exerçant leurs droits.
6. Aider le Commerçant à respecter ses propres obligations RGPD (analyse d'impact, notification de violation, consultation préalable de l'autorité de contrôle).
7. Notifier sans retard injustifié au Commerçant toute violation de données personnelles dont Nuvy aurait connaissance.
8. À la fin du contrat, supprimer ou restituer les données selon le choix du Commerçant, sous réserve des obligations légales de conservation.
9. Mettre à disposition du Commerçant toute information nécessaire pour démontrer le respect des obligations du présent accord.
10. Permettre les audits dans les conditions de l'article 9.

5. Sous-traitance ultérieure

Le Commerçant autorise expressément Nuvy à recourir aux sous-traitants ultérieurs listés en Annexe 3 pour la fourniture du service.

Nuvy s'engage à imposer à chacun de ses sous-traitants ultérieurs, par contrat ou autre acte juridique, les mêmes obligations de protection des données que celles fixées dans le présent accord, et notamment l'obligation de présenter des garanties suffisantes au regard de la mise en œuvre de mesures techniques et organisationnelles appropriées.

Toute modification de la liste des sous-traitants ultérieurs (ajout, remplacement) sera notifiée au Commerçant par email avec un préavis de 30 jours. Le Commerçant peut s'opposer à un changement pour motifs légitimes ; à défaut d'objection écrite dans le délai, le changement est réputé accepté. En cas d'objection, les parties chercheront une solution amiable ; à défaut, le Commerçant pourra résilier le contrat principal sans frais.

6. Transferts hors Union européenne

Certains traitements impliquent des transferts vers des pays tiers, notamment les États-Unis (Apple, Google, Railway). Ces transferts sont encadrés par les mécanismes prévus au chapitre V du RGPD :

• Clauses contractuelles types (CCT) adoptées par décision (UE) 2021/914 de la Commission européenne du 4 juin 2021, pour Railway, Stripe (le cas échéant) et Meta.
• Dérogation de l'article 49.1.b RGPD (transfert nécessaire à l'exécution du contrat conclu dans l'intérêt de la personne concernée) pour Apple Wallet et Google Wallet, ces services étant techniquement indispensables à la fonction même de la carte de fidélité numérique.

Le détail des sous-traitants et de la base juridique de chaque transfert figure en Annexe 3.

7. Droits des personnes concernées

Nuvy met à la disposition du Commerçant les outils et procédures suivants pour faciliter l'exercice des droits des personnes concernées :

• Droit d'accès et de portabilité : export des données client final au format CSV ou JSON, sous 5 jours ouvrés sur demande à contact@nuvy.pro.
• Droit de rectification : modification possible directement depuis le tableau de bord du Commerçant.
• Droit à l'effacement : suppression directe depuis le tableau de bord, ou par demande à Nuvy. Effacement effectif sous un mois maximum.
• Droit d'opposition au marketing : passage du flag consent_marketing_revoked_at à la date du retrait, désinscription effective immédiate de la liste de diffusion marketing.
• Droit à la limitation : sur demande, gel temporaire du traitement.

Lorsque la personne concernée s'adresse directement à Nuvy, Nuvy informe le Commerçant et l'aide à traiter la demande dans le délai légal d'un mois.

8. Notification de violation

En cas de violation de données personnelles affectant le traitement effectué pour le compte du Commerçant, Nuvy s'engage à :

• Notifier le Commerçant par email sans retard injustifié, et au plus tard 48 heures après en avoir pris connaissance.
• Fournir les informations suivantes : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou proposées pour remédier à la violation et atténuer ses effets.
• Apporter son assistance au Commerçant pour la notification éventuelle à la CNIL et aux personnes concernées.

Il appartient au Commerçant, en sa qualité de responsable de traitement, de déterminer s'il y a lieu de notifier la violation à la CNIL et/ou aux personnes concernées, et de procéder à cette notification le cas échéant.

9. Audits

Le Commerçant peut, à ses frais, effectuer ou faire effectuer par un tiers indépendant un audit de Nuvy aux fins de vérifier le respect du présent accord, dans les conditions suivantes :

• Préavis écrit minimum de 30 jours
• Pas plus d'un audit par période de 12 mois (sauf incident avéré)
• Champ de l'audit limité à ce qui est strictement nécessaire à la vérification des obligations du présent accord
• Conduite de l'audit dans des conditions ne perturbant pas l'activité de Nuvy
• Confidentialité stricte des informations recueillies

À défaut d'audit, Nuvy peut fournir les éléments suivants à la demande du Commerçant : description écrite des mesures de sécurité, certifications éventuelles, rapports de pentest récents (résumé exécutif), schéma d'architecture haut niveau.

10. Restitution et effacement

À la fin de la prestation, le Commerçant peut demander :

• L'export de la liste de ses clients finaux au format CSV, comprenant les champs suivants : prénom, nom, numéro de téléphone, date d'inscription, statut (actif / inactif). Cet export est livré sous 5 jours ouvrés à compter de la demande, gratuitement, dans les 60 jours suivant la résiliation.
• L'effacement de l'ensemble des données.

Sans demande explicite du Commerçant dans les 60 jours suivant la résiliation, Nuvy procède à l'effacement par défaut. Les données figurant dans les sauvegardes sont supprimées au fur et à mesure du cycle de rotation (7 jours pour Supabase Point-in-Time Recovery).

Les données analytiques transformées (historique détaillé des passages, segmentation comportementale, scores de fidélité, statistiques agrégées par client) constituent le savoir-faire technique de Nuvy et ne font pas partie du périmètre d'export. Elles sont supprimées avec le reste des données à l'expiration du délai de 60 jours.

Les données comptables (factures émises au Commerçant) sont conservées 10 ans conformément à l'article L123-22 du Code de commerce. Cela ne concerne pas les données des clients finaux du Commerçant.

Le présent article ne fait pas obstacle au droit individuel à la portabilité dont dispose chaque client final en application de l'article 20 du RGPD, exercé directement par le client final sur ses propres données.

11. Responsabilité

Chaque partie est responsable des dommages causés par un traitement qui constitue une violation du RGPD ou du présent accord, dans les conditions de l'article 82 RGPD. La répartition de la responsabilité entre Nuvy et le Commerçant suit la nature et l'étendue des obligations respectives, telles que définies dans le présent accord et dans le RGPD.

12. Évolution du présent accord

Le présent accord peut être modifié pour refléter des évolutions réglementaires (lignes directrices CNIL ou EDPB, jurisprudence européenne) ou opérationnelles (changement de sous-traitant ultérieur, évolution des mesures de sécurité). Toute modification substantielle est notifiée au Commerçant avec un préavis de 30 jours. En cas de désaccord, le Commerçant peut résilier le contrat principal sans frais avant la date d'entrée en vigueur des modifications.

Contact RGPD

Pour toute question relative au présent accord ou pour exercer un droit prévu par le RGPD :

• Par email : contact@nuvy.pro
• Par courrier : Nuvy SASU, 4 rue des Chardonnerets, 95220 Herblay-sur-Seine, France