Conformité RGPD

Accord de traitement des données (DPA)

Version en vigueur du 30 août 2026.

Cet accord (Data Processing Agreement) est mis à disposition en ligne, sans demande préalable. Il fait partie intégrante des conditions générales d'utilisation et s'applique automatiquement dès que vous utilisez Habitu pour traiter des données personnelles de vos clients. Une version signée (PDF nominatif) reste disponible sur simple demande à rgpd@habitu.fr.

1. Parties et rôles

  • Responsable de traitement : vous, le commerçant utilisateur de Habitu. Vous déterminez les finalités et les moyens du traitement des données de vos clients.
  • Sous-traitant : VOLTAGE EI (Habitu), SIREN 943 808 824, Solaize (69360), France. Habitu traite les données uniquement pour votre compte et selon vos instructions documentées.

2. Objet, nature et finalité du traitement

Habitu héberge et opère un programme de fidélité dématérialisé : création et mise à jour de cartes dans Apple & Google Wallet, comptage des tampons/points, envoi de notifications et d'emails de fidélité auxquels le client a consenti, sollicitation d'avis, et statistiques agrégées destinées au commerçant. Aucune autre finalité, aucune revente, aucun usage publicitaire.

3. Durée

Le traitement dure aussi longtemps que vous utilisez Habitu, offre gratuite comprise. La résiliation du seul abonnement payant ne met pas fin au traitement : les cartes de vos clients restent actives sur l'offre gratuite. Le traitement cesse à la suppression de votre compte, les données étant alors supprimées ou restituées selon l'article 10 ci-dessous.

4. Catégories de personnes et de données

  • Personnes concernées : vos clients finaux qui s'inscrivent à votre carte de fidélité.
  • Données traitées : prénom, email et/ou téléphone (optionnels), historique de fidélité (tampons, points, dates de passage, récompenses), date d'inscription, et adresse IP au moment de l'inscription (preuve de consentement). Aucune donnée sensible au sens de l'article 9 du RGPD n'est requise.

5. Obligations de Habitu (article 28.3 du RGPD)

  • Traiter les données uniquement sur la base de vos instructions documentées (y compris les paramètres que vous configurez dans l'application).
  • Garantir la confidentialité : seules les personnes habilitées et tenues à la confidentialité accèdent aux données.
  • Mettre en œuvre les mesures de sécurité techniques et organisationnelles de l'article 32 (voir article 7).
  • Ne recourir à un sous-traitant ultérieur qu'avec une autorisation et en lui imposant les mêmes obligations (article 6).
  • Vous aider à répondre aux demandes d'exercice de droits de vos clients (accès, rectification, effacement, portabilité), via l'export CSV et la suppression intégrés à votre tableau de bord.
  • Vous aider à respecter vos obligations (sécurité, notification de violation, analyses d'impact) compte tenu des informations à notre disposition.
  • À la fin du contrat, supprimer ou restituer les données (article 9).
  • Mettre à votre disposition les informations nécessaires pour démontrer la conformité et permettre des audits (article 8).

6. Sous-traitants ultérieurs

Vous autorisez Habitu à recourir aux sous-traitants ultérieurs listés dans notre politique de confidentialité (Neon, Vercel, OVH, Stripe, Resend, Cloudinary, Apple/Google Wallet), chacun lié par un accord de traitement. Le stockage des données de fidélité est situé dans l'Union européenne ; certains prestataires sont des sociétés établies hors UE et interviennent dans les conditions de l'article 8. Toute modification de cette liste vous sera communiquée, vous laissant la possibilité de vous y opposer pour motif légitime.

7. Mesures de sécurité (article 32)

  • Chiffrement des données en transit (HTTPS/TLS) et au repos (base de données Neon chiffrée).
  • Mots de passe stockés sous forme de hachage (jamais en clair).
  • Cloisonnement strict par commerce : chaque requête est filtrée par identifiant de commerce, un commerçant ne peut jamais accéder aux données d'un autre.
  • Contrôle d'accès, journalisation des opérations sensibles, sauvegardes régulières.
  • Hébergement exclusivement dans l'Union européenne.

8. Transferts hors Union européenne

Les données de fidélité de vos clients (comptes, fichier clients, événements) sont stockées dans l'Union européenne : base de données à Francfort (Neon), exécution applicative à Paris (Vercel, région cdg1), email professionnel chez OVH à Roubaix. Deux prestataires techniques sont des sociétés établies aux États-Unis et peuvent impliquer un transfert encadré : Resend (acheminement des emails transactionnels, région us-east-1 : adresse email du destinataire et contenu du message) et Cloudinary (hébergement des logos et images, société américaine avec diffusion CDN européenne : fichiers image, sans données de fidélité). Ces transferts s'appuient sur les garanties de l'article 46 du RGPD (clauses contractuelles types et, le cas échéant, certification EU-U.S. Data Privacy Framework), les accords de traitement correspondants étant signés. Aucune donnée n'est transférée hors UE pour d'autres finalités.

9. Violation de données

En cas de violation de données à caractère personnel, Habitu vous en informe sans délai injustifié après en avoir pris connaissance, avec les éléments utiles pour vous permettre, le cas échéant, de notifier la CNIL dans les 72 heures.

10. Sort des données en fin de contrat

Deux cas à ne pas confondre. Résiliation de l'abonnement payant : votre compte bascule sur l'offre gratuite, vos données et les cartes de vos clients restent actives et le présent DPA continue de s'appliquer. Suppression du compte (action explicite de votre part) : les données sont marquées supprimées immédiatement puis effacées définitivement sous 30 jours (fenêtre de récupération), et les cartes Wallet de vos clients sont désactivées. Dans les deux cas, vous pouvez au préalable exporter votre fichier clients au format CSV depuis le tableau de bord (portabilité, article 20).

11. Droit applicable et contact

Le présent accord est régi par le droit français et complète la politique de confidentialité. Pour toute question relative à la protection des données : rgpd@habitu.fr.

Voir aussi : Politique de confidentialité · CGU · Mentions légales · Contact

Accord de traitement des données (DPA) · Habitu