RGPD et hébergement
RGPD et hébergement d'un logiciel de carte de fidélité : les questions à poser
La réponse courte
Avant de choisir un logiciel de carte de fidélité, vérifiez où sont hébergées les données de vos clients, comment leur accord est recueilli, comment on supprime une personne et quels sous-traitants interviennent. Chez Passcard, les données sont hébergées dans l'Union européenne, en Irlande, et chaque réponse est détaillée dans le tableau ci-dessous.
Écrit par l'équipe Passcard. Publié le , mis à jour le .
Les questions à poser à un logiciel de carte de fidélité, et ce que fait Passcard
| Question à poser | Pourquoi | Ce que fait Passcard |
|---|---|---|
| Où sont hébergées les données ? | Les données de vos clients doivent rester dans l'Union européenne, ou être transférées avec une garantie reconnue. | La base de données est en Irlande (Supabase, AWS eu-west-1) et l'application s'exécute à Dublin (Vercel, région dub1). Certains prestataires sont établis aux États-Unis : leurs transferts sont encadrés par le Data Privacy Framework UE-États-Unis ou par les clauses contractuelles types. |
| Qui est responsable du traitement ? | Le commerçant décide de la finalité des données de ses clients. Le logiciel les traite pour son compte, et un contrat doit le dire. | Le commerçant est responsable du traitement, Passcard est sous-traitant. Le contrat de sous-traitance (DPA) est publié sur la page /legal/dpa. |
| Comment le client donne-t-il son accord ? | L'inscription à un programme de fidélité repose sur le consentement du client, qui doit pouvoir être prouvé. | Une case à cocher explicite est présentée à l'inscription, avec le nom du commerçant, les données collectées et la finalité. L'accord est tracé (date et heure) et, sans case cochée, l'inscription est refusée. |
| Quelles données sont collectées ? | Moins on en collecte, moins il y a de risque et de réponses à donner en cas de demande d'un client. | Un prénom, et une adresse e-mail ou un numéro de téléphone. Le client n'a pas de compte et n'installe pas d'application. |
| Peut-on supprimer un client ? | Un client peut demander l'effacement de ses données, et le commerçant doit pouvoir y répondre. | Le commerçant supprime un client depuis son espace, ce qui efface ses données de la base. Une personne peut aussi exercer ses droits (accès, rectification, effacement, portabilité, opposition) en écrivant à communication@passcard.fr, réponse sous 30 jours au plus. |
| Qui sont les sous-traitants ultérieurs ? | Le logiciel fait lui-même appel à d'autres prestataires : vous devez pouvoir les connaître. | La liste des sous-traitants techniques, avec leur pays et la garantie de transfert, figure dans la politique de confidentialité et dans le DPA. |
Ce que cette page ne dit pas
Ce n'est pas un conseil juridique
Cette page liste des questions à poser et décrit ce que fait Passcard. Vos obligations de commerçant, responsable du traitement, sont expliquées par la CNIL, source officielle.
Des prestataires hors de l'Union européenne
Les données sont stockées en Irlande, mais certains prestataires sont des sociétés américaines (notifications Apple Wallet et Google Wallet, envoi d'e-mails, paiement). Leur liste et la garantie de chaque transfert sont publiées dans la politique de confidentialité.
Questions fréquentes
Mes données de fidélité sont-elles hébergées en Europe ?
Oui. La base de données de Passcard est en Irlande (Supabase, AWS eu-west-1) et l'application s'exécute à Dublin (Vercel, région dub1). Certains prestataires sont établis aux États-Unis, avec des transferts encadrés et listés dans la politique de confidentialité.
RGPD et logiciel de carte de fidélité : que faut-il vérifier ?
Le lieu d'hébergement, le consentement du client à l'inscription, la possibilité de supprimer ses données, le contrat de sous-traitance et la liste des sous-traitants ultérieurs. Le tableau de cette page reprend ces cinq points.
Le client doit-il donner son accord pour avoir une carte de fidélité ?
Chez Passcard, une case à cocher explicite est présentée à l'inscription et l'inscription est refusée sans elle. L'accord est tracé avec sa date et son heure. Les règles applicables à votre commerce sont détaillées par la CNIL.
Comment supprimer les données d'un client ?
Le commerçant supprime le client depuis son espace Passcard. Le client peut aussi écrire à communication@passcard.fr, avec une réponse sous 30 jours au plus.
Où trouver le contrat de sous-traitance ?
Le contrat de sous-traitance (DPA) de Passcard est public, à l'adresse /legal/dpa. Il précise le rôle de chacun et la liste des sous-traitants ultérieurs.