Accord sur le traitement des données

Dernière mise à jour : Novembre 12, 2026

Yollty S.A. · 74, rue du Canal, L-4051 Esch-sur-Alzette, Grand-Duché de Luxembourg · R.C.S. Luxembourg B205415

Le présent Accord sur le traitement des données (l'« APD ») fait partie intégrante du Contrat liant Yollty et le Client professionnel pour l'utilisation de la plateforme Yollty Hub, tel que défini dans les Conditions générales de vente de Yollty (les « Conditions »). Il définit les modalités selon lesquelles Yollty traite les données à caractère personnel pour le compte du Client professionnel, conformément à l'article 28 du Règlement général sur la protection des données.

Parties

Le Client professionnel, tel qu'identifié lors de l'inscription en ligne ou dans le formulaire de demande d'abonnement, agissant en qualité de responsable de traitement (le « Responsable de traitement »).
Yollty S.A., société anonyme de droit luxembourgeois, dont le siège social est situé au 74, rue du Canal, L-4051 Esch-sur-Alzette, Grand-Duché de Luxembourg, immatriculée au R.C.S. Luxembourg sous le numéro B205415, agissant en qualité de sous-traitant (le « Sous-traitant »).

Définitions

Les termes non définis dans le présent APD ont la signification qui leur est donnée dans les Conditions générales ou dans le RGPD.

« RGPD » désigne le Règlement (UE) 2016/679 et, le cas échéant, le RGPD britannique (UK GDPR) ainsi que la loi britannique sur la protection des données de 2018 (UK Data Protection Act 2018).
« Lois sur la protection des données » désigne le RGPD ainsi que toute autre loi relative à la protection des données ou à la vie privée applicable au traitement effectué dans le cadre du présent APD, y compris les lois transposant la directive ePrivacy.
« Données client Hub » désigne les données à caractère personnel des Clients finaux collectées via ou importées dans Yollty Hub, telles que décrites à l'Annexe 1.
« Clients finaux » désigne les clients du Client professionnel ainsi que toute autre personne physique dont les données à caractère personnel sont traitées via Yollty Hub.
« Violation de données à caractère personnel » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données client Hub, ou l'accès non autorisé à celles-ci.
« Sous-traitant » désigne tout tiers engagé par Yollty pour traiter des données client Hub pour son compte.

Le présent DPA s'applique uniquement à Yollty Hub. Il ne s'applique pas à la plateforme Yollty Classic, pour laquelle l'article 22.2.1 des Conditions s'applique.

1. Rôles des parties

1.1. Le Client professionnel est le responsable du traitement des données client Hub et Yollty en est le sous-traitant.

1.2. L'objet, la durée, la nature et la finalité du traitement, les types de données à caractère personnel et les catégories de personnes concernées sont décrits à l'Annexe 1.

1.3. Yollty agit en tant que responsable de traitement indépendant, et non en tant que sous-traitant, pour : (a) les données de compte, de contact et de facturation du Client professionnel et des utilisateurs de son tableau de bord ; (b) les données d'utilisation, de support et de sécurité relatives au fonctionnement de Yollty Hub, telles que les journaux d'accès et les rapports d'erreur ; et (c) les données agrégées à partir desquelles aucun client final ne peut être identifié, que Yollty peut utiliser pour exploiter, sécuriser et améliorer Yollty Hub. La politique de confidentialité de Yollty décrit ce traitement.

2. Instructions

2.1. Yollty traite les données client Hub uniquement sur instructions documentées du Client professionnel, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers, sauf obligation contraire prévue par le droit de l'UE ou d'un État membre. Dans ce cas, Yollty informera le Client professionnel de cette exigence légale avant le traitement, sauf si la loi l'interdit.

2.2. Les Conditions, le présent DPA ainsi que l'utilisation et la configuration de Yollty Hub par le Client professionnel (y compris ses paramètres, campagnes, automatisations et segments) constituent les instructions complètes du Client professionnel.

2.3. Yollty informera immédiatement le Client professionnel si, à son avis, une instruction enfreint les lois sur la protection des données.

3. Confidentialité

Yollty veille à ce que toutes les personnes autorisées à traiter les données client Hub soient soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à la fourniture des services Yollty.

4. Sécurité

4.1. Yollty met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données client Hub, en tenant compte de l'état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement. Ces mesures sont décrites à l'Annexe 2.

4.2. Yollty peut mettre à jour ces mesures au fil du temps, à condition qu'elles continuent de garantir un niveau de sécurité approprié au risque, tel que requis par l'article 32 du RGPD.

5. Sous-traitants

5.1. Le Client professionnel donne à Yollty l'autorisation générale de faire appel à des sous-traitants. Les sous-traitants utilisés à la date du présent DPA sont listés à l'Annexe 3.

5.2. Yollty informera le Client professionnel de tout ajout ou remplacement envisagé d'un sous-traitant au moins 30 jours à l'avance, par e-mail ou via Yollty Hub. Le Client professionnel peut s'y opposer pour des motifs raisonnables liés à la protection des données dans ce délai. Si les parties ne parviennent pas à résoudre l'objection, le Client professionnel peut résilier le Contrat sans qu'aucune indemnité ne soit due, et Yollty remboursera les frais payés d'avance pour la période postérieure à la résiliation.

5.3. Yollty impose à chaque sous-traitant, par contrat écrit, des obligations de protection des données offrant au moins le même niveau de protection que le présent DPA (ce qui peut correspondre aux conditions standard de traitement des données du sous-traitant), et demeure pleinement responsable envers le Client professionnel de l'exécution des prestations de ses sous-traitants, sous réserve de la Clause 13.

5.4. Les services que le Client professionnel choisit de connecter à Yollty Hub, tels que son système de point de vente (par exemple Square, Loyverse ou Epos Now), son profil Google Business ou son propre fournisseur de nom de domaine, ne sont pas des sous-traitants. Yollty échange des données client Hub avec ces services sur instruction du Client professionnel lorsque celui-ci active la connexion, et l'accord propre au Client professionnel avec le fournisseur régit le traitement effectué par ce dernier. De même, lorsqu'un sous-traitant listé à l'Annexe 3 traite également des données client Hub en tant que responsable de traitement indépendant, par exemple Google ou Apple une fois qu'un client final a enregistré un pass dans son Google Wallet ou Apple Wallet, cette partie de son traitement est régie par les propres conditions du fournisseur avec le client final, telles que les conditions de leur compte Apple ou Google, et n'est pas effectuée pour le compte de Yollty ou du Client professionnel.

6. Transferts internationaux

6.1. Yollty stocke les Données des Clients Hub dans l'Union européenne (Google Cloud, région Belgique). Certains sous-traitants listés à l'Annexe 3 traitent des données limitées des Clients Hub en dehors de l'Espace économique européen, tel que décrit dans ladite annexe.

6.2. Lorsque les Données des Clients Hub sont transférées vers un pays situé en dehors de l'Espace économique européen ou du Royaume-Uni qui ne fait pas l'objet d'une décision d'adéquation, Yollty veille à ce que le transfert soit protégé par des garanties appropriées, telles que les Clauses Contractuelles Types (« CCT ») de la Commission européenne et, pour les transferts depuis le Royaume-Uni, l'Addendum britannique relatif au transfert international de données.

7. Demandes des personnes concernées

7.1. Compte tenu de la nature du traitement, Yollty aide le Client professionnel, via les fonctionnalités de Yollty Hub ou par tout autre moyen, à répondre aux demandes des Clients finaux visant à exercer leurs droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition.

7.2. Lorsque Yollty Hub propose des fonctionnalités permettant aux Clients finaux d'exercer eux-mêmes leurs droits, comme la modification de leurs préférences de communication ou la suppression de leur compte, le Client professionnel donne instruction à Yollty d'exécuter ces demandes automatiquement via ces fonctionnalités, telles qu'elles sont mises à disposition, et le résultat est affiché dans Yollty Hub. Si Yollty reçoit une autre demande directement, elle la transmettra au Client professionnel sans délai injustifié et n'y répondra pas elle-même, si ce n'est pour confirmer que la demande a bien été transmise.

8. Violations de données à caractère personnel

8.1. Yollty notifie le Client professionnel sans délai injustifié, et en tout état de cause dans les 48 heures, après avoir pris connaissance d'une violation de données à caractère personnel affectant les Données des Clients Hub.

8.2. La notification décrira, dans la mesure du possible au moment de la communication, la nature de la violation, les catégories et le nombre approximatif de Clients finaux et d'enregistrements concernés, les conséquences probables, ainsi que les mesures prises ou proposées. Yollty fournira des informations complémentaires au fur et à mesure qu'elles seront disponibles.

8.3. Yollty prend des mesures raisonnables pour contenir et remédier à la violation, et aide le Client professionnel à remplir ses obligations de notification auprès de l'autorité de contrôle et des Clients finaux.

9. Assistance à la conformité

Compte tenu de la nature du traitement et des informations à sa disposition, Yollty apporte une assistance raisonnable au Client professionnel pour le respect de ses obligations au titre des articles 32 à 36 du RGPD, y compris les analyses d'impact relatives à la protection des données et les consultations préalables auprès des autorités de contrôle, lorsque celles-ci concernent Yollty Hub.

10. Audits

10.1. Yollty met à la disposition du Client professionnel, sur demande écrite, les informations raisonnablement nécessaires pour démontrer la conformité à l'article 28 du RGPD, sous une forme choisie par Yollty, telle que le présent DPA et ses annexes, un résumé écrit de ses mesures de sécurité ou des réponses à un questionnaire de sécurité. Yollty n'est pas tenue de divulguer des informations confidentielles, concernant ses autres clients ou susceptibles de mettre en péril la sécurité de Yollty Hub. Le Client professionnel ne peut formuler une telle demande qu'une fois par an, sauf en cas de violation de données à caractère personnel.

10.2. Lorsque ces informations ne sont pas suffisantes, le Client professionnel peut réaliser un audit, ou le faire réaliser par un auditeur indépendant tenu à la confidentialité, au maximum une fois par an (sauf si une autorité de contrôle l'exige, ou si l'audit fait suite à une violation de données à caractère personnel), avec un préavis écrit d'au moins 30 jours, pendant les heures normales de bureau et sans perturber les activités de Yollty. Chaque partie supporte ses propres frais, sauf si l'audit révèle un manquement substantiel au présent DPA par Yollty.

11. Restitution et suppression des données

11.1. À la résiliation du Contrat, le Client professionnel peut exporter les Données des Clients Hub depuis Yollty Hub dans un délai de 30 jours.

11.2. Après cette période, Yollty supprime les Données des Clients Hub, y compris les copies existantes, sauf si le droit de l'UE ou d'un État membre exige leur conservation. Les copies de sauvegarde sont écrasées conformément au cycle de sauvegarde de Yollty, et en tout état de cause dans un délai de 30 jours. Lorsque le Client professionnel supprime un Client final pendant la durée du Contrat, Yollty conserve un hachage à sens unique du numéro de téléphone de ce Client final, à partir duquel le numéro ne peut être récupéré, et l'utilise uniquement pour prévenir la fraude et l'utilisation abusive du programme du Client professionnel et pour protéger la sécurité de Yollty Hub, par exemple pour éviter que des avantages de bienvenue ne soient accordés à nouveau si la même personne s'inscrit une seconde fois. Le hachage est supprimé avec le reste des Données des Clients Hub conformément à la présente clause.

12. Obligations du Client professionnel

12.1. Le Client professionnel est responsable de disposer d'une base juridique valide pour le traitement des Données des Clients Hub. Cela inclut l'obtention du consentement des Clients finaux avant de leur envoyer des communications marketing par e-mail, SMS ou notification push, et de les informer conformément aux lois sur la protection des données.

12.2. Lorsque le Client Professionnel importe les coordonnées de Clients Finaux dans Yollty Hub, il garantit que ces données ont été collectées légalement et qu'il dispose d'une base juridique valide, y compris tout consentement requis, pour les traiter et pour envoyer des communications à ces Clients Finaux via Yollty Hub.

12.3. Le Client Professionnel ne doit pas utiliser Yollty Hub pour traiter des catégories particulières de données personnelles (telles que des données de santé) sans accord écrit préalable de Yollty.

12.4. Le Client Professionnel désigne une personne de contact pour les questions de protection des données lors de son inscription, dans Yollty Hub ou par e-mail à Yollty, et maintient ces informations à jour. Lorsqu'il a nommé un Délégué à la Protection des Données, il en communique les coordonnées.

12.5. Yollty met à disposition dans Yollty Hub une notice de confidentialité par défaut pour les Clients Finaux, émise au nom du Client Professionnel. Sauf si le Client Professionnel fournit sa propre notice de confidentialité dans Yollty Hub, le Client Professionnel adopte la notice par défaut comme étant la sienne, et Yollty l'affiche aux Clients Finaux dans l'application. Le Client Professionnel demeure responsable de vérifier que la notice qu'il utilise décrit précisément son traitement, en particulier tout traitement des données des Clients Finaux en dehors de Yollty Hub, et de maintenir à jour les informations qui y figurent.

13. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité énoncées dans les Conditions, dans la mesure permise par les lois sur la protection des données.

14. Ordre de priorité

En cas de conflit entre le présent DPA et les Conditions concernant le traitement des Données Client Hub, le présent DPA prévaut.

15. Durée et droit applicable

15.1. Le présent DPA prend effet à la date de conclusion du Contrat et reste en vigueur aussi longtemps que Yollty traite des Données Client Hub pour le compte du Client Professionnel.

15.2. Le présent DPA est régi par le droit luxembourgeois. Tout litige est soumis à la compétence exclusive des tribunaux du Luxembourg.

15.3. Le contact de Yollty pour les questions relatives à la protection des données est Alexandros Trepeklis ([email protected]).

Annexe 1 – Description du traitement

Objet : fourniture de la plateforme de fidélité et d'engagement client Yollty Hub au Client Professionnel.
Durée : la durée du Contrat, augmentée de la période d'exportation de 30 jours et de la période de suppression prévue à la clause 11.
Nature et finalité : hébergement et gestion du programme de fidélité du Client Professionnel ; enregistrement des Clients Finaux ; suivi des visites, des achats, des points et des récompenses ; émission de cartes Google Wallet et Apple Wallet ; collecte et gestion du consentement et des préférences de communication des Clients Finaux ; envoi de notifications push, d'e-mails et de SMS pour le compte du Client Professionnel ; segmentation et automatisations ; parrainage ; demandes de retours et d'avis ; intégrations de points de vente (POS) ; rapports et analyses ; promotions et roues de la fortune ; enregistrement et échange de récompenses via tablette pour le personnel ; vérification par téléphone et e-mail.
Catégories de personnes concernées : les Clients Finaux du Client Professionnel (membres du programme de fidélité), y compris les contacts importés par le Client Professionnel ; le personnel du Client Professionnel, dans la mesure où ils sont enregistrés dans le cadre des transactions, des enregistrements et des échanges de récompenses.
Types de données personnelles : nom ; adresse e-mail ; numéro de téléphone ; date de naissance, genre et photo de profil (si collectés) ; langue préférée ; identifiants de carte de fidélité et de portefeuille ; historique des visites et des transactions (date, magasin, montant, produits achetés) ; points, niveaux et récompenses ; bons de réduction, promotions et résultats de la roue de la fortune ; consentement et préférences de communication, avec l'adresse IP et les informations du navigateur enregistrées lors du recueil du consentement ; retours et évaluations ; informations de parrainage ; identifiants d'appareil pour les notifications push ; messages envoyés et leur statut de livraison ; identifiants client issus des systèmes de point de vente connectés ; noms et identifiants du personnel ; toute autre donnée personnelle que le Client Professionnel choisit de collecter ou d'importer via Yollty Hub, par exemple via des attributs de membre personnalisés ou des listes de contacts importées, sous réserve de la clause 12.3.
Catégories particulières de données : aucune, sauf accord écrit conformément à la clause 12.3.
Fréquence : continue, pour la durée du Contrat.

Annexe 2 – Mesures de sécurité techniques et organisationnelles

Yollty met en œuvre les mesures suivantes :

le chiffrement des données en transit (TLS) et au repos (AES-256, géré par Google Cloud) ;
un contrôle d'accès basé sur les rôles, avec un accès limité au personnel autorisé (y compris des limites d'accès par magasin pour les utilisateurs du tableau de bord et un code PIN personnel pour chaque utilisateur de tablette du personnel) ;
la séparation logique des données de chaque client professionnel (appliquée dans chaque requête de base de données par l'application) ;
des sauvegardes régulières (sauvegardes automatisées quotidiennes de la base de données conservées pendant 7 jours, avec récupération à un instant T) ;
la journalisation et la surveillance de l'accès aux systèmes de production (journaux d'audit Google Cloud ; les numéros de téléphone et les adresses e-mail sont masqués ou exclus des journaux d'application) ;
des pratiques de développement sécurisées et des mises à jour de sécurité régulières (les secrets sont conservés dans un coffre-fort de secrets géré, et les signatures sont vérifiées sur tous les webhooks entrants des points de vente) ;
des engagements de confidentialité pour le personnel et les sous-traitants ;
une procédure documentée pour la gestion des violations de données à caractère personnel.

Annexe 3 – Sous-traitants

Google Cloud EMEA Limited (Google Cloud Platform et Firebase) — Service : hébergement, base de données, stockage de fichiers, planification des tâches et notifications intégrées à l'application. Lieu : Union européenne (Belgique). Garantie : sans objet (UE) ; Addendum sur le traitement des données de Google Cloud, avec CCT pour tout accès depuis l'extérieur de l'EEE.
ActiveCampaign, LLC (Postmark) — Service : envoi d'e-mails. Lieu : États-Unis. Garantie : Cadre de protection des données UE-États-Unis ; CCT (Addendum sur le traitement des données de Postmark).
Twilio Inc. — Service : envoi de SMS et de codes de vérification par téléphone. Lieu : États-Unis. Garantie : Cadre de protection des données UE-États-Unis ; règles d'entreprise contraignantes de Twilio ; CCT (Addendum sur la protection des données de Twilio).
Google LLC (Firebase Cloud Messaging) — Service : envoi de notifications push. Lieu : États-Unis et autres sites de Google. Garantie : Cadre de protection des données UE-États-Unis ; CCT (Addendum sur le traitement des données de Google Cloud).
Google LLC (Google Wallet API) — Service : cartes Google Wallet. Lieu : États-Unis et autres sites de Google. Garantie : Cadre de protection des données UE-États-Unis.
Apple Inc. (Apple Push Notification service) — Service : mises à jour des cartes Apple Wallet (jetons de notification push de l'appareil uniquement ; la carte elle-même est téléchargée directement depuis Yollty). Lieu : États-Unis. Garantie : nécessaire à l'exécution du programme de fidélité du client professionnel pour le client final, qui a choisi d'ajouter sa carte à Apple Wallet (Article 49(1)(b) du RGPD) ; jetons de notification push de l'appareil uniquement.
Google LLC (Firebase Authentication) — Service : connexion des clients finaux et des utilisateurs du tableau de bord. Lieu : États-Unis et autres sites de Google. Garantie : Cadre de protection des données UE-États-Unis ; CCT (Addendum sur le traitement des données de Google Cloud).
Functional Software, Inc. (Sentry) — Service : surveillance des erreurs pour l'application, le tableau de bord et la tablette du personnel. Lieu : Union européenne (Allemagne). Garantie : sans objet (UE) ; Cadre de protection des données UE-États-Unis et CCT (Addendum sur le traitement des données de Sentry) pour les accès depuis les États-Unis.
Ably Realtime Ltd (Ably) — Service : mises à jour en temps réel du tableau de bord et de la tablette du personnel. Lieu : Royaume-Uni ; traitement mondial sur Amazon Web Services. Garantie : décision d'adéquation du Royaume-Uni ; CCT (Addendum sur le traitement des données d'Ably).

Version 1.0 · En vigueur le 11 novembre 2026