Encargado del tratamiento: Shams Factory · SIRET 88889743600026 · 43 Rue Talma, 94400 Vitry-sur-Seine

Acuerdo de encargo del tratamiento (DPA)

Última actualización: 27 de octubre de 2026 · Contacto: legal@cartia.fr

Este DPA complementa los términos de uso y la política de privacidad. Se aplica desde que usted usa Cartia con los datos de sus clientes (miembros del programa), como lo prevé el artículo 28 del RGPD (GDPR, Reglamento General de Protección de Datos de la Unión Europea).

1. Partes y funciones

• Responsable del tratamiento de datos: el comerciante (Cliente SaaS), que determina los fines y los medios de su programa de fidelidad.
• Encargado del tratamiento: Shams Factory (SIRET 88889743600026), que opera el Servicio Cartia y trata los datos de los Miembros finales por cuenta del comerciante, únicamente para prestar el Servicio (alojamiento, tarjeta digital, escaneo, panel de control, exportaciones, herramientas RGPD).

Rationalab es, igual que Cartia, un nombre y una actividad de Shams Factory. No es una sociedad distinta: misma persona jurídica, mismo SIRET. Solo Shams Factory es parte de este DPA, en calidad de encargado del tratamiento.

Respecto a los datos de la cuenta del comerciante (registro, autenticación, facturación, soporte), Cartia actúa como responsable del tratamiento de datos, fuera del alcance de este DPA.

2. Objeto del tratamiento

Fines: ejecución del programa de fidelidad digital del comerciante mediante Cartia.

Categorías de titulares de los datos: Miembros finales inscritos mediante el código QR o el proceso de adhesión.

Categorías de datos (según la configuración del comerciante):

• identidad (nombre, apellido), fecha de nacimiento, género y datos de contacto (correo electrónico y/o teléfono);
• datos del programa (sellos, puntos, historial EARN/REDEEM);
• consentimientos (adhesión, marketing) y marcas de fecha y hora;
• identificadores técnicos de la tarjeta / Wallet (números de serie, tokens, saldo);

3. Instrucciones y duración

Cartia solo trata los datos de los Miembros finales siguiendo instrucciones documentadas del comerciante (uso del Servicio, ajustes, solicitudes de soporte relacionadas con la cuenta). La duración del tratamiento corresponde a la del contrato SaaS, seguida de las operaciones de devolución / supresión previstas más abajo y en la política de privacidad.

4. Obligaciones de Cartia (encargado del tratamiento)

• tratar los datos únicamente para prestar el Servicio;
• garantizar la confidencialidad de las personas autorizadas para tratar los datos (personal autorizado, soporte, operación);
• aplicar medidas técnicas y organizativas apropiadas (autenticación, aislamiento multiinquilino, HTTPS/TLS en tránsito, registro de actividad, limitación de solicitudes);
• ayudar al comerciante a responder a las solicitudes de ejercicio de los derechos de las personas (exportación y anonimización disponibles en el producto; otras solicitudes en legal@cartia.fr);
• notificar al comerciante, sin dilación indebida, cualquier violación de la seguridad de los datos personales que afecte a sus Miembros finales, con la información útil para cumplir sus obligaciones legales;
• al terminar el Servicio, suprimir o anonimizar los datos de los Miembros finales, o devolverlos mediante una exportación cuando esté disponible, salvo que la ley obligue a conservarlos.

Cartia conserva copias de seguridad en su VPS en Alemania, una copia cifrada en o2switch en sus centros de datos de Clermont-Ferrand (Francia) y una copia adicional en un soporte físico. Los respaldos se generan cada 6 horas. Retención configurada: 14 días en el VPS y 30 días en o2switch. La vigilancia del VPS envía una alerta si no se registra ningún envío exitoso a o2switch en 8 horas.

Si Cartia llegara a cerrar de forma definitiva y organizada, nos comprometemos a avisar a cada comerciante y a enviarle por correo, antes del cierre, una exportación de su archivo de clientes y de los saldos de fidelidad disponibles, sea cual sea su plan. La entrega se hace a la dirección del propietario de la cuenta, tras verificar al destinatario, mediante un archivo cifrado o un enlace seguro.

5. Alojamiento y subencargados del tratamiento

El alojamiento de la aplicación y la base de datos están ubicados en Alemania (Hetzner Cloud), dentro de la Unión Europea.

Subencargados del tratamiento que pueden intervenir:

• Hetzner Online GmbH - alojamiento de la infraestructura (Alemania, UE);
• o2switch - almacenamiento de las copias de seguridad cifradas antes de su transferencia (Francia, UE), sin poseer la clave privada de descifrado;
• Stripe - pago de las suscripciones de los comerciantes (excluidos los datos de los Miembros finales del programa, salvo un caso excepcional que no se aplica al proceso estándar);
• Apple / Google - visualización y actualización de los pases de Wallet, limitadas a los datos técnicos necesarios.

Independientemente de los subencargados anteriores, Cartia también conserva una copia de seguridad en un soporte físico.

Cartia informa al comerciante de cualquier cambio sustancial de subencargado que afecte a los datos de los Miembros finales, mediante la actualización de esta página o un aviso razonable.

6. Transferencias fuera de la UE

El almacenamiento principal permanece en la UE (Alemania). Los tratamientos relacionados con Wallet (Apple/Google) o con ciertos proveedores de pago pueden implicar transferencias con garantías adecuadas (cláusulas contractuales tipo / mecanismos reconocidos). Cartia limita estas transferencias a lo estrictamente necesario para el funcionamiento del Servicio.

7. Derechos del comerciante (auditorías)

El comerciante puede solicitar, en legal@cartia.fr, información razonable sobre las medidas de seguridad y el cumplimiento de este DPA. Las auditorías in situ siguen siendo excepcionales y están sujetas a preaviso, a confidencialidad y a que no se afecte la seguridad de los demás clientes.

8. Obligaciones del comerciante

El comerciante se compromete, en particular, a:

• contar con una base jurídica para el tratamiento de sus Miembros finales;
• informar a sus clientes y recabar los consentimientos requeridos, incluidos los de las notificaciones de Wallet y los correos de marketing;
• configurar el programa de forma proporcionada (minimización de los datos);
• usar las herramientas de exportación / anonimización que se ponen a su disposición.

9. Contacto

Para cualquier pregunta sobre este DPA: legal@cartia.fr.

Aviso legal · Política de privacidad · Términos de uso · Volver al inicio