Sous-traitant : Shams Factory · SIRET 88889743600026 · 43 Rue Talma, 94400 Vitry-sur-Seine

Accord de sous-traitance (DPA)

Dernière mise à jour : 27 octobre 2026 · Contact : legal@cartia.fr

Ce DPA complète les conditions d’utilisation et la politique de confidentialité. Il s’applique dès que vous utilisez Cartia avec les données de vos clients (membres du programme), comme le prévoit l’article 28 du RGPD.

1. Parties et rôles

• Responsable du traitement : le commerçant (Client SaaS) qui détermine les finalités et les moyens de son programme de fidélité.
• Sous-traitant : Shams Factory (SIRET 88889743600026), qui opère le Service Cartia et traite les données des Membres finaux pour le compte du commerçant, uniquement pour fournir le Service (hébergement, carte digitale, scan, tableau de bord, exports, outils RGPD).

Rationalab est, comme Cartia, un nom et une activité de Shams Factory. Ce n’est pas une société distincte : même personne juridique, même SIRET. Seul Shams Factory est partie au présent DPA en qualité de sous-traitant.

Pour les données du compte commerçant (inscription, authentification, facturation, support), Cartia agit en responsable de traitement - hors périmètre du présent DPA.

2. Objet du traitement

Finalités : exécution du programme de fidélité digitale du commerçant via Cartia.

Catégories de personnes concernées : Membres finaux inscrits via QR / parcours d’adhésion.

Catégories de données (selon configuration du commerçant) :

• identité (prénom, nom), date de naissance, genre et coordonnées (e-mail et/ou téléphone) ;
• données de programme (tampons, points, historique EARN/REDEEM) ;
• consentements (adhésion, marketing) et horodatages ;
• identifiants techniques de carte / Wallet (séries, jetons, solde) ;

3. Instructions et durée

Cartia ne traite les données des Membres finaux que sur instruction documentée du commerçant (usage du Service, paramètres, demandes support liées au compte). La durée du traitement correspond à celle du contrat SaaS, puis aux opérations de restitution / suppression prévues ci-dessous et dans la politique de confidentialité.

4. Obligations de Cartia (sous-traitant)

• traiter les données uniquement pour la fourniture du Service ;
• garantir la confidentialité des personnes autorisées à traiter les données (personnel habilité, support, exploitation) ;
• mettre en œuvre des mesures techniques et organisationnelles appropriées (authentification, isolation multi-tenant, HTTPS/TLS en transit, journalisation, rate-limiting) ;
• aider le commerçant à répondre aux demandes d’exercice des droits des personnes (export, anonymisation disponibles dans le produit ; autres demandes via legal@cartia.fr) ;
• notifier le commerçant sans délai injustifié en cas de violation de données personnelles affectant ses Membres finaux, avec les informations utiles pour remplir ses obligations légales ;
• à la fin du Service, supprimer ou anonymiser les données des Membres finaux, ou les restituer via export lorsque disponible, sauf obligation légale de conservation.

Cartia conserve des sauvegardes sur son VPS en Allemagne, une copie chiffrée chez o2switch dans ses datacenters de Clermont-Ferrand, et une copie supplémentaire sur un support physique. Les dumps sont créés toutes les 6 heures. Rétention configurée : 14 jours sur le VPS et 30 jours chez o2switch. La surveillance du VPS alerte si aucun envoi réussi vers o2switch n’a été enregistré depuis 8 heures.

En cas d’arrêt définitif organisé de Cartia, nous nous engageons à prévenir chaque commerçant et à lui transmettre par e-mail, avant la fermeture, un export de son fichier clients et des soldes de fidélité disponibles, quel que soit son forfait. La remise se fait à l’adresse du propriétaire du compte, après vérification du destinataire, via un fichier chiffré ou un lien sécurisé.

5. Hébergement et sous-traitants ultérieurs

L’hébergement applicatif et la base de données sont situés en Allemagne (Hetzner Cloud), dans l’Union européenne.

Sous-traitants ultérieurs susceptibles d’intervenir :

• Hetzner Online GmbH - hébergement infrastructure (Allemagne, UE) ;
• o2switch - stockage des sauvegardes chiffrées avant transfert (France, UE), sans détention de la clé privée de déchiffrement ;
• Stripe - paiement des abonnements commerçants (hors données Membres finaux du programme, sauf cas exceptionnel non applicable au parcours standard) ;
• Apple / Google - affichage et mise à jour des passes Wallet, limitées aux données techniques nécessaires.

Indépendamment des sous-traitants ci-dessus, Cartia conserve aussi une copie de sauvegarde sur un support physique.

Cartia informe le commerçant de tout changement matériel de sous-traitant ultérieur concernant les données des Membres finaux, via mise à jour de cette page ou notification raisonnable.

6. Transferts hors UE

Le stockage principal reste dans l’UE (Allemagne). Les traitements liés au Wallet (Apple/Google) ou à certains prestataires de paiement peuvent entraîner des transferts encadrés (clauses contractuelles types / mécanismes reconnus). Cartia limite ces transferts au strict nécessaire au fonctionnement du Service.

7. Droits du commerçant (audits)

Le commerçant peut demander des informations raisonnables sur les mesures de sécurité et l’exécution du présent DPA via legal@cartia.fr. Les audits sur site restent exceptionnels, soumis à préavis, confidentialité et absence d’atteinte à la sécurité des autres clients.

8. Obligations du commerçant

Le commerçant s’engage notamment à :

• disposer d’une base légale pour le traitement de ses Membres finaux ;
• informer ses clients et recueillir les consentements requis, y compris pour les notifications Wallet et les e-mails marketing ;
• configurer le programme de façon proportionnée (minimisation des données) ;
• utiliser les outils d’export / anonymisation mis à disposition.

9. Contact

Pour toute question relative à ce DPA : legal@cartia.fr.

Mentions légales · Politique de confidentialité · Conditions d’utilisation · Retour à l’accueil