Accord de traitement des données (DPA)

1. Objet et parties

Le présent accord de traitement des données (« DPA ») est une annexe aux Conditions Générales de Vente ; il précise l'article 13 de celles-ci (données personnelles et sous-traitance). Il s'applique dès la création d'un compte et pendant toute la durée d'utilisation de la Plateforme.

• Le Commerçant : toute personne physique ou morale titulaire d'un compte Goodly, responsable du traitement des données de ses clients finaux.
• Goodly : Ermal Ibraj, exerçant sous le nom commercial « Goodly », domicilié en Belgique, joignable à l'adresse contact@goodly.be, agissant en qualité de sous-traitant au sens de l'article 28 du RGPD.

2. Données traitées et personnes concernées

Clients finaux du Commerçant

• Prénom et nom
• Adresse e-mail
• Historique des tampons, points et récompenses
• Identifiant de la carte Wallet (Apple Wallet ou Google Wallet)
• Les autres données décrites à la section 2 de la politique de confidentialité lorsqu'elles sont utilisées (téléphone facultatif, langue, préférences de communication, identifiant client de la caisse connectée).

Acheteurs de la boutique, via l'app Shopify (si le Commerçant l'installe)

• Nom et adresse e-mail de l'acheteur, utilisés pour retrouver sa carte de fidélité
• Montant et date des commandes payées, ainsi que les identifiants Shopify de la commande et du client

Personnel du Commerçant (accès caisse)

Code d'accès, journal des actions, horodatage, adresse IP, appareil et, si le contrôle de proximité est activé, position approximative — comme prévu à l'article 13.1 des CGV.

3. Finalité unique

Goodly traite ces données dans un seul but : faire fonctionner le programme de fidélité du Commerçant (cartes, tampons, points, récompenses, notifications Wallet, campagnes et statistiques du Commerçant, rapprochement des ventes de la caisse ou de la boutique connectée lorsqu'il l'a activé).

Goodly ne vend pas, ne loue pas et ne réutilise pas ces données à ses propres fins. Elles ne sont traitées que sur instruction documentée du Commerçant ; l'utilisation de la Plateforme et de ses réglages vaut instruction.

4. Confidentialité

L'accès aux données de production est réservé au personnel habilité de Goodly, tenu à la confidentialité, et limité à ce qui est nécessaire pour fournir le service, assurer le support demandé par le Commerçant ou traiter un incident.

5. Sécurité

Goodly met en œuvre les mesures techniques et organisationnelles suivantes, détaillées sur la page Sécurité et réponse aux incidents :

• Chiffrement des échanges en transit (HTTPS/TLS)
• Chiffrement au repos (AES-256) de la base de données, fourni par Supabase
• Sauvegardes quotidiennes chiffrées de la base de données, conservées 7 jours
• Isolation des données par commerçant (Row Level Security)
• Accès aux données de production restreint au personnel habilité
• Journalisation des accès aux données personnelles
• Mots de passe hashés, jamais stockés en clair
• Signature (HMAC) vérifiée sur chaque webhook reçu de Shopify

6. Sous-traitants ultérieurs

Le Commerçant autorise de manière générale le recours aux sous-traitants ultérieurs suivants. Les intégrations de caisse ne reçoivent des données que si le Commerçant active lui-même la connexion.

Cette liste reprend celle de la politique de confidentialité. Goodly informe le Commerçant de tout ajout ou remplacement d'un sous-traitant ultérieur, ce qui lui permet d'émettre des objections raisonnables. Goodly impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord.

7. Droits des personnes concernées

Goodly assiste le Commerçant pour répondre aux demandes de ses clients (accès, rectification, effacement, portabilité, opposition) :

• Outils intégrés au tableau de bord : export CSV et suppression d'un client
• Assistance par e-mail à contact@goodly.be
• Shopify — customers/data_request : à réception de ce webhook, Goodly envoie au Commerçant l'extrait des ventes reliées à ce client, pour qu'il puisse lui répondre
• Shopify — customers/redact : à réception de ce webhook, Goodly supprime les ventes Shopify de ce client et le lien entre son compte Shopify et sa carte ; la carte de fidélité elle-même relève du Commerçant et reste en place

Lorsqu'une personne s'adresse directement à Goodly, Goodly en informe le Commerçant ou traite la demande sur ses instructions.

8. Violation de données

Goodly notifie le Commerçant concerné dans les 72 heures après avoir découvert une violation de données à caractère personnel le concernant, en lui communiquant les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables et mesures prises ou envisagées. Ces informations sont complétées au fur et à mesure de l'enquête.

La procédure suivie est décrite sur la page Sécurité et réponse aux incidents.

9. Fin du contrat et suppression des données

• Suppression du compte : à la demande du Commerçant (depuis ses réglages ou par e-mail), le compte et l'ensemble des données de ses clients et de son personnel (cartes, historique, campagnes, journaux) sont supprimés immédiatement de la base de données. Les copies présentes dans les sauvegardes disparaissent avec leur rotation automatique de 7 jours.
• Fin de l'abonnement sans suppression : Goodly ne supprime pas automatiquement un compte inactif ou suspendu ; les données sont conservées jusqu'à la demande de suppression du Commerçant (article 10 des CGV).
• Données issues de Shopify : supprimées à réception du webhook shop/redact, que Shopify envoie 48 heures après la désinstallation de l'app (ventes Shopify, liens clients ↔ boutique, références de la boutique). Le compte Goodly, ses cartes et ses clients restent, sauf demande de suppression.
• Données de facturation du Commerçant : conservées 10 ans au titre des obligations comptables et fiscales belges (Goodly agit alors comme responsable du traitement).

Les autres durées sont détaillées dans la politique de conservation.

10. Information et contrôle

Goodly met à la disposition du Commerçant les informations nécessaires pour démontrer le respect du présent accord et répond à ses questions écrites dans un délai raisonnable.

11. Contact

Pour toute question relative au présent accord : contact@goodly.be