Accord de sous-traitance

Le commerce partenaire (ci-après « le Responsable de traitement »), identifié par la raison sociale, l'adresse et le SIRET renseignés lors de la souscription de son abonnement,

et ANIMUNJEU (ANIMUNJEU, SAS, SIRET 97999952100011), éditeur du service MEGA-JACKPOT (ci-après « le Sous-traitant »), joignable à contact@ideelink.com.

Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable de traitement aux seules fins de fournir le service : organisation d'un jeu promotionnel en ligne, enregistrement des participations, tirage des lots, envoi des notifications de gain, remise et validation des lots, et mise à disposition des exports de données.

Personnes concernées

Clients et prospects du commerce partenaire participant au jeu

Catégories de données

Nom, prénom, date de naissance, code postal, ville, téléphone, adresse e-mail, consentements, historique de participation et lots gagnés

Données sensibles

Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée

Durée du traitement

Durée de l'abonnement, augmentée des durées de conservation de l'article 7

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Les paramétrages effectués par le commerce dans son back-office (contenus, lots, période de jeu, exports, suppressions) valent instructions. Le Sous-traitant informe le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD.

Le Sous-traitant n'utilise en aucun cas les données des joueurs à ses propres fins commerciales, ne les revend pas et ne les mutualise pas entre commerces partenaires.

Le Sous-traitant garantit que toute personne autorisée à traiter les données s'engage à en respecter la confidentialité, y compris après la fin de sa mission. Les accès d'exploitation sont limités aux personnes strictement habilitées.

Conformément à l'article 32 du RGPD, le Sous-traitant met en œuvre notamment :

• chiffrement des échanges (HTTPS) et chiffrement des données au repos ;
• cloisonnement logique strict entre les espaces de chaque commerce, appliqué au niveau de la base de données ;
• authentification des comptes commerçants et gestion des rôles ;
• codes d'accès dédiés par point de collecte (QR code) ;
• journalisation des actions sensibles et supervision automatique du service ;
• sauvegardes régulières et purge automatique des données échues.

Le Sous-traitant assiste le Responsable de traitement pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité), pour la sécurité du traitement, pour la notification des violations de données et, le cas échéant, pour les analyses d'impact.

En cas de violation de données, le Sous-traitant notifie le Responsable de traitement dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, en fournissant les éléments nécessaires à la notification à la CNIL.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

• Lovable — Hébergement de l'application et diffusion des pages du jeu (Union européenne (réseau de diffusion mondial)).
• Supabase — Base de données, authentification des comptes commerçants et stockage des fichiers (Union européenne).
• Resend — Acheminement des e-mails transactionnels (gains, invitations, alertes) (États-Unis).
• Stripe Payments Europe, Ltd. — Encaissement des abonnements des commerces partenaires (Irlande (Union européenne)).
• Slack Technologies — Notifications techniques internes d'exploitation (alertes de panne) (États-Unis).

La liste à jour est publiée sur la page « Sous-traitants ». Tout changement est notifié au préalable ; le Responsable de traitement dispose de 30 jours pour s'y opposer, auquel cas il peut résilier son abonnement sans pénalité. Les transferts hors Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne.

Les durées de conservation appliquées automatiquement sont les suivantes :

Participations des joueurs (identité, coordonnées, consentements)

3 ans à compter de la dernière participation

Participations enregistrées en mode test

30 jours

Bons de retrait de lot (preuve de remise du lot)

13 mois

Statistiques de scan des QR codes

12 mois

Journal d'envoi des e-mails et jetons de désinscription

12 mois

Données de facturation des commerces partenaires

10 ans (obligation légale comptable)

À la fin de l'abonnement, le Responsable de traitement dispose de 30 jours pour exporter ses données. À l'expiration de ce délai, l'ensemble des données de son espace est supprimé, à l'exception des documents que le Sous-traitant doit conserver au titre d'une obligation légale (facturation).

Le Sous-traitant tient un registre des catégories de traitements effectués pour le compte du Responsable de traitement et met à sa disposition, sur demande écrite, les informations nécessaires pour démontrer le respect de l'article 28, dans la limite d'un audit documentaire par an.

Le Responsable de traitement garantit avoir recueilli une base légale valable pour la collecte, informé les personnes concernées et n'utiliser les données de prospection que dans le respect des consentements recueillis. Le Sous-traitant répond des manquements qui lui sont propres au titre de l'article 82 du RGPD.

Le présent accord est soumis au droit français. Il prévaut sur toute stipulation contraire des conditions d'abonnement en matière de protection des données.