Article 28 RGPD · complément aux CGU · dernière mise à jour : juillet 2026
Cet accord encadre le traitement, par Caela Agency (sous-traitant), des données personnelles pour le compte du Commerçant (responsable de traitement). Le Commerçant reste propriétaire de ses données clients.
Caela traite les données des clients du Commerçant aux seules fins de fournir le service : gestion de la fidélité, envoi des messages, sondages d'avis, statistiques. Caela agit uniquement sur instruction documentée du Commerçant, l'utilisation du service valant instruction.
Le traitement dure le temps de la relation contractuelle.
Personnes concernées : les clients du Commerçant inscrits au programme. Données traitées : prénom, nom, email, téléphone, date de naissance (facultative), historique de fidélité (visites, points, récompenses), préférences de contact. Aucune donnée sensible n'est requise ni sollicitée.
Caela s'engage à : ne traiter les données que sur instruction du Commerçant ; garantir la confidentialité ; mettre en œuvre des mesures de sécurité appropriées (chiffrement des accès, cloisonnement par établissement, contrôle d'accès, journalisation, sauvegardes) ; aider le Commerçant à répondre aux demandes d'exercice des droits ; l'aider en matière de sécurité, de notification de violation et d'analyses d'impact ; notifier toute violation de données dans les meilleurs délais ; à la fin du contrat, supprimer ou restituer les données selon son choix.
Le Commerçant autorise Caela à recourir aux sous-traitants suivants : Supabase (hébergement de la base de données, Union européenne), Resend (acheminement des emails), Vercel (hébergement de l'application), et le cas échéant un prestataire d'acheminement SMS. Caela informe le Commerçant de tout changement et lui permet de s'y opposer pour motif légitime.
Lorsqu'un sous-traitant traite des données hors de l'Union européenne, Caela s'assure de l'existence de garanties appropriées (clauses contractuelles types de la Commission européenne).
Les mesures incluent notamment : accès restreints et authentifiés, séparation stricte des données entre établissements, désinscription en un clic, suppression automatique des adresses invalides ou en opposition, et journalisation des envois.
Afin de protéger l'infrastructure d'envoi commune à tous les utilisateurs, Caela peut suspendre immédiatement la capacité d'envoi d'un Commerçant dont l'activité génère des signaux de risque (taux de plaintes « spam » ou d'adresses invalides supérieur aux seuils, contenu non conforme, fréquence abusive). Cette suspension ne concerne que l'envoi de messages ; elle ne supprime aucune donnée : programme, clients, points et historique restent intacts et accessibles. Elle prend fin lorsque le Commerçant a corrigé la cause, par réactivation depuis son espace.
Sur demande du Commerçant, et au plus tard 30 jours après la fin du contrat, Caela supprime l'ensemble des données concernées, sauf obligation légale de conservation.
Caela met à disposition du Commerçant les informations nécessaires pour démontrer le respect de l'article 28 et se soumet, dans des conditions raisonnables, aux audits documentaires.
Pour toute question relative aux données : contact@caela-agency.fr