Conforme à l'article 28 du Règlement (UE) 2016/679 (RGPD)
Dernière mise à jour : 3 juin 2026
Cet accord, conforme à l'article 28 du RGPD, est signé individuellement par chaque commerçant client lors de la souscription. Les informations propres au commerçant (raison sociale, adresse, SIRET, représentant, dates) sont complétées au moment de la signature.
La version générale est consultable ci-dessous. Pour votre version personnalisée et signée, connectez-vous à votre espace ou contactez contact@rytual.fr.
LE SOUS-TRAITANT
Regis MENDY, exerçant sous le régime de l'Entreprise Individuelle, dénommé commercialement « Rytual »,
Ci-après dénommé « Rytual » ou « le Sous-traitant »,
D'UNE PART,
ET
LE RESPONSABLE DE TRAITEMENT
, , immatriculé(e) sous le numéro , dont le siège est situé , représenté(e) par en qualité de, joignable à l'adresse ``.
Ci-après dénommé « le Commerçant » ou « le Responsable de Traitement »,
D'AUTRE PART.
Le Commerçant a souscrit à la prestation de services « Rytual » qui consiste à proposer aux clients finaux du Commerçant un mécanisme de roue de récompense déclenché en boutique par scan d'un QR code, accompagné de fonctionnalités annexes (capture d'email opt-in, mesure de satisfaction NPS, validation de gains au comptoir, statistiques).
Dans le cadre de l'exécution de cette prestation, Rytual est amené à traiter pour le compte du Commerçant des données à caractère personnel relatives aux clients finaux de ce dernier. À ce titre, le Commerçant agit en qualité de Responsable de Traitement au sens de l'article 4-7 du RGPD, et Rytual agit en qualité de Sous-traitant au sens de l'article 4-8 du RGPD.
Le présent accord (ci-après « le DPA ») a pour objet de définir, conformément à l'article 28 du RGPD, les conditions dans lesquelles Rytual s'engage à effectuer pour le compte du Commerçant les opérations de traitement de données à caractère personnel décrites ci-après.
1.1 Objet. Le présent DPA encadre l'ensemble des traitements de données à caractère personnel effectués par Rytual pour le compte du Commerçant dans le cadre du contrat principal de souscription à la plateforme Rytual (ci-après « le Contrat Principal »).
1.2 Durée. Le présent DPA prend effet à compter du `` et reste applicable pendant toute la durée du Contrat Principal. Il continue par ailleurs à produire ses effets pour une période de trente (30) jours calendaires après la résiliation ou l'expiration du Contrat Principal.
1.3 Articulation avec le Contrat Principal. En cas de contradiction entre une stipulation du Contrat Principal et une stipulation du présent DPA portant sur la protection des données personnelles, la stipulation du DPA prévaut.
Rytual traite les données à caractère personnel des clients finaux du Commerçant dans le but exclusif de :
Le présent article encadre l'usage que le Commerçant (Responsable de Traitement) peut faire des adresses email collectées via Rytual, qu'il télécharge en clair ou exploite via les fonctionnalités d'envoi mises à disposition.
2 bis.1 — Finalités autorisées (liste limitative). Le Commerçant s'engage à n'utiliser les adresses email captées que pour les finalités suivantes, en lien direct avec son activité commerciale :
rewardValidityHours).2 bis.2 — Finalités expressément interdites. Le Commerçant s'interdit, sans que cette liste soit limitative :
2 bis.3 — Obligations de forme. Tout courrier électronique adressé sur la base d'un email capté via Rytual doit comporter :
2 bis.4 — Garantie du Commerçant. Le Commerçant déclare et garantit sur l'honneur respecter les finalités énumérées au 2 bis.1 et s'abstenir des usages prohibés au 2 bis.2. Cette déclaration est réputée renouvelée à chaque exportation de la liste et à chaque envoi de campagne.
2 bis.5 — Sanction. Le manquement à l'une des stipulations du présent article constitue une violation substantielle du DPA et du Contrat Principal, autorisant Rytual à résilier de plein droit, sans préavis ni indemnité, par notification écrite, sans préjudice des dommages-intérêts et des poursuites prévues par les articles 82 et 83 du RGPD.
| Catégorie | Description | Durée de conservation |
|---|---|---|
| Adresse IP | Adresse IP de connexion lors d'un scan/spin | 60 jours en clair, puis hachée |
| Empreinte navigateur (fingerprint) | Identifiant technique anti-fraude | 90 jours, puis suppression |
| Email opt-in | Email consenti explicitement par le client final | En clair pour le Commerçant + hash conservé pour déduplication statistique |
| Score NPS | Note de satisfaction anonyme | Durée du Contrat Principal |
| Données de scan / spin | Token, secretCode de validation, dates et heures, date de retrait différé (pickableAt, null = récupération immédiate) lorsque le Commerçant active le retrait différé du cadeau | 13 mois glissants |
Événements de délivrabilité email (EmailEvent) | Empreinte e-mail (SHA256, jamais l'adresse en clair), type d'événement (rejet « hard », plainte, livraison), motif éventuel | 13 mois glissants |
| Comptes administrateurs (identifiants) | Email, mot de passe haché (bcrypt) | Durée du Contrat Principal + 30 jours |
Journal d'accès administrateur (AdminAccessLog) | Trace des consultations administrateur des données nominatives | 12 mois glissants |
Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée par Rytual.
Traitement des rejets et plaintes email (webhooks signés). Le prestataire d'envoi (Resend)
notifie Rytual des événements de délivrabilité (rejet « hard » = adresse invalide,
plainte = signalement spam) via des webhooks signés. Rytual, en sous-traitant, enregistre
ces événements de façon minimisée (empreinte e-mail uniquement) et marque automatiquement
l'adresse concernée comme désinscrite (unsubscribedAt) : les envois marketing ultérieurs
devront respecter ce statut (sécurité art. 32 + opposition art. 21 RGPD). Les envois
transactionnels liés à l'exécution du service (code de récompense, notification de changement
de roue) ne sont pas suspendus à ce titre.
Aucun envoi marketing par Rytual. Rytual n'effectue aucun envoi d'e-mail marketing au nom du Commerçant. Le Commerçant, responsable de traitement, réalise ses propres campagnes via ses outils ; Rytual se limite à mettre à disposition les adresses consenties (export), en excluant les adresses désinscrites ou effacées. Le Commerçant demeure seul responsable du respect du consentement et du droit d'opposition lors de ses envois.
Conformément à l'article 28.3 du RGPD, Rytual s'engage à :
5.1 Agir sur instruction. Ne traiter les données qu'en se conformant aux instructions documentées du Commerçant.
5.2 Confidentialité. Garantir que toute personne autorisée à accéder aux données dans le cadre de l'exécution du service est tenue à une obligation de confidentialité. Le personnel de Rytual habilité à manipuler les données est formé aux exigences du RGPD et tous les accès administrateurs sont journalisés dans le registre interne AdminAccessLog.
5.3 Sécurité. Mettre en œuvre les mesures techniques et organisationnelles appropriées détaillées à l'article 9.
5.4 Notification de violation. Notifier au Commerçant, dans un délai maximal de soixante-douze (72) heures à compter de la prise de connaissance d'une violation de données à caractère personnel, toute violation visée à l'article 33 du RGPD.
5.5 Assistance aux droits des personnes. Aider le Commerçant à répondre aux demandes d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition — art. 12 à 22 RGPD).
5.6 Assistance à la conformité. Aider le Commerçant à se conformer à ses obligations en matière de sécurité (art. 32) — notamment par la fourniture automatisée des événements de délivrabilité email (rejets/plaintes) permettant la suppression proactive des adresses invalides ou opposées —, de notification de violation (art. 33-34), d'analyse d'impact (art. 35) et de consultation préalable (art. 36).
5.7 Restitution ou effacement. Selon le choix exprimé par le Commerçant dans les 30 jours suivant la fin du Contrat Principal, soit restituer les données dans un format structuré (CSV/JSON), soit procéder à leur effacement définitif. À défaut d'instruction expresse, la suppression sera la mesure par défaut.
5.8 Mise à disposition d'informations. Mettre à disposition du Commerçant toute information nécessaire à la démonstration du respect des obligations issues de l'article 28 du RGPD.
6.1 Autorisation générale. Le Commerçant donne au Sous-traitant une autorisation générale de recourir à des sous-traitants ultérieurs pour l'exécution du service.
6.2 Liste autorisée.
Vercel Inc.
Neon, LLC (affiliée de Databricks, Inc.)
Cloudflare, Inc.
6.3 Information préalable. Rytual s'engage à informer le Commerçant de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, au moins trente (30) jours calendaires avant la mise en œuvre effective.
6.4 Obligations équivalentes. Rytual impose contractuellement à chacun de ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles du présent DPA.
Certains sous-traitants ultérieurs étant établis hors de l'Espace Économique Européen, notamment aux États-Unis, des transferts de données vers ces pays peuvent survenir. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission Européenne (décision d'exécution UE 2021/914 du 4 juin 2021), et le cas échéant par le Data Privacy Framework UE–USA lorsque le sous-traitant y adhère.
Le Sous-traitant s'engage à coopérer avec la CNIL ou toute autre autorité de contrôle compétente, et à informer sans délai le Commerçant de toute demande contraignante émanant d'une telle autorité.
Au terme du Contrat Principal, le Commerçant dispose d'un délai de trente (30) jours calendaires pour formuler par écrit son choix entre :
À l'expiration de ce délai et sauf instruction contraire, Rytual procède à l'effacement définitif des données. Un certificat d'effacement est délivré sur demande au Commerçant.
La responsabilité de Rytual au titre du présent DPA est encadrée par les stipulations de plafonnement et d'exclusion figurant aux Conditions Générales de Service. À ce titre :
Le présent DPA est régi par le droit français.
Tout litige relève de la compétence exclusive du Tribunal de Commerce de Paris.
14.1 Modifications. Toute modification fait l'objet d'un avenant écrit signé des deux Parties.
14.2 Nullité partielle. Si l'une quelconque des stipulations était jugée nulle, illégale ou inapplicable, les autres stipulations conserveraient leur pleine validité.
14.3 Signature électronique. Les Parties conviennent que le présent DPA peut être signé par voie électronique (art. 1367 du Code civil).
Pour Rytual (Sous-traitant) Regis MENDY Fait à SERRIS, le ``
**Pour (Responsable de Traitement)**, Fait à, le ``
Version 2