Success POS — Conditions de traitement des données

Les présentes Conditions de traitement des données font partie intégrante du contrat conclu entre Success Payment S.A. et le Client pour Success POS. Elles sont intégrées aux Conditions Générales de Vente de Success POS et s’appliquent chaque fois que Success Payment traite des données à caractère personnel pour le compte du Client.

1. Rôles des parties

Pour les données à caractère personnel que le Client enregistre dans Success POS, ou qu’il génère par son intermédiaire, dans le cadre de son exploitation, le Client est le responsable du traitement et Success Payment est le sous-traitant au sens de l’article 4 du règlement (UE) 2016/679 (le « RGPD »). Les présentes conditions régissent ce traitement, et lui seul.

Success Payment agit également en qualité de responsable du traitement pour son propre compte, et les présentes conditions ne s’appliquent pas à ce traitement. Tel est le cas des données nécessaires à la conclusion et à l’exécution du contrat avec le Client — coordonnées de l’entreprise et du contact, commande, enregistrement des conditions acceptées, facturation et paiement, relation client et sécurité de ses propres systèmes. Ce traitement est décrit dans la Politique de confidentialité. Confondre les deux les rendrait inexacts l’un et l’autre ; la ligne est donc tracée ici plutôt que laissée à l’interprétation.

Lorsque des terminaux ou services de paiement sont fournis, les acquéreurs, établissements de paiement et réseaux de cartes concernés déterminent leurs propres finalités et agissent en qualité de responsables du traitement pour les traitements qu’ils réalisent selon leurs propres règles. Ces relations sont régies par les contrats distincts visés à l’article 10 des Conditions Générales de Vente.

Le Client confirme qu’il dispose d’une base légale pour les données à caractère personnel qu’il enregistre dans Success POS, qu’il a fourni à ses propres personnes concernées les informations auxquelles elles ont droit, et que ses instructions à Success Payment sont conformes à la réglementation sur la protection des données.

2. Objet, durée, nature et finalité

L’objet, la durée, la nature et la finalité du traitement, les catégories de données à caractère personnel et les catégories de personnes concernées sont exposés à l’Annexe 1.

Le traitement dure aussi longtemps que Success Payment fournit Success POS au Client, puis, au-delà, uniquement pour la clôture et la conservation décrites à l’article 11 et permises ou imposées par la loi.

3. Traitement sur instructions documentées

Success Payment ne traite les données à caractère personnel du Client que sur instructions documentées de celui-ci, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation contraire résultant du droit de l’Union ou d’un État membre auquel elle est soumise. En pareil cas, Success Payment informe le Client de cette obligation juridique avant le traitement, sauf si le droit applicable l’interdit pour des motifs importants d’intérêt public.

Les instructions documentées du Client sont : les présentes conditions, les Conditions Générales de Vente, la commande et la configuration qui y est enregistrée, les paramètres et choix effectués par le Client dans le service, ainsi que toute instruction écrite ultérieure convenue entre les parties. La fourniture du service conformément à ces documents constitue une instruction documentée ; aucune instruction distincte n’est requise pour l’exploitation courante, le support ou la maintenance.

Si Success Payment estime qu’une instruction constitue une violation de la réglementation sur la protection des données, elle en informe le Client sans délai et peut suspendre le traitement concerné jusqu’à ce que l’instruction soit retirée, modifiée ou confirmée.

Success Payment ne vend pas les données à caractère personnel du Client, ne les utilise pas à des fins de marketing propre et ne les utilise pas pour entraîner des modèles ou développer des produits pour d’autres clients. Elle peut produire des statistiques agrégées sur le fonctionnement du service, ne permettant d’identifier ni le Client, ni son personnel, ni ses convives, et non attribuables à une personne physique.

4. Confidentialité

Success Payment veille à ce que les personnes autorisées à traiter les données à caractère personnel du Client soient soumises à une obligation appropriée de confidentialité, contractuelle ou légale, et à ce que cette obligation survive à la fin de leur engagement.

L’accès est limité aux membres du personnel qui en ont besoin pour fournir, supporter ou sécuriser le service, et il est retiré dès que ce besoin disparaît.

5. Sécurité du traitement

Success Payment met en œuvre des mesures techniques et organisationnelles appropriées au titre de l’article 32 du RGPD, compte tenu de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, et des risques pour les droits et libertés des personnes physiques. Les mesures en vigueur à la date de la présente version sont décrites à l’Annexe 2.

Ces mesures peuvent évoluer avec le service. Success Payment ne réduit pas le niveau global de sécurité en deçà de celui décrit à l’Annexe 2 pendant la durée du contrat. L’Annexe 2 décrit des mesures effectivement mises en œuvre ; elle ne revendique aucune norme d’assurance indépendante, aucun rapport d’audit ni aucun programme de tests, et rien de tel ne saurait s’en déduire.

Le Client demeure responsable de la sécurité de ce qui relève de son propre contrôle : les équipements et le réseau de ses locaux, les comptes et droits d’accès qu’il attribue à son personnel, et la confidentialité des identifiants qui lui sont délivrés.

6. Sous-traitants ultérieurs

Le Client donne à Success Payment une autorisation écrite générale de recourir à des sous-traitants ultérieurs pour le traitement décrit à l’Annexe 1. Les sous-traitants ultérieurs auxquels il est recouru à la date de la présente version figurent à l’Annexe 3.

Success Payment impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles des présentes conditions, et elle demeure pleinement responsable envers le Client de l’exécution des obligations de ce sous-traitant.

Ajout ou remplacement d’un sous-traitant ultérieur

Success Payment informe le Client de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur au moins trente (30) jours avant que celui-ci ne commence à traiter les données à caractère personnel du Client, par courriel à l’adresse de contact enregistrée sur la commande et par mise à jour de l’Annexe 3.

Le Client peut s’y opposer pour des motifs raisonnables tenant à la protection des données dans ce délai, en motivant son opposition par écrit. Les parties examinent alors l’objection de bonne foi. À défaut de solution, et si Success Payment ne peut raisonnablement fournir le service sans ce sous-traitant, chaque partie peut résilier le service concerné par notification écrite, sans frais pour le Client autres que les sommes déjà dues ; il s’agit du recours du Client, qui ne l’autorise pas à retenir le paiement de prestations déjà fournies.

Un remplacement effectué en urgence pour préserver la sécurité ou la disponibilité du service peut prendre effet immédiatement ; Success Payment en informe alors le Client dans les meilleurs délais raisonnables et le droit d’opposition ci-dessus s’applique à compter de cette information.

7. Transferts internationaux

L’infrastructure Success POS exploitée par Success Payment fonctionne dans l’Union européenne, dans la région AWS Europe (Francfort), et est contrainte à cette région par un contrôle au niveau de l’organisation et non par simple usage.

Lorsqu’un sous-traitant ultérieur figurant à l’Annexe 3 transfère des données à caractère personnel en dehors de l’Espace économique européen, ce transfert n’a lieu que sur le fondement d’un mécanisme de transfert valide au titre du chapitre V du RGPD — décision d’adéquation, clauses contractuelles types de la Commission européenne ou autre garantie licite — assorti, le cas échéant, des mesures supplémentaires requises. L’Annexe 3 indique le fondement retenu pour chaque sous-traitant ultérieur.

Success Payment ne transfère pas les données à caractère personnel du Client en dehors de l’Espace économique européen en dehors de ce qui est décrit à l’Annexe 3, sauf instruction du Client en ce sens.

8. Assistance en cas de demande d’une personne concernée

Compte tenu de la nature du traitement, Success Payment aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits prévus au chapitre III du RGPD.

Lorsqu’une demande parvient directement à Success Payment de la part d’une personne concernée du Client, Success Payment n’y répond pas de son propre chef, sauf obligation légale. Elle transmet la demande au Client sans retard injustifié et, lorsqu’elle peut identifier le Client concerné, invite la personne à s’adresser à celui-ci.

Lorsque le Client peut satisfaire lui-même une demande au moyen des fonctions dont il dispose dans le service, il le fait. Une assistance nécessitant un travail significatif au-delà de ces fonctions peut être facturée aux tarifs applicables de Success Payment, communiqués avant exécution.

9. Assistance au titre des articles 32 à 36

Compte tenu de la nature du traitement et des informations à sa disposition, Success Payment aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD — sécurité du traitement, notification d’une violation de données à caractère personnel, communication d’une violation aux personnes concernées, analyses d’impact et consultation préalable de l’autorité de contrôle.

Cette assistance prend d’abord la forme des informations contenues dans les présentes conditions et leurs annexes, destinées à suffire à une analyse d’impact ordinaire portant sur un déploiement de point de vente. Une assistance complémentaire est fournie sur demande raisonnable.

10. Violations de données à caractère personnel

Success Payment notifie au Client sans retard injustifié toute violation de données à caractère personnel affectant les données du Client dont elle a connaissance, afin de permettre au Client de satisfaire à ses propres obligations de notification.

La notification décrit, dans la mesure des informations disponibles à ce moment et complétée au fur et à mesure : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact.

Success Payment n’effectue pas de notification à l’autorité de contrôle du Client ni aux personnes concernées du Client pour le compte de celui-ci, sauf instruction écrite du Client. La notification, et l’appréciation de sa nécessité, relèvent de la décision du responsable du traitement.

Une notification effectuée au titre du présent article ne constitue pas, en elle-même, une reconnaissance de faute ou de responsabilité.

11. Restitution et suppression

Au terme de la fourniture de Success POS, Success Payment supprime ou restitue les données à caractère personnel du Client, au choix de celui-ci, et supprime les copies existantes, sauf obligation de conservation résultant du droit de l’Union ou d’un État membre.

Le Client peut exporter ses données d’exploitation au moyen des fonctions disponibles dans le service pendant trente (30) jours à compter de la date d’effet de la résiliation, ainsi qu’il est indiqué à l’article 8 des Conditions Générales de Vente. Le Client doit exercer son choix dans ce délai ; à défaut, Success Payment procède à la suppression.

Les sauvegardes ne sont pas supprimées à la demande

La suppression retire les données à caractère personnel du Client du service actif. Elle ne les efface pas immédiatement des sauvegardes. Les sauvegardes existent pour restaurer un système après une défaillance et ne peuvent être modifiées de manière sélective sans détruire cette capacité. Les données subsistant dans une sauvegarde ne sont utilisées à aucune fin, sont protégées par les mesures de l’Annexe 2 et sont écrasées à mesure que la sauvegarde sort de son cycle de conservation. Affirmer le contraire serait plus simple et serait faux.

Les documents que Success Payment détient en qualité de responsable du traitement — la commande, les factures, l’enregistrement des conditions acceptées et les pièces comptables — ne constituent pas des données à caractère personnel du Client au sens des présentes conditions et sont conservés pendant les durées décrites dans la Politique de confidentialité.

12. Information et audit

Success Payment met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permet la réalisation d’audits, y compris d’inspections, par le Client ou un auditeur qu’il mandate, et y contribue.

En pratique, cette obligation est satisfaite dans l’ordre suivant :

• par les présentes conditions et leurs annexes, ainsi que par des réponses écrites aux questions raisonnables du Client ;
• par tout rapport d’assurance émis par un tiers dont Success Payment dispose à la date de la demande, s’il en existe un ;
• par un examen à distance avec les personnes compétentes de Success Payment ;
• et, lorsque ces éléments sont réellement insuffisants pour répondre à une préoccupation précise et motivée, par un audit sur site.

Un audit sur site est organisé moyennant un préavis écrit d’au moins trente (30) jours, se déroule pendant les heures ouvrables, est limité aux systèmes et informations pertinents pour le traitement visé par les présentes conditions, ne doit ni perturber le service ni compromettre la confidentialité ou la sécurité d’autres clients, et est limité à une fois par période de douze mois, sauf exigence contraire d’une autorité de contrôle ou survenance d’une violation de données affectant le Client. L’auditeur ne doit pas être un concurrent de Success Payment et doit être tenu à la confidentialité. Chaque partie supporte ses propres coûts, étant entendu que le Client supporte le coût d’un audit supplémentaire au cours de la même période de douze mois.

13. Responsabilité, préséance et modifications

Les présentes conditions ne créent aucun régime de responsabilité distinct ou supplémentaire. Les limitations et exclusions de responsabilité prévues à l’article 17 des Conditions Générales de Vente s’appliquent aux présentes conditions et à leur objet, de manière globale et non par document, dans la mesure permise par la loi. Aucune disposition des présentes conditions n’exclut ni ne limite une responsabilité qui ne peut légalement l’être, y compris au titre de l’article 82 du RGPD.

Pour ce qui relève de leur objet — le traitement effectué par Success Payment pour le compte du Client — les présentes conditions prévalent sur les Conditions Générales de Vente. Pour tout le reste, notamment la durée, les prix, la résiliation et la responsabilité, les Conditions Générales de Vente prévalent.

Les présentes conditions sont publiées par versions. La version intégrée à une commande donnée est celle identifiée par les Conditions Générales de Vente acceptées pour cette commande, et elle est enregistrée avec celle-ci. Une version publiée n’est jamais modifiée ; toute évolution donne lieu à une nouvelle version, notifiée conformément à l’article 20 des Conditions Générales de Vente lorsqu’elle affecte substantiellement un abonnement en cours. Les mises à jour de l’Annexe 3 suivent l’article 6 ci-dessus et non cette procédure.

Les présentes conditions sont régies par le droit du Grand-Duché de Luxembourg et sont soumises à la clause attributive de juridiction des Conditions Générales de Vente.

Annexe 1 — Description du traitement

Objet et durée

Fourniture du service Success POS au Client, pendant toute la durée de son abonnement, augmentée de la période de clôture prévue à l’article 11.

Nature et finalité

Hébergement, stockage, transmission, affichage, agrégation, sauvegarde et suppression des données d’exploitation du Client, aux seules fins de faire fonctionner la caisse, la salle, la cuisine et l’arrière-boutique de l’établissement du Client, ainsi que de supporter, maintenir et sécuriser ce service.

Catégories de personnes concernées

Déterminées par la formule souscrite par le Client et par ce que celui-ci choisit d’enregistrer. Quelle que soit la formule :

• le personnel du Client disposant d’un accès à la caisse ou aux fonctions de gestion (responsables, personnel disposant d’une identité opérateur ou caisse) ;
• les convives du Client, dans la mesure où une commande, une note ou une table est associée à une personne identifiable.

Sur les formules incluant les fiches clients, la fidélité, les cartes cadeaux ou les réservations, les convives du Client sont enregistrés en tant que personnes identifiées. Sur une formule dépourvue de ces fonctions, les données relatives aux convives se limitent généralement au contenu d’une commande et d’une note.

Catégories de données à caractère personnel

Le service ne requiert aucune catégorie particulière de données au sens de l’article 9 du RGPD et n’est pas conçu pour en héberger. Le Client ne doit pas enregistrer d’informations de santé, religieuses ou comparables dans des champs libres tels qu’une note de réservation. Les numéros complets de cartes de paiement ne sont pas enregistrés par Success POS : les données de carte sont captées par le terminal ou le prestataire de paiement, la caisse ne conservant que la référence et le résultat qu’ils retournent.

Annexe 2 — Mesures techniques et organisationnelles

Les mesures ci-dessous sont celles en place à la date de la présente version ; elles ont été vérifiées par rapport à la configuration de production en fonctionnement, et non par rapport à un document de conception. Elles décrivent les systèmes exploités par Success Payment pour fournir Success POS. Success Payment ne dispose pas de rapport d’assurance indépendant et n’en revendique aucun. Lorsqu’une mesure relève d’un engagement organisationnel plutôt que d’un élément de configuration vérifiable, elle est formulée comme un engagement.

Localisation et séparation

• Le traitement a lieu dans l’Union européenne, dans la région AWS Europe (Francfort). Cette restriction est imposée par une politique de contrôle des services appliquée au niveau de l’organisation aux comptes qui exécutent le service, de sorte qu’un déploiement isolé ne peut placer une ressource ailleurs.
• La production et les environnements hors production s’exécutent dans des comptes distincts, avec des magasins de données, des clés de chiffrement et des identifiants distincts.
• Success POS est un service multi-locataires : les données des clients sont séparées de manière logique, au sein d’une infrastructure partagée, et non par l’attribution à chaque client d’une base de données ou d’un serveur dédié.

Contrôle d’accès

• L’accès administratif à l’environnement de production s’effectue via un service d’identité central avec des comptes nominatifs. Le compte de production ne détient aucun identifiant de connexion personnel propre et il n’existe aucun identifiant administrateur partagé.
• L’authentification multifacteur est requise pour le rôle administratif le plus privilégié de la plateforme.
• Les composants applicatifs s’exécutent avec des permissions machine limitées aux opérations qu’ils effectuent réellement.
• Success Payment accorde les accès selon le besoin, les rattache à un rôle et les retire lorsque ce besoin disparaît.

Chiffrement

• Le trafic entre un navigateur ou un appareil et le service est chiffré en transit. Les points d’entrée publics acceptent TLS 1.2 et versions ultérieures, et le trafic HTTP est redirigé vers HTTPS.
• Les connexions de l’application vers sa base de données et vers son cache sont chiffrées en transit, le cache exigeant en outre un jeton d’authentification.
• Les bases de données, le stockage de fichiers, le cache et le magasin de journaux d’audit sont chiffrés au repos au moyen de clés gérées par le client dans AWS Key Management Service, avec rotation annuelle automatique activée. Les sauvegardes et instantanés de bases de données héritent de ce chiffrement.
• Les journaux applicatifs sont chiffrés au repos par le service de journalisation géré qui les héberge.
• Les secrets sont conservés dans un service de gestion de secrets, chiffrés avec les mêmes clés, et résolus à l’exécution ; les identifiants de base de données font l’objet d’une rotation automatique. Aucune valeur secrète n’est écrite dans la configuration, dans l’état de l’infrastructure ou dans un journal.

Données de paiement

• Les données de carte sont saisies sur la page hébergée du prestataire de paiement ou sur le terminal de paiement. Elles ne sont ni collectées, ni transmises, ni conservées par le site web ou le service de commande de Success Payment, et Success POS ne conserve que la référence et le résultat qui lui sont retournés.

Protection réseau

• Les points d’entrée publics sont protégés par un pare-feu applicatif web utilisant des ensembles de règles gérés couvrant les schémas d’attaque courants, les entrées malveillantes connues, la réputation des adresses et les tentatives d’injection, assortis d’une limitation de débit par adresse et d’une limite distincte, plus stricte, sur les points d’authentification.
• Les bases de données et le cache ne sont pas accessibles depuis internet.
• Le trafic réseau au sein de l’environnement de production est journalisé.

Journalisation et traçabilité

• Les journaux applicatifs sont écrits dans un service de journalisation géré, chacun assorti d’une durée de conservation définie.
• L’activité administrative et programmatique sur les comptes qui exécutent le service est enregistrée avec validation des fichiers journaux, dans un magasin d’audit dédié et dans un compte de journalisation distinct.
• La plateforme émet des alertes automatiques sur les événements pertinents pour la sécurité, notamment les rafales d’échecs d’authentification, les verrouillages de comptes, les enrôlements refusés, les modifications de privilèges en masse et les révocations d’appareils.
• Le journal de passerelle du service de commande et de facturation est délibérément conçu pour exclure les corps de requête, les chaînes de requête et les en-têtes, afin qu’il ne puisse devenir une seconde copie des données clients ni un endroit où un secret pourrait aboutir.

Intégrité des enregistrements

• Les preuves contractuelles sont écrites une seule fois et jamais réécrites. Le magasin de preuves conserve les versions antérieures des objets et l’application ne dispose d’aucune permission de suppression : l’enregistrement des conditions acceptées par un client ne peut être modifié par l’application qui l’a créé.
• Les documents juridiques publiés portent une empreinte de contenu vérifiée au démarrage du système. Une version publiée qui aurait été modifiée arrête le service plutôt que d’être servie.

Sauvegarde et restauration

• Les bases de données de production sont sauvegardées automatiquement, conservées pendant quatorze jours, et peuvent être restaurées à un instant choisi au sein de cette fenêtre. Elles bénéficient d’une protection contre la suppression.
• Le stockage de fichiers conserve les versions antérieures d’un objet au lieu de les remplacer.
• Les sauvegardes sont protégées par les mêmes mesures de chiffrement et de contrôle d’accès que les systèmes dont elles sont issues.

Disponibilité

• Les services Success POS destinés aux clients s’exécutent en plusieurs instances, réparties sur plusieurs zones de disponibilité de la région, derrière un répartiteur de charge qui contrôle leur état de santé.
• La base de données des paiements dispose d’une instance de secours dans une seconde zone de disponibilité.
• Des alertes automatiques sont émises en cas d’erreurs serveur et d’échecs de traitement répétés.

Pratiques de modification et de déploiement

• Les images applicatives sont étiquetées de manière immuable, de sorte qu’une image déployée ne peut être remplacée par une autre portant la même étiquette, et font l’objet d’une analyse des vulnérabilités connues lors de leur publication.
• Les modifications atteignent la production selon un cheminement fixe : une branche de développement, puis un environnement de pré-production distinct, puis la production. Un déploiement en production est en outre encadré par une politique appliquée au niveau de l’organisation.
• Les plateformes d’exécution sont des services gérés dont les correctifs sont appliqués par le fournisseur, et les versions mineures des bases de données sont mises à jour automatiquement.

Personnel et gestion des incidents

• Les membres du personnel ayant accès aux données clients sont tenus à des obligations de confidentialité.
• Les incidents suspectés font l’objet d’une investigation dès leur connaissance, sont circonscrits et évalués au regard de l’obligation de notification prévue à l’article 10.

Annexe 3 — Sous-traitants ultérieurs

Les sous-traitants ultérieurs auxquels il est recouru à la date de la présente version sont énumérés ci-dessous. Toute évolution suit la procédure d’information et d’opposition prévue à l’article 6.

Le site web success-payment.com est servi par un hébergeur distinct, qui ne traite pas les données à caractère personnel décrites à l’Annexe 1. Il est identifié dans les Mentions légales et son rôle est décrit dans la Politique de confidentialité.

Les acquéreurs, établissements de paiement et réseaux de cartes ne sont pas des sous-traitants ultérieurs au sens des présentes conditions. Ils déterminent leurs propres finalités et agissent en qualité de responsables du traitement, ainsi qu’il est indiqué à l’article 1.

Cette version est conservée sans modification. En cas de publication d’une version plus récente, la version acceptée lors de votre commande demeure celle qui régit celle-ci et reste consultable ici.