Qui est responsable
Vous êtes le responsable du traitement : vous décidez de lancer un programme et de ce que vous collectez. StoreWallet est votre sous-traitant : nous agissons sur vos instructions, et les réglages du tableau de bord sont ces instructions. Apple et Google sont des responsables de traitement indépendants pour leurs propres applications Wallet. Cette répartition est inscrite dans notre accord de traitement des données, qui fait partie de vos conditions.
En tant que responsable du traitement, vous devez payer la redevance de protection des données de l'ICO (£52 par an pour la plupart des petites entreprises), sauf exemption, et présenter un avis de confidentialité à vos clients. Nous fournissons l'avis ; la redevance est à votre charge.
Ce que vous pouvez collecter
Un prénom et un email suffisent pour faire fonctionner une carte, et la base légale est le contrat de fidélité lui-même : le client rejoint un programme qui a des conditions. Le numéro de téléphone et la date d'anniversaire sont des champs facultatifs que vous pouvez activer, collectés avec l'accord du client. L'outil de conception refuse les champs qu'il ne doit pas proposer, comme la santé ou l'origine ethnique, et le programme refuse toute personne de moins de 16 ans.
Les notifications exigent un consentement
Un message envoyé à la carte est du marketing. Les membres cochent pour cela une case distincte, non cochée par défaut, à l'inscription ; la carte elle-même ne dépend pas de cette case. Ils retirent ce consentement depuis le dos de la carte sans se connecter, et le système n'enverra de campagne à aucune personne qui l'a fait. Les heures d'ouverture sont appliquées : les messages ne partent que lorsque le commerce est ouvert, et jamais entre 22 h et 7 h.
Ne gardez les données que le temps nécessaire
Vous choisissez une durée de conservation : jamais, ou 12, 24 ou 36 mois après la dernière visite. Une tâche nocturne l'applique. Le nombre de visites est conservé sous forme de totaux sans nom, pour que votre historique ne disparaisse pas avec les personnes.
Les droits, intégrés à la carte
Le dos de chaque carte comporte des liens pour consulter et télécharger les données, modifier le consentement et supprimer le compte. La suppression retire la carte des deux Wallet dans l'heure, sans connexion et sans email envoyé à vous. Si un client vous le demande directement, vous cliquez sur Effacer dans sa fiche et la même chose se produit. Notre page sur les droits sur vos données l'explique aux clients.
Si quelque chose tourne mal
Nous vous prévenons dans les 48 heures après avoir eu connaissance d'une violation, avec ce que nous savons. Vous avez 72 heures pour le signaler à l'ICO si la violation risque de porter atteinte aux droits des personnes, et nous vous aidons à rédiger la notification.
Une conformité que vous pouvez prouver
Un accord de traitement des données signé, un avis de confidentialité à votre nom, et un registre des traitements généré à partir du code.
Questions
Ai-je besoin d'un délégué à la protection des données ?+
Presque certainement pas ; un DPO n'est obligatoire qu'en cas de surveillance à grande échelle ou de données sensibles traitées à grande échelle. Désignez une personne responsable et indiquez-le dans votre avis.
Puis-je importer ma liste de diffusion existante ?+
Vous pouvez importer des noms et des emails, mais chaque personne reçoit une invitation à ajouter la carte plutôt qu'une carte imposée, et aucune notification tant qu'elle n'a pas coché la case.