Déclaration ANPDP : guide pour le commerçant

1. Responsable du traitement

• Nom ou dénomination du commerce : [à compléter].
• Forme juridique, n° du registre du commerce, NIF : [à compléter].
• Adresse : [adresse, commune, wilaya].
• Représentant légal : [nom, qualité].
• Personne à contacter pour le traitement : [nom, fonction, e-mail, téléphone].

2. Description du traitement

• Dénomination : « Programme de fidélité client ».
• Finalités : gestion d’un programme de fidélité (points ou tampons, récompenses, niveaux) ; information des clients sur leur carte ; envoi d’offres aux clients qui l’ont accepté ; cadeau d’anniversaire ; statistiques de fréquentation anonymisées.
• Fondement : consentement du client, qui adhère librement au programme (article 7 de la loi n° 18-07) ; consentement distinct pour les offres commerciales, révocable à tout moment.
• Personnes concernées : clients du commerce ; les mineurs avec l’accord de leur représentant légal.
• Données : prénom ; adresse e-mail (facultative, ou reçue de Google si le client choisit ce mode d’inscription) ; jour et mois d’anniversaire (facultatifs) ; solde et historique de fidélité ; montant des achats lié aux points ; préférences et consentements ; identifiants techniques de la carte Wallet ; adresse IP et date d’inscription (sécurité).
• Aucune donnée sensible (origine, opinions, santé, etc.) n’est traitée.

3. Destinataires

• Personnel habilité du commerce (gérant, caisse) : consultation du solde et enregistrement des passages.
• Sous-traitant : Wafly, éditeur de la plateforme, qui agit sur instruction et est lié par l’accord de traitement des données.
• Sous-traitants de Wafly : [Nom, forme juridique et adresse de l’hébergeur en Algérie] (hébergement en Algérie), Apple et Google (cartes Wallet, connexion avec Google), Resend (e-mails) ; le cas échéant Meta (WhatsApp) et un prestataire d’envoi de SMS.

4. Transfert vers l’étranger (demande d’autorisation)

Les données sont hébergées en Algérie. Certains prestataires sont établis à l’étranger (Apple (Apple Wallet), Google (Google Wallet et connexion avec Google), Resend (envoi des e-mails) et, le cas échéant, Meta (WhatsApp) et le prestataire d’envoi de SMS). L’article 44 de la loi n° 18-07 soumet ces transferts à l’autorisation de l’ANPDP. Indiquer, pour chacun : le pays de destination, les données transmises, la finalité et les garanties prévues (contrat, chiffrement). Wafly fournit ces éléments sur demande.

5. Durée de conservation

• Pendant l’adhésion au programme, puis 3 ans après le dernier passage (anonymisation automatique).
• Carte jamais utilisée en caisse : suppression possible par le commerce après 30 jours.
• Journaux techniques : 13 mois.
• Suppression demandée par le client : anonymisation immédiate ; seules des statistiques non identifiantes sont gardées.

6. Mesures de sécurité

• Accès à la caisse par code PIN personnel, appareils appairés, journal des opérations.
• Échanges chiffrés, données cloisonnées par commerce, sauvegardes régulières.
• QR de carte signé et remplaçable, limitation des tentatives, plafond de deux crédits par carte et par jour.
• Accès du sous-traitant limité à l’assistance et tracé.

7. Information et droits des personnes

Les clients sont informés à l’inscription (page d’inscription et politique de confidentialité) de l’identité du responsable, des finalités, des destinataires, des transferts et de leurs droits d’accès, de rectification et d’opposition. Ils exercent ces droits depuis leur espace client (consultation, téléchargement, suppression, retrait de l’accord aux offres) ou en s’adressant au commerce.

Mention à afficher sur le support de comptoir : « Les informations recueillies font l’objet d’un traitement déclaré auprès de l’ANPDP sous le n° [numéro], destiné à la gestion du programme de fidélité de [nom du commerce]. Vous disposez d’un droit d’accès, de rectification et d’opposition : [contact]. »