Conformité RGPD

1.1 Objet du Document

Ce document définit les mesures et procédures mises en œuvre par REWAPP pour garantir la conformité au Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679).

REWAPP s'engage à protéger les données personnelles de ses utilisateurs (clients finaux) et partenaires (commerçants) dans le respect de la réglementation européenne et française.

1.2 Cadre Réglementaire Applicable

1.3 Périmètre d'Application

La présente politique s'applique à l'ensemble de l'écosystème REWAPP :

• Application Mobile Client : collecte et traitement des données utilisateurs
• Site Vitrine : formulaires d'inscription, cookies, analytics
• Dashboard Admin : gestion des données internes
• Dashboard Partenaire : données des commerçants partenaires

2.1 Les 7 Principes Appliqués par REWAPP

2.2 Engagements de REWAPP

• Transparence totale sur l'utilisation des données
• Consentement explicite pour tout traitement non essentiel
• Exercice facilité des droits des personnes
• Sécurité maximale des données sensibles
• Notification rapide en cas de violation

3.1 Traitements Relatifs aux Utilisateurs (App Mobile)

3.2 Traitements Relatifs aux Partenaires (Dashboard Partenaire)

3.3 Traitements Administratifs (Dashboard Admin)

4.1 Cartographie des Bases Légales

4.2 Intérêts Légitimes Documentés

Pour les traitements fondés sur l'intérêt légitime, REWAPP a réalisé une balance des intérêts :

5.1 Types de Consentements Collectés

5.2 Mécanismes de Collecte du Consentement

Application Mobile

• Écran de consentement clair lors de l'inscription
• Cases à cocher séparées pour marketing email et push
• Lien vers la politique de confidentialité complète
• Validation impossible sans acceptation des CGU

Site Vitrine

• Bandeau cookies conforme (Consent Management Platform)
• Choix granulaire par catégorie de cookies
• Bouton "Tout refuser" aussi visible que "Tout accepter"
• Conservation du choix pendant 13 mois maximum

5.3 Gestion des Préférences

Centre de préférences utilisateur (accessible depuis l'app) :

• Modification des préférences marketing
• Téléchargement des données personnelles
• Demande de suppression de compte
• Historique des consentements donnés

5.4 Retrait du Consentement

Procédure de retrait

• Marketing email : Lien de désinscription dans chaque email + centre de préférences
• Marketing push : Paramètres de l'application
• Cookies : Modification via le bandeau cookies (lien permanent en footer)
• Compte complet : Demande de suppression via app ou email à dpo@rewapp.fr

6.1 Tableau des Droits RGPD

6.2 Exercice du Droit d'Accès

L'utilisateur peut exercer son droit d'accès via :

Export automatique depuis l'application

• Menu : Profil > Mes données > Exporter mes données
• Format : JSON structuré ou PDF lisible
• Contenu : Toutes les données personnelles détenues
• Délai : Génération instantanée

Demande au DPO

• Email à dpo@rewapp.fr avec preuve d'identité
• Réponse sous 1 mois maximum
• Extension possible de 2 mois si complexité (avec notification)

6.3 Exercice du Droit à l'Effacement

Conditions d'application

• Les données ne sont plus nécessaires
• Retrait du consentement
• Opposition au traitement
• Traitement illicite

Exceptions (données conservées)

• Obligations légales fiscales et comptables (10 ans)
• Constatation, exercice ou défense de droits en justice
• Archivage d'intérêt public

Procédure technique

1. 1

   Anonymisation

   Anonymisation des données de transaction (conservation statistique)

2. 2

   Suppression

   Suppression des données d'identification

3. 3

   Révocation

   Révocation des tokens bancaires

4. 4

   Purge

   Purge des logs nominatifs

5. 5

   Confirmation

   Confirmation par email à l'utilisateur

6.4 Exercice du Droit à la Portabilité

Données exportables

• Données fournies par l'utilisateur (profil, préférences)
• Données générées par l'utilisation (transactions, points)

Format d'export

• JSON structuré (machine-readable)
• CSV (tableur)
• PDF récapitulatif (lecture humaine)

Transfert à un autre responsable

• Sur demande explicite de l'utilisateur
• Vers un service tiers compatible
• Format interopérable fourni

7.1 Désignation du DPO

7.2 Missions du DPO

• Informer et conseiller le responsable de traitement et les employés
• Contrôler le respect du RGPD et des politiques internes
• Dispenser des conseils sur les analyses d'impact (AIPD)
• Coopérer avec la CNIL (autorité de contrôle)
• Faire office de point de contact pour les personnes concernées

7.3 Moyens Alloués

• Accès à toutes les informations relatives aux traitements
• Budget dédié pour formations et outils
• Temps nécessaire à l'accomplissement des missions
• Indépendance garantie (pas de conflit d'intérêts)

7.4 Rapport Annuel du DPO

Le DPO établit un rapport annuel comprenant :

• Bilan des demandes d'exercice des droits
• Incidents de sécurité et violations de données
• État de conformité des traitements
• Recommandations d'amélioration
• Plan d'action pour l'année suivante

8.1 Principes de Privacy by Design

Conformément à l'article 25 du RGPD, REWAPP intègre la protection des données dès la conception :

8.2 Privacy by Default

Configuration par défaut de l'application :

• Notifications marketing : Désactivées par défaut (opt-in)
• Partage de localisation : Désactivé par défaut
• Cookies non essentiels : Refusés par défaut
• Visibilité profil : Privé par défaut

8.3 Checklist Privacy pour Nouveaux Développements

Avant mise en production de toute nouvelle fonctionnalité :

• Évaluation de la nécessité du traitement
• Minimisation des données collectées
• Définition de la durée de conservation
• Mise à jour du registre des traitements
• Vérification de la base juridique
• Test des mécanismes de suppression
• Documentation technique mise à jour
• Validation DPO

9.1 Traitements Soumis à AIPD

Conformément à l'article 35 du RGPD et aux lignes directrices de la CNIL, une Analyse d'Impact relative à la Protection des Données (AIPD) est réalisée pour :

9.2 Méthodologie AIPD

1. 1

   Description du traitement

   Finalités, données, destinataires, durées

2. 2

   Évaluation de la nécessité et proportionnalité

   Base juridique, minimisation, droits des personnes

3. 3

   Identification des risques

   Accès illégitime, modification non souhaitée, disparition

4. 4

   Mesures de mitigation

   Mesures techniques et organisationnelles

5. 5

   Documentation et validation

   Approbation DPO et direction

9.3 AIPD - Liaison Carte Bancaire (Extrait)

10.1 Chiffrement des Données

10.2 Pseudonymisation et Anonymisation

Pseudonymisation

• UUID générés pour chaque utilisateur (pas d'identifiant séquentiel)
• Séparation des données d'identification et des données de transaction
• Possibilité de ré-identification uniquement avec la clé de correspondance

Anonymisation (irréversible)

• Données statistiques agrégées pour analytics partenaires
• Suppression de tous les identifiants directs et indirects
• Agrégation par périodes et catégories

10.3 Contrôle d'Accès

Principe du moindre privilège

• Accès limité aux données strictement nécessaires
• Rôles définis (Super Admin, Admin, Support)
• Révision trimestrielle des accès

Authentification renforcée

• 2FA obligatoire pour tous les accès admin
• Biométrie disponible sur l'app mobile
• Sessions avec expiration automatique

Traçabilité

• Logs de tous les accès aux données personnelles
• Conservation des logs : 1 an (technique), 5 ans (sécurité)
• Audit trail non modifiable

10.4 Sécurité de l'Infrastructure

11.1 Gouvernance des Données

11.2 Procédures Documentées

• Procédure de gestion des demandes d'exercice des droits
• Procédure de notification des violations de données
• Procédure d'analyse d'impact (AIPD)
• Procédure de gestion des consentements
• Procédure d'audit de conformité
• Procédure de suppression des données

11.3 Contrats avec les Sous-Traitants

Conformément à l'article 28 du RGPD, tous les sous-traitants signent un accord de traitement des données (DPA) comprenant :

• Objet et durée du traitement
• Nature et finalité du traitement
• Type de données personnelles
• Catégories de personnes concernées
• Obligations du sous-traitant (confidentialité, sécurité, assistance)
• Sort des données en fin de contrat

Liste des sous-traitants principaux

• AWS (hébergement infrastructure)
• Budget Insight / Plaid / Tink (Open Banking)
• SendGrid / Brevo (emails transactionnels)
• Firebase (notifications push)
• Sentry (monitoring erreurs)

12.1 Principe de Localisation

12.2 Transferts Hors UE

12.3 Mesures Supplémentaires Post-Schrems II

Suite à l'arrêt Schrems II de la CJUE, REWAPP applique des mesures supplémentaires :

• Chiffrement de bout en bout avant transfert
• Pseudonymisation des données transférées
• Évaluation au cas par cas de la législation du pays tiers
• Préférence pour les serveurs EU quand disponibles

13.1 Définition d'une Violation

Une violation de données personnelles est une faille de sécurité entraînant :

• La destruction
• La perte
• L'altération
• La divulgation non autorisée
• L'accès non autorisé

aux données personnelles.

13.2 Procédure de Notification

13.3 Contenu de la Notification CNIL

• Nature de la violation
• Catégories et nombre de personnes concernées
• Catégories et volume de données concernées
• Conséquences probables
• Mesures prises pour remédier à la violation
• Coordonnées du DPO

13.4 Notification aux Personnes Concernées

Si la violation présente un risque élevé pour les droits et libertés :

• Canal : Email prioritaire + notification push
• Contenu : Description de la violation, conséquences, mesures prises, recommandations
• Délai : Dans les meilleurs délais après qualification

14.1 Programme de Formation

14.2 Supports de Sensibilisation

• Guide interne "Protection des données chez REWAPP"
• Affichage des bonnes pratiques dans les locaux
• Quiz de validation des connaissances
• Alertes sur les nouvelles menaces et réglementations

15.1 Programme d'Audit

15.2 Indicateurs de Conformité (KPIs)

• Nombre de demandes d'exercice des droits traitées
• Délai moyen de réponse aux demandes
• Nombre de violations de données
• Taux de formation des employés
• Pourcentage de traitements documentés
• Score d'audit de conformité

15.3 Actions Correctives

Tout écart de conformité identifié fait l'objet de :

1. 1

   Analyse

   Analyse de la cause racine

2. 2

   Plan d'action

   Plan d'action correctif avec échéances

3. 3

   Suivi

   Suivi de mise en œuvre

4. 4

   Vérification

   Vérification de l'efficacité

16.1 Documents de Référence

16.2 Conservation des Preuves

• Logs de consentement : Durée de la relation + 5 ans
• Registre des traitements : Permanent (archivage)
• AIPD : Durée du traitement + 5 ans
• Demandes d'exercice des droits : 5 ans après traitement
• Violations de données : 5 ans après notification
• Audits et rapports : 5 ans

A Contact et Réclamation

B Glossaire

C Historique des Versions