Accord de traitement des données

1. Parties et formation

1.1 Le présent accord de traitement des données (l'« Accord ») est conclu entre l'entreprise qui utilise Add Your Shop (le « Commerçant », « vous »), agissant en qualité de responsable du traitement, et SBrusse SRL, Rue Auguste Baccus 14, boîte 2, 1350 Orp-Jauche, Belgique, numéro d'entreprise 0644.917.861 (« nous »), agissant en qualité de sous-traitant.

1.2 L'Accord fait partie de nos conditions générales de service (les « Conditions ») et est conclu lorsque vous les acceptez. Les termes définis dans les Conditions (comme Boutique, Client, Commande et Contenu du Commerçant) ont ici le même sens ; les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le règlement général sur la protection des données (UE) 2016/679 (le « RGPD »).

1.3 L'Accord couvre les données personnelles que nous traitons pour votre compte afin de faire fonctionner votre Boutique (les « Données des Clients »). Lorsque le UK GDPR s'applique à ce traitement, les références au RGPD incluent le UK GDPR.

2. Description du traitement

• Objet : l'exploitation de votre Boutique, telle que décrite dans les Conditions.
• Durée : la durée des Conditions, puis jusqu'à la restitution et la suppression des données conformément à l'article 11.
• Nature du traitement : collecte via la Boutique, enregistrement, conservation, organisation, consultation, communication à vous (par exemple par e-mail de commande) et à Stripe pour le paiement, extraction et effacement.
• Finalités : prise et gestion des Commandes ; traitement des paiements via votre compte Stripe ; envoi des notifications de commande à vous et des confirmations aux Clients ; organisation du retrait, de la livraison ou de l'expédition ; traitement des questions des Clients et des remboursements que vous demandez ; sécurité de la Boutique et prévention de la fraude.
• Personnes concernées : vos Clients, ainsi que les destinataires des livraisons qu'ils désignent.
• Catégories de données : nom ; adresse e-mail ; numéro de téléphone ; adresse de livraison ; contenu, montants et historique des Commandes ; créneau de retrait ou mode de livraison choisi ; messages et remarques saisis par les Clients (comme un message cadeau) ; statut du paiement et informations de paiement limitées transmises par Stripe (comme le réseau de la carte et ses quatre derniers chiffres) ; confirmation d'âge pour les produits soumis à une limite d'âge ; données techniques comme l'adresse IP et les informations sur le navigateur, à des fins de sécurité et de prévention de la fraude.
• Catégories particulières de données : la Boutique n'est pas conçue pour les collecter. Si un Client communique de lui-même une telle information dans un champ libre (par exemple une allergie), elle n'est traitée que pour préparer la Commande.

Nous utilisons également les références et montants des Commandes, sans les coordonnées des Clients, pour calculer et facturer notre commission et tenir notre comptabilité. Pour cette finalité, nous agissons en qualité de responsable du traitement, comme décrit dans notre politique de confidentialité.

3. Vos obligations

En tant que responsable du traitement, vous répondez de la licéité du traitement, de l'existence d'une base légale, de l'information de vos Clients (notamment par la politique de confidentialité de votre Boutique) et des instructions que vous nous donnez. Ne nous demandez pas de collecter plus de données que nécessaire pour vos Commandes.

4. Instructions et confidentialité

4.1 Nous ne traitons les Données des Clients que sur vos instructions documentées, y compris en ce qui concerne les transferts vers un pays tiers, sauf si le droit de l'Union européenne ou d'un État membre nous impose de le faire ; dans ce cas, nous vous informons de cette obligation juridique avant le traitement, sauf si la loi l'interdit. Les Conditions, le présent Accord, le paramétrage de votre Boutique et vos demandes écrites constituent vos instructions.

4.2 Nous vous informons immédiatement si, selon nous, une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données.

4.3 Toutes les personnes que nous autorisons à traiter les Données des Clients se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité, et ne les traitent que dans la mesure nécessaire au Service.

5. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, comme l'exige l'article 32 du RGPD. Elles sont décrites à l'annexe 1. Nous pouvons les faire évoluer avec la technique, à condition que le niveau global de sécurité ne soit pas réduit.

6. Sous-traitants ultérieurs

6.1 Vous nous donnez une autorisation générale de recourir aux sous-traitants ultérieurs énumérés à l'annexe 2.

6.2 Nous vous informons par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pendant ce délai, pour des motifs raisonnables liés à la protection des données. Nous examinerons alors vos préoccupations avec vous de bonne foi ; si nous ne parvenons pas à y répondre, vous pouvez résilier les Conditions avant que le changement prenne effet, sans frais.

6.3 Nous imposons contractuellement à chaque sous-traitant ultérieur des obligations de protection des données offrant au moins le même niveau de protection que le présent Accord. Nous restons pleinement responsables envers vous de l'exécution de leurs obligations.

7. Assistance

7.1 Demandes des personnes concernées. Si un Client nous contacte pour exercer ses droits, nous vous transmettons sa demande dans les meilleurs délais et n'y répondons pas nous-mêmes, sauf pour lui indiquer que nous l'avons fait. Compte tenu de la nature du traitement, nous vous aidons à y répondre, notamment en fournissant les données concernées ou un export.

7.2 Autres obligations. Nous vous aidons à respecter vos obligations prévues aux articles 32 à 36 du RGPD — sécurité, notification des violations de données, analyses d'impact relatives à la protection des données et consultation préalable de l'autorité de contrôle —, compte tenu de la nature du traitement et des informations à notre disposition.

7.3 Autorités. Si une autorité de contrôle ou une autre autorité publique nous contacte au sujet des Données des Clients, nous vous en informons, sauf si la loi l'interdit.

8. Violations de données

8.1 Nous vous notifions toute violation de données à caractère personnel concernant les Données des Clients dans les meilleurs délais, et en tout état de cause dans les 48 heures après en avoir pris connaissance.

8.2 Notre notification décrit, dans la mesure de ce que nous savons à ce moment : la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; ses conséquences probables ; les mesures prises ou envisagées pour y remédier et en atténuer les effets ; et un point de contact. Lorsque nous ne pouvons pas fournir toutes ces informations en même temps, nous les communiquons de manière échelonnée, sans autre retard indu.

8.3 Nous prenons les mesures nécessaires pour contenir la violation et vous aidons à respecter vos propres obligations, y compris la notification à l'autorité de contrôle dans les 72 heures lorsqu'elle est requise. En tant que responsable du traitement, vous décidez de la notification à l'autorité et aux personnes concernées ; nous ne la faisons pas en votre nom, sauf si vous nous le demandez ou si la loi l'exige.

9. Transferts internationaux

Nous ne transférons les Données des Clients en dehors de l'Espace économique européen que sur vos instructions, que vous donnez en acceptant le présent Accord pour les sous-traitants ultérieurs énumérés à l'annexe 2, et uniquement avec les garanties exigées par le chapitre V du RGPD : une décision d'adéquation, comme celle qui couvre les entreprises certifiées dans le cadre du Data Privacy Framework UE–États-Unis (décision d'exécution (UE) 2023/1795), ou les clauses contractuelles types approuvées par la Commission européenne (décision d'exécution (UE) 2021/914). Pour les données relevant du UK GDPR, l'extension britannique du Data Privacy Framework ou l'avenant britannique à ces clauses s'applique.

10. Information et audits

10.1 Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, notamment le présent Accord, la description de nos mesures de sécurité, la liste des sous-traitants ultérieurs et nos réponses à des questionnaires de sécurité raisonnables.

10.2 Si ces informations ne suffisent pas, vous pouvez réaliser un audit, ou le faire réaliser par un auditeur indépendant tenu à la confidentialité, une fois par an — ou plus souvent si une autorité de contrôle l'exige ou après une violation de données. L'audit doit être demandé par écrit au moins 30 jours à l'avance, se dérouler pendant les heures ouvrables, éviter toute perturbation inutile et respecter la confidentialité des données de nos autres clients et de notre sécurité. Chaque partie supporte ses propres frais.

10.3 Pour l'infrastructure de nos sous-traitants ultérieurs, nous nous appuyons sur les certifications et rapports d'audit qu'ils mettent à disposition (Cloudflare et Stripe, par exemple, publient des certifications et des rapports d'audit indépendants).

11. Restitution et suppression

11.1 À la fin des Conditions, nous cessons de traiter les Données des Clients, sauf dans la mesure nécessaire à l'exécution du présent article. Pendant les 30 jours qui suivent la fin, vous pouvez nous demander un export de vos données de Commandes dans un format courant.

11.2 Au plus tard à l'issue de ces 30 jours, nous supprimons les Données des Clients, y compris les copies, sauf si le droit de l'Union européenne ou d'un État membre exige leur conservation. Les sauvegardes qui les contiennent sont supprimées selon notre cycle normal de sauvegarde et ne sont pas utilisées entre-temps, sauf pour restaurer nos systèmes.

11.3 Sur demande, nous vous confirmons la suppression par écrit.

12. Stripe

Les paiements sont traités par Stripe dans le cadre de votre propre contrat avec Stripe, qui comprend les conditions de traitement des données de Stripe ; pour certaines finalités, comme la prévention de la fraude et le respect de ses obligations légales, Stripe agit en tant que responsable du traitement indépendant. Lorsque nous créons des paiements ou effectuons des remboursements sur votre compte Stripe, nous agissons sur vos instructions. Stripe figure à l'annexe 2 par souci de transparence ; ses traitements pour ses propres finalités relèvent de la politique de confidentialité de Stripe, et non du présent Accord.

13. Responsabilité, durée et modifications

13.1 Chaque partie répond de ses propres manquements au RGPD conformément à l'article 82 du RGPD. Entre nous, les limitations de responsabilité prévues dans les Conditions s'appliquent, sauf lorsque la loi ne le permet pas.

13.2 L'Accord s'applique aussi longtemps que nous traitons des Données des Clients. En cas de contradiction avec les Conditions, l'Accord prévaut pour les questions de protection des données.

13.3 Nous pouvons modifier l'Accord conformément à l'article 14 des Conditions, moyennant un préavis d'au moins 30 jours par e-mail et avec le droit de résilier le contrat avant que la modification s'applique, sauf si la modification est imposée par la loi. L'Accord est rédigé en anglais et une version française est fournie ; en cas de divergence entre les deux versions, la version anglaise prévaut, et l'article 1.4 des Conditions s'applique. Il est régi par le droit belge, et les litiges relèvent de la juridiction désignée dans les Conditions.

Annexe 1. Mesures de sécurité

• Chiffrement en transit : toutes les connexions aux Boutiques, à notre site et à nos outils utilisent HTTPS (TLS).
• Chiffrement au repos : la base de données des Boutiques, hébergée par Cloudflare, est chiffrée au repos (AES-256).
• Contrôle d'accès et moindre privilège : l'accès aux Données des Clients est limité aux personnes qui en ont besoin pour le Service, avec des comptes personnels, des mots de passe robustes et une authentification à deux facteurs sur les comptes d'administration ; les accès sont retirés lorsqu'ils ne sont plus nécessaires.
• Cloisonnement : les données de chaque Commerçant sont séparées logiquement de celles des autres Commerçants.
• Journalisation : les accès d'administration et les modifications de notre infrastructure sont journalisés.
• Sauvegardes : les données sont sauvegardées régulièrement afin de pouvoir être restaurées après un incident.
• Paiements : les données de carte sont collectées et traitées par Stripe, certifié prestataire de services PCI DSS de niveau 1 ; nous ne conservons pas les numéros de carte.
• Protection du réseau : les Boutiques sont servies par le réseau de Cloudflare, y compris sa protection contre les attaques par déni de service.
• Minimisation : nous ne collectons que les données nécessaires aux Commandes et les supprimons conformément à l'article 11.
• Incidents et vulnérabilités : nous disposons d'une procédure pour détecter, évaluer et contenir les incidents et pour vous les notifier dans le délai prévu à l'article 8. Les vulnérabilités peuvent être signalées à security@addyour.shop.
• Prestataires : nous choisissons des prestataires présentant des garanties suffisantes, et nous réexaminons cette liste lorsque nos services évoluent.

Annexe 2. Sous-traitants ultérieurs