Accord de traitement des données

Le présent DPA fait partie des Conditions d'utilisation (les « Conditions ») conclues entre le marchand qui a installé l'application Carnet (le « Responsable du traitement », le « Marchand ») et TAKISOFT 2.0 (le « Sous-traitant », « Carnet »). Il s'applique dès l'installation de l'Application par le Marchand et aussi longtemps que Carnet traite des Données personnelles pour le compte du Marchand. Il reflète l'article 28(3) du règlement (UE) 2016/679 (« RGPD »). Les termes commençant par une majuscule ont le sens que leur donne le RGPD.

1. Objet et parties

1.1 Objet. Carnet fournit des line sheets, des liens de commande pour les acheteurs et la conversion des demandes de commande en brouillons de commande Shopify (le « Service »). Ce faisant, Carnet traite des Données personnelles des acheteurs du Marchand pour le compte de celui-ci.

1.2 Rôles. Le Marchand est le responsable du traitement (ou, lorsqu'il agit pour ses propres clients, un sous-traitant dont Carnet est le sous-traitant ultérieur ; le Marchand confirme avoir le pouvoir de donner ces instructions). Carnet est le sous-traitant. Pour les données du compte du Marchand (personnel, informations de la boutique, facturation), Carnet agit en tant que responsable du traitement indépendant, comme l'indique la Politique de confidentialité, et le présent DPA ne s'y applique pas.

1.3 Les détails du traitement (nature, finalité, durée, catégories de données, personnes concernées) figurent à l'Annexe I. Durée : celle des Conditions, augmentée des délais de suppression prévus à la section 6.

2. Instructions du responsable du traitement

2.1 Carnet traite les Données personnelles uniquement sur instructions documentées du Marchand : le présent DPA, les Conditions, ainsi que l'utilisation et la configuration de l'Application par le Marchand (par exemple la création de liens ou l'utilisation de « Delete buyer data »). Carnet ne traitera pas les données pour ses propres besoins.

2.2 Carnet informera le Marchand si, selon lui, une instruction enfreint le droit de la protection des données.

2.3 Carnet veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité.

2.4 Assistance. Compte tenu de la nature du traitement, Carnet aide le Marchand à répondre aux demandes des personnes concernées et à respecter les articles 32 à 36 du RGPD, au moyen : de l'export des données de l'acheteur en cas de demande de données client de Shopify ; de la fonction « Delete buyer data » du Marchand et de la demande d'effacement client de Shopify, qui suppriment les coordonnées d'un acheteur de la demande ainsi que des e-mails et imports associés, tout en conservant la référence de commande, les lignes et les totaux dont le Marchand a besoin pour ses dossiers ; et des durées de conservation automatiques de l'Annexe I. Les demandes que les acheteurs envoient à [email protected] sont transmises au Marchand ; Carnet ne répond pas à l'acheteur au nom du Marchand. Une assistance allant au-delà de ce qui précède peut être facturée à un coût raisonnable.

2.5 Mentions légales affichées aux acheteurs. Le Marchand renseigne dans l'Application sa raison sociale, ses coordonnées et son adresse ; Carnet les affiche aux acheteurs en tant que responsable, et affiche une notice indiquant que Carnet agit comme son sous-traitant. Le Marchand est responsable de l'exactitude de ces informations.

3. Mesures de sécurité

Carnet met en œuvre les mesures techniques et organisationnelles de l'Annexe II, adaptées au risque (art. 32 RGPD). Carnet peut les faire évoluer à condition que le niveau global de protection ne soit pas réduit.

4. Sous-traitants ultérieurs

4.1 Le Marchand donne une autorisation générale pour les sous-traitants ultérieurs de l'Annexe III. Le Marchand reconnaît également que Shopify est la plateforme qu'il utilise lui-même et que Carnet appelle les API de Shopify pour son compte.

4.2 Carnet informera le Marchand de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur au moins 30 jours à l'avance, par une notice dans l'Application ou par e-mail, en donnant au Marchand la possibilité de s'y opposer pour des motifs raisonnables de protection des données. Si les parties ne parviennent pas à résoudre l'objection, le Marchand peut résilier en désinstallant l'Application.

4.3 Carnet impose à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent DPA et reste responsable de leur exécution, comme le prévoit l'art. 28(4) du RGPD.

4.4 Transferts internationaux. Les données de production sont hébergées dans l'UE (France Central). Lorsqu'un sous-traitant ultérieur transfère des Données personnelles hors de l'EEE (en particulier Cloudflare et Shopify), il le fait au titre de ses clauses contractuelles types et/ou d'une décision d'adéquation telle que le EU-US Data Privacy Framework.

5. Notification des violations

5.1 Carnet notifiera le Marchand dans les meilleurs délais après avoir pris connaissance d'une Violation de données personnelles affectant les données du Marchand, par e-mail à l'adresse de contact enregistrée pour la boutique dans Shopify.

5.2 La notification décrira, dans la mesure connue, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés, les conséquences probables, ainsi que les mesures prises ou proposées. Carnet tiendra le Marchand informé à mesure que les informations deviennent disponibles et l'aidera à remplir ses obligations au titre des art. 33 et 34.

6. Suppression à la désinstallation

6.1 Lorsque le Marchand désinstalle l'Application, les liens acheteur sont suspendus et les sessions du personnel sont supprimées immédiatement.

6.2 Shopify envoie à Carnet une demande de suppression de la boutique (shop/redact) environ 48 heures après la désinstallation. À la réception, Carnet supprime toutes les données de la boutique de sa base de données active (chaque table rattachée à la boutique, ainsi que les tâches et sessions associées), retire les noms d'hôte et les entrées de routage Cloudflare de la boutique, et détruit la clé de chiffrement de la boutique afin que les champs chiffrés restants deviennent illisibles. Cela se produit normalement dans l'heure suivant la demande. Si une réinstallation a eu lieu entre-temps, la demande ne supprime rien. Si aucune demande n'arrive, Carnet supprime les données 60 jours après la désinstallation. En résumé : les données sont supprimées environ 2 jours après la désinstallation, et au plus tard 60 jours après.

6.3 Sauvegardes. Les copies figurant dans les sauvegardes de la base de données sont supprimées automatiquement à l'expiration de celles-ci, au plus tard 35 jours plus tard. Si une sauvegarde est un jour restaurée, Carnet réapplique chaque suppression enregistrée avant de reprendre un traitement normal. À cette fin, Carnet conserve pendant 42 jours des enregistrements de suppression (identifiant de la boutique, identifiants de demande et empreintes à clé, sans coordonnées lisibles).

6.4 Pendant la durée du contrat, Carnet supprime les données des acheteurs selon les durées de conservation de l'Annexe I et sur instruction du Marchand.

6.5 Sur demande écrite du Marchand avant la suppression, Carnet fournira une copie des Données personnelles dans un format courant.

6.6 Carnet peut conserver des données lorsque la loi l'exige ; il les isolera et les protégera alors.

7. Audit

7.1 Carnet mettra à disposition les informations nécessaires pour démontrer le respect de l'art. 28 et permettra la réalisation d'audits, y compris des inspections, par le Marchand ou par un auditeur qu'il mandate, et y contribuera.

7.2 Carnet peut d'abord répondre par une documentation écrite (Annexes II et III, page Sécurité, certifications publiées des hébergeurs). Les audits sur site exigent un préavis de 30 jours, un engagement de confidentialité, un périmètre et une fréquence raisonnables (pas plus d'une fois par période de 12 mois, sauf en cas de violation ou de demande d'une autorité), et sont aux frais du Marchand. La production étant hébergée chez un fournisseur de cloud, les audits du fournisseur se limitent à ses rapports publiés.

8. Responsabilité, droit applicable, ordre de priorité

La responsabilité au titre du présent DPA est soumise aux limites prévues par les Conditions. Cela ne limite pas la responsabilité envers les personnes concernées au titre de l'art. 82 du RGPD. Droit applicable et juridiction : le droit français, les tribunaux du siège social de TAKISOFT 2.0 étant compétents. En cas de contradiction entre le présent DPA et les Conditions sur le traitement des Données personnelles, le présent DPA prévaut.

9. Contact

[email protected].

Annexe I : Détails du traitement

Annexe II : Mesures techniques et organisationnelles

Chiffrement.

• Les coordonnées des acheteurs, les jetons de lien acheteur, les destinataires et corps des e-mails, ainsi que les fichiers d'export de données sont chiffrés au niveau du champ avec AES-256-GCM, avec un nonce aléatoire de 12 octets par valeur et des données authentifiées supplémentaires qui rattachent chaque valeur à sa ligne.
• Les clés sont dérivées par boutique à partir d'une clé racine (conservée comme secret dans Azure Key Vault et lue via la configuration de l'application) et d'un secret aléatoire propre à chaque boutique conservé dans la base de données. Les clés racine peuvent être renouvelées pendant que l'application fonctionne.
• L'e-mail et le numéro de TVA sont indexés uniquement par empreinte à clé (HMAC-SHA-256 avec un secret propre à chaque boutique), jamais en clair.
• Les noms et e-mails chiffrés des acheteurs ne sont pas consultables par recherche.
• TLS en transit ; le conteneur blob des enregistrements de suppression exige TLS 1.2 et n'a aucun accès public.

Destruction cryptographique. À la suppression d'une boutique, le secret propre à la boutique est détruit, ce qui rend illisibles les champs chiffrés de la boutique, y compris dans les sauvegardes, en plus de la suppression des lignes.

Contrôle d'accès et isolation.

• Tous les accès à la base de données pour les données d'une boutique passent par une couche de données limitée à la boutique et par un contexte de boutique propre à chaque transaction. Il s'agit d'une isolation au niveau de l'application, et non d'une sécurité au niveau des lignes de la base de données.
• Le personnel du Marchand s'authentifie via Shopify. Les secrets de production sont des références Key Vault ; le service d'e-mail de production utilise une identité managée, sans chaîne de connexion de longue durée. L'App Service n'accepte que les plages d'adresses IP de Cloudflare.
• Les liens acheteur utilisent de longs jetons aléatoires ; seuls une empreinte de recherche et une copie chiffrée sont stockées. Des codes d'accès facultatifs protègent les liens ; les codes sont stockés sous forme de HMAC ; les échecs de saisie sont limités en débit et entraînent un verrouillage.

Sécurité applicative des pages destinées aux acheteurs. Content Security Policy stricte avec nonces, aucun affichage en cadre, aucun référent, noindex, vérification de l'origine exacte des envois, champ piège et contrôle du temps minimum de saisie, limitations de débit par empreinte d'IP, par lien et par boutique, plafond quotidien par lien, cookie de session avec les attributs Secure, HttpOnly et SameSite.

Journalisation. Les journaux de requêtes enregistrent les chemins sans les chaînes de requête ; les jetons de lien présents dans les chemins sont masqués ; les messages d'erreur, les traces et les valeurs de contexte sont expurgés des adresses e-mail et des jetons avant journalisation.

Minimisation et conservation. Expurgation et suppression automatiques comme à l'Annexe I ; tâche de conservation horaire ; coordonnées des acheteurs effacées des demandes, des e-mails et des imports lors de l'effacement ; les agrégats du carnet de commandes ne sont pas des données personnelles et sont conservés.

Suppression et reprise. Les webhooks Shopify customers/redact, customers/data_request et shop/redact sont vérifiés et traités automatiquement, avec nouvelles tentatives ; les enregistrements de suppression sont exportés toutes les heures vers un stockage blob privé et réappliqués après toute restauration de sauvegarde. Les sauvegardes de la base de données sont conservées jusqu'à 35 jours.

Disponibilité. PostgreSQL géré avec sauvegardes automatiques ; contrôles d'état ; tâches de fond avec baux et nouvelles tentatives idempotentes.

Organisation. L'accès à la production est limité à l'opérateur.

Annexe III : Sous-traitants ultérieurs

Les modifications prévues seront notifiées conformément à la section 4.2.