Accord de sous-traitance pour les données des clients acheteurs

Ce texte français est une traduction de l’original espagnol, version 1.3. En cas de divergence, la version espagnole prévaut.

Parties

Prestataire : BIERZO SEO Y MARKETING S.L., CIF B24730178, immatriculée au Registro Mercantil de León, hoja LE-26008, folio 177, tomo 1343, inscripción 1.ª, dont le siège social est situé C. General Gómez Núñez, 2, planta 1, oficina 2, 24402 Ponferrada (León), España.

Client : la personne ou l’entité titulaire du compte, avec les informations indiquées lors de la signature.

Signataire : la personne qui signe au nom du Client, identifiée lors de la signature.

1. Parties et objet

Le Client est le responsable du traitement des données des acheteurs de ses boutiques. Le Prestataire agit en qualité de sous-traitant et ne traite ces données que pour le compte du Client et afin de lui fournir le service Pindash, conformément à l’article 28 du règlement (UE) 2016/679 (RGPD).

2. Durée

Le présent accord s’applique tant que le Prestataire traite des données des boutiques du Client et jusqu’à leur restitution ou leur suppression à la fin du service.

3. Nature et finalité

Lecture, avec des autorisations en lecture seule, des données de commandes, de catalogue et de stock des boutiques connectées ; normalisation, stockage et calcul d’indicateurs, d’alertes et de résumés pour le Client ; lorsque la boutique l’enregistre, lecture de l’origine de chaque commande afin de montrer au Client ses ventes par canal et par campagne (clause 5) ; et, lorsque le Client l’autorise, réponse aux requêtes de son assistant IA (clause 9).

4. Données traitées

Données personnelles : identifiant pseudonymisé de l’acheteur, que le Prestataire calcule à partir de l’identifiant client de la boutique sans conserver ce dernier, et données de chaque commande qui y sont associées : numéro visible, dates, statuts, montants, remises, frais de livraison, devise, remboursements et lignes de commande (produit, référence, quantité et montant). Un identifiant pseudonymisé reste une donnée personnelle.

Origine de chaque commande, si la boutique l’enregistre (clause 5) : type d’origine, source, support (medium), campagne, contenu et terme des balises UTM, le numéro de la campagne publicitaire (chiffres uniquement), domaine de provenance, chemin de la page d’entrée sans paramètres ni fragment, type d’appareil et le type d’identifiant de clic publicitaire, sans sa valeur. Elle est liée à la commande et, par son intermédiaire, à l’identifiant pseudonymisé de l’acheteur : ce n’est pas une donnée anonyme.

Données commerciales sans données personnelles : produits, déclinaisons, références et stocks, si la boutique y donne accès.

Identifiants techniques : les clés ou autorisations de lecture de chaque boutique, conservées chiffrées.

Les noms, e-mails, adresses, téléphones, données de carte, mots de passe et notes libres des commandes ne sont pas conservés : si la boutique les renvoie, ils sont écartés avant d’être enregistrés. Les codes de licence que certaines boutiques ajoutent au nom du produit sont également écartés. Pour l’origine des commandes, ne sont pas non plus conservés le navigateur (user agent), l’heure ou le nombre de pages de la session, le nombre de visites ni la valeur des identifiants de clic.

5. Origine des commandes

Lorsque la boutique enregistre d’où provient chaque achat, le Prestataire lit cette origine avec la commande, pour le compte du Client et uniquement pour lui montrer ses statistiques de ventes par canal et par campagne. Il ne l’utilise pas à des fins propres, pour créer des profils, pour suivre des personnes d’une session ou d’une boutique à l’autre, ni pour la publicité ou le remarketing, et ne la communique pas aux plateformes publicitaires.

1. WooCommerce. L’origine provient de l’attribution des commandes (Order Attribution) que WooCommerce inclut et gère dans la boutique elle-même. Pour cette fonction, Pindash n’installe rien dans la boutique et n’ajoute aucun cookie : il lit, avec la même autorisation en lecture seule, les données d’origine que WooCommerce a déjà enregistrées avec chaque commande et écarte le reste. La configuration de cette fonction et l’information des visiteurs de la boutique incombent au Client.
2. PrestaShop. L’origine n’existe que si le Client installe le module Pindash dans la boutique et y active l’origine des commandes. Dans l’attente de la confirmation du paiement, le module peut enregistrer dans la boutique, lié au panier, un enregistrement provisoire de l’origine pendant 48 heures au maximum à compter de sa lecture ; cet enregistrement provisoire reste dans la boutique et n’est jamais envoyé au Prestataire. Une fois la commande confirmée, l’origine lui est rattachée, et c’est ce que lit le Prestataire. L’Annexe du module détaille ces opérations et complète le présent accord pour celles-ci.
3. Conservation. Le Prestataire conserve l’origine de chaque commande pendant 24 mois au maximum à compter de la date de la commande ; une nouvelle importation ou la restauration d’une sauvegarde ne fait pas repartir ce délai. À son expiration, l’origine est supprimée, mais pas la commande ni ses montants. Les instructions du Client, l’exercice des droits ou la fin du service peuvent exiger de la supprimer plus tôt (clause 13). Les autres données conservent leurs propres durées.
4. Si la boutique n’enregistre pas l’origine d’une commande, la commande apparaît sans origine : le Prestataire ne la déduit pas et ne la complète pas à partir d’autres sources.

6. Personnes concernées

Les acheteurs et clients des boutiques connectées. Dans les boutiques équipées du module PrestaShop, également les personnes qui confirment un achat, en raison de l’enregistrement provisoire que le module conserve dans la boutique (clause 5 et Annexe du module).

7. Obligations du Client

Le Client, en tant que responsable du traitement, détermine la finalité du traitement, s’assure que la collecte des données dans ses boutiques est licite et qu’il peut confier ce traitement, et donne au Prestataire des instructions conformes à la réglementation.

8. Obligations du Prestataire

Le Prestataire :

1. Ne traite les données que sur instruction documentée du Client, à savoir celles du présent accord et les paramètres que le Client choisit dans Pindash, sauf si le droit de l’Union européenne ou des États membres l’oblige à un autre traitement ; dans ce cas, il en informe préalablement le Client, sauf si ce droit l’interdit.
2. Informe immédiatement le Client s’il estime qu’une instruction constitue une violation de la réglementation sur la protection des données.
3. Veille à ce que les personnes autorisées à traiter les données se soient engagées à en respecter la confidentialité.
4. Applique des mesures de sécurité adaptées au risque : chiffrement des identifiants des boutiques, isolement des données de chaque compte, accès de l’équipe de support en lecture seule, autorisé par le Client, limité à 72 heures et journalisé, sauvegardes chiffrées et tests de restauration périodiques.
5. Ne fait appel à des sous-traitants ultérieurs que dans les conditions de la clause 10, leur impose par contrat les mêmes obligations en matière de protection des données et répond envers le Client de leur respect.
6. Aide le Client à répondre aux demandes d’exercice des droits des personnes concernées, y compris la suppression d’un acheteur déterminé.
7. Aide le Client à respecter ses obligations en matière de sécurité, de notification et de communication des violations de données, d’analyse d’impact et de consultation préalable de l’autorité de contrôle, le cas échéant, compte tenu des informations dont il dispose.
8. À la fin du service, restitue ou supprime les données conformément à la clause 13.
9. Met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord, et permet la réalisation d’audits et d’inspections par le Client ou par un auditeur qu’il a mandaté, et y contribue. Les parties en coordonnent la réalisation avec des mesures de confidentialité et de protection des tiers, sans que cela empêche l’exercice de ce droit.

9. Assistants IA autorisés par le Client

Le Client peut autoriser, dans Paramètres → Assistants IA, l’interrogation des boutiques qu’il choisit depuis un assistant externe compatible (par exemple Claude ou ChatGPT). Avant d’activer la connexion, Pindash indique quelles informations pourront être consultées. Le Prestataire communique à cet assistant, sur instruction du Client, uniquement des chiffres agrégés pour répondre à ses requêtes, sans données individuelles d’acheteurs, et ne journalise pour chaque requête que l’outil utilisé, la connexion, le résultat et sa durée, jamais la question ni la réponse.

L’assistant est choisi et souscrit par le Client : il n’est pas un sous-traitant ultérieur du Prestataire, et ce qu’il fait des chiffres est régi par ses propres conditions. Le Client peut retirer l’accès à tout moment ; dès lors, la requête suivante est refusée, même si ce retrait ne supprime pas ce que l’assistant a déjà reçu.

10. Sous-traitants ultérieurs

Le Client autorise de manière générale les sous-traitants ultérieurs figurant en annexe. Le Prestataire informera le Client par e-mail de tout changement au moins 15 jours calendaires à l’avance ; le Client peut s’y opposer de manière motivée dans les 10 jours suivant l’avis. Si aucune alternative raisonnable n’est trouvée, le Client peut mettre fin au service avant que le changement ne s’applique, sans pénalité et avec la restitution ou la suppression prévue à la clause 13. Le Prestataire tient un historique des versions de l’annexe et des changements communiqués.

Les e-mails que le Prestataire envoie au Client ne contiennent pas de données individuelles d’acheteurs.

11. Violations de sécurité

Le Prestataire notifiera au Client, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, toute violation de sécurité affectant ces données. Il n’attendra pas l’expiration de ce délai ni la fin de l’enquête : il communiquera ce qu’il sait de sa nature, de sa portée, de ses conséquences probables, des mesures prises et de la personne à contacter, et complétera l’information au fur et à mesure.

12. Localisation des données

Les données sont hébergées dans l’Union européenne. Aucun transfert international n’est prévu ; si un sous-traitant ultérieur venait à en avoir besoin, il n’aurait lieu qu’avec les garanties du chapitre V du RGPD et après en avoir informé le Client conformément à la clause 10. Si le Client est établi hors de l’Union européenne, la communication des données depuis son pays au Prestataire peut constituer un transfert ou une transmission internationale selon la réglementation de ce pays ; les parties compléteront l’instrument que cette réglementation exige.

13. Fin de l’accord : restitution et suppression

À la fin du service, le Client peut choisir la restitution des données, au moyen de l’exportation prévue dans le Contrat de service Pindash, ou leur suppression. Pendant les 30 jours suivants, le Client peut consulter et exporter ses chiffres, même si aucune nouvelle donnée n’est plus importée ; les délais spécifiques en cas d’impayé ou de dépassement d’utilisation sont ceux du Contrat de service Pindash. Une fois la restitution effectuée ou ce délai expiré, le Prestataire supprime les données de ses systèmes, sauf si une règle l’oblige à les conserver. Ce délai ne prolonge pas celui de l’origine des commandes : c’est le premier qui expire qui s’applique. Les sauvegardes, chiffrées et isolées, sont conservées 14 jours et les données en disparaissent à leur expiration ; s’il fallait restaurer une sauvegarde, les données dont la suppression a été ordonnée et l’origine des commandes dont le délai a expiré ne seront pas réactivées.

Annexe. Sous-traitants ultérieurs

1. OVH Hispano S.L. (OVHcloud), NIF B83834747, C/ Alcalá 21, 5.ª planta, 28014 Madrid (Espagne). Service : serveur privé virtuel qui héberge l’application et la base de données. A accès à toutes les données de la clause 4. Localisation : Gravelines (France), Union européenne.
2. OVH Hispano S.L. (OVHcloud), avec les mêmes coordonnées. Service : stockage d’objets pour les sauvegardes, chiffrées avant de quitter le serveur. A accès aux sauvegardes chiffrées de la base de données. Localisation : Strasbourg (France), Union européenne.