Accord de sous-traitance des données

Dernière mise à jour : 12 octobre 2026.

Cet accord fait partie des conditions générales d'utilisation. Il lie chaque commerçant, responsable du traitement des données de ses clients, et l'éditeur désigné dans les mentions légales, qui les traite pour son compte en tant que sous-traitant, au sens de l'article 28 du règlement général sur la protection des données (RGPD).

1. Le traitement

• Objet : héberger les données des clients du commerçant et lui fournir les outils pour gérer ses commandes, livraisons, retours et remboursements.
• Durée : celle de l'utilisation du service par le commerçant.
• Personnes concernées : les clients du commerçant.
• Données : nom, adresse e-mail, ville et adresse postale, consentements aux e-mails et SMS ; commandes (articles, montants, adresse de livraison, transporteur, numéro de suivi), historique et notes internes des commandes, retours et remboursements ; pour les clients qui ont un compte sur le site du commerçant, leur mot de passe (haché) ou leur compte de connexion externe, et leurs sessions (adresse IP, navigateur).
• Aucune donnée de paiement (numéro de carte) ni donnée sensible n'est traitée.

2. Engagements de l'éditeur

• Il ne traite ces données que sur les instructions du commerçant, données par son utilisation du service, et pour le fournir ; il informe le commerçant s'il estime qu'une instruction enfreint la réglementation.
• Les personnes qui y ont accès pour l'éditeur sont tenues à la confidentialité.
• Il applique les mesures de sécurité décrites à l'article 5.
• Il aide le commerçant à répondre aux demandes de ses clients : sur la fiche d'un client, un administrateur de la boutique exporte ses données ou les efface. Les commandes et leurs montants restent, sans nom ni adresse, pour les obligations comptables du commerçant.
• Il notifie au commerçant toute violation de ces données dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification.
• Il aide le commerçant, sur demande, pour ses analyses d'impact et ses échanges avec la CNIL.
• Il tient à sa disposition les informations nécessaires pour démontrer le respect de ces engagements, et permet des audits sur demande raisonnable et préavis.

3. Sous-traitants ultérieurs

Le commerçant autorise l'éditeur à faire appel à :

• OVH SAS (France), qui héberge le serveur et les bases de données ;
• Cloudflare, Inc., qui stocke les photos des produits dans l'Union européenne (ces photos ne contiennent pas, en principe, de données des clients).

L'éditeur impose à chacun des obligations équivalentes à celles de cet accord, et prévient le commerçant avant tout nouveau sous-traitant ; le commerçant peut s'y opposer en mettant fin à son utilisation du service.

4. Transferts hors de l'Union européenne

Les données des clients sont hébergées dans l'Union européenne. Si un prestataire y accède depuis un pays tiers, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données UE–États-Unis.

5. Mesures de sécurité

• Une base de données distincte pour chaque boutique, avec son propre compte d'accès : une boutique ne peut pas lire les données d'une autre.
• Des accès par rôle, vérifiés à chaque page et à chaque modification ; l'effacement et l'export des données d'un client sont réservés aux administrateurs.
• Les mots de passe sont enregistrés hachés ; les connexions sont chiffrées (HTTPS pour les navigateurs, TLS pour toutes les connexions à la base de données).
• Un journal des modifications, et une limite du nombre d'actions par visiteur contre les abus.

6. Fin du traitement

Quand le commerçant cesse d'utiliser le service, il peut demander une copie de ses données. L'éditeur les supprime ensuite, avec la base de la boutique et ses photos, dans les 30 jours, sauf obligation légale de conservation.

7. Obligations du commerçant

Le commerçant dispose d'une base légale pour traiter les données de ses clients, les en informe, répond à leurs demandes et n'enregistre dans le service que les données nécessaires à ses ventes.