Accord de sous-traitance des données personnelles (DPA)

1. Parties et formation de l’accord

L’accord est conclu entre :

• le commerçant qui a souscrit un abonnement, dont l’identité est celle indiquée à l’inscription (le « Responsable de traitement ») ;
• MALEDA SAS, SAS, 17 rue de la caserne, 57710 Aumetz, France, 123456TEST12345 (« Maleda » ou le « Sous-traitant »).

Il est accepté par voie électronique en même temps que les conditions d’utilisation et de vente, dont il fait partie. La version acceptée et la date d’acceptation sont enregistrées. Il s’applique à chaque commerce du commerçant. En cas de contradiction sur le traitement des données personnelles, le présent accord prévaut sur les conditions d’utilisation et de vente.

2. Objet

Maleda traite, pour le compte du Responsable de traitement et sur ses instructions documentées, les données personnelles de ses clients dans la seule mesure nécessaire à la fourniture du Service : hébergement du site du commerce, réservation en ligne, commande à retirer, envoi d’e-mails et de notifications, et gestion des acomptes via Stripe Connect.

Le Responsable de traitement reste responsable de la licéité de la collecte de ces données, de l’information de ses clients (articles 13 et 14 du RGPD) et du choix des finalités. Pour les autres traitements (compte commerçant, facturation, sécurité, annuaire, vérification de l’adresse et de l’entreprise, programme de parrainage), Maleda est elle-même responsable de traitement : voir la politique de confidentialité.

Ces autres traitements sont hors du champ du présent accord. Ils font toutefois intervenir des prestataires qui ne reçoivent aucune donnée de client, énumérés à l’annexe 3 pour information : en particulier les services publics qui vérifient l’adresse et l’existence de l’entreprise du commerçant, et Stripe pour le versement des commissions de parrainage.

3. Durée

L’accord prend effet à l’acceptation des conditions d’utilisation et de vente et dure autant que l’abonnement. Il se poursuit après la fin du contrat pour la restitution et la suppression des données (article « Sort des données »).

4. Nature, finalité, données et personnes concernées

La nature et la finalité des traitements, les types de données personnelles et les catégories de personnes concernées sont décrits à l’annexe 1.

5. Instructions du Responsable de traitement

Maleda traite les données uniquement sur instruction documentée du Responsable de traitement. Le contrat, l’usage du Service et ses réglages, et les demandes écrites envoyées à contact@maleda.eu constituent ces instructions.

Maleda informe immédiatement le Responsable de traitement si elle estime qu’une instruction constitue une violation du RGPD ou d’une autre règle de protection des données. Elle ne traite pas les données pour son propre compte, sauf obligation légale, auquel cas elle en informe le Responsable de traitement lorsque la loi le permet.

Le Responsable de traitement s’interdit de collecter, par les champs libres du Service (prestation, note de commande…), des données sensibles au sens de l’article 9 du RGPD (santé, opinions, etc.), sauf nécessité réelle et base légale appropriée.

6. Confidentialité

Maleda veille à ce que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité (engagement contractuel ou obligation légale) et ne les traitent que pour exécuter le Service. Les données d’un commerce ne sont accessibles à aucun autre commerçant.

7. Sécurité des données

Maleda met en œuvre les mesures techniques et organisationnelles listées à l’annexe 2, pour assurer un niveau de sécurité adapté au risque (article 32 du RGPD). Elle les fait évoluer avec l’état de l’art, sans en réduire le niveau global.

8. Sous-traitants ultérieurs

Le Responsable de traitement donne à Maleda une autorisation générale de recourir aux sous-traitants ultérieurs listés à l’annexe 3.

Maleda informe le Responsable de traitement de tout ajout ou remplacement d’un sous-traitant ultérieur, au moins 30 jours à l’avance, par e-mail ou par une mise à jour de l’annexe 3 accompagnée d’un avis dans l’Espace commerçant. Le Responsable de traitement peut s’y opposer pour un motif raisonnable lié à la protection des données, dans ce délai, en écrivant à contact@maleda.eu. Les parties cherchent alors une solution ; à défaut, le Responsable de traitement peut résilier, sans frais, l’abonnement concerné (la résiliation prend effet à la fin de la Période payée, ou plus tôt si le changement est mis en œuvre).

Maleda impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable à l’égard du Responsable de traitement de l’exécution de ces obligations.

9. Droits des personnes concernées

Maleda aide le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes (accès, rectification, effacement, limitation, portabilité, opposition). Le Responsable de traitement peut consulter, corriger et supprimer les réservations et commandes de son commerce depuis son Espace commerçant.

Si une personne s’adresse directement à Maleda à propos de données traitées pour le compte du Responsable de traitement, Maleda lui indique de s’adresser à ce dernier et lui transmet la demande dans un délai de 5 jours ouvrés, sans y répondre elle-même sauf instruction contraire.

Sur demande, Maleda fournit au Responsable de traitement une copie ou un export des données concernées, dans un délai raisonnable ne dépassant pas 15 jours.

10. Violation de données

Maleda notifie au Responsable de traitement toute violation de données personnelles affectant les données traitées pour son compte, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse du compte. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Les informations manquantes sont fournies au fur et à mesure.

Il appartient au Responsable de traitement d’apprécier s’il doit notifier la violation à l’autorité de contrôle (dans les 72 heures) et aux personnes concernées ; Maleda l’y aide. Maleda prend sans délai les mesures nécessaires pour contenir la violation et en limiter les effets.

11. Assistance

Maleda aide le Responsable de traitement, compte tenu de la nature du traitement et des informations dont elle dispose, à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact (AIPD) et de consultation préalable de l’autorité de contrôle (articles 32 à 36 du RGPD). Elle tient à sa disposition les informations nécessaires pour démontrer le respect du présent accord.

12. Audits

Le Responsable de traitement peut vérifier le respect du présent accord : d’abord sur la base des informations que Maleda met à sa disposition (documentation, description des mesures de sécurité, rapports ou certifications des sous-traitants ultérieurs), puis, si ces informations ne suffisent pas ou en cas de violation avérée, par un audit réalisé par lui ou par un auditeur indépendant tenu à la confidentialité.

L’audit est annoncé par écrit au moins 30 jours à l’avance, est limité aux traitements concernés, se déroule pendant les heures ouvrées sans perturber le Service ni compromettre la sécurité des données d’autres clients. Chaque partie supporte ses propres frais ; les frais raisonnables de Maleda sont à la charge du Responsable de traitement, sauf manquement constaté.

13. Sort des données en fin de contrat

À la fin du contrat, quelle qu’en soit la cause, Maleda, au choix du Responsable de traitement exprimé par écrit, lui restitue les données ou les supprime, puis détruit les copies existantes, dans un délai de 30 jours à compter de la fin du contrat (ou de la demande, si elle est postérieure), sauf si le droit de l’Union ou d’un État membre impose leur conservation.

À défaut de choix, les données sont supprimées dans ce délai. Les sauvegardes de la base de données, conservées 14 jours, sont purgées au plus tard 14 jours après la suppression. Maleda atteste de la suppression sur demande.

14. Transferts hors de l’Union européenne

Maleda ne transfère pas de données hors de l’Union européenne, sauf vers un sous-traitant ultérieur de l’annexe 3 et sous les garanties de l’article 46 du RGPD : décision d’adéquation (cadre de protection des données UE–États-Unis) ou clauses contractuelles types de la Commission, complétées au besoin de mesures supplémentaires. [À COMPLÉTER : confirmer, pour chaque sous-traitant ultérieur, la garantie retenue]

15. Responsabilité

Chaque partie répond de ses manquements au RGPD et au présent accord dans les conditions de l’article 82 du RGPD, sans préjudice des droits des personnes concernées. Dans leurs rapports, la responsabilité de Maleda au titre du présent accord est soumise aux limitations de l’article « Limitation de responsabilité » des conditions d’utilisation et de vente, sauf lorsque la loi les écarte.

Le Responsable de traitement garantit Maleda contre les conséquences d’une instruction illicite ou d’un défaut d’information de ses clients qui lui est imputable.

16. Droit applicable et juridiction

Le présent accord est soumis au droit français et, pour les litiges, aux mêmes règles de compétence que les conditions d’utilisation et de vente (tribunaux compétents du ressort du siège de l’éditeur). Les règles impératives du RGPD s’appliquent en toute hypothèse.

17. Annexe 1 : description des traitements

18. Annexe 2 : mesures de sécurité

Confidentialité et accès

• Cloisonnement des données par commerce : chaque donnée métier porte l’identifiant du commerce, déterminé par le serveur (jamais par un champ de formulaire) ; toute modification est filtrée par commerce et par identifiant.
• Authentification des commerçants sans mot de passe : lien et code à usage unique, expiration à 15 minutes, 5 essais, limitation du nombre d’envois par heure et par adresse, réponse identique que l’adresse existe ou non.
• Seules les empreintes (SHA-256) des liens, des codes et des jetons de session sont conservées ; sessions de 30 jours au plus, cookie « httpOnly ».
• Jetons d’accès aux réseaux sociaux chiffrés (AES-GCM) ; lien d’annulation des clients stocké sous forme d’empreinte.
• Accès à la production limité aux personnes habilitées ; secrets conservés dans l’environnement du serveur, jamais dans le code.

Intégrité et disponibilité

• Chiffrement des échanges en transit (HTTPS, certificats automatiques).
• Validation côté serveur de toute entrée ; prix et montants recalculés côté serveur.
• Évènements de paiement signés et traités une seule fois (idempotence).
• Sauvegardes quotidiennes de la base de données, conservées 14 jours ; supervision de l’état du service.
• Photos ré-encodées et débarrassées de leurs métadonnées.

Traçabilité et organisation

• Journalisation des accès et des erreurs du serveur.
• Mises à jour de sécurité des composants ; séparation des environnements de développement et de production ; absence de données réelles dans les tests.
• Procédure de gestion des incidents et de notification des violations (article « Violation de données »).

19. Annexe 3 : sous-traitants ultérieurs autorisés

Les prestataires suivants fournissent des fonctions du Service sans recevoir de données de clients : Anthropic (modèle d’IA de l’Assistant : demande du commerçant, noms de produits), OpenStreetMap / Nominatim et Photon (géocodage et vérification de l’adresse du commerce hors de France), la Base Adresse Nationale (vérification des adresses en France), l’annuaire des entreprises / base SIRENE (existence de l’entreprise française) et VIES de la Commission européenne (numéros de TVA européens) : ces services reçoivent uniquement l’adresse et le numéro d’entreprise du commerce ; Stripe Connect pour le versement des commissions de parrainage aux parrains (aucune donnée de client) ; Google (connexion Google du commerçant, avis, Street View : le navigateur du visiteur peut se connecter à Google lors de l’affichage de Street View), Meta (publications du commerçant sur ses réseaux sociaux).