Cette traduction est fournie à titre indicatif. En cas de divergence avec l’original anglais, la version anglaise fait foi. Lire l’original en anglais

Le présent Avenant relatif au traitement des données (le « DPA ») fait partie des Conditions d’utilisation ou de tout autre accord écrit (l’« Accord ») conclu entre Shopxare, LLC (« Shopxare », le « Sous-traitant ») et le client (le « Client », le « Responsable du traitement »). Il s’applique automatiquement lorsque Shopxare traite des Données personnelles du client. Les clients qui ont besoin d’un exemplaire signé peuvent en faire la demande au moyen du formulaire de demande de DPA.

1. Définitions

Les « Lois sur la protection des données » désignent toutes les lois relatives au traitement des données personnelles applicables à une partie, y compris le Règlement général sur la protection des données de l’UE 2016/679 (le « RGPD »), le UK GDPR et le Data Protection Act 2018 britanniques, la loi fédérale suisse sur la protection des données, le California Consumer Privacy Act tel que modifié (le « CCPA »), les autres lois des États américains sur la vie privée et la loi turque n° 6698 relative à la protection des données personnelles (la « KVKK »). Les « Données personnelles du client » désignent les données personnelles contenues dans les Données client et traitées par Shopxare pour le compte du Client. Les termes « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel », « traitement » et « autorité de contrôle » ont le sens qui leur est donné dans le RGPD. Un « Sous-traitant ultérieur » désigne un tiers auquel Shopxare fait appel pour traiter des Données personnelles du client.

2. Rôles et champ d’application

2.1 Le Client est le responsable du traitement (ou un sous-traitant agissant pour son propre responsable du traitement) et Shopxare est le sous-traitant (ou sous-traitant ultérieur) des Données personnelles du client.

2.2 Shopxare est un responsable du traitement indépendant pour les données de compte, de facturation et du site web décrites dans la Politique de confidentialité ; le présent DPA ne s’applique pas à ces données.

2.3 L’objet, la nature, la finalité et la durée du traitement, les types de données personnelles et les catégories de personnes concernées sont décrits à l’annexe I.

3. Obligations du Client

Le Client : (a) ne donnera que des instructions licites ; (b) disposera d’une base juridique et fournira les informations requises pour le traitement, y compris pour les cookies et le stockage local du Messenger sur ses sites web ; (c) ne demandera pas à Shopxare de traiter des catégories particulières de données, sauf dans la mesure permise par la Politique d’utilisation acceptable ; et (d) sera responsable de l’exactitude des Données personnelles du client.

4. Obligations de Shopxare

Shopxare :

4.1 ne traitera les Données personnelles du client que sur les instructions documentées du Client, à savoir l’Accord, le présent DPA ainsi que la configuration et l’utilisation des Services par le Client, sauf obligation légale contraire (auquel cas Shopxare en informera le Client, sauf si la loi l’interdit) ; Shopxare informera le Client si elle estime qu’une instruction enfreint les Lois sur la protection des données ;

4.2 veillera à ce que les membres de son personnel autorisés à traiter les Données personnelles du client soient soumis à une obligation de confidentialité ;

4.3 mettra en œuvre les mesures techniques et organisationnelles décrites à l’annexe II ;

4.4 respectera les conditions de recours à des Sous-traitants ultérieurs prévues à la section 6 ;

4.5 compte tenu de la nature du traitement, aidera le Client, par des mesures appropriées, à répondre aux demandes des personnes concernées (section 7) ;

4.6 aidera le Client en matière de sécurité, de notification des violations, d’analyses d’impact relatives à la protection des données et de consultations préalables, compte tenu des informations dont dispose Shopxare ;

4.7 supprimera ou restituera les Données personnelles du client à la fin des Services (section 9) ; et

4.8 mettra à disposition les informations nécessaires pour démontrer sa conformité et permettre des audits (section 10).

5. Sécurité et confidentialité

Shopxare maintient les mesures décrites à l’annexe II et peut les mettre à jour, à condition que le niveau global de protection ne soit pas réduit.

6. Sous-traitants ultérieurs

6.1 Le Client accorde à Shopxare une autorisation générale de recourir à des Sous-traitants ultérieurs. La liste actuelle figure sur la page Sous-traitants ultérieurs (annexe III).

6.2 Shopxare informera le Client de tout nouveau Sous-traitant ultérieur au moins 30 jours avant qu’il ne commence à traiter des Données personnelles du client, en mettant à jour la page Sous-traitants ultérieurs et en envoyant un e-mail aux clients qui se sont abonnés aux mises à jour sur cette page ou qui ont signé le présent DPA. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai. Les parties examineront l’objection de bonne foi ; si elle ne peut être résolue, le Client peut résilier les Services concernés et obtenir le remboursement des frais prépayés pour la durée restante.

6.3 Shopxare imposera à chaque Sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que le présent DPA, et reste responsable de l’exécution par ses Sous-traitants ultérieurs.

6.4 Les services que le Client choisit de connecter (par exemple Telegram, un fournisseur d’IA utilisé avec la propre clé d’API du Client, WooCommerce ou Shopify) ne sont pas des Sous-traitants ultérieurs de Shopxare ; la relation du Client avec eux est régie par leurs propres conditions.

7. Demandes des personnes concernées

Le Client peut lui-même accéder à la plupart des Données personnelles du client, les rectifier, les exporter et les supprimer dans les Services. Si Shopxare reçoit d’une personne concernée une demande portant sur des Données personnelles du client, elle la transmettra au Client dans les meilleurs délais et n’y répondra pas elle-même, sauf pour orienter la personne concernée vers le Client ou lorsque la loi l’exige.

8. Violations de données à caractère personnel

8.1 Shopxare informera le Client dans les meilleurs délais, et en tout état de cause dans les 72 heures, après avoir pris connaissance d’une violation de données à caractère personnel affectant des Données personnelles du client.

8.2 La notification décrira, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables ainsi que les mesures prises ou envisagées. Shopxare fournira des informations complémentaires au fur et à mesure qu’elles deviennent disponibles et prendra des mesures raisonnables pour contenir la violation et y remédier.

8.3 La notification ne constitue pas une reconnaissance de faute.

9. Suppression et restitution

Pendant la durée des Services, le Client peut exporter les Données personnelles du client. Dans les 30 jours suivant la fin des Services, Shopxare supprimera les Données personnelles du client de ses systèmes actifs ; les copies figurant dans les sauvegardes sont supprimées dans le cycle de sauvegarde (35 jours) et restent protégées jusque-là. Shopxare peut conserver des données lorsque la loi l’exige, sous réserve du présent DPA.

10. Audits

10.1 Sur demande, et au maximum une fois par an (sauf exigence d’une autorité de contrôle ou à la suite d’une violation de données à caractère personnel), Shopxare répondra à un questionnaire de sécurité raisonnable et fournira sa documentation de sécurité à jour.

10.2 Si cela ne suffit pas à démontrer la conformité, le Client peut procéder à un audit, moyennant un préavis écrit d’au moins 30 jours, pendant les heures ouvrables, sans perturber de manière déraisonnable les activités de Shopxare, dans le cadre d’un accord de confidentialité et aux frais du Client. Les audits des Sous-traitants ultérieurs sont réalisés en s’appuyant sur leurs rapports et certifications.

11. Transferts internationaux

11.1 Les Données personnelles du client sont stockées sur des serveurs situés en Turquie et peuvent être traitées aux États-Unis et dans d’autres pays où Shopxare ou ses Sous-traitants ultérieurs exercent leurs activités.

11.2 EEE. Dans la mesure où des Données personnelles du client soumises au RGPD sont transférées vers un pays ne bénéficiant pas d’une décision d’adéquation, les parties intègrent les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 de la Commission (les « CCT ») : le module deux (responsable du traitement vers sous-traitant) lorsque le Client est responsable du traitement, et le module trois (sous-traitant vers sous-traitant) lorsque le Client est sous-traitant. Pour les CCT : la clause 7 (clause d’adhésion) s’applique ; au titre de la clause 9, l’option 2 (autorisation générale) s’applique avec le délai de préavis prévu à la section 6.2 ; la formulation facultative de la clause 11 ne s’applique pas ; au titre des clauses 17 et 18, le droit et les juridictions de l’Irlande s’appliquent ; les annexes I à III des CCT sont complétées par les annexes I à III du présent DPA.

11.3 Royaume-Uni. Pour les transferts soumis au UK GDPR, l’avenant relatif aux transferts internationaux de données aux CCT publié par l’Information Commissioner britannique s’applique, le tableau 1 étant complété par l’annexe I, le tableau 2 par la section 11.2, le tableau 3 par les annexes I à III, et le tableau 4 permettant à chacune des parties d’y mettre fin.

11.4 Suisse. Pour les transferts soumis au droit suisse, les CCT s’appliquent avec le Préposé fédéral à la protection des données et à la transparence comme autorité compétente, les références au RGPD s’entendant comme des références au droit suisse.

11.5 Turquie. Pour les transferts soumis à la KVKK, les parties utiliseront le contrat type publié par l’Autorité turque de protection des données personnelles lorsque cela est requis, et le Client effectuera toute notification requise auprès de l’Autorité.

11.6 Si un mécanisme de transfert est invalidé, les parties coopéreront pour mettre en place une solution de remplacement.

12. Lois américaines sur la vie privée

Dans la mesure où le CCPA ou des lois similaires des États américains s’appliquent, Shopxare agit en tant que « prestataire de services » (service provider) ou « sous-traitant » (processor). Shopxare s’engage à ne pas : (a) vendre ni partager les Données personnelles du client ; (b) les conserver, les utiliser ou les communiquer à d’autres fins que la fourniture des Services, ou en dehors de la relation commerciale directe avec le Client ; (c) les combiner avec des données personnelles provenant d’autres sources, sauf dans la mesure permise par la loi ; Shopxare respectera les obligations applicables de ces lois, assurera le niveau de protection qu’elles exigent et informera le Client si elle n’est plus en mesure de les respecter. Le Client peut prendre des mesures raisonnables pour faire cesser et corriger toute utilisation non autorisée. Shopxare certifie comprendre ces restrictions.

13. Responsabilité et ordre de priorité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues par l’Accord, sauf lorsque les Lois sur la protection des données ou les CCT ne le permettent pas. En cas de contradiction entre le présent DPA et l’Accord, le présent DPA prévaut pour le traitement des Données personnelles du client ; en cas de contradiction avec les CCT, les CCT prévalent.

Annexe I — Description du traitement

Exportateur de données : le Client, tel qu’identifié dans l’Accord ou dans son Espace de travail ; contact : le propriétaire de l’Espace de travail. Rôle : responsable du traitement ou sous-traitant. Activités : utilisation des Services.

Importateur de données : Shopxare, LLC, 2318 Garden Rd, Shopxare Park, Monterey, CA 93940, États-Unis ; [email protected]. Rôle : sous-traitant. Activités : fourniture des Services.

Catégories de personnes concernées : les Utilisateurs finaux du Client (visiteurs du site web, clients, prospects et autres personnes qui contactent le Client) et les Utilisateurs du Client (membres de l’équipe).

Catégories de données personnelles : noms, adresses e-mail, numéros de téléphone, identifiants utilisateur et attributs envoyés par le Client ; contenu des messages et fichiers ; identifiants Telegram et e-mail ; visites de pages, événements, appareil, navigateur, langue et localisation approximative (déduite de l’adresse IP) ; données de signalisation des appels (les appels ne sont pas enregistrés) ; notes des conversations ; noms, photos et fonctions des membres de l’équipe.

Catégories particulières : aucune n’est prévue ; des catégories particulières n’apparaissent que si des Utilisateurs finaux les incluent dans leurs messages, auquel cas les mesures de sécurité de l’annexe II s’appliquent.

Fréquence : continue.

Nature et finalité : hébergement, stockage, transmission, affichage, recherche, analyse (y compris par les fonctionnalités d’IA activées par le Client), traduction et suppression, afin de fournir les Services au Client.

Conservation : pendant la durée de l’Accord, puis comme décrit à la section 9.

Transferts aux sous-traitants ultérieurs : tels qu’énumérés à l’annexe III, pour les finalités qui y sont indiquées.

Autorité de contrôle compétente : l’autorité déterminée conformément à la clause 13 des CCT.

Annexe II — Mesures techniques et organisationnelles

Les mesures sont décrites dans notre présentation de la Sécurité et comprennent : le chiffrement des données en transit (TLS 1.2+) ; le chiffrement des identifiants stockés, comme les jetons d’intégration et les clés d’API ; le hachage salé des mots de passe ; la validation en deux étapes et l’approbation des connexions pour les membres de l’équipe ; le contrôle d’accès fondé sur les rôles et l’isolation des clients appliqués dans l’application ; les journaux d’audit ; un accès aux systèmes de production réservé au personnel autorisé de Shopxare ; la protection du réseau et l’atténuation des attaques DDoS via Cloudflare ; la limitation du débit ; des webhooks signés ; la vérification d’identité (HMAC) pour les utilisateurs du Messenger ; des sauvegardes quotidiennes conservées 35 jours ; la surveillance et une page d’état publique ; des procédures de réponse aux incidents ; des pratiques de développement sécurisé avec tests automatisés avant chaque version ; et des obligations de confidentialité pour le personnel.

Annexe III — Sous-traitants ultérieurs

Voir la page Sous-traitants ultérieurs, qui fait partie du présent DPA.