Contrat de sous-traitance (RGPD, article 28)

Le présent contrat est conclu entre le client — l'artisan qui utilise Zeste, responsable de traitement des données de ses propres acheteurs — et Ayoub EL AMRI, exerçant sous le nom commercial elma.agency (Entrepreneur individuel (micro-entreprise), SIRET 104 337 589 00014), éditeur de Zeste, agissant en qualité de sous-traitant. Il complète les conditions générales et prévaut sur elles pour tout ce qui touche aux données à caractère personnel.

Annexe — objet du traitement

Ces éléments sont exigés par le chapeau de l'article 28§3 : sans eux, les huit obligations qui suivent n'auraient pas de périmètre.

• Objet : l'hébergement et le traitement des données des acheteurs du client, aux fins de la prise et du suivi de ses commandes.
• Durée : la durée de l'abonnement, prolongée de trente jours après sa résiliation pour permettre la restitution.
• Nature et finalité : collecte par la vitrine publique, conservation, consultation par le client, acheminement de courriels de confirmation et de suivi, encaissement d'un acompte lorsque le client l'active.
• Catégories de personnes concernées : les acheteurs du client, particuliers ou professionnels, et les personnes qu'ils désignent pour la livraison.
• Catégories de données : identité, coordonnées, adresse de livraison, contenu et historique des commandes, montants. Et, le cas échéant, des données concernant la santé — allergies et régimes alimentaires signalés par l'acheteur —, qui relèvent de l'article 9 du règlement et sont collectées sur son consentement explicite, jamais à son insu.
• Ce qui n'est pas concerné : les recettes, coûts, marges et fiches techniques du client. Ce ne sont pas des données à caractère personnel, et le secret de fabrication qui les protège relève des conditions générales.

a. Traitement sur instruction documentée

L'éditeur ne traite les données que sur instruction documentée du client, y compris en matière de transfert hors de l'Union européenne. L'usage du service et le paramétrage effectué par le client valent instruction. L'éditeur informe le client s'il estime qu'une instruction constitue une violation du règlement, et n'y donne pas suite tant que le point n'est pas tranché.

L'éditeur s'interdit tout usage propre de ces données : aucune revente, aucune prospection, aucun entraînement de modèle, aucune agrégation entre comptes sans anonymisation préalable.

b. Engagement de confidentialité des personnes autorisées

Seules les personnes qui doivent accéder aux données pour fournir le service y accèdent, et elles sont tenues à un engagement de confidentialité — contractuel ou légal. L'accès administrateur de l'éditeur est journalisé.

c. Sécurité — mesures de l'article 32

L'éditeur met en œuvre les mesures exigées par l'article 32 : chiffrement des échanges, cloisonnement de chaque atelier au niveau de la base par des politiques de sécurité au niveau des lignes, journalisation des accès administrateur, sauvegardes régulières, et restriction des identifiants de service au seul serveur.

d. Recours à un sous-traitant ultérieur

Le client autorise les sous-traitant ultérieurs suivants, et eux seuls. Toute adjonction lui est notifiée trente jours à l'avance ; il peut s'y opposer, auquel cas il peut résilier sans frais.

• Supabase — base de données, authentification et stockage des pièces déposées. Hébergement dans l'Union européenne, région Paris.
• Vercel — diffusion de l'application. Société établie aux États-Unis.
• Resend — acheminement des courriels transactionnels. Voit l'adresse du destinataire et le contenu du message.
• Stripe — encaissement des abonnements et des acomptes, lorsque le client y a recours.

Chacun est lié par des obligations équivalentes aux présentes. Les transferts hors de l'Union reposent sur les clauses contractuelles types de la Commission européenne.

e. Aide aux demandes d'exercice des droits

L'éditeur aide le client à donner suite aux demandes d’exercice des droits de ses acheteurs — accès, rectification, effacement, portabilité, limitation, opposition. Une demande adressée par erreur à l'éditeur est consignée dans un registre horodaté et transmise au client, sans y répondre à sa place. Le délai de réponse est d'un mois à compter de la réception (article 12§3).

f. Aide aux obligations des articles 32 à 36

L'éditeur aide le client à respecter les articles 32 à 36 : sécurité, notification d'une violation à l'autorité de contrôle et aux personnes concernées, analyse d'impact et consultation préalable. Toute violation de données est notifiée au client sans délai injustifié après en avoir pris connaissance, avec ce qui est connu au moment de la notification.

g. Sort des données à la fin de la prestation

Au choix du client, exprimé à la résiliation, l'éditeur restitue les données dans un format exploitable ou les supprime. À défaut de choix exprimé, elles sont restituées puis supprimées trente jours après la fin de la prestation, copies de sauvegarde comprises selon leur cycle de rotation. Les pièces que la loi impose de conserver — comptables notamment — font exception, et pour la seule durée qu'elle prévoit.

h. Documentation et audits

L'éditeur met à la disposition du client les informations nécessaires pour démontrer le respect des présentes, et permet la réalisation d'audits, y compris des inspections, par le client ou un auditeur qu'il mandate. Ils sont annoncés trente jours à l'avance, se tiennent en heures ouvrées, et ne portent pas sur les données d'autres clients.

Registre et point de contact

L'éditeur tient le registre des catégories de traitements effectués pour le compte du client (article 30§2). Point de contact : contact@elma.agency. La politique de confidentialité décrit les traitements que l'éditeur opère pour son propre compte, distincts de ceux-ci.