Accord de sous-traitance des données

Parties

Le présent accord est conclu entre le commerçant abonné à Pick2Go, ci-après « le Client », agissant en qualité de responsable de traitement, et Pick2GO (SIRET en cours), 45b rue louis fraix, éditeur de Pick2Go, ci-après « le Prestataire », agissant en qualité de sous-traitant.

Il fait partie des Conditions générales de vente et s'applique dès la création du compte. En cas de contradiction sur la protection des données, le présent accord prévaut.

1. Objet

Le Client utilise Pick2Go pour vendre en ligne et gérer son établissement. Ce faisant, il confie au Prestataire des données personnelles, notamment celles de ses propres clients. Cet accord fixe les conditions dans lesquelles le Prestataire les traite pour son compte.

Il ne couvre pas les données que le Prestataire traite pour lui-même (compte et abonnement du Client, facturation, sécurité de la plateforme) : ces traitements sont décrits dans la Politique de confidentialité.

2. Description des traitements

• Finalités : prise, paiement, préparation et suivi des commandes ; programme de fidélité ; avis clients ; campagnes que le Client décide d'envoyer ; gestion de son équipe et, avec le module Pilotage, de ses obligations d'employeur et d'hygiène.
• Personnes concernées : clients finaux du Client ; membres de son équipe et salariés.
• Données : identité et coordonnées (nom, téléphone, e-mail) ; commandes et paiements (le numéro de carte est traité par Stripe, jamais par le Prestataire) ; points et récompenses de fidélité ; avis ; pour les salariés, informations saisies par le Client dans le module Pilotage (pointage, documents).
• Opérations : hébergement, enregistrement, consultation, transmission (e-mails, SMS, notifications), sauvegarde, suppression.
• Durée : celle de l'abonnement, puis la période de restitution et de suppression prévue à l'article 9.

Le service n'est pas conçu pour traiter des données sensibles au sens de l'article 9 du RGPD (santé, opinions…). Le Client s'engage à ne pas en saisir.

3. Instructions du Client

Le Prestataire ne traite les données que sur instruction documentée du Client : le présent accord, les réglages de la boutique et les actions faites dans le tableau de bord constituent ces instructions. Il n'utilise pas les données à ses propres fins, ne les vend pas et ne s'en sert pas pour de la publicité. Si une instruction lui paraît contraire à la réglementation, il en informe le Client immédiatement.

4. Confidentialité

Seules les personnes qui en ont besoin pour assurer le service ou le support accèdent aux données. Elles sont tenues à la confidentialité. Leurs accès sont limités par rôle et chaque action d'administration sur un compte est journalisée.

5. Sécurité

Le Prestataire met en œuvre les mesures de l'article 32 du RGPD adaptées au risque, notamment :

• chiffrement des échanges (HTTPS) et des données stockées ;
• cloisonnement des données par commerçant, vérifié côté serveur et dans la base (règles d'accès par ligne) ;
• authentification des comptes, rôles distincts pour l'équipe du Client ;
• sauvegardes quotidiennes de la base de données ;
• limitation des tentatives abusives et surveillance des erreurs ;
• paiements délégués à un prestataire certifié PCI DSS (Stripe).

6. Sous-traitants ultérieurs

Le Client autorise le Prestataire à faire appel aux sous-traitants listés en annexe. Le Prestataire leur impose des obligations de protection équivalentes à celles du présent accord et reste responsable de leur respect.

Tout ajout ou remplacement est annoncé au Client par e-mail au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif légitime ; à défaut d'accord, il peut résilier son abonnement sans frais avant la date du changement.

7. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant situé hors de l'Union y accède, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou, le cas échéant, par une décision d'adéquation (Data Privacy Framework).

8. Assistance au Client

• Droits des personnes : le Prestataire aide le Client à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. S'il reçoit directement une telle demande, il la transmet au Client sans y répondre lui-même.
• Violation de données : le Prestataire notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, avec les informations dont il dispose pour permettre au Client de notifier la CNIL dans les 72 heures si nécessaire.
• Analyses d'impact : le Prestataire fournit les informations utiles à une analyse d'impact ou à une consultation de la CNIL.

9. Fin du contrat

À la fin de l'abonnement, le Client peut demander pendant 30 jours l'export de ses données dans un format courant. Le Prestataire les supprime ensuite, sauvegardes comprises, au plus tard 12 mois après la résiliation. Font exception les données dont la loi impose la conservation (pièces comptables et journal des ventes), conservées pour le compte du Client pendant la durée légale puis supprimées.

10. Documentation et audits

Le Prestataire tient un registre des traitements effectués pour le compte de ses clients. Il met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permet des audits, au plus une fois par an, sur demande écrite adressée 30 jours à l'avance, aux frais du Client et dans le respect de la confidentialité des autres clients.

11. Obligations du Client

Le Client détermine les finalités de ses traitements et s'assure qu'ils sont licites : information de ses clients (une page de confidentialité est générée pour chaque boutique), recueil du consentement quand il est requis (campagnes commerciales), réponse aux demandes des personnes.

12. Contact

Pour toute question sur cet accord ou sur les données : contact@pick2go.fr.

Annexe — Sous-traitants ultérieurs