Accord de sous-traitance (DPA)

Article 1 — Objet et périmètre

Dans le cadre de la fourniture du service Solvéo, le Sous-traitant traite des données personnelles des clients du Responsable de traitement (ci-après « les Personnes concernées »), uniquement sur instruction documentée de ce dernier et aux seules fins d'exécution du service.

Les données traitées comprennent :

• Noms et adresses e-mail des clients
• Contenu des e-mails de support (corps, objet, pièces jointes)
• Données de commandes Shopify (articles, montants, adresses de livraison, suivi)
• Historique des conversations et décisions du bot

Article 2 — Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• traiter les données uniquement sur instruction documentée du Responsable de traitement, sauf obligation légale contraire ;
• garantir la confidentialité des données et s'assurer que les personnes autorisées à les traiter se sont engagées à respecter cette confidentialité ;
• mettre en oeuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité des données (chiffrement en transit, Row Level Security, authentification sécurisée) ;
• ne pas sous-traiter sans autorisation préalable générale du Responsable de traitement, et informer celui-ci de tout changement (cf. Article 5) ;
• assister le Responsable de traitement dans le respect des droits des Personnes concernées (accès, rectification, effacement, portabilité) ;
• mettre à disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations du présent accord.

Article 3 — Obligations du Responsable de traitement

Le Responsable de traitement s'engage à :

• fournir au Sous-traitant des instructions documentées concernant le traitement des données ;
• s'assurer que la collecte des données auprès de ses clients repose sur une base juridique valide ;
• informer ses clients de l'utilisation du service Solvéo dans sa propre politique de confidentialité.

Article 4 — Mesures de sécurité

Le Sous-traitant met en oeuvre les mesures suivantes :

• Chiffrement des données en transit (TLS 1.2 minimum)
• Cloisonnement des données par boutique (Row Level Security sur PostgreSQL / Supabase)
• Authentification sécurisée des marchands (Supabase Auth)
• Journalisation des accès et des opérations sensibles
• Limitation des accès aux données au strict nécessaire (principe du moindre privilège)

Article 5 — Sous-traitants ultérieurs

Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous. Le Sous-traitant s'engage à informer le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours avant sa mise en oeuvre.

Le Responsable de traitement dispose d'un droit d'opposition motivée pendant ce délai. En cas d'opposition légitime non résolue, le Responsable de traitement peut résilier le contrat.

Article 6 — Transferts hors UE

Les données sont transférées et hébergées aux États-Unis. Ces transferts reposent sur les clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914) et, le cas échéant, sur le EU-US Data Privacy Framework pour les prestataires certifiés.

Article 7 — Notification des violations de données

En cas de violation de données à caractère personnel, le Sous-traitant s'engage à notifier le Responsable de traitement dans un délai de 48 heures après en avoir pris connaissance.

Cette notification comprend :

• la nature de la violation (catégories et nombre de personnes concernées) ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour remédier à la violation ;
• le point de contact pour obtenir des informations complémentaires.

Contact pour les notifications : support@usesolveo.io

Article 8 — Audit

Le Sous-traitant met à disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, y compris d'inspections, par le Responsable de traitement ou un auditeur mandaté, sous réserve d'un préavis raisonnable de 30 jours et de la signature d'un accord de confidentialité.

Article 9 — Sort des données en fin de contrat

À l'issue du contrat ou sur demande du Responsable de traitement, le Sous-traitant s'engage à :

• Exporter l'ensemble des données du Responsable de traitement dans un format structuré, couramment utilisé et lisible par machine (CSV ou JSON), sur demande et dans un délai de 15 jours ;
• Supprimer toutes les données à caractère personnel dans un délai de 30 jours après la fin effective du contrat, sauf obligation légale de conservation ;
• fournir une attestation de suppression sur demande.

Article 10 — Durée

Le présent DPA entre en vigueur à la date de souscription au service Solvéo et reste en vigueur aussi longtemps que le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement. Les obligations de confidentialité et de suppression survivent à la fin du contrat.

Article 11 — Droit applicable

Le présent DPA est régi par le Règlement (UE) 2016/679 (RGPD). Pour les dispositions non couvertes par le RGPD, les lois de l'État du Nouveau-Mexique s'appliquent, conformément aux Conditions Générales de Vente.

Article 12 — Contact

Pour toute question relative au présent accord : support@usesolveo.io

USESOLVEO L.L.C.
1209 Mountain Road PL NE, Ste R
Albuquerque, NM 87110, États-Unis