Accord de traitement des données
Version préliminaire soumise à relecture juridique. Ce document décrit l'engagement prévu, mais il ne constitue pas encore un accord signé.
1. Parties et objet
Le présent accord est conclu entre le marchand qui utilise le service HideMyDrop, agissant comme responsable de traitement, et GRT Ventures OÜ, agissant comme sous-traitant. Il encadre le traitement des données personnelles des acheteurs du marchand que le service reçoit pour fournir le suivi de colis masqué.
2. Durée
L'accord s'applique pendant toute la durée du contrat de service. Il prend fin avec lui, sous réserve des obligations de fin de contrat décrites à la section 9.
3. Nature et finalité du traitement
Le sous-traitant reçoit les commandes et les numéros de suivi transmis par la boutique du marchand. Il génère un identifiant de suivi masqué, collecte et filtre les événements de transport, affiche une page de suivi à l'acheteur et envoie des notifications de livraison lorsque le marchand a activé cette fonction.
4. Catégories de données
- Données de contact des acheteurs : adresse e-mail et nom.
- Code pays de destination de la livraison.
- Données de commande : numéro, montant et devise.
- Numéros de suivi transporteur, identifiant masqué et événements de transport.
Le service ne traite ni adresse postale, ni numéro de téléphone, ni aucune catégorie particulière de données au sens de l'article 9 du règlement.
5. Catégories de personnes concernées
Les acheteurs des boutiques du marchand, ainsi que les personnes du marchand qui utilisent le tableau de bord.
6. Obligations du sous-traitant
- Ne traiter les données que sur instruction documentée du marchand, l'utilisation du service valant instruction pour les traitements décrits à la section 3.
- Garantir la confidentialité des personnes autorisées à traiter les données.
- Mettre en œuvre des mesures techniques et organisationnelles appropriées, décrites dans la politique de confidentialité du service.
- Assister le marchand pour répondre aux demandes d'exercice de droits de ses acheteurs.
- Notifier au marchand toute violation de données personnelles dans un délai maximal de 72 heures après en avoir pris connaissance.
- Mettre à la disposition du marchand les informations nécessaires pour démontrer le respect du présent accord.
7. Sous-traitants ultérieurs
Le marchand autorise le recours aux sous-traitants ultérieurs suivants.
- Hetzner Online GmbH, hébergement des serveurs, Allemagne et Finlande.
- OpenAI, classification de libellés d'événements de transport. Ce prestataire ne reçoit que des champs commerciaux et jamais de données personnelles d'acheteur : ni e-mail, ni nom, ni numéro de commande, ni numéro de suivi.
Un prestataire de données de suivi est en cours de sélection. La liste ci-dessus sera complétée avant tout traitement de données réelles par ce prestataire, et le marchand en sera informé au préalable. Il en va de même pour tout autre changement de sous-traitant ultérieur.
8. Transferts hors de l'Union européenne
Le recours à OpenAI implique un transfert vers les États-Unis, limité aux champs commerciaux décrits à la section 7. L'encadrement contractuel de ce transfert sera précisé dans la version finale du présent accord.
9. Sort des données en fin de contrat
À la fin du contrat, le sous-traitant supprime les données personnelles traitées pour le compte du marchand. Font exception les données dont la conservation est exigée par la loi, notamment les preuves de facturation.
10. Contact
Toute question relative au présent accord peut être adressée à l'adresse de contact ci-dessous.