Accord de sous-traitance des données (DPA)

1. Objet et parties

Le présent accord est conclu entre le client marchand (« le Responsable du traitement ») et STORAFIX, éditeur de Storapulse (« le Sous-traitant »). Il met en œuvre l'article 28 du règlement (UE) 2016/679 (RGPD) et fait partie des conditions générales : il s'applique dès leur acceptation, pour les données personnelles que le Sous-traitant traite pour le compte du Responsable du traitement.

Sa structure reprend les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/915 du 4 juin 2021). Il n'en est pas une reproduction intégrale : sur demande écrite, le Responsable du traitement peut signer les clauses contractuelles types complètes, annexes remplies. En cas de contradiction, la règle la plus protectrice pour les personnes concernées prévaut.

2. Description du traitement

Objet et nature : hébergement, conservation et traitement automatisé des données nécessaires au service Storapulse, y compris le recours à des modèles d'IA pour rédiger des réponses et des textes.

Finalités : répondre aux clients de la boutique (service client), enregistrer les consentements et les désinscriptions, envoyer les messages marketing que le marchand autorise, mesurer la réputation d'envoi et la sécurité, mesurer les ventes attribuées à chaque canal.

Catégories de données : identité et coordonnées (e-mail, téléphone), contenu des échanges avec le service client, références de commande, preuve de consentement (source, date, texte affiché, empreinte de l'adresse IP), historique d'envoi. Personnes concernées : clients et prospects du Responsable du traitement. Aucune donnée sensible (article 9 du RGPD) n'est visée ; le Responsable du traitement s'engage à ne pas en confier.

Durée : celle de l'abonnement, puis le délai de suppression de l'article 7.

3. Instructions et confidentialité

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement (conditions générales, paramétrage de l'application, demandes écrites). Il l'informe immédiatement si une instruction lui paraît contraire au RGPD.

Les personnes autorisées à traiter les données sont tenues à la confidentialité ; leur accès est limité au strict nécessaire.

4. Sécurité

Le Sous-traitant met en œuvre les mesures de l'article 32 du RGPD : chiffrement des secrets au repos (AES-256-GCM), échanges en HTTPS, isolation stricte par boutique (Row Level Security), contrôle des accès avec double authentification pour le personnel, journal d'audit, et aucune adresse ni adresse IP en clair dans les tables de consentement et d'opposition (empreintes HMAC salées).

5. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale au recours aux sous-traitants ultérieurs ci-dessous. Tout ajout ou remplacement lui est notifié au moins 30 jours à l'avance ; il peut s'y opposer pour un motif raisonnable et, à défaut d'accord, résilier sans frais. Chaque sous-traitant ultérieur est tenu par contrat aux mêmes obligations de protection des données.

Liste actuelle : hébergement de l'application et de la base de données : OVH SAS (France) ; stockage de fichiers et e-mails du service client : Scaleway SAS (France), ou Resend ou Postmark (États-Unis) si l'un d'eux est choisi à la configuration ; e-mails marketing envoyés pour le marchand : Amazon Web Services EMEA SARL (Luxembourg), service Amazon SES, dans la région choisie à la configuration ; modèles d'IA sollicités, selon la configuration, uniquement avec les données nécessaires à la tâche : Mistral AI (France), Google (Gemini, États-Unis), Alibaba Cloud (Qwen, Singapour), DeepSeek (Chine), Zhipu AI (GLM, Chine) et, seulement s'ils sont activés, OpenAI, Anthropic et Perplexity (États-Unis).

Service client : les messages des clients du marchand et tout ce qui en est tiré (classement, réponses, résumés, vérification des réponses) sont traités uniquement par Mistral AI (France), sans repli vers un autre modèle d'IA. Si Mistral est indisponible, le message attend une réponse manuelle. Les autres modèles listés ne servent qu'aux autres tâches (fiches produits, textes SEO…).

Tout transfert hors de l'Union européenne est encadré par une décision d'adéquation ou par les clauses contractuelles types de transfert (décision d'exécution (UE) 2021/914). Stripe (paiement de l'abonnement) et Bill (facturation) ne traitent pas les données des clients du marchand : pour ces opérations, STORAFIX est responsable du traitement (voir la politique de confidentialité).

6. Droits des personnes, assistance et violations

Le Sous-traitant aide le Responsable du traitement à répondre aux demandes d'exercice des droits (accès, rectification, effacement, opposition, limitation, portabilité) ; la désinscription et la suppression sont disponibles dans l'application, et toute demande reçue directement lui est transmise. Il l'assiste aussi pour la sécurité, les analyses d'impact et la consultation de l'autorité de contrôle (articles 32 à 36 du RGPD).

En cas de violation de données personnelles, le Sous-traitant le notifie au Responsable du traitement sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles (nature, catégories et nombre approximatif de données et de personnes, conséquences probables, mesures prises).

7. Fin du contrat

Au choix du Responsable du traitement, les données sont restituées (export depuis l'application) puis supprimées au plus tard 30 jours après la fin du contrat, sauf obligation légale de conservation. Seules les empreintes irréversibles d'opposition peuvent être conservées, pour continuer à respecter les désinscriptions.

8. Audits et information

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet des audits raisonnables, sur préavis écrit, une fois par an, ou à tout moment en cas de violation de données.

9. Clause expresse : anonymisation pour statistiques

Le Responsable du traitement autorise expressément le Sous-traitant à anonymiser les mesures de sa boutique (notes de scan, visibilité dans les assistants IA, ventes par canal) afin de produire des statistiques agrégées. Les données personnelles des clients finaux n'entrent jamais dans ces statistiques.

Dans la mesure où ces mesures constitueraient des données personnelles (par exemple celles d'un marchand entrepreneur individuel), STORAFIX, qui détermine seul la finalité et les moyens de cette anonymisation, agit pour cette opération et pour les statistiques qui en résultent en qualité de responsable du traitement distinct (articles 4.7 et 28.10 du RGPD), sur la base de son intérêt légitime, et non en qualité de sous-traitant.

Règles appliquées : au moins 10 boutiques par chiffre affiché ou publié (20 pour un export), aucune boutique au-delà de 30 % d'un total, ré-identification interdite. Le marchand peut s'y opposer à tout moment dans Réglages, sans perdre le service de base. Une fois anonymisées, ces statistiques ne sont plus des données personnelles (considérant 26 du RGPD).

10. Durée, droit applicable et contact

Le présent accord dure aussi longtemps que le Sous-traitant traite des données pour le compte du Responsable du traitement. Il est soumis au droit français, comme les conditions générales. Contact pour toute question relative aux données : support@storapulse.com,contact@storafix.com.