Article 28 du RGPD
La présente annexe fait partie intégrante du contrat conclu entre le Client et Ma Commande.
1. Rôles des parties
Dans le cadre des données personnelles que le Client collecte et traite au moyen de son espace Ma Commande :
- le Client agit en qualité de responsable du traitement ;
- EI JULIEN LEVESQUE / Ma Commande agit en qualité de sous-traitant.
Cette qualification concerne les traitements effectués par Ma Commande pour le compte du Client.
Elle ne concerne pas les traitements que Ma Commande réalise pour ses propres finalités, notamment la gestion de l'abonnement, la facturation, la sécurité de son propre Service et sa relation contractuelle avec le Client.
2. Objet du traitement
Ma Commande est autorisé à traiter pour le compte du Client les données personnelles strictement nécessaires à la fourniture du Service de catalogue, prise de commandes, gestion des commandes, suivi et communication transactionnelle.
3. Durée
Les traitements sont réalisés pendant la durée de l'abonnement.
Après sa cessation, les données peuvent être conservées pendant une période opérationnelle maximale de 30 jours, notamment afin de permettre leur récupération ou une éventuelle réactivation.
À l'issue de cette période, elles sont destinées à être supprimées des systèmes actifs, sauf obligation légale contraire.
4. Nature des opérations
Les opérations susceptibles d'être réalisées comprennent notamment :
- collecte par les interfaces mises à disposition ;
- enregistrement ;
- organisation ;
- conservation ;
- consultation technique lorsque nécessaire ;
- transmission au Client ;
- modification à la demande ou par l'intermédiaire du Service ;
- envoi de communications transactionnelles ;
- suppression.
5. Finalités
Les traitements ont pour finalités :
- permettre aux acheteurs de transmettre une commande au Client ;
- permettre au Client de consulter et gérer les commandes ;
- permettre le suivi du statut des commandes ;
- permettre la gestion des modalités de retrait ;
- permettre l'envoi des notifications nécessaires au fonctionnement du Service ;
- assurer l'hébergement, la sécurité, la maintenance et le support technique du Service.
Ma Commande ne peut utiliser ces données pour ses propres finalités commerciales sans base juridique distincte et, lorsque cela est nécessaire, sans instruction ou autorisation appropriée.
6. Personnes concernées
Les personnes concernées peuvent notamment être :
- les clients du Client ;
- ses prospects ;
- les personnes passant ou suivant une commande ;
- les contacts renseignés dans le cadre d'une commande.
7. Catégories de données
Selon la configuration et l'utilisation du Service, les données traitées peuvent notamment comprendre :
- nom ;
- prénom ;
- adresse e-mail ;
- numéro de téléphone ;
- adresse lorsque celle-ci est nécessaire ou renseignée ;
- informations relatives à une commande ;
- produits et quantités commandés ;
- créneau ou modalité de retrait ;
- commentaires librement renseignés ;
- historique et statut de la commande ;
- données techniques nécessaires au fonctionnement et à la sécurité du Service.
Le Service n'est pas conçu pour collecter des catégories particulières de données personnelles au sens de l'article 9 du RGPD.
Le Client s'engage à ne pas demander ni saisir de telles données sauf nécessité légale dûment identifiée et mise en place préalable de garanties appropriées.
8. Instructions du Client
Ma Commande traite les données uniquement sur instruction documentée du Client.
La configuration et l'utilisation normale du Service par le Client constituent des instructions documentées pour les traitements nécessaires à la fourniture des fonctionnalités demandées.
Si Ma Commande estime qu'une instruction constitue une violation de la réglementation applicable à la protection des données, il en informe le Client dans les meilleurs délais.
9. Confidentialité
Ma Commande veille à ce que les personnes autorisées à accéder aux données soient soumises à une obligation appropriée de confidentialité.
L'accès humain aux données est limité à ce qui est nécessaire notamment pour le support, la sécurité, le diagnostic d'un incident ou l'exécution d'une instruction du Client.
10. Sécurité
Ma Commande met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques, notamment selon les fonctionnalités effectivement déployées :
- contrôle des accès ;
- authentification des interfaces d'administration ;
- isolation logique des espaces Clients ;
- chiffrement des communications réseau au moyen de protocoles sécurisés ;
- limitation des accès techniques aux données ;
- hébergement sur une infrastructure professionnelle ;
- stockage reposant sur des mécanismes de résilience de l'infrastructure ;
- journalisation technique lorsque nécessaire ;
- mises à jour et maintenance du Service ;
- mécanismes destinés à limiter les soumissions automatisées et certains abus.
Le Client demeure responsable de la sécurité de ses propres identifiants et terminaux ainsi que de la gestion des personnes auxquelles il autorise l'accès.
11. Sous-traitants ultérieurs
Le Client autorise de manière générale Ma Commande à recourir aux sous-traitants techniques nécessaires à la fourniture du Service.
À la date de la présente version, il s'agit notamment de :
Scaleway
Utilisé pour :
- l'hébergement applicatif ;
- les ressources de calcul ;
- le stockage objet ;
- la gestion de certains secrets techniques ;
- l'envoi des e-mails transactionnels ;
- les services d'infrastructure nécessaires au fonctionnement de Ma Commande.
Cloudflare
Utilisé pour certains services techniques et de sécurité, notamment Cloudflare Turnstile, destiné à protéger les formulaires contre les abus et soumissions automatisées.
Dans ce cadre, certaines informations techniques, notamment l'adresse IP et des informations relatives au navigateur ou à l'appareil, peuvent être traitées.
Stripe
Stripe intervient dans la relation entre Ma Commande et le Client pour le paiement et la gestion de l'abonnement SaaS.
Stripe ne reçoit pas les données des commandes des acheteurs du Client dans le cadre du fonctionnement normal de MaCommande.App.
Ma Commande veille à imposer aux sous-traitants ultérieurs concernés des obligations de protection des données appropriées.
En cas d'ajout ou de remplacement substantiel d'un sous-traitant ultérieur intervenant dans le traitement des données confiées par le Client, Ma Commande informe celui-ci de manière appropriée afin qu'il puisse faire valoir une objection légitime relative à la protection des données.
12. Localisation et transferts
L'infrastructure applicative et de stockage utilisée pour les données métier de Ma Commande est configurée auprès de Scaleway dans une région située en France.
Le service d'e-mail transactionnel Scaleway utilisé par Ma Commande traite ses données dans l'Union européenne.
Certains autres prestataires techniques, notamment Cloudflare ou Stripe, sont susceptibles d'effectuer des traitements internationaux selon les services concernés et les garanties juridiques qu'ils mettent en œuvre.
Lorsque la réglementation l'exige, les mécanismes appropriés de protection des transferts internationaux doivent être appliqués.
13. Assistance au Client
Compte tenu de la nature du traitement et dans la mesure raisonnablement possible, Ma Commande assiste le Client pour lui permettre de répondre aux demandes d'exercice de droits des personnes concernées.
Lorsqu'une demande concernant manifestement les données traitées pour le compte d'un Client est reçue directement par Ma Commande, celle-ci peut être transmise au Client concerné afin qu'il y donne suite en sa qualité de responsable du traitement.
Ma Commande ne répond pas à la place du Client sur le fond d'une demande lorsque cette décision relève de la responsabilité du Client, sauf obligation légale.
14. Violation de données personnelles
Ma Commande informe le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles affectant les données traitées pour son compte.
Ma Commande communique, dans la mesure des informations disponibles, les éléments utiles permettant au Client de satisfaire à ses propres obligations réglementaires.
La notification d'un incident par Ma Commande ne constitue pas une reconnaissance de responsabilité.
15. Analyse d'impact et autorités de contrôle
Dans la mesure raisonnablement nécessaire et compte tenu des informations dont il dispose, Ma Commande apporte son assistance au Client pour ses obligations relatives à la sécurité, aux analyses d'impact et aux consultations d'une autorité de contrôle lorsque le traitement réalisé au moyen de Ma Commande est concerné.
16. Sort des données
À la fin de la prestation, le Client peut récupérer les données que le Service permet d'exporter ou de consulter avant leur suppression.
Les données sont ensuite destinées à être supprimées conformément au délai prévu au contrat, sauf obligation légale imposant leur conservation.
La suppression des données des systèmes actifs n'implique pas nécessairement leur disparition instantanée de tous les mécanismes techniques temporaires nécessaires au fonctionnement de l'infrastructure, lorsque leur conservation résiduelle est strictement limitée et protégée.
17. Informations et audits
Ma Commande tient à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par l'article 28 du RGPD.
Le Client peut demander les informations nécessaires à l'évaluation des mesures mises en œuvre.
Lorsqu'un audit supplémentaire est objectivement nécessaire, ses modalités sont convenues entre les parties afin de préserver la sécurité, la confidentialité des autres Clients et la continuité du Service.
Sauf incident grave ou exigence d'une autorité compétente, les audits doivent être réalisés avec un préavis raisonnable et ne pas perturber de manière disproportionnée le fonctionnement du Service.
18. Obligations du Client
Le Client demeure responsable :
- de la licéité de la collecte ;
- de la détermination des finalités et bases juridiques ;
- de l'information des personnes concernées ;
- du respect de leurs droits ;
- de la définition des durées de conservation appropriées à son activité ;
- des données qu'il choisit de collecter ;
- de la configuration du Service ;
- du respect de ses obligations professionnelles et réglementaires.
Le Client s'engage notamment à fournir aux personnes utilisant son espace Ma Commande une information conforme à la réglementation sur la protection des données.
19. Contact
Pour toute question concernant la protection des données dans le cadre du Service :