Accord de sous-traitance des données

Lorsqu’un marchand connecte sa boutique à LIORA, il nous confie des données personnelles dont il est le responsable de traitement : celles de ses propres clients — noms, adresses de livraison, commandes. Nous ne les traitons que pour lui rendre le service, sur ses instructions.

L’article 28 du RGPD exige que cette relation soit encadrée par un contrat écrit. Ce document en tient lieu. Le client l’accepte, avec les CGU et les CGV, en cochant la case prévue à cet effet à son inscription sur ce site, puis de nouveau avant le paiement ; un compte ne peut être ouvert depuis l’application qu’avec la même acceptation. La date et la version acceptées sont conservées. Il fait partie intégrante du contrat d’abonnement.

Il ne concerne PAS les données du compte du marchand lui-même — son nom, son adresse électronique, son abonnement. Pour celles-là, nous sommes responsables de traitement, et c’est notre Politique de confidentialité qui s’applique.

• Objet — la fourniture du service LIORA : synchronisation du catalogue, des stocks, des prix, des commandes et des clients de la boutique Shopify du client ; tenue des outils de gestion qu’il utilise (achats, production, coûts) ; émission de ses factures et, lorsqu’il le demande, leur envoi par courriel à ses propres clients ; traitement des demandes relatives aux données personnelles que Shopify nous transmet.
• Durée — celle de l’abonnement, augmentée de la période de récupération d’au moins trente jours prévue par les Conditions générales de vente.
• Nature — lecture des données de la boutique par l’API de Shopify, consultation, structuration, conservation, mise à disposition dans l’application, écriture en retour vers la boutique lorsque le client le demande, émission et envoi des factures par courriel, et effacement.
• Finalité — permettre au client de gérer son activité commerciale. Aucune autre.
• Personnes concernées — les clients de la boutique du marchand, et les personnes qu’il autorise à utiliser l’application.
• Catégories de données — identité et coordonnées, adresses de livraison et de facturation, contenu et historique des commandes et des factures ; et, lorsqu’ils existent, date de naissance, notes, étiquettes, consentements aux communications commerciales et documents joints — autant d’informations saisies par le client, dans Shopify ou dans LIORA.
• Données sensibles — nous n’en demandons aucune au sens de l’article 9 du RGPD, et le client s’abstient d’en saisir dans les champs libres et les documents joints.

Shopify nous transmet trois sortes de demandes, que nous traitons pour le compte du client :

• Demande d’accès d’un client final — nous rassemblons les données qui le concernent et les mettons à la disposition du client, à qui il revient de répondre.
• Demande d’effacement d’un client final — nous effaçons ses données de la copie de la boutique que nous tenons.
• Effacement de la boutique — quarante-huit heures après la désinstallation de LIORA, Shopify nous demande d’effacer les données de la boutique : nous effaçons alors la copie que nous en tenions. Ce que le client a créé lui-même dans LIORA — achats, recettes, factures — suit les règles de la fin du contrat, décrites plus bas.

• Agir sur instruction — nous ne traitons ces données que pour exécuter le service, jamais pour notre propre compte, et jamais pour entraîner des modèles.
• Instruction contraire à la loi — si une instruction du client nous paraît enfreindre le RGPD ou une autre règle de protection des données, nous l’en informons immédiatement.
• Confidentialité — les personnes ayant accès aux données sont tenues à une obligation de confidentialité et n’y accèdent que pour un motif d’exploitation ou d’assistance.
• Sécurité — chiffrement en transit et au repos, cloisonnement par entreprise, journalisation des actions, mots de passe hachés. Le détail figure dans la page Sécurité et réponse aux incidents, à la section « Mesures techniques et organisationnelles ».
• Sous-traitants ultérieurs — nous n’y recourons que dans les conditions décrites ci-dessous, en imposant à chacun, par contrat, des obligations de protection des données équivalentes à celles du présent accord, notamment des garanties suffisantes quant aux mesures techniques et organisationnelles. Nous restons pleinement responsables devant le client de l’exécution de leurs obligations.
• Assistance — nous aidons le client à répondre aux demandes d’exercice de droits qu’il reçoit, et à mener ses analyses d’impact lorsqu’elles portent sur notre traitement.
• Alerte — nous informons le client sans délai injustifié de toute violation de données le concernant, avec ce que nous en savons, afin qu’il puisse tenir son propre délai de soixante-douze heures.
• Documentation — nous tenons à sa disposition ce qui permet de démontrer le respect de ces engagements, et nous nous prêtons aux audits qu’il diligente, dans des conditions raisonnables et sans compromettre la sécurité des autres clients.

Le client autorise le recours aux prestataires suivants, qui interviennent pour notre compte dans l’exécution du service :

• Scaleway SAS — hébergement de l’application et de sa base de données, en France.
• Vercel Inc. — hébergement du site et exécution des traitements, dans l’Union européenne (Paris).
• Databricks, Inc. (service Neon) — hébergement de la base de données du site, dans l’Union européenne (Francfort).
• Stripe Payments Europe Ltd — encaissement des abonnements. N’accède pas aux données de la boutique ; ne traite que celles du compte et du paiement.
• Resend Inc. — acheminement des courriels du site. Ne reçoit que l’adresse du destinataire et le contenu du message.
• Google (Google Workspace) — messagerie de notre équipe. Reçoit les demandes d’assistance et les échanges avec le client, qui peuvent mentionner des données de ses clients.

L’application permet aussi au client d’envoyer lui-même une facture par courriel à l’un de ses clients. Ce message est acheminé par un prestataire de messagerie qui n’est pas encore désigné dans cette liste ; il y sera ajouté, comme tout nouveau sous-traitant ultérieur, après l’annonce prévue ci-après. D’ici là, le client qui ne veut pas confier ces envois à un prestataire non désigné transmet ses factures par ses propres moyens plutôt que par cette fonction. Tout changement de cette liste est annoncé au moins trente jours à l’avance par courriel. Le client qui s’y oppose pour un motif tenant à la protection des données peut résilier sans frais, la part non consommée de son abonnement lui étant remboursée.

L’application et ses données sont hébergées en France, et le site dans l’Union européenne. Vercel, Databricks (service Neon), Stripe, Resend et Google appartiennent toutefois à des groupes dont la maison mère est établie aux États-Unis : un accès depuis ce pays, à des fins d’exploitation ou de support, ne peut être exclu, et les messages reçus dans notre messagerie Google peuvent être conservés hors de l’Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées par les mesures techniques décrites ci-dessus.

Nous préférons signaler cette réserve plutôt que d’affirmer une étanchéité que nous ne pourrions pas démontrer.

Au terme du contrat, le client choisit la restitution ou l’effacement des données, dans les conditions de la section « Changement de fournisseur » des Conditions générales de vente. À défaut de choix exprimé, elles restent récupérables pendant au moins trente jours, puis sont effacées de nos systèmes actifs, y compris chez nos sous-traitants ultérieurs.

Les sauvegardes chiffrées peuvent en conserver une copie au-delà de ce délai, le temps de leur rotation. Elles ne sont jamais consultées et sont écrasées automatiquement.

Pour toute question relative à cet accord, écrivez à direction@liora-eu.com.