Accord de traitement des données (DPA)

1. Rôles et chaîne de traitement #

Les données traitées proviennent de boutiques Shopify. Selon votre situation, vous agissez comme responsable de traitement (vous exploitez votre propre boutique) ou comme sous-traitant des marchands dont vous gérez les boutiques (vous êtes une agence).

Vaultify intervient exclusivement comme sous-traitant — ou sous-traitant ultérieur lorsque vous êtes vous-même sous-traitant. Nous ne déterminons jamais les finalités ni les moyens essentiels du traitement des données de boutique.

Le traitement des données relatives à votre compte (identité, facturation, support) obéit à un régime distinct : nous en sommes responsable de traitement, et il est décrit dans la politique de confidentialité.

2. Objet, nature et finalité du traitement #

3. Catégories de données et de personnes concernées #

Personnes concernées : clients finaux des boutiques sauvegardées, prospects ayant communiqué une adresse, et le cas échéant collaborateurs du marchand apparaissant dans les contenus.

Catégories de données : identité et coordonnées, adresses de livraison et de facturation, historique de commandes et de paniers, statut d’acceptation marketing, cartes cadeaux, ainsi que toute donnée personnelle que le client aurait placée dans des contenus, fichiers ou métadonnées.

Le service n’a pas accès aux données de paiement : l’API Shopify n’expose pas les numéros de carte, qui ne figurent donc dans aucune sauvegarde. Aucune donnée sensible au sens de l’article 9 du RGPD n’est traitée intentionnellement ; si le client en introduit dans le contenu de sa boutique, il lui appartient d’en assumer la base légale.

4. Instructions et obligations du sous-traitant #

Vaultify s’engage à :

1. Ne traiter les données que sur instruction documentée du client. L’usage normal du service vaut instruction : les types de ressources sélectionnés, la planification, la politique de rétention, le disque de destination et les restaurations déclenchées. Vaultify informe le client si une instruction lui paraît contraire au RGPD.
2. Garantir la confidentialité : accès limité aux personnes autorisées, soumises à un engagement de confidentialité.
3. Mettre en œuvre les mesures de sécurité décrites en annexe et sur la page Sécurité.
4. Assister le client, dans la mesure du possible et compte tenu de la nature du traitement, pour répondre aux demandes d’exercice de droits des personnes concernées et pour satisfaire aux obligations des articles 32 à 36 du RGPD.
5. Notifier toute violation de données au client dans les 48 heures suivant sa connaissance, avec les éléments nécessaires à sa propre notification à l’autorité de contrôle.
6. Tenir à disposition les informations nécessaires à la démonstration de conformité et permettre un audit annuel, sur préavis de trente jours, à la charge du client, sans accès aux données des autres clients de la plateforme.

5. Sous-traitants ultérieurs #

Le client autorise de manière générale le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité. Tout changement est notifié au moins trente jours à l’avance ; le client peut s’y opposer pour motif légitime, l’issue pouvant être la résiliation sans pénalité.

Vaultify impose contractuellement à ses sous-traitants ultérieurs des obligations équivalentes à celles du présent accord.

6. Localisation et transferts #

Les données sont hébergées et sauvegardées dans l’Union européenne, chez IONOS. [À COMPLÉTER : région exacte du serveur et du stockage.]

Un flux vers Shopify est inhérent au service : les données sont lues via son API, à qui le marchand les a déjà confiées. Le contractant européen est Shopify International Ltd. (Irlande) ; les transferts intra-groupe, notamment vers Shopify Inc. au Canada, reposent sur la décision d’adéquation de la Commission européenne concernant le Canada, sur les règles d’entreprise contraignantes de Shopify et sur les clauses contractuelles types de la décision (UE) 2021/914. Aucun autre transfert hors UE ou EEE n’est réalisé sans mécanisme valide au sens des articles 44 et suivants du RGPD, ni sans information préalable du client.

7. Restitution et suppression #

1. Pendant l’abonnement, le client peut à tout moment exporter ses sauvegardes en archives ZIP contenant des fichiers NDJSON et les médias.
2. À la fin du contrat, ou sur suppression d’une boutique ou d’un compte par le client, Vaultify supprime effectivement les fichiers de sauvegarde, les médias et les métadonnées associées ; la suppression est propagée jusqu’aux fichiers stockés.
3. Pour une application installée depuis l’App Store, la suppression est déclenchée par la demande d’effacement transmise par Shopify, quarante-huit heures après la désinstallation.
4. Les sauvegardes techniques de la plateforme elle-même (exports de base de données) expirent sous [À COMPLÉTER : nombre de jours glissants].
5. En cas d’impayé, les données sont conservées en lecture seule pendant [À COMPLÉTER : durée retenue], après avertissement, puis purgées. [À IMPLÉMENTER : cette purge n’est pas automatisée à ce jour — ne pas s’y engager tant qu’elle n’est pas en place.]

8. Responsabilité et audit #

Chaque partie répond des manquements qui lui sont propres. Les plafonds de responsabilité convenus à l’article 9 des conditions générales s’appliquent aux relations entre les parties au titre du présent accord.

Ces plafonds ne concernent que les rapports entre les parties. Ils sont sans effet sur les amendes administratives prononcées par une autorité de contrôle au titre de l’article 83 du RGPD, ni sur le droit à réparation que l’article 82 ouvre directement aux personnes concernées : un contrat ne peut ni les écarter ni les limiter.

Annexe — Mesures techniques et organisationnelles #