Accord de traitement des données

1. Objet

Cet accord (article 28 du RGPD) encadre les traitements que Le Monde du Marketing EI (« le Sous-traitant ») réalise pour le compte du Créateur (« le Responsable ») lorsqu’il utilise Sellster. Il fait partie des conditions générales et s’applique aussi, pour les créateurs concernés, au sens de la loi fédérale suisse sur la protection des données et de la loi québécoise sur la protection des renseignements personnels dans le secteur privé.

2. Description des traitements

Personnes concernées : acheteurs, contacts, abonnés, élèves et affiliés du Créateur.

Données : identité et coordonnées, adresse de facturation, achats et factures, étiquettes et champs saisis par le Créateur, inscriptions et désinscriptions, ouvertures et clics d’emails, progression dans les formations.

Finalités : héberger ces données, exécuter les ventes, livrer les produits, établir les factures, envoyer les emails décidés par le Créateur, suivre les formations et exécuter ses automatisations. Durée : celle du contrat, puis le temps de la suppression.

3. Engagements du Sous-traitant

Il ne traite les données que sur les instructions documentées du Responsable, données par ses réglages, ses actions et celles des assistants d’IA qu’il connecte, et l’informe si une instruction lui paraît illicite.

Il assure la confidentialité des personnes autorisées à y accéder et n’y accède, pour le support, qu’avec l’accord du Responsable, en lecture seule, pendant 72 heures au plus, chaque consultation lui étant visible.

Il met en œuvre des mesures de sécurité adaptées : isolement des données de chaque business au niveau de la base, chiffrement en transit, contrôle des accès, journalisation des actions importantes, copies de sauvegarde chiffrées chaque nuit et restaurées à l’essai.

Il aide le Responsable à répondre aux demandes des personnes (export, rectification, effacement, désinscription) et à ses analyses d’impact, et lui notifie toute violation de données dans les meilleurs délais, au plus tard 48 heures après en avoir eu connaissance.

4. Sous-traitants ultérieurs

Le Responsable autorise les sous-traitants ultérieurs suivants, liés par des obligations équivalentes :

Cloudflare, Inc. : hébergement de l’application et stockage des copies de sauvegarde chiffrées (garanties contractuelles pour les transferts hors de l’Union européenne).

Supabase, Inc. : base de données et fichiers, hébergés dans l’Union européenne.

Amazon Web Services EMEA SARL : envoi des emails (Amazon SES, région Paris).

Clerk, Inc. : connexion aux comptes (garanties contractuelles pour les transferts hors de l’Union européenne).

GitHub, Inc. : exécution des copies de sauvegarde chiffrées.

Institut national de l’information géographique et forestière (IGN) : suggestions d’adresse au paiement (adresse saisie seulement).

Tout changement est annoncé au moins trente jours à l’avance ; le Responsable peut s’y opposer en résiliant. Stripe agit comme responsable de traitement distinct pour les paiements ; le fournisseur d’IA que le Responsable connecte agit sous sa seule responsabilité.

5. Fin du contrat

Le Responsable exporte ses données avant la suppression de son business. Trente jours après la demande de suppression, les données sont effacées, à l’exception des ventes, factures et preuves que la loi impose de conserver ; les copies de sauvegarde disparaissent au plus tard trente nuits plus tard.

6. Audit

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ces obligations et répond aux questions écrites du Responsable à contact@sellster.io.