Préambule
Le présent Accord de traitement des données (« DPA ») complète les Conditions générales d'utilisation de GMC Guardian et s'applique aux marchands utilisant GMC Guardian dont les clients finaux sont situés dans l'Espace Économique Européen, au Royaume-Uni ou en Suisse.
1. Définitions
- Responsable du traitement : vous (le marchand), qui déterminez les finalités et les moyens du traitement des données personnelles.
- Sous-traitant : GMC Guardian, traitant les données personnelles pour votre compte. L'identification complète de l'entité juridique exploitante est disponible sur demande à [email protected].
- Données personnelles : toute donnée se rapportant à une personne physique identifiée ou identifiable, telle que définie à l'article 4 du RGPD.
2. Objet et durée
Le Sous-traitant traite les Données personnelles des marchands uniquement - et non celles des clients finaux des marchands - afin de fournir le service GMC Guardian, pour la durée de l'abonnement du Responsable du traitement.
3. Nature et finalité du traitement
Les opérations de traitement comprennent : le stockage des jetons d'authentification, l'exécution des scans, la génération de dossiers de preuves, les propositions de correction de flux pilotées par l'IA, les notifications par e-mail et la journalisation d'audit - strictement limitées à ce qui est nécessaire à la fourniture du service contracté.
4. Catégories de personnes concernées et de données personnelles
Personnes concernées : le marchand (propriétaire de la boutique) et les utilisateurs d'agence autorisés.
Catégories de données personnelles : identité professionnelle (nom, e-mail, adresse, téléphone), jetons d'authentification (chiffrés), résultats de scans, entrées de journal d'audit (IP, agent utilisateur, action, horodatage).
Le Sous-traitant ne traite pas les Données personnelles des clients finaux du marchand (acheteurs).
5. Sous-traitants ultérieurs
Le Responsable du traitement autorise le recours aux sous-traitants ultérieurs listés sur /confiance. Le Sous-traitant met cette liste à jour avant qu'un nouveau sous-traitant ultérieur ne commence à traiter les données. Le Responsable du traitement peut s'y opposer pour des motifs légitimes, auquel cas le Sous-traitant proposera une alternative commercialement raisonnable ou, à défaut, autorisera la résiliation du service concerné.
6. Transferts internationaux
Lorsque des Données personnelles sont transférées en dehors de l'EEE, le Sous-traitant s'appuie sur les Clauses Contractuelles Types (CCT) ou sur le Data Privacy Framework UE-États-Unis lorsque cela est applicable.
7. Mesures de sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées, notamment :
- Chiffrement au repos de tous les jetons d'authentification (libsodium AEAD)
- TLS 1.3 en transit
- Journal d'audit en mode append-only
- Contrôle d'accès avec séparation des rôles (operator / admin / merchant)
- Audits de sécurité réguliers et analyse des dépendances
- Procédures de réponse aux incidents avec engagement de notification de violation sous 72 heures
8. Droits des personnes concernées
Le Sous-traitant assistera le Responsable du traitement dans l'exécution des demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition) dans un délai de 14 jours à compter de la réception.
9. Audits
Le Responsable du traitement peut, à ses frais et avec un préavis de 30 jours, auditer la conformité du Sous-traitant au présent DPA - par questionnaire à distance, par revue de certifications indépendantes de tiers (SOC 2 Type II, lorsqu'elle sera obtenue) ou par visite sur site lorsque cela est justifié.
10. Notification de violation
Le Sous-traitant notifiera au Responsable du traitement toute violation de Données personnelles sans retard injustifié et, en tout état de cause, dans les 72 heures suivant sa prise de connaissance, en lui fournissant toutes les informations nécessaires pour qu'il puisse satisfaire à ses propres obligations de notification au titre de l'article 33 du RGPD.
11. Restitution ou suppression
À la résiliation, le Sous-traitant supprimera ou restituera l'ensemble des Données personnelles dans un délai de 30 jours, sauf lorsque la conservation est requise par la loi (par exemple, les obligations de conservation du journal d'audit).
12. Responsabilité
Le présent DPA est régi par les clauses de responsabilité des Conditions générales d'utilisation de GMC Guardian.
13. Contact
Pour toute question relative à la protection des données, écrivez à [email protected].