Accord de traitement des données (DPA)

Version 1.0 · En vigueur à compter du : 2026-10-23

Ceci est une traduction. Pour les clients professionnels, la version anglaise prévaut. Pour les consommateurs ayant leur résidence habituelle dans un pays dont le français est une langue officielle, la présente version fait foi au même titre que la version anglaise ; si les deux versions divergent, le sens le plus favorable au consommateur s’applique. Pour les autres consommateurs, la version anglaise prévaut, sauf si les dispositions impératives du droit de la consommation de leur pays en disposent autrement.

Le présent Accord de traitement des données (« DPA ») fait partie du contrat conclu entre le Client et le Prestataire pour le service Consentl que le Client utilise (le « Contrat ») :

• pour Consentl pour Shopify (l’application Shopify) : les Conditions générales d’utilisation et l’Appendice 1 ;
• pour Consentl pour les sites web (le tableau de bord à l’adresse app.consentl.com, l’API à l’adresse api.consentl.com et les intégrations aux plateformes) : les Conditions générales d’utilisation pour les sites web et l’Appendice 2.

Le DPA est conclu par voie électronique lorsque le Client l’accepte selon les modalités décrites dans l’Appendice applicable. Le Prestataire conserve un enregistrement de l’acceptation (document, version, date et heure, compte ou boutique, et personne ayant accepté). Le Client qui souhaite un exemplaire contresigné peut le demander à [email protected].

Parties

• Client : l’entreprise ou la personne qui utilise un service Consentl pour sa boutique en ligne ou son site web et qui accepte le présent DPA, identifiée par sa boutique Shopify (Appendice 1) ou par son compte Consentl (Appendice 2).
• Prestataire : STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Roumanie ; numéro d’immatriculation au registre du commerce J2020001305120, code d’identification fiscale (CUI) 42512332 (non immatriculée à la TVA ; numéro de TVA intracommunautaire RO46686340). Contact pour le présent DPA : [email protected].

1. Définitions et champ d’application

1.1 « Législation relative à la protection des données » désigne les lois applicables au traitement effectué au titre du présent DPA, en particulier le règlement (UE) 2016/679 (« RGPD »), la directive 2002/58/CE telle que transposée en droit national, le UK GDPR et le Data Protection Act 2018 du Royaume-Uni, la loi fédérale suisse sur la protection des données (LPD, « FADP »), le California Consumer Privacy Act tel que modifié par le CPRA (« CCPA ») et les autres lois des États américains relatives à la protection de la vie privée, la PIPEDA canadienne et la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (« Loi 25 du Québec »), ainsi que la LGPD brésilienne, chacune telle que modifiée, dans la mesure où chacune s’applique.

1.2 Les termes tels que « responsable du traitement », « sous-traitant », « données à caractère personnel », « traitement », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le RGPD. Pour les autres lois, ils comprennent les termes équivalents (par exemple « entreprise » (business), « prestataire de services » (service provider), « consommateur » (consumer) et « informations personnelles » (personal information) au sens du CCPA ; « operador » au sens de la LGPD).

1.3 « Données à caractère personnel du Client » désigne les données à caractère personnel que le Prestataire traite pour le compte du Client dans le cadre de la fourniture du service, telles que décrites à l’Annexe I. Elles ne comprennent pas les données pour lesquelles le Prestataire est responsable du traitement (par exemple les données relatives au compte et au personnel du Client, les données de facturation, la correspondance d’assistance et les journaux de sécurité). Ces données sont décrites dans les politiques de confidentialité du Prestataire.

1.4 « Adresse de notification » désigne l’adresse électronique à laquelle le Prestataire envoie les notifications prévues par le présent DPA (clause 15.4), telle que définie dans l’Appendice 1, clause S1.6 (Shopify), ou dans l’Appendice 2, clause S2.5 (sites web).

1.5 Ordre de priorité : en cas de contradiction entre le présent DPA et le Contrat, le présent DPA prévaut. En cas de contradiction avec des clauses contractuelles types ou d’autres clauses de transfert intégrées en vertu de la section 9, ces clauses prévalent. Un Appendice prévaut sur le corps du présent DPA pour le service qu’il couvre.

2. Rôles

2.1 Le Client est le responsable du traitement des Données à caractère personnel du Client, ou un sous-traitant agissant pour le compte d’un autre responsable du traitement. Le Prestataire est un sous-traitant, ou un sous-traitant ultérieur.

2.2 Le Client décide d’utiliser ou non chaque fonction (bannière de consentement et journal des consentements, formulaire de demande relative aux données personnelles, fonction de rétractation, actions facultatives relatives aux données des clients, analyse des cookies) et de la manière de la configurer. La configuration choisie par le Client constitue une instruction (section 3).

2.3 Client agissant en qualité de sous-traitant. Lorsque le Client traite les données pour le compte d’un autre responsable du traitement (par exemple une agence qui gère des sites web ou des boutiques pour ses clients), le Prestataire est son sous-traitant ultérieur. Le Client garantit que son responsable du traitement a autorisé le recours au Prestataire et aux sous-traitants ultérieurs figurant à l’Annexe III, transmet les instructions du responsable du traitement et fait suivre à son responsable du traitement les notifications qu’il reçoit du Prestataire. Le Prestataire peut se fonder sur les instructions données par le Client comme si elles émanaient du responsable du traitement.

2.4 La plateforme sur laquelle le Client exploite sa boutique ou son site web (par exemple Shopify, WordPress, Shopware, PrestaShop, Magento ou un outil de création de sites web) n’est pas un sous-traitant ultérieur du Prestataire. La plateforme traite les données en vertu de ses propres contrats avec le Client.

3. Instructions (article 28, paragraphe 3, point a), du RGPD)

3.1 Le Prestataire ne traite les Données à caractère personnel du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers des pays tiers, à moins que le droit de l’Union ou le droit de l’État membre auquel le Prestataire est soumis n’en dispose autrement. Dans ce cas, le Prestataire informe le Client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

3.2 Les instructions documentées du Client sont : le présent DPA et le Contrat ; les paramètres et les actions que le Client effectue dans le service (par exemple le forfait et la durée de conservation qui en découle, les exportations, les suppressions et les actions relatives aux données personnelles en un clic) ; et les autres instructions écrites convenues entre les parties.

3.3 Le Prestataire informe immédiatement le Client si, selon lui, une instruction constitue une violation de la Législation relative à la protection des données. Le Prestataire n’est pas tenu d’effectuer un contrôle juridique des instructions.

3.4 Le Client est responsable de la licéité de ses instructions, de l’existence d’une base juridique pour le traitement, de l’information des personnes concernées (en particulier dans sa propre politique de confidentialité et sa propre politique relative aux cookies) et de la configuration du service en fonction de sa boutique ou de son site web, de ses traceurs et des lois qui lui sont applicables.

3.5 Demandes des autorités publiques. Si une autorité publique demande des Données à caractère personnel du Client, le Prestataire la renvoie vers le Client, informe le Client sans délai, sauf si la loi l’interdit, conteste une demande qu’il estime illégale lorsqu’il a des motifs raisonnables de le faire, et ne divulgue que ce qu’il est légalement contraint de divulguer.

4. Confidentialité (article 28, paragraphe 3, point b), du RGPD)

4.1 Le Prestataire veille à ce que les personnes autorisées à traiter les Données à caractère personnel du Client s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L’accès est limité aux personnes nommément désignées qui en ont besoin pour exploiter, assister ou sécuriser le service (Annexe II).

4.2 Le personnel du Prestataire peut utiliser des outils logiciels, y compris des assistants de programmation fondés sur l’intelligence artificielle, pour développer et maintenir le service. Ces outils travaillent sur le code source et sur des données de test. Ils n’ont pas accès aux Données à caractère personnel du Client, aux bases de données de production ni aux journaux de production (Annexe II). Si le Prestataire en décidait un jour autrement, le fournisseur d’un tel outil deviendrait un sous-traitant ultérieur et la section 6 s’appliquerait avant son utilisation.

5. Sécurité (article 28, paragraphe 3, point c), et article 32 du RGPD)

5.1 Le Prestataire met en œuvre les mesures techniques et organisationnelles décrites à l’Annexe II. Elles peuvent être mises à jour en fonction de l’évolution technologique, à condition que le niveau global de protection ne soit pas réduit.

5.2 Le Client est responsable de la sécurité de ses propres comptes (compte Shopify, compte Consentl et membres de l’équipe, administration de la plateforme), des accès de son personnel, du code de son site et des paramètres qu’il choisit.

6. Sous-traitants ultérieurs (article 28, paragraphes 2 et 4, et article 28, paragraphe 3, point d), du RGPD)

6.1 Autorisation générale. Le Client donne au Prestataire une autorisation écrite générale de recruter des sous-traitants ultérieurs. Les sous-traitants ultérieurs à la date du présent DPA sont énumérés à l’Annexe III et dans la liste des sous-traitants ultérieurs, qui indique pour chacun d’eux le service pour lequel il est utilisé.

6.2 Notification des changements. Le Prestataire informe le Client de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur, ou de toute nouvelle finalité ou nouvelle localisation d’un sous-traitant ultérieur existant, au moins 30 jours avant le changement, par courrier électronique envoyé à l’Adresse de notification et par une inscription dans l’historique des modifications de la liste des sous-traitants ultérieurs.

6.3 Objection. Le Client peut émettre une objection dans ce délai, pour des motifs raisonnables liés à la protection des données, par courrier électronique envoyé à [email protected], en indiquant ces motifs. Le Prestataire répond dans un délai de 14 jours et soit propose une solution de remplacement raisonnable (par exemple ne pas recourir au sous-traitant ultérieur pour le Client), soit explique pourquoi il ne peut pas le faire. Si l’objection n’est pas résolue dans un délai de 30 jours à compter de l’objection, le Client peut résilier le Contrat pour le service concerné, avec effet avant que le changement ne s’applique à lui. Il est recommandé au Client d’exporter d’abord ses données (section 11).

6.4 Remboursement. En cas de résiliation en vertu de la clause 6.3, le Prestataire rembourse les sommes payées pour la partie non utilisée de la période de facturation en cours, selon les modalités prévues dans l’Appendice applicable.

6.5 Remplacement d’urgence. Si un sous-traitant ultérieur doit être remplacé en urgence (incident de sécurité, insolvabilité, résiliation ou manquement de la part du sous-traitant ultérieur), le Prestataire peut effectuer le changement avec un préavis plus court. Il en informe le Client dès que possible. Le Client peut néanmoins émettre une objection en vertu de la clause 6.3 ; s’il résilie, le remboursement prévu à la clause 6.4 est calculé à compter de la date du changement.

6.6 Répercussion des obligations et responsabilité. Le Prestataire impose à chaque sous-traitant ultérieur, par contrat, des obligations en matière de protection des données qui sont en substance les mêmes que celles du présent DPA, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le Prestataire demeure pleinement responsable devant le Client de l’exécution des obligations de ses sous-traitants ultérieurs, sous réserve de la section 14.

7. Assistance

7.1 Demandes des personnes concernées (article 28, paragraphe 3, point e), du RGPD). Compte tenu de la nature du traitement, le Prestataire aide le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits prévus au chapitre III du RGPD et les droits équivalents prévus par d’autres lois. Le service fournit :

• le formulaire de demande relative aux données personnelles avec vérification de l’adresse électronique, et un registre des demandes avec leurs délais ;
• l’exportation au format CSV du journal des consentements ; (Appendice 1) des exportations CSV des demandes relatives aux données personnelles et des rétractations ; (Appendice 2) une exportation JSON de toutes les données du compte du Client, y compris les demandes relatives aux données personnelles et les rétractations de chaque site ;
• le registre des rétractations ;
• (Appendice 1, facultatif) l’exportation et l’effacement des données Shopify du client de la boutique.

Les enregistrements de consentement sont pseudonymisés : un enregistrement peut être retrouvé grâce à l’identifiant de consentement que la personne concernée peut lire dans le cookie consentl de son navigateur, au moyen des filtres du journal des consentements et de l’exportation CSV. Sur instruction écrite du Client, le Prestataire supprime des enregistrements de consentement individuels ou d’autres enregistrements individuels dans un délai de 30 jours, jusqu’à ce que le service propose cette possibilité sous la forme d’une fonction. Si le Prestataire reçoit une demande directement d’une personne concernée, il la transmet au Client dans les meilleurs délais et n’y répond pas lui-même, sauf instruction du Client en ce sens.

7.2 Autres obligations (article 28, paragraphe 3, point f), du RGPD). Compte tenu de la nature du traitement et des informations à sa disposition, le Prestataire aide le Client à garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations et communication aux personnes concernées, analyses d’impact relatives à la protection des données, consultation préalable) et des obligations équivalentes prévues par d’autres dispositions de la Législation relative à la protection des données (par exemple les évaluations des facteurs relatifs à la vie privée exigées par la Loi 25 du Québec avant que des données ne soient communiquées à l’extérieur du Québec), en particulier en fournissant les informations figurant aux Annexes I à III.

7.3 L’assistance qui va au-delà des fonctions du service et d’une assistance raisonnable par courrier électronique peut être facturée à un coût raisonnable si elle est substantielle et n’est pas causée par un manquement du Prestataire.

8. Violations de données à caractère personnel (article 33, paragraphe 2, du RGPD)

8.1 Le Prestataire notifie au Client dans les meilleurs délais, et si possible dans un délai de 48 heures, après en avoir pris connaissance, toute violation de données à caractère personnel affectant les Données à caractère personnel du Client, y compris une violation survenue chez un sous-traitant ultérieur que celui-ci a notifiée au Prestataire. Le Prestataire transmet, dans le même délai, les informations qu’il reçoit d’un sous-traitant ultérieur. La notification est envoyée par courrier électronique à l’Adresse de notification.

8.2 La notification comprend, dans la mesure où ces informations sont disponibles (et, si nécessaire, de manière échelonnée) : la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés ; le point de contact auprès duquel des informations supplémentaires peuvent être obtenues ; les conséquences probables ; et les mesures prises ou proposées, y compris les mesures pour en atténuer les éventuelles conséquences négatives (article 33, paragraphe 3, du RGPD).

8.3 Le Prestataire prend des mesures raisonnables pour contenir la violation et y remédier, tient un registre des violations et coopère à la notification par le Client aux autorités de contrôle et, lorsque cela est requis, à sa communication aux personnes concernées (article 34 du RGPD).

8.4 Pour les renseignements personnels soumis au droit québécois, le Prestataire notifie également au Client, sans délai, toute tentative d’atteinte à la confidentialité de ces renseignements dont il prend connaissance.

8.5 La notification ne vaut pas reconnaissance de faute. Les notifications que le Prestataire doit adresser à une plateforme en vertu des conditions propres à celle-ci (Appendice 1) ne retardent pas la notification au Client.

9. Transferts internationaux

9.1 Le Prestataire stocke les Données à caractère personnel du Client dans l’Union européenne (DigitalOcean, Francfort, Allemagne). Certains sous-traitants ultérieurs sont établis en dehors de l’EEE ou peuvent accéder aux données depuis l’extérieur de celui-ci (Annexe III).

9.2 Transferts vers des sous-traitants ultérieurs. Les transferts vers des sous-traitants ultérieurs situés en dehors de l’EEE, de la Suisse et du Royaume-Uni qui ne sont pas couverts par une décision d’adéquation (y compris le cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) pour les destinataires certifiés) sont effectués sur le fondement des clauses contractuelles types de l’UE (décision d’exécution (UE) 2021/914 de la Commission), module trois (transfert de sous-traitant à sous-traitant), conclues par le Prestataire avec ses sous-traitants ultérieurs directs et par chaque sous-traitant ultérieur avec ses propres sous-traitants ultérieurs.

9.3 Clients établis dans des pays tiers (module quatre). Dans la mesure où la communication par le Prestataire de Données à caractère personnel du Client à un Client établi dans un pays tiers ne bénéficiant pas d’une décision d’adéquation (par exemple au moyen d’une exportation, d’une notification par courrier électronique ou de l’affichage de données dans le tableau de bord) constitue un transfert au sens du chapitre V du RGPD, les parties intègrent par référence le module quatre (transfert de sous-traitant à responsable du traitement) des clauses contractuelles types, avec les options suivantes : la clause 7 (clause d’adhésion) est incluse ; la formulation facultative de la clause 11 n’est pas utilisée ; clause 17 : le droit roumain ; clause 18 : les juridictions de Cluj-Napoca, Roumanie. Les Annexes I à III du présent DPA complètent les annexes des clauses contractuelles types. Lorsque le Client est un sous-traitant (clause 2.3), c’est le module trois qui s’applique, avec les mêmes options. Si la Commission européenne adopte des clauses contractuelles types pour les importateurs dont le traitement est soumis au RGPD en vertu de son article 3, paragraphe 2, ces clauses s’appliquent à leur place à ces Clients.

9.4 Royaume-Uni. Dans la mesure où un transfert, par le Prestataire, de données à caractère personnel soumises au UK GDPR constitue un transfert restreint (restricted transfer) qui n’est pas couvert par les règlements d’adéquation du Royaume-Uni (UK adequacy regulations), l’International Data Transfer Addendum to the EU Standard Contractual Clauses publié par l’Information Commissioner du Royaume-Uni (version B1.0) (« l’addendum du Royaume-Uni (UK Addendum) ») s’applique aux clauses intégrées en vertu de la clause 9.3, le tableau 1 étant complété par les coordonnées des parties indiquées ci-dessus, le tableau 2 par le module et les options retenus à la clause 9.3, le tableau 3 par les Annexes I à III, et le tableau 4 permettant à chacune des parties de mettre fin à l’addendum du Royaume-Uni dans les conditions qu’il prévoit.

9.5 Suisse. Pour les transferts soumis à la FADP, les clauses contractuelles types s’appliquent avec les adaptations suivantes : les références au RGPD s’entendent comme des références à la FADP ; le Préposé fédéral à la protection des données et à la transparence (PFPDT) est une autorité de contrôle compétente ; et la notion d’« État membre » inclut la Suisse, de sorte que les personnes concernées puissent agir en justice au lieu de leur résidence habituelle.

9.6 Brésil. Lorsque la LGPD s’applique à un transfert de données à caractère personnel du Client vers le Prestataire et qu’aucune décision d’adéquation de l’autorité brésilienne (ANPD) ne le couvre, les clauses contractuelles types approuvées par la résolution CD/ANPD n° 19/2024 de l’ANPD sont intégrées, le Client ayant la qualité d’exportateur (responsable du traitement) et le Prestataire celle d’importateur (« operador »).

9.7 Le Client peut demander une copie des garanties invoquées à [email protected].

10. Lois des États américains relatives à la protection de la vie privée (clauses relatives au prestataire de services au titre du CCPA/CPRA)

10.1 Pour les informations personnelles soumises au CCPA, le Client est une « entreprise » (business) et le Prestataire un « prestataire de services » (service provider) (Cal. Civ. Code §1798.140(ag)). Le Client ne communique des informations personnelles au Prestataire que pour les finalités opérationnelles (business purposes) limitées et déterminées suivantes : enregistrer et prouver le consentement des consommateurs et leurs choix de refus (opt-out) (y compris les signaux de préférence de refus (opt-out preference signals) tels que le signal Global Privacy Control) ; recevoir, vérifier, suivre et documenter les demandes des consommateurs relatives aux données personnelles et les demandes de rétractation ; envoyer les courriers électroniques transactionnels correspondants ; analyser la boutique ou le site web du Client afin d’y détecter les cookies et les traceurs ; et assurer la sécurité, l’intégrité et le débogage du service (§1798.140(e)(2), (e)(3) et (e)(5)).

10.2 Le Prestataire s’interdit (§1798.100(d) ; 11 CCR §7051(a)) :

• de vendre (sell) ou de partager (share) les informations personnelles ;
• de les conserver, de les utiliser ou de les divulguer à toute autre fin (y compris toute finalité commerciale (commercial purpose)) que les finalités opérationnelles déterminées à la clause 10.1, ou que ce que permettent par ailleurs le CCPA et ses règlements d’application ;
• de les conserver, de les utiliser ou de les divulguer en dehors de la relation d’affaires directe avec le Client ;
• de les combiner avec des informations personnelles reçues d’une autre personne ou pour le compte de celle-ci, ou collectées dans le cadre de la propre interaction du Prestataire avec le consommateur, sauf dans la mesure permise par les règlements d’application du CCPA (11 CCR §7050).

10.3 Le Prestataire respecte les obligations qui lui incombent en vertu du CCPA et de ses règlements d’application, assure le même niveau de protection de la vie privée que celui que le CCPA exige des entreprises et met en œuvre des procédures et pratiques de sécurité raisonnables (Cal. Civ. Code §1798.81.5). Il informe le Client dans les meilleurs délais, et en tout état de cause dans un délai de cinq jours ouvrables, s’il constate qu’il n’est plus en mesure de respecter ces obligations.

10.4 Le Client peut prendre des mesures raisonnables et appropriées pour s’assurer que le Prestataire utilise les informations personnelles d’une manière compatible avec les obligations du Client au titre du CCPA, y compris les droits d’information et d’audit prévus à la section 12 (un audit par période de 12 mois et des audits supplémentaires dans les cas énumérés à la clause 12.2), et, après notification, pour faire cesser toute utilisation non autorisée des informations personnelles et y remédier, notamment en demandant au Prestataire de confirmer leur suppression.

10.5 Le Client informe le Prestataire de toute demande d’un consommateur au titre du CCPA à laquelle le Prestataire doit se conformer et lui fournit les informations dont il a besoin pour s’y conformer. Le Prestataire aide le Client à répondre aux demandes vérifiables des consommateurs (clause 7.1).

10.6 Le Prestataire met à la disposition du Client les informations dont celui-ci a raisonnablement besoin pour ses évaluations des risques et ses audits de cybersécurité prévus par les règlements d’application du CCPA, et coopère à ceux-ci.

10.7 Le Prestataire ne recourt à un sous-contractant (subcontractor) qui traite les informations personnelles qu’en vertu d’un contrat écrit comportant les mêmes restrictions (section 6), et certifie qu’il comprend les restrictions de la présente section 10 et qu’il s’y conformera.

10.8 Pour les autres lois des États américains relatives à la protection de la vie privée (par exemple celles de la Virginie, du Colorado, du Connecticut, de l’Utah, du Texas, de l’Oregon et des autres États couverts par les préréglages régionaux du service), le Prestataire est un « sous-traitant » (processor). Les sections 3 à 8, 11 et 12 contiennent les clauses relatives au sous-traitant exigées par ces lois : instructions, confidentialité, suppression ou restitution, information, coopération aux évaluations, audits (ou, lorsque la loi le permet, un rapport d’audit indépendant), et répercussion des obligations sur les sous-contractants avec la possibilité d’émettre une objection (section 6).

10.9 Le Prestataire ne vend ni ne partage d’informations personnelles et n’utilise pas d’informations personnelles sensibles à quelque fin que ce soit.

11. Suppression ou restitution (article 28, paragraphe 3, point g), du RGPD)

11.1 Restitution. Les fonctions d’exportation du service (exportations CSV énumérées dans les Appendices) sont les moyens par lesquels le Client obtient ses données. Le Client choisit la restitution en exportant les données avant leur suppression.

11.2 Conservation pendant la durée du Contrat. Les Données à caractère personnel du Client sont conservées et supprimées comme indiqué à l’Annexe I. La preuve du consentement est conservée au moins aussi longtemps que le consentement qu’elle atteste est utilisé (durée de validité du consentement

• 30 jours) ; en cas de changement de forfait qui réduit la durée de conservation, la durée antérieure est maintenue pendant 30 jours. Les demandes relatives aux données personnelles et les rétractations clôturées sont conservées par défaut pendant 2 ans afin que le Client puisse satisfaire à ses obligations de tenue de registres (par exemple 11 CCR §7101), et sont supprimées automatiquement 3 ans après leur clôture. Le Client peut donner instruction de procéder à une suppression anticipée : dans le service lorsqu’une fonction de suppression existe, sinon par instruction écrite, que le Prestataire exécute dans un délai de 30 jours.

11.3 Après la fin du Contrat, le Prestataire supprime toutes les Données à caractère personnel du Client comme indiqué dans l’Appendice applicable. Les copies figurant dans les sauvegardes chiffrées de la base de données sont écrasées dans le délai de conservation des sauvegardes de la base de données gérée (sauvegardes quotidiennes et restauration à un instant donné (point-in-time recovery), conservées pendant 7 jours) et ne sont restaurées qu’à des fins de reprise après sinistre ; si une sauvegarde est restaurée, les suppressions effectuées depuis cette sauvegarde sont appliquées à nouveau. Le Prestataire ne stocke ni n’exporte de journaux des requêtes : les journaux de l’application n’existent que sous la forme de la sortie d’exécution (runtime output) de l’application en cours de fonctionnement chez DigitalOcean, qui est effacée lors du déploiement d’une nouvelle version (ils ne contiennent ni adresses IP des visiteurs ni corps des requêtes, Annexe II). Les données des requêtes sur le réseau edge (réseau de périphérie) de l’hébergeur et les journaux des courriers électroniques transactionnels de Brevo sont supprimés dans les délais de conservation de ces sous-traitants ultérieurs et ne sont utilisés à aucune autre fin. À confirmer : DigitalOcean confirme actuellement la durée de conservation des données sur son réseau edge.

11.4 La suppression ne s’applique pas lorsque le droit de l’Union ou le droit de l’État membre impose au Prestataire de conserver les données ; le Prestataire les protège alors et ne les traite qu’à cette fin.

11.5 Changement de fournisseur (règlement (UE) 2023/2854, règlement sur les données). Lorsque le règlement sur les données s’applique, le Client peut passer à un autre fournisseur ou à ses propres systèmes dans les conditions prévues par le Contrat : les données exportables sont le journal des consentements, les demandes relatives aux données personnelles, les rétractations, la déclaration relative aux cookies et les paramètres de la bannière ; le Client dispose d’une période d’extraction des données d’au moins 30 jours ; le Prestataire ne facture aucuns frais de changement de fournisseur et efface les données après la période d’extraction.

11.6 Sur demande, le Prestataire confirme la suppression par écrit.

12. Information et audits (article 28, paragraphe 3, point h), du RGPD)

12.1 Le Prestataire met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, en particulier le présent DPA et ses Annexes, ainsi que, sur demande, les certifications ou rapports de sécurité de ses principaux sous-traitants ultérieurs (par exemple le rapport SOC 2 Type II et le certificat ISO/IEC 27001 de DigitalOcean) lorsque leurs conditions permettent de les communiquer.

12.2 Le Prestataire permet la réalisation d’audits, y compris des inspections, par le Client ou par un auditeur qu’il a mandaté, et contribue à ces audits, aux conditions suivantes :

• un préavis écrit d’au moins 30 jours ;
• pas plus d’un audit par période de 12 mois, sauf si une autorité de contrôle l’exige, après une violation de données à caractère personnel, ou lorsque le Client dispose d’indices raisonnables d’un non-respect du présent DPA ;
• d’abord un audit au moyen d’un questionnaire écrit et de documents ; une inspection sur place ou à distance uniquement si les réponses ne sont pas suffisantes ;
• pendant les heures ouvrables, sans accès aux données des autres clients ni aux secrets d’affaires du Prestataire au-delà de ce qui est nécessaire ;
• l’auditeur est tenu à la confidentialité et n’est pas un concurrent du Prestataire ;
• chaque partie supporte ses propres frais, sauf si l’audit révèle un manquement substantiel du Prestataire.

13. Obligations du Client

Le Client :

• utilise le service conformément à la Législation relative à la protection des données et ne donne que des instructions licites ;
• informe les personnes concernées du traitement, y compris de l’utilisation de Consentl, dans sa propre politique de confidentialité et sa propre politique relative aux cookies, en utilisant les informations figurant à l’Annexe I ;
• configure correctement le service (régions, catégories, blocage des traceurs, textes) et en vérifie le résultat ; le Prestataire ne garantit pas qu’une configuration quelle qu’elle soit rende la boutique ou le site web conforme (voir le Contrat) ;
• ne demande pas aux personnes concernées de communiquer des catégories particulières de données (article 9 du RGPD) au moyen des formulaires ;
• répond aux demandes relatives aux données personnelles et aux demandes de rétractation dans les délais légaux ;
• ne fournit au Prestataire des identifiants d’accès (Appendice 2 : identifiants HTTP basic-auth pour les analyses) que pour les sites dont il est en droit de faire effectuer l’analyse ;
• tient à jour son Adresse de notification.

14. Responsabilité

14.1 La responsabilité globale de chaque partie découlant du présent DPA ou en lien avec celui-ci est limitée au plus élevé des deux montants suivants : a) trois fois les sommes payées par le Client pour le service concerné au cours des 12 mois précédant le premier événement ayant donné lieu à la responsabilité et b) 5 000 EUR.

14.2 La limite prévue à la clause 14.1 ne s’applique pas : à la responsabilité pour faute intentionnelle ou faute lourde ; à la responsabilité envers les personnes concernées en vertu de l’article 82 du RGPD et de la clause 12 des clauses contractuelles types (qui ne peut être limitée) ; ni à la responsabilité qui ne peut être limitée en vertu de la loi. Lorsque le Client est un consommateur, la clause 14.1 ne s’applique que dans la mesure permise par le droit impératif de la consommation qui lui est applicable.

14.3 Pour les réclamations fondées sur le présent DPA, la limite prévue à la clause 14.1 remplace la limitation de responsabilité prévue par le Contrat. Lorsque les deux parties sont responsables envers une personne concernée du même dommage, chaque partie peut réclamer à l’autre la part de la réparation correspondant à la part de responsabilité de l’autre partie (article 82, paragraphe 5, du RGPD), dans la limite prévue à la clause 14.1.

14.4 Les amendes infligées à une partie par une autorité de contrôle sont supportées par cette partie, sauf dans la mesure où elles résultent d’un manquement de l’autre partie au présent DPA, auquel cas elles peuvent être réclamées dans la limite prévue à la clause 14.1.

15. Durée, modifications, notifications et droit applicable

15.1 Le présent DPA s’applique aussi longtemps que le Prestataire traite des Données à caractère personnel du Client et prend fin automatiquement ensuite. Les sections 8, 11, 14 et 15 survivent à la fin du présent DPA.

15.2 Modifications. Le Prestataire peut mettre à jour le présent DPA pour tenir compte de modifications de la législation, du service ou des sous-traitants ultérieurs. Il notifie par courrier électronique à l’Adresse de notification, avec un préavis d’au moins 30 jours, les modifications qui réduisent la protection du Client ; le Client peut alors émettre une objection et résilier comme prévu aux clauses 6.3 et 6.4. Les modifications imposées par la loi, ou qui ne font qu’améliorer la protection du Client, peuvent s’appliquer plus tôt. Lorsqu’une modification concerne une clause que le Client a acceptée expressément (clause 15.6), le Prestataire demande une nouvelle acceptation expresse ; tant qu’elle n’a pas été donnée, la version antérieure de cette clause s’applique. Les versions antérieures du présent DPA restent disponibles sur demande.

15.3 Preuve. Les enregistrements électroniques des acceptations, notifications et instructions conservés par le Prestataire font foi, entre les parties, de leur contenu et de leur date (loi roumaine n° 214/2024 relative à l’utilisation de la signature électronique).

15.4 Notifications. Le Prestataire envoie les notifications prévues par le présent DPA (changements de sous-traitants ultérieurs, violations, modifications du DPA) par courrier électronique à l’Adresse de notification définie dans l’Appendice applicable. Le Client la tient à jour. Le Client envoie ses notifications à [email protected].

15.5 Droit applicable et juridictions. Le présent DPA est régi par le droit roumain. Les juridictions compétentes de Cluj-Napoca, Roumanie, ont compétence exclusive, sauf disposition contraire des clauses contractuelles types ou du droit impératif (y compris les règles protectrices des consommateurs).

15.6 Acceptation expresse (article 1203 du Code civil roumain). Le Client accepte expressément les clauses suivantes du présent DPA : 6.3 à 6.5 (mécanismes d’objection, de résiliation et de remboursement), 14 (limitation de responsabilité), 15.2 (modifications) et 15.5 (droit applicable et compétence exclusive des juridictions). Les clients professionnels les acceptent au moyen d’une case distincte lorsqu’ils acceptent le Contrat.

Appendice 1 — Consentl pour Shopify

S1.1 Service et Contrat. Le service est l’application Consentl pour Shopify (l’« Application »). Le Client est le marchand qui l’installe sur sa boutique Shopify. Le Contrat est constitué des Conditions générales d’utilisation.

S1.2 Conclusion. Le DPA est accepté lors de l’étape d’acceptation de l’Application (lors de la configuration initiale, puis à nouveau pour toute nouvelle version qui l’exige), en même temps que les Conditions.

S1.3 Shopify. Shopify n’est pas un sous-traitant ultérieur du Prestataire. Sur instruction du Client, le Prestataire communique des données à Shopify en tant que plateforme propre du Client : l’adresse électronique d’un acheteur qui refuse (opt-out) la vente ou le partage, ou qui envoie un signal Global Privacy Control alors qu’il est connecté, afin que Shopify enregistre ce refus dans la fiche du client (dataSaleOptOut) ; les demandes d’effacement transmises au moyen des actions facultatives en un clic ; et la configuration publiée de la bannière, stockée sous forme de métachamps (metafields) de la boutique.

S1.4 Webhooks de conformité Shopify. L’Application traite les notifications obligatoires de Shopify customers/data_request, customers/redact et shop/redact comme décrit à l’Annexe I-A.

S1.5 Autorisations d’accès facultatives. Les autorisations d’accès (scopes) read_customers, write_customers et read_orders ne sont demandées que lorsque le Client active les actions relatives aux données personnelles en un clic ou le rapprochement des rétractations avec les commandes, et sont accordées explicitement par le Client.

S1.6 Adresse de notification. Le contact pour la protection des données et la sécurité que le Client désigne dans les paramètres de l’Application. Tant qu’aucun contact n’est désigné, l’adresse électronique du compte du propriétaire de la boutique Shopify telle que communiquée par Shopify et, si Shopify n’en communique aucune, l’adresse électronique de contact de la boutique.

S1.7 Remboursements. Les remboursements prévus à la clause 6.4 sont effectués par l’intermédiaire de Shopify, sous la forme d’un remboursement ou d’un crédit d’application, au choix du Prestataire.

S1.8 Fin du Contrat et suppression. Lorsque l’Application est désinstallée, le Prestataire supprime immédiatement le jeton d’accès, et toutes les autres Données à caractère personnel du Client lorsque Shopify envoie la notification shop/redact (48 heures après la désinstallation), et en tout état de cause au plus tard 30 jours après la désinstallation. Avant la désinstallation, le Client peut passer au forfait Free et conserver l’Application installée aussi longtemps qu’il en a besoin pour exporter ses données (il s’agit également de la période d’extraction des données en cas de changement de fournisseur visée à la clause 11.5) ; les exportations sont disponibles avec tous les forfaits. Lors de la désinstallation de l’Application, le Prestataire envoie au Client, par courrier électronique, un avertissement indiquant le nombre d’enregistrements.

S1.9 Notifications à la plateforme. Lorsque les conditions de Shopify imposent au Prestataire d’informer Shopify d’un incident de sécurité affectant des données de marchands ou de clients, le Prestataire le fait en plus des obligations prévues à la section 8.

S1.10 Annexes. L’Annexe I-A décrit le traitement effectué dans l’Application.

Appendice 2 — Consentl pour les sites web et les intégrations aux plateformes

S2.1 Service et Contrat. Le service est Consentl pour les sites web : le tableau de bord à l’adresse app.consentl.com, l’API publique à l’adresse api.consentl.com (chargeur [loader], bannière, signaux de consentement (consent beacons), formulaires de demande relative aux données personnelles et de rétractation, déclaration relative aux cookies et pages d’accessibilité hébergées) et le scanner de cookies (le « Service »), utilisés directement ou au moyen des intégrations publiées par le Prestataire (extrait de code (snippet) pour sites web, modèle Google Tag Manager, plugins WordPress/WooCommerce, Shopware, PrestaShop et Magento, et guides pour d’autres outils de création de sites web). Le Contrat est constitué des Conditions générales d’utilisation pour les sites web.

S2.2 Conclusion. Les clients professionnels acceptent le DPA au moyen d’une case à cocher lors de la création de leur compte, puis à nouveau pour toute nouvelle version qui l’exige ; il est demandé à un compte qui n’a pas accepté la version en vigueur de l’accepter avant de pouvoir continuer à utiliser le tableau de bord. Pour les clients qui utilisent le Service en tant que consommateurs, le DPA fait partie des Conditions générales d’utilisation pour les sites web qu’ils acceptent lors de la création de leur compte.

S2.3 Intégrations. Les intégrations fonctionnent sur le serveur ou la plateforme propre du Client. Elles n’y stockent aucune donnée à caractère personnel des visiteurs. Leurs appels côté serveur vers api.consentl.com (vérification de la clé du site, récupération du chargeur afin qu’il puisse être inséré dans la page) ne transmettent que la clé du site, la langue et le nom d’hôte du site. Les Données à caractère personnel du Client ne sont traitées par le Prestataire que lorsque les navigateurs des visiteurs appellent api.consentl.com. Le Prestataire n’est pas un sous-traitant pour la plateforme ou le système de boutique en ligne du Client.

S2.4 Flux de données. L’Annexe I-B énumère les données : enregistrements de consentement (y compris les enregistrements envoyés sans origine de navigateur vérifiable, qui sont acceptés avec des limites plus strictes), compteurs de la bannière, demandes relatives aux données personnelles et rétractations envoyées au moyen des formulaires, courriers électroniques aux visiteurs, analyses de cookies des sites du Client et, avec le forfait Enterprise, les identifiants HTTP basic-auth que le Client fournit pour l’analyse de sites protégés.

S2.5 Adresse de notification. L’adresse de notification que le Client définit sur la page « Compte », une fois qu’elle a été confirmée (au moyen du lien de confirmation, ou parce qu’il s’agit de l’adresse vérifiée d’un membre du compte). Tant qu’aucune adresse n’est confirmée, les adresses électroniques vérifiées des propriétaires du compte et des administrateurs.

S2.6 Remboursements. Les remboursements prévus à la clause 6.4 sont effectués par l’intermédiaire de Stripe sur le moyen de paiement initial, au prorata de la partie non utilisée de la période payée.

S2.7 Fin du Contrat et suppression.

• Le Client peut exporter, à tout moment et avec tous les forfaits, le journal des consentements d’un site au format CSV et toutes les données de son compte (« Télécharger mes données (JSON) ») au format JSON, y compris les paramètres, la liste des cookies, les demandes relatives aux données personnelles, les rétractations et le journal des consentements de chaque site.
• La suppression d’un site supprime immédiatement ses données (en cascade) ; le tableau de bord demande une confirmation et recommande d’effectuer d’abord une exportation. La suppression d’un site constitue l’instruction du Client d’effacer les données de ce site.
• Lorsqu’un abonnement payant prend fin, le site passe au forfait Free et ses données restent disponibles pour l’exportation (il s’agit également de la période d’extraction des données en cas de changement de fournisseur visée à la clause 11.5).
• Suppression du compte : le propriétaire du compte supprime le compte dans le tableau de bord (après avoir annulé les abonnements payants) ou en demande la suppression à [email protected]. Le compte reste disponible pendant 30 jours (période d’extraction : exportation ou annulation de la suppression ; les bannières continuent de fonctionner), puis le compte, ses sites et toutes les Données à caractère personnel du Client relatives à ces sites sont supprimés.
• Sauvegardes et journaux des sous-traitants ultérieurs : clause 11.3.

S2.8 Suppression automatique. Le Service supprime automatiquement : les enregistrements de consentement à l’expiration de la durée de conservation du site (Annexe I-B) ; les demandes relatives aux données personnelles dont l’adresse électronique n’a jamais été confirmée, 30 jours après leur envoi ; toute autre demande relative aux données personnelles et toute rétractation, 3 ans après sa dernière modification, quel que soit son statut ; les compteurs quotidiens et A/B après 2 ans ; les résultats d’analyse autres que la dernière analyse d’un site, 400 jours après l’analyse. Suppression anticipée sur instruction du Client : clause 11.2.

S2.9 Annexes. L’Annexe I-B décrit le traitement effectué dans le Service.

Annexe I — Description du traitement

A. Liste des parties

Autorité de contrôle compétente : l’autorité compétente pour le Client (exportateur de données) en vertu de la clause 13 des clauses contractuelles types ; pour le Prestataire : l’autorité roumaine ANSPDCP (www.dataprotection.ro (site externe)).

Commun aux deux services

• Catégories de personnes concernées : les visiteurs de la boutique ou du site web du Client (enregistrements de consentement, affichages de la bannière) ; les personnes qui envoient une demande relative aux données personnelles ou une rétractation par l’intermédiaire de la boutique ou du site web ; (Shopify, facultatif) les clients dont le profil Shopify et les commandes sont lus ou effacés au moyen des actions relatives aux données personnelles en un clic.
• Catégories particulières de données : aucune n’est prévue. Le Client ne doit pas en demander. Les champs de texte libre pourraient en contenir si un demandeur en saisit ; elles sont protégées comme toutes les autres données.
• Nature du traitement : collecte au moyen du script et des formulaires de la boutique ou du site web, stockage, extraction et affichage au Client, exportation, transmission par courrier électronique, suppression automatisée.
• Finalités : les finalités opérationnelles (business purposes) visées à la clause 10.1.
• Fréquence : continue, pendant la durée du Contrat.
• Sous-traitants ultérieurs : Annexe III.

B. Consentl pour Shopify (Annexe I-A)

Catégories de données à caractère personnel

Durée de conservation

C. Consentl pour les sites web (Annexe I-B)

Catégories de données à caractère personnel

Durée de conservation

Annexe II — Mesures techniques et organisationnelles

Mesures en place à la date du présent DPA, pour les deux services sauf si un produit est mentionné. Les éléments décrits comme prévus ne sont pas encore en place. Certaines mesures renvoient à la politique interne de sécurité et de gestion des incidents du Prestataire, à son registre des accès à la production et au registre des activités de traitement ; ces documents sont internes, et le Client peut en recevoir une copie sur demande conformément à la clause 12.1.

Pseudonymisation et minimisation

• Les adresses IP sont tronquées dès leur réception à IPv4 /24 ou IPv6 /48 avant leur stockage ; l’adresse IP complète n’est jamais écrite dans la base de données ni dans les journaux de l’application (elle n’est conservée qu’en mémoire, Annexe I).
• Les enregistrements de consentement utilisent un identifiant aléatoire généré dans le navigateur et ne sont pas liés aux comptes clients ; les URL des pages sont réduites au chemin ; les agents utilisateurs sont tronqués à 400 caractères.
• Les affichages de la bannière ne sont stockés que sous forme de compteurs quotidiens ; le script d’exécution n’envoie rien avant une décision, et un affichage est comptabilisé en même temps que la première décision du visiteur (pas de requête d’affichage distincte).
• Shopify : les fiches des clients et des commandes sont lues depuis Shopify à la demande et ne sont pas copiées, à l’exception des identifiants nécessaires pour relier une demande ou une rétractation au client ou à la commande. Les autorisations d’accès Shopify facultatives relatives aux données des clients ne sont demandées que lorsque le Client active les fonctions qui les requièrent.

Chiffrement

• L’ensemble du trafic est servi en HTTPS (TLS). Les webhooks et appels d’API de Shopify ainsi que les appels d’API de Stripe et de Brevo utilisent TLS.
• Les bases de données PostgreSQL gérées et leurs sauvegardes sont chiffrées au repos par DigitalOcean.
• Les mots de passe de boutique Shopify (storefront passwords) et les identifiants d’analyse des sites web sont chiffrés en AES-256-GCM ; les clés ne sont conservées que dans les variables d’environnement chiffrées de la plateforme d’hébergement.
• Les jetons de vérification de l’adresse électronique et les jetons du tableau de bord ne sont stockés que sous forme d’empreintes SHA-256 ; les jetons à usage unique sont supprimés ou marqués comme utilisés après usage.

Confidentialité et contrôle d’accès

• Shopify : l’accès à l’administration requiert un jeton de session Shopify vérifié à chaque requête (App Bridge, token exchange) ; les données sont toujours limitées à la boutique authentifiée. Les webhooks ne sont acceptés qu’avec une signature HMAC valide.
• Sites web : mots de passe hachés avec scrypt ; jetons de session stockés sous forme d’empreintes SHA-256, durée de vie de 30 jours et expiration après 7 jours d’inactivité ; protection contre la falsification de requête intersites (CSRF) sur chaque formulaire du tableau de bord ; les actions sensibles requièrent une confirmation récente du mot de passe ; tableau de bord et API publique sur des hôtes distincts ; chaque page d’un site vérifie l’appartenance de l’utilisateur ; la signature des webhooks Stripe est vérifiée.
• Les points de terminaison publics n’acceptent qu’une clé publique valide et un hôte ou un domaine de boutique correspondant ; les signaux de consentement sont validés par rapport à un schéma, limités en taille (4 Ko) et soumis à une limitation du débit par adresse IP et par boutique ou site (les limites s’appliquent par instance de serveur).
• Les secrets (clés d’API, secrets d’application, clés de messagerie et de paiement) sont stockés sous forme de variables d’environnement chiffrées de la plateforme d’hébergement et dans les secrets GitHub Actions, jamais dans le code source.
• L’accès à la production (DigitalOcean, bases de données, journaux) est limité aux personnes nommément désignées inscrites dans le registre des accès à la production du Prestataire, qui indique également si l’authentification à deux facteurs est activée sur les comptes donnant accès aux systèmes de production et aux boîtes aux lettres électroniques (DigitalOcean, GitHub, Stripe, Brevo, Proton, qui héberge les boîtes [email protected] et [email protected], le bureau d’enregistrement du nom de domaine et, pour l’application Shopify, le Shopify Partner/Dev Dashboard). Le registre est revu au moins une fois par an et chaque fois qu’une personne arrive ou part.
• Les bases de données de production n’acceptent de connexions que depuis les applications propres du Prestataire ; les machines locales et la CI ne peuvent pas s’y connecter.
• L’espace d’administration interne du Prestataire (listes de clients, installations, statistiques d’utilisation) est en lecture seule, n’est accessible qu’à des comptes d’opérateur nominatifs dotés de l’authentification à deux facteurs et d’une réauthentification récente, n’affiche aucun contenu des enregistrements de consentement ni aucune donnée des acheteurs ou des visiteurs, lit la base de données Shopify au moyen d’un rôle en lecture seule limité aux colonnes ne concernant pas les visiteurs, et consigne chaque accès (qui, quand, quoi) dans un journal d’audit en ajout seul (append-only).
• Les assistants de programmation fondés sur l’intelligence artificielle et les autres outils de développement travaillent sur le code source, les systèmes de préproduction (staging) et des données de test. Ils n’accèdent jamais aux bases de données de production, aux journaux de production ni aux Données à caractère personnel du Client : ils ne lisent pas les journaux de production, n’exécutent ni requêtes ni tâches ponctuelles sur les bases de données de production et ne copient pas de données de production. Ils peuvent effectuer des modifications d’infrastructure (spécifications d’application, variables d’environnement, secrets écrits sans être lus). Si cette règle venait à être modifiée, le fournisseur de l’outil (par exemple Anthropic PBC pour Claude) serait préalablement inscrit à l’Annexe III (section 6).
• Aucune donnée à caractère personnel de production n’est placée dans le dépôt de code source, les tickets (issues), les journaux de CI, les jeux de données de test (test fixtures) ou les captures d’écran.
• Données client protégées Shopify (protected customer data) : les mesures attestées dans le Shopify Partner Dashboard sont celles décrites dans la présente Annexe ; une copie de l’attestation est conservée avec les dossiers relatifs au DPA. L’accès par l’intermédiaire de l’espace d’administration est journalisé ; les autres accès du personnel aux données à caractère personnel des clients (par exemple une tâche exécutée sur la base de données lors d’un incident) ne sont pas encore journalisés individuellement (prévu).

Séparation

• La préproduction (staging) et la production fonctionnent comme des applications distinctes, avec des bases de données distinctes ; les données Shopify et les données des sites web se trouvent dans des bases de données distinctes.
• Le Service pour les sites web utilise des utilisateurs de base de données dédiés sans droits d’administrateur (le scanner dispose de son propre utilisateur, limité aux tables d’analyse). L’Application Shopify se connecte actuellement avec l’utilisateur administrateur du cluster de bases de données ; un utilisateur dédié est prévu.
• Le processus d’arrière-plan (worker) du scanner de cookies est isolé des applications web (conteneur distinct, environnement de navigateur sans identifiants de base de données ni secrets, trafic sortant limité aux adresses publiques sur les ports 80/443, budget de temps par analyse). Il dessert plusieurs environnements et détient leurs identifiants de base de données ; sur la base de données du Service pour les sites web, il utilise le rôle restreint du scanner.

Intégrité

• Les enregistrements de consentement sont en ajout seul (append-only) dans l’application (aucune fonction de modification).
• Les migrations de base de données sont versionnées et appliquées automatiquement avant chaque déploiement.
• Les modifications sont développées sur des branches et contrôlées dans la CI, à chaque push, par une vérification automatisée des types, une analyse statique du code (linting), des tests et des compilations (builds). La production n’est déployée qu’à partir de la branche de production, et toute fusion (merge) dans cette branche nécessite l’approbation explicite du propriétaire ; la CI doit réussir avant le déploiement en production. Ces règles font partie de la politique de sécurité et de gestion des incidents du Prestataire.

Disponibilité et résilience

• Hébergement géré avec contrôles d’état (health checks) et redémarrages automatiques ; bases de données gérées avec sauvegardes quotidiennes automatisées et restauration à un instant donné (point-in-time recovery), conservées pendant 7 jours.
• Les déploiements antérieurs peuvent être rétablis (rollback).

Conservation et suppression

• Tâches de purge automatisées conformément à l’Annexe I (toutes les 6 heures : enregistrements de consentement, statistiques, demandes relatives aux données personnelles, rétractations, analyses et, pour les sites web, comptes dont la période de suppression a pris fin). Shopify : webhooks de conformité obligatoires.

Courrier électronique

• Les courriers électroniques transactionnels sont envoyés au moyen de l’API Brevo depuis le domaine consentl.com (SPF, DKIM, DMARC). Le suivi des ouvertures et des clics de Brevo est anonymisé (aucune donnée d’interaction n’est liée au destinataire), et le Prestataire n’utilise pas de données d’interaction.
• En production, la clé d’API de messagerie est toujours configurée ; en son absence (uniquement en développement), les courriers électroniques sont écrits dans le journal de l’application au lieu d’être envoyés. Un garde-fou dans le code refusant de journaliser le contenu des messages en production est prévu.

Journalisation

• Les journaux de l’application contiennent des données opérationnelles (domaines des boutiques ou identifiants des sites, résultats des tâches, messages d’erreur) et aucune adresse IP de visiteur ni aucun corps de requête. Journaux des requêtes : Annexe I. Le Prestataire ne stocke ni ne transfère de journaux : les journaux d’exécution n’existent chez DigitalOcean que pendant le fonctionnement de l’application et sont effacés lors du déploiement d’une nouvelle version ; les journaux de compilation et de déploiement, qui ne contiennent aucune donnée à caractère personnel des visiteurs, sont conservés par DigitalOcean pendant 90 jours. Données des requêtes sur le réseau edge : clause 11.3.

Localisation

• Serveurs d’application et bases de données à Francfort, Allemagne (région DigitalOcean fra/fra1).

Mesures organisationnelles

• Engagement de confidentialité de chaque personne disposant d’un accès (section 4) ; engagements écrits de confidentialité pour tout membre du personnel ou prestataire externe.
• La réponse aux incidents suit la politique écrite de sécurité et de gestion des incidents du Prestataire : détecter, contenir, évaluer dans un délai de 24 heures, notifier le Client conformément à la section 8 (et, en qualité de responsable du traitement, l’autorité de contrôle dans un délai de 72 heures), rétablir, et consigner chaque violation dans un registre des violations. Un responsable des incidents (et, une fois désigné, un suppléant) est nommé dans le registre des accès à la production.
• Le registre des activités de traitement en qualité de sous-traitant (article 30, paragraphe 2, du RGPD) est tenu et revu au moins une fois par an.
• Protection des données dès la conception : examen des nouvelles fonctionnalités sous l’angle de la protection des données avant leur mise en production.

Annexe III — Sous-traitants ultérieurs

Les sous-traitants ultérieurs autorisés à la date du présent DPA. Les détails, les localisations, les garanties et l’historique des modifications figurent dans la liste des sous-traitants ultérieurs.

Source : docs/legal/fr/DPA.md dans le dépôt Consentl.