Accord de traitement des données (DPA)

1. Parties et objet

Le présent accord de traitement des données (« DPA ») est conclu entre le client professionnel de Turbo SAV, responsable du traitement (« Client »), et Mehdi Ait Haj Kaddour, entrepreneur individuel, SIRET 880 070 628 00016, 15 rue Mauny, 17100 Saintes, France, sous-traitant (« Turbo SAV »). Il fait partie des CGV et s’applique lorsque Turbo SAV traite des données personnelles pour le compte du Client.

2. Durée

Le DPA entre en vigueur lors de la souscription ou de l’utilisation du service et reste applicable pendant toute la durée du contrat, puis aussi longtemps que Turbo SAV conserve des données personnelles pour le compte du Client.

3. Traitements confiés

Le traitement a pour objet de connecter Gmail à Shopify ou WooCommerce, synchroniser et organiser les demandes de service client, rechercher et associer les commandes, générer des brouillons, permettre leur validation et leur envoi, conserver une piste d’audit et assurer le support et la sécurité. Les opérations peuvent comprendre la collecte, consultation, organisation, rapprochement, génération, transmission, conservation et suppression.

4. Personnes et données concernées

Les personnes concernées sont principalement les clients, prospects et contacts du Client, ses collaborateurs et les destinataires ou expéditeurs de ses messages. Les données peuvent inclure identité, coordonnées, contenu et métadonnées d’e-mails, références et détails de commande, paiement et remboursement (hors données complètes de carte), livraison, suivi, retours, produits, langue, historique SAV, brouillons, validations et journaux techniques.

5. Instructions du Client

Turbo SAV traite les données uniquement sur instruction documentée du Client, constituée par le contrat, les réglages du service et les demandes écrites licites. Si une instruction paraît contraire à la réglementation, Turbo SAV en informe le Client et peut en suspendre l’exécution. Le Client garantit la licéité de la collecte, des instructions, des durées de conservation et des droits accordés à ses utilisateurs.

6. Confidentialité

Turbo SAV veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité appropriée et n’y accèdent que dans la mesure nécessaire à leurs missions.

7. Mesures de sécurité

Compte tenu de l’état de l’art, des coûts, de la nature des données et des risques, Turbo SAV met notamment en œuvre : communications HTTPS ; chiffrement des jetons d’accès stockés ; contrôle et limitation des accès ; séparation logique des comptes et boutiques ; journalisation des opérations sensibles ; gestion des secrets ; mécanismes de révocation des connexions ; sauvegardes et procédures de correction adaptées aux composants utilisés. Les mesures évoluent avec le service et ne diminuent pas substantiellement le niveau global de protection.

8. Sous-traitants ultérieurs

Le Client donne une autorisation générale à Turbo SAV pour recourir aux sous-traitants nécessaires. Turbo SAV impose à chacun des obligations de protection adaptées et demeure responsable de ses propres obligations de sous-traitant. La liste actuelle est la suivante :

• Google LLC / Google Ireland Limited — connexion utilisateur, OAuth, accès Gmail et transmission des e-mails selon les fonctions activées ;
• Microsoft Ireland Operations Limited / Microsoft Corporation — connexion utilisateur, OAuth, accès Outlook et transmission des e-mails selon les fonctions activées ;
• Resend, Inc. — acheminement des liens magiques de connexion ;
• Shopify Inc. et entités affiliées — connexion des boutiques, données de commerce, installation et facturation de l’application ;
• Automattic Inc. / WooCommerce — connexion des boutiques WooCommerce et données de commerce ;
• Stripe Payments Europe, Limited et entités affiliées — paiement, facturation et gestion fiscale des clients hors Shopify ;
• Prestataire d’intelligence artificielle sous contrat — génération de brouillons par API selon les fonctions demandées par le Client ;
• Prestataire d’hébergement cloud sécurisé — hébergement privé des données applicatives, infrastructure réseau, exécution et sécurité du service.

Turbo SAV informe le Client d’un changement substantiel de cette liste par le service, par e-mail ou par mise à jour clairement datée de cette page. Le Client peut émettre une objection motivée liée à la protection des données dans les 15 jours. Les parties recherchent alors une solution raisonnable ; à défaut, le Client peut résilier la fonctionnalité affectée.

9. Transferts hors EEE

Lorsqu’un traitement implique un transfert vers un pays ne bénéficiant pas d’une décision d’adéquation, Turbo SAV s’appuie sur les garanties mises en place avec le prestataire concerné, notamment les clauses contractuelles types de la Commission européenne et, si nécessaire, des mesures supplémentaires. Les informations disponibles sur ces garanties sont communiquées au Client sur demande, sous réserve de la confidentialité.

10. Assistance au Client

Compte tenu de la nature du traitement, Turbo SAV aide raisonnablement le Client à répondre aux demandes d’accès, rectification, effacement, limitation, opposition et portabilité, ainsi qu’à respecter ses obligations de sécurité, notification, analyse d’impact et consultation préalable. Le Client reste l’interlocuteur principal de ses propres clients.

11. Violations de données

Turbo SAV notifie au Client toute violation de données personnelles confirmée affectant les données confiées, dans les meilleurs délais après en avoir pris connaissance. La notification fournit, à mesure qu’elles sont disponibles, la nature de l’incident, les catégories de données et personnes concernées, les conséquences probables et les mesures prises ou proposées. Turbo SAV coopère raisonnablement à l’analyse et à la notification réglementaire.

12. Restitution et suppression

À la fin du service ou sur instruction licite, Turbo SAV supprime ou restitue les données confiées, au choix du Client lorsque cela est techniquement possible, puis supprime les copies restantes dans les cycles techniques applicables, sauf obligation légale de conservation. La déconnexion révoque les accès futurs à Gmail et Shopify ; le Client peut aussi révoquer ces autorisations depuis les services concernés.

13. Informations et audits

Turbo SAV met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA. Au plus une fois par an, sauf incident ou demande d’une autorité, le Client peut demander un audit documentaire avec un préavis raisonnable. Tout audit respecte la confidentialité, la sécurité des autres clients et ne doit pas perturber le service. Les coûts spécifiques sont supportés par le Client, sauf non-conformité substantielle imputable à Turbo SAV.

14. Sort des demandes officielles

Sauf interdiction légale, Turbo SAV informe le Client d’une demande contraignante d’une autorité portant sur ses données. Turbo SAV limite la communication aux informations légalement requises et renvoie les demandes des personnes concernées au Client lorsqu’il peut l’identifier.

15. Responsabilité et ordre de priorité

La responsabilité des parties au titre du DPA suit les limites prévues par les CGV, sans réduire les droits impératifs des personnes concernées ni les pouvoirs des autorités. En cas de contradiction sur la protection des données, le DPA prévaut sur les CGV et les conditions d’utilisation.

16. Contact données personnelles

Les instructions, demandes d’assistance et questions relatives au DPA doivent être envoyées à contact@turbo-sav.com.