Accord de traitement des données (article 28 du RGPD)
Dernière mise à jour : 27 septembre 2026
Le présent accord complète les conditions d'utilisation de Panaché. Il s'applique entre le marchand qui installe l'app (« le responsable de traitement ») et Alexandre KHEFIF-DERAIN, personne physique (immatriculation en cours), 15 boulevard de Verdun, 59000 Lille, France (« le sous-traitant »), pour les traitements de données personnelles des clients de la boutique réalisés par l'app pour le compte du marchand.
1. Objet et durée
Le sous-traitant traite des données pour le compte du responsable de traitement uniquement pour fournir le service Panaché (règle de lots, statistiques), pendant toute la durée d'installation de l'app, puis jusqu'à la suppression des données prévue à l'article 7.
2. Nature des traitements
| Traitement | Données | Finalité |
|---|---|---|
Réception des commandes (webhook orders/create) | Contenu de la commande transmis par Shopify ; seuls l'identifiant, la date, la devise et les lignes (produit, quantité, prix) sont conservés | Statistiques du marchand |
| Pixel web au paiement | Type et cible des messages affichés ; aucun identifiant du client | Compter les commandes bloquées |
| Demandes d'effacement transmises par Shopify | Identifiants des commandes concernées | Supprimer les statistiques correspondantes |
Catégories de personnes concernées : clients de la boutique. Aucune donnée sensible n'est traitée. Aucune donnée d'identification du client (nom, e-mail, adresse, téléphone) n'est conservée.
3. Instructions
Le sous-traitant ne traite les données que sur instruction documentée du responsable de traitement, constituée par la configuration de l'app et le présent accord. Il informe le responsable de traitement si une instruction lui paraît contraire à la réglementation.
4. Confidentialité et sécurité
Le sous-traitant garantit la confidentialité des données, limite leur accès aux personnes qui en ont besoin et met en œuvre des mesures de sécurité adaptées : chiffrement des échanges (HTTPS), connexions chiffrées à la base de données, secrets conservés hors du code, journalisation technique sans donnée des clients, principe de minimisation.
5. Sous-traitants ultérieurs
Le responsable de traitement autorise le recours aux sous-traitants suivants : Railway (hébergement, région Europe de l'Ouest) et Mailjet (e-mails au marchand, sans donnée des clients). Tout changement sera notifié au moins 30 jours à l'avance ; le responsable de traitement pourra s'y opposer en désinstallant l'app. Les transferts hors de l'Union européenne éventuels sont encadrés par les clauses contractuelles types.
6. Assistance
Le sous-traitant aide le responsable de traitement à répondre aux demandes d'exercice des droits (les demandes transmises par Shopify sont traitées automatiquement) et, dans la mesure du nécessaire, à réaliser des analyses d'impact.
7. Suppression et restitution
À la désinstallation, les données de la boutique sont supprimées à la demande de Shopify (webhook shop/redact, sous 48 heures). Le marchand peut exporter ses réglages depuis l'app avant de la désinstaller.
8. Violation de données
Le sous-traitant notifie au responsable de traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification.
9. Audit
Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent accord, sur demande écrite à support@getpanache.app.