Accord de traitement des données personnelles

En vigueur à compter du 5 décembre 2026. Version 1.0.

Conformément à l’article 28 du règlement (UE) 2016/679 (RGPD), version 1.0. L’accord fait partie des conditions du service de Portican et le client l’accepte en inscrivant sa boutique. Sur demande, nous envoyons au client un exemplaire signé.

Prise d’effet et modifications. La présente version prend effet 30 jours après l’envoi de la notification aux clients par courriel. Pour un client qui s’inscrit ultérieurement, elle prend effet à la date de son inscription. Toute modification ultérieure est notifiée aux clients par courriel et prend effet 30 jours après l’envoi de la notification. Le client qui n’accepte pas une modification peut résilier le contrat à la date de sa prise d’effet.

1. Parties

Responsable de traitement : le client de Portican qui exploite la boutique (ci-après « le client »), selon les informations fournies lors de l’inscription.

Sous-traitant : Nydrok LLC, 1209 Mountain Road Pl NE, Ste R, Albuquerque, NM 87110, États-Unis, EIN 36-5152970. Représentant dans l’UE au sens de l’article 27 du RGPD : Matúš Mikčo, Duplín 119, 091 01 Stropkov, République slovaque, matus@portican.com.

2. Objet, nature et finalité

Le sous-traitant traite les données personnelles des clients du client exclusivement afin d’exploiter la boutique Portican pour le compte du client : affichage de la boutique, réception et traitement des commandes, comptes clients, communication avec les clients, livraison, pièces comptables, sauvegardes, assistance et assistant de l’administration. Il ne traite les données que dans la limite des fonctions activées par le client.

3. Périmètre

Personnes concernées	clients et prospects de la boutique du client, destinataires des envois, personnel de la boutique et partenaires ayant accès à l’administration
Catégories de données	nom, coordonnées, adresses de facturation et de livraison, commandes, statut des paiements (sans données de carte de paiement), communications, identifiants de connexion et données techniques
Catégories particulières (article 9)	le client ne les saisit pas dans la boutique ; s’il doit les traiter (par exemple pour un assortiment de produits de santé), il le signale au préalable et les parties conviennent de mesures complémentaires
Durée	pendant la durée du contrat et les délais prévus à l’article 11 des conditions du service

4. Droits et obligations du client

Le client répond de la licéité du traitement et des instructions qu’il donne. Il a le droit de donner des instructions, de contrôler l’exécution du présent accord et de s’opposer au recours à des sous-traitants ultérieurs conformément à l’article 6.

5. Obligations du sous-traitant

Le sous-traitant :

ne traite les données que sur instruction documentée du client, y compris en ce qui concerne les transferts vers un pays tiers, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit d’un État membre ; dans ce cas, il informe le client de cette obligation juridique avant le traitement, sauf si ce droit l’interdit pour des motifs importants d’intérêt public. Constituent des instructions les présentes conditions, les réglages de la boutique et les instructions écrites du client. S’il estime qu’une instruction constitue une violation du droit, il en informe immédiatement le client ;
veille à ce que toute personne ayant accès aux données soit tenue à une obligation de confidentialité ;
met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 1 ;
ne recourt à des sous-traitants ultérieurs que conformément à l’article 6 ;
aide le client à s’acquitter de ses obligations envers les personnes concernées au titre du chapitre III du RGPD (accès, rectification, effacement, limitation du traitement, portabilité, opposition), au moyen des fonctions de l’administration et de l’export ;
aide le client en matière de sécurité, de notification des violations de données à caractère personnel, d’analyse d’impact et de consultation préalable ;
notifie au client toute violation de données à caractère personnel dans les meilleurs délais, au plus tard 48 heures après en avoir pris connaissance, avec les informations dont il dispose ;
au terme du contrat, selon le choix du client, supprime les données ou les lui renvoie par export puis les supprime, y compris les copies existantes. Les délais figurent à l’article 11 des conditions du service : après la fin du contrat, le client dispose de 90 jours d’accès à l’administration avec possibilité d’export, puis les données sont conservées 90 jours de plus sans accès du client, avant d’être supprimées. Les copies figurant dans les sauvegardes disparaissent au plus tard 90 jours après la suppression. La suppression ne concerne pas les données que le sous-traitant doit conserver en vertu du droit de l’Union ou du droit d’un État membre, notamment les pièces et écritures comptables ;
met à la disposition du client les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d’audits, y compris d’inspections. L’audit peut être réalisé par le client ou par un auditeur mandaté par lui et tenu au secret. Il se déroule d’abord au moyen d’un questionnaire écrit ; le client annonce une inspection sur place au moins 30 jours à l’avance et en supporte les frais si elle ne révèle aucun manquement.

6. Sous-traitants ultérieurs

Le client donne une autorisation générale au recours aux sous-traitants ultérieurs mentionnés à l’annexe 2. Le sous-traitant informe le client par courriel au moins 30 jours à l’avance de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur. Cela vaut également pour un nouveau fournisseur de modèle de langue pour l’assistant et les autres outils de l’administration. Le client peut s’y opposer dans un délai de 14 jours ; à défaut d’accord, il peut résilier le contrat sans pénalité à la date du changement.

Nydrok LLC est tenu de conclure avec chaque sous-traitant ultérieur auquel il rend accessibles des données personnelles des clients du client un contrat lui imposant les mêmes obligations en matière de protection des données, dans la mesure prévue à l’article 28, paragraphe 4, du RGPD, et répond envers le client de leur exécution. Les outils fal.ai mentionnés à l’annexe 2 ne sont pas destinés au traitement de données personnelles des clients de la boutique.

7. Transferts hors de l’Union européenne

Le serveur et la base de données des boutiques se trouvent dans l’Union européenne (netcup, Vienne, Autriche). Les images, fichiers privés, exports et copies des sauvegardes sont stockés par Cloudflare dans le stockage R2 (annexe 2). Le sous-traitant est établi aux États-Unis et l’administrateur de la plateforme accède au service à distance, y compris depuis des pays situés hors de l’EEE (annexe 2). Il s’agit donc d’un transfert de données vers un pays tiers.

Au transfert du client vers le sous-traitant s’appliquent les clauses contractuelles types prévues par la décision d’exécution (UE) 2021/914 de la Commission, module 2 (transfert de responsable du traitement à sous-traitant), en tant que garantie appropriée au sens de l’article 46, paragraphe 2, point c), du RGPD. Le client est l’exportateur de données, Nydrok LLC l’importateur de données et le sous-traitant. Les clauses sont intégrées au présent accord par référence, avec les options suivantes : la clause 7 (clause d’amarrage) s’applique ; clause 9, point a), option 2 (autorisation générale, notification 30 jours à l’avance) ; clause 11 sans organe indépendant de règlement des litiges ; clause 13 : l’autorité de contrôle compétente est celle de l’État membre dans lequel le client est établi (annexe I.C) ; clause 17, option 1, droit de la République slovaque ; clause 18, juridictions de la République slovaque. Les annexes des clauses sont constituées des articles 1 à 3 et des annexes 1 et 2 du présent accord.
Le transfert vers les sous-traitants ultérieurs situés hors de l’EEE est encadré par Nydrok LLC au moyen de la certification du fournisseur au titre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework, décision d’exécution (UE) 2023/1795 de la Commission), de clauses contractuelles types dans le contrat conclu avec le fournisseur, ou d’une décision d’adéquation de la Commission concernant le pays du fournisseur.
Si les clauses, le cadre ou la décision d’adéquation cessaient de s’appliquer, le sous-traitant passerait sans délai à un autre instrument prévu au chapitre V du RGPD et en informerait le client.

8. Droit applicable

Le présent accord est régi par le droit de la République slovaque. Les litiges relèvent de la compétence des tribunaux de la République slovaque.

Annexe 1 : Mesures techniques et organisationnelles

Domaine	Mesure
Localisation	serveur et base de données des boutiques chez netcup GmbH à Vienne (Autriche) ; images, fichiers privés, exports et copies des sauvegardes dans le stockage Cloudflare R2
Transmission	connexion chiffrée HTTPS, protection contre les attaques via Cloudflare
Sauvegardes	sauvegarde chaque nuit, vérifiée par restauration dans une base de données temporaire ; sur le serveur, 7 copies quotidiennes et 4 copies hebdomadaires ; copie hors du serveur dans Cloudflare R2, conservée 90 jours
Secrets des intégrations	chiffrement AES-256-GCM, masqués dans l’administration
Cloisonnement des boutiques	chaque boutique dispose de son propre canal et de ses propres droits d’accès ; export et suppression uniquement pour la boutique concernée
Accès	nom d’utilisateur et mot de passe ; authentification à deux facteurs (TOTP avec codes de secours) obligatoire pour les administrateurs de la plateforme, facultative ou imposée par la boutique pour le personnel de la boutique
Assistant de l’administration	le modèle de langue ne reçoit les données personnelles d’un client de la boutique qu’après le consentement exprès du personnel ; le consentement est enregistré et ne vaut que pour la personne qui l’a donné et pour le lieu de traitement annoncé (dans l’UE ou hors de l’UE) ; au plus 20 communications de données par conversation
Suppression	la suppression d’une boutique est déclenchée manuellement par l’administrateur de la plateforme après l’expiration des délais, avec confirmation par saisie de l’identifiant de la boutique ; les pièces et écritures comptables sont conservées pendant la durée prévue par la réglementation
Journaux du serveur	journaux d’accès des boutiques 7 jours au plus
Cartes de paiement	les données de carte sont traitées uniquement par Stripe, Portican ne les détient pas

Annexe 2 : Sous-traitants ultérieurs et pays d’accès

Sous-traitant ultérieur	Activité	Lieu de traitement	Instrument de transfert
netcup GmbH, Karlsruhe, Allemagne	serveur, base de données, sauvegardes sur le serveur	UE, Vienne (Autriche)	sans objet
Cloudflare, Inc., États-Unis	distribution du site, protection contre les attaques, stockage R2 (images, fichiers privés, exports des boutiques, copies des sauvegardes)	réseau mondial ; stockage R2 selon la juridiction définie pour les buckets	article 7, point 2
Mailgun Technologies, Inc., région européenne	envoi des courriels des boutiques (fournisseur par défaut)	UE	article 7, point 2
Amazon Web Services, Inc. (Amazon SES)	envoi de courriels de secours en cas de panne de Mailgun, ou envoi principal si l’administrateur de la plateforme le bascule	région selon la configuration, par défaut UE (Francfort)	article 7, point 2
OpenAI OpCo, LLC, États-Unis	assistant de l’administration : conversation avec le personnel, images et fichiers joints par le personnel et, après consentement exprès du personnel, également le nom, l’adresse électronique, le téléphone et l’adresse du client de la boutique pour une commande donnée ; rédaction et traduction de contenus (blog, fiches produits, traductions du catalogue) ; lecture des images de produits ; voix du podcast à partir de texte	États-Unis	article 7, point 2
Features & Labels Inc. (fal.ai), États-Unis	création et retouche d’images de produits et de publicités, voix du podcast à partir de texte	États-Unis et autres pays	outils non destinés aux données personnelles (voir ci-dessous)
OpenStreetMap Foundation (service Nominatim), Royaume-Uni	conversion de l’adresse saisie par le client dans la boutique en position géographique pour le calcul des frais de livraison selon la distance ; uniquement si la boutique active cette fonction	Royaume-Uni	décision d’adéquation de la Commission

Stripe n’y figure pas : les paiements des clients de la boutique sont encaissés par le commerçant via son propre compte Stripe (le paiement est créé avec la clé de la boutique sur son compte), de sorte que Stripe est son cocontractant et non un sous-traitant ultérieur de Nydrok LLC. Nydrok LLC utilise Stripe uniquement pour les paiements de l’abonnement et le versement des commissions aux partenaires (Stripe Connect), ce qui ne concerne pas les données des clients des boutiques.

OpenAI et fal.ai. Ils ne traitent des données que lorsque le personnel de la boutique utilise l’outil concerné. Seul le modèle de langue de l’assistant peut recevoir des données personnelles des clients de la boutique, et uniquement après le consentement exprès du personnel. L’assistant indique d’abord au personnel que les données seront envoyées au serveur du modèle de langue et si celui-ci se trouve dans l’UE ou hors de l’UE. Ce n’est qu’après le consentement qu’il peut envoyer au modèle le nom, l’adresse électronique, le téléphone et l’adresse du client de la boutique pour une commande donnée. Le consentement est enregistré (qui a consenti et quand, lieu de traitement, quelles données et de quelle commande) et ne vaut que pour la personne qui l’a donné et uniquement pour le lieu de traitement annoncé ; en cas de changement de lieu, l’assistant redemande le consentement. Au cours d’une même conversation, l’assistant communique des données de clients 20 fois au plus. Les outils fal.ai sont destinés aux photos de produits et aux visuels publicitaires ; le personnel ne doit pas y saisir de données de clients ni de photos de personnes.

Pays d’accès à distance de l’administrateur : les États-Unis (siège de Nydrok LLC) et d’autres pays situés hors de l’EEE depuis lesquels l’administrateur de la plateforme accède temporairement à distance. Nydrok LLC tient leur liste à jour dans son registre des activités de traitement et la communique au client avant le début de l’accès et à chaque modification. Pour ces pays, Nydrok LLC réalise une évaluation écrite de l’impact du transfert conformément à la clause 14.