Diapason

Accord de traitement des données (DPA)

Dernière mise à jour : 30 octobre 2026

Le présent accord, conclu en application de l'article 28 du Règlement (UE) 2016/679 (« RGPD »), encadre les traitements de données personnelles réalisés par Orsay Agency, SASU au capital de 1 000 € (le « Sous-traitant ») pour le compte du marchand qui installe et utilise l'application Diapason (le « Responsable de traitement »). Il fait partie des conditions d'utilisation de l'application et s'applique dès son installation.

1. Objet, durée et nature des traitements

• Objet : fournir le diagnostic produit, la recommandation, l'attribution des commandes, les statistiques, les codes de réduction et, si le Responsable l'active, la synchronisation avec son compte Klaviyo.
• Durée : la durée d'utilisation de l'application, puis jusqu'à la suppression des données prévue à l'article 8.
• Nature : collecte, enregistrement, calcul, agrégation, transmission aux outils connectés par le Responsable, anonymisation et suppression.

2. Personnes concernées et catégories de données

• Personnes : visiteuses et clientes de la boutique du Responsable.
• Données : réponses au diagnostic et au formulaire post-achat (pouvant inclure prénom, date de naissance et, selon les questions choisies par le Responsable, des informations relatives à la santé) ; email et téléphone lorsqu'ils sont donnés, avec les choix de consentement ; contexte de visite avec consentement analytique ; empreinte salée de l'adresse IP ; identifiant, numéro, montant et articles des commandes liées à un diagnostic.

Le Responsable détermine les questions posées. Lorsqu'elles portent sur des catégories particulières de données (article 9 du RGPD), il lui appartient d'en définir la base légale et, le cas échéant, de recueillir le consentement explicite des personnes.

3. Instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable, constituée par la configuration de l'application et le présent accord. Il informe le Responsable s'il estime qu'une instruction enfreint la réglementation. Il ne vend pas les données, ne les utilise pas pour son propre compte et ne les combine pas entre boutiques.

4. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n'y accèdent que lorsque c'est nécessaire au service ou au support.

5. Sécurité

Le Sous-traitant met en œuvre notamment les mesures suivantes :

• chiffrement des communications (HTTPS) ;
• chiffrement au repos des secrets de connexion (AES-256-GCM) ;
• minimisation : aucune lecture du nom, de l'adresse, de l'email ou du téléphone des commandes Shopify ; adresse IP jamais conservée en clair ;
• respect des choix de consentement exprimés via la Customer Privacy API de Shopify ;
• séparation des environnements de test et de production ; accès aux systèmes limités et protégés ;
• anonymisation automatique à l'échéance de la durée de conservation (730 jours par défaut, réglable) ;
• fonctions d'intelligence artificielle limitées au catalogue, au brief de la marque et à des données agrégées.

6. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité (Shopify, Railway, Anthropic). Le Sous-traitant informe le Responsable de tout ajout ou remplacement au moins 30 jours à l'avance ; le Responsable peut s'y opposer et, à défaut d'accord, cesser d'utiliser l'application. Les sous-traitants ultérieurs sont tenus à des obligations équivalentes. Les transferts hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation. Klaviyo est un outil choisi et connecté par le Responsable lui-même.

7. Droits des personnes et assistance

Le Sous-traitant aide le Responsable à répondre aux demandes des personnes, notamment en traitant les demandes d'accès et d'effacement transmises par Shopify. Il l'assiste, dans la mesure de ses moyens, pour les analyses d'impact et les consultations de l'autorité de contrôle.

8. Violations de données

Le Sous-traitant notifie au Responsable toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles sur sa nature, ses conséquences probables et les mesures prises.

9. Fin du contrat

À la désinstallation de l'application, le Sous-traitant supprime les données de la boutique à réception de la demande de suppression envoyée par Shopify, sauf obligation légale de conservation. Avant la désinstallation, le Responsable peut demander une copie de ses données à alexis@orsay.agency.

10. Audit

Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent accord et permet des audits raisonnables, sur demande écrite préalable, à une fréquence d'au plus une fois par an sauf violation avérée.

11. Contact

Orsay Agency, SASU au capital de 1 000 €, 66 avenue des Champs-Élysées, 75008 Paris, France (RCS Paris 105 165 450, TVA FR79 105 165 450) — alexis@orsay.agency.

Politique de confidentialité · Accord de traitement des données (DPA)