Accord de sous-traitance

Le présent accord encadre les traitements de données à caractère personnel que Lympide réalise pour le compte de ses clients commerçants. Il constitue le contrat exigé par l’article 28.3 du RGPD et fait partie intégrante des conditions générales d’utilisation, dont l’acceptation vaut acceptation du présent accord.

Le commerçant est responsable du traitement. Il détermine les finalités et les moyens, décide des données qu’il saisit ou importe, et répond de leur licéité — en particulier du recueil du consentement de sa propre clientèle.

Lympide est sous-traitant. Le service est exploité par Lympide SAS, [legalForm à compléter], 12 rue des Forges, 21000 Dijon, France, SIREN [siren à compléter]. L’éditeur n’agit que sur instruction du commerçant, n’acquiert aucun droit sur ces données, et ne les exploite pour aucune finalité propre.

Les traitements pour lesquels Lympide est lui-même responsable — gestion des comptes, facturation de l’abonnement, sécurité du service — relèvent de la politique de confidentialité et non du présent accord.

Conformément à l’article 28.3, le traitement confié est décrit comme suit.

Lympide ne traite les données que sur instruction documentée du commerçant. Constituent ses instructions : le présent accord, les conditions générales, et les actions que le commerçant réalise dans le service ou demande par écrit — y compris la connexion d’un outil tiers, qui vaut instruction d’en importer les données.

Aucun transfert vers un pays tiers n’est effectué sur la seule initiative de l’éditeur, hors ceux mentionnés à l’article 7.

Si Lympide estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données, il en informe le commerçant sans délai et peut suspendre son exécution.

L’accès aux données du commerçant est limité aux personnes qui en ont besoin pour fournir ou sécuriser le service. Ces personnes sont tenues à une obligation contractuelle de confidentialité qui survit à la fin de leur mission.

À l’intérieur du service, l’accès est cloisonné par organisation et contrôlé à chaque requête, et non au seul affichage : une requête qui ne porte pas l’organisation vérifiée ne compile pas.

Les mesures ci-dessous décrivent l’état du service et sont vérifiables dans son code source. Elles n’énoncent pas un objectif.

Cloisonnement — la séparation des données par organisation est portée par le typage : une lecture non rattachée à une organisation vérifiée est un défaut de compilation, pas un oubli possible.

Mots de passe — stockés sous forme d’empreintes, jamais en clair, jamais réversibles.

Inaltérabilité — chaînage cryptographique des tickets de caisse conforme à la norme NF525, par un unique chemin d’écriture : un ticket ne peut être ni modifié ni supprimé sans que la chaîne le révèle.

Cloison entre le fiscal et l’identité — aucune donnée personnelle n’entre dans la charge scellée. C’est ce qui permet d’effacer un client sans rompre la chaîne, et c’est maintenu délibérément.

Effacement — lorsqu’une conservation légale s’impose, l’effacement prend la forme d’une anonymisation : l’identité est figée sur les documents conservés, la fiche client est vidée, et l’opération est journalisée.

Rapports d’erreur — les données personnelles sont retirées avant que l’événement ne quitte le processus, côté serveur comme côté navigateur, et non après réception.

Journalisation — les actes des utilisateurs et des appareils sont tracés avec l’auteur réel de chacun.

Les mesures suivantes ne relèvent pas du code mais de l’exploitation. Elles sont énoncées ici parce que l’article 32 les exige, et signalées lorsqu’elles n’ont pas encore été attestées.

• Chiffrement du volume de base de données au repos — pas encore attestée
• Chiffrement en transit, avec HSTS, sur l’intégralité des échanges — pas encore attestée
• Sauvegardes chiffrées hors site, avec restauration effectivement réalisée — pas encore attestée

Le commerçant donne à Lympide une autorisation générale de recourir aux sous-traitants ultérieurs listés ci-dessous. Chacun est lié par des obligations de protection équivalentes à celles du présent accord, et Lympide demeure pleinement responsable de leur exécution.

Toute adjonction ou remplacement est notifié par courriel au moins 30 jours avant sa prise d’effet. Le commerçant peut s’y opposer pour un motif tenant à la protection des données ; à défaut de solution, il peut résilier sans frais ni pénalité.

• GoldAPI — cours des métaux précieux
• recherche-entreprises.api.gouv.fr — annuaire public des entreprises, interrogé par nom ou SIREN

L’hébergement du service est situé dans l’Union européenne, chez . Les données confiées par le commerçant n’en sortent pas du fait de l’éditeur.

Un transfert hors Union n’intervient que par le recours à un sous-traitant ultérieur qui y est établi ; celui-ci est alors identifié comme tel dans le tableau de l’article 7, et n’est activé que si le commerçant a lui-même activé la fonction correspondante.

Les demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sont adressées au commerçant, qui est le responsable du traitement.

Lympide met à sa disposition, dans le service, les moyens d’y répondre lui-même : exports, correction et anonymisation d’une fiche client. Lorsque cela ne suffit pas, l’éditeur l’assiste dans la mesure du possible, compte tenu de la nature du traitement.

Le consentement des personnes concernées est recueilli par le commerçant. L’éditeur ne s’adresse jamais directement à la clientèle d’un commerce.

Lympide notifie au commerçant toute violation de données à caractère personnel le concernant dans les meilleurs délais après en avoir pris connaissance, avec les éléments dont il dispose : nature de la violation, catégories et volume approximatif de données, conséquences probables et mesures prises.

La notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées incombe au commerçant en sa qualité de responsable du traitement ; l’éditeur lui fournit l’assistance nécessaire.

L’éditeur assiste également le commerçant pour les analyses d’impact prévues aux articles 35 et 36, dans la limite des informations dont il dispose.

À la fin du contrat, le commerçant peut exporter ses données depuis le service. Cette faculté reste ouverte pendant trente jours.

Passé ce délai, les données sont supprimées, à l’exception de celles qu’une obligation légale de conservation impose de garder — documents comptables, tickets, factures et scellés fiscaux — qui sont conservées pour la seule durée prescrite et ne sont plus accessibles à l’éditeur pour aucun autre usage.

Aucune copie n’est conservée au-delà, sauf sauvegarde en cours de rotation, dont le cycle est borné.

Lympide met à la disposition du commerçant les informations nécessaires pour démontrer le respect des obligations de l’article 28, à sa demande écrite.

Le commerçant peut faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur qu’il mandate, sous réserve d’un préavis raisonnable, d’une périodicité annuelle sauf incident, et de la confidentialité des données des autres clients.

Le présent accord prend effet à la souscription et demeure en vigueur pendant toute la durée du contrat d’abonnement, puis jusqu’à la restitution ou la suppression des données.

Toute modification substantielle est portée à la connaissance du commerçant au moins trente jours avant sa prise d’effet.

L’accord est soumis au droit français. La version française prévaut sur toute traduction.