Lorsque vous collectez, via RM Solutions, des données de vos propres visiteurs ou clients (commandes de boutique, formulaire de contact, statistiques, newsletter, prise de rendez-vous), vous en êtes le responsable de traitement et RM Solutions agit comme sous-traitant. Le présent accord encadre cette sous-traitance.
Le présent accord (« DPA ») fait partie des CGU et des Conditions du service Boutique. Il s'applique lorsque RM Solutions traite des données personnelles pour le compte d'un Utilisateur (le « Responsable de traitement ») dans le cadre des fonctionnalités précitées. RM Solutions agit alors en qualité de sous-traitant au sens de l'article 28 du RGPD.
RM Solutions traite les données uniquement sur instruction documentée du Responsable, telle qu'elle résulte de l'utilisation des fonctionnalités du Service et du présent DPA, ainsi que pour se conformer à ses obligations légales. RM Solutions informe le Responsable si une instruction lui paraît constituer une violation du RGPD.
RM Solutions veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité et n'y accèdent que dans la mesure nécessaire au Service.
RM Solutions met en œuvre des mesures techniques et organisationnelles appropriées (article 32 du RGPD) : chiffrement des communications (HTTPS), contrôle des accès, hébergement sécurisé, minimisation des données. Les données bancaires ne sont jamais stockées par RM Solutions.
Le Responsable autorise RM Solutions à recourir aux sous-traitants ultérieurs suivants, pour les finalités indiquées :
| Sous-traitant | Finalité |
|---|---|
| Vercel | Hébergement du site et stockage des fichiers |
| Neon | Base de données (commandes, réservations…) |
| Stripe | Paiement des commandes de la boutique |
| Sendcloud | Étiquettes d'expédition et suivi des colis |
| Resend | Envoi des e-mails (notifications, confirmations) |
RM Solutions impose à ces sous-traitants des obligations de protection équivalentes et informe le Responsable de tout changement envisagé, lui permettant de s'y opposer pour un motif légitime.
Certains sous-traitants sont établis hors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types de la Commission européenne ou mécanisme équivalent).
Compte tenu de la nature du traitement, RM Solutions aide le Responsable, dans la mesure du possible, à répondre aux demandes d'exercice de droits des personnes concernées (accès, rectification, effacement, opposition…), ainsi qu'à ses obligations de sécurité, de notification de violations et, le cas échéant, d'analyse d'impact.
RM Solutions notifie au Responsable, dans les meilleurs délais après en avoir pris connaissance, toute violation de données affectant les données traitées pour son compte, avec les informations utiles pour lui permettre de respecter ses propres obligations.
Au terme de la prestation, ou sur demande du Responsable, RM Solutions supprime les données concernées (ou les restitue), sauf obligation légale de conservation. La suppression d'un site, d'une boutique ou d'un compte entraîne la suppression des données associées dans les conditions décrites dans la Politique de confidentialité.
RM Solutions met à disposition du Responsable les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et contribue, dans des conditions raisonnables, aux audits éventuels.
| Fonctionnalité | Personnes concernées | Données | Finalité |
|---|---|---|---|
| Commandes de boutique | Acheteurs du Marchand | Nom, e-mail, téléphone, adresse de livraison, détail de commande | Traiter et suivre la commande, expédier |
| Formulaire de contact | Visiteurs du site | E-mail, message | Transmettre le message au propriétaire du site |
| Statistiques d'audience | Visiteurs du site | Mesures agrégées, sans identifiant ni cookie | Mesurer l'audience de façon anonymisée |
| Newsletter | Abonnés | Constituer la liste de diffusion du Marchand | |
| Prise de rendez-vous | Visiteurs du site | Nom, e-mail, téléphone, message, créneau | Enregistrer et gérer le rendez-vous |
Durée : les données sont traitées pour la durée d'utilisation de la fonctionnalité concernée, puis supprimées dans les conditions prévues à l'article 9.
Le présent DPA est soumis au droit français et à la réglementation européenne sur la protection des données. En cas de contradiction avec un autre document contractuel sur la protection des données à caractère personnel, le présent DPA prévaut.