Contrat de sous-traitance (DPA) — Eukleo / Commerçant

Parties

Le présent accord de traitement des données (DPA) est conclu au titre de l'article 28 du RGPD entre :

• [Raison sociale du commerçant], [Adresse], SIRET [SIRET], le Responsable de traitement ;
• Born to Web SAS, 47 rue Vivienne, 75002 Paris, SIRET 102 345 824 00019, le Sous-traitant.

Article 1 — Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant (Eukleo) traite, pour le compte et sur instruction du Responsable de traitement (le Commerçant), les données à caractère personnel nécessaires à l'exécution des services d'hébergement et d'exploitation du site marchand.

Article 2 — Description du traitement

• Nature des opérations : hébergement, stockage, sauvegarde, transmission technique, mise à disposition d'outils de gestion.
• Finalité : permettre au Commerçant d'exploiter son site marchand et de gérer sa relation client.
• Catégories de personnes concernées : clients et prospects du Commerçant, visiteurs du site.
• Catégories de données : données d'identification, de contact, de commande, de connexion (hors données sensibles sauf accord spécifique).
• Durée : durée du contrat de services entre Eukleo et le Commerçant.

Article 3 — Obligations du Sous-traitant

Eukleo s'engage à :

• traiter les données uniquement sur instruction documentée du Commerçant, y compris pour les transferts hors UE, sauf obligation légale ;
• garantir la confidentialité et veiller à ce que les personnes autorisées à traiter les données s'y engagent ;
• mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32 RGPD) — voir Annexe 1 ;
• respecter les conditions de recours à un sous-traitant ultérieur (article 4) ;
• aider le Commerçant à répondre aux demandes d'exercice des droits des personnes concernées ;
• aider le Commerçant à assurer le respect des obligations de sécurité, de notification de violation et d'analyse d'impact (articles 32 à 36) ;
• notifier au Commerçant toute violation de données dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 48 heures ;
• au choix du Commerçant, supprimer ou renvoyer l'ensemble des données à la fin des prestations et détruire les copies existantes ;
• mettre à disposition du Commerçant la documentation nécessaire pour démontrer le respect de ses obligations et permettre la réalisation d'audits.

Article 4 — Sous-traitance ultérieure

Le Commerçant autorise Eukleo à recourir aux sous-traitants ultérieurs listés en Annexe 2. Eukleo informe le Commerçant de tout changement envisagé, lui laissant la possibilité d'émettre des objections dans un délai de 15 jours. Eukleo impose aux sous-traitants ultérieurs les mêmes obligations de protection des données.

Article 5 — Obligations du Responsable de traitement

Le Commerçant s'engage à :

• documenter par écrit ses instructions ;
• veiller à la licéité des traitements (base légale, information des personnes, recueil des consentements) ;
• assumer sa responsabilité de responsable de traitement vis-à-vis des personnes concernées et de la CNIL.

Article 6 — Localisation et transferts

Les données sont hébergées dans l'Union européenne (infrastructure Hostinger, avec sauvegardes dans l'UE). Tout transfert hors UE est encadré par les garanties appropriées prévues par le RGPD (clauses contractuelles types, décision d'adéquation).

Article 7 — Sort des données en fin de contrat

À l'expiration ou la résiliation du contrat, Eukleo, selon le choix du Commerçant, restitue les données dans un format réutilisable puis les supprime, dans un délai de 30 jours (réversibilité).

Article 8 — Responsabilité

Chaque partie répond des dommages causés par un traitement ne respectant pas les obligations du RGPD qui lui incombent, conformément à l'article 82 du Règlement.

Annexe 1 — Mesures de sécurité (art. 32)

• Chiffrement des flux (TLS) et chiffrement au repos lorsque applicable
• Gestion des accès, authentification et principe du moindre privilège
• Journalisation et détection d'incidents
• Sauvegardes et plan de reprise d'activité
• Cloisonnement logique des données entre commerçants (multi-tenant)
• Procédures de gestion des incidents de sécurité

Annexe 2 — Liste des sous-traitants ultérieurs

Sous-traitants ultérieurs autorisés à la date de la présente version :

• Hostinger International Ltd — hébergement d'infrastructure — Chypre (UE)
• Hostinger International Ltd — stockage objet (photos, documents) — Chypre (UE)
• Stripe, Inc. / Stripe Payments Europe Ltd — paiement en ligne et abonnements — UE / États-Unis (clauses contractuelles types)
• Brevo (Sendinblue SAS) — e-mails transactionnels et SMS — France / UE
• Google Ireland Ltd — Google Wallet (cartes de fidélité dématérialisées) et Google Places (fiche établissement) — UE / États-Unis (clauses contractuelles types)
• Apple Distribution International Ltd — Apple Wallet (cartes de fidélité dématérialisées) — Irlande (UE)