Accord de traitement des données (DPA)

Le présent accord de traitement des données (le « DPA ») est conclu entre le client du service Pilot, agissant en qualité de responsable de traitement (le « Client » ; lorsqu'il connecte une boutique Shopify, le « Marchand »), et BRAIKE, société par actions simplifiée au capital de 20 000 euros, immatriculée au R.C.S. de Nanterre sous le n° 106 573 983, dont le siège social est situé 18 bis rue de Villiers, 92300 Levallois-Perret, France, agissant en qualité de sous-traitant (« Braike »). Il définit les conditions dans lesquelles Braike traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture du service Pilot (le « Service »), conformément à l'article 28 du règlement (UE) 2016/679 (le « RGPD »).

Article 1. Définitions, objet et articulation avec les CGV

1.1. Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne l'article 4 du RGPD. « Données du Client » désigne les données à caractère personnel traitées par Braike pour le compte du Client dans le cadre du Service. « Données issues de Shopify » désigne les Données du Client lues dans une boutique Shopify connectée par le Marchand, par l'API Shopify. « Données client protégées » désigne, parmi celles-ci, le nom, l'adresse e-mail, le numéro de téléphone et l'adresse des clients du Marchand. « Sous-traitant ultérieur » désigne tout prestataire auquel Braike recourt pour mener des activités de traitement spécifiques pour le compte du Client.

1.2. Le DPA s'applique à tous les traitements de Données du Client effectués par Braike dans le cadre du Service. Les traitements pour lesquels Braike agit en qualité de responsable de traitement (données de compte des utilisateurs de Pilot, facturation) sont décrits dans la Politique de confidentialité et ne relèvent pas du DPA.

1.3. Le DPA est incorporé par référence aux Conditions générales de vente de Pilot (les « CGV »), dont il fait partie intégrante en application de leur article 1.3. Il est accepté en même temps que les CGV, lors de l'inscription ou de la création d'un espace de travail ; Braike conserve la preuve horodatée de cette acceptation et la version acceptée. Conclu sous forme électronique, il constitue un contrat écrit au sens de l'article 28.9 du RGPD.

1.4. En cas de contradiction entre le DPA et les CGV ou tout autre document contractuel en matière de protection des données à caractère personnel, le DPA prévaut.

1.5. Le DPA prend effet à la date d'acceptation des CGV. Il demeure en vigueur tant que Braike traite des Données du Client, y compris après la cessation des CGV et jusqu'à la suppression de ces données dans les conditions de l'article 9.

Article 2. Description du traitement

La nature et la finalité du traitement, les catégories de personnes concernées, les catégories de données et la durée du traitement sont décrites à l'Annexe A, qui fait partie intégrante du DPA.

Article 3. Instructions documentées (article 28.3.a du RGPD)

3.1. Braike ne traite les Données du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation imposée par le droit de l'Union ou d'un État membre ; dans ce cas, Braike en informe le Client avant le traitement, sauf si la loi l'interdit.

3.2. Les instructions documentées du Client sont constituées par le DPA, par les finalités décrites à l'Annexe A et par les actions que les utilisateurs du Client demandent et valident dans le Service. Braike ne traite les Données du Client à aucune autre fin et ne les utilise jamais au profit d'un autre client.

3.3. Braike informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou des États membres relatives à la protection des données.

Article 4. Confidentialité (article 28.3.b du RGPD)

Braike veille à ce que les personnes autorisées à traiter les Données du Client s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce que l'accès à ces données soit limité aux seules personnes qui en ont besoin pour la fourniture du Service, son support ou sa sécurité.

Article 5. Sécurité du traitement (articles 28.3.c et 32 du RGPD)

5.1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes, Braike met en œuvre les mesures techniques et organisationnelles appropriées décrites à l'Annexe B.

5.2. Braike peut faire évoluer ces mesures, à condition de ne pas réduire le niveau global de sécurité du Service.

Article 6. Sous-traitants ultérieurs (articles 28.2 et 28.4 du RGPD)

6.1. Le Client accorde à Braike une autorisation générale de recourir à des sous-traitants ultérieurs. Les sous-traitants ultérieurs autorisés à la date du DPA sont listés à l'Annexe C.

6.2. Braike informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins trente (30) jours avant sa mise en œuvre, par e-mail ou par notification dans le Service. Pendant ce délai, le Client peut s'y opposer par écrit pour un motif raisonnable tenant à la protection des données. Les parties recherchent alors de bonne foi une solution ; à défaut, le Client peut résilier le Service concerné, sans pénalité, avant l'entrée en vigueur du changement.

6.3. Braike impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles du DPA, notamment en matière de sécurité et d'interdiction d'utiliser les données pour entraîner des modèles d'intelligence artificielle (article 12). Braike demeure pleinement responsable envers le Client de l'exécution, par ses sous-traitants ultérieurs, de leurs obligations.

Article 7. Assistance au Client (articles 28.3.e et 28.3.f du RGPD)

7.1. Droits des personnes. Braike aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Si Braike reçoit directement une telle demande, elle la transmet au Client sans délai et n'y répond pas sans son instruction.

7.2. Clients d'une boutique Shopify. Les clients du Marchand exercent leurs droits auprès du Marchand. Shopify transmet à Braike les demandes correspondantes par les webhooks de conformité customers/data_request (accès aux données d'un client), customers/redact (effacement des données d'un client) et shop/redact (effacement des données de la boutique). Braike traite chacune de ces demandes dans un délai de trente (30) jours à compter de sa réception.

7.3. Analyses d'impact. Braike fournit au Client, sur demande, les informations raisonnablement nécessaires à la réalisation d'une analyse d'impact relative à la protection des données (article 35 du RGPD) et, le cas échéant, à la consultation préalable de l'autorité de contrôle (article 36 du RGPD).

Article 8. Notification des violations de données (articles 28.3.f et 33 du RGPD)

8.1. Braike notifie au Client toute violation de données à caractère personnel affectant les Données du Client sans retard injustifié, et au plus tard quarante-huit (48) heures après en avoir pris connaissance.

8.2. La notification comporte, dans la mesure où elles sont disponibles, les informations prévues à l'article 33.3 du RGPD : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, coordonnées du point de contact, conséquences probables, mesures prises ou envisagées pour y remédier et en atténuer les effets. Les informations qui ne peuvent être fournies en même temps le sont de manière échelonnée, sans retard indu.

8.3. Lorsque la violation touche des Données issues de Shopify, Braike en informe également Shopify dans un délai de vingt-quatre (24) heures, conformément à ses engagements de partenaire. Braike prend sans délai les mesures raisonnables pour mettre fin à la violation, en rechercher la cause et en limiter les conséquences, et assiste le Client pour la notification à l'autorité de contrôle (article 33 du RGPD) et la communication aux personnes concernées (article 34 du RGPD).

Article 9. Sort des données en fin de contrat (article 28.3.g du RGPD)

9.1. À la cessation du Service, au choix du Client exprimé par écrit, Braike lui restitue les Données du Client dans un format structuré et couramment utilisé, ou les supprime. À défaut de choix exprimé, les données sont supprimées dans un délai de trente (30) jours suivant la cessation effective, conformément à l'article 9.3 des CGV.

9.2. Pour les Données issues de Shopify, la désinstallation de l'application par le Marchand coupe l'accès de Pilot à la boutique ; les données de la boutique sont supprimées à réception du webhook shop/redact, que Shopify émet quarante-huit (48) heures après la désinstallation.

9.3. Les copies présentes dans les sauvegardes techniques de la base de données sont effacées au fil de la rotation de ces sauvegardes ; elles restent d'ici là protégées dans les conditions du DPA et ne sont utilisées par aucun traitement courant. Braike n'est pas tenue de supprimer les données dont la conservation est imposée par le droit de l'Union ou d'un État membre ; elles restent alors couvertes par le DPA.

Article 10. Audit (article 28.3.h du RGPD)

10.1. Braike met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, notamment en répondant dans un délai raisonnable à ses questionnaires de sécurité et de conformité.

10.2. Le Client peut faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de Braike, au plus une fois par an, moyennant un préavis écrit de trente (30) jours, pendant les heures ouvrées et sans perturber l'exploitation du Service. Les frais de l'audit sont à la charge du Client. Cette limite de fréquence ne s'applique pas lorsque l'audit est exigé par une autorité de contrôle ou fait suite à une violation de données.

Article 11. Transferts hors de l'Union européenne

11.1. Les Données du Client sont hébergées dans l'Union européenne (base de données, authentification, stockage de fichiers). Certains sous-traitants ultérieurs listés à l'Annexe C sont établis ou traitent des données hors de l'Espace économique européen.

11.2. Tout transfert de Données du Client hors de l'Espace économique européen est encadré par une décision d'adéquation de la Commission européenne, notamment, pour les fournisseurs qui y sont certifiés, le cadre de protection des données UE-États-Unis, ou à défaut par les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021, dans leur module applicable (module 3, de sous-traitant à sous-traitant, pour les sous-traitants ultérieurs), complétées le cas échéant par des mesures supplémentaires.

11.3. Lorsque le Client est établi hors de l'Espace économique européen, les clauses contractuelles types précitées, dans leur module applicable, régissent le cas échéant les flux de données entre les parties.

Article 12. Intelligence artificielle

12.1. Braike s'engage envers le Marchand dans les termes suivants : « Pilot transmet des données issues de votre boutique à des modèles de langage tiers dans le seul but de produire, en temps réel, les analyses et recommandations que vous demandez (inférence). Nous n'utilisons ni vos données de marchand ni les données de vos clients — y compris sous forme anonymisée, agrégée ou dérivée — pour créer, développer, entraîner, affiner ou améliorer un système, un modèle ou une technologie d'intelligence artificielle ou d'apprentissage automatique, y compris un grand modèle de langage. Nous avons obtenu de chacun de nos fournisseurs de modèles l'engagement contractuel qu'il n'utilise pas non plus ces données à de telles fins. Nous n'entraînons aucun modèle qui nous soit propre. »

12.2. Cet engagement s'applique à toutes les Données issues de Shopify et prévaut, pour ces données, sur toute stipulation contraire des CGV, notamment leur article 14.3 bis.

12.3. Minimisation. Les Données client protégées (nom, adresse e-mail, numéro de téléphone, adresse) ne sont pas transmises aux modèles de langage lorsque l'analyse demandée ne les requiert pas.

12.4. Les fournisseurs de modèles auxquels Braike recourt sont des sous-traitants ultérieurs listés à l'Annexe C. Les analyses produites par l'intelligence artificielle portent sur des campagnes, des produits et des stocks ; elles ne donnent lieu à aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à l'égard d'un client du Marchand ou l'affectant de manière significative.

12.5. Les messages reçus par les apps Pilot pour Slack et Google Chat sont traités selon les mêmes règles, et le texte des messages Slack n'est pas conservé.

Article 13. Responsabilité et droit applicable

13.1. Chaque partie répond des manquements qui lui sont imputables dans les conditions de l'article 82 du RGPD et dans les limites prévues par les CGV, sauf lorsque la loi interdit une telle limitation.

13.2. Le DPA est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution relève de la juridiction désignée à l'article 17 des CGV.

Annexe A — Description du traitement

Nature du traitement : collecte par API des données issues des comptes publicitaires et des boutiques que le Client connecte ; enregistrement, structuration, conservation, consultation et analyse, y compris par des modèles d'intelligence artificielle utilisés en inférence seulement ; transmission aux régies publicitaires désignées par le Client ; effacement.

Finalités : (i) gestion, analyse et optimisation des campagnes publicitaires du Client ; (ii) pour les Données issues de Shopify, analyses de données (ventes, produits, stocks, identification des meilleurs clients, répartition géographique des ventes) et marketing (constitution d'audiences envoyées, à la demande du Client, vers ses propres comptes publicitaires, par exemple Google Customer Match). Aucune autre finalité.

Catégories de personnes concernées : utilisateurs du Service désignés par le Client ; personnes figurant dans les comptes publicitaires connectés (audiences) ; pour les Données issues de Shopify, clients et prospects du Marchand.

Catégories de données : données de campagnes et métadonnées des comptes publicitaires ; pour les Données issues de Shopify, commandes (montants, lignes, statuts, expéditions, retours, remboursements), produits, stocks, versements et litiges Shopify Payments, événements marketing, remises, lieux, ainsi que les Données client protégées : nom (prénom et nom), adresse e-mail, numéro de téléphone, adresses de facturation et de livraison (adresse, code postal, ville, pays, coordonnées géographiques). Aucune donnée sensible au sens des articles 9 et 10 du RGPD n'est requise ; le Client s'engage à ne pas en introduire dans le Service.

Durée : pendant la durée du Service. Les Données client protégées issues de Shopify sont conservées vingt-quatre (24) mois glissants, puis purgées automatiquement ; elles sont supprimées dans un délai de trente (30) jours sur demande transmise par le webhook customers/redact, et l'ensemble des données de la boutique l'est à réception du webhook shop/redact, quarante-huit (48) heures après la désinstallation.

Lieu du traitement : Union européenne pour l'hébergement des données ; certains traitements sont opérés hors de l'Union par les sous-traitants ultérieurs listés à l'Annexe C, dans les conditions de l'article 11.

Annexe B — Mesures techniques et organisationnelles

Chiffrement : toutes les communications sont chiffrées en transit (TLS 1.2 ou supérieur). Les jetons d'accès OAuth aux plateformes connectées sont chiffrés au repos par AES-256-GCM, avec un vecteur d'initialisation unique par opération et une clé conservée séparément des données. Les données sont stockées chez un hébergeur qui les chiffre au repos.

Cloisonnement et contrôle d'accès : isolation des données par espace de travail au moyen de politiques de sécurité au niveau des lignes (Row Level Security) ; jetons jamais transmis au navigateur ; clés de service réservées au serveur et distinctes des clés publiques ; rôles par espace de travail (propriétaire, administrateur, éditeur, lecteur) ; authentification à deux facteurs (TOTP) exigée pour les fonctionnalités d'écriture.

Personnel : accès aux Données du Client limité aux personnes qui en ont besoin et soumises à la confidentialité ; comptes du personnel protégés par des mots de passe robustes et une authentification à deux facteurs ; retrait des accès au départ d'un collaborateur.

Journalisation : journal des actions effectuées sur les comptes connectés (auteur, outil, plateforme, niveau de risque, résultat, adresse IP, horodatage), avec caviardage des secrets ; journal des accès du personnel aux Données client protégées.

Séparation des environnements : les données réelles des clients du Marchand ne sont pas utilisées dans les environnements de développement et de test.

Continuité et incidents : sauvegardes de la base de données assurées par l'hébergeur ; révocation immédiate possible de l'accès à une plateforme connectée ; procédure de réponse aux incidents de sécurité intégrant les délais de notification de l'article 8.

Annexe C — Sous-traitants ultérieurs autorisés

Supabase — base de données PostgreSQL, authentification, stockage de fichiers — Union européenne.

Vercel — hébergement de la couche applicative — États-Unis (clauses contractuelles types).

Google (Gemini) — modèles d'intelligence artificielle conversationnelle et vocale — Union européenne / États-Unis (clauses contractuelles types).

Anthropic (Claude) — modèles d'intelligence artificielle pour les analyses et la génération de rapports — États-Unis (clauses contractuelles types).

Inngest — orchestration des traitements asynchrones — États-Unis (clauses contractuelles types).

Resend — envoi des e-mails transactionnels — États-Unis (clauses contractuelles types).

E2B — environnements d'exécution isolés (bac à sable) de l'assistant IA — États-Unis (clauses contractuelles types).

Stripe — paiement des abonnements et facturation — Union européenne / États-Unis (clauses contractuelles types).

Google Cloud (Cloud Run) — environnements d'exécution de l'assistant IA — Union européenne.

Les plateformes publicitaires que le Client connecte et vers lesquelles il demande l'envoi d'audiences (par exemple Google, Meta, TikTok) reçoivent les données sur instruction du Client et les traitent selon leurs propres conditions ; elles ne sont pas des sous-traitants ultérieurs de Braike.

Slack et Google Chat, lorsque le Client y installe l'app Pilot, reçoivent les réponses et les cartes de Pilot sur instruction du Client et les traitent selon leurs propres conditions ; ils ne sont pas des sous-traitants ultérieurs de Braike.

Contact protection des données