Accord de traitement des données

Le présent accord de traitement des données (l’« Accord ») constitue l’annexe des conditions générales d’utilisation de la plateforme Paracel (les « CGU »). Il est conclu entre le Client, agissant en qualité de responsable de traitement, et la société Creastyle, exploitant la marque Paracel (« Paracel »), agissant en qualité de sous-traitant, conformément à l’article 28 du règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD »). Les termes employés avec une majuscule ont le sens qui leur est donné dans les CGU ou dans le RGPD.

Article 1. Objet

L’Accord définit les conditions dans lesquelles Paracel traite, pour le compte du Client, les données personnelles des Utilisateurs et des Porteurs gérées sur la Plateforme. Il ne s’applique ni aux traitements que Paracel met en œuvre pour son propre compte, décrits dans sa politique de confidentialité, ni aux données des Élèves qui commandent pour leur propre compte, que Paracel traite en qualité de responsable de traitement, ni aux données que Paracel conserve pour satisfaire à ses propres obligations légales, notamment comptables et fiscales.

Article 2. Description des traitements

Nature des opérations : hébergement, enregistrement, organisation, consultation, mise à jour, transmission aux transporteurs, archivage et suppression.

Finalités : gestion des dotations, des droits, des budgets et des attributions d’équipements ; prise et suivi des commandes passées pour le compte du Client ; préparation, personnalisation et livraison des produits ; gestion des retours ; recommandation de taille ; reporting du Client ; assistance ; production de statistiques agrégées et anonymisées, que Paracel peut exploiter pour ses propres besoins conformément à l’article 9 des CGU, le Client lui donnant instruction à cette fin.

Personnes concernées : salariés, intérimaires, agents, stagiaires, apprentis et autres collaborateurs du Client, ainsi que les Utilisateurs qu’il habilite.

Catégories de données : nom, prénom, matricule ou identifiant interne, coordonnées professionnelles, adresse de livraison, qui peut être l’adresse personnelle du Porteur lorsque le Client choisit ce mode de livraison, site, service, fonction, tailles et informations morphologiques déclarées, telles que la taille, le poids et la morphologie, historique des dotations, des commandes et des attributions, données de connexion. Le Client s’interdit de saisir sur la Plateforme des données sensibles au sens de l’article 9 du RGPD, dont les données de santé.

Durée : la durée du compte du Client, augmentée de la période de récupération prévue par les CGU.

Article 3. Obligations de Paracel

3.1 Instructions

Paracel ne traite les données que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers ou une organisation internationale, à moins qu’elle ne soit tenue d’y procéder en vertu du droit de l’Union ou du droit français ; dans ce cas, elle informe le Client de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public. Les CGU, l’Accord et le paramétrage effectué par le Client sur la Plateforme constituent ces instructions. Paracel informe immédiatement le Client si une instruction lui paraît constituer une violation de la réglementation applicable.

3.2 Confidentialité

Paracel veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à leurs fonctions.

3.3 Sécurité

Paracel met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, afin de garantir un niveau de sécurité adapté au risque conformément à l’article 32 du RGPD. Elle peut faire évoluer ces mesures, à condition de ne pas réduire le niveau de sécurité global.

3.4 Sous-traitants ultérieurs

Le Client autorise Paracel à recourir aux sous-traitants ultérieurs figurant en annexe 1. Paracel informe le Client de tout ajout ou remplacement au moins trente jours à l’avance. Le Client peut s’y opposer par écrit, dans ce délai, pour un motif légitime tenant à la protection des données ; à défaut d’accord, il peut résilier le service concerné sans pénalité. Paracel impose à ses sous-traitants ultérieurs, par contrat, des obligations de protection des données équivalentes à celles de l’Accord et demeure responsable à l’égard du Client de l’exécution de leurs obligations.

3.5 Transferts hors de l’Union européenne

Paracel ne transfère les données vers un pays situé hors de l’Espace économique européen que lorsque ce pays bénéficie d’une décision d’adéquation de la Commission européenne, telle que la décision du 10 juillet 2023 relative au cadre de protection des données UE-États-Unis pour les destinataires qui y sont certifiés, ou moyennant les garanties appropriées prévues à l’article 46 du RGPD, telles que les clauses contractuelles types adoptées par la Commission européenne.

3.6 Droits des personnes

Paracel transmet au Client, dans un délai de cinq jours ouvrés, toute demande d’exercice de droits qu’elle reçoit directement et qui relève d’un traitement réalisé pour son compte. Elle l’assiste, par des mesures techniques et organisationnelles appropriées, pour répondre à ces demandes.

3.7 Violations de données

Paracel notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance. La notification comporte, dans la mesure où elles sont disponibles, les informations prévues à l’article 33, paragraphe 3, du RGPD, qui peuvent être complétées par la suite. Paracel prend les mesures raisonnables pour en limiter les conséquences.

3.8 Assistance

Paracel fournit au Client, sur demande, les informations raisonnablement nécessaires à la réalisation d’analyses d’impact et à la consultation préalable de l’autorité de contrôle.

3.9 Sort des données

À la fin des services, Paracel restitue les données au Client par la mise à disposition d’un export pendant la période de récupération prévue par les CGU, puis les supprime, ainsi que leurs copies, dans un délai de trente jours, sauf obligation légale de conservation.

3.10 Documentation et audit

Paracel met à la disposition du Client la documentation nécessaire pour démontrer le respect de ses obligations. Le Client peut faire réaliser, une fois par année civile et à ses frais, un audit par lui-même ou par un auditeur indépendant soumis à une obligation de confidentialité et ne concurrençant pas Paracel, moyennant un préavis écrit de trente jours. Cette limite ne s’applique pas lorsqu’un audit est rendu nécessaire par une violation de données ou demandé par une autorité de contrôle. L’audit se déroule pendant les heures ouvrées, sans perturber l’activité de Paracel ni donner accès aux données de ses autres clients.

Article 4. Obligations du Client

Le Client garantit qu’il dispose d’une base légale pour les traitements confiés à Paracel, qu’il a informé les personnes concernées conformément aux articles 13 et 14 du RGPD et que les données transmises sont exactes et limitées à ce qui est nécessaire. Il documente par écrit toute instruction complémentaire.

Article 5. Responsabilité et durée

Chaque partie est responsable des dommages résultant de ses propres manquements dans les conditions de l’article 82 du RGPD. Les limitations de responsabilité prévues par les CGU s’appliquent dans la mesure permise par la loi. L’Accord produit ses effets aussi longtemps que Paracel traite des données pour le compte du Client.

Annexe 1. Sous-traitants ultérieurs

• Amazon Web Services EMEA SARL (Luxembourg) : hébergement de la Plateforme et des données, dans la région de Paris (France).
• Vercel Inc. (États-Unis) : diffusion de l’interface de la Plateforme.
• Clerk, Inc. (États-Unis) : authentification des Utilisateurs.
• Functional Software, Inc., exploitant le service Sentry (États-Unis) : détection et diagnostic des erreurs techniques.
• Notion Labs, Inc. (États-Unis) : suivi opérationnel des commandes et de la production.
• Odoo SA (Belgique) : gestion des stocks et de la logistique.
• Pennylane (France) : facturation et comptabilité.
• Google Ireland Limited : messagerie électronique.
• DPD, GLS et les autres transporteurs auxquels Paracel confie l’acheminement des colis : livraison des produits.

Annexe 2. Mesures de sécurité

Paracel met en œuvre les mesures suivantes : chiffrement des échanges par le protocole TLS ; authentification des Utilisateurs et stockage des mots de passe sous forme hachée ; gestion des accès par rôles selon le principe du moindre privilège ; cloisonnement logique des données de chaque Client ; journalisation des connexions et des opérations sensibles ; sauvegardes régulières de la base de données ; mise à jour des composants logiciels ; accès aux environnements de production restreint aux personnes habilitées ; hébergement auprès de prestataires présentant des garanties de sécurité reconnues.