# Addendum sur le traitement des données > L’Addendum de Shoprocket sur le traitement des données couvrant les obligations de traitement des données du RGPD. Dernière mise à jour le 26 avril 2026 Ceci est une traduction fournie à titre indicatif. La [version anglaise](https://v3.shoprocket.io/gdpr.md) est la version juridiquement contraignante, et elle prévaut en cas de différence. Le présent Addendum de Shoprocket sur le traitement des données (l’<< Addendum >>) modifie les Conditions générales de Shoprocket (l’<< Accord >>) entre vous (<< Vous >>) et **Shoprocket LTD** (société n° 12656598, enregistrée en Angleterre et au Pays de Galles au 20-22 Wenlock Road, Londres, NG 17U). Si vous avez un SLA distinct avec Shoprocket, les références à l’Accord désignent ce SLA. Le présent Addendum est soumis à l’Accord et y est incorporé. Tout terme en majuscules non défini ici a le sens qui lui est donné dans l’Accord. --- ## Définitions - **Paramètres du compte** : Les configurations de votre Compte Shoprocket (y compris la sécurité) qui vous permettent de gérer la manière dont Shoprocket traite les Données personnelles. - **Finalités commerciales** : Les Services définis dans l’Accord. - **Données de compte du client** : Les Données personnelles relatives à votre relation avec Shoprocket (par ex. contacts autorisés, informations de facturation), ainsi que les informations que Shoprocket collecte pour la gestion du compte, les vérifications d’identité ou les exigences légales. - **Données d’utilisation du client** : Les données d’utilisation traitées par Shoprocket dans le cadre de votre utilisation des Services (par ex. journaux, indicateurs de performance, données de prévention des abus). - **Législation sur la protection des données** : Comprend le CCPA, le RGPD de l’UE, la loi fédérale suisse sur la protection des données, le RGPD du Royaume-Uni, le DPA 2018 et le PECR 2003, chacun tel que mis à jour. Les termes (par ex. << Responsable du traitement >>, << Sous-traitant >>) suivent le RGPD de l’UE. - **EEE** : Espace économique européen. - **CCT de l’UE** : Les clauses contractuelles types conformément à la décision de la Commission 2021/914. - **Transfert hors EEE** : Un transfert de Données personnelles (en vertu du RGPD de l’UE) en dehors de l’EEE sans décision d’adéquation au titre de l’article 45 du RGPD de l’UE. - **Transfert hors Royaume-Uni** : Un transfert de Données personnelles (en vertu du RGPD du Royaume-Uni) en dehors du Royaume-Uni sans décision d’adéquation du Secrétaire d’État britannique. - **Prestataire de services** : Tel que défini dans le CCPA. - **Services** : Les outils de Shoprocket pour créer et gérer des boutiques en ligne (<< Boutique Shoprocket >>), gérer les produits, les paiements, la livraison, le marketing, ainsi que tout outil ou service que Shoprocket peut proposer. - **Compte Shoprocket** : Votre compte donnant accès aux Services, y compris les Paramètres du compte, à l’adresse [https://www.shoprocket.io](https://www.shoprocket.io). - **Politique de confidentialité de Shoprocket** : L’avis disponible à l’adresse [https://shoprocket.io/privacy](https://shoprocket.io/privacy), tel que mis à jour. - **Boutique Shoprocket** : Votre site e-commerce hébergé ou facilité par Shoprocket. - **Données de catégories particulières** : Telles que définies aux articles 4(13), 4(14), 4(15) et 9 du RGPD de l’UE/du Royaume-Uni (selon le cas). - **Clauses contractuelles types (CCT)** : Les CCT de l’UE et les CCT du Royaume-Uni, selon le cas. - **CCT du Royaume-Uni** : Les CCT de l’UE telles que modifiées par l’Addendum IDTA de l’ICO britannique. - **Nous/Notre/Nos** : Shoprocket LTD (y compris << Shoprocket >> et << Shoprocket.io >>). - **Vous/Votre/Vos** : La partie contractante désignée dans l’Accord. --- ## Instructions du client Le présent Addendum et l’Accord (y compris les instructions figurant dans vos Paramètres du compte) constituent les **Instructions documentées** sur la manière dont Shoprocket traite les Données personnelles. Shoprocket ne traitera les Données personnelles que sur instruction. Toute instruction supplémentaire en dehors de ces conditions nécessite un accord écrit préalable (et peut entraîner des frais supplémentaires). Shoprocket peut résilier le présent Addendum et l’Accord si vos instructions contreviennent à la Législation sur la protection des données ou s’écartent des instructions convenues. Compte tenu de la nature du traitement, Shoprocket ne peut généralement pas juger si vos instructions enfreignent la loi ; s’il forme un tel avis, il vous en informera, et vous pourrez modifier ou retirer les instructions. --- ## Traitement des données 1. **Traitement par Shoprocket** - **Sous-traitant / Prestataire de services** : À l’exception des Données de compte du client et des Données d’utilisation du client, Shoprocket traite les Données personnelles (au sens du RGPD de l’UE/du Royaume-Uni) ou les informations personnelles (au sens du CCPA) pour votre compte. - **Responsable du traitement indépendant** : Shoprocket est Responsable du traitement pour les Données personnelles collectées directement auprès des clients de la Boutique et pour les Données de compte du client ou les Données d’utilisation du client. 2. **Stockage** - Les Données personnelles sont stockées sur : 1. des serveurs AWS en Irlande (ou dans d’autres régions de l’EEE), 2. des serveurs Hetzner à Nuremberg/Falkenstein (Allemagne). 3. **Portée et finalité** - Shoprocket ne traite les Données personnelles que dans la mesure nécessaire aux Finalités commerciales que vous précisez (conformément aux Services achetés) et dans le respect de la Législation sur la protection des données. - Si la loi exige un traitement différent, Shoprocket vous en informera, sauf interdiction légale. - Shoprocket suit rapidement vos instructions écrites pour modifier, transférer ou supprimer des Données personnelles, ou pour cesser un traitement non autorisé. - Shoprocket maintient la confidentialité des Données personnelles, sauf si leur divulgation est autorisée ou légalement requise. - Shoprocket vous assiste, sans frais supplémentaires, dans le respect de vos obligations (par ex. demandes des personnes concernées, AIPD). - Shoprocket vous informe des évolutions légales susceptibles d’affecter l’Accord ou le présent Addendum. 4. **Shoprocket en tant que Responsable du traitement indépendant** - Pour les Données de compte du client et les Données d’utilisation du client, Shoprocket n’est pas responsable conjoint du traitement mais traite ces données pour gérer sa relation avec vous, prévenir la fraude et les incidents de sécurité, respecter ses obligations légales, etc., conformément à la Politique de confidentialité de Shoprocket. 5. **CCPA** - À l’exception des Données de compte du client et des Données d’utilisation du client, Shoprocket est votre Prestataire de services au sens du CCPA ; il ne << vendra >> pas ces informations personnelles et ne les utilise que pour exécuter les Services ou comme la loi l’autorise par ailleurs. 6. **Modules complémentaires** - Vous pouvez intégrer des modules complémentaires tiers (<< Modules complémentaires >>) en vertu de CLUF distincts avec chaque éditeur. Shoprocket transfère les Données personnelles nécessaires à l’Éditeur du Module complémentaire, mais n’est pas responsable de son traitement. Les Modules complémentaires actuels commercialisés par Shoprocket comprennent : - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping** : Exécution et synchronisation multicanal. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay** : Intégrations de paiement prenant en charge diverses méthodes et devises. - **Zapier** : Automatise les transferts de données et les flux de travail entre Shoprocket et d’autres applications. - Si Shoprocket et vous avez des CCT, votre instruction d’intégrer des Modules complémentaires vaut consentement au transfert de Données personnelles à ces Éditeurs de Modules complémentaires si les CCT l’exigent. 7. **Vos responsabilités** - Vous êtes le Responsable du traitement pour toutes les Données personnelles collectées ou traitées par Shoprocket pour votre compte. - Vous êtes responsable du respect des exigences d’information et de consentement et de la conformité à la Législation sur la protection des données. --- ## Types de Données personnelles et finalités du traitement - **Objet** : Les Données personnelles que vous téléversez sur les Services, y compris votre Compte ou Boutique Shoprocket. - **Durée** : Déterminée par vous (jusqu’à ce que vous suspendiez ou résiliez votre abonnement Shoprocket ou les intégrations concernées). - **Finalité** : Fournir les Services selon vos instructions (par ex. exploiter votre Boutique/Compte Shoprocket). - **Nature du traitement** : La plateforme e-commerce de Shoprocket (et tout Sous-traitant ultérieur/Éditeur de Module complémentaire) peut stocker ou traiter des Données personnelles. - **Types de Données personnelles** : Les données que vous téléversez (par ex. coordonnées, informations sur les clients, enregistrements de transactions). - **Personnes concernées** : Vous, vos clients, employés, sous-traitants, agents, fournisseurs ou prestataires. --- ## Sécurité du traitement des données Shoprocket maintiendra des mesures techniques et organisationnelles appropriées pour protéger les Données personnelles contre le traitement non autorisé ou illicite, la perte accidentelle ou la destruction, conformément à l’**article 32** du RGPD de l’UE/du Royaume-Uni. Ces mesures comprennent (selon le cas) : - Pseudonymisation/chiffrement des données ; - Garantie de la confidentialité, de l’intégrité, de la disponibilité et de la résilience des systèmes ; - Rétablissement de la disponibilité des données dans des délais appropriés après des incidents ; - Tests, évaluations et appréciations réguliers de ces mesures. ### Employés de Shoprocket - Shoprocket veille à ce que les employés, sous-traitants et agents qui manipulent des Données personnelles soient formés, tenus à la confidentialité et pleinement conscients de leurs obligations en matière de protection des données. ### Sécurité (reformulation) - Shoprocket met continuellement à jour ses garanties techniques et organisationnelles pour prévenir tout traitement non autorisé, notamment le chiffrement, la résilience des systèmes, la capacité de rétablissement et les tests d’efficacité. --- ## Violation de Données personnelles 1. **Notification** - Shoprocket vous informe dans un délai de **72 heures** (et sans retard injustifié) s’il a connaissance : 1. d’une perte/d’un dommage affectant des Données personnelles ; 2. de tout traitement accidentel, non autorisé ou illicite ; 3. d’une Violation de Données personnelles. 2. **Informations** - Shoprocket fournit une description de l’incident, les catégories et le nombre de données concernées, ainsi que les mesures prises ou proposées pour en atténuer l’impact. 3. **Coopération** - Shoprocket se coordonne avec vous pour l’enquête et n’informera pas de tiers sans votre consentement écrit, sauf obligation légale. 4. **Coûts** - Shoprocket prend en charge les frais raisonnables liés à ces obligations, sauf si l’incident résulte de vos instructions, de votre négligence ou de votre manquement, auquel cas vous prenez en charge les frais raisonnables de Shoprocket (y compris ceux de conseillers professionnels). --- ## Sous-traitants ultérieurs Shoprocket utilise actuellement ces **Sous-traitants ultérieurs** pour l’hébergement/le traitement des données, les services d’infrastructure/réseau ou d’autres fonctions de service : | **Nom** | **Description** | **Localisation** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Rapports et analyses d’abonnements. | MA, États-Unis | | **Amazon Web Services EMEA SARL** | Hébergement cloud, calcul, stockage. | Luxembourg, UE | | **Automattic, Inc. (Gravatar)** | Permet aux utilisateurs de téléverser des images de profil sur les comptes Shoprocket. | CA, États-Unis | | **Cloudflare, Inc.** | Sécurité et connectivité du réseau. | CA, États-Unis | | **Crisp IM SAS** | Application de chat en direct et de messagerie client pour l’assistance aux utilisateurs. | France, UE | | **Facebook Technologies Ireland** | Pixels Facebook pour les conversions, l’optimisation publicitaire, la constitution d’audiences. | Irlande, UE | | **Google Ireland Limited** | Google Analytics (analyse du comportement), Adwords (placement publicitaire/monétisation). | Irlande, UE | | **GmbH** | Hébergement cloud, calcul et stockage. | Allemagne, UE | | **TPS Unlimited, Inc. (Taxjar)** | Automatisation des taxes pour la TVA de l’UE et la taxe de vente américaine sur les Boutiques Shoprocket. | CA, États-Unis | | **Twilio, Inc. (Sendgrid)** | Messagerie multicanal (e-mail, SMS, WhatsApp). | Irlande, UE | | **Twitter, Inc.** | Pixel Twitter pour le suivi des conversions et les indicateurs de performance publicitaire. | CA, États-Unis | Vous autorisez Shoprocket à utiliser les Sous-traitants ultérieurs ci-dessus et donnez une autorisation générale à Shoprocket d’en ajouter d’autres (les << Sous-traitants ultérieurs autorisés >>). Shoprocket vous donnera un préavis d’au moins **30 jours** (via le site web, par e-mail ou par notification du Compte) avant de recourir à un nouveau Sous-traitant ultérieur. Vous pouvez vous y opposer dans un délai de **10 jours** suivant l’avis, par écrit, pour des motifs raisonnables de protection des données. Si un Sous-traitant ultérieur essentiel est impliqué et qu’aucune alternative n’est trouvée dans les **90 jours**, vous pouvez interrompre ou résilier les Services concernés (en payant toujours les frais dus). Si vous ne vous opposez pas dans les 10 jours, le nouveau Sous-traitant ultérieur est réputé approuvé. Lorsque Shoprocket engage un Sous-traitant ultérieur, il : - Limite son accès à ce qui est strictement nécessaire pour fournir ou améliorer les Services ; - Lui impose les mêmes obligations de protection des données ; - Reste responsable de sa conformité. Si des CCT s’appliquent, votre autorisation vaut consentement écrit préalable au titre de la clause 9(c) ou des clauses pertinentes des CCT du Royaume-Uni. Shoprocket peut occulter les détails commerciaux non essentiels avant de vous communiquer les contrats de sous-traitance ultérieure. --- ## Transferts de Données personnelles Shoprocket peut transférer des Données personnelles en dehors de l’EEE, du Royaume-Uni ou de la Suisse pour fournir les Services (par ex. certains Éditeurs de Modules complémentaires/Sous-traitants ultérieurs aux États-Unis). Lorsqu’aucune décision d’adéquation ne s’applique, Shoprocket garantira des garanties appropriées conformément à la Législation sur la protection des données. - **Transferts hors EEE** : Couverts par les CCT de l’UE (Module Un pour Shoprocket en tant que Responsable du traitement, Module Deux pour Shoprocket en tant que Sous-traitant). Certaines clauses (par ex. l’adhésion de la clause 7) ne s’appliquent pas ; les litiges relèvent du droit et des tribunaux irlandais. - **Transferts hors Royaume-Uni** : Couverts par l’Addendum IDTA. - **Transferts depuis la Suisse** : Similaires aux CCT de l’UE, avec des modifications pour la LPD suisse. - **Mesures supplémentaires** : - Aucune demande formelle d’accès aux données par un gouvernement n’existe à la date du présent Addendum. - S’il est contraint de divulguer vos données, Shoprocket vous en informera (sauf interdiction) et vous aidera à obtenir des mesures de protection. - Shoprocket et vous examineront régulièrement si les lois du pays importateur offrent une protection équivalente ou exigent des mesures supplémentaires. - Si un mécanisme de transfert cesse d’être valide ou si une Autorité de contrôle le suspend, Shoprocket peut mettre en œuvre des dispositions alternatives ou suspendre les transferts. Lorsque vous approuvez un Sous-traitant ultérieur/Module complémentaire en dehors de l’EEE, vous autorisez également Shoprocket à signer des CCT en votre nom. --- ## Réclamations, demandes des personnes concernées et droits des tiers Shoprocket vous fournira rapidement toute information ou assistance dont vous avez besoin pour : 1. Donner suite aux droits des Personnes concernées (accès, rectification, effacement, portabilité, opposition, etc.). 2. Répondre ou donner suite aux avis d’information/d’évaluation des autorités de contrôle. Shoprocket vous informe immédiatement s’il reçoit des réclamations ou des communications concernant le traitement, et dans un délai de **14 jours** s’il reçoit une demande d’une Personne concernée. Shoprocket vous aide à y répondre et ne divulguera pas de Données personnelles à des tiers sauf si la loi ou vos instructions l’exigent. --- ## Durée et résiliation Le présent Addendum reste en vigueur aussi longtemps que l’Accord, ou tant que Shoprocket conserve des Données personnelles s’y rapportant. Les dispositions qui doivent survivre pour la protection des données restent en vigueur. Toute violation substantielle du présent DPA constitue une violation substantielle de l’Accord, vous autorisant à résilier immédiatement sans autre responsabilité. Si des évolutions de la Législation sur la protection des données empêchent une partie de remplir ses obligations, les parties peuvent suspendre le traitement jusqu’à ce que la conformité soit atteinte. Si le problème n’est pas résolu dans les **90 jours**, l’une ou l’autre partie peut résilier avec effet immédiat moyennant notification. --- ## Restitution et destruction des données - **Sur demande**, Shoprocket vous fournit (ou fournit à un tiers que vous désignez par écrit) des copies des Données personnelles ou un accès à celles-ci dans un format que vous précisez (lorsque cela est raisonnable). - **À la résiliation**, Shoprocket restitue ou supprime les Données personnelles, sauf si la poursuite du stockage est légalement requise. Si la suppression est impraticable ou illégale, Shoprocket bloque tout traitement ultérieur et continue de protéger les données. - **Certifications CCT** : Si des CCT s’appliquent, Shoprocket certifiera la suppression en vertu de la clause 8.1(d) des CCT de l’UE (ou des CCT du Royaume-Uni) sur votre demande écrite. - Si une loi/réglementation oblige Shoprocket à conserver certaines données, il vous en informera en précisant le fondement et le calendrier, puis supprimera les données lorsqu’elles ne seront plus requises. - Shoprocket certifie la suppression dans un délai de **30 jours** après l’avoir effectuée. --- ## Registres Shoprocket tient des registres détaillés, exacts et à jour de tous les traitements de Données personnelles (par ex. mesures de sécurité, sous-traitants ultérieurs, finalités du traitement, tout transfert international). Ces registres doivent vous permettre de vérifier la conformité de Shoprocket. Des copies sont fournies sur demande. --- ## Garanties Shoprocket garantit que : 1. Ses employés, sous-traitants ou agents ayant accès aux Données personnelles sont fiables, dignes de confiance et convenablement formés. 2. Il traitera les Données personnelles dans le plein respect de la Législation sur la protection des données et des lois connexes. 3. Il n’a aucune raison de croire que la loi l’empêche de fournir les Services convenus. 4. Compte tenu de la technologie et des coûts, il prendra des mesures appropriées pour prévenir tout traitement non autorisé ou tout dommage/perte accidentel, en assurant une sécurité proportionnée au risque et à la sensibilité des données. --- ## Exécution et modifications En signant l’Accord, vous acceptez le présent Addendum et êtes lié par celui-ci. Shoprocket peut mettre à jour le présent Addendum moyennant un **préavis écrit de 30 jours** si nécessaire pour des raisons légales ou réglementaires. Si vous vous y opposez et qu’aucune solution mutuelle n’est trouvée, vous pouvez résilier les Services concernés par notification écrite dans ce délai (en devant les frais encourus). Aucune autre réclamation ne découle d’une telle résiliation. ## Annexe A **Normes de sécurité de Shoprocket** (Les termes en majuscules non définis ici ont le sens qui leur est attribué dans l’Addendum.) La présente Annexe décrit les mesures techniques et organisationnelles de Shoprocket destinées à : 1. Protéger les Données personnelles contre la perte, l’accès ou la divulgation accidentels ou illicites ; 2. Identifier les risques prévisibles pour la sécurité et empêcher l’accès non autorisé aux Services (y compris à votre compte Shoprocket) ; 3. Réduire les risques de sécurité par l’évaluation des risques et les tests. Shoprocket désigne un ou plusieurs employés pour superviser ces pratiques de sécurité de l’information et répondre aux demandes qui s’y rapportent. --- ## 1. Modèle de responsabilité partagée Shoprocket est une application **cloud, SaaS** hébergée par : - **Amazon Web Services (AWS)** dans la région eu-west-1 (Irlande) - **Hetzner Online** à Falkenstein, Allemagne **AWS** fait fonctionner la plateforme principale de Shoprocket, l’infrastructure et l’hébergement des données. **Hetzner Online** fournit un espace serveur dédié supplémentaire pour les images, les téléchargements numériques, les journaux et les factures. Selon ce modèle : - **Shoprocket** gère la sécurité au niveau applicatif (par ex. accès des utilisateurs, correctifs applicatifs). - **AWS / Hetzner** gèrent la sécurité physique et l’environnement cloud sous-jacent. Pour plus de détails sur la sécurité d’AWS et de Hetzner, veuillez consulter leurs documentations respectives. --- ## 2. Serveurs AWS et Hetzner Online ### AWS Shoprocket a choisi AWS après un examen attentif au titre des articles 28(3)(c) et 32 du RGPD du Royaume-Uni. AWS est certifié selon de nombreuses normes (par ex. SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) et fournit une documentation de conformité détaillée. Shoprocket configure AWS pour ne stocker les Données personnelles que dans l’UE/EEE. ### Hetzner Online Hetzner Online, certifié DIN ISO/IEC 27001, fournit un espace serveur dédié pour certaines sauvegardes de données et journaux. Les centres de données de Hetzner Online à Nuremberg et Falkenstein sont audités et certifiés par des tiers, et mettent en œuvre un Système de management de la sécurité de l’information (SMSI). --- ## 3. Conception, intégrité et disponibilité de l’application Shoprocket - **Architecture** : Construite avec un framework JavaScript, l’application Shoprocket s’appuie sur le Relational Database Service d’Amazon (Amazon RDS) pour MySQL. - **Haute performance et redondance** : AWS gère automatiquement la répartition de charge, et Shoprocket conserve des sauvegardes quotidiennes sur Amazon S3. Les sauvegardes sont stockées dans différentes régions AWS pour la résilience. En outre, des sauvegardes sont stockées sur les serveurs dédiés de Hetzner Online (avec des systèmes de disques RAID-1). - **Sécurité dès la conception** : Shoprocket recherche régulièrement les vulnérabilités web connues (par ex. OWASP Top Ten) et met en œuvre une protection contre les XSS et la désinfection des entrées. Un spécialiste tiers teste chaque année le code et l’infrastructure à la recherche de vulnérabilités, en complément d’un service tiers d’analyse de vulnérabilités. --- ## 4. Chiffrement - **Au repos** : Les Données personnelles sur AWS/Hetzner sont chiffrées avec **AES-256** ou mieux. - **Gestion des clés** : AWS Key Management Service (KMS) garantit que personne (y compris le personnel d’AWS) ne peut accéder aux clés en clair ; les clés font l’objet d’une rotation annuelle. Hetzner met en œuvre un chiffrement intégral des disques AES-256 ainsi qu’une authentification obligatoire. - **En transit** : Tous les transferts de données externes utilisent **TLS 1.2+**. Les API et interfaces web exigent HTTPS (aucune connexion non chiffrée). --- ## 5. Restriction des emplacements de serveurs à l’EEE/UE Shoprocket stocke les données **exclusivement dans l’EEE** (AWS en Irlande, Hetzner en Allemagne), réduisant au minimum les risques liés aux transferts de données hors EEE (par ex. conformité avec la décision Schrems II). --- ## 6. Zones de disponibilité Les systèmes front-end/back-end de Shoprocket sont **répartis de manière redondante** sur plusieurs zones de disponibilité (AWS comme Hetzner). Chaque zone dispose de plusieurs fournisseurs d’accès, sources d’alimentation et liaisons à haut débit, garantissant une haute disponibilité et des performances optimales. --- ## 7. Détection d’intrusion Shoprocket utilise un **système de détection d’intrusion (IDS)** pour surveiller : - Les fichiers journaux à la recherche d’entrées inhabituelles, - Les modifications d’intégrité des fichiers, - Le trafic réseau (usurpation, exploits connus, rootkits), - Les changements de ports, et - Les événements du compte AWS (par ex. modifications de configuration). Les anomalies critiques déclenchent des mesures préventives automatiques. L’IDS soutient également les exigences de PCI DSS 3.0. --- ## 8. Journalisation / piste d’audit Shoprocket journalise : - Les événements système, - Les erreurs, - L’activité des utilisateurs, - Les connexions/requêtes à la base de données, - D’autres événements liés à la sécurité. Grâce à **AWS CloudTrail**, Shoprocket enregistre tous les événements de ses environnements cloud à des fins de transparence et d’analyse forensique. --- ## 9. Surveillance Shoprocket emploie plusieurs **outils de surveillance** pour garantir la disponibilité et les performances, en suivant : - **Disponibilité** : Accessibilité de l’application, santé du back-end/des systèmes ; - **Ressources** : CPU, interfaces réseau, utilisation du stockage ; - **Performance** : Temps de réponse de l’application/de la base de données ; - **Sécurité** : État de l’IDS, mises à jour système, journaux d’erreurs/d’accès. Le personnel de Shoprocket surveille également les mises à jour de sécurité, les rapports de vulnérabilités et les blogs de sécurité pertinents (comme OWASP). --- ## 10. Audits de sécurité et tests d’intrusion Shoprocket réalise périodiquement des **tests de sécurité internes et externes**. Des prestataires externes recherchent les vulnérabilités, tandis que des audits internes évaluent l’efficacité des mesures techniques et organisationnelles. --- ## 11. Gestion des changements Shoprocket maintient des **dépôts** de code sous gestion de versions, avec un environnement de préproduction qui reproduit la production. Les changements sont testés avant le déploiement, ce qui garantit la traçabilité du moment et du contenu. --- ## 12. Contrôle d’accès - **Principe du besoin d’en connaître** : Seuls les employés dont le rôle l’exige reçoivent un accès aux systèmes. - **Systèmes IAM** : Le contrôle d’accès utilise la gestion des identités d’AWS/Hetzner. - **Sécurité** : Les systèmes back-end ne sont accessibles que par des connexions sécurisées et authentifiées. Un nombre très limité de personnes a un accès direct aux données à des fins de diagnostic ; cet accès est journalisé et surveillé. ## Annexe B **Transferts transfrontaliers** ## PARTIE 1 - Transferts hors EEE 1. **Annexe I.A des Clauses contractuelles types (CCT)** - **Exportateur de données** : Vous (selon l’Accord). - Coordonnées : Comme dans l’Accord. - Rôle : Responsable du traitement. - **Module Un** : L’Importateur de données est un Responsable du traitement (pour les Données de compte du client et les Données d’utilisation du client). - **Module Deux** : L’Importateur de données est un Sous-traitant (pour toutes les autres Données personnelles). - Signature/Date : En concluant l’Accord et le DPA, l’Exportateur de données est réputé avoir signé les CCT à la Date d’effet. - **Importateur de données** : Shoprocket. - Coordonnées : Comme dans l’Accord. - Signature/Date : En concluant l’Accord et le DPA, l’Importateur de données est réputé avoir signé les CCT à la Date d’effet. 2. **Annexe I.B des CCT** - Personnes concernées : Décrites à la clause 4.6 de l’Addendum. - Catégories de Données personnelles : Décrites à la clause 4.5 de l’Addendum. - Aucune Donnée de catégories particulières n’est destinée à être transférée. - Fréquence : En continu pendant la durée de l’Accord. - Nature : Voir la clause 4.4 de l’Addendum. - Finalité : Voir la clause 4.3 de l’Addendum. - Conservation : Durée de l’Accord, sauf indication contraire. - Transferts à des sous-traitants ultérieurs : Objet, nature et durée selon la clause 9 de l’Addendum. 3. **Annexe I.C des CCT** - Autorité de contrôle compétente : Comme à la clause 10(e) de l’Addendum. - Les **Normes de sécurité de Shoprocket (Annexe A)** satisfont aux exigences de l’Annexe II des CCT. 4. **Conflit** - En cas de conflit entre les CCT et le DPA ou l’Accord, les CCT prévalent. --- ## PARTIE 2 - Transferts hors Royaume-Uni 1. L’**Addendum IDTA** s’applique aux Transferts hors Royaume-Uni, avec effet au **21 mars 2022**. 2. Les termes non définis dans l’Accord ou le DPA ont le sens donné à la **Partie 2 de l’Annexe 2** (Clauses obligatoires). ### Partie 1 : Tableaux ### Tableau 1 de l’Addendum IDTA 1. **Tableau 1** - **Exportateur de données** : Vous (selon l’Accord). - Coordonnées : Comme dans l’Accord. - Signature/Date : En concluant l’Accord et l’Addendum, l’Exportateur est réputé avoir signé l’Addendum IDTA à la Date d’effet. - **Importateur de données** : Shoprocket. - Coordonnées : Comme dans l’Accord. - Signature/Date : En concluant l’Accord et le DPA, l’Importateur est réputé avoir signé l’Addendum IDTA à la Date d’effet. ### Tableau 2 de l’Addendum IDTA 1. **Tableau 2** - **CCT de l’UE approuvées** : Les clauses/modules des CCT de l’UE approuvées en vigueur pour le présent Addendum. - Modules/clauses utilisés : - Module 1 et Module 2, la Clause 7 et la Clause 11 (option) ne s’appliquent pas, la Clause 9a est une Autorisation générale avec un préavis de 30 jours (clause 9.2 de l’Addendum). - Aucune combinaison de Données personnelles de l’Importateur avec les données de l’Exportateur. ### Tableau 3 de l’Addendum IDTA 1. **Annexe I.A** - **Exportateur de données** : Vous (responsable du traitement). - **Importateur de données** : Shoprocket (responsable du traitement pour les Données de compte/d’utilisation du client ; sous-traitant pour les autres Données personnelles). - Signature/Date : Réputée signée à la conclusion de l’Accord et du DPA. 2. **Annexe I.B** - Les personnes concernées, catégories de données, l’absence de Données de catégories particulières, les transferts continus, la nature/finalité du traitement et la conservation correspondent aux clauses 4.4, 4.3, 4.5, 4.6 de l’Addendum. - Informations sur les sous-traitants ultérieurs selon la clause 9 de l’Addendum. - L’Annexe III (liste des Sous-traitants ultérieurs) ne s’applique pas, car Shoprocket utilise une autorisation générale. ### Tableau 4 de l’Addendum IDTA 1. L’Importateur peut mettre fin au présent Addendum IDTA en vertu de la clause 26 du présent Addendum IDTA. ### Partie 2 : Clauses obligatoires 1. Chaque Partie est liée par les présentes conditions de l’Addendum IDTA en contrepartie de l’accord de l’autre Partie, permettant aux personnes concernées de faire valoir leurs droits comme indiqué. 2. La conclusion du présent Addendum IDTA équivaut à la signature des CCT de l’UE approuvées (y compris toute signature requise selon l’Annexe 1A/Clause 7). ### Interprétation 1. Les termes des CCT de l’UE approuvées conservent ici le même sens ; d’autres termes pertinents (par ex. << CCT de l’UE de l’Addendum >>, << Addendum approuvé >>, << Lois britanniques sur la protection des données >>) sont définis dans le présent Addendum IDTA. 2. Le présent Addendum IDTA doit être interprété conformément aux Lois britanniques sur la protection des données et doit satisfaire aux << Garanties appropriées >>. 3. Toute modification des CCT de l’UE approuvées non permise par celles-ci ou par l’Addendum approuvé est nulle. Les dispositions contradictoires reviennent aux termes non modifiés des CCT. 4. En cas de conflit avec les Lois britanniques sur la protection des données, ces dernières s’appliquent. 5. Toute ambiguïté est résolue de la manière la plus conforme aux Lois britanniques sur la protection des données. 6. Les références à la législation incluent toute version révisée ou consolidée. ### Hiérarchie 1. La Clause 5 des CCT de l’UE approuvées prévoit qu’elles prévalent sur les autres accords, mais pour les Transferts restreints, la hiérarchie de la Section 17 ci-dessous s’applique. 2. En cas d’incohérence ou de conflit avec les CCT de l’UE approuvées, l’Addendum approuvé prévaut, sauf lorsque les CCT offrent une **protection supérieure** aux personnes concernées, auquel cas les termes des CCT prévalent. 3. Rien ici n’affecte les CCT que les parties utilisent pour la conformité au RGPD de l’UE. ### Incorporation et modifications des CCT de l’UE 1. L’Addendum IDTA incorpore les CCT de l’UE approuvées avec les modifications nécessaires pour qu’elles fonctionnent pour les transferts liés au Royaume-Uni, écarte la hiérarchie de la Clause 5 et garantit qu’elles sont régies par le **droit et les tribunaux anglais** (sauf choix contraire pour l’Écosse ou l’Irlande du Nord). 2. Si aucune alternative précise n’est convenue, la Section 22 s’applique. 3. Aucune autre modification des CCT de l’UE approuvées n’est autorisée au-delà de ce qui est nécessaire à la Section 19. 4. Les **Modifications** des CCT de l’UE de l’Addendum comprennent des précisions sur les références aux Lois britanniques sur la protection des données, le remplacement des références au Règlement (UE) 2016/679 par << Lois britanniques sur la protection des données >>, la suppression des références au Règlement (UE) 2018/1725, l’adaptation des Clauses 17/18 au droit et aux tribunaux anglais, etc. Les notes de bas de page ne font pas partie de l’IDTA, sauf les notes de bas de page 8, 9, 10, 11. ### Modifications du présent IDTA 1. Les Parties peuvent modifier les Clauses 17 ou 18 pour désigner les tribunaux écossais ou nord-irlandais. 2. Les Parties peuvent également ajuster la mise en forme des Tableaux par accord écrit mutuel, en veillant à ce que le même niveau de protection demeure. 3. L’ICO peut publier de temps à autre un Addendum approuvé révisé, qui modifie automatiquement le présent Addendum IDTA à compter de sa date d’effet, ce qui peut nécessiter un examen par les parties. 4. Si les modifications de l’ICO augmentent de manière substantielle et disproportionnée les coûts ou les risques d’une partie, et qu’aucune réduction de ces coûts/risques n’est réalisable, cette partie peut mettre fin au présent IDTA moyennant un préavis raisonnable à l’autre avant l’entrée en vigueur de l’Addendum révisé. 5. Le consentement d’aucun tiers n’est requis pour les modifications, mais celles-ci doivent respecter les termes du présent Addendum IDTA. --- - HTML version: https://v3.shoprocket.io/fr/rgpd - Language: Français (fr) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)