Accord de traitement des données

Le présent accord de traitement des données (« DPA ») est conclu en application de l'article 28 du RGPD entre chaque commerçant utilisant le service RushPilot (le « Responsable de traitement ») et Louchebem Software (le « Sous-traitant »). Il fait partie intégrante des conditions générales et s'applique dès l'ouverture du compte, y compris pendant la période d'essai.

1. Objet, nature et durée du traitement

• Objet : fourniture du service RushPilot (prise de commande, préparation, boutique en ligne, relation client, registres d'hygiène, statistiques).
• Nature des opérations : collecte, enregistrement, conservation, consultation, structuration, export, effacement.
• Durée : celle du contrat de service, prolongée du seul délai de réversibilité et de suppression (article 8).

2. Données et personnes concernées

• Clients finaux du Responsable : identité, coordonnées (email, téléphone), identifiants de compte, contenu et historique des commandes, créneaux de retrait, préférences, indicateurs de relation client.
• Personnel du Responsable : identité, email professionnel, rôle, identifiants de connexion, rattachement aux enregistrements opérationnels (commandes préparées, contrôles d'hygiène réalisés).

Aucune donnée dite « sensible » (article 9 du RGPD) n'est requise par le service ; le Responsable s'engage à ne pas en saisir dans les champs libres.

3. Instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable, matérialisée par la configuration et l'utilisation du service, et pour aucune autre finalité. Il ne les réutilise pas pour son propre compte, ne les cède pas et ne les vend pas. S'il estime qu'une instruction viole la réglementation, il en informe le Responsable sans délai.

4. Confidentialité et personnel

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. L'accès est limité au strict nécessaire (principe du moindre privilège) ; il n'existe pas d'accès permanent aux données de production à des fins de développement.

5. Sécurité (article 32)

• Chiffrement des échanges (TLS) et des données au repos ;
• Isolation stricte des données de chaque commerçant, appliquée au niveau de la base de données (Row-Level Security) et testée automatiquement ;
• Base de données accessible uniquement par réseau privé, sans exposition publique ;
• Authentification à jetons de courte durée avec rotation, mots de passe hachés ;
• Sauvegardes quotidiennes chiffrées, répliquées hors du site principal, restauration testée ;
• Journalisation des événements sensibles et supervision continue avec alerte ;
• Durcissement de l'infrastructure : administration par réseau privé uniquement, secrets hors du code.

6. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs suivants, chacun lié par des obligations équivalentes au présent DPA :

• Scaleway SAS (8 rue de la Ville l'Évêque, 75008 Paris, France) — hébergement, bases de données, stockage et sauvegardes. Données en France, aucun transfert hors UE.
• Brevo (société française) — envoi des emails transactionnels (confirmations de commande, notifications) pour le compte du Responsable.
• Stripe — encaissement, dès l'activation du paiement en ligne ; le Sous-traitant ne stocke aucune donnée de carte.
• Anthropic et Google (États-Unis, certifiés Data Privacy Framework) — génération de contenus par IA, exclusivement sur des contenus non nominatifs : aucune donnée personnelle de client final ne leur est transmise (article 7).

Tout ajout ou remplacement est notifié au Responsable au moins 30 jours avant sa prise d'effet ; le Responsable peut s'y opposer pour motif légitime, l'impossibilité d'aboutir à une solution ouvrant droit à résiliation sans frais.

7. Transferts hors Union européenne

Engagement de principe : les données personnelles traitées pour le compte du Responsable ne quittent pas l'Union européenne. L'hébergement, les bases de données, les sauvegardes et l'envoi d'emails sont opérés depuis la France ou l'UE. Les seuls flux vers des prestataires établis hors UE (génération IA, article 6) sont dépourvus de données nominatives par construction : les noms, emails, téléphones et adresses n'entrent jamais dans ces flux.

8. Assistance, droits des personnes et fin de contrat

Le Sous-traitant assiste le Responsable pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition, limitation) : le back-office permet de rectifier, exporter dans un format structuré et supprimer réellement les données d'un client final. Les demandes reçues directement par le Sous-traitant sont transmises au Responsable sans délai.

En fin de contrat, le Responsable dispose de 90 jours pour exporter ses données ; à l'issue, l'ensemble des données du Responsable (base de données, fichiers, journaux applicatifs) est définitivement supprimé, les copies de sauvegarde expirant au plus tard 60 jours après cette suppression.

9. Violations de données

Le Sous-traitant notifie au Responsable toute violation de données personnelles sans délai injustifié et au plus tard 48 heures après en avoir eu connaissance, avec les éléments nécessaires à la notification CNIL éventuelle (nature, catégories et volumes concernés, conséquences probables, mesures prises). Un registre interne des incidents est tenu, y compris pour les événements non notifiables.

10. Audit et documentation

Le Sous-traitant met à disposition du Responsable la documentation nécessaire pour démontrer le respect du présent DPA (le présent document, la politique de confidentialité, la liste des sous-traitants ultérieurs et la description des mesures de sécurité). Le Responsable peut, une fois par an et moyennant un préavis de 30 jours, mener ou faire mener un audit, à ses frais, sans accès aux données des autres commerçants.

11. Contact

Toute question ou notification au titre du présent DPA : bonjour@rushpilot.fr.