Accord de sous-traitance des données (DPA)

Le présent Accord de sous-traitance des données (l'"Accord") est conclu entre le Marchand qui utilise le service bepleez (le "Responsable de traitement") et bepleez SASU, immatriculée au RCS de Paris sous le numéro 130 785 983, dont le siège social est situé 4, square Emmanuel Chabrier, 75017 Paris ("bepleez" ou le "Sous-traitant"). Il fait partie intégrante des Conditions Générales d'Utilisation et est accepté par le Marchand lors de son inscription. Il met en œuvre l'article 28 du Règlement (UE) 2016/679 (le "RGPD").

1. Objet et périmètre

Le présent Accord encadre les traitements de données personnelles que bepleez effectue pour le compte du Marchand afin d'exécuter le Service : générer, présenter et exécuter des offres de négociation aux acheteurs de la boutique du Marchand (section 3.1 de la Politique de confidentialité).

Il ne s'applique pas aux traitements pour lesquels bepleez agit en tant que responsable de traitement, en particulier l'amélioration de son modèle de négociation à partir de données agrégées et anonymisées (section 3.2 de la Politique de confidentialité), ni à la gestion du compte et de la relation commerciale avec le Marchand.

2. Description du traitement

Nature et finalité : analyse des messages et du contexte de négociation, génération d'offres personnalisées dans les limites configurées par le Marchand, présentation des offres dans le widget, génération du coupon et du Deal Token à l'acceptation, suivi de la conversion.
Catégories de personnes concernées : acheteurs et visiteurs de la boutique du Marchand qui interagissent avec le widget de négociation.
Catégories de données : messages échangés pendant la négociation, offres faites et acceptées, intention déclarée, identifiants techniques (session, adresse IP, navigateur) et, uniquement si le Marchand les transmet, données client (email, historique d'achat, statut de fidélité) et données de commande liées à la conversion.
Données sensibles : aucune. Le Service n'est pas conçu pour traiter des catégories particulières de données (article 9 du RGPD), et le Marchand s'engage à ne pas en transmettre.
Durée : la durée d'utilisation du Service par le Marchand, puis la période de restitution et de suppression prévue à l'article 9.

3. Instructions du Marchand

bepleez traite les données personnelles uniquement sur instruction documentée du Marchand. Les présentes CGU, cet Accord et la configuration du Service par le Marchand (stratégies de négociation, garde-fous de marge, agents activés, données transmises) constituent ces instructions. Si bepleez estime qu'une instruction enfreint le RGPD ou une autre disposition applicable en matière de protection des données, il en informe immédiatement le Marchand.

4. Confidentialité

bepleez veille à ce que les personnes autorisées à traiter les données personnelles s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée.

5. Sécurité

bepleez met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites sur notre page Sécurité : chiffrement en transit et au repos, contrôle d'accès basé sur les rôles, signature cryptographique des Deal Tokens, traces d'audit sur les événements de négociation et d'acceptation, supervision continue des systèmes de production.

6. Sous-traitants ultérieurs

Le Marchand autorise de façon générale bepleez à recourir à des sous-traitants ultérieurs pour exécuter le Service. La liste à jour figure dans la section 5 de la Politique de confidentialité.

bepleez informe le Marchand, par email ou via le tableau de bord, de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours avant son entrée en vigueur. Le Marchand peut s'y opposer pour un motif raisonnable lié à la protection des données pendant ce délai ; à défaut d'accord, il peut résilier le Service sans pénalité.

bepleez impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent Accord, et demeure responsable envers le Marchand de leur exécution.

7. Transferts hors de l'Union européenne

Certains sous-traitants ultérieurs (notamment les fournisseurs de modèles d'IA et d'hébergement) peuvent traiter des données en dehors de l'Espace économique européen. Chaque transfert est encadré par une décision d'adéquation (y compris le EU-U.S. Data Privacy Framework lorsque le prestataire y est certifié) ou par les Clauses Contractuelles Types adoptées par la Commission européenne.

8. Assistance au Marchand

Compte tenu de la nature du traitement, bepleez aide le Marchand, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible :

à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition, limitation, portabilité). Toute demande reçue directement par bepleez et concernant une négociation sur la boutique du Marchand lui est transmise sans délai ;
à respecter ses obligations de sécurité, de notification des violations de données, et de réalisation d'analyses d'impact et de consultation préalable (articles 32 à 36 du RGPD).

Violation de données : bepleez notifie au Marchand toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles pour permettre au Marchand de remplir ses propres obligations de notification.

9. Fin du traitement

À la fin du Service, bepleez supprime les données personnelles traitées pour le compte du Marchand dans un délai de 30 jours, sauf si le Marchand demande leur restitution dans ce même délai, et sous réserve de toute obligation légale de conservation. Les données déjà agrégées et anonymisées ne constituent plus des données personnelles et ne sont pas concernées.

10. Audit

bepleez met à la disposition du Marchand, sur demande écrite adressée à privacy@bepleez.com, les informations nécessaires pour démontrer le respect du présent Accord. Le Marchand peut réaliser ou faire réaliser un audit, par un auditeur indépendant tenu au secret, au plus une fois par an et moyennant un préavis de 30 jours, sauf violation de données avérée. Les frais de l'audit sont à la charge du Marchand.

11. Obligations du Marchand

Le Marchand, en tant que responsable de traitement, s'engage à disposer d'une base légale pour les traitements qu'il confie à bepleez, à informer les acheteurs de sa boutique de ces traitements (notamment dans sa propre politique de confidentialité), et à ne transmettre à bepleez que les données nécessaires au Service.

12. Dispositions générales

Le présent Accord reste en vigueur tant que bepleez traite des données personnelles pour le compte du Marchand. En cas de contradiction entre cet Accord et les CGU sur un point relatif à la protection des données, le présent Accord prévaut. Il est soumis au droit français, et tout litige relève de la juridiction prévue aux CGU.

Contact : privacy@bepleez.com