Accord de traitement des données

1Objet et parties

Cet accord lie la boutique qui utilise l’application Elma (la « Boutique ») et MSTL LLC, société à responsabilité limitée du Delaware exerçant sous le nom Elma ia (« Elma »). Il encadre les données personnelles qu’Elma traite pour le compte de la Boutique, comme sous-traitant au sens de l’article 28 du règlement général sur la protection des données (RGPD) : les emails de ses clients, les conversations du chat de son site, ses messages privés sur Instagram, Messenger et WhatsApp, et ce qu’Elma lit à sa demande dans sa boutique en ligne et ses outils.

Il fait partie des conditions d’utilisation : la Boutique l’accepte avec elles, en créant son compte ou en continuant d’utiliser Elma, sans autre signature. Pour la protection des données personnelles, il prévaut sur elles. Une Boutique qui veut un exemplaire signé l’écrit à info@elmai.io.

Les données dont Elma est elle-même responsable (le compte de la Boutique, les personnes qui l’utilisent, le paiement) relèvent de la politique de confidentialité. Cet accord est publié en français et en anglais ; en cas de divergence, la version anglaise fait foi.

2Le traitement

La durée de conservation de chaque donnée est dans la politique de confidentialité.

3Les instructions de la Boutique

• Elma ne traite ces données que sur les instructions documentées de la Boutique : les conditions d’utilisation, cet accord, et les réglages qu’elle choisit dans l’application (les boîtes et les comptes qu’elle relie, sa fiche, ses consignes, les sujets en envoi automatique, le chat de son site). Changer un réglage, c’est donner une nouvelle instruction.
• Elma n’en fait aucun autre usage, sauf si la loi l’y oblige ; elle en prévient alors la Boutique avant de le faire, si la loi ne l’interdit pas.
• Si une instruction lui paraît contraire au RGPD, Elma en informe la Boutique tout de suite.
• La Boutique garantit qu’elle dispose d’une base légale pour ces données, et qu’elle informe ses clients, dans sa propre politique de confidentialité, que leurs messages sont traités par un prestataire.

4Confidentialité

Les personnes d’Elma autorisées à accéder à ces données sont tenues au secret. Personne chez Elma ne lit les messages de la Boutique, sauf : à sa demande expresse, pour l’aider, et seulement les messages qu’elle désigne ; quand c’est nécessaire à la sécurité du service (enquêter sur un abus ou un incident) ; ou pour respecter la loi.

5Sécurité

Elma met en œuvre les mesures que demande l’article 32 du RGPD, notamment :

• les échanges sont chiffrés (HTTPS), et chaque boutique est isolée des autres dans la base par des règles appliquées à chaque ligne ;
• les accès aux boîtes et aux comptes reliés, les mots de passe et les clés sont chiffrés en AES-256-GCM, avec une clé propre à chaque boutique, elle-même chiffrée par une clé maîtresse gardée hors de la base ; ils ne s’affichent jamais ;
• l’agent ne peut rien exécuter de lui-même : il propose une réponse, et la passerelle d’actions refuse tout ce que les réglages de la Boutique n’autorisent pas ;
• les modèles de langue ne sont appelés que chez des hébergeurs sans rétention, qui ne gardent pas les textes et n’entraînent rien avec ;
• les personnes de la Boutique se connectent par un lien à usage unique, avec Google ou avec un mot de passe, et peuvent ajouter un second facteur ; une session dure 30 jours au plus, et Elma ne garde de l’adresse IP qu’une empreinte ;
• les données s’effacent d’elles-mêmes, chaque jour, au terme des durées de la politique de confidentialité ;
• un journal d’audit scellé garde la trace des actions sensibles, effacements compris.

Elma revoit ces mesures quand le service change, et la politique de confidentialité les décrit à jour.

6Sous-traitants ultérieurs

La Boutique autorise Elma à faire appel aux sous-traitants ultérieurs ci-dessous. Elma leur impose par contrat des obligations de protection des données équivalentes à celles de cet accord, et reste responsable envers la Boutique de leur respect.

Les services de la Boutique elle-même, qu’Elma interroge sur ses instructions (l’hébergeur de sa messagerie, sa boutique en ligne, son outil d’emailing, Meta pour Instagram, Messenger et WhatsApp), ne sont pas des sous-traitants d’Elma : la Boutique les a choisis, et leurs propres conditions s’appliquent à elle.

Avant d’ajouter ou de remplacer un sous-traitant ultérieur, Elma prévient la Boutique au moins 30 jours à l’avance, par email au titulaire du compte et sur cette page. La Boutique peut s’y opposer pour un motif lié à la protection des données, en écrivant à info@elmai.io ; si aucune solution n’est trouvée, elle peut mettre fin à son forfait avant le changement, sans frais.

7Les demandes des personnes

• « Données d’une personne » (Réglages → Connexions, réservé au propriétaire du compte) : la Boutique y retrouve ce qu’Elma garde d’une personne, à partir de son adresse email, de son numéro de téléphone, ou de son pseudo ou de son nom sur Instagram, Messenger ou WhatsApp ; elle le télécharge en un fichier, pour une demande d’accès ou de portabilité, et l’efface, pour une demande d’effacement. Chaque export et chaque effacement est inscrit au journal d’audit, sans l’adresse ni le nom. Elma n’efface rien dans la boîte mail, la boutique en ligne ou les comptes Meta de la Boutique : elle y supprime elle-même ce qui doit l’être.
• Pour une Boutique Shopify, une demande d’effacement d’une cliente que Shopify transmet à Elma est exécutée de la même façon, toute seule ; une demande d’accès que Shopify transmet est traitée sous 30 jours.
• Une demande qu’une personne adresse directement à Elma est transmise à la Boutique sans délai ; Elma n’y répond pas elle-même, sauf sur instruction de la Boutique.
• Pour une rectification, une limitation ou une opposition, Elma aide la Boutique, qui lui écrit à info@elmai.io.

8Violations de données

Si Elma constate une violation de données personnelles touchant les données de la Boutique (perte, divulgation ou accès non autorisé), elle prévient la Boutique sans délai injustifié, et au plus tard 48 heures après en avoir pris connaissance, par email au titulaire du compte. Elle lui donne ce qu’elle sait : la nature de la violation, les catégories et le nombre approximatif de personnes et de données touchées, ses conséquences probables, les mesures prises ou proposées, et la personne à contacter ; ce qui n’est pas encore connu suit dès qu’il l’est.

Elma prend tout de suite les mesures pour y mettre fin et en limiter les effets, et aide la Boutique à notifier l’autorité de contrôle dans les 72 heures et, si nécessaire, à informer les personnes concernées.

9Aide à la conformité et audits

• Elma aide la Boutique, avec ce qu’elle sait du traitement, pour ses analyses d’impact et, s’il le faut, pour la consultation préalable de l’autorité de contrôle.
• Elma met à sa disposition les informations nécessaires pour démontrer le respect de cet accord : cette page, la politique de confidentialité et, si la Boutique les demande, la description à jour des mesures de sécurité et des garanties de chaque sous-traitant ultérieur.
• Si ces informations ne suffisent pas, la Boutique peut faire réaliser un audit, une fois par an, par un auditeur indépendant tenu au secret, en prévenant Elma 30 jours à l’avance. L’audit se fait à ses frais, pendant les heures ouvrées, sans gêner le service ni donner accès aux données des autres boutiques. Une autorité de contrôle peut toujours auditer Elma, sans ces limites.

10Transferts hors de l’Union européenne

MSTL LLC est établie aux États-Unis, où les données sont traitées. Pour une Boutique établie dans l’Espace économique européen, ou dont le traitement relève du RGPD, les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914 du 4 juin 2021), module 2 (de responsable à sous-traitant), font partie de cet accord, la Boutique étant l’exportateur des données et Elma leur importateur, avec ces choix :

• clause 7 (adhésion) : elle ne s’applique pas ;
• clause 9 (sous-traitants ultérieurs) : l’option 2, une autorisation générale, avec le préavis de 30 jours de la section « Sous-traitants ultérieurs » ;
• clause 11 (recours) : l’option d’un organe indépendant ne s’applique pas ;
• clause 13 (contrôle) : l’autorité de contrôle compétente pour la Boutique ;
• clause 17 (droit applicable) : le droit de l’État membre où la Boutique est établie ou, s’il ne reconnaît pas les droits des tiers bénéficiaires, le droit irlandais ;
• clause 18 (juridiction) : les tribunaux de l’État membre où la Boutique est établie ;
• annexes : la section « Le traitement » tient lieu d’annexe I, la section « Sécurité » d’annexe II, et la liste des sous-traitants ultérieurs d’annexe III.

Pour les données soumises au droit du Royaume-Uni, ces clauses s’appliquent avec l’addendum international de transfert de données du commissaire à l’information (ICO) ; pour la Suisse, avec les adaptations que demande le préposé fédéral à la protection des données et à la transparence, la loi fédérale sur la protection des données remplaçant le RGPD là où il est cité. En cas de contradiction entre cet accord et ces clauses, les clauses prévalent.

Elma encadre de même chaque transfert vers un sous-traitant ultérieur hors de l’Union : par les clauses contractuelles types (module 3, de sous-traitant à sous-traitant) ou, pour un prestataire qui y adhère, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).

11Fin du service

• Un forfait résilié met l’agent en pause sans fermer le compte : les données restent, pour que la Boutique puisse reprendre.
• « Tout débrancher » (Réglages → Connexions) ferme le compte et efface tout de suite les données traitées pour la Boutique, comme le dit la politique de confidentialité. Une fermeture demandée par email, à info@elmai.io, est faite sous 30 jours. Elma ne garde ensuite que ce que la loi l’oblige à garder.
• Avant de fermer son compte, la Boutique récupère les données d’une personne par « Données d’une personne » ; ses emails restent dans sa propre boîte. Pour une copie complète, elle l’écrit à info@elmai.io avant la fermeture, et Elma la lui remet dans un fichier lisible (JSON).

12Responsabilité et modifications

La responsabilité de chaque partie suit les conditions d’utilisation, sauf ce que le RGPD et les clauses contractuelles types imposent. Elma annonce toute modification de cet accord au moins 30 jours avant qu’elle s’applique, par email au titulaire du compte et sur cette page ; une modification ne peut pas réduire la protection que cet accord et ces clauses donnent aux données.

13Contact

Pour cet accord, une demande, une violation de données ou un audit : info@elmai.io, ou MSTL LLC, 8 The Green, Suite A, Dover, Delaware 19901, États-Unis.