Accord de traitement des données

Le présent accord est conclu entre PayHaze LLC, exploitant PayHaze, établi 8 The Green, Dover, DE 19901, ci-après « PayHaze », et le marchand identifié dans la commande ou l’espace concerné, ci-après « le marchand ».

Il encadre les traitements de données personnelles que PayHaze réalise pour le compte du marchand afin de fournir les fonctions souscrites. Il complète les conditions commerciales et constitue l’accord prévu à l’article 28 du Règlement général sur la protection des données, lorsque celui-ci s’applique. Il prévaut sur une clause générale incompatible pour ce périmètre.

Le marchand agit normalement en qualité de responsable du traitement. S’il agit lui-même pour le compte d’un autre responsable du traitement, il confirme être autorisé à désigner PayHaze comme sous-traitant ultérieur et à lui transmettre les instructions pertinentes. Le présent accord s’applique alors à cette chaîne de sous-traitance dans la mesure correspondante.

La gestion par PayHaze de ses propres comptes utilisateurs, de sa facturation et de ses obligations propres est décrite dans sa politique de confidentialité. Elle n’est pas requalifiée en sous-traitance du marchand par le seul présent accord.

Le traitement est limité aux fonctions activées et aux données utiles. Une intégration future nécessitant de nouvelles catégories de données ne fait pas partie du présent périmètre tant que sa description et ses instructions n’ont pas été mises à jour.

Le marchand détermine les finalités, les bases juridiques et les durées nécessaires aux traitements qu’il confie. Il informe les personnes concernées, recueille les autorisations requises, contrôle la pertinence et l’exactitude des données et veille à disposer des droits nécessaires pour les transmettre.

Les instructions documentées résultent du contrat, du présent accord, des réglages de l’espace, des demandes autorisées envoyées au service et des instructions complémentaires écrites acceptées dans son périmètre. Elles portent aussi sur les transmissions aux prestataires et les éventuels transferts internationaux.

Le marchand ne peut pas demander à PayHaze de contourner une règle de sécurité, une restriction légale ou une obligation d’un prestataire. Si une instruction dépasse le périmètre disponible, les parties définissent les adaptations nécessaires avant son exécution.

PayHaze traite les données confiées uniquement sur instruction documentée du marchand, sauf lorsqu’une loi directement applicable lui impose un autre traitement. Dans ce cas, il informe le marchand avant d’agir, sauf interdiction légale.

S’il estime qu’une instruction enfreint les règles applicables à la protection des données, PayHaze en informe immédiatement le marchand et suspend l’instruction concernée dans la mesure nécessaire pour clarifier sa licéité.

PayHaze limite l’accès aux personnes habilitées qui en ont besoin. Celles-ci sont tenues à une obligation de confidentialité appropriée. Les données confiées ne sont pas utilisées pour constituer une base commerciale indépendante, cibler les acheteurs pour le compte de PayHaze ou être revendues.

PayHaze met en œuvre des mesures techniques et organisationnelles adaptées à la nature, au contexte et aux risques des traitements confiés. Leur description figure en annexe 1.

Ces mesures prennent en compte la confidentialité, l’intégrité, la disponibilité et la capacité de reprise. Elles évoluent avec les risques et le service. Une évolution ne doit pas réduire substantiellement la protection des données confiées sans mesure compensatoire adéquate et information pertinente du marchand.

Le marchand protège ses propres systèmes, ses utilisateurs et les accès qu’il fournit. Cette répartition ne libère pas PayHaze de ses propres obligations de sécurité.

Le marchand autorise les sous-traitants ultérieurs identifiés pour ce périmètre dans l’annexe 2. Cette autorisation ne couvre pas automatiquement tous les prestataires de paiement connectables ni tout fournisseur figurant dans la présentation générale du service.

PayHaze informe le marchand d’un ajout ou remplacement au moins 30 jours calendaires avant de confier les données au nouveau fournisseur, en précisant sa mission, les catégories concernées et les lieux de traitement. Le marchand peut formuler une objection motivée par la protection de ses données pendant ce délai.

Les parties recherchent une solution permettant de maintenir le service avec une protection appropriée. Si aucune solution raisonnable n’est possible, le marchand peut mettre fin à la partie concernée du service avant la mise en œuvre, avec restitution des sommes payées d’avance pour la période qui ne sera pas fournie.

PayHaze impose par écrit à chaque sous-traitant ultérieur les obligations pertinentes du présent accord et reste responsable envers le marchand de l’exécution de ces obligations par ce sous-traitant.

Un prestataire auquel le marchand transmet lui-même ses données au titre de son propre contrat n’est pas, de ce seul fait, un sous-traitant ultérieur choisi par PayHaze. Les rôles sont déterminés pour chaque traitement effectif.

Les lieux de traitement et d’accès sont précisés en annexe 2. PayHaze ne réalise un transfert hors de l’Espace économique européen soumis au RGPD que sur instruction documentée et avec les garanties légalement requises.

Selon les parties et le pays concernés, ces garanties peuvent comprendre une décision d’adéquation ou les clauses contractuelles types pertinentes, complétées par l’analyse et les mesures nécessaires. Leur signature et leurs annexes ne sont pas remplacées par le présent accord ni par un simple lien vers un modèle.

Toute évolution matérielle des lieux ou garanties est portée à la connaissance du marchand avant sa mise en œuvre, selon la procédure de changement des sous-traitants lorsqu’elle s’applique. PayHaze informe le marchand d’une demande d’accès d’une autorité étrangère lorsqu’il peut légalement le faire et examine les voies permettant d’en limiter le périmètre.

PayHaze aide le marchand à retrouver, exporter, corriger, limiter ou supprimer les données concernées selon les fonctions disponibles et les obligations applicables.

Une demande reçue directement par PayHaze pour des données du marchand lui est transmise sans délai injustifié. PayHaze ne statue pas seul sur le fond, sauf instruction ou obligation légale contraire. Le marchand reste responsable de la réponse et des délais qui lui incombent.

Les contraintes d’intégrité d’un historique ou les limites d’une blockchain publique doivent être examinées concrètement ; elles ne justifient pas une exclusion générale des droits. Les mesures d’effacement, d’anonymisation, de dissociation ou de restriction disponibles sont décrites au marchand pour le cas concerné.

PayHaze informe le marchand sans délai injustifié après avoir pris connaissance d’une violation des données qui lui sont confiées. Il n’attend pas la fin de son investigation pour adresser une première notification utile.

La notification contient, dans la mesure où ils sont connus, la nature des faits, les données et personnes concernées, les conséquences probables, les mesures prises ou envisagées et un contact de suivi. Les éléments manquants sont transmis progressivement.

PayHaze prend les mesures relevant de son périmètre pour limiter l’incident, préserver les éléments utiles et coopérer. Le marchand détermine les notifications aux autorités et aux personnes qui lui incombent, notamment le délai légal de 72 heures à l’autorité lorsqu’il est applicable. Ce délai propre au responsable du traitement n’est pas présenté comme un délai général de notification du sous-traitant.

Contact opérationnel du marchand : les coordonnées désignées dans son espace ou son contrat. Contact données de PayHaze : [email protected]. Les parties tiennent ces coordonnées à jour.

Compte tenu des informations et des moyens à sa disposition, PayHaze aide le marchand à remplir les obligations applicables de sécurité, d’analyse d’impact et de consultation préalable d’une autorité.

PayHaze met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet les audits pertinents réalisés par le marchand ou son auditeur indépendant tenu à la confidentialité. Un audit programmé tient compte des contraintes raisonnables de sécurité, de disponibilité et de protection des autres clients. Une urgence, un incident ou une demande d’autorité peut justifier un contrôle supplémentaire ou un délai plus court.

Des informations documentaires ou rapports existants peuvent être utilisés lorsqu’ils permettent effectivement de vérifier le point recherché. Aucun rapport ou certification inexistant n’est présumé. Un éventuel accord sur le coût d’une assistance exceptionnelle ne peut empêcher un contrôle légalement requis ni dispenser PayHaze de démontrer ses obligations.

À la fin du service, le marchand choisit la restitution ou la suppression des données confiées, dans le cadre de ses obligations et des opérations restant à terminer. Il peut utiliser les exports disponibles avant le retrait de ses accès. PayHaze peut demander une instruction écrite lorsque le choix n’est pas suffisamment déterminé.

Les données sont restituées ou supprimées dans 6 mois après la clôture des opérations et la réception de l’instruction applicable. À défaut d’instruction, les données sont supprimées 6 mois après la fin du service.

Le maintien d’une archive pour le compte du marchand nécessite une instruction précisant les catégories, la raison et la durée. Si une loi impose directement à PayHaze une conservation, il identifie les données et le texte concernés, en informe le marchand lorsque permis et limite l’archive à cette obligation. Les obligations comptables du marchand ne donnent pas automatiquement à PayHaze le droit de conserver toutes ses données pendant dix ans ou sans échéance.

Les copies de sauvegarde cessent d’être utilisées en exploitation et disparaissent selon leur cycle limité, prévu à 14 jours pour le périmètre applicatif identifié. Une restauration tient compte des suppressions ou restrictions déjà intervenues. Les éventuels autres supports sont identifiés avec leur durée en annexe 3.

PayHaze peut fournir une confirmation de la restitution ou de la suppression précisant les éventuelles exceptions de conservation et leur durée. Les copies détenues indépendamment par un prestataire ou les écritures publiques d’une blockchain ne sont pas effacées par la seule suppression d’un espace PayHaze.

Les responsabilités contractuelles suivent les conditions commerciales dans les limites du droit applicable. Aucune clause ne limite les droits des personnes concernées ou les pouvoirs de l’autorité compétente.

Les obligations de confidentialité, de sécurité, d’assistance et de suppression subsistent tant que PayHaze conserve des données confiées au titre du présent accord.

Les mesures du périmètre décrit comprennent :

• communications protégées entre les interfaces du service et ses serveurs, ainsi qu’avec les prestataires selon leurs interfaces ;
• accès authentifiés, rôles et permissions, contrôle de l’appartenance à l’espace ; authentification renforcée selon la politique active et l’action concernée ;
• protection des secrets de prestataires et des sessions ; limitation de leur accès ; révocation des accès et clés devenus inutiles ;
• contrôles de l’origine et de l’autorité des demandes, validation des entrées et traitement des événements selon le mécanisme de vérification propre à chaque prestataire ;
• séparation des opérations et données entre espaces, journal des actions sensibles et mécanismes limitant la duplication des opérations ;
• sauvegardes applicatives à cycle limité, procédures de restauration et suivi de l’état des services ;
• parcours carte réel utilisant les composants des prestataires, pour éviter la collecte des numéros complets et des codes de sécurité dans PayHaze.

Les configurations effectivement utilisées et les limites matérielles sont documentées pour les contrôles. Cette annexe ne déclare ni une certification, ni une infrastructure de secours indépendante, ni une garantie de sauvegarde hors du site principal.

La liste des fournisseurs, dans sa version datée annexée au contrat, précise les missions et catégories concernées. Les fournisseurs autorisés pour les données confiées par le marchand sont : OVH SAS, pour l’hébergement, en France.

L’hébergement est assuré par OVH SAS dans son centre de données de Gravelines, en France. Brevo envoie uniquement les e-mails du compte PayHaze, dont le récapitulatif d’activité envoyé aux propriétaires d’un espace (des totaux seulement) ; il ne reçoit aucune donnée d’acheteur ni référence de paiement.

Aucun transfert hors de l’Espace économique européen n’est réalisé pour les données confiées par le marchand, en dehors de celles qu’il transmet lui-même à ses prestataires.

Les durées de la politique de confidentialité et celles de cette annexe doivent correspondre à la même politique effective de conservation.