Accord de traitement des données.
Dernière mise à jour : 3 novembre 2026.
Entre le marchand qui installe l'application Ovestia (le « Responsable ») et MONSHOOTING, SAS au capital de 5 000 €, RCS Paris 833 332 414, 41 rue Boissy d'Anglas, 75008 Paris (le « Sous-traitant »).
Cet accord complète les conditions d'utilisation d'Ovestia et répond à l'article 28 du RGPD. Il ne couvre pas les données dont le Sous-traitant est lui-même responsable, décrites dans la politique de confidentialité.
1. Objet et durée
Le Sous-traitant traite des données personnelles pour le compte du Responsable afin de fournir le styliste Ovestia : composition de tenues, mesure de ce que le styliste produit, attribution des commandes. L'accord dure tant que l'application est installée, et jusqu'à la fin de l'effacement prévu à l'article 9.
2. Données et personnes concernées
| Élément | Description |
|---|---|
| Personnes | Visiteurs de la boutique, clients ayant commandé |
| Usage du styliste | Événements d'usage liés à un identifiant de session aléatoire, envoyés seulement si la décision de consentement l'autorise |
| Retours du styliste | Tenue adoptée, passée, pièce remplacée, avec une empreinte salée et tronquée de l'adresse IP, envoyés seulement si la décision de consentement l'autorise |
| Commandes attribuées | Identifiant et numéro de commande, total, lignes issues d'une tenue, quantités, montants, devise, identifiant de session si la décision de consentement l'autorise |
| Non traité | Nom, e-mail, téléphone, adresse postale, identifiant client et moyen de paiement ne sont ni lus ni conservés. Aucune catégorie particulière de données (article 9 du RGPD) |
3. Instructions
Le Sous-traitant ne traite ces données que sur instruction documentée du Responsable, sauf obligation légale dont il l'informe si la loi le permet. L'installation, les réglages de l'application et cet accord constituent ces instructions. Le Responsable reste chargé de la base légale, de l'information de ses clients et du bandeau de consentement de sa boutique.
4. Confidentialité
Toute personne habilitée à traiter ces données est tenue à la confidentialité, et leur nombre est limité au strict nécessaire.
5. Sécurité
Le Sous-traitant applique les mesures de l'annexe A et peut les faire évoluer sans en réduire le niveau.
6. Sous-traitants ultérieurs
Le Responsable autorise de façon générale les sous-traitants de l'annexe B. Tout ajout ou remplacement est annoncé 30 jours à l'avance par e-mail au compte marchand. Le Responsable peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut de solution, il peut désinstaller l'application. Le Sous-traitant impose les mêmes obligations à ses sous-traitants et reste responsable de leur exécution.
7. Droits des personnes et assistance
Les demandes transmises par Shopify sont traitées dans les délais légaux. Toute demande reçue directement est signalée au Responsable. L'export d'une demande d'accès est transmis manuellement au Responsable. L'effacement d'un client retire le lien avec la commande et l'identifiant de session, et conserve les montants, devenus anonymes. Le Sous-traitant aide aussi le Responsable pour les analyses d'impact et la consultation préalable, dans la mesure de ce qu'il traite.
8. Violation de données
Le Sous-traitant notifie le Responsable sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, à l'adresse e-mail du compte marchand, avec les éléments dont il dispose.
9. Fin du traitement
À la désinstallation, les données de la boutique sont effacées à la réception de la demande d'effacement que Shopify envoie 48 heures après. Une réinstallation avant cet envoi conserve les données. Restent ensuite : les sauvegardes, effacées par rotation sous 14 jours ; la preuve des demandes RGPD, jusqu'à 400 jours ; des compteurs de coût anonymisés ; le dossier de la boutique, vidé, comme preuve de l'effacement.
10. Audit
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de cet accord, et répond aux questions écrites sous 30 jours. Le Responsable peut mener un audit, ou le faire mener par un tiers tenu à la confidentialité, moyennant un préavis de 30 jours, une fois par an, sauf violation ou demande d'une autorité.
11. Transferts hors de l'Union européenne
Les données sont hébergées dans l'Union européenne (annexe B). Tout transfert vers un sous-traitant situé hors de l'Union repose sur l'une des garanties prévues au chapitre V du RGPD.
12. Responsabilité et droit applicable
Les limites de responsabilité, le transfert à une autre société et le droit applicable sont ceux des conditions d'utilisation, sous réserve des droits que le RGPD accorde aux personnes.
Annexe A : mesures de sécurité
- Chiffrement en transit (HTTPS).
- Chiffrement au repos de la base de données et des sauvegardes.
- Webhooks vérifiés par signature ; accès au tableau de bord par jeton de session Shopify.
- Console d'exploitation protégée par mot de passe haché et second facteur.
- Sauvegardes quotidiennes, copie hors site, rotation sous 14 jours.
- Surveillance du service et alertes à l'opérateur.
Annexe B : sous-traitants ultérieurs
| Sous-traitant | Rôle | Lieu | Données de l'article 2 |
|---|---|---|---|
| Render Services, Inc. | Hébergement | Francfort, Allemagne | Toutes |
| MongoDB, Inc. (Atlas) | Base de données | Francfort, Allemagne | Toutes |
| Backblaze, Inc. | Copie des sauvegardes | Amsterdam, Pays-Bas | Toutes |
| Cloudflare, Inc. | Acheminement du trafic | Réseau mondial | Adresse IP en transit |
Upstash, Anthropic, Resend et Telegram interviennent dans le service sans recevoir ces données ; ils figurent dans la politique de confidentialité.