Accord de traitement des données (DPA)

1. Parties et rôles

Le vendeur est responsable du traitement des données de ses clients. Kera Consulting (SAS, 6 rue Parmentier, 78800 Houilles, France), éditeur de Slygo, agit comme sous-traitant : il traite ces données uniquement pour le compte du vendeur et sur ses instructions, telles que décrites ici.

2. Objet, nature et finalité

Calculer et afficher au vendeur le bénéfice net estimé de ses ventes, par commande, produit et canal : réception par les connexions (Shopify…) ou les imports de fichiers, stockage, calcul, affichage et export.

3. Données et personnes concernées

Personnes concernées : les clients du vendeur.

• Données traitées : numéro et date de commande, produits et quantités, montants (prix, livraison, frais, remboursements), statut, et le cas échéant le pays de livraison.
• Données exclues : Slygo ne demande pas le nom, l'adresse email, le téléphone ni l'adresse postale des clients, et le vendeur s'engage à ne pas en importer.
• Dépenses publicitaires : agrégées par campagne et par jour, elles ne concernent aucune personne identifiable.

4. Durée

Pendant toute la durée du compte du vendeur. À la suppression du compte, ou sur demande du vendeur, les données sont supprimées ; le vendeur peut les exporter avant.

5. Obligations de Kera Consulting

• Traiter les données uniquement sur instruction documentée du vendeur (le présent accord et l'usage de l'app), et l'informer si une instruction lui paraît contraire au RGPD.
• Garantir la confidentialité : seules les personnes habilitées y accèdent, tenues au secret.
• Ne jamais vendre, louer ni utiliser les données à d'autres fins, notamment publicitaires.
• Aider le vendeur à répondre aux demandes d'exercice des droits de ses clients et à ses obligations de sécurité et d'analyse d'impact.
• Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord, et permettre un audit sur demande raisonnable, à la charge du vendeur, avec un préavis de trente jours.

6. Mesures de sécurité

• Hébergement dans l'Union européenne (OVHcloud en France, Supabase en Irlande), communications chiffrées (HTTPS).
• Isolement des données de chaque vendeur par des règles d'accès en base (Row Level Security), testées automatiquement.
• Jetons d'accès aux services connectés chiffrés au repos (AES-256-GCM), jamais transmis au navigateur.
• Accès serveur réservé à un module dédié, secrets hors du code et de l'image.
• Signature vérifiée de chaque notification reçue des services connectés.
• Lecture seule des services connectés.

7. Sous-traitants ultérieurs

Le vendeur autorise le recours aux sous-traitants suivants :

• OVH SAS (OVHcloud), hébergement de l'application, France ;
• Supabase Inc., base de données et authentification, centre de données en Irlande (UE) ;
• Resend Inc., envoi des emails de connexion et de notification.

Kera Consulting informe le vendeur de tout ajout ou remplacement au moins trente jours à l'avance par email ou dans l'app ; le vendeur peut s'y opposer en supprimant son compte. Chaque sous-traitant est tenu par des obligations équivalentes au présent accord.

8. Transferts hors UE

Les données sont hébergées dans l'Union européenne. Si un sous-traitant établi hors UE y accède (support, par exemple), le transfert est encadré par les clauses contractuelles types de la Commission européenne ou une décision d'adéquation.

9. Violation de données

Kera Consulting notifie au vendeur toute violation de données personnelles dans les quarante-huit heures après en avoir pris connaissance, avec les informations disponibles (nature, données concernées, conséquences probables, mesures prises), pour lui permettre de notifier la CNIL dans les délais.

10. Fin du traitement

À la fin du compte, Kera Consulting supprime les données du vendeur et de ses clients, sauf obligation légale de conservation, et révoque l'accès aux services connectés. Les sauvegardes techniques sont effacées selon leur cycle de rotation.

11. Contact

Pour toute question sur cet accord ou sur les données : support@slygo.fr.