Avenant relatif au traitement des données

Cette traduction vous est fournie pour votre commodité. Seule la version anglaise fait foi. English

Dernière mise à jour : 11 octobre 2026

Le présent avenant (« DPA ») fait partie des conditions d’utilisation de HolaReply pour Shopify et des conditions d’utilisation de HolaReply pour tout site web, entre le marchand ou le propriétaire du site web (« vous », le responsable du traitement) et SEO Agency Inc (« HolaReply », « nous », le sous-traitant). Il s’applique aux données personnelles des clients de votre boutique, ou des visiteurs de votre site web, que nous traitons pour fournir l’app ou le service. Pour un site web, « boutique » désigne ci-après votre site web et « client » son visiteur ; ce qui est dit des demandes de données de Shopify et des consultations de commande ne concerne que Shopify. Il vise à satisfaire à l’article 28 du RGPD et du UK GDPR ainsi qu’aux lois similaires sur la protection de la vie privée (lorsque nous agissons en tant que votre « service provider » ou « processor »).

1. Description du traitement

Objet et finalité	Fourniture de l’app : répondre aux clients dans le chat de la vitrine à partir du contenu de votre boutique, transmettre les demandes et les sujets verrouillés à votre équipe, consulter le statut des commandes, vous présenter les conversations et les demandes, et répondre aux demandes de données de Shopify
Durée	Tant que l’app est installée ou que le site web est dans HolaReply, puis suppression conformément à la section 8
Personnes concernées	Les clients et visiteurs de votre boutique qui utilisent le chat
Données personnelles	Messages du chat (questions et réponses) ; coordonnées qu’un client choisit de fournir (nom, e-mail, téléphone, entreprise) et son message de demande ; pour le seul suivi de commande, le numéro de commande et l’e-mail saisis par le client ainsi que l’e-mail, le statut et le suivi de la commande (affichés, non stockés) ; la langue du client
Catégories particulières	Aucune n’est prévue. Ne les demandez pas aux clients ; un client peut néanmoins en saisir dans le chat
Non traitées	Informations de paiement, adresses, comptes clients, adresses IP associées aux conversations (uniquement une empreinte à sens unique dans un compteur de limitation de fréquence de courte durée)

2. Nos obligations

Nous nous engageons à :

1. traiter les données personnelles uniquement sur vos instructions documentées, à savoir les présentes conditions, le présent DPA et vos réglages dans l’app, sauf si la loi l’exige autrement (auquel cas nous vous en informerons au préalable, sauf si la loi l’interdit) ;
2. veiller à ce que toute personne que nous autorisons à les traiter soit tenue à la confidentialité ;
3. appliquer les mesures de sécurité de la section 4 ;
4. ne recourir à des sous-traitants ultérieurs que conformément à la section 5 ;
5. vous aider, dans la mesure du raisonnable, à répondre aux clients qui exercent leurs droits (accès, suppression et autres) : les demandes Shopify customers/data_request et customers/redact sont traitées automatiquement par l’app, et les demandes de contact peuvent être consultées et téléchargées dans l’app ;
6. vous aider en matière de sécurité, de notification des violations, d’analyses d’impact et de consultation des autorités, dans la mesure où elles concernent notre traitement ;
7. supprimer les données à la fin du service (section 8) ;
8. mettre à disposition les informations nécessaires pour démontrer le respect du présent DPA et permettre des audits conformément à la section 9 ;
9. vous informer immédiatement si nous estimons qu’une instruction enfreint la législation sur la protection des données.

Nous ne vendons pas les données personnelles, ne les partageons pas à des fins de publicité comportementale intercontextuelle, ne les utilisons pas pour entraîner des modèles d’IA et ne les combinons pas avec des données d’autres boutiques.

3. Vos obligations

Vous confirmez disposer d’une base légale pour le traitement, fournir à vos clients les informations exigées par la loi (votre politique de confidentialité doit mentionner le chat et HolaReply), et que vos instructions sont conformes à la loi.

4. Mesures de sécurité

• Chiffrement en transit : HTTPS (TLS) pour le chat de la vitrine, l’administration et les webhooks.
• Chiffrement au repos : les messages du chat, les coordonnées d’une conversation et chaque champ des demandes sont chiffrés dans la base de données (XSalsa20-Poly1305, avec des clés conservées en dehors de la base de données) ; les clients ne sont recherchés qu’au moyen d’empreintes à clé de leur e-mail ou téléphone. Les jetons d’accès et les clés d’IA sont également chiffrés. Les sauvegardes quotidiennes sont chiffrées (AES-256-GCM) avec une clé distincte.
• Isolement : les données de chaque boutique sont séparées ; chaque requête est vérifiée au moyen du jeton de session ou de la signature de webhook de Shopify.
• Minimisation : les e-mails et numéros de téléphone sont retirés de tout ce qui est envoyé à un fournisseur d’IA ; les champs de coordonnées ne lui sont jamais envoyés ; les données de commande ne sont jamais stockées ni envoyées à une IA.
• Contrôle d’accès et journalisation : accès au serveur uniquement par clés SSH, pour deux personnes au maximum ; chaque consultation de données clients (dans l’app ou par nous) est enregistrée dans un journal d’accès conservé un an, que vous pouvez consulter dans l’app pour les 90 derniers jours.
• Conservation : conversations conservées jusqu’à ce que vous les supprimiez, ou supprimées 30, 90 ou 365 jours après le dernier message si vous choisissez une durée ; tout est supprimé 48 heures après la désinstallation ; sauvegardes conservées 14 jours.
• Réponse aux incidents : une politique écrite (section 6).
• Copie hors site : chaque sauvegarde quotidienne, toujours chiffrée, est également conservée 14 jours dans un bucket Cloudflare R2 privé.

5. Sous-traitants ultérieurs

Vous accordez une autorisation générale pour les sous-traitants ultérieurs ci-dessous. Nous vous informerons au moins 30 jours avant d’en ajouter ou d’en remplacer un (dans l’app ou par e-mail, et sur cette page) ; vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données et, si nous ne pouvons pas répondre à cette objection, vous pouvez cesser d’utiliser l’app. Nous imposons à chaque sous-traitant ultérieur des conditions de protection des données au moins aussi protectrices que le présent DPA et restons responsables de ceux-ci.

Sous-traitant ultérieur	Finalité	Données	Localisation
Google LLC (Gemini API)	Réponses de l’IA et index de recherche (HolaReply AI, ou votre clé Gemini)	Contenu de la boutique ; questions des clients dont les e-mails et numéros de téléphone ont été retirés	Hors de l’EEE
OpenAI, L.L.C.	Uniquement si vous choisissez OpenAI avec votre propre clé	Idem	Hors de l’EEE
Anthropic, PBC	Uniquement si vous choisissez Claude avec votre propre clé	Idem	Hors de l’EEE
Resend (Plus Five Five, Inc.)	E-mails à vous, à votre équipe et réponses de votre équipe aux clients	Adresses e-mail et contenu des e-mails	Hors de l’EEE
Hostinger International Ltd	Le serveur sur lequel fonctionne l’app (un serveur privé virtuel)	Toutes les données que nous stockons (champs chiffrés comme indiqué ci-dessus)	Hors de l’EEE
Cloudflare, Inc.	Réseau et sécurité en amont d’app.holareply.com ; stockage de la copie de sauvegarde chiffrée hors site (R2)	Requêtes en transit ; sauvegardes chiffrées (14 jours)	Réseau mondial ; sauvegardes hors de l’EEE
Shopify	La plateforme et la facturation	Ce que Shopify détient déjà	—

6. Violations de données personnelles

Nous vous informons dans les meilleurs délais, et au plus tard dans les 72 heures après en avoir pris connaissance, de toute violation de données personnelles affectant les données de votre boutique, à l’adresse e-mail de votre boutique, en vous communiquant ce que nous savons : la nature de la violation, les données et personnes concernées, les conséquences probables, ce que nous avons fait et ce que vous devriez faire, ainsi qu’un contact (support@holareply.com). Nous complétons ces informations au fur et à mesure. Notre politique de réponse aux incidents décrit la procédure.

7. Transferts internationaux

Nous-mêmes et certains de nos sous-traitants ultérieurs traitons des données en dehors de l’EEE, du Royaume-Uni et de la Suisse. Lorsque de telles données sont transférées, le transfert est encadré par les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914 de la Commission : module 2, transfert de responsable du traitement à sous-traitant, et module 3 pour les transferts ultérieurs vers nos sous-traitants ultérieurs), l’avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum) et, pour les données suisses, les adaptations suisses de ces clauses, lesquels sont intégrés au présent avenant par référence, ou par un autre mécanisme licite, tel que la certification d’un sous-traitant ultérieur au titre du cadre de protection des données (Data Privacy Framework).

8. Suppression

Lorsque vous désinstallez l’app, toutes les données de votre boutique sont supprimées 48 heures plus tard (ainsi, une réinstallation dans ce délai ne fait rien perdre), ou immédiatement lorsque Shopify envoie sa demande shop/redact. Les données supprimées peuvent subsister dans des sauvegardes chiffrées pendant 14 jours au maximum, après quoi elles disparaissent. Vous pouvez télécharger vos demandes au format CSV depuis l’app avant de la désinstaller.

Pour un site web, demandez-nous (support@holareply.com) de le supprimer : ses conversations, demandes, contenus et équipe sont supprimés sous 7 jours, et disparaissent des sauvegardes chiffrées 14 jours plus tard. D’ici là, ils sont conservés jusqu’à ce que vous les supprimiez, ou pendant la durée que vous choisissez dans le Desk.

9. Audits

Sur demande écrite, au plus une fois par an (ou après une violation), nous répondrons à un questionnaire de sécurité raisonnable et fournirons les documents démontrant le respect du présent DPA. Lorsque la loi exige une inspection, celle-ci est réalisée moyennant un préavis de 30 jours, pendant les heures ouvrables, par un auditeur tenu à la confidentialité, à vos frais, sans accès aux données des autres clients.

10. Ordre de priorité

En cas de contradiction entre le présent DPA et les conditions au sujet des données personnelles, le présent DPA s’applique ; les clauses contractuelles types, lorsqu’elles s’appliquent, prévalent sur les deux.

Contact

SEO Agency Inc (HolaReply) — support@holareply.com