Accord de traitement des données

Le présent Accord de traitement des données (l’« Accord ») fixe les conditions dans lesquelles Nexora traite des données personnelles pour le compte d’un marchand, conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD »).

1. Définitions

« Données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le RGPD.

« Données du Marchand » désigne les Données personnelles des Clients finaux, et des utilisateurs des sites du Marchand, que Nexora traite pour le compte du Marchand via la Plateforme.

« Sous-traitant ultérieur » désigne tout sous-traitant auquel Nexora fait appel pour traiter des Données du Marchand.

« Clauses contractuelles types » désigne les clauses annexées à la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021.

2. Rôle des parties

2.1 Pour les Données du Marchand, le Marchand est responsable du traitement et Nexora est sous-traitant. Lorsque le Marchand agit lui-même en qualité de sous-traitant d’un tiers, Nexora agit comme son sous-traitant ultérieur et le Marchand garantit qu’il est autorisé à faire appel à Nexora.

2.2 Nexora agit en qualité de responsable de traitement distinct pour les données du Marchand, de ses représentants et de ses bénéficiaires effectifs, ainsi que pour les traitements qu’elle met en œuvre à des fins de sécurité de la plateforme, de prévention de la fraude à l’échelle de la Plateforme, de facturation et de respect de ses obligations légales. Ces traitements sont décrits dans la Politique de confidentialité et ne relèvent pas du présent Accord.

2.3 Le Prestataire de services de paiement agit en qualité de responsable de traitement distinct, ou de prestataire propre du Marchand, pour les services de paiement qu’il fournit directement au Marchand selon ses propres conditions.

3. Description du traitement

Objet	Fourniture des Services : pages de paiement, API, Funnels, Shield, abonnements et assistance.
Durée	La durée du Contrat marchand, puis les durées de conservation prévues à la section 11.
Nature et finalité	Hébergement, transmission, affichage, journalisation, contrôle antifraude, gestion des remboursements et des litiges, assistance, et transmission au Prestataire de services de paiement, aux Réseaux et aux autres entités Nexora dans la mesure nécessaire à l’exécution du Contrat marchand.
Catégories de données	Données d’identification et de contact ; données de commande et de transaction ; identifiants techniques (adresse IP, appareil, journaux) ; toute donnée que le Marchand choisit de collecter via la Plateforme.
Catégories particulières	Leur traitement n’est pas prévu. Le Marchand s’interdit d’en transmettre, sauf stricte nécessité et dans le respect de la loi.
Personnes concernées	Les Clients finaux et, le cas échéant, les utilisateurs des sites du Marchand.

4. Instructions du Marchand

4.1 Nexora ne traite les Données du Marchand que sur instruction documentée du Marchand, y compris pour les transferts hors de l’Espace économique européen, sauf obligation contraire résultant du droit de l’Union ou d’un État membre. Dans ce cas, Nexora en informe le Marchand avant le traitement, sauf si la loi l’interdit.

4.2 Les instructions du Marchand sont constituées par le Contrat marchand, le présent Accord, le paramétrage du compte marchand et les actions réalisées via le tableau de bord ou l’API.

4.3 Nexora informe sans délai le Marchand si, selon elle, une instruction constitue une violation du RGPD ou d’une autre règle de protection des données. Nexora peut suspendre l’exécution de l’instruction jusqu’à sa confirmation ou sa modification par le Marchand.

5. Obligations du Marchand

Le Marchand garantit qu’il dispose d’une base légale pour chaque traitement, qu’il a informé les Clients finaux conformément aux articles 13 et 14 du RGPD, y compris du recours à Nexora et au Prestataire de services de paiement, et que ses instructions sont licites. Il reste l’interlocuteur des Clients finaux.

6. Confidentialité

Nexora veille à ce que les personnes autorisées à traiter les Données du Marchand soient soumises à une obligation contractuelle ou légale de confidentialité et n’y accèdent que dans la mesure nécessaire à leurs fonctions.

7. Sécurité

7.1 Nexora met en œuvre les mesures techniques et organisationnelles listées en annexe 1, adaptées au risque au sens de l’article 32 du RGPD. Nexora peut les faire évoluer, à condition de ne pas réduire le niveau global de protection.

7.2 Le Marchand reste responsable de la sécurité de ses propres systèmes, sites et identifiants, et de sa conformité PCI DSS au niveau applicable à son intégration.

8. Sous-traitants ultérieurs

8.1 Le Marchand donne à Nexora une autorisation générale de recourir à des Sous-traitants ultérieurs. Ceux auxquels Nexora fait appel à la date du présent Accord sont listés en annexe 2.

8.2 Nexora informe le Marchand de tout projet d’ajout ou de remplacement d’un Sous-traitant ultérieur au moins trente (30) jours à l’avance, par e-mail ou dans le tableau de bord. Ce délai peut être réduit lorsque le changement est requis en urgence pour des raisons de sécurité ou de continuité, ou imposé par un Prestataire de services de paiement, un Réseau ou une autorité.

8.3 Le Marchand peut s’y opposer par écrit, pour des motifs raisonnables tenant à la protection des données, dans ce délai. Les parties recherchent alors une solution de bonne foi. À défaut, le Marchand peut résilier le Contrat marchand sans frais avant l’entrée en vigueur du changement.

8.4 Nexora impose par contrat à chaque Sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord, et demeure responsable envers le Marchand de l’exécution de ses obligations par le Sous-traitant ultérieur.

9. Transferts internationaux

9.1 Les Données du Marchand sont hébergées dans l’Union européenne.

9.2 Lorsque le traitement implique un transfert vers un pays situé hors de l’Espace économique européen ne bénéficiant pas d’une décision d’adéquation, le transfert est encadré par des garanties appropriées au sens de l’article 46 du RGPD, en particulier les Clauses contractuelles types (module trois, de sous-traitant à sous-traitant, ou le module applicable à la situation), complétées de mesures supplémentaires si nécessaire.

9.3 Lorsque le Marchand est lui-même établi hors de l’Espace économique européen, les Clauses contractuelles types (module quatre, de sous-traitant à responsable du traitement) s’appliquent aux transferts de Données du Marchand de Nexora vers le Marchand et sont incorporées par renvoi, le droit français étant le droit applicable et les juridictions françaises étant compétentes.

10. Assistance et violations de données

10.1 Demandes des personnes concernées. Compte tenu de la nature du traitement, Nexora aide le Marchand, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées. Lorsque Nexora reçoit directement une demande, elle la transmet au Marchand dans les meilleurs délais et n’y répond pas elle-même, sauf instruction du Marchand ou obligation légale.

10.2 Conformité. Nexora apporte une assistance raisonnable pour les analyses d’impact relatives à la protection des données et les consultations préalables de l’autorité de contrôle qui portent sur les Services, compte tenu des informations dont elle dispose.

10.3 Violation de données. Nexora notifie au Marchand toute violation de données à caractère personnel affectant des Données du Marchand dans les meilleurs délais après en avoir pris connaissance. La notification décrit, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Les informations peuvent être communiquées de manière échelonnée. Nexora prend les mesures raisonnables pour contenir la violation et y remédier.

10.4 Il appartient au Marchand de notifier l’autorité de contrôle et les personnes concernées lorsque la loi l’exige.

11. Suppression ou restitution

11.1 Au terme des Services, et selon le choix du Marchand exprimé dans un délai de trente (30) jours, Nexora restitue les Données du Marchand disponibles dans la Plateforme dans un format couramment utilisé, ou les supprime.

11.2 À défaut d’instruction, Nexora supprime ou anonymise les Données du Marchand à l’issue des durées de conservation applicables, à savoir celles prévues aux articles 5.6, 9.6, 19 et 20.6 du Contrat marchand.

11.3 Nexora peut conserver les Données du Marchand lorsque le droit de l’Union ou d’un État membre l’exige, ainsi que les données qu’elle détient en qualité de responsable de traitement distinct en application de la section 2.2, dans chaque cas avec les mêmes engagements de confidentialité et de sécurité.

12. Audits

12.1 Nexora met à la disposition du Marchand les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD.

12.2 Lorsque ces informations ne suffisent pas, le Marchand peut réaliser un audit, lui-même ou par l’intermédiaire d’un auditeur indépendant tenu à la confidentialité et non concurrent de Nexora, au plus une fois par an, sauf après une violation de données avérée ou à la demande d’une autorité de contrôle. L’audit est soumis à un préavis écrit de trente (30) jours, se déroule pendant les heures ouvrées, est limité au traitement des Données du Marchand et ne doit compromettre ni la sécurité de la Plateforme ni les données des autres clients.

12.3 Chaque partie supporte ses propres frais, sauf si l’audit révèle un manquement substantiel imputable à Nexora.

13. Responsabilité

La responsabilité de chaque partie au titre du présent Accord est soumise aux limitations et exclusions du Contrat marchand, en particulier ses articles 16 et 17. Le présent Accord ne limite ni les droits des personnes concernées ni la responsabilité d’une partie à leur égard au titre de l’article 82 du RGPD.

14. Durée, droit applicable et juridiction

Le présent Accord prend effet avec le Contrat marchand et reste en vigueur aussi longtemps que Nexora traite des Données du Marchand. Il est régi par le droit français et soumis à la clause attributive de juridiction du Contrat marchand, sans préjudice des stipulations des Clauses contractuelles types lorsqu’elles s’appliquent.

Annexe 1. Mesures techniques et organisationnelles

Domaine	Mesures
Chiffrement	Chiffrement en transit (TLS) de tous les échanges avec la Plateforme. Chiffrement au repos des secrets récupérables tels que les clés API et les secrets de signature des webhooks (AES-256).
Authentification	Mots de passe conservés au moyen d’un algorithme de hachage salé et coûteux en mémoire (Argon2id). Clés secrètes d’API vérifiées par comparaison d’empreintes, toute révélation par un administrateur étant journalisée. Cookies de session inaccessibles aux scripts.
Contrôle d’accès	Séparation logique des données de chaque marchand, tout accès croisé étant rejeté au niveau applicatif. Accès du personnel limité à ce que ses fonctions exigent.
Séparation des environnements	Environnements et identifiants de test et de production strictement distincts.
Données de paiement	Les numéros de carte et cryptogrammes sont saisis dans des composants contrôlés par le Prestataire de services de paiement et ne transitent jamais par les serveurs de Nexora.
Intégrité	Protection des formulaires contre les requêtes intersites falsifiées. Webhooks sortants signés (HMAC-SHA256) avec horodatage. Clés d’idempotence sur les requêtes de création.
Journalisation	Journaux applicatifs et de sécurité, et journal d’audit des actions administratives sensibles.
Hébergement	Hébergement dans l’Union européenne auprès d’un prestataire qui applique ses propres mesures de sécurité physique et réseau.
Incidents	Détection, traitement et notification des incidents de sécurité conformément à la section 10.

Annexe 2. Sous-traitants ultérieurs

Sous-traitant ultérieur	Finalité	Localisation
OVH SAS	Hébergement de la Plateforme et de ses bases de données	Union européenne
Nexora Financial Technologies Limited	Exploitation, assistance et administration des Services	Irlande
Nexora Financial Technologies, LLC	Exploitation, assistance et administration des Services	États-Unis, sous Clauses contractuelles types

Le Prestataire de services de paiement désigné à l’annexe 2 du Contrat marchand (Stripe, par l’intermédiaire de l’entité applicable au pays du Marchand) reçoit des Données du Marchand pour fournir directement au Marchand des services de paiement, en vertu du contrat que le Marchand a conclu avec lui.

Pour toute question relative au présent Accord : [email protected].