KRED — Participe à des campagnes créateurs

1. Parties et objet

Le présent accord est conclu entre, d'une part, la marque qui connecte sa boutique Shopify à son compte KRED (le « Marchand »), responsable du traitement, et, d'autre part, la société Kred Corp, société par actions simplifiée au capital de 1 000 €, immatriculée au RCS de Fort-de-France sous le numéro 107 539 876, dont le siège social est situé 7 rue Bethléem, Résidence Arc-en-ciel, 97233 Schœlcher (Martinique, France) (« KRED »), sous-traitant.

Il fixe, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD), les conditions dans lesquelles KRED traite, pour le compte du Marchand, les données personnelles issues de sa boutique Shopify (les « Données »). Il complète les Conditions Générales d'Utilisation et prévaut sur elles pour tout ce qui concerne les Données.

2. Description du traitement

Finalité unique : rattacher les commandes de la boutique aux campagnes KRED du Marchand, c'est-à-dire attribuer une vente au code promo ou au lien d'un créateur (suivi des ventes et, si le Marchand l'a activée, commission du créateur), et rattacher une commande à la réclamation d'un remboursement produit. KRED n'utilise les Données à aucune autre fin : ni prospection, ni profilage, ni revente, ni décision automatisée produisant des effets juridiques à l'égard des acheteurs.

Nature des opérations : réception des notifications que Shopify envoie à KRED (commandes payées, remboursements, produits, désinstallation de l'application, demandes liées au RGPD) ; lecture ponctuelle d'une commande par l'API de Shopify ; création des codes promo des créateurs dans la boutique ; import du catalogue de produits.

Autorisations demandées à Shopify : lecture des produits, lecture et écriture des commandes, lecture et écriture des réductions. KRED ne demande pas l'accès à la fiche client Shopify : une commande ne lui fournit que les champs qu'elle porte.

Catégories de Données :

l'adresse e-mail utilisée pour une commande, lue chez Shopify uniquement lorsqu'une personne réclame le remboursement produit de cette commande, pour la comparer à celle qu'elle a saisie. La comparaison porte sur des empreintes ; l'adresse n'est ni enregistrée, ni journalisée ;
le contenu des notifications de commande et de remboursement : identifiants de la commande et du client, numéro de commande, dates, montants, devise, codes promo utilisés, ainsi que les coordonnées que Shopify y inclut (nom, adresse e-mail, téléphone, adresses de facturation et de livraison) ;
pour les seules commandes rattachées à une campagne : identifiant, numéro, date, montants, devise, codes promo et page d'arrivée sans ses paramètres. Aucune coordonnée de l'acheteur n'y est recopiée ;
le contenu des demandes RGPD transmises par Shopify (demande d'accès, demande d'effacement) : identifiant du client, commandes visées et coordonnées que Shopify y inclut ;
le contenu de la notification de désinstallation, qui décrit la boutique et peut nommer son titulaire (nom, adresse e-mail, téléphone).

Le catalogue de produits et les codes promo créés par KRED ne contiennent pas de donnée personnelle d'acheteur.

Personnes concernées : les clients de la boutique du Marchand et, pour la notification de désinstallation, le titulaire de la boutique.

3. Durée

L'accord s'applique dès que le Marchand connecte sa boutique et tant que KRED détient des Données, y compris après la désinstallation de l'application, jusqu'à leur effacement (article 9).

4. Instructions et confidentialité

KRED traite les Données uniquement pour la finalité de l'article 2 et sur instruction documentée du Marchand : le présent accord et les réglages que le Marchand choisit dans KRED (suivi des ventes, commission, remboursement produit). Si une instruction lui paraît contraire au RGPD, KRED en informe immédiatement le Marchand.

Les personnes autorisées à traiter les Données chez KRED sont tenues à la confidentialité.

5. Sécurité

Chiffrement en transit : les échanges entre Shopify, le navigateur et KRED passent par HTTPS ; chaque notification de Shopify est authentifiée par sa signature avant d'être enregistrée.
Chiffrement au repos : la base de données est chiffrée au repos par son hébergeur ; le jeton d'accès à la boutique est en outre chiffré par KRED (AES-256-GCM).
Accès limités : la base n'est accessible qu'aux serveurs de KRED et aux personnes habilitées ; dans la console d'administration, les écrans Shopify sont réservés aux super administrateurs de KRED.
Journal des accès : chaque lecture de l'adresse e-mail d'un acheteur chez Shopify et chaque export d'une demande d'accès sont journalisés (date, boutique, commande, motif, résultat ; jamais l'adresse elle-même). Le journal est conservé 12 mois. Si la ligne ne peut pas être écrite, la lecture n'est pas utilisée.
Aucune adresse e-mail, aucun contenu de notification ni aucun jeton n'est écrit dans les journaux techniques, les alertes ou les rapports d'erreurs.

6. Sous-traitants ultérieurs

Le Marchand autorise KRED à recourir aux sous-traitants suivants, qui peuvent traiter des Données pour la seule exécution du service :

Supabase — hébergement de la base de données (UE)
Render — hébergement de l'API, qui reçoit les notifications de Shopify et interroge son API
Resend — envoi des e-mails de notification aux utilisateurs de KRED (numéro de commande et montant d'un remboursement produit ; jamais l'adresse e-mail de l'acheteur)
Sentry — rapports d'erreurs techniques, sans le contenu des requêtes

KRED impose à chacun des obligations de protection des données équivalentes. Tout ajout ou remplacement est publié sur cette page dans une nouvelle version de l'accord ; le Marchand qui s'y oppose peut désinstaller l'application, ce qui met fin au traitement (article 9). Certains de ces sous-traitants peuvent traiter des Données hors de l'Union européenne ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou une décision d'adéquation.

7. Droits des personnes concernées

Il appartient au Marchand d'informer ses clients et de répondre à leurs demandes. KRED l'y aide par les demandes RGPD que Shopify lui transmet :

demande d'effacement d'un client : KRED efface ses coordonnées de toutes les notifications qu'il conserve pour la boutique et ne garde que des identifiants, dates, montants et codes promo ;
demande d'accès d'un client : KRED extrait ce qu'il détient sur ce client et l'adresse au Marchand ;

dans les deux cas dans les 30 jours suivant la réception de la demande. Une personne qui s'adresse directement à KRED est renvoyée vers le Marchand, et le Marchand en est informé.

8. Violation de données

KRED notifie au Marchand toute violation de données personnelles touchant les Données dans un délai maximum de 48 heures après en avoir pris connaissance, par e-mail aux utilisateurs de son compte KRED. La notification décrit, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou proposées ; les éléments manquants sont transmis dès qu'ils sont connus. KRED aide le Marchand à notifier l'autorité de contrôle et, le cas échéant, les personnes concernées.

9. Conservation et sort des données

Adresse e-mail lue à une réclamation : aucune conservation.
Coordonnées contenues dans une notification de commande ou de remboursement : effacées dès que la notification est traitée, en principe juste après sa réception. Une notification dont le traitement échoue est réduite aux identifiants 30 jours après sa réception.
Notifications traitées : supprimées 90 jours après leur réception. Une demande d'accès est gardée jusqu'à ce que sa réponse ait été préparée.
Journal des accès : 12 mois ; il ne contient aucune coordonnée.
Commandes rattachées à une campagne : jusqu'à l'effacement de la boutique ; celles qui portent une commission de créateur, réduites au registre des commissions décrit ci-dessous, dix ans après la clôture de l'exercice comptable de leur dernière écriture.

À la désinstallation de l'application, KRED efface le jeton d'accès à la boutique. Shopify adresse ensuite à KRED, 48 heures après la désinstallation, une demande d'effacement de la boutique : KRED supprime alors son catalogue, ses codes promo, les notifications reçues et les demandes de connexion en cours ; la demande d'effacement elle-même, qui ne porte que les identifiants de la boutique, est supprimée 90 jours après sa réception. Si aucune vente de la boutique ne porte de commission de créateur, KRED supprime aussi la boutique, ses commandes, ses remboursements et les réclamations de remboursement produit.

Si des ventes de la boutique portent une commission de créateur, KRED conserve, au titre de ses obligations comptables (article L123-22 du Code de commerce), le seul registre de ces commissions : pour chacune de ces commandes, ses identifiant et numéro Shopify, sa date, sa devise, ses montants, son statut de paiement, le code promo attribué, le créateur et la campagne, la commission et son statut, les remboursements de la commande (identifiants, dates, montants) et, le cas échéant, la réclamation de remboursement produit qui la vise ; pour la boutique, son adresse en .myshopify.com, sa devise et ses dates d'installation et de désinstallation. Ce registre ne contient aucune coordonnée d'acheteur. Les autres commandes de la boutique, leurs remboursements et réclamations sont supprimés. Le registre est supprimé dix ans après la clôture de l'exercice comptable de KRED (au 30 septembre) au cours duquel il a été écrit pour la dernière fois (effacement de la boutique, règlement ou annulation d'une commission), et jamais tant qu'une commission reste en attente de règlement.

Sont conservés en outre : le journal des accès, jusqu'au terme de ses 12 mois, comme preuve d'accès licite, sans aucune coordonnée ; l'acceptation du présent accord (marque, utilisateur, version, adresse de la boutique, date), avec le compte de la marque. Les gains crédités aux créateurs restent dans leur historique.

10. Assistance, documentation et audits

KRED fournit au Marchand, sur demande, les informations nécessaires pour démontrer le respect du présent accord et pour mener une analyse d'impact relative à la protection des données. Le Marchand peut faire réaliser un audit, une fois par an, sur demande écrite adressée au moins 30 jours à l'avance, à ses frais et sous engagement de confidentialité.

11. Obligations du Marchand

Le Marchand garantit disposer d'une base légale pour les traitements confiés à KRED, informe ses clients de ce traitement (notamment dans sa politique de confidentialité) et documente par écrit toute instruction supplémentaire.

12. Acceptation, versions et droit applicable

Le Marchand accepte le présent accord en cochant la case prévue à cet effet avant que sa boutique soit liée à son compte KRED : KRED enregistre l'utilisateur qui l'a acceptée, la marque, la version et la date. Lorsque l'installation part de l'App Store de Shopify, Shopify autorise d'abord l'application : KRED conserve alors le jeton d'accès à la boutique, chiffré, sans l'utiliser, au plus 24 heures en attendant cette acceptation, et ne reçoit aucune notification de commande avant la liaison. Toute nouvelle version est publiée sur cette page avec son numéro et sa date et proposée à l'acceptation à la connexion suivante d'une boutique ; la version acceptée continue de s'appliquer jusque-là. Le présent accord est soumis au droit français.

Contact : contact@trykred.com