Contrat de sous-traitance (DPA)

Dernière mise à jour : 14 septembre 2026.

1. Parties

Le présent Contrat de sous-traitance (DPA) est conclu entre :

• le marchand utilisateur du service Solvero, tel qu'identifié par son compte et sa boutique Shopify connectée (ci-après le « Responsable de traitement ») ;
• Bakary Gary, entrepreneur individuel, exploitant le service sous le nom commercial Solvero (SIRET 108 732 553 00012, 46 Rue des Mesliers, 76500 Elbeuf — voir les Mentions légalespour l'identité complète), ci-après le « Sous-traitant » ou « Solvero ».

Il s'applique automatiquement à tout marchand souscrivant au service, dans les conditions de l'Article 13.

2. Définitions

• Données à caractère personnel : toute information relative à une personne physique identifiée ou identifiable (RGPD, art. 4.1) ;
• Traitement : toute opération portant sur des données à caractère personnel (RGPD, art. 4.2) ;
• Responsable de traitement : le marchand, qui détermine les finalités et les moyens du traitement des données de ses clients finaux ;
• Sous-traitant : Solvero, qui traite les données pour le compte du marchand, selon ses instructions ;
• Sous-traitant ultérieur : tout prestataire auquel Solvero recourt pour exécuter tout ou partie du traitement (voir Annexe 2) ;
• Violation de données: toute violation de sécurité entraînant la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données à caractère personnel.

3. Objet et répartition des rôles

Le présent DPA a pour objet d'encadrer, conformément à l'article 28 du RGPD, le traitement de données à caractère personnel réalisé par Solvero pour le compte du marchand dans le cadre de la fourniture du service décrit dans les Conditions Générales de Vente. Le marchand est le responsable du traitement des données de ses clients finaux ; Solvero agit en qualité de sous-traitant, exclusivement sur instructions documentées du marchand, telles qu'exprimées par sa configuration du service (réglages de compte, catégories autorisées en traitement automatique) et par les présentes.

4. Nature, finalité et catégories de données traitées

Nature du traitement : lecture, analyse automatisée, rédaction assistée par intelligence artificielle, et envoi (après validation du marchand) de réponses aux emails de support adressés au marchand.

Finalité : automatiser le support client par email pour le compte du marchand.

Personnes concernées : les clients finaux du marchand ayant passé commande ou contacté son service client.

Catégories de données traitées :

• Identité et coordonnées : nom, adresse email, adresse postale de livraison ou de facturation ;
• Données de commande : numéro de commande, contenu (articles, montants), statut de livraison ;
• Contenu des communications : le texte des emails envoyés par le client et des réponses rédigées ou envoyées via Solvero ;
• Aucune donnée sensible(santé, opinions, origine, etc. — RGPD art. 9) n'est traitée dans le cadre normal du service.

5. Obligations de Solvero

Conformément à l'article 28 du RGPD, Solvero s'engage à :

• Instructions documentées— ne traiter les données que sur instructions documentées du marchand (paramétrage du service), et l'informer si une instruction lui semble contraire au RGPD ;
• Confidentialité— garantir que les personnes autorisées à traiter les données (à ce jour, uniquement le fondateur technique, seul détenteur d'accès aux systèmes de production) sont tenues à une obligation de confidentialité ;
• Sécurité (article 32 du RGPD) — mettre en œuvre les mesures techniques et organisationnelles décrites en Annexe 1 ;
• Sous-traitance ultérieure— ne recourir qu'aux sous-traitants ultérieurs listés en Annexe 2, soumis aux mêmes obligations de protection des données, et informer le marchand de tout changement (contact : Article 12) ;
• Assistance aux droits des personnes— assister le marchand pour répondre aux demandes d'exercice des droits de ses clients finaux, dans les conditions décrites à la section 7 de la Politique de confidentialité ;
• Assistance sécurité et violations— assister le marchand pour le respect de ses propres obligations en matière de sécurité, de notification de violation et, le cas échéant, d'analyse d'impact ;
• Sort des données en fin de contrat— au terme de la relation (désinstallation de l'application), anonymiser les données personnelles des clients finaux du marchand dans un délai d'environ 48 heures. Il s'agit d'une anonymisation technique des champs personnels, non d'une suppression physique des lignes concernées, et cette opération ne comprend pas d'export des données dans un format structuré — voir Article 10 ;
• Mise à disposition et audit— mettre à disposition du marchand les informations nécessaires pour démontrer le respect du présent article, et permettre un audit sur demande écrite, avec un préavis raisonnable d'au moins 30 jours, limité aux informations strictement nécessaires. Compte tenu de la taille de la structure, cet audit s'effectue à distance, sur pièces ; aucun audit sur site n'est proposé à ce jour.

6. Obligations du marchand

Le marchand, en qualité de responsable de traitement, s'engage à :

• disposer d'une base légale valable pour le traitement des données de ses propres clients ;
• informer ses clients finaux du recours à Solvero pour le traitement de leurs demandes de support ;
• ne transmettre à Solvero, via l'usage normal du service, que des données pertinentes au regard des finalités décrites à l'Article 4, et à ne pas y inclure de données sensibles ;
• donner des instructions à Solvero conformes à la réglementation applicable.

7. Transferts hors Union européenne

Certains sous-traitants ultérieurs de Solvero sont situés hors de l'Union européenne, aux États-Unis (voir Annexe 2). Ces transferts sont encadrés par les clauses contractuelles types que ces prestataires intègrent à leurs conditions pour leurs clients européens.

8. Notification des violations de données

En cas de violation de données affectant les données traitées pour le compte du marchand, Solvero en informe le marchand dans un délai de 72 heures après en avoir pris connaissance, avec les informations disponibles à ce stade (nature de la violation, catégories et nombre approximatif de personnes concernées, mesures prises ou envisagées) — permettant au marchand de remplir ses propres obligations, notamment envers la CNIL.

9. Responsabilité

La responsabilité de Solvero au titre du présent DPA est soumise aux mêmes limitations que celles prévues à l'Article 9 des CGV.

10. Durée et conservation des données

Le présent DPA s'applique pendant toute la durée du contrat principal (CGV) entre le marchand et Solvero. Les durées de conservation techniques réellement appliquées sont :

• 30 jours pour les journaux techniques de traitement (anonymisation automatique) ;
• 12 mois pour les dossiers d'escalade clos (anonymisation automatique) ;
• un dossier non clôturé n'est jamais anonymisé automatiquement, quel que soit son âge.

Voir la section 5 de la Politique de confidentialité pour le détail de ce mécanisme.

11. Droit applicable

Le présent DPA est soumis au droit français, dans les mêmes conditions que les CGV (Article 11).

12. Contact

Pour toute question relative au présent DPA ou à la protection des données : contact@solvero.cloud.

13. Acceptation

Le présent DPA fait partie intégrante des CGV. L'installation et l'utilisation du service Solvero par le marchand vaut acceptation pleine et entière du présent DPA, sans qu'une signature manuscrite ou électronique séparée ne soit requise — conformément à la pratique usuelle des applications distribuées via la Shopify App Store.

Annexe 1 — Mesures de sécurité techniques et organisationnelles

• chiffrement des jetons d'accès Shopify au repos (AES-256-GCM), et chiffrement en transit (HTTPS/TLS) ;
• cloisonnement des données par marchand au niveau de la base de données (Row Level Security Supabase) ;
• sessions utilisateur via cookies httpOnly, inaccessibles au JavaScript côté client ;
• contrôles d'autorisation effectués côté serveur uniquement, avec filtrage systématique par identifiant de marchand ;
• secrets et clés d'API stockés en variables d'environnement côté serveur, jamais exposés au client ni versionnés dans le code ;
• séparation des environnements de test et de production, données de test exclusivement synthétiques ;
• anonymisation automatique des données personnelles au-delà des durées de conservation (Article 10).

Annexe 2 — Sous-traitants ultérieurs

• Supabase — base de données — Union européenne (Francfort) ;
• Vercel— hébergement de l'application — États-Unis ;
• Postmark — réception et envoi des emails — États-Unis ;
• Anthropic — traitement du langage par intelligence artificielle — États-Unis.