Accord de sous-traitance des données personnelles — Mimir

Version 2026-10-16. Le présent accord fait partie des conditions générales d’utilisation de Mimir et prend effet avec leur acceptation expresse par le marchand. Il est fourni dans la même copie téléchargeable.

1. Parties, rôles et priorité

Le marchand professionnel qui contracte pour sa boutique Shopify est le responsable du traitement des données de ses clients. LPZ, société par actions simplifiée (SAS) à capital variable, SIREN 928 801 679, 6 bis avenue Durante, 06000 Nice, France, intervient en qualité de sous-traitant. Contact de protection des données : [email protected].

Pour ces traitements, le présent accord prévaut sur toute stipulation contradictoire des CGU. Les garanties impératives de protection des données restent applicables. LPZ traite séparément, sous sa propre responsabilité, les coordonnées contractuelles et échanges nécessaires à sa relation avec le marchand ; sa politique de confidentialité décrit ces traitements.

Shopify est le fournisseur de plateforme choisi par le marchand et transmet les données dans le cadre de ce contrat distinct. Il n’est pas présenté comme un prestataire recruté par LPZ pour l’hébergement de Mimir.

2. Description des traitements

LPZ ne vend pas les données clients, ne les emploie pas pour de la publicité et ne les utilise pas pour entraîner un modèle d’intelligence artificielle. L’utilisation d’un outil de développement ne vaut pas autorisation d’y copier des données réelles de boutique.

3. Instructions documentées

Le contrat, les paramétrages du marchand, ses actions dans l’application et les demandes de conformité Shopify constituent les instructions de traitement. Une instruction supplémentaire est confirmée par écrit via le contact autorisé. LPZ n’agit pas pour une finalité propre sur les données clients.

Si une instruction paraît illicite, LPZ en informe immédiatement le marchand et suspend l’opération concernée le temps de la clarification, sans compromettre la conservation ni la sécurité. Si une loi impose un traitement, LPZ informe le marchand avant celui-ci, sauf interdiction légale.

4. Accès et confidentialité

L’accès est limité aux personnes habilitées qui en ont besoin pour leur mission, liées par une obligation de confidentialité. LPZ tient un registre interne des habilitations, le revoit trimestriellement et retire sans délai les accès qui ne sont plus nécessaires. Les identités des intervenants ne sont pas publiées sur le site. Le responsable opérationnel est désigné en interne ; LPZ organise la continuité des obligations de sécurité en cas d’indisponibilité.

L’assistance privilégie des exemples fictifs, des captures masquées et des identifiants de diagnostic. Un accès à des données réelles est limité au périmètre nécessaire et consigné. Aucun mot de passe ou secret d’accès n’est sollicité par e-mail.

5. Sécurité et continuité

Le socle technique documenté comprend : TLS ; serveur réservé à Mimir chez Hetzner à Nuremberg ; chiffrement LUKS2 des données actives, PDF et stockages Docker/containerd ; swap chiffré ; sauvegardes quotidiennes chiffrées avant copie hors serveur ; séparation des boutiques ; authentification d’administration par clé SSH ; restrictions réseau et mises à jour de sécurité ; surveillance du service et des sauvegardes avec alertes.

Les sauvegardes suivent une rotation de huit jours localement et un retrait à vingt et un jours depuis la capture dans Cloudflare R2, juridiction UE. Un nettoyage horaire indépendant vérifie leur disparition et signale un échec ou un contrôle périmé. La règle native R2 de même durée reste un complément asynchrone, et non le seul mécanisme de suppression. Leur intégrité est vérifiée et des restaurations de contrôle sont effectuées. LPZ prévoit une restauration de contrôle trimestrielle et après changement important de la chaîne de sauvegarde. Le déverrouillage du volume après redémarrage exige une intervention habilitée ; aucun délai garanti de reprise n’est annoncé.

Le journal des consultations, actions authentifiées, traitements automatiques et remises de documents conserve pendant 400 jours l’identifiant pseudonyme du membre Shopify lorsqu’il est disponible, ou celui du service, l’action, l’objet et la date. Une défaillance d’écriture empêche l’accès applicatif concerné et est contrôlée par la surveillance. Les connexions et interventions privilégiées sur le serveur font l’objet d’une journalisation distincte sur le volume chiffré, avec rotation par taille et surveillance de son fonctionnement. Elle ne constitue pas un enregistrement exhaustif des requêtes SQL ni un journal inviolable face à l’administrateur du serveur. Le registre de consommation utilise des identifiants techniques, les dates de période, les quantités et les états de transmission. Aucun contenu de facture, nom ou coordonnées de client n’est envoyé à Shopify App Events. Le registre local est purgé quotidiennement après treize mois depuis la fin de la période concernée, et lors de la suppression de la boutique.

Les comptes d’administration sont protégés par une double authentification lorsque le service le permet ; les secrets de secours sont conservés hors du serveur dans un coffre à accès restreint.

LPZ réévalue les risques et les mesures lors d’un changement significatif et au moins annuellement. Elle traite les vulnérabilités en fonction de leur criticité et évite toute réduction matérielle des garanties sans information préalable. Les mesures ne sont pas présentées comme une absence absolue de risque.

6. Sous-traitants ultérieurs

Le marchand donne une autorisation générale encadrée pour les prestataires nécessaires aux opérations suivantes :

Cloudflare Pages héberge le site vitrine et traite notamment des informations techniques de visiteurs. Healthchecks reçoit des signaux d’exploitation, sans contenu de commande ou de pièce ; le service traite néanmoins des coordonnées de compte/alerte et des métadonnées techniques. Ces activités pour LPZ figurent dans son propre registre : elles ne sont pas qualifiées d’anonymes. Si leur usage évolue vers un traitement de données clients, cette liste est mise à jour avant ce nouveau traitement.

LPZ impose aux sous-traitants ultérieurs des obligations de protection adaptées et au moins équivalentes pour les traitements confiés, et demeure responsable envers le marchand de leur exécution. Elle annonce un ajout ou remplacement au moins trente jours à l’avance au contact professionnel. Le marchand peut s’y opposer pour des motifs documentés de protection des données pendant ce délai. Les parties cherchent une solution ; faute de solution, le traitement concerné ne commence pas pour ce marchand et une fin de service avec restitution est organisée. Les droits d’opposition ne sont pas neutralisés par une simple publication silencieuse sur le site.

7. Localisation et transferts

Le stockage principal et les objets de sauvegarde sont dans l’Union européenne. Cela ne constitue pas une garantie d’absence de tout transfert ou accès depuis un pays tiers, notamment pour le support des prestataires et la messagerie.

Avant tout transfert relevant de sa responsabilité, LPZ identifie les acteurs, pays, catégories de données et fondements du chapitre V du RGPD, vérifie leur validité et, si nécessaire, met en place les clauses contractuelles types, l’évaluation du transfert et les mesures complémentaires appropriées. Elle met les informations pertinentes à disposition du marchand. Une société mère américaine ou la seule mention « stockage UE » ne suffit pas à déduire la licéité ou l’absence d’un transfert. Aucune garantie non vérifiée n’est déclarée comme acquise dans le questionnaire Shopify.

8. Assistance et droits des personnes

Le marchand décide de la suite à donner aux demandes de ses clients. LPZ transmet sans retard indu une demande reçue directement, sans répondre au fond à sa place sauf instruction ou obligation légale. Les notifications Shopify restent traitées même si l’utilisateur n’ouvre pas l’application.

Pour une demande d’assistance relative aux droits, les objectifs de service sont une première réponse sous trois jours ouvrés et la fourniture des premiers éléments disponibles sous cinq jours ouvrés. Ces objectifs sont indicatifs et adaptés à l’échéance applicable : ils ne constituent ni une prorogation d’un délai légal ou Shopify ni une autorisation de différer une assistance urgente. LPZ organise son assistance pour permettre au marchand de respecter ses obligations et l’informe de toute difficulté de traitement. Une vérification proportionnée de l’autorité du demandeur est effectuée ; aucun justificatif d’identité n’est demandé systématiquement.

La page Confidentialité prépare le rapport d’accès pour le marchand, qui le complète, le transmet de manière sûre et marque la demande traitée. Cette action efface le contenu de la demande stocké dans Mimir. Le simple accusé de réception d’un webhook ne vaut pas réponse à la personne. Les actions demandées par Shopify sont achevées dans son délai de trente jours, sauf exception légale documentée.

Pour une demande d’effacement client, le cache concerné est supprimé et des marqueurs minimaux empêchent sa recréation. Les factures, avoirs et exports comptables déjà produits peuvent contenir les données nécessaires à une obligation de conservation du marchand. Cette exception est limitée à cette finalité et doit être justifiée par le marchand ; elle ne vaut pas refus général d’effacer toute donnée de ce client. LPZ assiste le marchand pour retirer les données restantes qui ne relèvent pas de cette obligation.

LPZ apporte l’assistance nécessaire aux obligations de sécurité, analyses d’impact, consultations d’autorité et demandes de contrôle, compte tenu des informations dont elle dispose. Elle ne facture pas la correction de son propre manquement. Des travaux exceptionnels peuvent faire l’objet d’un devis préalable sans faire obstacle à une assistance légalement obligatoire ou urgente.

9. Violations de données et incidents

LPZ informe chaque marchand concerné sans retard indu après avoir eu connaissance d’une violation de ses données personnelles, conformément à l’article 33, paragraphe 2 du RGPD. Elle fournit un premier avis avec les informations disponibles, sans attendre la fin de l’enquête ni un dossier complet. L’appréciation de la diligence tient compte des circonstances concrètes ; les démarches et éventuelles difficultés sont documentées. Aucun délai d’attente forfaitaire ni report automatique au prochain jour ouvré n’est prévu.

L’avis décrit les faits connus, les catégories de données et de personnes, les volumes connus ou estimés, les conséquences possibles, les mesures de confinement et de correction et le point de contact. Les informations encore inconnues sont identifiées comme telles. Les informations complémentaires significatives sont transmises sans retard indu. La fréquence des points de suivi est adaptée à la gravité, à l’évolution de l’incident et aux échéances du marchand ; la prochaine échéance de suivi lui est communiquée et réévaluée si nécessaire. Aucun compte rendu quotidien systématique n’est promis.

L’e-mail du contact contractuel est le canal initial ; LPZ conserve la preuve d’envoi, surveille les échecs et utilise un autre contact professionnel connu si nécessaire. Aucune donnée client brute ni secret n’est inclus dans une notification ordinaire.

Le marchand, responsable du traitement, décide des notifications à l’autorité et aux personnes. LPZ lui fournit les éléments nécessaires et ne lui substitue pas sa propre appréciation. Pour les traitements dont LPZ est elle-même responsable, elle assume directement ses propres obligations de notification. La procédure interne documente aussi les événements n’ayant pas nécessité de notification.

Ces dispositions ne remplacent pas les obligations distinctes de LPZ envers Shopify. En cas de violation ou de compromission avérée ou suspectée des données marchands au sens des conditions API Shopify, LPZ doit prévenir Shopify immédiatement et au plus tard vingt-quatre heures après en avoir connaissance, sans attendre la réparation ni la conclusion de l’enquête. Ce signalement ne remplace pas l’avis dû au marchand et ne reporte aucune échéance légale.

10. Durées, restitution et suppression

Les durées et exceptions de l’article 6 des CGU font partie des instructions convenues et s’appliquent au présent accord. Les sources liées aux pièces ne sont pas confondues avec le cache ordinaire ; les fichiers d’export ne sont pas confondus avec les PDF originaux des pièces.

Au choix du marchand et avant désinstallation, les données traitées lui sont restituées dans les formats disponibles, ou supprimées sur instruction licite. L’archive annuelle des pièces est disponible sur tous les forfaits. Pour les autres données à restituer, le support organise un export approprié avant la fin d’accès. Le marchand vérifie la récupération effective de ses fichiers.

À la désinstallation et à réception des notifications Shopify, la suppression suit le cycle décrit dans les CGU. Le traitement est suivi jusqu’à son terme ; LPZ peut en fournir une confirmation. La conservation légale des pièces reste à la charge du marchand après restitution, sauf obligation légale imposée directement à LPZ, qui est alors documentée et notifiée si permis.

Les copies dans les sauvegardes sont exclues de tout usage courant, restent protégées et suivent la rotation et le retrait vérifié décrits en section 5. Une restauration s’effectue dans un environnement isolé : les suppressions postérieures à la copie et les règles de rétention sont réappliquées avant toute remise à disposition.

Pour les données traitées pour le compte du marchand, seuls les identifiants minimaux nécessaires à la prévention d’une recréation restent après l’effacement : identifiants de commandes pendant le service, domaine de boutique et dates de purge jusqu’à une éventuelle réinstallation après suppression complète. Ils ne sont ni un historique commercial ni des pièces comptables. Leur nécessité est revue annuellement. La preuve d’acceptation suit l’article 12 et n’est pas une exception générale à l’effacement Shopify.

11. Information, contrôles et audit

LPZ tient à disposition les informations nécessaires pour démontrer ses obligations et coopère avec le marchand, son auditeur soumis à confidentialité et l’autorité compétente. Un audit documentaire est privilégié, sans exclure une inspection nécessaire des traitements confiés.

Un préavis de trente jours et une fréquence annuelle sont prévus pour les contrôles ordinaires. Ils ne limitent pas un contrôle supplémentaire justifié par un incident, un manquement suspecté ou une demande d’autorité, pour lequel les délais sont adaptés à l’urgence. Les accès respectent la sécurité du service et la confidentialité des autres marchands. Un test intrusif doit être coordonné préalablement, sans interdire un contrôle effectif.

Chaque partie supporte ses frais ordinaires. Une prestation exceptionnelle n’est facturée qu’après accord écrit ; les frais ou contraintes ne peuvent vider le droit d’audit de sa portée. LPZ corrige à ses frais ses manquements établis et rend compte des suites.

12. Fin de l’accord et preuve

L’accord reste applicable pendant toute détention résiduelle de données du marchand, y compris dans les sauvegardes. Les obligations de confidentialité survivent à sa fin. Pendant l’installation, la preuve minimale comprend boutique, contact professionnel, identifiant Shopify de l’auteur, date, version et empreinte des textes. Elle est téléchargeable par le marchand. Toutes les preuves liées à la boutique et le contact actif sont supprimés à réception de la notification de désinstallation, et à nouveau sur shop/redact si nécessaire. Les versions génériques des textes sont conservées sans lien avec la boutique. Les sauvegardes suivent la rotation décrite en section 5, avec rejeu des suppressions avant reprise.

Aucune conservation nominative automatique de cinq ans n’est prévue. Une obligation légale précise ou un litige concret nécessite une analyse distincte du fondement, des données strictement nécessaires, du délai et des conditions Shopify ; aucune copie parallèle ni exception automatique n’est créée à ce titre.