Juridique

Accord de traitement des données

Dernière mise à jour : 11 octobre 2026

Cette traduction est fournie à titre indicatif. En cas de divergence, la version anglaise fait foi.

Le présent Accord de traitement des données (« DPA ») fait partie intégrante des Conditions d'utilisation conclues entre Summer Apps (« Summer Apps », « nous ») et le marchand qui installe notre application Shopify Summer Upsell & Cross Sell (le « Marchand », « vous »). Il s'applique chaque fois que nous traitons des données personnelles pour votre compte dans le cadre de l'application.

En installant ou en continuant à utiliser l'application, vous acceptez le présent DPA. Si vous avez besoin d'une copie signée ou si votre organisation exige des conditions supplémentaires, contactez-nous via notre page de contact.

1. Parties et rôles

Pour les données de boutique que nous traitons afin de fournir l'application — votre catalogue de produits, la configuration des campagnes, les statistiques agrégées des widgets et les lignes de commande — vous êtes le responsable du traitement (ou « entreprise » au sens des lois des États américains sur la vie privée) et Summer Apps est le sous-traitant (« prestataire de services »).

Pour les données que nous collectons à nos propres fins — vos coordonnées et données de compte, les données de facturation, le journal d'activité de l'application et les statistiques produit de l'administration — Summer Apps est un responsable du traitement indépendant. Ce traitement est décrit dans notre Politique de confidentialité.

« Données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « autorité de contrôle » ont le sens donné par le Règlement général sur la protection des données de l'UE (RGPD) et, le cas échéant, le RGPD britannique.

2. Objet et durée

L'objet du traitement est la fourniture de l'application Summer Upsell & Cross Sell et de ses widgets de boutique à votre boutique Shopify. Le traitement se poursuit tant que l'application est installée et prend fin lorsque l'application est désinstallée et que vos données ont été supprimées conformément à la Section 6.

3. Nature et finalité du traitement

Nous traitons les données personnelles uniquement dans la mesure nécessaire pour :

  • afficher des widgets d'upsell et de cross-sell sur votre boutique et appliquer les remises que vous configurez ;
  • mesurer la performance des widgets (impressions, clics d'ajout au panier, conversions et chiffre d'affaires attribué) et vous la présenter dans l'application ;
  • générer des recommandations de produits avec Summer AI lorsque vous en faites la demande ;
  • exploiter, sécuriser et assurer le support de l'application.

4. Catégories de personnes concernées

  • Personnel du marchand : le propriétaire de la boutique et les membres du personnel qui utilisent l'application dans l'administration Shopify.
  • Clients finaux : les acheteurs qui visitent votre boutique ou passent des commandes. Nous ne traitons leurs données que de manière agrégée (comptages et lignes de commande) et ne stockons ni noms, ni adresses, ni e-mails, ni numéros de téléphone, ni aucun identifiant d'acheteur.

5. Catégories de données personnelles

Les catégories de données personnelles sont décrites à la Section 2.3 de notre Politique de confidentialité. En résumé :

  • Données de la boutique et du compte : domaine et nom de la boutique, nom et e-mail du propriétaire, langue, devise et marchés de la boutique, catalogue de produits.
  • Données de session du personnel : nom, e-mail et langue des membres du personnel utilisant l'application.
  • Données de commande : identifiant de commande et lignes de commande (produit, quantité, prix, remises, propriété de campagne).
  • Statistiques agrégées de la boutique : impressions, clics, conversions et chiffre d'affaires attribué, sans identifiant d'acheteur.
  • Journal d'activité : action effectuée, domaine de la boutique et, lorsqu'il est disponible, e-mail du membre du personnel concerné.

Nous ne traitons aucune catégorie particulière de données personnelles.

6. Obligations du sous-traitant

Summer Apps s'engage à :

  • traiter les données personnelles uniquement sur vos instructions documentées — votre installation et configuration de l'application, les API de Shopify et le présent DPA constituent ces instructions — sauf obligation légale contraire, auquel cas nous vous en informerons avant le traitement lorsque la loi le permet ;
  • veiller à ce que toute personne autorisée à traiter des données personnelles soit tenue par une obligation de confidentialité ;
  • mettre en œuvre les mesures techniques et organisationnelles décrites à la Section 7 ;
  • ne recourir à des sous-traitants ultérieurs que dans les conditions prévues à la Section 8 ;
  • vous aider, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées et à respecter vos obligations en matière de sécurité, de notification des violations et d'analyses d'impact relatives à la protection des données ;
  • vous notifier sans retard injustifié, et en tout cas dans les 72 heures après en avoir pris connaissance, toute violation de données personnelles affectant vos données, et vous fournir les informations nécessaires pour remplir vos propres obligations de notification ;
  • supprimer vos données personnelles lors de la désinstallation de l'application ou de la fin du présent DPA, dans les délais prévus à la Section 7 de la Politique de confidentialité, sauf obligation légale de conservation ;
  • mettre à votre disposition, sur demande, les informations nécessaires pour démontrer le respect du présent DPA, et permettre la réalisation d'audits, y compris des inspections, menés par vous ou par un auditeur que vous mandatez, et y contribuer, moyennant un préavis raisonnable et au plus une fois par an sauf exigence contraire d'une autorité de contrôle.

7. Mesures de sécurité

Nous maintenons des mesures techniques et organisationnelles appropriées, notamment :

  • le chiffrement en transit (HTTPS/TLS) de tout le trafic entre les acheteurs, l'administration Shopify, nos serveurs et nos prestataires ;
  • le chiffrement au repos de notre base de données (MongoDB Atlas) ;
  • l'OAuth Shopify avec les autorisations d'accès minimales requises et la vérification de signature (HMAC) de chaque webhook et de chaque requête du proxy de boutique ;
  • un accès aux systèmes de production fondé sur les rôles et limité au personnel autorisé, avec Cloudflare devant nos serveurs ;
  • des journaux serveur conservés au maximum 90 jours et la suppression des données de l'application à la désinstallation.

8. Sous-traitants ultérieurs

Vous nous autorisez à faire appel aux sous-traitants ultérieurs énumérés à la Section 5 de notre Politique de confidentialité, qui constitue la liste actuelle des sous-traitants ultérieurs. Nous mettrons cette liste à jour et vous informerons au moins 30 jours à l'avance — par e-mail ou par un avis dans l'application — avant d'ajouter ou de remplacer un sous-traitant ultérieur qui traite vos données personnelles. Si vous vous y opposez pour des motifs raisonnables liés à la protection des données et que nous ne pouvons résoudre l'objection, vous pouvez résilier en désinstallant l'application.

Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent DPA et demeurons responsables de leur exécution.

9. Transferts internationaux

Nous sommes établis aux États-Unis et y traitons vos données. Lorsque vos données proviennent de l'EEE, du Royaume-Uni ou de la Suisse, le transfert est régi par les Clauses Contractuelles Types de l'UE (Module 2, responsable du traitement vers sous-traitant) et l'addendum britannique sur les transferts internationaux de données, incorporés au présent DPA par référence, ainsi que par les clauses équivalentes des accords conclus avec nos sous-traitants ultérieurs. Lorsqu'un sous-traitant ultérieur est certifié dans le Cadre de protection des données UE-États-Unis, nous nous appuyons également sur cette certification. Une copie du mécanisme applicable est disponible sur demande via notre page de contact.

10. Demandes des personnes concernées

Si nous recevons une demande d'une personne concernée relative à votre boutique, nous vous la transmettrons sans retard injustifié et n'y répondrons pas directement, sauf pour en accuser réception ou lorsque la loi l'exige. Les demandes soumises via le flux de demandes de confidentialité de Shopify nous parviennent sous forme de webhooks customers/data_request et customers/redact, auxquels nous répondons sous 30 jours. Comme nous ne détenons aucune donnée personnelle de client final, une demande d'accès reçoit une confirmation qu'il n'y a rien à restituer.

11. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux exclusions et limitations prévues dans les Conditions d'utilisation. Rien dans le présent DPA ne limite la responsabilité de l'une ou l'autre partie envers les personnes concernées ou les autorités de contrôle lorsque la loi applicable interdit une telle limitation.

12. Droit applicable et contact

Le présent DPA est régi par le droit applicable aux Conditions d'utilisation. Lorsque les Clauses Contractuelles Types s'appliquent, leurs clauses relatives au droit applicable et à la juridiction prévalent pour les matières qu'elles couvrent. En cas de conflit entre le présent DPA et les Conditions, le présent DPA prévaut pour les questions de protection des données.

Questions concernant le présent DPA :