Rôles : le client est responsable des données personnelles de ses clients, fournisseurs et collaborateurs. Nous les traitons en tant que sous-traitant exclusivement sur son mandat.
Objet, durée et finalité : mise à disposition de LagerLens selon les présentes CG, pour la durée du contrat et jusqu’à l’effacement selon le chiffre 11.
Données et personnes concernées : clients du client (nom, entreprise, e-mail, téléphone, adresse de livraison et de facturation, commandes, documents, paiements) ; utilisateurs du client (nom, e-mail, rôle, mouvements, connexions) ; fournisseurs (coordonnées). Aucune donnée personnelle sensible n’est prévue.
Instructions : nous traitons les données uniquement selon les présentes CG ainsi que selon les réglages et actions du client dans LagerLens. Si nous estimons qu’une instruction est illicite, nous en informons le client.
Confidentialité : les personnes ayant accès aux données sont tenues au secret. Nous n’accédons aux données d’un client que dans la mesure nécessaire à l’exploitation, à la sécurité ou au support.
Sécurité des données : nous prenons des mesures techniques et organisationnelles appropriées (art. 8 LPD), notamment : chiffrement lors de la transmission (HTTPS uniquement) et du stockage (AES-256) ; mots de passe uniquement sous forme de hash (PBKDF2) ; rôles avec droits échelonnés (le rôle « Entrepôt » ne voit aucune donnée client) ; séparation stricte des données par client ; données de test et de production séparées ; sauvegardes continues avec restauration à un moment antérieur ; journalisation des modifications et des accès aux données clients (12 mois).
Sous-traitants ultérieurs : le client approuve les sous-traitants ultérieurs selon la section 10. Nous annonçons les nouveaux au moins 30 jours à l’avance par e-mail ; le client peut s’y opposer pour juste motif et résilier le contrat pour la date du changement. Nous les obligeons à une protection des données équivalente et répondons d’eux comme de nos propres actes.
Communication à l’étranger : uniquement vers des États offrant une protection adéquate ou avec des garanties appropriées (p. ex. clauses contractuelles types, Swiss-U.S. Data Privacy Framework).
Assistance : nous assistons le client pour les demandes des personnes concernées (accès, rectification, effacement), les analyses d’impact et les annonces aux autorités, dans la mesure où notre traitement est concerné. Nous traitons les demandes de Shopify relatives à la protection des données (p. ex. effacement de données clients) dans les 30 jours.
Violations de la sécurité des données : nous annonçons au client toute violation de la sécurité des données concernant ses données dans les meilleurs délais, au plus tard dans les 48 heures après en avoir eu connaissance, avec les informations connues (art. 24, al. 3, LPD), et prenons les mesures nécessaires pour la circonscrire.
Fin du contrat : après la fin, le client peut encore lire et exporter ses données pendant 30 jours. Nous les effaçons ensuite dans un délai supplémentaire de 60 jours, sauf obligation de conservation ; les sauvegardes sont écrasées selon leur cycle normal.
Preuves : sur demande, nous fournissons au client les informations nécessaires pour démontrer le respect de ces règles. Un audit sur place est possible au maximum une fois par an, avec un préavis de 30 jours et aux frais du client.