Contrat de sous-traitance (article 28 du RGPD)

entre le client (responsable du traitement, « le Client ») et le sous-traitant :

Merchant Tools — Renaud Pothin EI (entrepreneur individuel)
173 rue de Courcelles, 75017 Paris, France
support@merchanttools.eu
SIRET 895 296 895 00066
Version : 2026-10-21.1

1. Objet, durée, nature et finalité

Le sous-traitant fournit au Client la fonctionnalité électronique de rétractation et de résiliation de son site (formulaires, accusés de réception, archive des déclarations). La seule finalité est de recevoir, confirmer, transmettre et conserver les déclarations des consommateurs du Client. Le contrat dure tant que le service est utilisé.

2. Données et personnes concernées

Personnes : consommateurs qui déclarent une rétractation ou une résiliation sur le site du Client. Données : nom, prénom, le cas échéant raison sociale, adresse e-mail, numéro de commande, de contrat ou de client, articles concernés, type et motif de résiliation, date souhaitée, horodatage ; données techniques (adresse IP tronquée et hachée, identifiant du navigateur) supprimées après 90 jours.

3. Obligations du sous-traitant

• a) Traitement uniquement sur instruction documentée du Client (le présent contrat et les réglages du tableau de bord). Aucun transfert hors de l'Union européenne.
• b) Les personnes autorisées à traiter les données sont soumises à la confidentialité.
• c) Mesures de l'article 32 : hébergement en France (OVHcloud), chiffrement TLS, cloisonnement par client, empreintes SHA-256 d'intégrité, sauvegardes chiffrées, aucun cookie ni traceur sur les formulaires.
• d) Sous-traitant ultérieur : OVH SAS (hébergement et envoi des e-mails, France). Le Client donne une autorisation générale ; il est informé à l'avance par e-mail de tout changement et peut s'y opposer.
• e) Aide au Client pour répondre aux demandes des personnes concernées (export et suppression depuis le tableau de bord ou sur demande).
• f) Aide pour les obligations des articles 32 à 36 ; notification de toute violation de données au Client sans délai, au plus tard 48 heures après en avoir pris connaissance.
• g) En fin de contrat (fin de la durée de conservation après la fin de l'abonnement, suppression du compte sur demande, ou arrêt définitif du service selon les CGV) : restitution (export CSV/PDF) puis suppression de toutes les données sous 30 jours, sauf obligation légale de conservation. Pendant le service, les déclarations sont supprimées automatiquement à l'issue de la durée choisie (3 ou 5 ans à compter de la fin de l'année).
• h) Mise à disposition des informations nécessaires pour démontrer le respect de ces obligations et pour les audits ; information du Client si une instruction lui paraît contraire au droit de la protection des données.

4. Obligations du Client

Le Client est responsable du traitement. Il informe ses clients de ce traitement dans sa politique de confidentialité et traite lui-même les déclarations reçues (remboursement, fin du contrat).