Accord de sous-traitance

Data Processing Agreement (DPA) — article 28 du RGPD — Version 1.1 — en vigueur depuis le 1er octobre 2026

Entre les parties

Le Responsable de traitement (le « Client ») : le commerçant titulaire d'un compte sur la plateforme Hafidy.

Le Sous-traitant (« Hafidy ») : LYOUBI HAMZA, Entrepreneur individuel (EI), nom commercial « Hafidy », SIREN 102 740 446, adresse : 1 rue du Soleil Levant, 92140 Clamart, France, éditeur du service accessible sur hafidy.fr.

Article 1 – Objet

Le présent accord fixe les conditions dans lesquelles Hafidy traite des données personnelles pour le compte du Client, conformément à l'article 28 du RGPD. Il fait partie des CGV ; en cas de contradiction sur la protection des données, le présent accord prévaut.

Article 2 – Description du traitement

Article 3 – Instructions du Client

• Hafidy traite les données uniquement sur instructions documentées du Client. Ces instructions sont constituées par les CGV, le présent accord et les réglages choisis par le Client dans son espace.
• Le Client donne instruction à Hafidy d'exécuter les demandes de suppression faites par un client final depuis la page de sa carte (« Supprimer mes données »).
• Hafidy ne transfère pas les données hors de l'Union européenne en dehors de ce que prévoient le présent accord et la liste de l'article 6, sauf obligation légale ; il en informe alors le Client avant le traitement, sauf si la loi l'interdit.
• Hafidy alerte immédiatement le Client s'il estime qu'une instruction enfreint le RGPD ou une autre règle de protection des données.
• Hafidy n'utilise pas les données à ses propres fins ni à celles de tiers.

Article 4 – Confidentialité

Hafidy veille à ce que toute personne autorisée à traiter les données soit soumise à une obligation de confidentialité, et limite l'accès aux seules personnes qui en ont besoin.

Article 5 – Sécurité (article 32 du RGPD)

Hafidy met en œuvre notamment les mesures suivantes :

• Communications chiffrées (HTTPS), avec HSTS
• Mots de passe hachés avec bcrypt
• Sessions révocables côté serveur
• Limitation du nombre de requêtes contre la force brute et les abus
• Séparation logique des données de chaque commerçant
• Journal des actions d'administration
• Accès d'administration restreint et vérifié à chaque action
• Sauvegardes de la base de données gérées par l'hébergeur de base de données

Ces mesures sont réexaminées et adaptées à l'évolution des risques.

Article 6 – Sous-traitants ultérieurs

Le Client autorise Hafidy à recourir aux sous-traitants ultérieurs suivants :

• Hafidy impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent accord (article 28.4 du RGPD), notamment des garanties suffisantes de sécurité. Hafidy reste pleinement responsable envers le Client de leur respect.
• Hafidy informe le Client par email au moins 30 jours à l'avance de tout ajout ou remplacement d'un sous-traitant ultérieur.
• Le Client peut s'y opposer par écrit, de façon motivée, pendant ce délai. Les parties recherchent alors une solution ; à défaut, le Client peut résilier sans frais avant la prise d'effet du changement.

Article 7 – Transferts hors de l'Union européenne

Les transferts vers les États-Unis reposent sur le Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023) et/ou sur les clauses contractuelles types (décision (UE) 2021/914). La base de données est hébergée au Royaume-Uni, pays qui bénéficie d'une décision d'adéquation.

Article 8 – Droits des personnes concernées

• Hafidy aide le Client à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition) : depuis son espace, le Client peut consulter, modifier, supprimer et exporter (CSV) les données d'un client.
• Les clients finaux peuvent supprimer eux-mêmes leurs données depuis la page de leur carte, sur instruction du Client (article 3).
• Toute autre demande reçue directement par Hafidy est transmise sans délai au Client, qui y répond.

Article 9 – Analyse d'impact et consultation préalable

Hafidy fournit au Client, à sa demande, les informations dont il dispose pour réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) et, le cas échéant, pour consulter la CNIL au préalable (article 36).

Article 10 – Violation de données

Hafidy informe le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données le concernant, par email et/ou dans le tableau de bord. Il lui transmet, dès qu'elles sont connues, et au besoin en plusieurs fois :

• la nature de la violation ;
• les catégories et le nombre approximatif de personnes et de données concernées ;
• les conséquences probables ;
• les mesures prises ou proposées pour y remédier et en limiter les effets ;
• le contact auprès duquel obtenir des informations.

Il appartient au Client, responsable de traitement, de notifier la violation à la CNIL (article 33) et d'en informer les personnes concernées lorsque c'est nécessaire (article 34). Hafidy l'y aide. Pour ses propres traitements, Hafidy notifie lui-même la CNIL dans les 72 heures.

Article 11 – Documentation et audits

Hafidy met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD).

Le Client peut faire réaliser un audit, par lui-même ou par un auditeur tenu au secret qu'il mandate, après un préavis de 30 jours et au plus une fois par an (sauf violation de données ou demande d'une autorité). L'audit ne doit pas perturber le Service ni donner accès aux données des autres clients. Il est à la charge du Client.

Article 12 – Fin du contrat : restitution et suppression

• Le Client peut exporter à tout moment, quelle que soit sa formule et y compris après la fin d'un abonnement payant, les données de ses clients finaux au format CSV. Cet export vaut restitution des données.
• La fin d'un abonnement payant ne supprime aucune donnée : le compte repasse sur la formule Découverte.
• L'export est proposé au Client avant la suppression de son compte.
• Les données traitées pour le Client sont supprimées 30 jours après la suppression du compte. Les sauvegardes qui les contiennent sont écrasées dans un délai de 30 jours supplémentaires.
• Hafidy n'en conserve aucune copie, sauf obligation légale.

Article 13 – Obligations du Client

Le Client s'engage à :

• disposer d'une base légale pour chaque traitement et ne transmettre que des données collectées licitement ;
• informer ses clients finaux et ses employés du traitement de leurs données (il peut renvoyer ses clients vers la politique client final, sans que cela le décharge de son obligation) ;
• recueillir le consentement lorsqu'il est requis, notamment pour certaines communications commerciales ;
• ne saisir aucune donnée sensible ;
• répondre aux demandes de ses clients et de ses employés ;
• tenir, le cas échéant, son propre registre des traitements.

Article 14 – Responsabilité

Chaque partie répond de ses propres manquements envers les personnes concernées et les autorités, conformément à l'article 82 du RGPD. Entre les parties, la responsabilité de Hafidy suit les règles de l'article 13 des CGV, dans la mesure permise par la loi.

Article 15 – Entrée en vigueur et durée

Le présent accord s'applique dès la création du compte du Client et prend fin lorsque toutes les données traitées pour son compte ont été supprimées dans les conditions de l'article 12.

Article 16 – Contact protection des données

Pour toute question sur la protection des données :
Email : contact@hafidy.fr

Versions précédentes