Accord de sous-traitance des données (article 28 du RGPD)
Le magasin est responsable du traitement des données de ses clients ; Bike Shop Network (Benoît Morin, entrepreneur individuel, voir les mentions légales) est sous-traitant. Cet accord fait partie des conditions générales d'abonnement : il est accepté avec elles, en cochant une case à la création du magasin et avant le premier paiement, et s'applique pendant toute la durée de l'abonnement.
1. Objet, nature, finalité et durée
- Objet et finalité : fournir le service souscrit par le magasin : site, réservations et rendez-vous, atelier, comptoir, fidélité et cartes cadeaux, application client, messages (e-mails, SMS, notifications), assistant et agents IA, statistiques, recrutement.
- Nature des opérations : hébergement, enregistrement, consultation, mise à jour, envoi de messages, calculs (points, relances, statistiques), export et effacement.
- Durée : celle de l'abonnement, plus la période d'export et de suppression de l'article 10.
- Personnes concernées : clients et prospects du magasin, visiteurs de son site et de son application, candidats à ses offres d'emploi, membres de son équipe.
- Catégories de données : identité et coordonnées, vélos et historique d'atelier, réservations, achats, devis et factures, fidélité et cartes cadeaux, messages échangés et conversations avec l'assistant, consentements et désabonnements (registre des preuves : méthode, texte présenté, membre de l'équipe qui l'a enregistré, adresse ou numéro), candidatures, horaires et pointages de l'équipe, données de connexion. Le service ne demande aucune donnée sensible (santé, opinions…) : le magasin et ses clients ne doivent pas en saisir.
2. Instructions du magasin
Bike Shop Network traite les données uniquement sur instruction documentée du magasin : ces conditions, les réglages qu'il choisit dans le back-office et ses demandes écrites. Si une instruction nous paraît contraire au RGPD ou à une autre règle de protection des données, nous en informons immédiatement le magasin. Nous ne traitons pas ces données pour nos propres fins (notamment pas pour notre prospection), sauf obligation légale, dont nous informons le magasin avant le traitement si la loi le permet.
Règles d'envoi des offres, que le magasin accepte comme instructions :
- Preuve de l'accord : chaque accord ou retrait est inscrit dans un registre qu'on ne peut ni modifier ni effacer, gardé 5 ans après le retrait de l'accord ou la suppression de la fiche du client.
- Double confirmation : une inscription faite sur le site du magasin ne vaut qu'après un clic sur le lien envoyé à l'adresse ou au numéro saisi (jeton gardé haché, valable 7 jours ; demande effacée au bout de 30 jours).
- Fréquence et heures : 2 offres par mois au plus par client et par canal (magasins de l'Union européenne, du Royaume-Uni et de Suisse) ; SMS d'offres seulement aux heures permises ; aux États-Unis et au Canada, accord écrit, numéro enregistré ou vérifié, mentions obligatoires.
- Liste commune des refus : un STOP, un rebond définitif ou un signalement comme spam reçu pour une adresse ou un numéro vaut pour tous les magasins de la plateforme, qui envoient par les mêmes prestataires ; l'accord aux offres est alors retiré dans la fiche du client chez chaque magasin qui lui a écrit depuis 13 mois. Bike Shop Network tient cette liste (adresse ou numéro, motif, prestataire, date) pour son propre compte ; aucun magasin ne peut la consulter.
3. Confidentialité
Les personnes autorisées à traiter les données (Benoît Morin et, le cas échéant, les membres de l'équipe du support) sont tenues à la confidentialité par un engagement écrit ou une obligation légale. L'équipe du support n'accède aux données d'un magasin qu'en lecture, pour répondre à une demande du magasin ou résoudre un incident.
4. Sécurité (article 32)
Chiffrement des échanges (HTTPS), cloisonnement entre magasins assuré par la base de données (sécurité par ligne), accès selon le rôle de chaque membre de l'équipe, mots de passe et codes PIN jamais stockés en clair, sauvegardes, mises à jour de sécurité, protection des formulaires contre les robots, liens de confirmation gardés sous forme d'empreinte, plafonds d'envoi par numéro et par magasin contre la fraude, durées de conservation appliquées automatiquement.
5. Sous-traitants ultérieurs
Le magasin autorise de façon générale le recours aux sous-traitants ultérieurs ci-dessous. Bike Shop Network leur impose par contrat des obligations de protection des données au moins équivalentes à celles de cet accord, et reste responsable devant le magasin de leur respect.
| Sous-traitant | Rôle | Pays | Garanties |
|---|---|---|---|
| Supabase | Base de données, connexion | Union européenne (région Europe) | Accord de traitement, clauses types |
| Vercel | Hébergement des sites et des applications | États-Unis | Accord de traitement, Data Privacy Framework |
| Cloudflare | DNS, réseau, protection anti-robots | États-Unis | Accord de traitement, Data Privacy Framework |
| Resend | Envoi des e-mails | États-Unis | Accord de traitement, clauses types |
| Brevo ou Twilio | Envoi des SMS, selon le prestataire activé | France (Brevo) ; États-Unis (Twilio) | Accord de traitement ; Data Privacy Framework (Twilio) |
| Anthropic | Assistant IA du site, agents IA, textes proposés (messages effacés sous 30 jours, jamais utilisés pour entraîner ses modèles) | États-Unis | Accord de traitement des conditions commerciales, clauses types |
Les notifications de l'application client passent, chiffrées, par le service de notification du navigateur du client (Google, Apple ou Mozilla), seulement s'il les a activées.
Tout ajout ou remplacement d'un sous-traitant ultérieur est annoncé au magasin par e-mail 30 jours à l'avance. Pendant ce délai, le magasin peut s'y opposer par écrit pour un motif lié à la protection des données ; faute de solution, il peut résilier son abonnement sans frais, et la part payée d'avance pour la période restante lui est remboursée.
6. Transferts hors de l'Union européenne
Quand un sous-traitant traite des données hors de l'Union européenne, le transfert est encadré par le cadre de protection des données UE–États-Unis (Data Privacy Framework) quand il y adhère, sinon par les clauses contractuelles types de la Commission européenne.
7. Droits des personnes
Le back-office permet au magasin de répondre lui-même : consulter, corriger, exporter (CSV, JSON) ou supprimer une fiche, gérer les consentements et les désabonnements. Si une personne nous écrit directement, nous transmettons sa demande au magasin sans délai et n'y répondons pas à sa place, sauf instruction de sa part. Nous aidons le magasin, dans la mesure du possible, à répondre dans les délais.
8. Violations de données
Nous prévenons le magasin sans délai, et au plus tard 48 heures après en avoir pris connaissance, de toute violation de données le concernant : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées, personne à contacter. Le magasin décide de la notification à l'autorité de contrôle et aux personnes concernées ; nous l'aidons à la préparer.
9. Aide au magasin
Nous aidons le magasin à respecter ses obligations de sécurité (article 32), de notification des violations (articles 33 et 34), d'analyse d'impact et de consultation préalable (articles 35 et 36), en lui donnant les informations dont nous disposons.
10. Fin du contrat : restitution puis suppression
À la fin de l'abonnement, le magasin choisit : récupérer ses données (export complet et gratuit, article 5 des conditions, pendant 30 jours), puis en demander la suppression, ou demander leur suppression immédiate. Nous les supprimons dans les 30 jours qui suivent sa demande, sauvegardes comprises. Nous ne gardons une copie que si la loi l'impose (factures que nous avons émises au magasin). La liste commune des refus (article 2) n'est pas une donnée du magasin : elle reste tenue pour que les refus continuent d'être respectés.
11. Audits et inspections
Nous mettons à la disposition du magasin toutes les informations nécessaires pour démontrer le respect de l'article 28 : description des mesures de sécurité, liste à jour des sous-traitants, accords signés avec eux, certifications et rapports d'audit de nos hébergeurs. Le magasin, ou un auditeur indépendant tenu au secret qu'il mandate, peut réaliser un audit, y compris une inspection, une fois par an ou après une violation de données, avec un préavis écrit de 30 jours. L'audit ne doit pas donner accès aux données des autres magasins ni compromettre la sécurité du service. Chaque partie supporte ses propres frais.
12. Engagements du magasin
Le magasin collecte les données de ses clients de façon licite, les informe (pages légales de son site : modèles fournis, à faire vérifier) et recueille leur accord quand il est requis (offres par e-mail ou SMS, cookies publicitaires). Quand il note un accord, il indique la façon dont il a réellement été donné ; pour des SMS d'offres vers les États-Unis ou le Canada, il recueille un accord écrit et déclare son numéro enregistré (10DLC) ou vérifié. Il donne à chaque membre de son équipe le rôle qui correspond à ses missions.
13. Contact
privacy@bikeshop-network.com · Version du 26 octobre 2026.