Cette page est une traduction fournie pour votre commodité. La version anglaise fait foi sur le plan juridique.

En vigueur à compter du 1er septembre 2026

Rôles

Le marchand est le responsable du traitement des données personnelles de ses clients, et Point Blank Engineering Limited agit en qualité de sous-traitant. Nous sommes responsable du traitement uniquement pour les données de compte du marchand, comme les coordonnées du propriétaire de la boutique. Notre accord de traitement des données (DPA) fixe les conditions applicables au sous-traitant ; écrivez à support@subscriptions.super-simple.co pour en obtenir un exemplaire.

Lieu d'hébergement des données

Notre équipe accède aux systèmes de production depuis la Bulgarie, dans l'Union européenne.

Sous-traitants ultérieurs

Shopify est la plateforme sur laquelle l'application fonctionne. Si un marchand connecte Klaviyo, l'application envoie des événements de notification vers le propre compte Klaviyo du marchand, sur instruction de celui-ci. Nous prévenons avant d'ajouter ou de remplacer un sous-traitant ultérieur, afin que les marchands puissent s'y opposer.

Données personnelles conservées par l'application

• Marchands : adresses e-mail de contact de la boutique, nom du propriétaire de la boutique, identifiants des utilisateurs Shopify du personnel dans le journal d'audit de l'administration, messages du chat d'assistance et analyses d'utilisation de l'administration.
• Clients : identifiants Shopify de client, d'abonnement et de commande ; statut et historique des abonnements ; adresses de livraison saisies par les clients dans le portail client ; adresses e-mail auxquelles les notifications ont été envoyées ; notes du marchand ; motifs et commentaires de suspension et de résiliation ; et informations sur les abonnements importés depuis une autre application.
• Non conservées : les données de carte de paiement, qui restent chez Shopify. Les autres noms, e-mails et adresses de clients sont lus en direct depuis Shopify et ne sont pas stockés.

Mesures de sécurité

• Chiffrement en transit : TLS pour toutes les connexions à l'application. L'équilibreur de charge accepte uniquement le HTTPS, et uniquement en provenance du CDN.
• Chiffrement au repos : la base de données et le stockage de fichiers sont chiffrés par leurs prestataires. Les clés d'API des intégrations sont en outre chiffrées par l'application.
• Accès à la boutique : OAuth Shopify, limité aux autorisations affichées à l'installation.
• Authentification des requêtes : les requêtes d'administration sont vérifiées comme des sessions Shopify signées, les webhooks Shopify par signature HMAC, et les requêtes du portail client client par client.
• Séparation des locataires : chaque enregistrement est rattaché à une seule boutique.
• Journal d'audit : les actions d'administration sont enregistrées et conservées pendant 13 mois.
• Sauvegardes : la base de données est sauvegardée automatiquement par MongoDB Atlas.
• Accès du personnel : l'authentification multifacteur est obligatoire sur AWS, MongoDB Atlas, Shopify Partners, PostHog et Crisp.

Suppression et expurgation

Les valeurs expurgées sont remplacées par « [redacted] », de sorte que l'historique montre toujours qu'une adresse a changé ou qu'un e-mail a été envoyé. Autres durées de conservation : journal d'audit de l'administration 13 mois, instantané des paramètres pris à la désinstallation 12 mois, rapports d'erreurs anonymes de la vitrine 30 jours.

Demandes des personnes concernées

• Demandes d'accès (Shopify customers/data_request) : nous rassemblons les données que nous détenons sur ce client et les mettons à la disposition du marchand pour téléchargement dans l'application, et nous envoyons un e-mail au marchand pour l'en informer, sous 30 jours. L'e-mail ne contient aucune information sur le client.
• Demandes qui nous sont adressées directement : les clients sont renvoyés vers le marchand en tant que responsable du traitement, et nous assistons le marchand dans les meilleurs délais.

Violations de données personnelles

Nous informons les marchands concernés dans les meilleurs délais, et dans les 48 heures suivant la prise de connaissance d'une violation, avec les informations nécessaires à leurs propres notifications.

Contact

Stefan Gagov, délégué à la protection des données, support@subscriptions.super-simple.co.