Data Processing Agreement

Version du 27 septembre 2026 • Article 28 du Règlement (UE) 2016/679 (RGPD) • Partie intégrante des CGV/CGU

Article 1 – Objet et rôles

1.1. Le DPA définit les conditions dans lesquelles CYB traite, pour le compte du Salon, les données personnelles de ses Clients finaux, prospects et employés au moyen des Services.

1.2. Le Salon détermine les finalités et les moyens essentiels de ces traitements : il est responsable de traitement. CYB les traite uniquement pour fournir les Services : elle est sous-traitante au sens de l'article 28 du RGPD.

1.3. Le DPA ne s'applique pas aux données que CYB traite pour son propre compte (Compte du Salon, facturation, support, sécurité de la plateforme), pour lesquelles CYB est responsable de traitement dans les conditions de sa politique de confidentialité.

Article 2 – Description des traitements

Article 3 – Instructions du Salon

3.1. CYB traite les données uniquement sur instruction documentée du Salon. Constituent ces instructions : les CGV/CGU et le présent DPA, les paramétrages et actions réalisés par le Salon et ses utilisateurs dans le logiciel, et les demandes écrites du Salon compatibles avec les Services.

3.2. CYB n'utilise pas les données des Clients finaux pour son propre compte. Elle s'interdit de les vendre, louer ou céder, et de démarcher les Clients finaux.

3.3. Si CYB est tenue de traiter des données en vertu du droit de l'Union ou du droit français, elle en informe le Salon avant le traitement, sauf si ce droit l'interdit.

3.4. CYB informe immédiatement le Salon si, selon elle, une instruction constitue une violation du RGPD ou d'une autre règle de protection des données, et peut en suspendre l'exécution jusqu'à sa confirmation ou sa modification.

Article 4 – Obligations de CYB

4.1. Confidentialité. CYB veille à ce que les personnes autorisées à accéder aux données soient soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire (support, maintenance, sécurité).

4.2. Sécurité. CYB met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites en annexe. CYB peut les faire évoluer, à condition de ne pas réduire le niveau global de sécurité.

4.3. Droits des personnes. CYB met à la disposition du Salon des outils lui permettant de répondre lui-même aux demandes des personnes : export des données d'un client au format JSON, rectification, effacement d'un client, anonymisation en masse, export complet des données du Salon, gestion du consentement marketing et lien de désinscription dans chaque campagne. Si CYB reçoit directement une demande, elle la transmet au Salon dans les meilleurs délais et n'y répond pas elle-même, sauf instruction du Salon.

4.4. Assistance. Compte tenu de la nature du traitement et des informations dont elle dispose, CYB aide le Salon à respecter ses obligations en matière de sécurité, de notification des violations, d'analyse d'impact (AIPD) et de consultation préalable de l'autorité de contrôle, notamment en lui communiquant les informations utiles sur les Services et les mesures de sécurité. Une assistance qui excède la fourniture de ces informations et des outils du logiciel peut faire l'objet d'un devis préalable.

4.5. Violation de données. CYB notifie au Salon toute violation de données personnelles le concernant sans délai injustifié, et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse du Compte. La notification décrit, dans la mesure où ces informations sont disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact. Les informations non disponibles immédiatement sont communiquées dès que possible. Il appartient au Salon, en tant que responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées.

4.6. Registre. CYB tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD.

4.7. Conservation automatique. Le logiciel applique les règles de conservation suivantes, que le Salon accepte comme partie de ses instructions : la fiche d'un Client final créée depuis plus de 3 ans et sans rendez-vous depuis 3 ans est anonymisée automatiquement ; l'historique des messages envoyés (SMS et e-mails) est supprimé après 12 mois ; les messages du formulaire de contact sont supprimés après 12 mois. Les rendez-vous et paiements sont conservés sous forme anonyme pour la comptabilité du Salon. Le Salon peut effacer ou anonymiser des données plus tôt à l'aide des outils fournis.

Article 5 – Sous-traitants ultérieurs

5.1. Autorisation générale. Le Salon autorise CYB à recourir aux sous-traitants ultérieurs ci-dessous. CYB leur impose, par contrat, des obligations de protection des données équivalentes en substance à celles du DPA, et demeure responsable envers le Salon de leur exécution.

5.2. Passerelle SMS du Salon. Au choix du Salon, les SMS peuvent être envoyés par une passerelle installée sur son propre téléphone Android. Dans ce cas, les SMS partent de sa ligne, par l'intermédiaire de son opérateur, et ne transitent pas par Twilio ; l'opérateur du Salon n'est pas un sous-traitant de CYB.

5.3. Stripe Connect. Pour les acomptes, le Salon dispose de son propre compte Stripe, régi par un contrat entre lui et Stripe. CYB n'est pas partie aux paiements entre le Salon et ses Clients finaux ; Stripe traite les données de paiement selon ses propres conditions.

5.4. Intelligence artificielle. Les données transmises aux fournisseurs d'IA sont les contenus du Site du Salon (textes, photos fournies par le Salon) et les questions posées à l'assistant. Le Salon s'abstient d'y inclure des données personnelles de Clients finaux qui ne sont pas nécessaires. CYB sélectionne des fournisseurs qui s'engagent, selon leurs conditions, à ne pas utiliser ces données pour entraîner leurs modèles ; CYB ne peut toutefois garantir le respect de ces engagements par des tiers au-delà des recours contractuels dont elle dispose. Le contenu des requêtes est conservé 30 jours dans le journal technique de CYB, puis effacé.

5.5. Intégrations activées par le Salon. Lorsque le Salon connecte lui-même un service tiers (Google Agenda, fourni par Google Ireland Ltd ; Notion ; Todoist), les données transmises le sont sur son instruction, dans le cadre d'un contrat entre le Salon et ce tiers. Ces services ne sont pas des sous-traitants ultérieurs de CYB et relèvent de la responsabilité du Salon qui les active.

5.6. Nouveau sous-traitant. CYB informe le Salon par e-mail ou dans le logiciel de tout ajout ou remplacement d'un sous-traitant ultérieur, au moins 30 jours avant qu'il ne traite des données. Le Salon peut s'y opposer pour un motif raisonnable lié à la protection des données, pendant ce délai. À défaut d'accord, le Salon peut résilier son Abonnement sans frais avant la prise d'effet du changement, avec remboursement de la part non consommée de la période payée. En cas d'urgence (par exemple la défaillance soudaine d'un fournisseur), le délai peut être réduit ; le Salon conserve alors son droit de résilier sans frais.

Article 6 – Transferts hors de l'Union européenne

Les données sont hébergées en France. Lorsque l'utilisation d'un sous-traitant ultérieur implique un transfert vers un pays tiers, celui-ci est encadré par une décision d'adéquation (notamment le Data Privacy Framework UE–États-Unis pour les entreprises certifiées) ou par les clauses contractuelles types adoptées par la Commission européenne, complétées si nécessaire de mesures supplémentaires. Le Salon peut obtenir des informations sur ces garanties en écrivant à notifications@cyb-shop.com.

Article 7 – Audits

7.1. CYB met à la disposition du Salon, sur demande, les informations nécessaires pour démontrer le respect du présent DPA (description des mesures de sécurité, liste des sous-traitants ultérieurs, réponses à un questionnaire raisonnable).

7.2. Le Salon peut faire réaliser un audit sur pièces, une fois par an au plus, moyennant un préavis de 30 jours, par lui-même ou par un auditeur indépendant tenu au secret professionnel ou à un engagement de confidentialité et qui n'est pas un concurrent de CYB. Un audit supplémentaire est possible à la suite d'une violation de données le concernant ou à la demande d'une autorité de contrôle.

7.3. Les frais de l'audit sont à la charge du Salon, y compris le temps passé par CYB lorsqu'il dépasse une journée. L'audit ne peut donner accès aux données des autres clients de CYB ni compromettre la sécurité des Services. Ses résultats sont confidentiels.

Article 8 – Obligations du Salon

Le Salon, en tant que responsable de traitement :

• dispose d'une base légale pour chaque traitement réalisé au moyen des Services, et recueille les consentements requis, notamment pour la prospection commerciale ;
• informe les personnes concernées conformément aux articles 13 et 14 du RGPD, notamment au moyen des pages légales de son site, générées à partir de l'identité légale qu'il renseigne ;
• donne à CYB des instructions licites et ne lui demande aucun traitement contraire au RGPD ;
• ne saisit aucune donnée sensible au sens de l'article 9 du RGPD, ni aucune donnée excessive au regard de ses finalités ;
• répond aux demandes d'exercice des droits dans le délai légal, à l'aide des outils fournis ;
• gère les accès de ses employés et la confidentialité de leurs identifiants ;
• tient son propre registre des activités de traitement.

Article 9 – Fin des traitements

À la fin de l'Abonnement, le Salon dispose de 30 jours pour exporter ses données au moyen des fonctions d'export du logiciel. À l'issue de ce délai, CYB supprime les données personnelles traitées pour le compte du Salon de ses systèmes de production. Les copies présentes dans les sauvegardes sont effacées selon le cycle normal de rotation des sauvegardes et restent protégées dans l'intervalle. CYB peut conserver les données que le droit de l'Union ou le droit français l'oblige à conserver, pendant la durée requise. Sur demande écrite du Salon, CYB confirme la suppression.

Article 10 – Responsabilité

Chaque partie répond des dommages causés par ses propres manquements au RGPD et au présent DPA, conformément à l'article 82 du RGPD. Dans les relations entre les parties, et dans toute la mesure permise par la loi, la limitation de responsabilité prévue à l'article 15 des CGV/CGU s'applique au présent DPA. Elle ne limite pas les droits à réparation des personnes concernées à l'égard de chacune des parties.

Article 11 – Durée et contact

Le DPA s'applique pendant toute la durée de l'Abonnement et, au-delà, tant que CYB traite des données pour le compte du Salon. Il est régi par le droit français ; les litiges sont réglés conformément à l'article 18.7 des CGV/CGU. Pour toute question : notifications@cyb-shop.com.

Annexe – Mesures techniques et organisationnelles

• Hébergement : serveurs situés en France (Strasbourg), chez OVH SAS.
• Chiffrement des échanges : connexions en HTTPS sur l'ensemble des Services.
• Authentification : mots de passe stockés sous forme hachée ; jetons de session à durée de vie courte.
• Cloisonnement : séparation stricte des données de chaque salon, chaque requête étant limitée au salon concerné.
• Gestion des droits : accès par rôle (gérant, employé), attribués et retirés par le Salon ; accès du personnel de CYB limité au strict nécessaire.
• Sauvegardes : sauvegardes régulières destinées à la reprise d'activité.
• Traçabilité : journalisation des accès et actions sensibles.
• Minimisation et conservation : anonymisation automatique des fiches inactives depuis 3 ans, suppression automatique de l'historique des messages et des messages de contact après 12 mois, effacement du contenu des requêtes d'IA après 30 jours.
• Outils RGPD : export et effacement d'un client, anonymisation en masse, export complet, consentement marketing séparé et horodaté, lien de désinscription.
• Confidentialité : engagement de confidentialité des personnes habilitées à accéder aux données.