Quand Sereane lit vos commandes Etsy, prépare vos achats fournisseur et rédige vos brouillons de réponse, il manipule des données qui ne sont pas les vôtres : celles de vos clients Etsy. Ces personnes ne sont pas nos clients et n’ont jamais entendu parler de nous.
Devant elles, c’est vous la responsable : c’est vous qui collectez, vous qui décidez à quoi ces données servent. Sereane agit pour votre compte et sur vos instructions : nous sommes sous-traitant. Le droit européen exige alors un contrat écrit entre nous, portant des engagements précis. C’est ce document.
Il s’applique dès que vous utilisez Sereane, sans démarche de votre part. Vous n’avez rien à signer : si vous avez un compte, il vous couvre.
- Objet : fournir le service Sereane — centraliser vos commandes, préparer les achats chez votre fournisseur, suivre les expéditions, rapprocher les informations et préparer vos réponses au service après-vente.
- Nature des opérations : collecte depuis les pages de la place de marché avec votre session, enregistrement, structuration, consultation, rapprochement, transmission au fournisseur pour l’expédition, envoi à un modèle de langage pour préparer une réponse, effacement.
- Catégories de personnes : vos clients Etsy, et les destinataires des colis lorsqu’ils diffèrent d’elles.
- Catégories de données : nom, adresse de livraison, parfois e-mail ou téléphone, identifiant douanier lorsqu’un pays l’exige, contenu des messages échangés avec votre boutique, images qu’elles y joignent, références et montants de commande, informations d’expédition.
- Aucune donnée sensible au sens de l’article 9 du RGPD n’est demandée ni recherchée. Si un client Etsy en écrit spontanément dans un message, ce message est traité comme les autres : nous ne pouvons ni le prévoir ni le filtrer, et nous préférons vous le dire.
- Durée : celle de votre contrat, bornée par les durées de conservation publiées au §7 bis de la politique de confidentialité (180 jours pour une commande, 365 jours au plus pour une conversation).
Nous ne traitons ces données que pour vous fournir le service, et pour rien d’autre. Nous ne les vendons pas, ne les louons pas, ne nous en servons pas pour notre prospection, et ne les réutilisons pas pour entraîner un modèle à notre bénéfice.
Vos instructions sont : les réglages de votre espace, les gestes que vous y faites, et cette annexe. Si une instruction que vous nous donnez nous paraît contraire au droit européen, nous vous le disons au lieu de l’exécuter.
La loi peut nous obliger à traiter ou communiquer une donnée sans votre instruction. Dans ce cas nous vous en informons avant, sauf si cette information nous est elle-même interdite.
Toute personne autorisée à accéder aux données de vos clients Etsy est tenue à la confidentialité par un engagement écrit, souscrit avant tout accès.
Les mesures sont décrites au §11 de la politique de confidentialité : contrôle des accès, chiffrement des communications, cloisonnement des comptes, limitation des données exposées, surveillance des erreurs. Les mots de passe n’existent pas : la connexion se fait par lien à usage unique valable 15 minutes, ou par un fournisseur d’identité.
Vous nous autorisez de façon générale à recourir aux prestataires listés au §5 de la politique de confidentialité, chacun pour le rôle qui y est décrit, avec les pays et les mécanismes de transfert détaillés au §6.
Nous nous engageons à vous annoncer tout ajout ou remplacement avant qu’il prenne effet, par un message dans votre espace. Vous pouvez vous y opposer ; si l’opposition rend le service impossible à fournir, vous pouvez résilier sans pénalité.
C’est à vous qu’un client Etsy doit s’adresser, et c’est vous qui répondez. Nous vous y aidons :
- votre espace vous permet d’effacer immédiatement les données d’un client Etsy, sans nous écrire et sans attendre les 180 jours ;
- vous pouvez nous demander l’ensemble de ce que nous détenons sur un client Etsy donné, pour répondre à une demande d’accès ou de portabilité ;
- si un client Etsy nous écrit directement, nous ne décidons pas à votre place : nous vous transmettons sa demande et nous l’aidons à aboutir.
Si nous découvrons une violation touchant les données de vos clients Etsy, nous vous en informons sans délai injustifié et au plus tard sous 48 heures, avec ce que nous savons : ce qui s’est passé, quelles données et combien de personnes sont concernées, les conséquences probables et ce que nous faisons. C’est vous qui notifiez l’autorité de contrôle, dans les 72 heures ; nous vous fournissons ce qu’il faut pour le faire.
Vous choisissez : nous vous restituons les données dans un format lisible, ou nous les effaçons. Dites-le-nous par écrit ; nous traitons la demande dans les 30 jours.
Une exception, écrite noir sur blanc : les pièces que la loi comptable et fiscale nous impose de garder restent, jusqu’à dix ans. Elles ne contiennent pas d’identité de client.
Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de cette annexe. Vous pouvez faire réaliser un audit, par vous-même ou par un tiers indépendant, après un préavis raisonnable et une fois par an au plus — sans limite en cas d’incident de sécurité.