Accord de traitement des données
Cet accord s'applique dès qu'un torréfacteur utilise Order Book pour traiter des données personnelles concernant ses clients en gros. Il fait partie des conditions générales.
Mis à jour le 25 septembre 2026
Rôles
Le torréfacteur est responsable du traitement des données personnelles relatives à ses comptes en gros et à leurs contacts. Roasters Technologies (« Order Book ») est sous-traitant. Order Book ne traite ces données que pour fournir le service et selon les instructions documentées du torréfacteur, à savoir les conditions générales et les réglages qu'il choisit dans l'application.
Données et personnes concernées
Noms de contact, e-mails, numéros de téléphone, adresses de livraison et de facturation, historique de commandes, tarifs, les fichiers de facture que le torréfacteur joint aux commandes, et les paiements qu'il enregistre, concernant les clients en gros du torréfacteur et leur personnel.
Obligations d'Order Book
- Ne traiter les données que sur instruction, et signaler au torréfacteur toute instruction qui paraîtrait contraire au RGPD.
- Garder les données confidentielles. Le personnel ayant accès est tenu à une obligation de confidentialité.
- Appliquer une sécurité appropriée : chiffrement en transit et au repos, contrôle d'accès, journalisation, sauvegardes, et données personnelles stockées dans l'UE.
- Aider le torréfacteur à répondre aux demandes des personnes concernées et, si nécessaire, aux analyses d'impact.
- Notifier au torréfacteur toute violation de données personnelles sans retard injustifié et dans les 48 heures suivant sa connaissance.
- Supprimer ou restituer toutes les données personnelles dans les 30 jours suivant la fermeture du compte, sauf ce que la loi nous impose de conserver.
- Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits sur préavis raisonnable.
Sous-traitants ultérieurs
Le torréfacteur autorise les sous-traitants ultérieurs suivants. Nous donnons un préavis de 30 jours par e-mail avant d'en ajouter un, et le torréfacteur peut s'y opposer.
| Finalité | Sous-traitant | Localisation |
|---|---|---|
| Hébergement de l'application et traitement de chaque requête, y compris l'adresse IP du visiteur | Vercel | UE (Francfort), les requêtes passant par un réseau mondial de distribution ; clauses contractuelles types |
| Base de données, authentification et stockage de fichiers | Supabase | UE (Francfort) |
| E-mails transactionnels | Resend | UE / États-Unis, avec clauses contractuelles types |
| Vérification humaine sur la page de connexion (Turnstile), qui traite l'adresse IP et les signaux du navigateur du visiteur | Cloudflare | Mondial, avec clauses contractuelles types |
| Facturation de l'abonnement du torréfacteur | Stripe | UE / États-Unis, avec clauses contractuelles types |
| Import de l'historique des commandes, uniquement lorsqu'un torréfacteur connecte sa boutique Shopify | Shopify | Selon la boutique (Shopify est établi au Canada), avec clauses contractuelles types |
Stripe ne reçoit que les coordonnées de facturation du torréfacteur, jamais de données sur ses cafés. L'accord de traitement des données de l'application elle-même, à l'adresse app.getorderbook.com/dpa, fait foi et tient la liste à jour ; en cas d'écart avec cette page, c'est lui qui prévaut.
Transferts
Les données personnelles sont stockées dans l'UE (Francfort). Les requêtes vers l'application passent par le réseau mondial de distribution de l'hébergeur avant de l'atteindre. Lorsqu'un sous-traitant se trouve hors de l'EEE, le transfert repose sur les clauses contractuelles types de la Commission européenne.
Durée
Cet accord dure aussi longtemps qu'Order Book traite des données personnelles pour le torréfacteur. Les questions vont à [email protected].