Cet accord s'applique lorsqu'une entreprise (le « commerçant ») utilise OumsAI pour traiter les données personnelles des clients de sa boutique. Il fait partie des Conditions générales d'utilisation et répond à l'article 28 du RGPD (UE et Royaume-Uni).
Rôles
Le commerçant est responsable du traitement des données de ses clients. BRODV LTD, a company registered in England and Wales under number 17069547, 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom (« OumsAI ») est son sous-traitant.
Le commerçant répond de la licéité des traitements qu'il ordonne, de l'information de ses clients (la politique de confidentialité de sa boutique) et des consentements nécessaires.
Objet et durée
Le fonctionnement de la boutique du commerçant sur OumsAI, pendant toute la durée d'utilisation du service, et jusqu'à la suppression ou la restitution des données prévue ci-dessous.
Nature et finalité
Hébergement, stockage, affichage, transmission et analyse nécessaires pour prendre et exécuter les commandes, gérer paiements, retours et messages, envoyer les e-mails de commande et de marketing, conserver les preuves de consentement, faire fonctionner les fonctions IA utilisées par le commerçant, corriger les problèmes de la boutique et, si le commerçant les active, envoyer des rappels de panier aux visiteurs qui n'ont pas finalisé leur commande.
Personnes et données concernées
Acheteurs, abonnés à la newsletter et personnes qui contactent la boutique. Identité et coordonnées, adresses de livraison, historique des commandes et paiements (les données de carte restent chez Stripe), messages, preuves de consentement et données techniques (adresse IP, navigateur).
Si les rappels de panier sont activés : les visiteurs qui saisissent leur e-mail lors de la commande et cochent la case de rappel, avec leur adresse e-mail, le contenu du panier, la langue de la boutique et la preuve de leur consentement.
Rappels de panier
Les rappels de panier sont désactivés tant que le commerçant ne les active pas. En les activant, le commerçant donne instruction à OumsAI de traiter les données ci-dessous pour cette seule finalité.
OumsAI n'enregistre l'e-mail et le panier d'un visiteur que lorsque celui-ci valide l'étape de commande et a coché la case de rappel, non cochée par défaut, placée à côté du champ e-mail. OumsAI conserve pour le commerçant la preuve de ce consentement (date et heure, langue et version du texte).
OumsAI envoie au plus 3 rappels dans les 7 jours suivant l'abandon de la commande, au nom du commerçant. Chaque rappel contient un lien permettant de les arrêter en un clic. OumsAI arrête les rappels immédiatement si le visiteur finalise sa commande, utilise ce lien, s'est désinscrit des communications marketing de la boutique, ou si l'e-mail est rejeté.
OumsAI supprime l'adresse e-mail et le panier 30 jours après l'abandon de la commande. Il conserve les résultats des rappels (e-mails envoyés, commandes récupérées, montants) pendant 13 mois sous une forme pseudonymisée, sans l'adresse e-mail ni le panier, afin que le commerçant puisse mesurer l'efficacité de la fonction. OumsAI n'ajoute pas de pixel de suivi aux rappels.
Le commerçant choisit d'utiliser ou non la fonction, est responsable du contenu de toute offre qu'il ajoute et ne doit pas utiliser les e-mails enregistrés à d'autres fins. OumsAI ne les utilise pas pour ses propres besoins.
Obligations d'OumsAI
Ne traiter les données que sur les instructions documentées du commerçant (le présent accord, le service tel que configuré et les actions du commerçant), y compris pour les transferts hors du Royaume-Uni et de l'Espace économique européen ; informer immédiatement le commerçant si, selon OumsAI, une instruction enfreint le droit de la protection des données ; et, si la loi impose à OumsAI un autre traitement, en informer d'abord le commerçant, sauf si cette loi l'interdit.
Ne pas utiliser les données pour ses propres besoins, ne pas les vendre et ne pas les utiliser pour entraîner des modèles d'IA.
Veiller à ce que les personnes qui les traitent soient tenues à la confidentialité.
Appliquer des mesures techniques et organisationnelles de sécurité adaptées au risque, notamment le chiffrement, le contrôle des accès et des sauvegardes chiffrées régulières. Le détail des mesures figure dans une annexe de sécurité, disponible pour le commerçant dans son espace ou sur demande.
Aider le commerçant à répondre aux demandes des personnes (export, rectification et effacement sont dans le service), ainsi que pour la sécurité, la notification des violations, les analyses d'impact et la consultation préalable de l'autorité de contrôle.
Prévenir le commerçant dans les meilleurs délais, et au plus tard sous 48 heures, après avoir eu connaissance d'une violation de données touchant ses données, avec les informations dont il a besoin pour la notifier.
Tenir un registre des traitements effectués pour le compte du commerçant.
Copies de dépannage
Pour corriger un problème de la boutique du commerçant qui ne peut pas être reproduit autrement, OumsAI peut faire une copie des données de la boutique sur un équipement qu'il contrôle, au Royaume-Uni ou dans l'Espace économique européen. Dans cette copie, chaque donnée personnelle est remplacée par une information fictive (masquée), et les informations du compte de paiement du commerçant en sont exclues.
La copie est chiffrée, ne peut être ouverte que par les personnes d'OumsAI chargées du problème, et expire au plus tard au bout de 7 jours. Elle est utilisée avec les fonctions IA désactivées et uniquement pour trouver et corriger ce problème, puis supprimée une fois le problème corrigé, et en tout état de cause à son expiration. Rien de la copie ne revient dans la boutique en ligne. Chaque copie est inscrite, avec son motif, dans l'historique d'activité du commerçant.
Des données masquées peuvent rester des données personnelles, par exemple dans un texte libre : OumsAI traite donc la copie comme des données personnelles au titre du présent accord.
OumsAI ne fait de copie non masquée qu'avec l'accord écrit du commerçant, donné pour ce problème et conservé avec la trace de la copie.
Sous-traitants ultérieurs
Le commerçant autorise OumsAI à recourir à des sous-traitants ultérieurs pour l'hébergement, l'envoi d'e-mails, les paiements et les fonctions IA. La liste à jour, avec le nom, le rôle et la localisation de chacun, est disponible pour le commerçant dans son espace (Réglages → Mentions légales) et sur demande.
OumsAI annoncera tout nouveau sous-traitant ultérieur 30 jours à l'avance ; le commerçant peut s'y opposer pendant ce délai et, faute de solution, mettre fin au service.
OumsAI impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord, sous réserve de ce qui est indiqué à la section « Transferts internationaux », et reste responsable envers le commerçant de ses sous-traitants ultérieurs.
Transferts internationaux
Les données sont stockées dans l'Union européenne. OumsAI est établi au Royaume-Uni, que l'Union européenne reconnaît comme protégeant les données personnelles à un niveau équivalent au sien. OumsAI ne transfère de données personnelles hors du Royaume-Uni et de l'Espace économique européen que dans les cas décrits dans la présente section.
Les données envoyées aux fonctions IA sont traitées par nos fournisseurs de services d'IA, y compris en Chine. Ni l'Union européenne ni le Royaume-Uni n'ont reconnu à la Chine un niveau de protection des données personnelles équivalent au leur : les données peuvent donc y être moins protégées. Pendant la bêta, ce fournisseur de services d'IA ne s'engage pas sur les obligations du présent accord : il peut conserver les données et les utiliser pour améliorer ses modèles. Tant qu'OumsAI n'a pas informé le commerçant que ses fonctions IA reposent sur un fournisseur lié par le présent accord, le commerçant ne doit pas leur transmettre les données personnelles de ses clients réels. Le fondement juridique de ce transfert est en cours d'examen juridique. Le commerçant peut désactiver l'assistant IA de son espace de travail dans Réglages → IA.
Notre prestataire de paiement peut traiter des données aux États-Unis, dans le cadre du Data Privacy Framework UE–États-Unis et de son extension au Royaume-Uni.
Fin du traitement
À la fin du contrat, le commerçant peut récupérer les données de ses clients pendant 30 jours, comme le prévoient les Conditions générales d'utilisation. OumsAI les supprime ensuite, sauf ce que la loi l'oblige à conserver. Les copies figurant dans les sauvegardes chiffrées sont remplacées par rotation dans un délai supplémentaire de 60 jours et ne servent entre-temps qu'à restaurer le service.
Audits
OumsAI met à disposition les informations nécessaires pour démontrer le respect de cet accord et permet des audits raisonnables, avec un préavis raisonnable, au plus une fois par an sauf si une violation justifie davantage.
Contact
Des questions sur cette page ? hello@oumsai.com