Accord de Traitement des Données (DPA, art. 28 RGPD)

Ce document constitue l'Accord de Traitement des Données requis par l'article 28 du RGPD. En acceptant les CGU/CGV lors de la création de votre compte, vous acceptez également les termes du présent DPA. Cela satisfait pleinement à l'exigence de l'art. 28 sans nécessité de document séparé à signer.

• Le Responsable du traitement : la Boutique (le Client), désignée par les informations renseignées lors de la création de son Compte BrideALL.
• Le Sous-traitant : BridalB2B SL — CIF ES67417485 — hello@bride-all.com — www.bride-all.com

Le présent Accord définit les conditions dans lesquelles BridalB2B SL, en sa qualité de sous-traitant, traite des données à caractère personnel pour le compte de la Boutique, responsable du traitement.

Il prend effet à la date d'acceptation des CGU/CGV et demeure en vigueur pendant toute la durée de l'abonnement. Il prend fin automatiquement à la résiliation du contrat, sans préjudice des obligations de restitution et de suppression des données.

BridalB2B SL traite les données exclusivement pour les finalités suivantes, pour le compte de la Boutique :

• Gestion des rendez-vous : collecte via formulaire en ligne (nom, email, téléphone, date, motif) ;
• Communications transactionnelles : confirmations et rappels de RDV par email, SMS et WhatsApp ;
• Gestion du carnet clients (CRM) : fiches clientes, historique des achats et rendez-vous ;
• Gestion de l'inventaire et de la facturation : enregistrement des transactions ;
• Communications marketing (si activé par la Boutique) : envoi aux clientes ayant consenti.

BridalB2B SL s'interdit tout traitement des données pour des finalités propres.

DPA-3.1 Personnes concernées

• Clientes et prospects de la Boutique (personnes physiques majeures) ;
• Contacts commerciaux de la Boutique, le cas échéant.

DPA-3.2 Catégories de données traitées

• Données d'identification : nom, prénom, adresse postale (à des fins de facturation) ;
• Données de contact : adresse email, numéro de téléphone ;
• Données de rendez-vous : date, heure, type de prestation, commentaires ;
• Données de mensuration : mesures morphologiques relevées à des fins d'essayage et de retouche vestimentaire (tour de poitrine, taille, hauteur, etc.) ;
• Données commerciales : articles essayés, commandes, montants, modalités de paiement ;
• Données de communication : historique emails, SMS et WhatsApp ;
• Données techniques : adresse IP lors de la soumission du formulaire en ligne.

BrideALL ne traite pas de données sensibles au sens de l'article 9 du RGPD. La Boutique s'engage à ne pas saisir de telles données dans les champs texte libres du logiciel.

BridalB2B SL s'engage à :

• Traiter les données uniquement sur instruction documentée de la Boutique ;
• Garantir la confidentialité des données par des engagements contractuels avec son personnel ;
• Mettre en œuvre les mesures de sécurité détaillées à l'Article DPA-6 ;
• Ne pas recruter de sous-traitants ultérieurs sans autorisation, sauf ceux listés à l'Article DPA-7 ;
• Assister la Boutique dans l'exercice des droits des personnes concernées dans un délai de 72 heures ;
• Notifier la Boutique de toute violation de données dans les 24 heures suivant sa découverte ;
• Supprimer ou restituer toutes les données à la fin du contrat, conformément à l'Article DPA-10.

La Boutique s'engage à :

• Fournir à BrideALL uniquement les données nécessaires (principe de minimisation, art. 5 RGPD) ;
• S'assurer que les personnes concernées ont été informées du traitement (art. 13 et 14 RGPD) ;
• Recueillir les consentements nécessaires (marketing, SMS, WhatsApp) ;
• Informer BrideALL de toute demande d'exercice de droit reçue d'une personne concernée ;
• Tenir son propre registre des activités de traitement (art. 30 RGPD).

Mesures techniques

• Chiffrement des données en transit (TLS 1.3 conformément aux recommandations de l'ANSSI) et au repos (AES-256) ;
• Authentification à double facteur (2FA) disponible pour les comptes administrateurs ;
• Isolation des données par boutique — aucun accès croisé ;
• Sauvegardes chiffrées quotidiennes, rétention minimum 30 jours ;
• Journalisation des accès aux données sensibles ;
• Correctifs de sécurité critiques appliqués sous 72 heures.

Mesures organisationnelles

• Accès aux données de production limité sur le principe du moindre privilège ;
• Engagement de confidentialité signé par tout personnel ayant accès aux données ;
• Procédure documentée de gestion des incidents et violations de données ;
• Formation annuelle des équipes aux bonnes pratiques de protection des données.

Le détail des mesures figure également sur la page Sécurité.

La Boutique autorise, par l'acceptation des présentes, le recours aux sous-traitants ultérieurs suivants :

BridalB2B SL informera la Boutique de tout projet de modification de cette liste avec un préavis de 30 jours. La Boutique dispose d'un droit d'opposition motivé dans ce délai.

BridalB2B SL s'engage à ce que tout transfert de données vers un pays tiers soit encadré par l'un des mécanismes suivants : décision d'adéquation de la Commission européenne, clauses contractuelles types (SCC), ou règles d'entreprise contraignantes (BCR).

Lorsqu'une personne concernée exerce un droit directement auprès de BridalB2B SL, celle-ci redirige la demande vers la Boutique dans les meilleurs délais. BridalB2B SL fournit à la Boutique, sur demande écrite et dans un délai de 72 heures, toute l'assistance technique nécessaire (extraction, suppression ciblée, export).

À l'expiration ou à la résiliation du contrat, BridalB2B SL s'engage à :

• Permettre l'export intégral des données (CSV/JSON) pendant 30 jours ;
• Supprimer définitivement toutes les données dans un délai de 60 jours, sauf obligation légale ;
• Fournir une attestation écrite de suppression sur demande ;
• Notifier ses sous-traitants ultérieurs pour qu'ils procèdent de même.

En cas de violation de données au sens de l'art. 4(12) RGPD, BridalB2B SL notifie la Boutique dans les 24 heures avec : nature de la violation, catégories et volume de données concernées, conséquences probables, mesures prises. La Boutique reste seule responsable de la notification à l'autorité de contrôle compétente dans le délai de 72 heures (art. 33 RGPD).

Droit applicable : droit espagnol, RGPD (UE) 2016/679.

Conformément à l'article 28(3) du RGPD :

En cochant la case d'acceptation lors de la création de votre compte, vous acceptez les CGU/CGV et le présent DPA dans leur intégralité.