Accord de traitement des données

Parties

Le responsable du traitement est le marchand qui installe Factures France sur sa boutique Shopify.

Le sous-traitant est Rachid Bouhmou, personne physique, à Bruxelles, Belgique. Courriel : bourachid12031984@gmail.com. Il n'a pas de société et il n'a pas de salarié. Il agit en son nom.

Objet et instructions

Le marchand charge le sous-traitant d'établir, pour les commandes de la boutique :

• une facture au format Factur-X lorsqu'une commande est payée ;
• un avoir Factur-X lorsque cette commande est remboursée.

Le sous-traitant ne traite les données à caractère personnel que sur cette instruction, et sur une instruction écrite ultérieure du marchand qui reste dans cette finalité. S'il estime qu'une instruction est contraire au RGPD, il le dit au marchand avant de l'appliquer, sauf si la loi le lui interdit.

L'application ne transmet pas ces pièces à une plateforme agréée. Elle n'est pas une plateforme de dématérialisation partenaire. Elle ne revendique aucune certification DGFiP.

Durée

L'accord court à partir de l'acceptation dans l'admin, pour la version 2026-10-08.

Le nom, l'adresse e-mail, l'adresse de facturation et l'adresse de livraison sont conservés 10 ans à compter de la date de la facture. Passé ce délai, le programme les anonymise : le nom devient « Anonymisé », l'e-mail est vidé, l'adresse de facturation est vidée, l'adresse de livraison est retirée.

Restent le numéro, la date, les montants, les lignes de TVA, le SIREN et le numéro de TVA. Ils font partie de la pièce comptable.

Une demande customers/redact ou shop/redact anonymise ces champs plus tôt. Les sauvegardes chiffrées déjà envoyées sont gardées 30 jours, puis effacées. Elles ne sont pas purgées le jour de la demande.

La désinstallation retire la session Shopify. Elle ne supprime pas les factures. shop/redact, environ 48 heures après, anonymise les champs personnels de la boutique.

Personnes et données

Les personnes concernées sont les clients des commandes de la boutique.

Les données traitées sont :

• le nom ;
• l'adresse e-mail ;
• l'adresse de facturation ;
• l'adresse de livraison, lorsqu'elle diffère ;
• les montants de la commande ;
• le SIREN et le numéro de TVA, lorsqu'ils figurent sur la commande ;
• l'identifiant et le nom de la commande, et le numéro de la pièce.

L'application ne lit pas de numéro de téléphone. Elle ne constitue pas de fichier marketing, n'envoie pas de prospection et n'utilise pas ces données pour de la publicité. Le marchand garantit qu'il a une base légale pour faire établir ces factures.

Obligations du sous-traitant

Il ne traite les données que pour établir et conserver ces pièces, et pour les montrer au marchand dans l'admin.

Il est la seule personne qui y accède pour l'exploitation. Il ne les communique à personne, sauf si la loi l'y oblige. Dans ce cas, il prévient le marchand lorsque la loi le permet.

Il aide le marchand à répondre aux personnes concernées, à décrire le traitement, et à notifier une violation, dans la limite de ce que l'application fait et de ce qu'une seule personne peut dire.

Il tient compte de la nature du traitement et des informations dont il dispose. Il n'a pas fait d'analyse d'impact à la place du marchand. Si le marchand en rédige une, il lui fournit la description déjà publiée ici.

Sécurité

Au repos, le nom, l'e-mail et les deux adresses sont chiffrés en AES-256-GCM. La clé n'est pas dans le dépôt. Sans elle, la production ne démarre pas. Le numéro, la date, les montants, les lignes, le SIREN et le numéro de TVA restent lisibles : ils font partie de la pièce comptable.

En transit, Fly force le HTTPS vers l'application. Les appels à Shopify et l'envoi des sauvegardes passent par HTTPS.

Une fois par jour, la production copie la base, chiffre cette copie avec une autre clé, et l'envoie dans un bucket privé. Trente fichiers sont conservés, soit environ 30 jours, puis les plus anciens sont effacés. La base de développement n'est pas envoyée.

Les comptes Shopify Partner, Fly.io et GitHub utilisés pour cette application doivent avoir la double authentification. Rachid Bouhmou ne partage pas ces mots de passe et ne crée pas d'autre accès. Il n'y a pas d'équipe, pas d'astreinte, et pas de certification.

Chaque lecture des données personnelles est journalisée : route, date, identifiant de commande, acteur. Le journal ne contient ni le nom, ni l'e-mail, ni l'adresse, ni de secret.

Sous-traitants ultérieurs

Le marchand autorise, par le présent accord, uniquement les sous-traitants ultérieurs suivants :

• Fly.io — hébergement de l'application ;
• Tigris — stockage des sauvegardes chiffrées ;
• Shopify — transmission des commandes et admin de la boutique ;

Le sous-traitant n'en ajoute pas d'autre sans en informer le marchand au préalable, par courriel ou par une nouvelle version de cet accord. Le marchand peut alors s'y opposer. S'il s'y oppose, le sous-traitant n'ajoute pas ce sous-traitant, ou il cesse le traitement si ce sous-traitant est indispensable.

Ces trois services peuvent traiter une donnée en dehors de l'Espace économique européen. Le sous-traitant ne revendique pas d'autre garantie de transfert que le chiffrement décrit ici. Il n'annonce pas de clause contractuelle type signée en son nom avec eux, ni de certification.

Droits des personnes

Le marchand reste l'interlocuteur de ses clients.

customers/data_request : la demande est inscrite dans l'admin, page « Données personnelles ». La réponse HTTP ne contient pas les données. Le marchand remet au client la facture correspondante.

customers/redact : le nom, l'e-mail et les adresses de ce client sont effacés. Le numéro, les montants et le SIREN restent.

Une demande que le marchand transmet par courriel à bourachid12031984@gmail.com est traitée de la même façon, sur son instruction.

Violation de données

Quand Rachid Bouhmou confirme qu'une donnée personnelle a été exposée, il écrit, dans les 72 heures qui suivent cette confirmation, aux marchands des boutiques concernées et au support partenaires Shopify. Le message dit ce qui s'est passé, quelles données, quelles boutiques, et ce qui est déjà fait. Le détail est sur la page Incidents.

Il ne dépose pas de déclaration à la place du marchand. Le marchand reste responsable de ses propres obligations, y compris envers son autorité de contrôle.

Sort des données

La restitution au marchand est le téléchargement du Factur-X depuis l'admin, tant que la pièce est émise.

À la fin du traitement, les champs personnels sont effacés comme dit plus haut. Les champs comptables restent. Le sous-traitant ne renvoie pas une copie de la base.

shop/redact retire aussi les paramètres de la boutique, le journal des lectures, les sessions restantes et la liste des demandes. L'enregistrement de l'acceptation (boutique, version, date) est conservé : c'est la preuve de cet accord, pas une fiche client.

Audit

Il n'y a pas d'audit déjà réalisé, et pas de certification.

Le marchand peut demander, par courriel, les informations qui décrivent ce traitement : cet accord, les pages Confidentialité, Incidents, Pertes de données et Accès, et le journal des lectures de sa boutique. Rachid Bouhmou les fournit.

Si le marchand veut examiner le traitement, ou le faire examiner par une personne qu'il mandate, il le demande à bourachid12031984@gmail.com. L'examen se fait sur rendez-vous, dans la mesure de ce qu'une seule personne peut montrer, sans remettre les clés de chiffrement ni la base d'une autre boutique.

Acceptation

Dans l'admin, avant la première facture, le marchand lit le résumé et cet accord, puis clique sur « J'accepte ». Ce clic vaut acceptation pour la boutique. L'application enregistre la date et la version 2026-10-08.

Une autre version demande un nouvel accord. Tant que cette version n'est pas acceptée, l'application n'établit pas de facture, n'importe pas les commandes et ne télécharge pas de pièce. L'installation, la connexion Shopify et l'abonnement ne dépendent pas de cet accord.

Droit applicable

Le RGPD s'applique. Pour le reste, le droit belge. Les tribunaux de Bruxelles sont compétents, sans retirer au marchand ni aux personnes concernées le recours que le RGPD leur donne.

Contact

Rachid Bouhmou, Bruxelles, Belgique — bourachid12031984@gmail.com