Le présent accord encadre les traitements de données personnelles réalisés par l'application Shopify Mega Search pour le compte des marchands qui l'utilisent, conformément à l'article 28 du Règlement général sur la protection des données (RGPD). Il fait partie des conditions d'utilisation de l'application et s'applique dès son installation sur une boutique.

1. Parties et rôles

Le responsable du traitement : le marchand qui installe Mega Search sur sa boutique Shopify (ci-après « le Marchand »).
Le sous-traitant : Oakmont Court, société civile au capital de 500,00 €, RCS Paris 948 983 994, dont le siège est situé 228 rue de la Convention, 75015 Paris, France, éditeur de Mega Search (ci-après « l'Éditeur »).

Pour les données propres au Marchand (compte, réglages, facturation), l'Éditeur agit en tant que responsable du traitement : ces traitements sont décrits dans la politique de confidentialité.

2. Description du traitement

Élément	Description
Objet	Fourniture, sur la boutique du Marchand, d'une recherche instantanée, de filtres et de badges produits, et des statistiques de recherche associées.
Finalités	Afficher les résultats de recherche ; présenter au Marchand ses statistiques (recherches, clics, recherches sans résultat, chiffre d'affaires attribué à la recherche) ; calculer les recherches populaires de la boutique.
Personnes concernées	Visiteurs et clients de la boutique du Marchand.
Données traitées	Recherches saisies et nombre de résultats ; produits cliqués ; identifiant aléatoire propre au navigateur ; langue de la boutique et pays (déduit de l'adresse IP au moment de la requête, l'adresse IP n'étant jamais enregistrée) ; pour les commandes passées après une recherche : empreinte non réversible du numéro de commande, montant, devise et produits achetés.
Données exclues	Aucun nom, adresse e-mail, adresse postale, numéro de téléphone ni donnée de paiement des visiteurs ; aucune catégorie particulière de données (article 9 du RGPD).
Durée de conservation	13 mois au plus pour les recherches, clics et attributions de vente ; suppression de toutes les données de la boutique 48 heures après la désinstallation de l'application.

3. Instructions du Marchand

L'Éditeur ne traite les données que sur instruction documentée du Marchand. L'installation de l'application, son activation sur la boutique et les réglages effectués dans son administration constituent ces instructions. Si l'Éditeur estime qu'une instruction enfreint la réglementation, il en informe le Marchand sans délai.

4. Confidentialité

Les personnes autorisées à accéder aux données sont tenues à la confidentialité. L'accès est limité à ce qui est nécessaire au fonctionnement, à la maintenance et au support de l'application.

5. Sécurité

L'Éditeur met en œuvre des mesures techniques et organisationnelles adaptées (article 32 du RGPD), notamment :

chiffrement des échanges (HTTPS) ;
authentification par signature cryptographique de toutes les requêtes provenant de Shopify ;
minimisation : identifiant de visiteur aléatoire, adresse IP jamais enregistrée, numéro de commande remplacé par une empreinte non réversible avant tout enregistrement ;
suppression automatique des données au-delà de la durée de conservation ;
base de données non exposée sur Internet, hébergée en France ;
accès aux serveurs réservé à l'Éditeur ; administration de l'application protégée par mot de passe et double authentification, avec journal des connexions ;
sauvegardes quotidiennes de la base, conservées 14 jours.

6. Sous-traitants ultérieurs

Le Marchand autorise l'Éditeur à recourir aux sous-traitants ultérieurs suivants :

OVH SAS (2 rue Kellermann, 59100 Roubaix, France) : hébergement des serveurs et de la base de données, en France ;
Cloudflare, Inc. : réseau de diffusion et protection du site, par lequel transitent les requêtes ;
Shopify : plateforme sur laquelle fonctionne l'application.

L'Éditeur informe le Marchand de tout ajout ou remplacement de sous-traitant ultérieur, par la mise à jour de cette page datée et, en cas de changement important, par e-mail. Le Marchand peut s'y opposer en désinstallant l'application. Les sous-traitants ultérieurs sont soumis à des obligations de protection des données équivalentes à celles du présent accord.

7. Transferts hors de l'Union européenne

Les données sont hébergées en France. Lorsque des données transitent hors de l'Union européenne (notamment via Cloudflare), ces transferts sont encadrés par les garanties prévues par le RGPD : décision d'adéquation ou clauses contractuelles types de la Commission européenne.

8. Droits des personnes

L'Éditeur aide le Marchand à répondre aux demandes d'exercice de droits. Les demandes d'accès et d'effacement transmises par Shopify (webhooks de conformité) sont traitées automatiquement ; toute autre demande peut être adressée à [email protected]. Si une personne s'adresse directement à l'Éditeur, celui-ci la redirige vers le Marchand.

9. Violations de données

L'Éditeur notifie au Marchand toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles pour lui permettre de remplir ses propres obligations de notification.

10. Assistance et audits

L'Éditeur fournit au Marchand, sur demande, les informations nécessaires pour démontrer le respect du présent accord et l'aide raisonnablement nécessaire à la réalisation d'une analyse d'impact. Le Marchand peut demander un audit, avec un préavis de 30 jours et au plus une fois par an, à ses frais.

11. Fin du traitement

À la désinstallation de l'application, toutes les données de la boutique sont supprimées automatiquement 48 heures plus tard, sauf réinstallation entre-temps. Les sauvegardes qui les contiendraient encore sont remplacées au plus tard 14 jours après.

12. Obligations du Marchand

Le Marchand s'assure de disposer d'une base légale pour les traitements confiés et informe ses visiteurs, en particulier dans sa propre politique de confidentialité. La mesure des commandes issues de la recherche ne fonctionne qu'avec le consentement des visiteurs à la mesure d'audience, recueilli par la gestion du consentement de Shopify.

13. Durée et droit applicable

Le présent accord s'applique tant que l'application est installée sur la boutique du Marchand. Il est régi par le droit français. Pour toute question : [email protected].

Accord de traitement des données