Accord de protection des données à caractère personnel

Dernière mise à jour Il y a 1 jour

SECTION I – OBJET ET CHAMP D'APPLICATION

Les présentes clauses contractuelles types (ci-après les « clauses ») ont pour objet de garantir la conformité avec l'article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (« RGPD »).

Les responsables du traitement et les sous-traitants énumérés à l'appendice I ont accepté ces clauses afin de garantir le respect des dispositions de l'article 28, paragraphes 3 et 4, du RGPD.

Les présentes clauses s'appliquent au traitement des données à caractère personnel tel que décrit à l'appendice II.

Les appendices I à III font partie intégrante des clauses.

Les présentes clauses sont sans préjudice des obligations auxquelles le responsable du traitement est soumis en vertu du RGPD.

Les clauses ne suffisent pas à elles seules pour assurer le respect des obligations relatives aux transferts internationaux conformément au chapitre V du RGPD.

Invariabilité des clauses

Les parties s'engagent à ne pas modifier les clauses, sauf en ce qui concerne l'ajout d'informations aux appendices ou la mise à jour des informations qui y figurent.

Les parties ne sont pour autant pas empêchées d'inclure les clauses contractuelles types définies dans les présentes clauses dans un contrat plus large, ni d'ajouter d'autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses ou qu'elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées.

Interprétation

Lorsque des termes définis respectivement dans le RGPD figurent dans les clauses, ils s'entendent comme dans le règlement en question.

Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du RGPD.

Les présentes clauses ne doivent pas être interprétées d'une manière contraire aux droits et obligations prévus par le RGPD ou d'une manière qui porte atteinte aux libertés ou droits fondamentaux des personnes concernées.

Hiérarchie

En cas de contradiction entre les présentes clauses et les dispositions du Contrat, les présentes clauses prévaudront.

SECTION II – OBLIGATIONS DES PARTIES

Clause 6 – Description du ou des traitements

Les détails des opérations de traitement, et notamment les catégories de données à caractère personnel et les finalités du traitement pour lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement, sont précisés à l'Appendice II.

Clause 6 – Obligations des Parties

6.1 Instructions

Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel il est soumis. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d'intérêt public. Des instructions peuvent également être données ultérieurement par le responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.

Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction donnée par le responsable du traitement constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données.

6.2 Limitation de la finalité

Le sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l'Appendice II, sauf instruction complémentaire du responsable du traitement.

6.3 Durée du traitement des données à caractère personnel

Le traitement par le sous-traitant n'a lieu que pendant la durée précisée à l'Appendice II.

6.4 Sécurité du traitement

Le sous-traitant met au moins en œuvre les mesures techniques et organisationnelles précisées à l'Appendice III pour assurer la sécurité des données à caractère personnel. Figure parmi ces mesures la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l'évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.

Le sous-traitant n'accorde aux membres de son personnel l'accès aux données à caractère personnel faisant l'objet du traitement que dans la mesure strictement nécessaire à l'exécution, à la gestion et au suivi du contrat. Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

6.5 Données sensibles

Si le traitement porte sur des données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, ou des données relatives aux condamnations pénales et aux infractions (« données sensibles »), le sous-traitant applique des limitations spécifiques et/ou des garanties supplémentaires.

6.6 Documentation et conformité

Les parties doivent pouvoir démontrer la conformité avec les présentes clauses.

Le sous-traitant traite de manière rapide et adéquate les demandes du responsable du traitement concernant le traitement des données conformément aux présentes clauses.

Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et découlant directement du RGPD. À la demande du responsable du traitement, le sous-traitant permet également la réalisation d'audits des activités de traitement couvertes par les présentes clauses et y contribue, à intervalles raisonnables ou en présence d'indices de non-conformité. Lorsqu'il décide d'un examen ou d'un audit, le responsable du traitement peut tenir compte des certifications pertinentes en possession du sous-traitant.

Le responsable du traitement peut décider de procéder lui-même à l'audit ou de mandater un auditeur indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations physiques du sous-traitant et sont, le cas échéant, effectués moyennant un préavis raisonnable. Le responsable de traitement s'engage à supporter la charge des frais liés à l'audit et à couvrir l'ensemble des coûts supportés par le sous-traitant en vue de la réalisation de l'audit. Le responsable de traitement paiera ces frais sur présentation d'une facture.

Les parties mettent à la disposition de l'autorité de contrôle compétente/des autorités de contrôle compétentes, dès que celles-ci en font la demande, les informations énoncées dans la présente clause, y compris les résultats de tout audit.

6.7 Recours à des sous-traitants ultérieurs

Le sous-traitant dispose de l'autorisation générale du responsable du traitement pour ce qui est du recrutement de sous-traitants ultérieurs sur la base d'une liste convenue. Le sous-traitant informe spécifiquement par écrit le responsable du traitement de tout projet de modification de cette liste par l'ajout ou le remplacement de sous-traitants ultérieurs au moins 30 jours à l'avance, donnant ainsi au responsable du traitement suffisamment de temps pour pouvoir émettre des objections avant le recrutement du ou des sous-traitants ultérieurs concernés. Le sous-traitant fournit au responsable du traitement les informations nécessaires pour lui permettre d'exercer son droit d'opposition.

Lorsque le sous-traitant recrute un sous-traitant ultérieur pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement), il le fait au moyen d'un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au sous-traitant en vertu des présentes clauses. Le sous-traitant veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses et du RGPD.

À la demande du responsable du traitement, le sous-traitant lui fournit une copie de ce contrat conclu avec le sous-traitant ultérieur et de toute modification qui y est apportée ultérieurement. Dans la mesure nécessaire à la protection des secrets d'affaires ou d'autres informations confidentielles, y compris les données à caractère personnel, le sous-traitant peut expurger le texte du contrat avant d'en diffuser une copie.

Le sous-traitant demeure pleinement responsable, à l'égard du responsable du traitement, de l'exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur. Le sous-traitant informe le responsable du traitement de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

Le sous-traitant convient avec le sous-traitant ultérieur d'une clause du tiers bénéficiaire selon laquelle — dans le cas où le sous-traitant a matériellement disparu, a cessé d'exister en droit ou est devenu insolvable — le responsable du traitement a le droit de résilier le contrat conclu avec le sous-traitant ultérieur et de donner instruction au sous-traitant ultérieur d'effacer ou de renvoyer les données à caractère personnel.

6.8 Transferts internationaux

Tout transfert de données vers un pays tiers ou une organisation internationale par le sous-traitant n'est effectué que sur la base d'instructions documentées du responsable du traitement ou afin de satisfaire à une exigence spécifique du droit de l'Union ou du droit de l'État membre à laquelle le sous-traitant est soumis et s'effectue conformément au chapitre V du RGPD.

Le responsable du traitement convient que lorsque le sous-traitant recrute un sous-traitant ultérieur conformément à la clause 6.7 pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du RGPD, le sous-traitant et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du RGPD en utilisant les clauses contractuelles types adoptées par la Commission sur la base de l'article 46, paragraphe 2, du RGPD, pour autant que les conditions d'utilisation de ces clauses contractuelles types soient remplies.

Clause 7 – Assistance au responsable du traitement

Le sous-traitant informe sans délai le responsable du traitement de toute demande qu'il a reçue de la part de la personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le responsable du traitement des données ne l'y ait autorisé.

Le sous-traitant prête assistance au responsable du traitement pour ce qui est de remplir l'obligation qui lui incombe de répondre aux demandes des personnes concernées d'exercer leurs droits, en tenant compte de la nature du traitement. Dans l'exécution de ses obligations conformément aux points a) et b), le sous-traitant se conforme aux instructions du responsable du traitement.

Outre l'obligation incombant au sous-traitant d'assister le responsable du traitement en vertu de la clause 7, point b), le sous-traitant aide en outre le responsable du traitement à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le sous-traitant :

l'obligation de procéder à une évaluation de l'incidence des opérations de traitement envisagées sur la protection des données à caractère personnel (« analyse d'impact relative à la protection des données ») lorsqu'un type de traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques ;
l'obligation de consulter l'autorité de contrôle compétente/les autorités de contrôle compétentes préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque ;
l'obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le responsable du traitement si le sous-traitant apprend que les données à caractère personnel qu'il traite sont inexactes ou sont devenues obsolètes ;
les obligations prévues à l'article 32 du RGPD.

Les parties définissent à l'Appendice III les mesures techniques et organisationnelles appropriées par lesquelles le sous-traitant est tenu de prêter assistance au responsable du traitement dans l'application de la présente clause, ainsi que la portée et l'étendue de l'assistance requise.

Clause 8 – Notification de violations de données à caractère personnel

En cas de violation de données à caractère personnel, le sous-traitant coopère avec le responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du RGPD, selon celui qui est applicable, en tenant compte de la nature du traitement et des informations dont dispose le sous-traitant.

8.1 Violation de données en rapport avec des données traitées par le responsable du traitement

En cas de violation de données à caractère personnel en rapport avec des données traitées par le responsable du traitement, le sous-traitant prête assistance au responsable du traitement :

aux fins de la notification de la violation de données à caractère personnel à l'autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le responsable du traitement en a eu connaissance, le cas échéant (sauf si la violation de données à caractère personnel est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques) ;
aux fins de l'obtention des informations suivantes qui, conformément à l'article 33, paragraphe 3, du RGPD doivent figurer dans la notification du responsable du traitement, et inclure, au moins :
- la nature des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés ;
- les conséquences probables de la violation de données à caractère personnel ;
- les mesures prises ou les mesures que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Lorsque, et dans la mesure où, il n'est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu'elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais.

aux fins de la satisfaction, conformément à l'article 34 du RGPD, de l'obligation de communiquer dans les meilleurs délais la violation de données à caractère personnel à la personne concernée, lorsque la violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques.

8.2 Violation de données en rapport avec des données traitées par le sous-traitant

En cas de violation de données à caractère personnel en rapport avec des données traitées par le sous-traitant, celui-ci en informe le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins :

une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d'enregistrements de données à caractère personnel concernés) ;
les coordonnées d'un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel ;
ses conséquences probables et les mesures prises ou les mesures qu'il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.

Les parties définissent à l'appendice III tous les autres éléments que le sous-traitant doit communiquer lorsqu'il prête assistance au responsable du traitement aux fins de la satisfaction des obligations incombant à ce dernier en vertu des articles 33 et 34 du RGPD.

SECTION III – DISPOSITIONS FINALES

Clause 9 – Non-respect des clauses et résiliation

Sans préjudice des dispositions du RGPD, en cas de manquement du sous-traitant aux obligations qui lui incombent en vertu des présentes clauses, le responsable du traitement peut donner instruction au sous-traitant de suspendre le traitement des données à caractère personnel jusqu'à ce que ce dernier se soit conformé aux présentes clauses ou jusqu'à ce que le Contrat soit résilié. Le sous-traitant informe rapidement le responsable du traitement s'il n'est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.

Le responsable du traitement est en droit de résilier le Contrat dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses si :

le traitement de données à caractère personnel par le sous-traitant a été suspendu par le responsable du traitement conformément au point a) et le respect des présentes clauses n'est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d'un mois à compter de la suspension ;
le sous-traitant est en violation grave ou persistante des présentes clauses ou des obligations qui lui incombent en vertu du RGPD ;
le sous-traitant ne se conforme pas à une décision contraignante d'une juridiction compétente ou de l'autorité de contrôle compétente/des autorités de contrôle compétentes concernant les obligations qui lui incombent en vertu des présentes clauses ou du RGPD.

Le sous-traitant est en droit de résilier le Contrat dans la mesure où il concerne le traitement de données à caractère personnel en vertu des présentes clauses lorsque, après avoir informé le responsable du traitement que ses instructions enfreignent les exigences juridiques applicables conformément à la clause 6.1, point b), le responsable du traitement insiste pour que ses instructions soient suivies.

À la suite de la résiliation du Contrat, le sous-traitant supprime, selon le choix du responsable du traitement, toutes les données à caractère personnel traitées pour le compte du responsable du traitement et certifie auprès de celui-ci qu'il a procédé à cette suppression, ou renvoie toutes les données à caractère personnel au responsable du traitement et détruit les copies existantes, à moins que le droit de l'Union ou le droit national n'impose de les conserver plus longtemps, sauf accord contraire entre les Parties ou si le sous-traitant procède à l'anonymisation irréversible des données à caractère personnel. Le sous-traitant continue de veiller à la conformité aux présentes clauses jusqu'à la suppression ou à la restitution des données.

APPENDICE I – Liste des parties

Responsable(s) du traitement

Le responsable du traitement est le Vendeur ou l'Acheteur agissant à titre professionnel dans le cadre de la Marketplace.

Sous-traitant(s)

	Détails
Nom	CardNexus SAS
Adresse	68 avenue Jules Guesde, Le Bouscat (33110), France
Personne de contact	Tristan Foureur, CEO – tristan@cardnexus.com

APPENDICE II – Description du traitement

Catégories de personnes concernées dont les données à caractère personnel sont traitées

Si le responsable du traitement est un Vendeur professionnel : les Acheteurs sont les personnes concernées par le traitement.
Si le responsable du traitement est un Acheteur professionnel : les Vendeurs sont les personnes concernées par le traitement.

Catégories de données à caractère personnel traitées

Informations relatives aux Produits, à l'Acheteur ou au Vendeur, à la livraison et à la facturation, notamment : nom, prénom, adresse email, adresse postale, pays de résidence, numéro de téléphone (le cas échéant), Produits achetés ou vendus, montants des commandes, identifiants de transactions de paiement et informations de suivi de livraison.

Nature du traitement

Collecte, mise à disposition, hébergement, transmission.

Finalité(s) pour laquelle (lesquelles) les données à caractère personnel sont traitées pour le compte du responsable du traitement

Gestion des transactions réalisées via la Marketplace, en particulier :

Mettre en relation les parties dans le cadre du contrat de vente ;
Permettre l'expédition et le suivi des commandes ;
Permettre le paiement et la facturation des parties à l'issue de la vente ;
Faciliter la communication entre les parties via la messagerie de la Plateforme ;
Envoyer des notifications transactionnelles relatives aux commandes.

Durée du traitement

Les données sont conservées le temps nécessaire à la réalisation de la transaction. Certaines données sont susceptibles d'être conservées plus longtemps, notamment pour respecter les obligations légales applicables à CardNexus (en particulier les obligations de conservation comptables et fiscales en vertu du droit français).

Traitements réalisés par les sous-traitants ultérieurs

			Sous-traitant Service Localisation des données Transferts hors UE
Amazon Web Services EMEA SARL	Infrastructure cloud (hébergement, stockage, calcul)	UE (Irlande)	Non
MongoDB, Inc. (Atlas)	Hébergement de bases de données	UE	Non
Stripe Payments Europe, Ltd.	Traitement des paiements, virements, facturation	UE (Irlande). Transferts vers Stripe, Inc. (US) sous CCT.	Oui – US (CCT)
Clerk, Inc.	Authentification et gestion de l'identité des utilisateurs	UE	Non
Railway Corporation	Hébergement applicatif (services backend)	UE	Non
Trigger.dev, Ltd.	Traitement et orchestration de tâches en arrière-plan	UE	Non
Amplitude, Inc.	Analyse produit et suivi du comportement utilisateur	US	Oui – US (CCT)
Datadog, Inc.	Monitoring d'infrastructure et journalisation applicative	UE (Irlande)	Non
Novu, Inc.	Envoi de notifications transactionnelles (email, push)	UE	Non
GetStream B.V.	Messagerie et chat intégrés à l'application	UE	Non
Vercel, Inc.	Hébergement frontend et diffusion de contenu (CDN)	Global (réseau edge)	Oui – US et autres régions (CCT)

APPENDICE III – Mesures techniques et organisationnelles

CardNexus met en œuvre les mesures techniques et organisationnelles de sécurité suivantes afin de garantir un niveau de protection élevé des données à caractère personnel traitées pour le compte des responsables du traitement :

Chiffrement des données à caractère personnel

Toutes les données en transit sont chiffrées via TLS 1.2 ou supérieur.
Toutes les données au repos sont chiffrées en AES-256, y compris le stockage en base de données (MongoDB Atlas) et le stockage cloud (AWS S3).
Les données de paiement sont gérées exclusivement par Stripe, certifié PCI-DSS Niveau 1. CardNexus ne stocke pas de données de cartes bancaires.

Confidentialité, intégrité, disponibilité et résilience des systèmes de traitement

L'infrastructure applicative est hébergée sur AWS (région UE) avec une redondance sur plusieurs zones de disponibilité.
Les services de bases de données (MongoDB Atlas) sont configurés avec des mécanismes de réplication et de basculement automatiques.
L'infrastructure est gérée en tant que code (Terragrunt/Terraform), garantissant des déploiements cohérents et auditables.

Moyens permettant de rétablir la disponibilité et l'accès aux données à caractère personnel

Sauvegardes automatiques quotidiennes de l'ensemble des bases de données, avec possibilité de restauration à un instant donné (point-in-time recovery).
Les procédures de restauration des sauvegardes sont documentées et testées périodiquement.

Tests et évaluation réguliers des mesures de sécurité

L'analyse des vulnérabilités des dépendances est intégrée au pipeline CI/CD.
Les correctifs de sécurité sont appliqués de manière régulière et les vulnérabilités critiques sont traitées dans les meilleurs délais.

Identification et autorisation des utilisateurs

L'authentification des utilisateurs est gérée par Clerk, avec prise en charge de l'authentification multi-facteurs (MFA).
L'accès aux systèmes internes et à l'infrastructure de production est restreint selon le principe du besoin d'en connaître, au moyen de contrôles d'accès basés sur les rôles (RBAC).
L'accès administrateur aux environnements de production requiert l'authentification multi-facteurs.

Protection des données pendant la transmission

Toutes les communications API entre services et avec les sous-traitants ultérieurs sont chiffrées via TLS.
Les webhooks provenant de services tiers (Stripe, GetStream, etc.) sont validés par vérification de signature.

Protection des données pendant le stockage

Les données à caractère personnel sont stockées dans des bases de données chiffrées au sein de l'UE.
La séparation logique entre les comptes utilisateurs garantit que les participants de la Marketplace ne peuvent accéder qu'aux données relatives à leurs propres transactions.

Sécurité physique

L'ensemble de l'infrastructure est hébergé par des fournisseurs cloud certifiés (AWS, MongoDB Atlas, Railway) qui maintiennent des certifications SOC 2 Type II et/ou ISO 27001 pour la sécurité physique et environnementale de leurs centres de données.

Enregistrement des événements

Les journaux applicatifs et d'infrastructure sont centralisés dans Datadog (région UE).
L'accès aux systèmes de journalisation est restreint au personnel autorisé.

Configuration des systèmes

L'infrastructure de production est provisionnée via de l'infrastructure-as-code, garantissant des configurations reproductibles et auditables.
Les paramètres de sécurité par défaut suivent le principe du moindre privilège.

Gouvernance et gestion de la sécurité informatique interne

Les droits d'accès sont révisés périodiquement et révoqués rapidement en cas de changement de rôle ou de départ.
Les membres de l'équipe sont sensibilisés aux obligations en matière de protection des données et aux bonnes pratiques de sécurité.

Minimisation des données

Seules les données à caractère personnel strictement nécessaires aux finalités du traitement décrites à l'Appendice II sont collectées et traitées.
Les données analytiques (Amplitude) sont limitées à ce qui est nécessaire aux fins d'amélioration du produit.

Qualité des données

Les Utilisateurs peuvent mettre à jour leurs informations personnelles à tout moment via les paramètres de leur Compte.
Le sous-traitant informe sans délai le responsable du traitement s'il prend connaissance du caractère inexact ou obsolète des données à caractère personnel qu'il traite.

Conservation limitée des données

Les données de transaction sont conservées uniquement pendant la durée nécessaire à la réalisation de la transaction et au respect des obligations légales applicables (en particulier les obligations comptables et fiscales en vertu du droit français).
À la suite de la résiliation du Contrat, les données à caractère personnel sont supprimées ou restituées conformément à la Clause 9.

Responsabilité

Les activités de traitement sont documentées dans un registre interne des activités de traitement tenu par CardNexus.
Les contrats avec les sous-traitants ultérieurs incluent des obligations en matière de protection des données substantiellement équivalentes à celles prévues par les présentes Clauses.

Portabilité des données et effacement

Les Utilisateurs peuvent demander l'export de leurs données à caractère personnel ou la suppression de leur Compte en contactant support@cardnexus.com.
Sur demande validée, les données à caractère personnel sont effacées dans un délai raisonnable, sous réserve des obligations légales de conservation applicables.