Accord de traitement des données (article 28 RGPD)

1. Objet et durée

Ardwa traite des données personnelles pour le compte du Commerçant, uniquement pour fournir le service décrit aux conditions générales, pendant la durée du contrat et jusqu'à la suppression des données prévue à l'article 9.

2. Nature des traitements

• Réception et envoi de messages WhatsApp avec les clients du Commerçant
• Gestion des commandes, réservations, abonnements, paiements et factures
• Tenue de la base clients (dans Ardwa ou dans l'outil choisi par le Commerçant)
• Réponses automatiques et, si le Commerçant l'active, réponses générées par un fournisseur d'IA

3. Données et personnes concernées

Personnes : clients et prospects du Commerçant, utilisateurs du compte.

Données : nom de profil WhatsApp, numéro de téléphone, contenu des messages, commandes, créneaux, montants, statut de paiement (jamais les numéros de carte), factures, notes et étiquettes saisies par le Commerçant, éventuellement e-mail et données d'entreprise pour les clients professionnels. Le Commerçant s'engage à ne pas saisir de données sensibles au sens de l'article 9 du RGPD.

4. Instructions

Ardwa ne traite les données que sur instruction documentée du Commerçant, constituée par le paramétrage du service et ses demandes écrites. Ardwa informe le Commerçant si une instruction lui paraît contraire à la réglementation.

5. Confidentialité et accès du support

Les personnes autorisées à traiter les données sont soumises à la confidentialité. L'accès du support à l'espace du Commerçant est limité à la résolution d'incidents ou à sa demande, limité dans le temps, motivé et journalisé ; le journal est consultable par le Commerçant.

6. Sécurité (article 32)

• Chiffrement des échanges (HTTPS) et des secrets (jetons WhatsApp, clés) en base
• Mots de passe hachés, double authentification obligatoire pour les administrateurs d'Ardwa
• Cloisonnement des données entre commerçants, contrôles d'accès par boutique
• Journalisation des accès sensibles, sauvegardes régulières, hébergement dans l'Union européenne
• Mise à jour régulière des composants, gestion des incidents

7. Sous-traitants ultérieurs

Le Commerçant autorise le recours aux sous-traitants listés sur la page « Sous-traitants ». Ardwa informe le Commerçant de tout ajout ou remplacement au moins 30 jours à l'avance ; le Commerçant peut s'y opposer en résiliant sans frais. Ardwa impose à ses sous-traitants des obligations équivalentes.

Lorsque des données sont transférées hors de l'Union européenne, elles sont encadrées par les clauses contractuelles types de la Commission européenne ou une décision d'adéquation (Data Privacy Framework).

8. Assistance au Commerçant

Ardwa aide le Commerçant à répondre aux demandes des personnes (accès, rectification, effacement, portabilité, opposition) : export et suppression d'un client depuis sa fiche, arrêt des messages par « STOP ».

Ardwa notifie au Commerçant toute violation de données le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, pour lui permettre de notifier la CNIL dans les 72 heures si nécessaire, et l'assiste pour les analyses d'impact éventuelles.

9. Fin du contrat

À la fin du contrat, le Commerçant dispose de 30 jours pour exporter ses données, après quoi Ardwa les supprime, y compris des sauvegardes au terme de leur rotation, sauf obligation légale de conservation.

10. Audit

Ardwa met à disposition les informations nécessaires pour démontrer le respect de cet accord et permet un audit, à la charge du Commerçant, avec un préavis de 30 jours et dans le respect de la confidentialité des autres clients.