Accord de traitement des données personnelles

Dernière mise à jour : 18 octobre 2026

Le présent accord (« DPA ») complète les conditions générales de vente et d'utilisation de Soukly POS. Il encadre, conformément à l'article 28 du RGPD, les traitements de données personnelles réalisés par IZKAND pour le compte du Client.

1. Parties et rôles

Le Client, commerçant ou restaurateur utilisant Soukly POS, agit en qualité de responsable de traitement.
IZKAND, SARL, 60 rue François I^er, 75008 Paris, RCS Paris 941 634 800, agit en qualité de sous-traitant.

2. Description des traitements

Objet: Fourniture du logiciel de caisse Soukly POS : ventes, tickets, fidélité, restaurant, stock, rapports, support.
Durée: Durée de l'abonnement, puis 90 jours de réversibilité.
Personnes concernées: Clients finaux du Client ; Utilisateurs du Client (gérants, caissiers, serveurs) ; contacts fournisseurs.
Catégories de données: Identité et coordonnées (nom, téléphone, courriel, adresse) ; historique d'achats et tickets ; points de fidélité ; réservations ; identifiants et journal des actions des Utilisateurs. Aucune donnée de carte bancaire n'est stockée par le Service.
Données sensibles: Aucune. Le Client s'engage à ne pas en saisir (santé, opinions, etc.) dans les champs libres.
Opérations: Collecte, enregistrement, hébergement, consultation, modification, synchronisation, export, sauvegarde, suppression.
Conservation des clients finaux: Par défaut, la fiche d'un client final sans achat depuis 3 ans (et sans dette en cours) est anonymisée automatiquement chaque mois ; les messages de fidélité, les liens de désinscription et les liens de carte révoqués plus anciens sont supprimés. Le Client règle cette durée (1 à 10 ans) ou désactive la tâche dans Fidélité › Contrôles, et reste responsable de la durée choisie. Les tickets et documents fiscaux restent conservés selon les obligations légales, sans les données personnelles effacées.
Désinscription: Chaque courriel de fidélité contient un lien de désinscription ; le retrait du consentement est journalisé.
Enquêtes de satisfaction: Le Client peut publier des enquêtes (lien et QR code publics). Les réponses sont anonymes par défaut : aucune donnée d'identité n'est demandée, l'adresse IP du répondant n'est jamais conservée en clair (empreinte à sel quotidien effacée après 30 jours) et un identifiant aléatoire d'appareil sert seulement à éviter les réponses en double. Les coordonnées ne sont recueillies que si le répondant coche « être recontacté » (consentement) et sont effacées après la durée réglée (90 jours par défaut). Les réponses sont anonymisées automatiquement après 24 mois (réglable de 6 à 60 mois) ; la personne peut demander l'effacement de son avis au Client à l'aide de la référence affichée après l'envoi. Le Client informe ses salariés avant d'activer des statistiques par employé (désactivées par défaut). Si le Client active l'analyse IA des commentaires (désactivée par défaut, activation confirmée et journalisée), les commentaires libres, après retrait des adresses e-mail, téléphones, numéros, liens et noms détectables, sont transmis au fournisseur d'IA de l'assistant (voir « Assistant IA » à l'article 4) pour en extraire le ton, les thèmes et un résumé ; l'identité et les coordonnées des répondants ne sont jamais transmises, une mention est affichée sur la page de l'enquête et l'analyse est supprimée avec le commentaire.

3. Obligations d'IZKAND

IZKAND s'engage à :

traiter les données uniquement sur instruction documentée du Client, constituée par les CGV, le présent accord et l'utilisation des fonctions du Service ; si une instruction lui paraît contraire à la réglementation, IZKAND en informe immédiatement le Client ;
garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité ;
mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
ne recourir à un autre sous-traitant que dans les conditions de l'article 4 ;
aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées, notamment grâce aux fonctions d'export, de modification et de suppression du Service, et lui transmettre sans délai toute demande reçue directement ;
aider le Client à garantir la sécurité des traitements, à notifier les violations de données et, le cas échéant, à réaliser une analyse d'impact ;
notifier au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles sur sa nature, ses conséquences probables et les mesures prises ;
au terme du contrat, permettre l'export des données pendant 90 jours puis les supprimer, y compris des sauvegardes au terme de leur cycle de rotation, sauf obligation légale de conservation ;
mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permettre des audits, dans les conditions de l'article 7 ;
tenir un registre des traitements effectués pour le compte du Client.

4. Sous-traitants ultérieurs

Le Client autorise IZKAND à recourir aux sous-traitants ultérieurs suivants :

Sous-traitant	Prestation	Localisation
Supabase, Inc. (Singapour)	Base de données, authentification, stockage de fichiers	Données hébergées dans l'Union européenne
Lovable Labs Incorporated AB (Suède) [à confirmer]	Hébergement de l'application web, envoi de courriels d'alerte	Union européenne [à confirmer]

IZKAND informe le Client par courriel au moins 30 jours avant tout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier sans frais. IZKAND impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent accord et reste responsable de leur exécution.

Les transferts éventuels hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation.

Assistant IA (facultatif). Si le Client active l'assistant IA avec sa propre clé API, IZKAND transmet, sur instruction du Client, les questions de ses Utilisateurs et les données de la boutique nécessaires à la réponse au fournisseur d'IA choisi par le Client — Anthropic, PBC ou OpenAI, L.L.C. (États-Unis) — qui les traite dans le cadre du contrat conclu directement entre le Client et ce fournisseur. Le Client vérifie que ce contrat encadre les transferts hors de l'Union européenne et ses propres obligations, informe ses Utilisateurs, et peut désactiver l'assistant à tout moment (globalement ou par boutique). La clé API est chiffrée par le Service et n'est jamais affichée ; la consommation est journalisée. L'historique des conversations de chaque Utilisateur (supprimé après la durée de conservation choisie par le Client, 90 jours par défaut) et sa mémoire (gardée jusqu'à son effacement) ne sont accessibles qu'à cet Utilisateur, qui peut les exporter et les effacer à tout moment ; ils sont supprimés lorsqu'il est retiré de l'organisation.

5. Mesures de sécurité

Chiffrement des échanges (TLS) et des données au repos chez l'hébergeur.
Isolement des données de chaque Client par des règles de sécurité au niveau de la base de données.
Droits d'accès par rôle définis par le Client (remises, prix, remboursements, clôtures) ; les montants de vente sont recalculés côté serveur.
Journal d'audit des actions sensibles et scellement chaîné des ventes.
Sauvegardes régulières de la base de données.
Accès du personnel d'IZKAND aux données limité aux besoins du support et de la maintenance.
Authentification des tâches automatisées et des points d'entrée techniques par secret partagé.

6. Obligations du Client

Le Client s'engage à : disposer d'une base légale pour les données qu'il saisit ; informer ses clients finaux et ses employés du traitement ; recueillir leur consentement lorsqu'il est requis (par exemple pour la prospection par SMS ou courriel) ; gérer les droits d'accès de ses Utilisateurs ; respecter la réglementation locale lorsqu'il exerce hors de l'Union européenne.

7. Audit

Le Client peut, une fois par an et moyennant un préavis de 30 jours, demander un audit de conformité, réalisé à ses frais par lui-même ou par un auditeur indépendant tenu au secret. L'audit ne doit pas perturber le Service ni porter atteinte à la sécurité ou à la confidentialité des données des autres clients. IZKAND peut y répondre en priorité par la communication de documents et de réponses écrites.

8. Durée et hiérarchie

Le présent accord s'applique pendant toute la durée des traitements. En cas de contradiction entre les CGV et le présent accord sur la protection des données, le présent accord prévaut.

Contact : alexandre@bendokiaservices.com.