Accord de traitement des données
1. Parties, périmètre et statut
Cet accord définit les conditions de traitement des données entre le client professionnel désigné dans un contrat de service OrsunPay (le « Client ») et Orsun Tech OÜ, numéro d’immatriculation 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia (« OrsunPay »). Il ne devient contraignant que lorsqu’il est incorporé à un accord accepté par les deux parties, avec ses annexes de traitement et de sécurité complétées.
Pour le traitement couvert ici, le Client détermine les finalités et les moyens essentiels, et OrsunPay traite les données personnelles pour son compte. Lorsque le Client est lui-même sous-traitant, il doit disposer de l’autorisation de son responsable du traitement pour désigner OrsunPay. Le traitement réalisé pour les propres besoins d’OrsunPay concernant son site, ses contacts commerciaux et l’administration des comptes est décrit dans l’ avis de confidentialité.
Les termes « données personnelles », « responsable du traitement », « sous-traitant » et les termes associés ont le sens donné par le droit applicable en matière de protection des données, y compris le RGPD lorsqu’il s’applique. Cet accord prévaut sur les conditions de service contradictoires concernant le traitement qu’il couvre ; les clauses de transfert obligatoires prévalent lorsqu’elles s’appliquent.
2. Description du traitement
| Élément | Périmètre du traitement |
|---|---|
| Objet | Données personnelles traitées au moyen des services d’orchestration des paiements convenus avec le Client et de l’assistance associée. |
| Nature des opérations | Réception, enregistrement, organisation, extraction, transmission et affichage de dossiers ; exécution des instructions de routage et d’exploitation ; résolution des problèmes ; restitution ou suppression des données. |
| Finalités | Exploiter les parcours de paiement configurés, échanger des informations avec les prestataires sélectionnés, conserver les enregistrements de transactions et de webhooks, fournir un accès autorisé et enquêter sur les problèmes de service. |
| Personnes | Acheteurs du Client et autres participants aux paiements, ainsi que les utilisateurs ou représentants autorisés du Client lorsque leurs données sont traitées selon ses instructions. |
| Catégories de données | Références clients et transactions, coordonnées lorsqu’elles sont fournies, montants et devises, statuts de paiement et de remboursement, références prestataires, informations de moyens de paiement tokenisées ou masquées, données techniques de connexion et éléments d’assistance pertinents. L’annexe finale doit refléter l’intégration réelle. |
| Durée et fréquence | Pendant l’utilisation du service et la période convenue de restitution ou de suppression ; traitement continu ou déclenché par des événements selon les fonctionnalités utilisées. |
| Données sensibles | Les catégories particulières de données, les données relatives aux infractions pénales et les identifiants complets de paiement ne sont pas couverts par cette description générale, sauf si un périmètre écrit distinct et des contrôles appropriés les couvrent expressément. |
3. Instructions et responsabilités du Client
Le contrat de service, les annexes complétées, les paramètres autorisés et les requêtes API documentées constituent les instructions du Client. OrsunPay ne traitera les données couvertes que selon ces instructions, y compris celles concernant les transferts, sauf obligation contraire du droit applicable. Elle informera le Client de toute obligation légale avant le traitement, sauf si la loi interdit cette information.
Le Client doit fournir des instructions licites, les informations de confidentialité nécessaires et une base valable pour la collecte et le traitement qu’il demande. Il doit limiter les données fournies aux besoins du service et maintenir des autorisations de compte appropriées. OrsunPay informera le Client si elle estime qu’une instruction enfreint le droit applicable en matière de protection des données et pourra suspendre le traitement concerné pendant la résolution du problème.
4. Confidentialité et sécurité
OrsunPay limitera l’accès aux personnes autorisées qui en ont besoin pour fournir le service et veillera à ce qu’elles soient soumises à des obligations de confidentialité. Elle maintiendra des mesures techniques et organisationnelles adaptées à la nature des données et aux risques du traitement.
L’annexe de sécurité doit documenter le contrôle des accès, l’authentification, les modalités de chiffrement, la séparation des environnements clients, la journalisation, la gestion des incidents, la sauvegarde et la restauration, la suppression et la procédure d’évaluation de ces mesures. Elle doit distinguer les contrôles déployés des contrôles prévus et identifier le périmètre de service applicable. Aucune certification d’audit ni attestation de sécurité n’est incorporée du seul fait de la publication de cet accord.
5. Sous-traitants ultérieurs
OrsunPay ne peut désigner des sous-traitants ultérieurs qu’avec l’autorisation écrite préalable, spécifique ou générale, du Client. L’annexe finale autorisée identifiera l’entité juridique, sa fonction et les lieux de traitement pertinents. Le registre des fournisseurs constitue une information complémentaire et comprend des fournisseurs du site et des dispositions en cours d’examen ; leur seule inclusion ne vaut pas autorisation du client.
En cas d’autorisation générale, OrsunPay notifiera préalablement par écrit les ajouts ou remplacements envisagés et offrira au Client une possibilité effective de s’y opposer pour des motifs de protection des données avant le début du nouveau traitement. L’annexe signée doit préciser le délai de préavis, le canal de notification et la procédure de résolution. Si une objection ne peut être résolue, les parties conviendront d’une solution licite ou mettront fin au service concerné conformément à leur contrat.
OrsunPay imposera contractuellement les obligations applicables de protection des données à chaque sous-traitant ultérieur et restera responsable de leur exécution par ce dernier dans la mesure requise par la loi.
6. Assistance et violations de données personnelles
Compte tenu du traitement et des informations dont elle dispose, OrsunPay assistera le Client concernant les demandes d’exercice de droits, les obligations de sécurité, les analyses d’impact et les consultations des autorités compétentes. Si elle reçoit une demande relative aux données du Client, elle en informera celui-ci et n’y répondra pas sur le fond, sauf sur instruction ou obligation légale.
OrsunPay notifiera le Client sans retard injustifié après avoir pris connaissance d’une violation de données personnelles affectant les données couvertes. Les informations disponibles décriront l’incident, les données et personnes concernées, les conséquences probables, les mesures d’atténuation et un contact pour le suivi. Les informations pourront être fournies par étapes à mesure que l’enquête progresse. OrsunPay coopérera à la réponse du Client ; celui-ci restera responsable des notifications qui lui incombent légalement.
7. Transferts internationaux
Avant qu’un traitement n’implique un transfert soumis à restrictions, les parties doivent identifier l’exportateur, l’importateur, les destinations et le mécanisme de transfert approprié. Le cas échéant, cela comprend une décision d’adéquation applicable ou des clauses contractuelles types complétées avec le bon module, les annexes et les mesures supplémentaires. Les exigences britanniques ou suisses doivent être prises en compte lorsqu’elles s’appliquent.
Un lien vers l’accord de traitement d’un fournisseur ne complète pas, à lui seul, la documentation de transfert du Client. L’annexe signée doit inclure les dispositions réelles, notamment les accès à distance et les transferts ultérieurs.
8. Restitution, suppression et conservation
À la fin du traitement, OrsunPay, au choix du Client, restituera ou supprimera les données personnelles couvertes et supprimera les copies restantes, sauf obligation de conservation prévue par le droit applicable. Les parties doivent convenir du format d’exportation, de la procédure de demande, du délai d’exécution et de l’expiration des sauvegardes dans l’annexe de traitement.
Lorsqu’une conservation est légalement requise, OrsunPay identifiera cette obligation lorsque cela est permis, limitera les données conservées à cette finalité et les supprimera à la fin de l’obligation. Les sauvegardes en attente d’expiration programmée doivent rester protégées et indisponibles pour une utilisation ordinaire. OrsunPay confirmera l’exécution sur demande.
9. Informations et audits
OrsunPay mettra à disposition les informations nécessaires pour démontrer le respect de ses obligations de sous-traitant et permettra et contribuera aux audits, y compris aux inspections du Client ou de son auditeur mandaté. Les parties coordonneront un préavis raisonnable, la confidentialité et les mesures protégeant les informations des autres clients. Les modalités pratiques ne doivent pas empêcher un audit exigé par la loi ou une autorité compétente.
10. Finalisation de l’accord
Avant signature, les parties doivent compléter les catégories de données propres au service, les lieux de traitement, les sous-traitants ultérieurs approuvés, les documents de transfert, les mesures de sécurité, les modalités de conservation et de restitution, les contacts de notification et la procédure de changement de fournisseur. Les dispositions relatives à la responsabilité et au droit applicable suivent le contrat de service signé dans la mesure autorisée par la loi ; rien ici ne supprime les droits légaux d’une personne. Les demandes relatives au contrat et à l’accord de traitement peuvent être adressées via Contact.