Accord de traitement des données

• « Données personnelles » désigne toute information relative à une personne physique identifiée ou identifiable.
• « Traitement » désigne toute opération effectuée sur des données personnelles.
• « Responsable du traitement » désigne le Marchand, qui détermine les finalités et les moyens du traitement.
• « Sous-traitant » désigne Slingshot, qui traite les données pour le compte du Marchand.

Slingshot traite les données personnelles uniquement pour fournir des services de notification de retour en stock. Les catégories de données traitées comprennent :

• Adresses email des clients
• Numéros de téléphone des clients (si SMS activé)
• Préférences d'abonnement aux produits
• Données de livraison et d'engagement des notifications

Slingshot s'engage à :

• Traiter les données personnelles uniquement sur instructions documentées du Marchand
• S'assurer que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées
• Aider le Marchand à répondre aux demandes des personnes concernées
• Supprimer ou restituer toutes les données personnelles à la fin des services
• Mettre à disposition toutes les informations nécessaires pour démontrer la conformité

Slingshot fait appel aux sous-traitants ultérieurs suivants :

• Resend Inc. (USA) — Livraison des emails
• Twilio Inc. (USA) — Livraison des SMS
• Neon Inc. (USA) — Hébergement de la base de données
• Vercel Inc. (USA) — Hébergement de l'application

Les données personnelles peuvent être transférées aux États-Unis. Ces transferts sont encadrés par les Clauses contractuelles types approuvées par la Commission européenne.

Slingshot met en œuvre les mesures de sécurité suivantes :

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• Contrôles d'accès et authentification
• Évaluations régulières de la sécurité
• Procédures de réponse aux incidents

Slingshot notifiera le Marchand de toute violation de données personnelles sans délai injustifié et dans les 72 heures suivant la prise de connaissance de la violation.