Accord de traitement des données (DPA)

Version du 19 octobre 2026.

1. Parties et objet

Le présent accord encadre les traitements de données personnelles que CrossbordIA effectue pour le compte de ses clients, conformément à l'article 28 du RGPD. Il complète les CGU et les CGV acceptées par le client, et prévaut sur elles pour la protection des données.

Sous-traitant : CrossbordIA SAS, 47 rue Vivienne, 75002 Paris, SIREN 103 738 084, représentée par Stephane Caillot, président — contact@crossbordia.fr.
Responsable du traitement : le client (marchand, exportateur ou transitaire) qui utilise CrossbordIA, son site, son API ou son application Shopify.

L'accord s'applique dès l'acceptation des CGU et pendant toute la durée d'utilisation du service.

2. Description du traitement

Élément	Description
Finalité	Préparer, à la demande du client, la facture douanière d'un envoi hors Union européenne (destinataire, adresse de livraison) ; classer les produits du client (données produits, sans données personnelles)
Données traitées	Nom, adresse de livraison, téléphone et e-mail du destinataire d'une commande ; numéro de commande
Personnes concernées	Clients du marchand destinataires d'un envoi hors UE
Source	Commande lue dans Shopify via l'application CrossbordIA, ou saisie par le client
Moment	Uniquement quand le client génère une facture pour cette commande ; la liste des commandes synchronisée chaque heure ne contient aucune donnée personnelle
Durée de conservation	Facture et données imprimées conservées 10 ans (pièce comptable, article L123-22 du Code de commerce), puis supprimées
Nature des opérations	Lecture, enregistrement sur la facture, conservation, mise à disposition du client, suppression

3. Obligations de CrossbordIA

CrossbordIA s'engage à :

ne traiter les données que sur instruction documentée du client, c'est-à-dire l'usage du service tel que décrit ci-dessus ; si une instruction lui paraît contraire au RGPD, il en informe le client ;
garantir la confidentialité des données : seules les personnes habilitées de CrossbordIA y accèdent, sous obligation de confidentialité ;
prendre les mesures de sécurité de l'article 32 du RGPD (section 5) ;
ne recourir à un sous-traitant ultérieur que dans les conditions de la section 4 ;
aider le client à répondre aux demandes d'exercice des droits des personnes concernées ;
aider le client à respecter ses obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact ;
au terme du service, supprimer ou restituer les données selon le choix du client, sous réserve des obligations légales de conservation (section 6) ;
mettre à la disposition du client les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits (section 6).

CrossbordIA n'utilise jamais ces données à d'autres fins : ni prospection, ni revente, ni entraînement de modèles d'intelligence artificielle.

4. Sous-traitants ultérieurs

Le client autorise CrossbordIA à recourir aux sous-traitants ci-dessous. CrossbordIA informe le client de tout ajout ou remplacement au moins 30 jours à l'avance ; le client peut s'y opposer et, à défaut d'accord, résilier sans frais. Chaque sous-traitant est tenu par contrat aux mêmes obligations.

Sous-traitant	Rôle	Lieu d'hébergement
Lovable Labs AB (infrastructure Supabase)	Hébergement du site, de la base de données et des factures	Royaume-Uni (Londres, Amazon Web Services eu-west-2), pays couvert par une décision d'adéquation de la Commission européenne
Railway Corp.	Hébergement du connecteur Shopify	Union européenne (europe-west4, Pays-Bas)

Les services d'intelligence artificielle utilisés pour le classement reçoivent uniquement des données produits, jamais les données des destinataires : ils ne sont pas sous-traitants de ce traitement.

Tout autre transfert hors de l'Espace économique européen est encadré par les clauses contractuelles types de la Commission européenne.

5. Sécurité, violations et droits des personnes

Mesures de sécurité : chiffrement des connexions (HTTPS) et des données stockées ; accès limité aux personnes habilitées, avec authentification forte ; journalisation des accès ; sauvegardes régulières ; séparation des environnements de test, qui n'utilisent jamais de données réelles ; suppression des liaisons à la désinstallation de l'application Shopify.

Violation de données : CrossbordIA notifie le client sans délai, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données touchées, les conséquences probables et les mesures prises, pour permettre au client de notifier la CNIL dans les 72 heures.

Droits des personnes : si une personne s'adresse directement à CrossbordIA (accès, rectification, effacement, opposition), CrossbordIA transmet la demande au client sous 5 jours ouvrés et l'aide à y répondre.

6. Fin du contrat, audits et droit applicable

Fin du service : à la fermeture du compte ou à la désinstallation de l'application, CrossbordIA supprime les données des destinataires sous 30 jours, sauf les factures, que la loi impose de conserver 10 ans ; le client peut en demander l'export avant suppression.

Audits : CrossbordIA fournit sur demande, dans un délai de 30 jours, les informations prouvant le respect du présent accord. Un audit sur place, aux frais du client, est possible une fois par an avec un préavis de 30 jours.

Droit applicable : droit français ; tribunaux de Paris, comme prévu par les CGV.

Pour les clients qui acceptent les CGU en ligne, l'accord s'applique par renvoi depuis les CGU, sans signature manuscrite. Un exemplaire signé peut être obtenu sur demande à contact@crossbordia.fr.