Accord de traitement des données personnelles (DPA)

Le présent accord de traitement des données personnelles (« DPA ») est conclu entre T2ND SAAS, SASU au capital de 1 000 €, immatriculée au RCS de Lille Métropole sous le n° 107 995 631, siège 34 place du Général de Gaulle, Bureau 3, 59800 Lille (« l'Éditeur », sous-traitant) et le client titulaire d'une organisation sur le service cocoPIM (« le Client », responsable de traitement), tel que défini aux CGU/CGV.

Le DPA fait partie intégrante des CGU/CGV (article 11) : il s'applique de plein droit dès l'acceptation de celles-ci, sans signature séparée. Un exemplaire signable est disponible sur demande à contact@cocopim.fr. En cas de contradiction entre le DPA et les CGU/CGV sur un sujet de protection des données, le DPA prévaut.

Le DPA encadre, conformément à l'article 28 du RGPD, les traitements de données personnelles que l'Éditeur réalise pour le compte du Client dans le cadre de la fourniture du service cocoPIM. Les traitements concernés sont décrits en Annexe 1.

Ne relèvent pas du DPA les traitements pour lesquels l'Éditeur agit en qualité de responsable de traitement : gestion des comptes utilisateurs cocoPIM (identité, authentification, préférences), facturation et relation commerciale, sécurité de la plateforme. Ces traitements sont décrits dans la politique de confidentialité.

Les termes « Client », « Service », « Données Client », « Organisation » et « Utilisateur » ont le sens défini aux CGU/CGV. Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « violation de données » ont le sens de l'article 4 du RGPD. « Données Personnelles Client » désigne les données personnelles contenues dans les Données Client ou traitées pour le compte du Client au titre de l'Annexe 1.

• Le Client est responsable de traitement des Données Personnelles Client : il détermine les finalités et s'assure de disposer d'une base légale valable et des droits nécessaires sur les données qu'il importe dans le Service.
• L'Éditeur agit exclusivement en qualité de sous-traitant, sur instructions documentées du Client (article 4), et n'utilise les Données Personnelles Client pour aucune finalité propre.
• Le Service étant destiné à la gestion d'information produit, le Client s'engage à ne pas y importer de données sensibles (art. 9 RGPD) ni de données relevant de catégories hautement personnelles ; le Service n'est pas conçu pour de tels traitements.

L'Éditeur ne traite les Données Personnelles Client que sur instructions documentées du Client. Constituent les instructions documentées initiales : les CGU/CGV, le présent DPA et l'utilisation des fonctionnalités du Service par le Client et ses Utilisateurs (paramétrages, imports, exports, activation de fonctionnalités optionnelles telles que l'assistance IA ou le SSO). Si l'Éditeur estime qu'une instruction viole le RGPD, il en informe le Client sans délai. Si le droit de l'Union ou d'un État membre impose un traitement, l'Éditeur en informe le Client avant le traitement, sauf interdiction légale.

L'Éditeur garantit que les personnes autorisées à traiter les Données Personnelles Client sont soumises à une obligation de confidentialité (contractuelle ou statutaire), sont formées à la protection des données et n'accèdent aux données que dans la mesure strictement nécessaire à leurs missions (principe du moindre privilège, accès tracés).

L'Éditeur met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, adaptées au risque des traitements de l'Annexe 1. Il les maintient à l'état de l'art pendant toute la durée du contrat et ne peut les faire évoluer que sans dégradation substantielle du niveau de protection.

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés en Annexe 3. L'Éditeur :

• impose à chaque sous-traitant ultérieur, par contrat écrit, des obligations équivalentes à celles du présent DPA (art. 28.4) et demeure pleinement responsable envers le Client de leur exécution ;
• informe le Client de tout ajout ou remplacement avec un préavis de 30 jours (notification par email et mise à jour de l'Annexe 3), délai pendant lequel le Client peut s'opposer par écrit pour un motif légitime lié à la protection des données ;
• en cas d'opposition fondée à laquelle aucune solution raisonnable ne peut être apportée, permet au Client de résilier l'abonnement concerné sans pénalité, avec remboursement au prorata de la période restante, par exception assumée à l'article 7 des CGU/CGV (résiliation subie par le Client, décision produit 2026-08-05).

Le prestataire de paiement Stripe n'est pas un sous-traitant ultérieur au titre du DPA : il intervient pour la facturation, traitement dont l'Éditeur est responsable, et agit par ailleurs comme responsable de traitement autonome pour ses obligations réglementaires propres (voir la politique de confidentialité). De même, le fournisseur d'identité (IdP) du Client dans le cadre du SSO est un tiers autonome choisi et opéré par le Client, et non un sous-traitant de l'Éditeur (Annexe 1, traitement C).

• Droits des personnes : compte tenu de la nature du traitement, l'Éditeur assiste le Client par des mesures appropriées (export intégral en libre-service des Données Client (formats standards), fonctions de rectification et de suppression dans le Service, export RGPD en libre-service pour les Utilisateurs). Si une personne concernée s'adresse directement à l'Éditeur au sujet d'un traitement de l'Annexe 1, il la réoriente vers le Client et en informe ce dernier sans délai injustifié.
• Articles 32 à 36 : l'Éditeur assiste le Client, dans la mesure du raisonnable et compte tenu des informations dont il dispose, pour la sécurité, la notification des violations, et les analyses d'impact (AIPD) et consultations préalables éventuelles.

L'Éditeur notifie au Client toute violation de données personnelles affectant les Données Personnelles Client sans délai injustifié après en avoir pris connaissance, avec un objectif de 48 heures, afin de permettre au Client de respecter son propre délai de notification de 72 heures auprès de l'autorité de contrôle (art. 33). La notification décrit, dans la mesure des informations disponibles (le cas échéant complétées de manière échelonnée) : la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables, les mesures prises ou proposées. L'Éditeur documente la violation et coopère avec le Client ; il ne communique pas sur la violation au nom du Client sans son accord, sauf obligation légale.

Les Données Personnelles Client sont hébergées en France (Annexe 2) et traitées exclusivement dans l'Espace économique européen (EEE). L'Éditeur ne réalise aucun transfert hors EEE de ces données et ne recourt qu'à des sous-traitants ultérieurs les traitant dans l'EEE (Annexe 3) ; les transferts éventuels des propres sous-traitants de ces derniers sont encadrés par les garanties de l'article 46 du RGPD (clauses contractuelles types). Seule exception, la messagerie du support (Annexe 3) pour les données que le Client choisit de nous adresser par email. Tout changement suivrait la procédure de l'article 7.

Ne constituent pas des transferts de l'Éditeur les flux que le Client déclenche vers des destinataires qu'il choisit (connecteurs vers ses boutiques et logiciels, webhooks, API REST et GraphQL, exports, fournisseur d'identité du SSO) : ils relèvent de ses instructions et de sa relation avec ces destinataires (Annexe 1, traitement C pour le SSO).

L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA : documentation de sécurité (page Sécurité, Annexe 2), réponses à un questionnaire d'audit raisonnable (une fois par période de 12 mois). Le Client peut en outre faire réaliser, au maximum une fois par an et moyennant un préavis écrit de 30 jours, un audit par lui-même ou un tiers indépendant non concurrent de l'Éditeur, pendant les heures ouvrées, sans accès aux données des autres clients de l'Éditeur, à ses frais. Les constats sont confidentiels.

Pendant toute la durée du contrat et jusqu'à la clôture effective du compte, le Client peut exporter l'intégralité de ses Données Client en libre-service (formats standards, CGU art. 10), sans condition de souscription, de paiement ni de quota.

Faits générateurs de la suppression. L'Éditeur supprime les Données Personnelles Client à la clôture du compte, quelle qu'en soit la cause : demande du Client, terme ou résiliation de son abonnement, résiliation pour manquement, ou terme de l'essai gratuit non suivi d'une souscription ni du choix de l'offre gratuite Découverte. Dans ce dernier cas, la clôture intervient 15 jours après le terme de l'essai, après les cinq préavis prévus à l'article 5.8 des CGU/CGV. En l'absence d'instruction écrite contraire du Client, aucune conservation ne se poursuit au-delà.

Modalités. La suppression devient définitive et irréversible à l'issue de la fenêtre de restauration de 30 jours qui suit la clôture (CGU art. 10), soit, pour un essai non converti, 45 jours au plus après son terme. Les Données Personnelles Client disparaissent des copies de sauvegarde au terme du cycle de rotation de celles-ci, qui n'excède pas 30 jours (offre PostgreSQL infogérée OVHcloud : sauvegardes automatiques quotidiennes et chiffrées, rétention actuelle de 2 jours, susceptible d'être portée à 14 ou 30 jours selon le plan souscrit ; durée identique à la politique de confidentialité, §5) ; aucune restauration de sauvegarde n'a pour objet de réintroduire des données supprimées. Sont réservées les données que l'Éditeur doit conserver au titre d'une obligation légale (notamment comptable) ainsi que la preuve d'envoi des préavis, conservée sans l'adresse email en clair (politique de confidentialité, §5).

Sur demande écrite formulée avant la suppression, l'Éditeur restitue au préalable une copie des Données Client.

La responsabilité des parties au titre du DPA suit le régime de l'article 14 des CGU/CGV (plafond compris), sans préjudice des règles impératives du RGPD (art. 82). Le DPA prend effet avec les CGU/CGV et demeure en vigueur tant que l'Éditeur traite des Données Personnelles Client. Toute modification substantielle suit la procédure de modification des CGU/CGV (art. 16).

A. Hébergement et gestion des Données Client (traitement principal)

• Nature et finalité : hébergement, structuration, enrichissement, export et diffusion de l'information produit du Client (fonctionnalités du Service).
• Données : contenus du catalogue importés ou créés par le Client. Le catalogue peut contenir des données personnelles incidentes (ex. contacts fournisseurs, noms dans des fiches), sous la responsabilité du Client. Contenus des demandes de support (texte libre, pièces jointes).
• Personnes concernées : toute personne mentionnée dans les Données Client (contacts professionnels, tiers).
• Durée : durée d'utilisation du Service, puis jusqu'à la clôture du compte ; suppression définitive à l'issue de la fenêtre de restauration de 30 jours qui suit la clôture (article 12). Lorsque le compte est issu d'un essai gratuit non converti, la clôture intervient 15 jours après le terme de l'essai (CGU art. 5.8), soit une suppression définitive 45 jours au plus après ce terme.

B. Assistance IA catalogue (fonctionnalité optionnelle)

• Nature et finalité : génération de contenu marketing, suggestion d'attributs et traduction de valeurs produit, déclenchées par l'Utilisateur ou par une règle de champ IA qu'il a configurée.
• Données : contenu catalogue et contexte de génération transmis au fournisseur de modèle de langage (Annexe 3). Recommandation : ne pas saisir de données personnelles dans les champs de contexte IA.
• Garanties : fournisseur européen ; aucun entraînement des modèles sur les données du Client (usage des appels à des fins d'entraînement désactivé sur notre compte) ; aucune conservation des requêtes ni des réponses au-delà du temps nécessaire à leur génération (option « zéro rétention de données » accordée par le fournisseur et active). Ces garanties reposent sur le contrat de sous-traitance du fournisseur, sur le paramétrage de notre compte et sur le périmètre technique décrit en Annexe 3 ; l'Éditeur les réexamine à chaque évolution de son intégration.

C. Authentification fédérée : SSO d'entreprise (fonctionnalité optionnelle)

• Nature et finalité : authentifier les membres de l'organisation du Client via son fournisseur d'identité (IdP), provisionner les comptes à la volée et tracer les connexions à des fins de sécurité.
• Données : identifiant IdP stable, email vu à la dernière connexion, horodatages de connexion, journaux de sécurité SSO. Données stockées en UE ; journaux de sécurité conservés 12 mois glissants.
• Responsabilités du Client sur son IdP : le Client demeure seul responsable de la qualité des données asserties par son IdP (dont la vérification des emails), du provisioning et de la révocation des accès (pas de déprovisioning automatique), de la configuration de sécurité de son IdP (MFA, politiques d'accès), de la désignation d'un accès de secours avant d'imposer le SSO, et de l'encadrement d'un éventuel IdP hébergé hors UE. L'IdP n'est pas un sous-traitant de l'Éditeur.

D. Statistiques de consommation de l'assistance IA

• Nature et finalité : enregistrer chaque crédit d'assistance IA consommé et le restituer au propriétaire de l'organisation, afin de piloter le quota mensuel partagé. Le suivi n'a pas pour objet l'évaluation individuelle des Utilisateurs.
• Données : identifiant de l'Utilisateur auteur de la demande (nom et prénom affichés, jamais l'email), date et heure, fonction IA, déclenchement (demande ou enregistrement d'un produit), espace, produit et canal concernés, nombre de crédits. Aucun texte envoyé à l'IA ni produit par elle.
• Personnes concernées : Utilisateurs de l'organisation du Client.
• Accès : Utilisateurs disposant de la permission « Consommation IA » (propriétaire par défaut), limités aux espaces où ils la détiennent ; chaque consultation est journalisée. Le personnel de l'Éditeur n'est jamais identifié nominativement.
• Durée : identité de l'auteur effacée au bout de 90 jours ; enregistrements conservés 12 mois glissants puis supprimés ; identité effacée immédiatement à la suppression du compte de l'Utilisateur.
• Obligations du Client : informer les Utilisateurs concernés avant d'activer la consultation nominative (un texte type figure dans la documentation) et ne pas utiliser ces données à d'autres fins que la finalité ci-dessus.

• Hébergement en France (Union européenne), chez un hébergeur professionnel dont le périmètre Public Cloud est certifié ISO/IEC 27001 (complétée des référentiels ISO/IEC 27017, sécurité cloud, et ISO/IEC 27018, protection des données personnelles) et ISO/IEC 27701, couvert par des attestations SOC 1 et SOC 2 type II (SSAE 18) et certifié Hébergeur de Données de Santé (HDS).
• Chiffrement en transit (TLS) de toutes les communications avec Internet et avec les services managés de données (base de données, cache, stockage objet) ; flux internes cantonnés au réseau privé de la plateforme, isolé d'Internet ; secrets d'infrastructure gérés dans un coffre-fort dédié, jamais stockés en clair.
• Cloisonnement par client : isolation stricte de chaque organisation par plusieurs couches de défense indépendantes, jusqu'à la base de données.
• Contrôle d'accès : authentification par mot de passe confirmée par un code à usage unique envoyé par email, double authentification disponible, authentification unique (SSO SAML 2.0 / OpenID Connect) sur l'annuaire du Client, permissions fines par rôle et par espace de travail, contrôle serveur systématique.
• Traçabilité : journal d'audit des actions sensibles, consultable par les administrateurs du Client ; accès internes limités au strict nécessaire et tracés.
• Sauvegardes quotidiennes de la base de données, répliquées dans un second centre de données en France, et procédure de restauration documentée.
• Minimisation et purges : purges automatiques des données techniques (journaux, notifications), effacement ou anonymisation à la suppression d'un compte.
• Développement sécurisé : revues de sécurité systématiques, tests reproduisant les scénarios d'attaque, processus de divulgation responsable (page Sécurité).

• OVHcloud (OVH SAS), France. Hébergement du Service et des Données Client. Localisation : France. Transferts hors UE : aucun. Contrat de sous-traitance applicable au titre de l'article 28 du RGPD, incorporé par référence aux conditions de service OVHcloud (« Annexe Traitement de données à caractère personnel »).
• Mistral AI, France. Fournisseur de modèle de langage (« La Plateforme ») pour l'assistance IA catalogue, lorsque l'Utilisateur déclenche une assistance ou qu'une règle de champ IA qu'il a configurée s'applique. Entraînement sur les données du Client : aucun. Conservation des requêtes et des réponses : aucune au-delà de leur génération (« zéro rétention de données » active). Contrat de sous-traitance applicable au titre de l'article 28 du RGPD, incorporé par référence aux conditions du fournisseur. Localisation : Espace économique européen (infrastructures en France, en Suède et en Norvège, inférence dans l'EEE). Transferts hors EEE : aucun du fait de l'Éditeur pour les Données Personnelles Client, le point de terminaison américain de l'API du fournisseur n'étant pas utilisé (adresse de l'API contrôlée par le Service) ; les transferts éventuels des propres sous-traitants du fournisseur sont encadrés par des clauses contractuelles types. La liste des sous-traitants ultérieurs du fournisseur est publiée à son centre de confiance ; l'Éditeur est abonné à ses mises à jour.
• Brevo (France) : envoi des emails transactionnels du Service (codes de connexion et d'inscription, notifications). Localisation : Union européenne. Contrat de sous-traitance applicable au titre de l'article 28 du RGPD, incorporé par référence aux conditions du fournisseur.
• Google (Google Cloud EMEA Ltd), Irlande. Messagerie professionnelle (Google Workspace) des adresses @cocopim.fr, dont le support : uniquement pour les données que le Client choisit de nous adresser par email. Localisation : Union européenne (stockage des données). Transferts éventuels vers Google LLC (États-Unis) encadrés par les clauses contractuelles types de la Commission européenne et la certification Data Privacy Framework. Contrat de sous-traitance applicable au titre de l'article 28 du RGPD, incorporé par référence aux conditions du fournisseur.

La version en vigueur de cette liste est publiée sur la présente page ; toute évolution est notifiée conformément à l'article 7.