Accord de traitement des données

Dernière mise à jour : 8 août 2026

Cet accord s'applique automatiquement dès lors que Verity Score traite des données personnelles pour le compte d'un client, notamment via l'application Shopify. Il fait partie intégrante des conditions générales de vente.

1. Parties et objet

Le présent accord (l'« Accord ») est conclu entre :

Le Client, marchand souscrivant au Service, agissant en qualité de responsable du traitement au sens de l'article 4.7 du RGPD,

et

• Dénomination sociale : Verity Score
• Forme juridique : Société par actions simplifiée (SAS)
• Capital social : 500 euros
• Siège social : 138 avenue Victor Hugo, 75016 Paris, France
• Immatriculation : RCS Paris 108 480 583
• Numéro SIREN : 108 480 583
• TVA intracommunautaire : FR68108480583
• Identifiant européen (EUID) : FR7501.108480583
• Président : Kamil Kaderbay
• Courriel : [email protected]

agissant en qualité de sous-traitant au sens de l'article 4.8 du RGPD.

L'Accord définit les conditions dans lesquelles Verity Score traite des données personnelles pour le compte du Client dans le cadre du Service. Il s'applique de plein droit à toute souscription et prévaut, pour ces traitements, sur toute stipulation contraire.

2. Répartition des rôles

Verity Score agit en tant que sous-traitant pour les données personnelles issues de la boutique du Client : données de commande, évènements client, et toute donnée personnelle contenue dans les contenus de la boutique.

Verity Score agit en tant que responsable du traitement distinct pour les données relatives à la relation commerciale avec le Client : compte, facturation, support, sécurité et journaux techniques. Ces traitements relèvent de la politique de confidentialité.

3. Description du traitement

Objet. Fourniture du Service d'audit et d'optimisation de la visibilité de la boutique auprès des moteurs et agents IA.

Nature des opérations. Collecte, consultation, structuration, analyse automatisée, stockage, transmission aux sous-traitants ultérieurs listés à l'article 7, et effacement.

Finalité. Exécution du Service souscrit, à l'exclusion de toute finalité propre à Verity Score. Aucune donnée du Client n'est utilisée pour entraîner des modèles, ni cédée, louée ou exploitée à des fins de marketing tiers.

Durée. Le traitement dure le temps de l'abonnement, augmenté du délai d'effacement prévu à l'article 11.

Catégories de personnes concernées.

• clients et prospects de la boutique du Client
• visiteurs de la boutique du Client
• collaborateurs du Client disposant d'un accès au Service

Catégories de données.

Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est sciemment traitée. Le Client s'abstient d'introduire de telles données dans les champs traités par le Service.

Les autorisations read_orders et read_customer_events sont facultatives et demandées séparément après l'installation. Sans elles, aucune donnée personnelle de client final n'est traitée.

4. Instructions documentées

Verity Score ne traite les données que sur instruction documentée du Client. Constituent des instructions documentées : le présent Accord, les conditions générales de vente, les autorisations accordées lors de l'installation, et les actions réalisées par le Client dans l'interface du Service.

Verity Score informe le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données.

Si une obligation légale impose à Verity Score un traitement au-delà des instructions du Client, elle en informe le Client avant traitement, sauf interdiction légale de cette information.

5. Confidentialité

Verity Score veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation contractuelle de confidentialité, soient formées à la protection des données, et n'accèdent qu'aux données strictement nécessaires à leur mission.

Les accès aux environnements de production sont nominatifs, tracés et révoqués sans délai à la fin de la mission.

6. Sécurité des traitements

Conformément à l'article 32 du RGPD, Verity Score met en oeuvre les mesures suivantes :

• chiffrement des échanges en transit (TLS 1.3) et chiffrement au repos des bases de données
• pseudonymisation par hachage des identifiants de clients finaux, jamais stockés en clair
• authentification forte et cloisonnement des accès aux environnements de production
• restriction des accès aux bases par liste d'adresses autorisées
• journalisation des accès et des opérations d'écriture
• sauvegardes régulières et procédure de restauration testée
• protection contre les requêtes vers des ressources internes, validation stricte des entrées, limitation de débit
• revue des dépendances et application des correctifs de sécurité
• cloisonnement logique des données par boutique

Ces mesures peuvent évoluer, sans que le niveau de sécurité global puisse être diminué.

7. Sous-traitants ultérieurs

Le Client donne à Verity Score une autorisation générale de recourir aux sous-traitants ultérieurs listés ci-dessous.

Verity Score impose contractuellement à chaque sous-traitant ultérieur des obligations de protection équivalentes à celles du présent Accord et demeure pleinement responsable de leur exécution devant le Client.

En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, Verity Score en informe le Client par courriel au moins trente (30) jours avant la mise en oeuvre. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données dans ce délai. À défaut de solution alternative raisonnable, le Client peut résilier l'abonnement sans pénalité, avec remboursement au prorata de la période non consommée.

8. Transferts hors Union européenne

Certains sous-traitants ultérieurs sont établis aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution 2021/914, module sous-traitant vers sous-traitant) et, lorsque le prestataire y est certifié, par le EU-US Data Privacy Framework.

Verity Score applique des mesures techniques complémentaires : chiffrement en transit, minimisation des données transmises, pseudonymisation des identifiants et absence de transmission de données de commande brutes aux fournisseurs de modèles de langage.

9. Assistance au Client

Droits des personnes concernées. Verity Score met à disposition du Client les fonctions nécessaires pour répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Les demandes transmises par Shopify au titre des webhooks de conformité (customers/data_request, customers/redact, shop/redact) sont traitées automatiquement dans les délais imposés par Shopify. Si une personne concernée s'adresse directement à Verity Score, celle-ci la renvoie vers le Client et l'en informe sans délai.

Analyse d'impact. Verity Score fournit au Client, sur demande, les informations nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle.

Sécurité. Verity Score assiste le Client dans le respect de ses obligations au titre des articles 32 à 36 du RGPD.

10. Violation de données

Verity Score notifie au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, par courriel à l'adresse de contact du compte.

La notification précise la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et le point de contact.

Verity Score documente chaque violation et coopère avec le Client pour lui permettre de remplir ses propres obligations de notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

11. Sort des données en fin de contrat

Au terme de la prestation, le Client dispose de trente (30) jours pour exporter ses données. À l'expiration de ce délai, Verity Score supprime l'ensemble des données personnelles traitées pour son compte, y compris dans les sauvegardes selon leur cycle de rotation, qui n'excède pas quatre-vingt-dix (90) jours.

La désinstallation de l'application Shopify déclenche le même processus.

Verity Score peut conserver les données dont la conservation est imposée par le droit de l'Union ou le droit national, pour la seule durée requise et sans autre traitement. Une attestation de suppression est fournie sur demande écrite.

12. Audit et documentation

Verity Score met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD.

Le Client peut, au maximum une fois par an et sous préavis de trente (30) jours, réaliser un audit documentaire ou mandater un auditeur indépendant soumis à une obligation de confidentialité et non concurrent de Verity Score. Un audit supplémentaire est possible à la suite d'une violation de données avérée.

Les audits se déroulent pendant les heures ouvrées, sans perturber l'exploitation, et ne portent pas sur les données d'autres clients. Les frais d'audit sont à la charge du Client, sauf si l'audit révèle un manquement substantiel de Verity Score.

13. Responsabilité et modifications

La responsabilité de chaque partie au titre du présent Accord est régie par l'article 82 du RGPD et, pour ce qui relève des relations contractuelles, par les limitations figurant dans les conditions générales de vente.

Verity Score peut modifier l'Accord pour tenir compte d'une évolution législative, réglementaire ou jurisprudentielle, ou d'une décision de l'autorité de contrôle. Toute modification substantielle est notifiée trente (30) jours avant son entrée en vigueur.

L'Accord est soumis au droit français. Le Tribunal des activités économiques de Paris est seul compétent.