1. Objet et données concernées
Données traitées pour le Client : noms, téléphones, e-mails, adresses, achats, soldes, points de fidélité et rendez-vous de ses clients ; coordonnées de ses fournisseurs ; noms, rôles et actions de ses employés et intervenants ; et, pour une pharmacie, les mentions de l'ordonnancier.
Finalité : seulement fournir le service (caisse, stock, facturation, comptabilité, relances et envois demandés par le Client), pendant la durée du contrat.
2. Obligations du Client (responsable du traitement)
Le Client a une base légale pour collecter ces données, informe les personnes concernées (par exemple par un affichage en magasin ou une mention sur ses factures), respecte leurs droits, et accomplit les formalités exigées par l'autorité de protection des données de son pays (par exemple la CDP au Sénégal ou l'ARTCI en Côte d'Ivoire).
Le Client n'enregistre que les données nécessaires à son activité. Il veille en particulier à la confidentialité des données de santé (ordonnances) et n'envoie de messages qu'aux personnes qui l'acceptent.
3. Obligations du Prestataire (sous-traitant)
Le Prestataire traite les données seulement sur les instructions du Client, telles qu'elles résultent de l'utilisation du service et des conditions générales. Il ne les vend pas, ne les utilise pas pour son propre compte, et n'y accède que pour l'assistance, la sécurité ou la maintenance.
Les personnes qui y accèdent pour le Prestataire sont tenues à la confidentialité.
Mesures de sécurité : isolement de chaque commerce dans la base de données, chiffrement des échanges, mots de passe protégés, droits par utilisateur, journal des actions, sauvegardes chiffrées hors du serveur principal.
4. Sous-traitants ultérieurs et lieu des données
Le Client autorise le Prestataire à faire appel aux prestataires nécessaires au service : l'hébergeur du serveur (Oracle Cloud Infrastructure (Oracle Corporation, 2300 Oracle Way, Austin, Texas 78741, États-Unis), serveur situé à Paris (France)), le service de stockage des sauvegardes, le service d'envoi d'e-mails et, le cas échéant, le prestataire de paiement. Leur liste à jour est communiquée sur simple demande. En cas de changement, le Client est prévenu ; s'il s'y oppose pour un motif légitime, il peut arrêter son abonnement.
Les serveurs peuvent être situés hors du pays du Client, notamment dans l'Union européenne. Le Client accepte ce transfert et accomplit, si sa loi l'exige, les formalités correspondantes auprès de son autorité de protection des données.
5. Incidents de sécurité
En cas de violation de données touchant le Client, le Prestataire le prévient dans les 72 heures après en avoir eu connaissance, avec les informations disponibles, et prend les mesures utiles pour en limiter les effets. Le Client fait, si nécessaire, la notification à son autorité et aux personnes concernées.
6. Assistance, contrôle et fin du contrat
Le Prestataire aide raisonnablement le Client à répondre aux demandes des personnes concernées : le Client dispose pour cela des fonctions de consultation, de correction et d'export du logiciel.
Le Client peut vérifier le respect de cet accord une fois par an, sur pièces, avec un préavis de 30 jours et à ses frais. Une vérification sur place n'est possible que si une autorité l'exige.
À la fin du contrat, les données restent exportables pendant 12 mois, puis sont supprimées comme prévu à l'article 14 des conditions générales, sauf obligation légale de conservation.
7. Responsabilité
La limite de responsabilité et les exclusions des conditions générales (article 11) s'appliquent au présent accord.