Accord relatif au traitement des données personnelles

Le présent accord (« l'Annexe ») s'applique lorsque l'utilisateur professionnel (« le Responsable de traitement ») enregistre dans MyMokka des données personnelles concernant ses propres clients, contacts, fournisseurs ou autres personnes.

Le sous-traitant est Corentin OUDIN EI (MyMokka), 10 rue Florence Arthaud, 35470 Bain-de-Bretagne, France — SIREN 877 618 157. Contact : mokka.support@gmail.com.

L'Annexe fait partie intégrante des Conditions générales. Elle ne s'applique pas aux traitements pour lesquels MyMokka est lui-même responsable (gestion du compte, facturation, sécurité, obligations légales), décrits dans la Politique de confidentialité.

Objet : l'hébergement et le traitement des données saisies par le Responsable de traitement dans le logiciel de gestion MyMokka.

Nature des opérations : collecte via l'interface, enregistrement, organisation, conservation, consultation, modification, calcul, export, suppression.

Finalités : fournir les fonctionnalités du service (gestion des articles, stocks, achats, productions, ventes, commandes, exports) pour le compte du Responsable de traitement.

L'Annexe s'applique pendant toute la durée du compte MyMokka du Responsable de traitement, et jusqu'à la suppression complète des données conformément à l'article 12 ci-dessous.

• clients et prospects du Responsable de traitement ;
• contacts et interlocuteurs professionnels (fournisseurs, partenaires) ;
• toute autre personne dont le Responsable de traitement choisit d'enregistrer des données dans le service.

• données d'identification saisies dans les commandes clients (nom ou libellé du client, type de client, plateforme de vente) ; le prénom et le nom du client peuvent être reçus via Shopify (ou un libellé de remplacement lorsque le nom n'est pas disponible) ;
• données de transaction (dates, articles, quantités, montants, canaux de vente) ;
• contenu libre saisi par le Responsable de traitement (notes, commentaires, libellés, descriptions) ;
• photographies d'articles téléversées par le Responsable de traitement.

MyMokka n'est pas conçu pour traiter des catégories particulières de données (article 9 du RGPD) ni des données relatives à des condamnations pénales. Le Responsable de traitement s'engage à ne pas en enregistrer dans les champs libres, sauf fondement juridique et nécessité qu'il assume sous sa responsabilité.

MyMokka traite les données uniquement sur instruction documentée du Responsable de traitement. Les instructions documentées sont constituées par les Conditions générales, la présente Annexe et l'utilisation des fonctionnalités du service.

Toute instruction complémentaire est adressée par écrit à mokka.support@gmail.com. MyMokka informe le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données.

L'accès aux données est limité aux personnes qui en ont besoin pour l'exploitation du service. À ce jour, MyMokka est exploité par son éditeur seul, tenu à une obligation de confidentialité. Toute personne autorisée ultérieurement sera soumise à un engagement de confidentialité équivalent.

Mesures techniques et organisationnelles effectivement mises en œuvre :

• chiffrement des échanges en transit (HTTPS/TLS) ;
• cloisonnement des données par compte et par boutique au niveau de la base (politiques d'accès au niveau des lignes) ;
• authentification gérée par le fournisseur d'authentification (mot de passe ou connexion Google), sessions révocables ;
• accès aux fichiers photos par URL signées à durée limitée ;
• journalisation des actions d'administration et des actions métier sensibles ;
• opérations d'administration protégées par un contrôle de rôle côté serveur ;
• sauvegardes gérées par l'hébergeur de base de données ;
• corbeille de 30 jours pour les boutiques supprimées, puis purge définitive incluant les fichiers.

MyMokka ne revendique aucune certification (ISO 27001, SOC 2, HDS ou autre).

Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs actifs suivants :

• Supabase — base de données, authentification et stockage de fichiers (infrastructure AWS, région eu-central-1, Francfort) ;
• Lovable — hébergement et distribution de l'application ;
• Stripe — traitement des paiements et facturation ;
• Resend — envoi des e-mails transactionnels.

Sous-traitants historiques (plus utilisés) — mentionnés pour la traçabilité des traitements antérieurs :

• OpenAI (États-Unis, clauses contractuelles types) — analyse des photographies transmises via MyMokka Scan jusqu'au 23 août 2026. Ce sous-traitant n'est plus utilisé : aucun nouveau transfert n'est effectué depuis cette date. Les journaux techniques résiduels sont conservés au maximum 45 jours puis purgés automatiquement.

MyMokka impose à ces sous-traitants des obligations de protection des données équivalentes par le biais des accords de traitement publiés par chacun d'eux. MyMokka informe le Responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, celui-ci pouvant s'y opposer et, à défaut d'accord, résilier son abonnement.

Le détail des pays et des mécanismes de transfert figure dans la Politique de confidentialité.

Le Responsable de traitement peut exercer directement, depuis le service, la consultation, la rectification, l'export (CSV/ZIP) et la suppression des données qu'il a enregistrées. Cette autonomie constitue le principal moyen de répondre aux demandes des personnes concernées.

Si une demande ne peut être satisfaite depuis l'interface, MyMokka apporte une assistance raisonnable, dans la mesure du possible et compte tenu de la nature du traitement. Une demande adressée directement à MyMokka par une personne concernée est transmise au Responsable de traitement sans y répondre sur le fond.

MyMokka notifie au Responsable de traitement toute violation de données personnelles le concernant dans les meilleurs délais après en avoir pris connaissance, avec les informations dont il dispose (nature de la violation, catégories et volumes approximatifs, conséquences probables, mesures prises).

MyMokka apporte une assistance raisonnable pour les analyses d'impact et les consultations préalables éventuellement nécessaires, compte tenu des informations à sa disposition.

Pour les nouveaux essais jamais convertis informés avant démarrage après mise en service effective de la règle, consultation et export restent gratuits pendant au moins trente jours après notification confirmée, jusqu’à la date incluse en heure de Paris. L’échéance ne déclenche aucune suppression : MyMokka peut ensuite décider, après examen individuel, de supprimer définitivement la boutique notifiée, sans corbeille supplémentaire, sous réserve des suspensions justifiées, des incertitudes d’accès et des droits légaux de récupération/transfert, notamment le Data Act lorsqu’il s’applique. Le compte utilisateur n’est pas supprimé par cette procédure. Cette procédure est préparée, non activée et non rétroactive.

Un export ne permet pas de restauration automatique et n’empêche pas une suppression ultérieure. La suppression concerne les systèmes actifs ; les copies de sauvegarde suivent les mécanismes de l’hébergeur, sans promesse de disparition immédiate. Les autres suppressions et leur corbeille restent distinctes.

Avant la fin de la relation, le Responsable de traitement peut exporter ses données depuis le service (exports CSV et archive ZIP).

Dans les autres parcours, la suppression d'une boutique la place en corbeille pendant 30 jours, puis les données et les fichiers associés sont supprimés définitivement. La suppression du compte entraîne la suppression des données métier et des fichiers correspondants, à l'exception des données que MyMokka doit conserver au titre d'une obligation légale (notamment comptable) ou pour la constatation et l'exercice de droits, dans les conditions décrites dans la Politique de confidentialité.

Boutiques en ligne connectées (Shopify). La déconnexion d'une boutique connectée entraîne la suppression immédiate des jetons d'accès et l'enregistrement d'une échéance de suppression à 90 jours. À l'issue de ce délai, une purge serveur automatique supprime ou anonymise les données issues de la plateforme connectée qui ne sont plus nécessaires (journal d'événements, lignes de commande externes, commandes externes non utilisées, catalogue importé, associations de produits, nom de boutique et domaine dans le journal de connexion). Les commandes externes déjà rattachées à une commande MyMokka sont conservées de façon anonymisée pour les seules obligations comptables. Le prénom et le nom du client de la commande Shopify sont conservés uniquement pour identifier la commande et en organiser la préparation. Les demandes Shopify de suppression des données client anonymisent ce nom dans les commandes externes et les commandes MyMokka concernées. Les e-mails, adresses et numéros de téléphone des clients Shopify ne sont pas conservés par le connecteur. Une reconnexion de la même boutique avant l'échéance annule la purge.

MyMokka met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD : la présente Annexe, la Politique de confidentialité, la description des mesures de sécurité et la liste des sous-traitants ultérieurs.

Toute demande complémentaire raisonnable peut être adressée à mokka.support@gmail.com. Les audits sur site font l'objet d'un accord préalable sur leur périmètre, leur date et leurs modalités, dans le respect de la sécurité et de la confidentialité des autres utilisateurs.