Conditions générales d’utilisation et de vente

1. Présentation et acceptation

Les présentes conditions générales d’utilisation et de vente (ci-après les « CGU/CGV ») régissent l’accès au service Mon Atelier et son utilisation. Mon Atelier est un logiciel en ligne (SaaS) destiné aux professionnels de la réparation, édité par :

• ROMMING Maxime, entrepreneur individuel (EI) — nom commercial : Mon Atelier
• SIRET : 801 521 618 00042
• Adresse : 9 rue Lemire, 57500 Saint-Avold, France
• E-mail : contact@monatelier.net

L’accès au service est subordonné à l’acceptation expresse des présentes CGU/CGV, recueillie par une case à cocher lors de l’inscription puis lors de chaque nouvelle version (article 24). La personne qui accepte déclare disposer du pouvoir d’engager l’entreprise pour le compte de laquelle elle ouvre ou utilise le compte.

2. Définitions

• Éditeur : ROMMING Maxime, entrepreneur individuel, éditeur et exploitant du service Mon Atelier.
• Service : le logiciel Mon Atelier et l’ensemble de ses fonctionnalités, interfaces, applications, pages publiques, guides, tutoriels et services associés.
• Client : le professionnel titulaire d’un compte, partie au contrat avec l’Éditeur.
• Utilisateur : toute personne qui accède au Service par le compte du Client : son titulaire, ses membres d’équipe et toute personne qu’il autorise.
• Contenus de l’Éditeur : tous les éléments du Service autres que les Données du Client, notamment le logiciel, ses écrans et interfaces, son organisation, ses textes et libellés, ses guides et centres d’aide, ses tutoriels et vidéos, ses modèles de documents, ses catalogues et bases de données, ses marques et logos.
• Données du Client : les informations que le Client ou ses Utilisateurs saisissent ou importent dans le Service pour les besoins de leur activité.
• Concurrent : toute personne qui conçoit, développe, édite, distribue ou commercialise, ou qui prépare l’une de ces activités, un logiciel ou un service ayant une finalité identique ou comparable à celle du Service, ainsi que ses dirigeants, associés, salariés, prestataires et toute personne agissant pour son compte.

3. Objet du service

Mon Atelier permet aux ateliers de réparation de gérer leurs clients, appareils, prises en charge, devis, factures, stocks, achats, exports et communications clients (e-mails, SMS selon configuration). Le logiciel intègre un module de caisse (point de vente) conçu pour satisfaire aux exigences d’inaltérabilité, de sécurisation, de conservation et d’archivage prévues par l’article 286 I 3° bis du Code général des impôts, au moyen d’une attestation individuelle délivrée par l’Éditeur.

Le Client demeure seul responsable du respect de ses obligations légales, fiscales et comptables. La conformité du module de caisse ne le dispense pas de ses propres obligations déclaratives et comptables.

4. Accès au service et inscription

Le Service est réservé aux professionnels de la réparation, pour les seuls besoins de leur propre activité. Il est accessible par une interface web sécurisée, après création d’un compte et souscription à une offre.

• Les informations fournies lors de l’inscription et tout au long du contrat doivent être exactes, complètes et à jour.
• Les identifiants sont strictement personnels et confidentiels ; le Client est responsable de leur conservation et de leur utilisation.
• Toute action réalisée au moyen d’un compte est réputée effectuée par son titulaire. Le Client se porte garant du respect des présentes CGU/CGV par l’ensemble de ses Utilisateurs.

Déclaration du Client. En s’inscrivant, puis en acceptant chaque nouvelle version des présentes, le Client déclare ne pas être un Concurrent et ne pas agir pour le compte d’un Concurrent. Il s’engage à informer l’Éditeur sans délai si cette situation change. Une déclaration inexacte constitue un manquement grave au sens de l’article 13.

L’Éditeur peut refuser une inscription ou le renouvellement d’un abonnement, notamment lorsque le demandeur est un Concurrent ou a précédemment manqué aux présentes.

5. Offres, durée et renouvellement

Les formules disponibles (Solo mensuel, Pro mensuel, Pro annuel) et leurs tarifs sont décrits sur la page « Tarifs ». Les prix sont exprimés en euros, hors TVA (franchise en base de TVA).

L’abonnement est conclu pour la durée de la période choisie (un mois ou un an). Il est renouvelé automatiquement par périodes successives de même durée, jusqu’à sa résiliation dans les conditions de l’article 18.

6. Prix et modalités de paiement

Les paiements sont effectués par l’intermédiaire de Stripe, prestataire de paiement sécurisé conforme à la norme PCI-DSS. L’Éditeur ne stocke aucune donnée bancaire. L’abonnement est payable d’avance, au début de chaque période.

En cas d’incident de paiement, l’accès au Service peut être suspendu, sans indemnité, jusqu’à régularisation.

Conformément aux articles L441-10 et D441-5 du Code de commerce, tout retard de paiement entraîne de plein droit, sans qu’un rappel soit nécessaire, des pénalités de retard calculées au taux appliqué par la Banque centrale européenne à son opération de refinancement la plus récente, majoré de 10 points de pourcentage, ainsi qu’une indemnité forfaitaire pour frais de recouvrement de 40 €. Lorsque les frais de recouvrement exposés sont supérieurs à ce montant, une indemnité complémentaire peut être demandée sur justification.

7. Droit de rétractation

Le Service est exclusivement proposé à des professionnels. En conséquence, les dispositions du Code de la consommation relatives au droit de rétractation des consommateurs ne sont pas applicables, sauf disposition impérative contraire.

8. Obligations de l’utilisateur

• Utiliser le Service conformément aux lois en vigueur et aux présentes CGU/CGV ;
• Ne pas détourner le Service de sa finalité ;
• Ne pas porter atteinte à la sécurité ou au fonctionnement du Service ;
• Assurer la licéité et la conformité des données de ses propres clients.

9. Licence d’utilisation

Pendant la durée de son abonnement, l’Éditeur concède au Client un droit d’utilisation du Service personnel, non exclusif, non cessible et non transférable, limité aux besoins internes de son activité de réparation et à ses seuls Utilisateurs.

Aucun autre droit n’est concédé. En particulier, le Client n’acquiert aucun droit de reproduction, d’adaptation, de distribution ou de commercialisation de tout ou partie du Service ou des Contenus de l’Éditeur.

10. Propriété intellectuelle

L’Éditeur est et demeure titulaire de l’ensemble des droits de propriété intellectuelle sur le Service et les Contenus de l’Éditeur, notamment : le logiciel (codes source et objet), son architecture et son organisation, ses écrans et interfaces graphiques, ses textes, libellés et messages, ses guides, centres d’aide, tutoriels et vidéos, ses modèles de documents, ses catalogues et bases de données, ainsi que la marque, le nom et le logo Mon Atelier.

Ces éléments sont protégés notamment par le Code de la propriété intellectuelle (droit d’auteur, droit des logiciels, droit des producteurs de bases de données) et par le droit des marques. Toute reproduction, représentation, adaptation, extraction ou exploitation non autorisée constitue une contrefaçon, sanctionnée notamment par les articles L335-2 et L335-3 du Code de la propriété intellectuelle, sans préjudice des actions pour concurrence déloyale et parasitisme.

Les Données du Client restent sa propriété exclusive (article 19).

11. Usages interdits et protection du service

Il est interdit au Client et à ses Utilisateurs, directement ou par personne interposée :

• de reproduire, représenter, adapter, traduire ou diffuser tout ou partie des Contenus de l’Éditeur (écrans, textes, libellés, guides, tutoriels, vidéos, modèles, catalogues), y compris au moyen de captures d’écran ou d’enregistrements vidéo, en dehors de l’usage interne de son activité ;
• d’extraire ou de réutiliser une partie substantielle du contenu des bases de données du Service, ou d’en extraire de manière répétée et systématique des parties non substantielles, notamment au moyen de robots, d’aspirateurs de sites ou de tout procédé automatisé (« scraping ») ;
• de décompiler, désassembler ou procéder à l’ingénierie inverse du Service, en dehors des cas et des limites strictement prévus par l’article L122-6-1 du Code de la propriété intellectuelle ;
• d’utiliser le Service, les Contenus de l’Éditeur ou les informations obtenues par leur utilisation pour concevoir, développer, améliorer, promouvoir ou commercialiser un logiciel ou un service concurrent, ou pour aider un tiers à le faire ;
• de présenter ou de diffuser tout ou partie du Service ou de ses interfaces dans une démonstration, une comparaison, une publication ou une communication, notamment sur les réseaux sociaux, destinée à promouvoir un autre produit, sans l’accord écrit préalable de l’Éditeur ;
• de donner accès au Service à un Concurrent, de partager ses identifiants ou d’ouvrir un compte pour le compte d’un tiers ;
• de contourner ou de tenter de contourner les mesures de sécurité, de protection ou de limitation du Service, d’en tester la vulnérabilité sans autorisation écrite, ou de perturber son fonctionnement ;
• d’accéder au Service par des moyens automatisés autres que les intégrations fournies par l’Éditeur.

Les stipulations du présent article s’appliquent sans préjudice des droits que la loi reconnaît de manière impérative à l’utilisateur d’un logiciel, notamment à l’article L122-6-1 du Code de la propriété intellectuelle.

L’Éditeur peut mettre en œuvre tout moyen technique de protection, de détection et de traçabilité de ces usages.

12. Confidentialité

Le Client s’engage à garder confidentiels les éléments non publics du Service dont il a connaissance : fonctionnalités en préparation ou en test, informations communiquées par le support, conditions tarifaires particulières et, plus généralement, toute information signalée comme confidentielle. Cet engagement s’applique pendant toute la durée du contrat et pendant cinq ans après sa fin.

13. Manquements, suspension et sanctions

En cas de manquement du Client ou de l’un de ses Utilisateurs aux articles 4, 8, 9, 10, 11 ou 12, l’Éditeur peut, sans préjudice de toute autre action :

• suspendre immédiatement l’accès au Service, à titre conservatoire, notamment en cas d’extraction automatisée, d’atteinte à la sécurité ou d’indices sérieux d’un usage interdit ;
• résilier le contrat de plein droit, huit (8) jours après une mise en demeure restée sans effet, ou sans préavis ni mise en demeure en cas de manquement grave rendant impossible la poursuite du contrat, notamment une déclaration inexacte au titre de l’article 4 ou un usage interdit par l’article 11. La résiliation pour manquement n’ouvre droit à aucun remboursement ;
• réclamer, à titre de clause pénale, une indemnité forfaitaire de cinquante mille euros (50 000 €) par manquement aux articles 4, 10 ou 11, sans préjudice de dommages et intérêts complémentaires si le préjudice subi est supérieur ;
• engager toute action civile ou pénale, notamment en contrefaçon (articles L335-2 et L335-3 du Code de la propriété intellectuelle), en concurrence déloyale ou en parasitisme (article 1240 du Code civil), et solliciter toute mesure conservatoire ou probatoire, y compris une saisie-contrefaçon.

Même en cas de suspension ou de résiliation, le Client conserve la possibilité d’obtenir l’export de ses Données (article 19) et l’accès aux documents dont la conservation lui incombe légalement.

14. Responsabilité

L’Éditeur met en œuvre les moyens raisonnables pour assurer la disponibilité du Service, sans garantie d’absence totale d’interruption ou d’erreur.

La responsabilité de l’Éditeur ne saurait être engagée en cas de mauvaise utilisation du Service, de non-respect par le Client de ses obligations légales ou de défaillance externe.

15. Outils d’aide comptable et exports de données

Mon Atelier propose, à titre de service complémentaire et indicatif, des outils d’aide à la gestion comptable et fiscale, notamment : exports CSV (chiffre d’affaires, marge, stock), livre de recettes, registre des achats, compte de résultat simplifié, déclaration de TVA indicative et export au format FEC (fichier des écritures comptables).

Ces outils sont fournis à titre purement indicatif et ne constituent en aucun cas un substitut à une comptabilité officielle ni à l’intervention d’un expert-comptable. Ils sont produits à partir des seules données saisies dans le logiciel et ne peuvent intégrer l’ensemble des éléments nécessaires à une comptabilité complète (charges locatives, salaires, cotisations sociales, amortissements, écritures de clôture, etc.).

L’Éditeur ne garantit pas l’exactitude, l’exhaustivité ni la conformité fiscale de ces exports au regard de la situation particulière de chaque Client. Le Client est seul responsable de l’utilisation qu’il fait de ces documents, de leur vérification par un professionnel compétent et du respect de ses obligations fiscales et comptables. En aucun cas la responsabilité de l’Éditeur ne pourra être engagée à raison d’une erreur, d’une omission ou d’un redressement fiscal consécutif à l’utilisation de ces exports.

Ces outils ne font pas partie du périmètre de l’attestation relative au module de caisse et sont distincts des fonctionnalités de caisse enregistreuse.

16. Signature électronique à distance des devis

Mon Atelier propose une fonctionnalité d’acceptation à distance des devis : le Client (atelier) envoie le devis par e-mail à son propre client, qui peut l’accepter ou le refuser depuis une page publique sécurisée par un jeton aléatoire (lien personnel inclus dans l’e-mail). Lors d’une acceptation, le client appose une signature manuscrite via le navigateur (tracé tactile ou souris) et coche explicitement les conditions du devis avant validation.

Ce procédé constitue une signature électronique simple au sens de l’article 3, §10 du règlement (UE) n° 910/2014 (eIDAS). Conformément à l’article 25 §1 dudit règlement et aux articles 1366 et 1367 du Code civil, cette signature est recevable comme moyen de preuve en justice et l’écrit électronique a la même force probante que l’écrit sur support papier, sous réserve de la fiabilité du procédé d’identification.

La signature électronique simple ne bénéficie toutefois pas de la présomption de fiabilité instituée par l’article 1367 alinéa 2 du Code civil et le décret n° 2017-1416 du 28 septembre 2017, qui est réservée aux signatures électroniques qualifiées reposant sur un certificat qualifié délivré par un prestataire de service de confiance qualifié. En cas de contestation, la fiabilité du procédé est appréciée souverainement par le juge à partir d’un faisceau d’indices : jeton unique d’accès, adresse IP, user-agent du navigateur, horodatage de l’acceptation, journal d’envoi de l’e-mail et tracé graphique de la signature — autant d’éléments capturés et conservés par Mon Atelier.

Cette fonctionnalité est adaptée aux devis de réparation B2C ou B2B usuels. Pour tout acte juridique exigeant une signature électronique avancée (art. 26 eIDAS) ou qualifiée (art. 28 eIDAS) — par exemple certains marchés publics, actes authentiques, contrats à forts enjeux financiers — le Client doit recourir à un prestataire de service de confiance qualifié (Yousign, DocuSign Advanced, Universign, etc.). Mon Atelier ne garantit pas le caractère qualifié du procédé.

Les métadonnées juridiques (date, heure, IP, user-agent, signature graphique, motif de refus le cas échéant) sont conservées tant que le devis existe dans le compte du Client et au minimum pendant les durées légales applicables aux pièces commerciales. Le Client est seul responsable de la conservation de ses devis acceptés et de leur production en cas de litige.

17. Données personnelles

Le traitement des données est régi par la Politique de confidentialité.

Lorsque le Client saisit ou gère, via Mon Atelier, des données relatives à ses propres clients, salariés ou prospects, il agit en tant que responsable de traitement et l’Éditeur agit en qualité de sous-traitant au sens de l’article 28 du Règlement (UE) 2016/679 (RGPD). Les modalités de cette sous-traitance — périmètre, obligations, sécurité, sous-traitants ultérieurs, localisation, restitution — sont définies dans l’Annexe 1 — Accord de traitement des données (DPA), qui fait partie intégrante des présentes CGU/CGV.

18. Durée, résiliation et conservation des données

Le Client peut résilier son abonnement à tout moment ; la résiliation prend effet à la fin de la période en cours, sans remboursement de celle-ci. L’Éditeur peut résilier le contrat dans les conditions de l’article 13, ou ne pas renouveler un abonnement en informant le Client au moins trente (30) jours avant l’échéance.

Période de grâce : à compter de l’expiration de l’abonnement, le Client dispose d’un délai de 30 jours pour renouveler son abonnement et continuer à accéder à ses données. Passé ce délai, l’accès à l’interface est suspendu.

Conservation des données après résiliation : conformément à l’article L123-22 du Code de commerce (conservation des pièces comptables et factures pendant 10 ans minimum) et à l’article L102 B du Livre des procédures fiscales (6 ans pour le délai de reprise fiscal), les données comptables et fiscales des comptes ayant souscrit à un abonnement payant sont conservées sans limite de durée après archivage du compte, même en cas de résiliation. Le Client peut demander un export de ses données à tout moment, ainsi qu’une suppression définitive sur demande écrite (droit à l’effacement — article 17 du RGPD), traitée manuellement au cas par cas dans le respect des obligations de conservation comptable qui priment.

Comptes en période d’essai non convertis : les données sont supprimées définitivement 37 jours après l’expiration de la période d’essai.

19. Propriété et restitution des données

Les Données du Client restent sa propriété exclusive. L’Éditeur n’en revend aucun droit.

Le Client peut demander à tout moment, y compris en cas de résiliation, un export de ses données dans un délai raisonnable.

20. Services tiers

Mon Atelier s’appuie sur des services tiers (paiement, e-mails, SMS, hébergement). L’Éditeur ne peut être tenu responsable des défaillances imputables à ces services externes.

21. Carte de fidélité dans Apple Wallet et Google Wallet

Le Client peut proposer à ses clients d’ajouter leur carte de fidélité à Apple Wallet ou à Google Wallet. Cette possibilité est une option, désactivée par défaut, que le Client active lui-même dans les réglages de son programme de fidélité. Tant qu’elle n’est pas activée, aucune carte n’est proposée dans un wallet et aucune donnée n’est transmise à ce titre.

Une fois l’option activée, le nom commercial, le logo et les couleurs de l’atelier figurent sur la carte et, pour Google Wallet, sont transmis à Google avec le contenu de la carte (prénom et initiale du nom du client, numéro de carte, solde de points, bons d’achat disponibles).

En activant l’option, le Client autorise l’Éditeur à utiliser à cette seule fin son nom commercial, son logo et ses signes distinctifs, et garantit disposer des droits nécessaires sur ceux-ci. Il peut y mettre fin à tout moment en désactivant l’option ou le programme de fidélité : les cartes déjà installées passent alors en pause et n’affichent plus ni le client ni son solde.

L’ajout à un wallet est facultatif et relève du seul choix du client final. L’utilisation d’Apple Wallet et de Google Wallet est régie par les conditions propres à Apple et à Google.

22. Force majeure

La responsabilité de l’Éditeur ne pourra être engagée en cas de force majeure au sens de l’article 1218 du Code civil.

23. Convention de preuve

Conformément à l’article 1356 du Code civil, les parties conviennent que les enregistrements informatiques conservés par l’Éditeur dans ses systèmes — notamment les journaux d’acceptation des CGU/CGV (version, empreinte du texte, date, heure, adresse IP, navigateur), les journaux de connexion et d’activité, les horodatages et l’historique des opérations — font foi entre elles, sauf preuve contraire, et peuvent être produits en justice.

24. Modification des CGU/CGV

L’Éditeur peut faire évoluer les présentes CGU/CGV. Toute nouvelle version est portée à la connaissance du Client par e-mail et dans l’interface du Service, avec un résumé des changements et le texte complet.

La nouvelle version s’applique à compter de son acceptation expresse par le titulaire du compte, recueillie par une case à cocher avant toute autre utilisation du Service. Une confirmation, accompagnée du texte accepté au format PDF, lui est adressée par e-mail.

Tant que la nouvelle version n’est pas acceptée, l’accès au Service est limité à la consultation des conditions, à la gestion de l’abonnement et à la demande d’export des Données. Le Client qui refuse la nouvelle version peut résilier son abonnement dans les conditions de l’article 18.

25. Divisibilité et non-renonciation

Si une stipulation des présentes était déclarée nulle ou inapplicable, elle serait réputée non écrite sans que la validité des autres stipulations en soit affectée. Le fait pour l’Éditeur de ne pas se prévaloir d’un manquement ne vaut pas renonciation à s’en prévaloir ultérieurement.

26. Droit applicable et juridiction

Les présentes CGU/CGV sont soumises au droit français.

En cas de litige, et sous réserve des règles de compétence impératives, compétence est attribuée aux juridictions du ressort du siège de l’Éditeur (Saint-Avold, Moselle).

A1. Définitions

Les termes « donnée à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne l’article 4 du RGPD.

• Atelier : l’utilisateur professionnel du service, agissant en qualité de responsable de traitement pour les données qu’il saisit ou fait traiter via Mon Atelier.
• Éditeur ou Mon Atelier : ROMMING Maxime, entrepreneur individuel, agissant en qualité de sous-traitant pour le compte de l’Atelier.
• Sous-sous-traitants (ou « sous-traitants ultérieurs ») : prestataires auxquels l’éditeur recourt pour fournir le service, conformément à l’article A6 ci-dessous.

A2. Objet et périmètre

L’éditeur s’engage à traiter les données à caractère personnel qui lui sont confiées par l’Atelier dans le seul but de fournir le service Mon Atelier tel que décrit dans les CGU/CGV, et exclusivement sur instructions documentées de l’Atelier. Constituent des instructions documentées : les présentes CGU/CGV, la configuration du compte et des paramètres du service par l’Atelier, ainsi que toute demande écrite adressée à contact@monatelier.net.

L’éditeur ne traite pas les données à d’autres fins (notamment commerciales, publicitaires ou statistiques agrégées pour compte de tiers) sans instruction expresse de l’Atelier ou obligation légale impérative.

A3. Nature, finalité et durée du traitement

• Nature du traitement : hébergement, stockage, organisation, consultation, modification, extraction, communication par transmission, effacement et destruction des données saisies par l’Atelier, ainsi que les opérations connexes nécessaires à l’exécution du service (sauvegardes, journalisation technique, envoi d’e-mails transactionnels, génération de documents).
• Finalités : fournir à l’Atelier un logiciel de gestion de son activité de réparation (clients, appareils, devis, factures, stocks, communications clients, prise de rendez-vous publique, suivi public des interventions).
• Durée : pendant toute la durée de l’abonnement, augmentée des délais de conservation prévus à l’article 18 des CGU/CGV (30 jours de grâce, 10 ans minimum d’archivage comptable — Code de commerce L123-22, 37 jours après un essai non converti).

A4. Types de données et personnes concernées

Les catégories de personnes concernées et de données traitées par l’éditeur pour le compte de l’Atelier sont notamment :

• Clients finaux de l’Atelier : nom, prénom, coordonnées (e-mail, téléphone, adresse), date de naissance si renseignée, informations relatives aux appareils (marque, modèle, IMEI, numéro de série), historique des interventions (devis, factures, réparations, ventes, rendez-vous), photos éventuelles des appareils, signatures électroniques de prise en charge et de restitution.
• Cas particulier du rachat d’appareils d’occasion : copie d’une pièce d’identité du client vendeur et informations associées (livre de police), conformément à l’article 321-7 du Code pénal.
• Salariés ou collaborateurs de l’Atelier (si l’Atelier crée des comptes pour son équipe) : nom, prénom, e-mail, rôle.
• Prospects et demandeurs de rendez-vous (via la page publique de l’Atelier) : nom, prénom, e-mail, téléphone, type de rendez-vous et créneau souhaité.

L’éditeur ne traite pas, pour le compte de l’Atelier, de données sensibles au sens de l’article 9 du RGPD. Il appartient à l’Atelier, en qualité de responsable de traitement, de ne pas saisir de telles données dans le service.

A5. Obligations de l’éditeur (sous-traitant)

L’éditeur s’engage à :

• ne traiter les données que sur instructions documentées de l’Atelier, y compris en ce qui concerne les transferts hors de l’Union européenne (lesquels, à la date de la présente annexe, sont exclus — voir article A7) ;
• garantir que les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité ;
• prendre toutes les mesures de sécurité requises par l’article 32 du RGPD, telles que décrites à l’article A8 de la présente annexe ;
• assister l’Atelier, dans la mesure du possible et compte tenu de la nature du traitement, pour répondre aux demandes d’exercice de droits des personnes concernées (articles 12 à 23 du RGPD) ;
• aider l’Atelier à respecter ses obligations relatives à la sécurité des traitements, à la notification des violations de données et, le cas échéant, aux analyses d’impact (articles 32 à 36 du RGPD) ;
• notifier à l’Atelier, dans les meilleurs délais après en avoir pris connaissance, toute violation de données à caractère personnel le concernant, avec les informations permettant à l’Atelier de respecter, s’il y a lieu, son obligation de notification à la CNIL dans un délai de 72 heures (article 33 du RGPD) ;
• mettre à la disposition de l’Atelier toute information nécessaire pour démontrer le respect des obligations prévues à l’article 28 du RGPD et permettre la réalisation d’audits dans les conditions prévues à l’article A11.

A6. Sous-traitance ultérieure

L’Atelier autorise l’éditeur à recourir aux sous-traitants ultérieurs suivants pour la fourniture du service :

• DigitalOcean, LLC — hébergement de l’infrastructure (serveurs applicatifs, base de données et sauvegardes). Localisation : centre de données d’Amsterdam (AMS3, Pays-Bas, Union européenne).
• Scaleway SAS — stockage chiffré des sauvegardes de nuit, conservées hors du serveur principal. Localisation : Paris (France, Union européenne).
• Brevo SAS (anciennement Sendinblue) — envoi d’e-mails transactionnels générés par le service pour le compte de l’Atelier (confirmations de rendez-vous, notifications clients, envois de devis et factures). Localisation des serveurs : Union européenne.

Chacun de ces sous-traitants est lié à l’éditeur par des obligations contractuelles et des garanties conformes au RGPD, notamment les mesures techniques et organisationnelles de sécurité imposées par l’article 28 du RGPD.

En cas d’ajout ou de remplacement d’un sous-traitant ultérieur, l’éditeur en informera l’Atelier par tout moyen (e-mail, page légale, message dans l’application) avec un préavis raisonnable d’au moins trente (30) jours, ouvrant à l’Atelier un droit d’opposition motivé. En cas d’opposition justifiée par des motifs sérieux liés à la protection des données, l’Atelier pourra résilier son abonnement sans pénalité.

Les services suivants sont utilisés en dehors du périmètre de la présente annexe, dans le cadre de relations où l’éditeur n’agit pas en qualité de sous-traitant pour le compte de l’Atelier :

• Stripe — uniquement pour le traitement des paiements de l’abonnement Mon Atelier, avec Stripe en qualité de responsable de traitement autonome au sens de sa propre politique.
• OVH SMS — service d’envoi de SMS activable par l’Atelier via ses propres identifiants API OVH. Dans ce cas, l’Atelier contracte directement avec OVH et l’éditeur agit uniquement en qualité d’intermédiaire technique relayant l’appel API avec les identifiants fournis par l’Atelier. Aucun crédit SMS n’est acheté ou revendu par l’éditeur.

Carte de fidélité dans Apple Wallet et Google Wallet (option désactivée par défaut, article 21 des CGU/CGV). Lorsque l’Atelier active cette option — ce qui constitue une instruction documentée au sens de l’article A2 — et qu’un de ses clients choisit d’ajouter sa carte à Google Wallet, l’éditeur transmet à Google le nom, le logo et les couleurs de l’Atelier ainsi que le contenu de la carte (prénom et initiale du nom du client, numéro de carte, solde de points, bons d’achat disponibles). Google fournit le service Google Wallet au client selon ses propres conditions et ses propres règles de confidentialité, lesquelles désignent Google Ireland Limited comme responsable du traitement pour les utilisateurs de l’Espace économique européen et prévoient que les informations peuvent être traitées sur des serveurs situés hors du pays de résidence de l’utilisateur. Pour Apple Wallet, la carte est remise directement à l’appareil du client ; l’éditeur n’adresse à Apple qu’un signal de mise à jour, sans contenu, à destination de cet appareil. Tant que l’Atelier n’a pas activé l’option, aucune de ces transmissions n’a lieu.

A7. Localisation des données

Les données traitées par l’éditeur pour le compte de l’Atelier sont hébergées exclusivement sur le territoire de l’Union européenne (Pays-Bas et France), y compris les sauvegardes et les journaux techniques. À la date de la présente annexe, l’éditeur ne procède à aucun transfert de données hors de l’Union européenne dans le cadre de ses activités de sous-traitance, à la seule exception de l’option « carte de fidélité dans un wallet » décrite à l’article A6, que l’Atelier active lui-même après en avoir été informé dans l’écran de réglage. Si un tel transfert devenait nécessaire, il serait précédé d’une information de l’Atelier et mis en œuvre sur la base des garanties appropriées au sens du chapitre V du RGPD (notamment clauses contractuelles types de la Commission européenne).

A8. Mesures de sécurité (article 32 du RGPD)

L’éditeur met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

• chiffrement des communications (HTTPS / TLS) entre le navigateur, les serveurs applicatifs et la base de données ;
• hachage des mots de passe des utilisateurs au moyen d’un algorithme reconnu (bcrypt) ;
• cloisonnement logique strict des données entre ateliers, chaque compte ne pouvant accéder qu’à ses propres données ;
• contrôle des accès administrateurs, authentification forte et journalisation des opérations sensibles ;
• sauvegardes régulières et testées, dont une copie chiffrée conservée hors du serveur principal, dans l’Union européenne ;
• application régulière des correctifs de sécurité sur les dépendances logicielles et l’infrastructure ;
• procédure interne de gestion des incidents et violations de données.

Ces mesures sont susceptibles d’évoluer avec l’état de l’art et le niveau de risque, sans que le niveau de sécurité globalement offert ne puisse être dégradé.

A9. Droits des personnes concernées

Les demandes d’exercice de droits (accès, rectification, effacement, limitation, opposition, portabilité) émanant des clients, salariés ou prospects de l’Atelier doivent être traitées par l’Atelier en qualité de responsable de traitement. L’éditeur met à disposition de l’Atelier, via l’interface du service, les fonctionnalités nécessaires à la consultation, la rectification, l’export et la suppression de ces données.

Lorsqu’une demande est reçue directement par l’éditeur et concerne manifestement des données traitées pour le compte d’un Atelier donné, l’éditeur la transmet à l’Atelier dans les meilleurs délais et lui prête une assistance raisonnable pour y répondre.

A10. Restitution et suppression des données

À tout moment et, en tout état de cause, à la fin de la prestation de service, l’Atelier peut demander l’export de ses données dans un format structuré et couramment utilisé. À l’issue des délais de conservation prévus à l’article 18 des CGU/CGV, les données sont supprimées définitivement par l’éditeur, sauf obligation légale imposant leur conservation.

A11. Documentation, audits et coopération

L’éditeur tient à jour un registre des catégories d’activités de traitement effectuées pour le compte des ateliers, conformément à l’article 30.2 du RGPD. Il met à la disposition de l’Atelier, sur demande écrite raisonnable adressée à contact@monatelier.net, les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits ou d’inspections par l’Atelier ou un auditeur mandaté par lui, dans des conditions ne perturbant pas la continuité du service et sous réserve d’un préavis raisonnable et d’un engagement de confidentialité.

A12. Responsabilité, contact et modification

La responsabilité de chacune des parties au titre de la présente annexe s’apprécie conformément à l’article 82 du RGPD. L’Atelier reste seul responsable de la licéité de la collecte initiale des données, de l’information des personnes concernées et de la gestion de leurs droits.

Aucun délégué à la protection des données (DPO) n’a été désigné par l’éditeur, qui n’y est pas légalement tenu. Toute question relative à la protection des données dans le cadre du service peut être adressée à : contact@monatelier.net.

La présente annexe peut être modifiée pour tenir compte d’évolutions réglementaires ou opérationnelles, dans les conditions prévues à l’article 24 des CGU/CGV pour leurs nouvelles versions, et sous réserve du préavis de l’article A6 pour tout nouveau sous-traitant ultérieur.