Accord de traitement des données

• Responsable de traitement (le Client) : l’organisation cliente signataire des conditions générales de service, identifiée dans le devis ou le parcours de souscription.
• Sous-traitant (Nerira) : Adrien Gaillet, entrepreneur individuel, SIREN 106 495 708, SIRET 106 495 708 00013, dont le siège est situé 107 rue de la Fontaine Saint-Germain, 36000 Châteauroux, France, exploitant la marque Nerira.
• Contacts : contact@nerira.com pour les données personnelles et les incidents (security@nerira.com et privacy@nerira.com redirigent vers la même boîte).

Nerira traite des données personnelles pour le compte du Client dans le cadre du service SaaS Nerira : commandes professionnelles, réservations de particuliers, production, documents opérationnels, notifications, intégrations et administration, selon le mode et les options activés par le Client.

• Durée : durée du contrat principal, puis période de réversibilité et suppression selon l’article 11.
• Nature : collecte, enregistrement, structuration, conservation, consultation, modification, extraction, communication par notification ou intégration, export, anonymisation, suppression.
• Finalités instruites par le Client : exploitation des fonctions activées, gestion des accès de ses équipes et de ses clients, commandes et production, réservations et retrait, paiements B2C sur son compte Stripe Connect, livraison locale, fidélité, notifications, support, intégrations autorisées (détail dans le registre des traitements de Nerira, disponible sur demande).

• Personnes : personnel du Client, contacts et utilisateurs de ses clients professionnels, consommateurs réservant auprès du Client, signataires de bons de livraison, livreurs, destinataires des notifications.
• Données : identité et coordonnées, rôles et permissions, données de commande et de production, bons de livraison et signatures, relevés et encaissements, catalogue et prix, réservations (nom, e-mail, téléphone, note, créneau, code de retrait), adresses et instructions de livraison, fichier consommateurs avec consentements marketing, points de fidélité et bons, statuts de paiement sans données de carte, contenu des pass Wallet, jetons de notification, journaux techniques et d’audit.
• Données sensibles : le service n’est pas conçu pour traiter des données relevant de l’article 9 du RGPD (santé, opinions, religion, orientation sexuelle, données biométriques ou génétiques) ni des données relatives à des condamnations ou infractions. Le Client s’interdit d’en saisir, y compris dans les champs libres (notes de fiche client, note de réservation, instructions de livraison). Nerira n’exerce aucun contrôle de contenu et ne saurait être tenu responsable d’une saisie contraire à cet engagement.

Nerira traite les données uniquement sur instructions documentées du Client, sauf obligation légale contraire, auquel cas Nerira informe le Client avant le traitement si le droit le permet. Constituent des instructions :

• le contrat principal, le présent accord et les paramètres choisis dans le service par les utilisateurs autorisés du Client ;
• les demandes de support émises par un compte identifié du Client ;
• les demandes d’export ou de suppression enregistrées dans le service (« Mes données ») par un propriétaire ou un administrateur autorisé ;
• les appels aux API, MCP et webhooks que le Client a activés et autorisés ;
• les durées de conservation que la réglementation sectorielle du Client lui impose (par exemple la traçabilité alimentaire), que le Client communique par écrit à Nerira ; à défaut, les durées de la politique de conservation de Nerira s’appliquent.

Nerira informe le Client si une instruction lui paraît contraire au RGPD.

Toute personne autorisée par Nerira à accéder aux données est préalablement soumise à une obligation contractuelle de confidentialité au moins équivalente au présent accord. Nerira est exploité par une seule personne habilitée ; tout prestataire ponctuel signe un engagement de confidentialité écrit avant tout accès.

Les mesures techniques et organisationnelles sont décrites dans l'annexe de sécurité. Socle vérifié dans le code :

• isolation par organisation avec RLS et FORCE RLS, contrôles côté serveur ;
• rôles et permissions, rôle de service réservé au backend et audité ;
• connexion sans mot de passe, MFA TOTP, AAL2 pour les actions sensibles, double contrôle des actions plateforme critiques ;
• journaux d’audit des organisations et de la plateforme ;
• chiffrement en transit et au repos par les hébergeurs, secrets hors dépôt ;
• limitation de débit, idempotence, analyse antivirus des pièces jointes lorsque cette fonction est activée ;
• purge de rétention bornée, tracée et gelable par legal hold ;
• sauvegardes quotidiennes assurées par l’hébergeur. Les objectifs de reprise sont indicatifs et non contractuels : perte de données maximale visée de 24 heures (sauvegardes quotidiennes), délai de reprise selon les meilleurs efforts ; ils sont révisés après chaque exercice de restauration.

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés dans le registre des sous-traitants en vigueur (registre des sous-traitants, disponible sur demande à contact@nerira.com), par catégorie :

• hébergement, base de données, authentification et fichiers : Supabase (Union européenne, Paris) ;
• exécution applicative et tâches planifiées : Vercel (fonctions à Paris) ;
• paiements et abonnements : Stripe (dont Stripe Connect pour les paiements B2C sur le compte du Client) ;
• e-mails transactionnels et e-mails de connexion : Resend (Irlande) ;
• notifications mobiles et Wallet : Apple, Google, services push des navigateurs ;
• limitation de débit : Upstash (Francfort) ; supervision : Sentry (Francfort) ;
• optionnels et non actifs à date : Twilio ou Telnyx (SMS), service d’analyse antivirus des pièces jointes de support.

Les intégrations que le Client active lui-même (assistant conversationnel via MCP, webhooks vers ses propres systèmes, intégration CalPains, compte Stripe Connect) sont des destinataires choisis par le Client, qui en reste responsable ; elles ne sont pas des sous-traitants ultérieurs de Nerira.

Nerira impose à chaque sous-traitant ultérieur des obligations équivalentes par contrat et reste responsable envers le Client de leur exécution. Nerira informe le Client de tout ajout ou remplacement de sous-traitant ultérieur par e-mail aux propriétaires de l’organisation et par mise à jour de la page publique, avec un préavis de 30 jours. Le Client peut s’y opposer dans ce délai, par écrit et pour un motif légitime tenant à la protection des données. À défaut d’accord dans les 15 jours suivant l’objection, le Client peut résilier sans pénalité la ou les fonctions qui dépendent du nouveau sous-traitant, sans remboursement des périodes déjà consommées ; l’absence d’objection dans le délai vaut acceptation.

Nerira assiste le Client, compte tenu de la nature du traitement :

• droits des personnes : export JSON de l’organisation ou d’un utilisateur et suppression d’un utilisateur ou de l’organisation depuis le service ; toute demande reçue directement par Nerira et relevant du Client lui est relayée sous 5 jours ouvrés, afin qu’il respecte le délai d’un mois de l’article 12 du RGPD ;
• sécurité et violations : article 10 ;
• analyses d’impact et consultations préalables : fourniture des informations de ce dossier (RoPA, annexe de sécurité, registre des sous-traitants) ;
• démonstration de conformité : article 13.

L’assistance standard, réalisée avec les fonctions du service, est incluse. Toute assistance spécifique (extraction sur mesure, contribution à une analyse d’impact du Client, accompagnement d’un audit) est facturée au temps passé sur devis préalable.

Nerira notifie le Client sans retard injustifié après avoir pris connaissance d’une violation de données personnelles affectant les données traitées pour son compte, et au plus tard 48 heures après cette prise de connaissance, par e-mail aux propriétaires de l’organisation. La notification décrit, dans la mesure du possible et par étapes si nécessaire, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées et le point de contact. Nerira tient un registre des incidents et suit sa procédure interne de gestion des incidents.

• Pendant le contrat et pendant une période de réversibilité de 30 jours après son terme, le Client peut obtenir l’export standard de ses données : export JSON complet via « Mes données », exports CSV des listes et PDF des documents, tels que disponibles dans le service. Aucun autre format n’est garanti ; une conversion sur mesure fait l’objet d’un devis.
• À l’issue de cette période, ou sur demande du Client, Nerira supprime les données de l’organisation par la procédure de suppression d’organisation (revue, délai de grâce de 7 jours, suppression transactionnelle de l’ensemble des tables de l’organisation et anonymisation de son identité) puis confirme l’exécution par écrit, au plus tard trois mois après la fin du contrat.
• Exceptions : données que Nerira doit conserver en vertu d’une obligation légale (pièces comptables de l’abonnement) ou d’un gel juridique ; copies présentes dans les sauvegardes quotidiennes de l’hébergeur, conservées 7 jours (plan de l’hébergeur sans option de récupération ponctuelle), qui expirent d’elles-mêmes et ne sont restaurées qu’en cas d’incident.

Le présent accord est soumis au droit français. Tout litige relève de la clause de règlement des différends et de juridiction des conditions générales de service B2B, qui s’applique sans clause distincte.

Nerira met à disposition du Client les informations nécessaires pour démontrer le respect de ses obligations : présent dossier de conformité, rapports des contrôles automatisés, attestations et rapports de ses sous-traitants (les audits des sous-traitants ultérieurs sont couverts par leurs propres rapports et certifications, sans accès direct). Le Client peut en outre faire réaliser un audit, sur pièces ou sur site, par un auditeur indépendant tenu à la confidentialité, au plus une fois par période de douze mois sauf violation avérée, avec un préavis écrit de 30 jours, à ses frais, pendant les heures ouvrées, sans accès aux données d’autres clients ni aux environnements de production partagés.

Les données sont hébergées et traitées dans l’Union européenne. Les sous-traitants ultérieurs établis aux États-Unis qui peuvent accéder aux données à distance reposent sur la certification au cadre EU-US Data Privacy Framework (décision d’adéquation du 10 juillet 2023) lorsqu’ils y sont inscrits (Vercel, Stripe, Resend, Sentry, Upstash, Google) et, à défaut ou en complément, sur les clauses contractuelles types de la Commission européenne (décision 2021/914) intégrées à leur accord de traitement (Supabase, Apple). Les analyses d’impact de transfert pour Supabase et Apple sont documentées dans le registre des sous-traitants, disponible sur demande.

• Annexe A, description des traitements : registre des traitements de Nerira en qualité de sous-traitant, disponible sur demande à contact@nerira.com.
• Annexe B, mesures de sécurité : annexe de sécurité.
• Annexe C, sous-traitants autorisés : registre des sous-traitants, disponible sur demande ; liste résumée dans la politique de confidentialité.
• Annexe D, procédure d’incident et de notification : procédure interne de Nerira, décrite à l’article 10 et dans l'annexe de sécurité.
• Annexe E, durées de conservation : politique de conservation de Nerira, disponible sur demande ; durées résumées dans la politique de confidentialité.