Annexe relative au Traitement des Données (DPA) OneStock

Dernière mise à jour : 10 décembre 2025

La présente Annexe relative au Traitement des Données, y compris ses annexes (ensemble, le « DPA »), fait partie intégrante du Contrat conclu entre la société OneStock identifiée dans le Bon de Commande concerné (« OneStock ») et le client identifié dans le Bon de Commande correspondant (« Client ») faisant référence au présent DPA (le « Contrat »).

Le présent DPA prend effet à compter de la date d’effet du Contrat, ou à la date de signature du dernier Bon de commande par le Client, ou de tout autre accord électronique ou écrit dûment conclu entre les parties.

1. Traitement des données

1. Description du traitement
   Le type de Données à Caractère Personnel traité en application du présent DPA ainsi que l’objet, la durée, la nature et la finalité du Traitement, et les catégories de Personnes Concernées, sont décrits à l’Annexe 1 du présent DPA.
2. Périmètre et rôles
   Les parties reconnaissent et conviennent que, s’agissant du Traitement des Données à Caractère Personnel dans le cadre de la fourniture des Services au titre du Contrat, le Client et/ou ses Affiliés agit en qualité de Responsable du traitement et OneStock agit en qualité de Sous-traitant.
3. Obligations du Client
   Dans le cadre de son utilisation des Services, le Client traite les Données à Caractère Personnel conformément aux exigences des Lois sur la Protection des Données. Les instructions du Client relatives au Traitement des Données à Caractère Personnel doivent être conformes aux Lois sur la Protection des Données, y compris, le cas échéant, toute obligation d’information des Personnes Concernées concernant le recours à OneStock en qualité de Sous-traitant. Le Client est seul responsable de l’exactitude, de la qualité et de la licéité des Données à Caractère Personnel, ainsi que des moyens par lesquels il a collecté ces Données à Caractère Personnel. Le Client s’assure qu’il est habilité à transférer les Données à Caractère Personnel concernées à OneStock afin que OneStock et ses Sous-traitants Ultérieurs puissent utiliser, traiter et transférer licitement ces Données à Caractère Personnel conformément au présent DPA et au Contrat, pour le compte du Client et de ses Affiliés.
4. Obligations de OneStock
   OneStock traite les Données à Caractère Personnel conformément aux exigences des Lois sur la Protection des Données applicables à l’exécution du présent DPA, notamment :
   1. OneStock ne traite les Données à Caractère Personnel qu’en conformité avec le Contrat et le présent DPA. En concluant le Contrat, le Client donne instruction à OneStock de traiter les Données à Caractère Personnel aux fins suivantes :
      1. Traitement conformément au Contrat, au Bon de Commande applicable et à tout autre accord électronique ou écrit dûment conclu, y compris la mise à jour de la Plateforme et la prévention ou la résolution d’incidents techniques ou de service ;
      2. Traitement initié par les utilisateurs du Client dans le cadre de leur utilisation de la Plateforme ;
      3. Traitement visant à se conformer à d’autres instructions raisonnables fournies par le Client, lorsque ces instructions sont compatibles avec les stipulations du Contrat. Le présent DPA et le Contrat constituent les instructions documentées du Client à OneStock pour le Traitement des Données à Caractère Personnel. 
   2. OneStock traite les Données à Caractère Personnel comme des informations confidentielles et s’assure que toute personne qu’elle autorise à traiter des Données à Caractère Personnel a accepté, ou est soumise à, des obligations de confidentialité similaires à celles auxquelles OneStock s’est engagée au titre du Contrat.
   3. Sur demande du Client et lorsque requis par les Lois sur la Protection des Données, OneStock assistera le Client dans l’exécution de ses obligations relatives aux analyses d’impact sur la protection des données (lorsque celles-ci sont liées aux Services, et uniquement dans la mesure où le Client n’a pas autrement accès aux informations pertinentes et où ces informations sont disponibles chez OneStock) ainsi que, le cas échéant, dans le cadre des consultations préalables auprès de l’autorité de contrôle compétente au titre du RGPD de l’UE et du RGPD du Royaume-Uni.

2. Durée

Le présent DPA demeure en vigueur jusqu’à la date la plus tardive entre :

1. l’expiration ou la résiliation du Contrat ;
2. la restitution ou la suppression des Données à Caractère Personnel.

3. Securité

1. Securité
   OneStock met en œuvre et maintient un programme complet de sécurité de l’information visant à protéger les Données à Caractère Personnel contre toute destruction, perte, altération, divulgation non autorisée ou accès non autorisé, accidentel ou illicite, sous réserve que ces mesures soient appropriées au regard :
   1. de la taille, du périmètre et de la nature de l’activité de OneStock ;
   2. des ressources dont dispose OneStock ;
   3. de la nature des informations que OneStock stocke ;
   4. des exigences de sécurité et de confidentialité de ces informations (ensemble, les « Mesures de sécurité OneStock »). Les Mesures de sécurité OneStock sont décrites à l’Annexe 2 du présent DPA. OneStock contrôle régulièrement le respect de ces mesures de protection.
2. Notification des violations
   Dans la mesure permise et requise par la loi, OneStock notifiera par écrit au Client, sans retard injustifié, après avoir eu raisonnablement connaissance d’une violation de sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée de, ou l’accès non autorisé à, des Données à Caractère Personnel (une « Violation de Données à Caractère Personnel »). Cette notification décrira, dans la mesure permise et requise par les Lois sur la Protection des Données applicables :
   1. la nature de la Violation de Données à Caractère Personnel, y compris, si connu, les catégories et le nombre approximatif de Personnes Concernées et de Données à Caractère Personnel concernés ;
   2. les mesures prises ou envisagées par OneStock pour répondre à la Violation de Données à Caractère Personnel et en atténuer les effets ;
   3. toute mesure recommandée par OneStock au Client afin de traiter la Violation de Données à Caractère Personnel ;
   4. les coordonnées du point de contact de OneStock relatif à la Violation de Données à Caractère Personnel. Si OneStock ne peut fournir toutes ces informations lors de la notification initiale, elle les transmettra au Client dès qu’elles seront disponibles.
3. Audit
   1. OneStock a recours à des auditeurs externes afin de vérifier l’adéquation de ses mesures de sécurité concernant le Traitement des Données à Caractère Personnel. Ces audits sont réalisés au moins une fois par an, aux frais de OneStock, par des professionnels indépendants de la sécurité tiers, désignés à la discrétion de OneStock.
   2. Le Client peut demander un audit de OneStock afin de vérifier la conformité de OneStock au présent DPA si un tel audit est requis par les Lois sur la Protection des Données et si la conformité de OneStock ne peut être démontrée par des moyens moins contraignants pour OneStock (y compris au titre de l’article 3.A.I). Un tel audit ne pourra avoir lieu plus d’une fois par période de douze (12) mois, sauf exigence d’une autorité de contrôle compétente, et sous réserve des conditions suivantes :
      1. le Client doit notifier OneStock par écrit ;
      2. après réception, le Client et OneStock conviennent conjointement du périmètre, du calendrier et de la durée de l’audit ainsi que des taux de remboursement à la charge du Client ;
      3. tout audit est soumis aux obligations de confidentialité prévues au Contrat ou convenues autrement par écrit ;
      4. le Client rembourse à OneStock le temps consacré à tout audit sur site aux tarifs de services professionnels alors en vigueur chez OneStock, communiqués au Client sur demande. L’ensemble des taux de remboursement doivent être raisonnables au regard des ressources engagées par OneStock ;
      5. tout audit doit être réalisé pendant les heures ouvrées, par le Client ou par un auditeur tiers indépendant du Client qui n’est pas un concurrent de OneStock, et doit être limité aux données pertinentes pour le Client ;
      6. le Client notifiera sans délai OneStock de toute non-conformité découverte au cours de l’audit, en fournissant les informations correspondantes.

4. Sous-traitants Ultérieurs

1. Autorisation des Sous-traitants Ultérieurs
   Le Client accorde une autorisation générale écrite : (a) permettant de recourir aux affiliés de OneStock en qualité de Sous-traitants ultérieurs ; et (b) autorisant OneStock à engager des sous-traitants ultérieurs tiers dans le cadre de la fourniture des Services.
2. Identification des Sous-traitants Ultérieurs
   OneStock maintient une liste à jour des Sous-traitants Ultérieurs disponible à l’adresse www.onestock-retail.com/fr/mentions-legales/subprocessors (la « Liste des Sous-traitants Ultérieurs »). OneStock mettra à jour ladite liste en cas de nouveau Sous-Traitant Ultérieur au moins trente (30) jours avant la date à laquelle ce Sous-Traitant Ultérieur commence le Traitement des Données à Caractère Personnel. La Liste des Sous-traitants Ultérieurs comprend un mécanisme permettant au Client de s’abonner aux notifications relatives aux sous-traitants ultérieurs nouveaux ou de remplacement, notamment par e-mail.
3. Opposition à un Sous-traitant Ultérieur
   Si le Client s’oppose à un nouveau Sous-Traitant Ultérieur, il peut s’opposer à l’utilisation de ce Sous-Traitant Ultérieur par OneStock en notifiant OneStock sans délai par écrit dans un délai de dix (10) jours à compter de la date à laquelle OneStock a mis à jour la Liste des Sous-Traitants Ultérieurs. Cette notification doit exposer des motifs raisonnables d’opposition. À réception de cette notification, OneStock déploiera des efforts raisonnables afin de proposer au Client une modification des Services ou de recommander une modification commercialement raisonnable de la configuration ou de l’utilisation des Services par le Client, afin d’éviter le Traitement des Données à Caractère Personnel par le Sous-traitant Ultérieur contesté, sans imposer une charge déraisonnable au Client. Si OneStock n’est pas en mesure de proposer une telle modification dans un délai raisonnable n’excédant pas trente (30) jours, le Client pourra, dans ce délai, résilier avec effet immédiat le(s) Bon(s) de Commande applicable(s), uniquement pour les Services qui ne peuvent être fournis par OneStock sans recourir au Sous-Traitant Ultérieur contesté, en notifiant OneStock par écrit. En cas de résiliation, OneStock remboursera au Client les Prix prépayés couvrant la période restant à courir au titre du/des Bon(s) de Commande concerné(s) à compter de la date d’effet de résiliation pour les Services résiliés, sans appliquer de pénalité au Client du fait de cette résiliation.
4. Exigences applicables aux Sous-traitants Ultérieurs
   OneStock conclura avec chaque Sous-Traitant Ultérieur un accord écrit comprenant des obligations de protection des données équivalentes à celles prévues au présent DPA. OneStock demeure responsable des actes et omissions de ses Sous-Traitants Ultérieurs dans le cadre de l’exécution du présent DPA, dans la même mesure que si OneStock exécutait directement les Services.

5. Demandes des Personnes Concernées

Dans la mesure permise par la loi, OneStock notifiera sans délai le Client si OneStock reçoit une demande d’une Personne Concernée visant à exercer les droits suivants : accès, rectification, limitation du Traitement, effacement (« droit à l’oubli »), portabilité, opposition au Traitement, ou le droit de ne pas faire l’objet d’une décision individuelle automatisée (chacune, une « Demande de Personne Concernée »). Compte tenu de la nature du Traitement, OneStock assistera le Client par des mesures techniques et organisationnelles appropriées, dans la mesure où cela est raisonnablement possible, afin de permettre au Client de satisfaire à son obligation de répondre à une Demande de Personne Concernée conformément aux Lois sur la Protection des Données applicables. En outre, dans la mesure où le Client ne dispose pas, via son utilisation des Services, de la capacité de répondre à une Demande de Personne Concernée, OneStock mettra en œuvre, sur demande du Client, des efforts commercialement raisonnables pour l’assister dans la réponse à cette demande, dans la mesure où OneStock est légalement autorisée à le faire et où la réponse est requise par les Lois sur la Protection des Données applicables.

6. Restitution et destruction des données

Conformément au Contrat, à la résiliation ou à l’expiration du Contrat, OneStock supprimera ou détruira toutes copies des Données Client dans les systèmes de OneStock ou autrement en sa possession ou sous son contrôle, sauf interdiction légale.

7. Transferts de données

Instructions
Les parties conviennent que les transferts de Données à Caractère Personnel vers OneStock bénéficiant d’une décision d’adéquation applicable ne requièrent pas de mécanisme de transfert séparé approuvé. Si un transfert de Données à Caractère Personnel vers OneStock ne bénéficie pas d’une décision d’adéquation applicable (un « Transfert Restreint »), ce Transfert Restreint est effectué conformément aux stipulations suivantes :

1. Transferts Restreints depuis l’EEE ou la Suisse. Lorsqu’un Transfert Restreint est effectué depuis l’EEE ou la Suisse, les CCT sont incorporées par référence au présent DPA et s’appliquent au transfert comme suit :
   1. le Module 2 s’applique lorsque le Client est Responsable du traitement et OneStock Sous-traitant ;
   2. à la clause 7 des CCT, la clause optionnelle d’adhésion (« docking clause ») ne s’applique pas ;
   3. à la clause 9(a) des CCT, l’option 2 s’applique conformément aux termes de l’article 4 du présent DPA ;
   4. à la clause 11(a) des CCT, le libellé optionnel ne s’applique pas ;
   5. à la clause 17 des CCT, l’option 1 s’applique et la loi applicable est le droit français ;
   6. à la clause 18(b) des CCT, les litiges seront portés devant les tribunaux de Toulouse (France) ;
   7. l’Annexe 1 des CCT est complétée par les informations figurant à l’Annexe 1 du présent DPA ;
   8. l’Annexe 2 des CCT est complétée par les informations figurant à l’Annexe 2 du présent DPA ;
   9. l’Annexe 3 des CCT est complétée par les informations figurant dans la Liste des Sous-Traitants Ultérieurs.
2. Lorsqu’un Transfert Restreint est effectué depuis le Royaume-Uni, l’Addendum britannique aux CCT (« UK Transfer Addendum ») est incorporé par référence au présent DPA et s’applique au transfert comme suit : 
   1. cet addendum est complété par les informations figurant à l’article 7.1.1, la Liste des Sous-Traitants Ultérieurs, et les Annexes 1 et 2 du présent DPA ;
   2. les cases « Importer » et « Exporter » sont toutes deux cochées au tableau 4.
3. Applications spécifiques des CCT. Les stipulations suivantes s’appliquent aux CCT :
   1. le Client peut exercer ses droits d’audit au titre des CCT conformément à l’article 3.3 du présent DPA ; 
   2. OneStock peut désigner des Sous-traitants Ultérieurs au titre des CCT conformément à l’article 4 du présent DPA ;
   3. concernant les Transferts Restreints vers OneStock, OneStock ne peut participer, ni permettre à un Sous-traitant Ultérieur de participer, à tout Transfert Restreint ultérieur, sauf si ce Transfert Ultérieur est effectué en conformité intégrale avec les Lois sur la Protection des Données et conformément aux CCT applicables ou à un mécanisme de transfert alternatif conforme.

8. Responsabilité

Le présent DPA est soumis aux limitations de responsabilité convenues entre les parties au titre du Contrat (toute référence à la responsabilité d’une partie visant ladite partie et ses Affiliés de manière agrégée).

9. Dispositions générales

1. Concernant l’objet du présent DPA, en cas d’incohérence entre les stipulations du présent DPA et celles du Contrat, prévalent (par ordre de priorité) :
   1. les CCT ;
   2. le présent DPA ;
   3. le Contrat.
2. Le présent DPA est régi et interprété conformément aux stipulations relatives à la loi applicable et à la juridiction compétente prévues au Contrat, sauf exigence contraire des Lois sur la Protection des Données.
3. OneStock peut modifier le présent DPA si :
   1. la modification est nécessaire afin de se conformer aux Lois sur la Protection des Données ;
   2. la modification est commercialement raisonnable, ne réduit pas de manière significative la sécurité des Services, ne modifie pas le périmètre du Traitement des Données à Caractère Personnel effectué par OneStock et n’a pas d’impact défavorable significatif sur les droits du Client au titre du présent DPA.

10. DÉfinitions

Les termes commençant par une majuscule non définis dans le présent DPA ou le Contrat ont la signification suivante : 

1. « Clauses contractuelles types » ou « CCT » :
   1. lorsque le RGPD de l’UE ou la loi fédérale suisse sur la protection des données s’applique, les clauses annexées à la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021 relatives aux CCT pour le transfert de Données à Caractère Personnel vers des pays tiers au titre du RGPD (les « CCT UE ») ;
   2. lorsque le RGPD du Royaume-Uni s’applique, les clauses standards de protection des données adoptées ou autorisées au titre de l’article 46 du RGPD du Royaume-Uni (les « CCT UK »).
2. « Données à Caractère Personnel » : toute information se rapportant à une personne identifiée ou identifiable qui a été fournie par ou pour le compte du Client à la Plateforme, ou collectée et traitée par ou pour le compte du Client via la Plateforme.
3. « Lois sur la Protection des Données » : l’ensemble des lois, traités et/ou réglementations locales, étatiques, nationales et/ou étrangères, incluant le RGPD de l’UE et le RGPD du Royaume-Uni, ainsi que les lois et réglementations de Suisse et des États-Unis (et de leurs États), applicables soit :
   1. à OneStock dans son rôle de prestataire de services traitant des données au titre du Contrat;
   2. au Client et à ses Affiliés, selon le cas.
4. « Personne Concernée » : la personne physique identifiée ou identifiable à laquelle se rapportent des Données à Caractère Personnel.
5. « Responsable du traitement » : l’entité qui détermine les finalités et les moyens du Traitement des Données à Caractère Personnel.
6. « RGPD de l’UE » : le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données).
7. « RGPD du Royaume-Uni » : le RGPD de l’UE tel qu’intégré dans le droit du Royaume-Uni en vertu de l’article 3 de l’European Union (Withdrawal) Act 2018.
8. « Sous-traitant » : l’entité qui traite des Données à Caractère Personnel pour le compte du Responsable du traitement.
9. « Sous-traitant Ultérieur » : tout Sous-traitant engagé par OneStock pour traiter des Données à Caractère Personnel dans le cadre de la fourniture des Services.
10. « Traitement » : toute opération ou ensemble d’opérations effectuées sur des Données à Caractère Personnel, par des moyens automatisés ou non, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

ANNEXE 1

DÉTAILS DU TRAITEMENT

1. LISTE DES PARTIES

2. DESCRIPTION DU TRAITEMENT ET DU TRANSFERT

3. AUTORITÉ DE CONTRÔLE COMPÉTENTE

ANNEX 2

MESURES TECHNIQUES ET ORGANISATIONNELLES Y COMPRIS LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À ASSURER LA SÉCURITÉ DES DONNÉES

Les mesures de sécurité techniques et organisationnelles sont décrites dans les Conditions générales de sécurité OneStock applicables à la Plateforme, lesquelles sont soit annexées au Contrat, soit à tout autre accord électronique ou écrit dûment conclu entre les parties.