Contrat de sous-traitance RGPD

Contrat conclu entre chaque boutique partenaire et Emelva, accepté en ligne à la création du compte boutique · version 2026-08-05-sasu.

Quand une cliente crée sa silhouette chez une boutique partenaire, c’est la boutique qui décide de collecter cette photo et pourquoi : elle est responsable de traitement. Emelva ne fait que traiter ces données pour son compte : nous sommes sous-traitant. L’article 28.3 du RGPD impose que cette relation soit encadrée par un contrat écrit — c’est l’objet du présent document.

Entre les soussignés

Le responsable de traitement — ci-après « la Boutique » : le commerce identifié lors de la création de son compte Emelva (dénomination, ville et numéro SIREN/SIRET ou identifiant société saisis à l’inscription), représenté par la personne qui crée le compte.

Le sous-traitant — ci-après « Emelva » : Emelva, société par actions simplifiée unipersonnelle au capital de 1 000 €, en cours d'immatriculation au RCS de Compiègne, dont le siège est situé 9 rue Notre-Dame de Bon Secours, 60200 Compiègne, France. SIREN et n° de TVA intracommunautaire en cours d'attribution. Contact pour les questions de données personnelles : hello@emelva.com.

Article 1 — Objet

Le présent contrat définit les conditions dans lesquelles Emelva traite, pour le compte de la Boutique et sur ses instructions, les données à caractère personnel nécessaires à la fourniture du service d’essayage virtuel Emelva. Il s’applique pendant toute la durée d’utilisation du service et prévaut, sur les questions de protection des données, sur toute autre stipulation contraire.

Article 2 — Description du traitement

Nature et finalité. Permettre aux clientes de la Boutique d’essayer virtuellement les vêtements de son catalogue à partir d’une photographie qu’elles fournissent, de conserver les rendus obtenus, d’échanger des messages avec la Boutique, et de fournir à la Boutique des statistiques d’usage de sa collection.

Durée. Le temps de la relation contractuelle, augmenté des durées de conservation de l’article 8.

Catégories de personnes concernées. Les clientes de la Boutique inscrites au service ; la gérante et les membres de son équipe disposant d’un accès.

Catégories de données traitées.

Point d’attention. Les photographies de personnes sont des données personnelles ordinaires tant qu’aucun traitement d’identification biométrique n’est réalisé. Emelva ne réalise aucune reconnaissance faciale, aucun gabarit biométrique, aucune identification automatisée : les images servent uniquement à produire un rendu visuel demandé par la personne elle-même. Cette limite est constitutive du service et son évolution ferait l’objet d’un avenant.

Article 3 — Instructions documentées

Emelva ne traite les données que sur instruction documentée de la Boutique. Constituent de telles instructions : le présent contrat, les conditions générales du service, et les paramétrages effectués par la Boutique dans son espace. Si Emelva estime qu’une instruction constitue une violation du RGPD, elle en informe la Boutique sans délai. Si une obligation légale l’oblige à traiter au-delà des instructions reçues, elle en informe la Boutique avant traitement, sauf interdiction légale.

Article 4 — Confidentialité

Emelva veille à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité et reçoivent la formation nécessaire. L’accès aux données d’une Boutique est techniquement cloisonné : chaque lecture est filtrée par l’identifiant de la boutique de la session. Un accès d’assistance au compte d’une Boutique (« impersonation ») est possible pour le support ; il est journalisé, signalé à l’écran par un bandeau permanent, et n’autorise ni le changement de mot de passe ni l’accès au support interne.

Article 5 — Sécurité (article 32)

Emelva met en œuvre les mesures suivantes, actuellement en place :

• chiffrement en transit de toutes les communications (HTTPS), et en base (chiffrement au repos assuré par l’hébergeur) ;
• photographies stockées hors de l’application, dans un espace privé sans accès public ; toute lecture passe par une URL signée expirant en une heure, tout dépôt par une URL signée expirant en dix minutes, dont la taille exacte est signée ;
• vérification du contenu déposé (type réel du fichier, plafond de taille) avant tout usage ;
• mots de passe stockés hachés (scrypt avec sel) — jamais en clair, jamais réversibles ;
• limitation des tentatives d’authentification, comptée en base de données ;
• sessions signées, révocables ; la révocation d’une vendeuse est effective à la requête suivante ;
• journalisation des incidents affectant les données ou la facturation, avec alerte à l’exploitant ;
• sauvegarde hebdomadaire de la base, conservée 90 jours, et restauration à un instant donné offerte par l’hébergeur sur les dernières 24 heures.

Ces mesures évoluent avec l’état de l’art ; leur niveau de protection ne sera pas diminué.

Article 6 — Sous-traitants ultérieurs

La Boutique autorise Emelva à recourir aux sous-traitants ultérieurs listés ci-dessous. Emelva informe la Boutique de tout ajout ou remplacement au moins trente jours à l’avance, par écrit. La Boutique peut s’y opposer pour un motif raisonnable tenant à la protection des données ; à défaut d’accord, elle peut résilier sans pénalité.

Emelva impose contractuellement à chacun des obligations équivalentes à celles du présent contrat, et demeure pleinement responsable de leur exécution devant la Boutique.

Article 7 — Transferts hors Union européenne

La base de données est hébergée dans l’Union européenne. La génération des rendus implique un transfert des images vers des prestataires établis aux États-Unis (OpenAI, FASHN AI, Seedance), pour la seule durée nécessaire à la production du rendu demandé. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, pour les prestataires qui en bénéficient, par le cadre UE–États-Unis de protection des données (Data Privacy Framework). Aucun autre transfert hors Union européenne n’est réalisé. La Boutique informe ses clientes de ces transferts ; la politique de confidentialité publiée par Emelva les décrit et lui est opposable.

Article 8 — Durées de conservation et sort des données

• compte cliente : jusqu’à sa suppression par la personne, ou après 24 mois d’inactivité ;
• photographie de silhouette : supprimée du stockage lors de son remplacement ou de la suppression du compte ;
• rendus d’essayage : conservés tant que la personne les conserve ; les rendus mis en cache pour éviter de recalculer un même essayage sont conservés sous une clé technique ne permettant pas d’identifier la personne ;
• données de facturation de la Boutique : dix ans (obligation comptable) ;
• journaux techniques : douze mois au plus.

À la fin du contrat, au choix de la Boutique exprimé dans les trente jours : restitution des données dans un format structuré et lisible par machine, ou suppression. À défaut d’instruction, suppression au terme de ce délai, sauf conservation imposée par la loi. Les copies de sauvegarde s’effacent selon leur cycle propre (90 jours au plus).

Article 9 — Assistance de la Boutique

Emelva assiste la Boutique, dans la mesure du possible et compte tenu de la nature du traitement :

• droits des personnes : le service permet à chaque cliente d’exercer directement, depuis son espace, son droit d’accès (export complet de ses données) et son droit à l’effacement (suppression du compte et des images). Pour toute demande adressée à la Boutique qu’elle ne pourrait satisfaire seule, Emelva répond sous cinq jours ouvrés ;
• sécurité, notification de violation, analyse d’impact (articles 32 à 36) : Emelva fournit les informations dont elle dispose.

Article 10 — Violation de données

Emelva notifie à la Boutique toute violation de données à caractère personnel dans les quarante-huit heures après en avoir pris connaissance, par e-mail au contact déclaré, en indiquant : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, et les mesures prises ou proposées. Il appartient à la Boutique, responsable de traitement, de notifier l’autorité de contrôle et, le cas échéant, les personnes concernées.

Article 11 — Registre, information et audit

Emelva tient le registre des catégories d’activités de traitement effectuées pour le compte de la Boutique (article 30.2) et met à sa disposition, sur demande, les informations nécessaires pour démontrer le respect de l’article 28. La Boutique peut réaliser un audit, une fois par an, moyennant un préavis raisonnable, aux frais de la partie demanderesse, dans des conditions préservant la confidentialité des données des autres boutiques.

Article 12 — Responsabilité et durée

Chaque partie répond des dommages causés par un traitement qui méconnaîtrait le RGPD, dans les conditions de son article 82. Le présent contrat prend effet à son acceptation et demeure en vigueur pendant toute la durée d’utilisation du service, ainsi que pour les obligations qui lui survivent (articles 4, 8 et 10).

Acceptation

Le présent contrat est accepté en ligne, lors de la création du compte boutique, par la personne habilitée à représenter la Boutique. L’acceptation est horodatée et conservée avec la version acceptée du contrat (2026-08-05-sasu) ; elle vaut signature au sens de l’article 28.9 du RGPD (forme électronique).