Accord de traitement des données

1. Champ d’application et rôles

Cet accord s’applique lorsque ZYND SARL, qui exploite ZyndPay, traite des données personnelles pour le compte du marchand afin de fournir les services activés sur son compte. Pour ce traitement, le marchand est responsable du traitement et ZyndPay est sous-traitant.

ZyndPay agit comme responsable de traitement distinct lorsqu’elle traite des données pour ses propres finalités : vérification des entreprises (KYB), prévention de la criminalité financière, filtrage des sanctions, déclarations légales, sécurité de la plateforme et constatation ou défense de droits en justice. Ces finalités sont couvertes par notre politique de confidentialité. Les rôles découlent du traitement réellement effectué et de la loi applicable.

2. Instructions

ZyndPay ne traite les données que sur instructions documentées du marchand figurant dans le MSA, dans toute annexe de traitement acceptée et dans les requêtes de service authentifiées, sauf obligation légale contraire. Dans ce cas, ZyndPay en informe préalablement le marchand, sauf si la loi l’interdit.

Les instructions ne peuvent pas exiger un traitement illicite, la communication des données d’un autre client ou le contournement de la sécurité de la plateforme. ZyndPay informe le marchand si une instruction lui paraît illicite et peut la suspendre dans l’attente de précisions.

3. Description du traitement

• Objet : fonctionnement de l’intégration de paiement, messages de transaction, rapprochement et support.
• Durée : la durée des services, augmentée des délais nécessaires à la restitution, à la suppression et à la conservation légale.
• Opérations : collecte, validation, organisation, hébergement, transmission, consultation, rapprochement, accès restreint du support et suppression.
• Personnes concernées : clients du marchand, payeurs et bénéficiaires, contacts professionnels et utilisateurs du compte.
• Catégories de données : identifiants, coordonnées, références de transaction, statut de paiement, montants et devises, informations nécessaires sur l’appareil et la sécurité, et échanges avec le service client.

Le marchand doit obtenir un accord écrit avant de transmettre des données sensibles, des images complètes de pièces d’identité ou des données personnelles sans rapport avec le service. Les données d’authentification de carte ne doivent jamais être transmises, sauf si l’intégration le prévoit expressément et que c’est licite.

4. Confidentialité et sécurité

L’accès est réservé au personnel autorisé, tenu à la confidentialité et formé de manière appropriée. Les mesures de sécurité sont proportionnées aux données et au risque, et comprennent le contrôle des accès, le moindre privilège, l’authentification, le chiffrement des transmissions, la journalisation, la gestion des changements, le traitement des vulnérabilités et des dispositifs de reprise.

Le marchand protège ses propres systèmes, appareils, personnels et exports de données, et ne partage pas un compte administrateur entre différents utilisateurs. Les informations de sécurité sont communiquées dans le cadre d’un examen confidentiel, sans divulguer d’identifiants, de clés privées ni de détails exploitables.

5. Sous-traitants ultérieurs

ZyndPay peut recourir aux sous-traitants ultérieurs nécessaires aux services, soumis à des obligations écrites conformes au présent accord. Sur demande, elle communique leur identité, leur fonction et leur localisation par un canal contrôlé.

Pour tout changement important affectant les données du marchand, ZyndPay donne un préavis lorsque c’est possible, en principe de 30 jours. Le marchand peut s’y opposer pour des motifs raisonnables liés à la protection des données avant l’entrée en vigueur du changement. Les parties recherchent alors une solution raisonnable ; à défaut, le traitement concerné peut prendre fin. Un remplacement en urgence pour des raisons de sécurité ou de continuité est notifié sans délai. ZyndPay reste responsable de l’exécution par ses sous-traitants ultérieurs, comme l’exige la loi.

6. Transferts internationaux

L’acceptation de cet accord ne remplace pas un mécanisme de transfert exigé par la loi. Les parties identifient les transferts concernés et mettent en place, avant le transfert, les décisions d’adéquation, clauses contractuelles, autorisations ou autres garanties légales. ZyndPay peut refuser une instruction qui imposerait un transfert illicite.

7. Demandes et incidents

ZyndPay assiste le marchand pour les demandes des personnes concernées, les analyses d’impact, les demandes des autorités de contrôle et les obligations en cas de violation, dans la mesure de son traitement. Les demandes reçues directement sont transmises au marchand, sauf si la loi impose à ZyndPay d’y répondre.

ZyndPay notifie au marchand, dans les meilleurs délais, toute violation de données personnelles confirmée affectant ses données, avec les informations disponibles sur sa nature, les données concernées, les conséquences probables, les mesures de confinement et un point de contact. Les informations manquantes sont communiquées au fur et à mesure. Aucune partie ne retarde une notification obligatoire dans l’attente de l’accord de l’autre.

8. Audits

Le marchand peut obtenir les informations raisonnablement nécessaires pour démontrer la conformité, en principe au moyen des rapports existants et d’un questionnaire confidentiel. Lorsque c’est justifié, un audit complémentaire est réalisé par un auditeur indépendant qualifié, sous confidentialité, avec un préavis et un périmètre raisonnables, sans perturber les services en production ni exposer d’autres clients. Les demandes des autorités ou consécutives à un incident important ne sont pas soumises à une limite annuelle. Le coût d’un audit discrétionnaire est supporté par la partie qui le demande.

9. Restitution et suppression

À la fin des services, ZyndPay fournit les données disponibles du marchand dans un format couramment utilisé sur demande authentifiée, puis supprime ou restitue les données restantes comme convenu, sauf conservation imposée par la loi. Les sauvegardes expirent par rotation régulière. Les données conservées à des fins légales et de conformité restent d’accès restreint et ne sont pas réutilisées à d’autres fins. Une demande d’effacement ne peut pas imposer la destruction de documents financiers dont la loi exige la conservation.

10. Priorité et responsabilité

Cet accord fixe les obligations de base de ZyndPay en tant que sous-traitant. Tout traitement sensiblement différent doit d’abord être documenté dans une annexe acceptée. Les dispositions légales impératives plus protectrices prévalent. La responsabilité suit le MSA, dans la mesure compatible avec la loi sur la protection des données et les droits des personnes concernées.

11. Contact

Questions sur cet accord, la liste des sous-traitants ultérieurs ou un incident de données : privacy@zyndpay.io.