Accord de traitement des données entre le marchand et KOHEX

Version du 31 octobre 2026

Le présent accord constitue le contrat de sous-traitance prévu à l'article 28 du règlement (UE) 2016/679 (« RGPD »).

1. Parties et objet

Le présent accord lie le marchand qui installe l'app « Todis Age Verification » sur sa boutique Shopify (le « marchand ») et KOHEX, qui l'édite. Il encadre les données que l'app traite pour le compte du marchand, et complète les conditions d'utilisation et la politique de confidentialité.

KOHEX, société à responsabilité limitée (SARL) au capital de 1 000 €, immatriculée au RCS de Besançon sous le numéro 918 862 830, dont le siège social est situé 20 allée des Sorentines, 25870 Châtillon-le-Duc. Numéro de TVA intracommunautaire : FR16918862830. Représentée par Raphaël Citeau, en qualité de gérant.

Contact : contact@todis.eu

Publication : cet accord est publié à l'adresse https://shop-verify.todis.eu/legal/fr/accord-traitement.html, et sa traduction anglaise à l'adresse https://shop-verify.todis.eu/legal/en/accord-traitement.html.

Signataire : pour KOHEX, Raphaël Citeau, gérant.

Acceptation : le marchand accepte le présent accord, avec les conditions d'utilisation, en installant l'app ou en l'utilisant. Cette acceptation électronique vaut écrit au sens de l'article 28, paragraphe 9, du RGPD.

2. Rôles

Pour les données des acheteurs de sa boutique, le marchand est responsable du traitement ; KOHEX est sous-traitant pour l'app (shop-verify), y compris pour la vérification faite par Todis, service de KOHEX.

Pour la vérification par pièce d'identité (conditions, article 2 bis), le traitement des images du visage et de la pièce a lieu sur le seul appareil de l'acheteur, pour le compte du marchand, qui en est responsable du traitement. KOHEX fournit le programme qui l'exécute, ne reçoit aucune de ces données et n'en traite, comme sous-traitant, que la réponse sur l'âge.

Pour les données du marchand lui-même (domaine de la boutique, facturation, droit Early Bird, support), KOHEX est responsable du traitement ; ces données sont hors du champ du présent accord et sont décrites dans la politique de confidentialité, article 3 bis.

3. Nature, finalités et durée du traitement

Finalités, et elles seules :

• vérifier l'âge des acheteurs avant le paiement d'un panier qui contient un produit soumis à l'âge, par Todis ou, si le marchand l'a activée, par la vérification par pièce d'identité dans le navigateur de l'acheteur ;
• contrôler, à la création de la commande, la vérification qu'elle porte ; mettre l'expédition en attente si ce contrôle échoue, et poser l'étiquette « âge vérifié » s'il réussit ;
• lever l'attente après une nouvelle vérification réussie ;
• lever le blocage du paiement pour un acheteur accepté par le marchand après examen ;
• répondre aux demandes d'accès et d'effacement transmises par Shopify ;
• facturer le marchand, sans donnée de l'acheteur ;
• surveiller le service, sans donnée de l'acheteur.

Nature : collecte, enregistrement, consultation, comparaison, conservation limitée et effacement, de façon automatisée. La vérification par pièce d'identité comporte en outre une comparaison d'images effectuée sur l'appareil de l'acheteur, dont rien n'est transmis à KOHEX (article 4).

Durée : celle de l'installation de l'app, puis le temps de l'effacement (article 11).

4. Personnes concernées et catégories de données

Personnes concernées : les acheteurs de la boutique qui passent par la vérification d'âge, ou dont la commande porte un produit soumis à l'âge. Aucune donnée du personnel du marchand : l'app n'utilise pas de session en ligne.

Catégories de données :

• présentation du portefeuille de l'acheteur et attributs vérifiés, traités par Todis en mémoire seulement, 15 minutes au plus, jamais transmis à l'app ;
• images du visage et de la pièce d'identité de l'acheteur et texte lu sur la pièce, dont les dates de naissance et de validité, traitées dans le seul navigateur de l'acheteur, le temps de la vérification, jamais transmises à KOHEX ni conservées ; seule la réponse sur l'âge en est issue (politique de confidentialité, article 4 bis) ;
• identifiant du panier (sans sa clé d'accès) ;
• identifiant de commande, date, motif d'un échec, expéditions et attentes posées par l'app, étiquette « âge vérifié » ou « âge accepté par le marchand » posée sur la commande ;
• liens d'autorisation du marchand (identifiant, dates, identifiant du panier à l'usage) ;
• issue de la vérification, rendue par Todis ou par le navigateur de l'acheteur (18 ans ou plus, moins de 18 ans, ou échec), avec la méthode utilisée, rattachée à un identifiant technique de vérification ;
• identifiant d'une vérification acceptée ;
• identifiants des demandes d'accès et des commandes qu'elles citent.

Données exclues : l'app ne reçoit ni ne conserve aucune donnée d'identité de l'acheteur, ni nom, ni e-mail, ni téléphone, ni adresse, ni identifiant client. Aucun champ client protégé de niveau 2 n'est lu. KOHEX ne reçoit ni ne conserve aucune catégorie particulière de données au sens de l'article 9 du RGPD : l'âge n'est connu que par « 18 ans ou plus », ou non. Les images du visage traitées sur l'appareil de l'acheteur pour la vérification par pièce d'identité sont des données biométriques au sens de cet article ; elles ne quittent pas cet appareil, et leur traitement repose sur le consentement explicite de l'acheteur (politique de confidentialité, article 4 bis).

Le détail des données, de leurs usages et de leurs durées est dans la politique de confidentialité, articles 3, 4, 4 bis, 5 et 8.

5. Instructions du marchand

KOHEX ne traite les données que sur instruction documentée du marchand. Ces instructions sont le présent accord, les conditions d'utilisation et les réglages du marchand dans l'app (produits étiquetés, intégration d'app, règle de paiement, activation de la vérification par pièce d'identité, envoi du lien de vérification), y compris pour ce qui concerne les transferts hors de l'Union européenne (article 13).

Si KOHEX juge une instruction contraire au RGPD ou à une autre règle de protection des données, elle en informe le marchand et ne l'exécute pas. Si le droit de l'Union ou d'un État membre impose un traitement à KOHEX, elle en informe le marchand avant le traitement, sauf si ce droit l'interdit.

6. Sous-traitants ultérieurs

Autorisation générale : le marchand autorise KOHEX à recourir aux sous-traitants ultérieurs suivants.

Les copies de sauvegarde vont aussi sur un serveur de KOHEX en France, chiffrées ; la supervision tourne sur ce même serveur, sans donnée de l'acheteur.

Todis est un service de KOHEX, pas un sous-traitant ultérieur.

Shopify n'est pas un sous-traitant ultérieur de KOHEX : c'est le prestataire du marchand. Ce que l'app lit et écrit chez Shopify est décrit dans la politique de confidentialité, article 3.

Obligations imposées : KOHEX impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, notamment des garanties suffisantes de sécurité. KOHEX reste pleinement responsable envers le marchand de l'exécution de leurs obligations.

Nouveau sous-traitant ultérieur : KOHEX l'annonce au marchand 30 jours avant qu'il traite des données, par e-mail et dans l'app. Le marchand qui s'y oppose pour un motif raisonnable lié à la protection des données peut résilier l'accord et les conditions en désinstallant l'app, sans frais.

7. Sécurité et confidentialité

Mesures en place :

• échanges chiffrés : HTTPS pour ce que Shopify, la boutique et l'acheteur appellent ; TLS avec Todis, sur un réseau privé dédié, avec authentification et messages signés ;
• environnements d'essai et de production séparés ;
• machines filtrées depuis internet, administration par clé seulement ;
• secrets dans un coffre, jamais dans le code ;
• base de données de l'app chiffrée au repos ; copies de sauvegarde chiffrées, dont la restauration est éprouvée régulièrement ;
• aucune donnée de l'acheteur dans les journaux ni dans les métriques ;
• minimisation : seules les données utiles sont reçues de Shopify ;
• vérification par pièce d'identité exécutée sur l'appareil de l'acheteur, sans transmission d'image ni de donnée de la pièce ; aucun service tiers appelé par cette page.

KOHEX peut faire évoluer ces mesures, à condition de ne pas réduire le niveau de sécurité.

Qui accède aux données. Seules les personnes autorisées par KOHEX, dans la limite de ce que leurs fonctions exigent, à commencer par Raphaël Citeau, gérant. Ces personnes sont tenues à la confidentialité par un engagement écrit ou par une obligation légale.

8. Assistance au marchand

• Demandes d'accès : la page « Demandes d'accès aux données » de l'app montre au marchand les données détenues sur chaque commande citée par une demande que Shopify transmet, avec la date limite de 30 jours et un texte à transmettre à l'acheteur.
• Demandes d'effacement : l'app efface aussitôt les données des commandes que Shopify lui transmet (customers/redact).
• Autres droits : si un acheteur s'adresse directement à KOHEX, KOHEX transmet sa demande au marchand sans y répondre elle-même.
• Recours de l'acheteur contre une décision automatisée : l'examen humain revient au marchand (politique de confidentialité, article 7).
• Analyse d'impact : KOHEX fournit au marchand qui active la vérification par pièce d'identité la description du traitement nécessaire à son analyse d'impact relative à la protection des données, si elle est requise de lui.
• Sécurité, violation, analyse d'impact et consultation de l'autorité : KOHEX aide le marchand à respecter les articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont elle dispose, notamment par la documentation de l'article 12. Cette aide est sans frais dans une mesure raisonnable ; au-delà, elle peut être facturée après accord du marchand.

9. Durées de conservation

Celles du tableau de la politique de confidentialité, article 8.

Les données de la boutique et le droit Early Bird suivent l'article 11.

10. Violation de données

• Au marchand : KOHEX notifie au marchand toute violation de données du marchand, avérée ou soupçonnée, par e-mail à l'adresse de la boutique enregistrée chez Shopify, dans les 24 heures après en avoir eu connaissance. La notification contient, avec ce qui est connu à ce moment : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le point de contact pour la suite, les conséquences probables, et les mesures prises ou proposées. Les éléments sont donnés au fur et à mesure s'ils ne sont pas tous connus d'emblée. La notification d'une violation à l'autorité de contrôle et aux acheteurs reste la décision et la responsabilité du marchand, responsable du traitement.
• À Shopify : KOHEX notifie à Shopify toute violation, avérée ou soupçonnée, de données du marchand, dès qu'elle en a connaissance et au plus tard 24 heures après, comme l'exigent les conditions de Shopify.

La notification d'une violation par KOHEX ne vaut pas reconnaissance de responsabilité.

11. Fin du traitement, effacement et restitution

• Restitution : le marchand qui souhaite une copie des données traitées pour son compte la demande à contact@todis.eu avant la désinstallation ; KOHEX la lui fournit dans un format lisible. À défaut de demande, le marchand choisit l'effacement.
• Désinstallation : la session de l'app, l'état de facturation et la réservation Early Bird éventuelle sont effacés aussitôt ; la licence de la boutique chez Todis est suspendue.
• Demande d'effacement de la boutique (shop/redact, que Shopify envoie 48 heures après la désinstallation) : toutes les données de la boutique sont effacées dans la requête, bien avant le délai de 30 jours, sauf ce que cite « Ce qui reste » ; l'app demande à Todis d'anonymiser la licence de la boutique (domaine et adresses de retour effacés), et renouvelle la demande jusqu'à sa confirmation.
• Ce qui reste : le droit Early Bird d'une boutique qui l'a acheté, donnée du marchand traitée par KOHEX comme responsable (article 2) ; et des identifiants techniques, sans domaine ni donnée de l'acheteur, le temps de terminer l'effacement, 32 jours au plus en fonctionnement normal.
• Copies de sauvegarde : les données effacées les quittent 30 jours au plus après l'effacement, en fonctionnement normal.

12. Documentation et audits

KOHEX met à la disposition du marchand, sur demande, la documentation nécessaire pour démontrer le respect du présent accord. Le marchand peut faire réaliser un audit par an, lui-même ou par un auditeur indépendant tenu au secret et non concurrent de KOHEX, avec un préavis de 30 jours, pendant les heures ouvrées, sans perturber le service ni accéder aux données des autres marchands, et à ses frais. Un audit supplémentaire est possible après une violation de données qui concerne le marchand ou sur demande d'une autorité de contrôle.

13. Transferts hors de l'Union européenne

Les machines virtuelles de l'app et de Todis (Scaleway, Paris) et les copies de sauvegarde chiffrées (OVH, Gravelines, et serveur de KOHEX) sont en France. Aucune donnée de l'acheteur ne quitte l'Union européenne.

Seules les alertes de supervision, qui ne portent que l'identifiant de licence de la boutique, peuvent être traitées aux États-Unis par Slack Technologies, LLC. Ce transfert est encadré par le Data Privacy Framework UE-États-Unis, auquel Slack adhère, et à défaut par les clauses contractuelles types de la Commission européenne.

Tout autre transfert hors de l'Union européenne suit la procédure de l'article 6 pour un nouveau sous-traitant ultérieur, et repose sur une garantie prévue au chapitre V du RGPD.

14. Responsabilité, durée et droit applicable

Responsabilité : entre les parties, la responsabilité au titre du présent accord suit l'article 8 des conditions d'utilisation. Cette clause n'affecte pas les droits des personnes concernées au titre de l'article 82 du RGPD.

Durée : le présent accord court de l'installation de l'app jusqu'à l'effacement des données (article 11).

Droit applicable : le présent accord est soumis au droit français. À défaut de résolution amiable, tout litige relève de la compétence des tribunaux du ressort du siège social de KOHEX (Besançon), y compris en cas de pluralité de défendeurs ou d'appel en garantie.

Langue : le texte français fait foi ; la traduction anglaise en est une traduction fidèle.