Accord de Traitement des Données (DPA)

Traduction de courtoisie. La version juridiquement opposable du présent DPA est la version anglaise publiée à gethokku.com/dpa. En cas de divergence ou d’ambiguïté entre cette version française et la version anglaise, la version anglaise prévaut.

Résumés en langage simple : en italique tout au long du document, pour la lisibilité. Sans valeur contractuelle. Seuls les paragraphes numérotés engagent les parties.

Le présent Accord de Traitement des Données (le « DPA ») fait partie intégrante des Conditions Hokku et régit la manière dont H-MOON Digital (le « Sous-traitant ») traite les données personnelles pour le compte du marchand Shopify (le « Responsable du traitement », « Marchand ») au sein de l’application Hokku.

En installant ou utilisant Hokku, le marchand accepte le présent DPA. Aucune signature séparée n’est requise.

Où se situe ce DPA. Hokku est distribuée via le Shopify App Store. Shopify agit comme un sous-traitant distinct du marchand, sous le Shopify Data Processing Addendum, qui couvre tout ce que Shopify traite directement. Le présent DPA couvre uniquement ce que H-MOON Digital traite directement au sein de l’application Hokku — une relation de traitement distincte de celle de Shopify. Les données collectées sur le site marketing gethokku.com sont couvertes séparément par la Politique de confidentialité.

1. Rôles et périmètre

En bref : votre boutique est le responsable du traitement. Hokku est le sous-traitant qui agit sur vos instructions.

1.1. Le marchand agit en qualité de Responsable du traitement pour les données personnelles concernant ses clients, prospects, personnel et activité au niveau de la boutique, y compris les données qui transitent par Hokku via la boutique et l’admin Shopify.

1.2. H-MOON Digital agit en qualité de Sous-traitant pour les données personnelles que le marchand soumet ou génère via Hokku, en les traitant uniquement sur instructions documentées du Responsable du traitement, telles que matérialisées par les Conditions Hokku, le présent DPA et l’interface utilisateur de Hokku.

1.3. Périmètre. Le présent DPA s’applique au traitement effectué par H-MOON Digital au sein de l’application Hokku et de son infrastructure de support. Il ne s’applique pas (a) au traitement effectué par Shopify sous le DPA Shopify, (b) au traitement effectué sur le site marketing gethokku.com, ou (c) au traitement effectué par le marchand en dehors de Hokku.

2. Catégories de données personnelles et personnes concernées

En bref : le minimum nécessaire pour faire fonctionner Hokku. Pas de données publicitaires. Pas de pistage au-delà de l’indispensable.

2.1. Catégories de personnes concernées.

• Les clients et prospects du marchand (utilisateurs finaux de la boutique).

• Le personnel et les collaborateurs du marchand ayant accès à l’admin Hokku.

• Le marchand lui-même, lorsqu’il est un entrepreneur individuel.

  2.2. Catégories de données personnelles traitées dans Hokku.

• Côté client (boutique du marchand) : identifiants pseudonymes (jeton de panier Shopify), références produits consultés ou ajoutés au panier, URL de la page où un widget Hokku est affiché. Aucun champ identifiant client n’est traité — ni nom, ni adresse e-mail, ni numéro de téléphone, ni adresse de facturation ou de livraison, ni identifiant client. Aucun pistage tiers, aucun identifiant publicitaire, aucun profilage comportemental.

• Côté commande (post-achat) : identifiant de commande, date de création, devise, total de la commande, total des remises, total des taxes, drapeau test et canal d’origine ; pour chaque ligne : identifiant de ligne, identifiant produit, identifiant de variante, quantité et prix ; lignes de livraison — leur prix seulement, pour détecter une livraison offerte ; codes promo appliqués et leur valeur. Utilisé pour attribuer le gain de chiffre d’affaires à des offres Hokku spécifiques (analyses avancées — plan Starter et au-delà) et pour compter le nombre de commandes du mois qui détermine le palier d’abonnement. Ni transporteur, ni adresse de livraison, ni délai de livraison ne sont lus.

• Côté marchand (admin) : URL de la boutique Shopify, email du propriétaire de la boutique, identifiants utilisateurs admin Hokku, adresse IP et user agent pour les journaux de sécurité.

  2.3. Catégories de données explicitement NON traitées.

• Noms, adresses e-mail, numéros de téléphone, adresses de facturation et de livraison des clients — jamais ; les requêtes de Hokku vers l’API Admin de Shopify ne sélectionnent pas l’objet client, et les webhooks de commande sont analysés sans lire aucun champ identifiant client.

• Données de carte bancaire — jamais (Shopify Billing gère tout le traitement des paiements pour les frais d’abonnement Hokku).

• Mots de passe ou identifiants clients — jamais.

• Données de santé, données biométriques, données religieuses, politiques ou d’orientation sexuelle — jamais ; si de telles données sont soumises par inadvertance par un marchand via des champs personnalisés Hokku, le marchand en est seul responsable.

  2.4. Mesure d’audience sur la boutique du marchand.

Hokku enregistre un identifiant technique dans le navigateur des visiteurs du marchand, afin de compter les affichages et les clics sur les offres sans compter deux fois le même visiteur, et de rattacher une vente à l’offre qui l’a déclenchée. Cet identifiant est propre à la boutique du marchand, ne contient aucune donnée personnelle (ni nom, ni adresse e-mail, ni adresse IP) et est renouvelé au bout de treize (13) mois.

Sur les lignes brutes de vues et de clics, l’identifiant de visiteur est effacé au bout de vingt-quatre (24) heures par un traitement quotidien — son utilité applicative dure trente minutes.

Ce qui est conservé sur les lignes de conversion est l’identifiant de commande, par nécessité : c’est par lui que H-MOON Digital honore une demande customers/redact. On ne peut pas anonymiser ce qui doit rester supprimable sur demande.

3. Finalités du traitement et base légale

En bref : nous traitons les données uniquement pour faire fonctionner Hokku, vous soutenir et améliorer le service. Votre base RGPD est « exécution du contrat ».

3.1. Finalités. H-MOON Digital traite les données personnelles dans Hokku exclusivement pour :

• (a) afficher les offres Hokku (offres groupées, recommandations à la hausse, recommandations croisées, etc.) sur la boutique et l’admin du marchand ;

• (b) attribuer le gain de chiffre d’affaires aux offres Hokku pour le tableau de bord du marchand ;

• (c) compter le nombre de commandes du mois du marchand, qui détermine le palier d’abonnement Hokku applicable ;

• (d) fournir un support client au marchand sur demande ;

• (e) maintenir la sécurité et l’intégrité du Service (limitation de débit, détection d’abus, journalisation d’audit) ;

• (f) améliorer le Service (statistiques agrégées non identifiantes, tests A/B des changements d’interface) ;

• (g) respecter les obligations légales (facturation fiscale via Shopify, réponses aux webhooks RGPD, décisions de justice).

  3.2. Base légale. Le Responsable du traitement est chargé d’établir une base légale au titre de l’article 6 du RGPD pour le traitement sous-jacent des données de ses clients. H-MOON Digital, en tant que Sous-traitant, traite les données sur instructions documentées du Responsable, principalement sur la base de « l’exécution du contrat » (article 6.1.b) entre le Responsable et H-MOON Digital, et de « l’intérêt légitime » (article 6.1.f) pour la journalisation de sécurité.

4. Sous-traitants ultérieurs

En bref : une liste courte de prestataires européens en priorité. 30 jours de préavis avant tout ajout.

4.1. Sous-traitants autorisés au 27 juin 2026.

4.2. La liste à jour des sous-traitants est également publiée sur gethokku.com/fr/sous-traitants.

4.3. Notification d’ajout de sous-traitant. H-MOON Digital notifie les marchands par email et via une mise à jour de /fr/sous-traitants au moins trente (30) jours avant l’ajout d’un nouveau sous-traitant qui affecte de manière substantielle le traitement de données personnelles. Le marchand peut s’opposer par écrit dans ce délai de 30 jours. Si H-MOON Digital et le marchand ne trouvent pas d’alternative, le recours exclusif du marchand est de résilier l’abonnement Hokku avant que le nouveau sous-traitant ne commence à traiter.

4.4. Obligations des sous-traitants. Chaque sous-traitant est tenu par des obligations de protection des données au moins équivalentes à celles du présent DPA.

4.5. Assistant IA. Lorsque le marchand active Hokku Assistant — un chat de support IA optionnel intégré à l’application (voir Conditions § 14) —, le contenu des conversations (les messages du marchand et les réponses générées) est traité par Anthropic uniquement pour produire des réponses. Ce contenu est conservé trente (30) jours, puis supprimé. Le marchand est invité à ne pas transmettre de données sensibles à l’Assistant.

5. Transferts internationaux

En bref : nous privilégions l’infrastructure UE. Quand les données quittent l’UE, c’est couvert par des mécanismes juridiques standards reconnus par l’UE.

5.1. Les données personnelles traitées par H-MOON Digital sont stockées principalement dans l’Union européenne (Supabase Frankfurt pour les données applicatives ; Sentry EU pour la supervision d’erreurs).

5.2. Lorsqu’un transfert hors de l’Espace économique européen (EEE) est nécessaire (Vercel, société de droit américain — son accès aux données constitue un transfert bien que l’admin Hokku tourne sur du calcul situé dans l’UE, à Frankfurt ; Resend multi-région pour la livraison d’emails, Anthropic US pour l’assistant IA optionnel), H-MOON Digital s’appuie sur :

• (a) le EU-US Data Privacy Framework (décision (UE) 2023/1795) pour les transferts vers des destinataires US certifiés (Vercel) ;

• (b) les Clauses Contractuelles Types 2021 (décision (UE) 2021/914) lorsque le Data Privacy Framework ne s’applique pas (Resend, Anthropic).

  5.3. Le marchand accepte que H-MOON Digital signe des Clauses Contractuelles Types avec ses sous-traitants pour le compte du marchand dans la mesure nécessaire à l’exécution du Service.

6. Webhooks RGPD imposés par Shopify

En bref : quand un client ou une boutique demande à Shopify de supprimer ses données, Shopify nous transmet la demande. Nous l’exécutons immédiatement, sans attendre le délai qui nous est accordé.

6.1. Conformément aux obligations Shopify en matière de webhooks RGPD, H-MOON Digital met en œuvre les trois webhooks RGPD obligatoires et les traite selon le calendrier suivant :

6.2. Les réceptions de webhooks sont journalisées à des fins d’audit. Le marchand peut demander un enregistrement des actions webhook affectant sa boutique par email à hello@gethokku.com.

7. Mesures de sécurité

En bref : chiffrement, contrôle d’accès, journaux d’audit. Standards, faits sérieusement.

7.1. H-MOON Digital met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

• Chiffrement en transit — TLS 1.3 pour tout le trafic Hokku.

• Chiffrement au repos — AES-256 sur la base Supabase Frankfurt et toutes les copies de sauvegarde.

• Contrôle d’accès — accès au moindre privilège aux données de production, restreint au personnel et aux prestataires de H-MOON Digital liés par la confidentialité, avec authentification multifactorielle obligatoire.

• Journalisation d’audit — toutes les actions administratives sur les données de production sont journalisées avec acteur, horodatage et cible, conservées douze (12) mois.

• Gestion des vulnérabilités — analyse automatisée des dépendances (OSV-Scanner) et application des correctifs de sécurité dans des délais raisonnables après divulgation.

• Isolation réseau — les systèmes de production sont isolés des environnements de développement et de pré-production.

  7.2. La liste des mesures techniques et organisationnelles peut évoluer ; la version courante est reflétée dans le présent DPA, alignée sur les standards de l’industrie.

8. Notification de violation de données personnelles

En bref : si quelque chose tourne mal avec vos données, nous vous prévenons sous 24 heures.

8.1. H-MOON Digital notifie le marchand affecté par email dans les vingt-quatre (24) heures suivant la prise de connaissance d’une violation de données personnelles affectant les données du marchand, avec les informations requises par l’article 33.3 du RGPD (nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou proposées).

8.2. Cet engagement de notification à 24 heures dépasse le minimum de 72 heures imposé par l’article 33 du RGPD et s’aligne sur l’obligation du Shopify Partner Program Agreement § 9.14.2(vi).

8.3. Le marchand reste seul responsable de toute notification due aux personnes concernées ou aux autorités de contrôle au titre des articles 33 et 34 du RGPD ; H-MOON Digital apporte une coopération raisonnable, à la demande du marchand et à ses frais raisonnables.

9. Assistance pour les droits des personnes concernées

En bref : quand vos clients exercent leurs droits RGPD, nous vous aidons à y répondre.

9.1. H-MOON Digital, compte tenu de la nature du traitement, aide le marchand par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées prévus aux articles 12 à 23 du RGPD (accès, rectification, effacement, limitation, portabilité, opposition, décision automatisée).

9.2. Les demandes reçues directement par H-MOON Digital concernant les personnes concernées du marchand sont transmises au marchand sans retard injustifié.

10. Droit d’audit

En bref : vous pouvez nous interroger sur notre sécurité et nos pratiques. Nous répondons de bonne foi.

10.1. H-MOON Digital, sur demande écrite raisonnable du marchand et au plus une fois par période de douze mois (sauf en cas d’incident documenté), met à disposition du marchand toutes les informations nécessaires pour démontrer la conformité au présent DPA, y compris un résumé écrit de ses mesures de sécurité, la liste des sous-traitants et la position concernant les CCT et le EU-US DPF.

10.2. Pour les marchands ayant une préoccupation spécifique et documentée, H-MOON Digital répond à un questionnaire d’audit documenté dans les trente (30) jours. Les audits sur site ne sont pas proposés pour les offres self-service ; pour les engagements entreprise, des modalités d’audit peuvent être convenues séparément par écrit.

11. Restitution et suppression des données à la résiliation

En bref : vos données vivent tant que vous utilisez Hokku — sauf vos échanges avec le support et avec Hokku Assistant, qui s’effacent d’eux-mêmes, sans attendre une désinstallation. À la désinstallation, nous effaçons immédiatement tout ce qui identifie une personne, et nous conservons vos offres et vos statistiques 60 jours au cas où vous reviendriez — puis nous les supprimons aussi.

11.1. Tant que l’application est installée. H-MOON Digital conserve les Données du marchand aussi longtemps que le marchand utilise Hokku, parce que ses propres statistiques — y compris les chiffres depuis le début — en sont issues.

Les échanges avec notre support et avec Hokku Assistant ont leur propre durée, même pendant que l’application est installée : H-MOON Digital supprime chaque ticket de support douze (12) mois après son envoi et efface l’adresse e-mail de réponse qu’il contient au bout de quatre-vingt-dix (90) jours ; la même règle de quatre-vingt-dix (90) jours s’applique aux messages reçus à l’adresse support@gethokku.com. Les conversations avec Hokku Assistant sont supprimées au bout de trente (30) jours. Le marchand peut par ailleurs demander à tout moment, depuis Paramètres, la suppression immédiate de ses données : elle emporte ses tickets de support et ses conversations avec Hokku Assistant.

11.2. Après la désinstallation — ce qui est effacé immédiatement. Shopify notifie H-MOON Digital via le webhook shop/redact 48 heures après la désinstallation. À réception, H-MOON Digital efface des systèmes Hokku actifs les données qui identifient une personne — jetons d’accès, tickets de support et conversations de Hokku Assistant — et anonymise les identifiants de commande conservés dans les enregistrements statistiques, sans délai supplémentaire. Aucune donnée personnelle d’acheteur n’est conservée au-delà de ce point.

11.3. Après la désinstallation — ce qui est conservé, et combien de temps. La configuration propre du marchand (offres et réglages) et ses statistiques agrégées sont conservées dans les systèmes actifs pendant soixante (60) jours à compter de la désinstallation, afin que le marchand qui réinstalle dans ce délai retrouve son travail. La diffusion des offres s’arrête dans tous les cas à la désinstallation. À l’échéance, une purge automatique supprime définitivement ces données ; la même purge s’applique si le webhook shop/redact n’est jamais délivré.

11.4. Sauvegardes. Les sauvegardes chiffrées de notre hébergeur sont purgées conformément aux cycles de sauvegarde rotatifs, la purge complète étant achevée dans les trente (30) jours supplémentaires ; les données supprimées au titre des §11.2 ou §11.3 en disparaissent au même terme.

11.5. Sur demande écrite, à tout moment tant que l’application est installée, H-MOON Digital fournit un export structuré des Données du marchand dans un format couramment utilisé et lisible par machine. L’accès du marchand cessant à la désinstallation et les données conservées étant supprimées soixante (60) jours plus tard, le marchand doit demander tout export avant de désinstaller.

11.6. H-MOON Digital ne peut conserver de données après la résiliation que dans la mesure requise par la loi applicable (comptabilité, obligations fiscales), auquel cas la conservation est limitée à la durée légale minimale et les données sont séparées du traitement actif.

12. Durée et survie

En bref : ce DPA s’applique tant que dure votre abonnement Hokku. Les obligations sur les données survivent ensuite.

12.1. Le présent DPA entre en vigueur à la première installation de Hokku et reste en vigueur tant que H-MOON Digital traite des données personnelles pour le compte du marchand.

12.2. Les sections 5 (Transferts), 7 (Sécurité), 8 (Notification de violation), 10 (Audit), 11 (Restitution et suppression) et 13 (Dispositions diverses) survivent à la résiliation dans la mesure nécessaire à l’exécution des obligations de suppression et de coopération.

13. Dispositions diverses

13.1. Droit applicable et juridiction. Le présent DPA est régi par le même droit et soumis à la même juridiction que les Conditions (droit français, compétence exclusive des tribunaux de Paris — voir Conditions § 12).

13.2. Ordre de priorité. En cas de conflit entre le présent DPA et les Conditions concernant le traitement des données personnelles, le présent DPA prévaut.

13.3. Traductions. Le présent DPA est publié en anglais (version canonique) avec des traductions de courtoisie dans d’autres langues. En cas de divergence substantive entre la version anglaise et une traduction, la version anglaise disponible sur gethokku.com/dpa prévaut. Exception — lorsqu’une traduction comprend des clauses ou des précisions requises par le droit impératif local de la juridiction de cette traduction (par exemple, références aux autorités locales de protection des données ou formats de notification formelle), ces stipulations imposées localement s’appliquent dans cette juridiction et ne constituent pas une « divergence » au sens de la présente clause. Les langues disponibles sont listées au pied du présent document.

13.4. Modifications. Les modifications substantielles du présent DPA sont notifiées aux marchands dans les mêmes conditions que les modifications des Conditions (voir Conditions § 11).

13.5. Contact. Questions de protection des données, oppositions à un sous-traitant, demandes de personnes concernées, demandes d’audit et signalements de violation : hello@gethokku.com. L’objet [DPA] est apprécié pour le routage.

Dernière mise à jour : 5 août 2026.