Avenant relatif au traitement des données

• Fabrixa B.V. · Markerkant 13 10, 1314 AN Almere, Pays-Bas · KvK 74188445 · Version 1.0, en vigueur à compter du 22 octobre 2026

1. Champ d'application et parties concernées

1.1 Le présent avenant relatif au traitement des données (ci-après dénommé “ DPA ”) fait partie intégrante des Conditions générales d'utilisation de Fabrixa (ci-après dénommées les “ Conditions ”) conclues entre Fabrixa B.V. (ci-après dénommée “ Fabrixa ”) et le client professionnel titulaire d'un compte Fabrixa (ci-après dénommé le “ Client ”). Il s’applique chaque fois que Fabrixa traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture des Services.

1.2 En ce qui concerne les données des clients finaux (noms des destinataires, adresses de livraison, coordonnées et toute donnée à caractère personnel figurant dans les maquettes ou les remarques relatives à la commande), le Client est le responsable du traitement, ou un sous-traitant agissant pour le compte de ses propres clients, et Fabrixa est le sous-traitant ou le sous-traitant secondaire. Lorsque le Client agit lui-même en tant que sous-traitant, il garantit que son responsable du traitement a autorisé le recours à Fabrixa ainsi que les conditions du présent accord de traitement des données (DPA).

1.3 En ce qui concerne les données relatives au compte, à la facturation, à l'assistance et à l'utilisation du Client, Fabrixa agit en tant que responsable du traitement indépendant ; ce traitement est décrit dans la Politique de confidentialité, et non dans le présent accord sur le traitement des données (DPA).

1.4 Acceptation. Le présent accord sur le traitement des données (DPA) est accepté par voie électronique dès l'acceptation des Conditions générales. Sur simple demande, Fabrixa fournit une copie contresignée à des fins d'archivage par le Client ; la copie signée présente le même contenu et ne modifie pas la date d'entrée en vigueur.

2. Informations relatives au traitement

2.1 L'objet, la durée, la nature, la finalité, les catégories de données et les personnes concernées sont précisés à l'annexe 1. Le traitement dure aussi longtemps que le Client utilise les Services, majoré du délai de suppression prévu à la clause 10.

3. Instructions du client

3.1 Fabrixa traite les données à caractère personnel uniquement sur la base des instructions documentées du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf si la législation de l’Union européenne ou d’un État membre l’y oblige ; dans ce cas, Fabrixa informe le Client de cette obligation légale avant le traitement, à moins que la loi ne l’interdise pour des motifs importants d’intérêt public.

3.2 Les instructions du Client comprennent : les Conditions générales, le présent Accord sur le traitement des données (DPA), les ordres, les paramètres et les demandes adressées à l'API que le Client soumet via la plateforme, ainsi que les instructions écrites envoyées au service d'assistance de Fabrixa. Fabrixa peut facturer les instructions qui sortent du cadre des Services.

3.3 Fabrixa informe sans délai le Client si, selon elle, une instruction enfreint le RGPD ou toute autre législation applicable en matière de protection des données. Fabrixa peut suspendre l'exécution de l'instruction jusqu'à ce que le Client la confirme ou la modifie.

3.4 Le client est responsable de la licéité des données à caractère personnel qu’il fournit, des informations qu’il communique aux clients finaux, ainsi que de ne pas transmettre de catégories particulières de données (article 9 du RGPD) ni de données relatives à des enfants dans les illustrations ou les remarques relatives à la commande.

4. Confidentialité

4.1 Fabrixa veille à ce que toute personne qu'elle autorise à traiter des données à caractère personnel — qu'il s'agisse de membres du personnel, de prestataires ou du partenaire technique — soit soumise à une obligation de confidentialité contractuelle ou légale et ne traite ces données que dans la mesure nécessaire à l'accomplissement de ses missions.

5. Sécurité

5.1 Fabrixa met en œuvre et assure le maintien des mesures techniques et organisationnelles prévues à l’annexe 2, en tenant compte de l’état de la technique, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées (article 32 du RGPD). Fabrixa peut mettre à jour l’annexe 2 à condition que le niveau global de protection ne soit pas réduit.

6. Sous-traitants secondaires

6.1 Autorisation générale. Le client accorde à Fabrixa une autorisation générale écrite lui permettant de faire appel à des sous-traitants pour le traitement décrit à l'annexe 1.

6.2 Liste actuelle. La liste des sous-traitants engagés à la date d'entrée en vigueur est disponible à l'adresse https://www.fabrixa.com/sub-processors/ (l'annexe 3 renvoie à cette liste). Cette liste précise, pour chaque sous-traitant, le service concerné, le lieu du traitement et le mécanisme de transfert.

6.3 Notification des modifications. Fabrixa publie sur cette page toute intention d'ajouter ou de remplacer un sous-traitant et envoie un e-mail au titulaire du compte au moins 30 jours avant que le nouveau sous-traitant ne commence à traiter les données des clients. Les modifications apportées afin de protéger les Services contre un risque de sécurité imminent peuvent prendre effet immédiatement, une notification étant envoyée dès que possible par la suite.

6.4 Droit d'opposition. Le client peut faire valoir son opposition par écrit à l'adresse privacy@fabrixa.com dans un délai de 30 jours à compter de la notification, en invoquant des motifs raisonnables et étayés par des preuves en matière de protection des données. Les parties examinent cette opposition de bonne foi. Si Fabrixa n'est pas en mesure de proposer une alternative raisonnable dans un délai de 30 jours, le Client peut résilier les Services concernés, sans pénalité, par notification écrite ; les soldes prépayés du portefeuille sont remboursés au prorata.

6.5 Répercussion. Fabrixa impose à chaque sous-traitant, par contrat écrit, des obligations en matière de protection des données garantissant au moins le niveau de protection prévu par le présent accord de traitement des données, et reste entièrement responsable vis-à-vis du Client de l'exécution des obligations par le sous-traitant.

6.6 Les partenaires de production et de logistique sont sélectionnés pour chaque commande et répertoriés par catégorie et par pays. Sur demande, et sous réserve d'un engagement de confidentialité, Fabrixa communique au client le nom du partenaire qui a traité une commande spécifique.

7. Assistance à la clientèle

7.1 Demandes des personnes concernées. Fabrixa transmet au Client toute demande reçue d’un Client final dans un délai de 5 jours ouvrés et n’y répond pas directement, sauf instruction contraire du Client. Fabrixa aide le Client à mettre en place les mesures techniques et organisationnelles appropriées pour répondre aux demandes relevant du chapitre III du RGPD.

7.2 Fabrixa assiste le Client, en tenant compte de la nature du traitement et des informations dont dispose Fabrixa, dans le respect des obligations qui incombent au Client en vertu des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact relatives à la protection des données et consultation préalable).

8. Violation de données à caractère personnel

8.1 Fabrixa informe le Client sans retard injustifié, et en tout état de cause dans les 48 heures suivant la prise de connaissance d’une violation de données à caractère personnel affectant les données du Client. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, ainsi qu’un point de contact. Les informations peuvent être fournies par étapes.

8.2 Fabrixa n'informe ni les clients finaux ni les autorités de contrôle pour le compte du client, sauf si celui-ci lui en donne l'instruction ou si la loi l'y oblige.

9. Transferts internationaux

9.1 Fabrixa traite les données des clients au sein de l'Espace économique européen. Les transferts vers un pays tiers n’ont lieu que dans le respect des garanties prévues au chapitre V du RGPD : une décision d’adéquation ou les clauses contractuelles types (décision (UE) 2021/914 de la Commission), assorties de mesures supplémentaires si nécessaire. Le mécanisme de transfert pour chaque sous-traitant est indiqué dans la liste des sous-traitants.

10. Suppression et restitution

10.1 À la fin de la prestation des Services, ou sur demande écrite du Client, Fabrixa supprime les données du Client dans un délai de 30 jours, sauf si la législation de l’UE ou d’un État membre impose une conservation plus longue. Les factures et les registres de commandes nécessaires à des fins fiscales sont conservés pendant 7 ans conformément à la législation néerlandaise ; les dossiers relatifs aux litiges et aux réclamations sont conservés pendant le délai de prescription applicable. Les données soumises à une obligation légale de conservation restent bloquées pour toute autre utilisation.

10.2 Avant la suppression, le client peut exporter les données relatives à ses commandes via la plateforme et API. Fabrixa apporte une assistance raisonnable pour d'autres formats d'exportation, selon ses tarifs habituels.

11. Audits et informations

11.1 Fabrixa met à la disposition du Client toutes les informations nécessaires pour démontrer la conformité à l'article 28 du RGPD : le présent accord de traitement des données, la liste des sous-traitants, l'annexe 2, ainsi que, sur demande, un questionnaire de sécurité dûment rempli et les rapports ou certifications les plus récents émanant de tiers concernant ses hébergeurs.

11.2 Lorsque ces informations s’avèrent raisonnablement insuffisantes, le Client ou un auditeur indépendant soumis à une obligation de confidentialité peut procéder à un audit des activités de traitement concernées de Fabrixa une fois tous les 12 mois, moyennant un préavis écrit de 30 jours, pendant les heures d’ouverture, sans perturber les opérations, aux frais du Client. Les audits exigés par une autorité de contrôle, ou à la suite d’une violation de données à caractère personnel, ne sont pas soumis à une limitation de fréquence. Les audits ne s’étendent pas aux données d’autres clients ni aux locaux des partenaires de production ; pour ces derniers, Fabrixa s’appuie sur des garanties contractuelles et sur ses propres contrôles des fournisseurs.

12. Généralités

12.1 La responsabilité au titre du présent accord de traitement des données (DPA) est régie par la clause 13 des Conditions générales.

12.2 En cas de conflit entre le présent accord sur le traitement des données (DPA) et les Conditions générales concernant une question relative à la protection des données, le présent DPA prévaut. Lorsque les clauses contractuelles types s'appliquent à un transfert, elles prévalent sur le présent DPA.

12.3 Fabrixa se réserve le droit de mettre à jour le présent accord sur le traitement des données (DPA) afin de refléter les modifications apportées à la législation ou aux Services ; les modifications substantielles sont annoncées de la même manière que les changements concernant les sous-traitants (clause 6.3). La poursuite de l'utilisation des Services après la date d'entrée en vigueur vaut acceptation.

12.4 Le présent accord de traitement des données est conclu en anglais. Les traductions figurant sur le site web sont fournies à titre indicatif ; la version anglaise prévaut. Le droit applicable et les tribunaux compétents sont régis par la clause 16 des Conditions générales (Pays-Bas ; Amsterdam).

12.5 Contact pour la présente déclaration de protection des données, les notifications et les questions relatives à la protection des données : privacy@fabrixa.com.

Annexe 1 — Informations détaillées sur le traitement

Annexe 2 — Mesures techniques et organisationnelles

Annexe 3 — Sous-traitants secondaires

La liste actuelle est disponible à l'adresse https://www.fabrixa.com/sub-processors/ et fait partie intégrante de la présente DPA telle qu'elle se présente à la date d'entrée en vigueur ; les modifications ultérieures sont régies par la clause 6.