Annexe 1 — Accord de Traitement des Données (DPA)
Annexe autonome au contrat d'abonnement Optopus — loi n° 09-08
Version v8, en vigueur le 2026-10-23. Document autonome, annexé et incorporé par référence aux Conditions Générales (article 7) et aux Conditions de l'essai gratuit (Annexe 4, article 7) ; il s'applique pendant l'essai comme pendant l'abonnement.
Article 1 — Objet et qualification des Parties
1.1 Le présent Accord encadre le traitement, par OLS CORP SARL (« OLS »), des données à caractère personnel pour le compte du Magasin, dans le cadre de la fourniture du Service Optopus, conformément à la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à ses textes d'application, sous le contrôle de la CNDP.
1.2 Qualification.
- Le Magasin est le responsable de traitement (responsable de traitement) : il détermine les finalités et les moyens du traitement des données de ses patients et de son personnel, et demeure responsable de l'ensemble des obligations légales, y compris de ses formalités auprès de la CNDP.
- OLS est le sous-traitant (sous-traitant) : il traite les données uniquement sur les instructions documentées du Magasin, pour fournir le Service, et présente des garanties suffisantes quant aux mesures techniques et organisationnelles.
1.3 Formalité CNDP. Le traitement mis en œuvre par le Magasin relève du régime de déclaration auprès de la CNDP. Cette formalité incombe au Magasin (responsable de traitement) ; OLS lui fournit, sur demande, les informations techniques nécessaires à la constitution de son dossier (description du traitement, mesures de sécurité, liste des sous-traitants ultérieurs, durées de conservation, destinataires).
Article 2 — Instructions et périmètre
2.1 OLS traite les données uniquement pour fournir le Service et conformément aux instructions documentées du Magasin (les présentes, le contrat, et le paramétrage effectué par le Magasin). OLS informe le Magasin si une instruction lui paraît constituer une violation de la loi n° 09-08.
2.2 OLS ne traite les données pour aucune finalité propre et ne les cède ni ne les commercialise.
Article 3 — Description du traitement (annexe de traitement)
| Élément | Description |
|---|---|
| Finalités | Gestion de l'activité du magasin d'optique via la plateforme (ventes, dossiers clients, ordonnances, atelier mini-opticien, essayage, finances) et fonctions d'aide informative optionnelles. |
| Durée | La durée de l'essai gratuit puis de l'abonnement, puis restitution/suppression (article 10). |
| Nature des opérations | Collecte, enregistrement, organisation, conservation, consultation, modification, mise à disposition (au Magasin), export, suppression. |
| Catégories de personnes | Les patients/clients du Magasin et son personnel (comptes utilisateurs). |
| Catégories de données | Identité et coordonnées du patient ; ordonnances / Rx ; écart pupillaire (EP) / mesures ; données de santé visuelle et orientations cliniques ; historique d'achats ; données de comptes du personnel. |
| Données sensibles | Les données de santé visuelle sont des données sensibles au sens de la loi n° 09-08. |
| Photos d'essayage | Voir article 3.1 — capture-et-destruction momentanée ; aucune image n'est conservée. |
3.1 Photos d'essayage — minimisation par conception. La fonction d'essayage/mesure peut, à partir d'une image du visage, dériver instantanément des paramètres (par ex. l'écart pupillaire) puis détruire l'image : aucune photographie du visage n'est stockée ; seule la valeur numérique dérivée (par ex. l'EP) est conservée. Un simple nombre (EP) ne constitue ni un gabarit biométrique ni une donnée sensible, à la différence d'une image de visage conservée. Les Parties conviennent que : (i) la notice patient (Annexe 2) mentionne ce traitement momentané de capture-et-destruction (le traitement instantané reste un traitement au sens de la loi) ; (ii) OLS s'assure, côté produit, que le « non-stockage » couvre également les fichiers temporaires, journaux et espaces de dépôt (purge).
Article 4 — Confidentialité et personnel
Toute personne autorisée par OLS à traiter les données s'engage à la confidentialité. Cet engagement couvre en particulier le personnel disposant du niveau d'administration de plateforme transverse (article 12 des CGU) ; cet accès est limité aux besoins de support/exploitation/sécurité, restreint et journalisé.
Article 5 — Sécurité
OLS met en œuvre des mesures techniques et organisationnelles appropriées, notamment :
- chiffrement des échanges entre le navigateur et le Service (TLS) ;
- mots de passe conservés uniquement sous forme d'empreinte (hachage bcrypt), jamais en clair ;
- hébergement dans les centres de données de l'hébergeur situés en Allemagne (article 8.3) ;
- cloisonnement des Tenants par identifiant de magasin (isolation logique) et contrôle d'accès par rôles/permissions ;
- journalisation des accès administrateur transverses ;
- sauvegardes horaires et quotidiennes de la base de données et quotidiennes des fichiers, selon les durées de l'article 5.4 des CGU.
Article 6 — Violation de données
En cas de violation de données à caractère personnel le concernant, OLS notifie le Magasin sans délai injustifié après en avoir pris connaissance, avec les éléments utiles (nature, catégories et volume approximatif, conséquences probables, mesures prises) pour permettre au Magasin de satisfaire à ses propres obligations vis-à-vis de la CNDP et des personnes concernées. Cette notification est faite par écrit (WhatsApp ou courriel) au contact du Magasin.
Article 7 — Assistance au responsable de traitement
OLS assiste le Magasin, dans la mesure du possible et compte tenu de la nature du traitement :
- pour donner suite aux demandes d'exercice des droits des personnes (accès, rectification, opposition) — les fonctionnalités du Service permettant au Magasin de rechercher, corriger et supprimer les données concernées ;
- pour la sécurité, les notifications de violation et la constitution du dossier de déclaration CNDP (article 1.3).
Article 8 — Sous-traitance ultérieure
8.1 Autorisation. Le Magasin autorise OLS à recourir aux sous-traitants ultérieurs listés à l'article 8.3. OLS leur impose par contrat des obligations de protection équivalentes aux présentes.
8.2 Changements. OLS informe le Magasin de toute adjonction ou remplacement de sous-traitant ; le Magasin peut s'y opposer pour un motif légitime tenant à la protection des données, auquel cas les Parties recherchent une solution ; à défaut, le Magasin peut résilier (article 10 des CGU).
8.3 Liste des sous-traitants ultérieurs.
| Sous-traitant | Rôle | Localisation | Périmètre |
|---|---|---|---|
| Hetzner Online GmbH | Hébergement de l'infrastructure et des données | Allemagne (UE) | Toutes les Données du Magasin |
| DeepSeek | Fonction d'aide informative optionnelle | Hors UE | Uniquement des données anonymisées, non identifiantes — voir 8.4 |
OLS n'a recours à aucun autre sous-traitant ultérieur pour les Données du Magasin. Tout ajout (par exemple un service d'envoi de messages, de stockage de fichiers ou de paiement) suit l'article 8.2.
8.4 Aide informative et anonymisation. La fonction d'aide informative optionnelle transmet à DeepSeek uniquement des données anonymisées et non identifiantes ; à ce titre, ce traitement est hors du périmètre des données à caractère personnel et ne constitue pas un transfert de données personnelles hors frontières nécessitant une annexe de transfert dédiée. Cette fonction est optionnelle : le Magasin peut ne pas l'activer sans affecter le reste du Service.
8.5 Hébergement dans l'UE. L'hébergement des Données est localisé dans l'Union européenne (Allemagne). Le Magasin, responsable de traitement, mentionne cette localisation dans sa déclaration auprès de la CNDP ; OLS lui fournit les informations nécessaires (article 1.3).
Article 9 — Audit
Le Magasin peut demander, au plus une fois par an et moyennant un préavis raisonnable, les informations nécessaires pour démontrer le respect du présent Accord, dans des conditions préservant la sécurité et la confidentialité des autres Tenants et l'activité d'OLS.
Article 10 — Restitution et suppression
À la fin des prestations, OLS, au choix du Magasin, lui restitue ses Données (export exploitable) puis les supprime, dans les conditions et délais de l'article 11 des CGU, sauf conservation imposée par la loi (notamment la conservation comptable de dix (10) ans, article 211 CGI).