Transferts ultérieurs de données personnelles

Afin de vous fournir nos services efficacement, les données personnelles que vous fournissez à l’entité Shopify avec laquelle vous contractez sont transférées aux destinataires suivants :

• certaines autres entités Shopify, et
• des sous-traitants ultérieurs soigneusement sélectionnés et fiables

Cette section fournit des informations sur la manière dont les transferts ultérieurs sont régis.

Transferts ultérieurs de données personnelles depuis l’Espace économique européen (EEE) et le Royaume-Uni (RU)

Shopify International Limited, une entité enregistrée en Irlande, est la principale entité contractante de Shopify auprès des marchands de la zone EMEA (Europe, Moyen-Orient et Afrique) et LATAM (Amérique latine). International Limited est également l’établissement principal de Shopify aux fins du Règlement général sur la protection des données (RGPD).

Le RGPD, et son équivalent britannique, exige que lorsque des données personnelles sont partagées avec une entité en dehors de l’EEE et du Royaume-Uni, il doit exister un niveau de protection essentiellement équivalent dans le pays de destination. Pour cette raison, ces transferts internationaux doivent être protégés par des mécanismes juridiques solides.

Comment Shopify répond aux exigences du RGPD en matière de transferts de données internationaux

Pour répondre à cette exigence, Shopify s’appuie sur la décision d’adéquation de la Commission européenne pour le Canada lorsque Shopify International Limited transfère des données personnelles à sa société mère enregistrée au Canada, Shopify Inc. En savoir plus sur les décisions d’adéquation.

En outre, Shopify utilise également des accords complets de transfert et de traitement des données (DPA) qui intègrent la dernière version des clauses contractuelles types (CCT) approuvées par la Commission européenne pour régir :

• les transferts au sein du groupe Shopify, et
• les transferts ultérieurs vers nos sous-traitants ultérieurs

Nous évaluons soigneusement nos sous-traitants ultérieurs pour nous assurer qu’ils disposent des mesures techniques et organisationnelles appropriées pour protéger les données personnelles et qu’ils effectuent les évaluations d’impact des transferts appropriées. En savoir plus sur les CCT

La décision d’adéquation et les CCT sont toutes deux considérées comme des mécanismes de transfert juridiquement valides et suffisants par les autorités de protection des données de l’EEE et du Royaume-Uni.

À titre de mesure supplémentaire, Shopify a également demandé des règles d’entreprise contraignantes (BCR) pour régir davantage les transferts au sein du groupe Shopify. Cette demande a été adressée à l’autorité de contrôle principale de Shopify aux fins du RGPD, la Commission irlandaise de protection des données. Celles-ci constitueront un mécanisme de transfert juridique supplémentaire pour sécuriser les transferts au sein de notre groupe d’entreprises. Nous en sommes aux dernières étapes de cette demande et prévoyons qu’elle sera bientôt approuvée.

Transferts ultérieurs de données personnelles depuis toutes les autres régions

Certaines lois sur la confidentialité dans des juridictions autres que l’EEE et le Royaume-Uni exigent également des protections spécifiques en matière de transferts internationaux de données personnelles. Pour répondre à ces exigences, les DPA de Shopify qui régissent les transferts au sein du groupe Shopify, ainsi que ses DPA régissant les transferts ultérieurs vers nos sous-traitants ultérieurs, comprennent des protections appropriées pour garantir la conformité avec les lois sur la confidentialité au Canada, aux États-Unis (É.-U.) et à Singapour, le cas échéant. Nous mettons également à jour et gérons ces DPA si nécessaire.

Emplacements d’hébergement des données

Shopify rééquilibre dynamiquement le stockage entre plusieurs régions de Google Cloud Platform pour garantir une infrastructure fiable et évolutive, capable de gérer des volumes imprévisibles sur l’ensemble de notre base de données de marchands. Nous devons être en mesure de déplacer les données géographiquement afin d’exploiter nos services, et nous avons mis en place des mécanismes pour le faire conformément aux lois et réglementations applicables, y compris le RGPD.

Shopify stocke désormais certaines données personnelles des marchands et des clients en Europe (à savoir dans l’EEE, au Royaume-Uni et/ou en Suisse), comme suit :

• Les nouveaux marchands en Europe bénéficient automatiquement de cette nouvelle infrastructure et leurs données de boutique, données de commande et données personnelles de clients sont désormais stockées au repos en Europe par défaut.
• Toutes les fonctionnalités Shopify existantes continueront de fonctionner.
• Même lorsque les données personnelles des clients des marchands sont stockées en Europe, nous aurons recours à des transferts de données internationaux pour le traitement de ces données personnelles.

Comment Shopify choisit ses sous-traitants ultérieurs

Conformément au RGPD et aux autres lois applicables en matière de protection des données, Shopify adopte une série de mesures exemplaires lorsqu’elle fait appel à des sous-traitants ultérieurs :

• Nous choisissons avec soin les entreprises avec lesquelles nous travaillons.
• Nous n’utilisons qu’un nombre limité de fournisseurs de services tiers.
• Nous exigeons que les sous-traitants ultérieurs signent un DPA complet, intégrant les CCT ainsi que les protections appropriées pour garantir la conformité avec les lois sur la confidentialité au Canada, aux États-Unis et à Singapour.
• Nous limitons l’utilisation de nos sous-traitants ultérieurs à des services techniques : hébergement cloud, journalisation des erreurs, équilibrage de charge, livraison de contenu, livraison de cartographie, analyse de données et journalisation interne (fichiers journaux).
• Le transfert s’effectue de manière continue et sécurisée.
• Aucune catégorie de données personnelles sensibles ou spéciales n’est traitée intentionnellement, sauf sur instruction du responsable du traitement des données.
• Nous examinons attentivement les programmes de confidentialité et de sécurité de nos sous-traitants ultérieurs.

En savoir plus sur les principaux sous-traitants ultérieurs de Shopify.