Data Processing
Agreement.

1. Objet

Ce Data Processing Agreement ("DPA") régit le traitement des données personnelles que vous (le Responsable de traitement, ci-après le "Client") confiez à PrintWearAI SAS (le Sous-traitant) dans le cadre de votre utilisation de la plateforme PrintWearAI (le "Service").

2. Catégories de données traitées

• Données end-customers du Client : email, nom, adresse de livraison/facturation, contenu de leurs designs.
• Données de paiement : traitées exclusivement par Stripe Inc. (PCI-DSS Level 1). PrintWearAI ne stocke jamais de CB.
• Données comportementales : événements anonymisés du configurateur (clics, durée session) — agrégés.

3. Sous-traitants ultérieurs (sub-processors)

PrintWearAI fait appel aux sous-traitants suivants. Tous sont liés par des clauses contractuelles types (CCT) ou installés en UE.

Sous-traitant	Objet	Localisation
Stripe Inc.	Paiement	UE + USA (CCT)
OVH Cloud	Hébergement web + base	France
Recraft.ai	IA génération SVG	USA (CCT)
Brevo	Emails transactionnels	France
Atelier d'impression EU	Production physique	France / UE

Tout changement de sous-traitant fait l'objet d'une notification 30 jours à l'avance. Vous pouvez vous opposer en résiliant votre contrat.

4. Durée de conservation

• Données utilisateurs actifs : conservées tant que le compte est actif.
• Comptes annulés : suppression dans les 30 jours suivant la demande (recovery window).
• Factures et données comptables : 10 ans (obligation légale UE — Directive 2006/112/CE).
• Logs techniques : 12 mois maximum.

5. Mesures de sécurité

• Chiffrement TLS 1.3 obligatoire en transit.
• Chiffrement AES-256 au repos pour les données sensibles.
• Mots de passe stockés en bcrypt (cost 12).
• 2FA TOTP disponible sur tous les comptes Business+.
• Audit des accès admin : log conservé 1 an.
• Sauvegardes quotidiennes chiffrées avec rétention 30 jours.
• Pentest annuel par cabinet externe indépendant.

6. Droits des personnes

Vos end-customers ont les droits suivants, à exercer auprès du Client (vous) en tant que Responsable de traitement :

• Accès, rectification, effacement
• Portabilité (export JSON via /api/tenant/data-export)
• Limitation du traitement
• Opposition

PrintWearAI met à votre disposition les outils techniques nécessaires (export, suppression, etc.). En cas de demande directe d'un end-customer auprès de PrintWearAI, nous vous retransmettons la demande sous 72 h.

7. Notification de violation

En cas de violation de données (data breach), PrintWearAI s'engage à vous notifier dans les 72 heures suivant la prise de connaissance, par email à l'adresse du compte propriétaire.

8. Audit

Les clients Business et Enterprise peuvent demander un audit annuel des mesures de sécurité avec un préavis de 30 jours. Les frais d'audit sont à votre charge.

9. Signature du DPA

L'utilisation de PrintWearAI vaut acceptation du présent DPA. Pour les clients Enterprise demandant une version signée bilatérale, contactez dpo@printwearai.com.

10. DPO

Délégué à la Protection des Données : dpo@printwearai.com
Adresse postale : PrintWearAI SAS — à compléter