Accord de traitement des données entre le marchand et KOHEX, module Todis Age Verification pour PrestaShop

Version du 3 novembre 2026

Le présent accord constitue le contrat de sous-traitance prévu à l'article 28 du règlement (UE) 2016/679 (« RGPD »).

1. Parties et objet

Le présent accord lie le professionnel qui souscrit l'abonnement au service Todis Age Verification pour PrestaShop et installe le module « Todis Age Verification » sur sa boutique PrestaShop (le « marchand ») et KOHEX, qui édite le module et le service en ligne auquel il se relie (le « service »). Il encadre les données que KOHEX traite pour le compte du marchand, et complète les conditions générales et la politique de confidentialité.

KOHEX, société à responsabilité limitée (SARL) au capital de 1 000 €, immatriculée au RCS de Besançon sous le numéro 918 862 830, dont le siège social est situé 20 allée des Sorentines, 25870 Châtillon-le-Duc. Numéro de TVA intracommunautaire : FR16918862830. Représentée par Raphaël Citeau, en qualité de gérant.

Contact : contact@todis.eu

Publication : cet accord est publié à l'adresse https://presta-verify.todis.eu/legal/fr/accord-traitement.html. La page https://presta-verify.todis.eu/legal/en/accord-traitement.html reprend ce texte en français tant qu'aucune traduction anglaise n'est publiée. Chaque version reste lisible à une adresse propre, qui porte sa date de version.

Signataire : pour KOHEX, Raphaël Citeau, gérant.

Acceptation : le marchand accepte le présent accord, avec les conditions générales, en souscrivant l'abonnement, par la case d'acceptation de la page d'abonnement ; KOHEX garde la date et la version acceptées avec sa licence. Il l'accepte aussi en installant ou en utilisant le module. Cette acceptation électronique vaut écrit au sens de l'article 28, paragraphe 9, du RGPD.

2. Rôles

Pour les données des acheteurs de sa boutique, le marchand est responsable du traitement ; KOHEX est sous-traitant pour le service, y compris pour la vérification faite par Todis, service de KOHEX.

Pour la vérification par pièce d'identité (conditions générales, article 2 bis), le traitement des images du visage et de la pièce a lieu sur le seul appareil de l'acheteur, pour le compte du marchand, qui en est responsable du traitement. KOHEX fournit le programme qui l'exécute, ne reçoit aucune de ces données et n'en traite, comme sous-traitant, que la réponse sur l'âge.

Le module s'exécute dans la boutique du marchand, chez l'hébergeur que le marchand a choisi. Ce que le module garde dans la base de la boutique (politique de confidentialité, article 3) est traité sous la maîtrise du marchand ; KOHEX n'y a pas accès. Ni PrestaShop, ni l'hébergeur de la boutique, ni les modules de paiement du marchand ne sont des sous-traitants ultérieurs de KOHEX.

Pour les données du marchand lui-même (souscription, licence, facturation, liaison de la boutique, support), KOHEX est responsable du traitement ; ces données sont hors du champ du présent accord et sont décrites dans la politique de confidentialité, article 3 bis.

3. Nature, finalités et durée du traitement

Finalités, et elles seules :

• vérifier l'âge des acheteurs avant le paiement d'un panier qui contient un produit d'une catégorie réservée, par Todis ou, sauf si le marchand l'a désactivée, par la vérification par pièce d'identité dans le navigateur de l'acheteur ;
• contrôler, à la création de la commande, la vérification de son panier ; mettre la commande en attente si ce contrôle échoue, et lever l'attente quand une vérification réussie arrive ;
• lever le blocage du paiement, ou l'attente d'une commande, pour un acheteur accepté par le marchand après examen ;
• répondre aux demandes du marchand sur les données d'une commande ou d'un panier (article 8) ;
• facturer le marchand, sans donnée de l'acheteur ;
• surveiller le service, sans donnée de l'acheteur.

Nature : collecte, enregistrement, consultation, comparaison, conservation limitée et effacement, de façon automatisée. La vérification par pièce d'identité comporte en outre une comparaison d'images effectuée sur l'appareil de l'acheteur, dont rien n'est transmis à KOHEX (article 4).

Durée : celle de l'abonnement, puis le temps de l'effacement (article 11).

4. Personnes concernées et catégories de données

Personnes concernées : les acheteurs de la boutique qui passent par la vérification d'âge, ou dont le panier ou la commande contient un produit d'une catégorie réservée. Aucune donnée du personnel du marchand ne quitte la boutique.

Catégories de données :

• présentation du portefeuille de l'acheteur et attributs vérifiés, traités par Todis en mémoire seulement, 15 minutes au plus, jamais transmis au service ;
• images du visage et de la pièce d'identité de l'acheteur et texte lu sur la pièce, dont les dates de naissance et de validité, traités dans le seul navigateur de l'acheteur, le temps de la vérification, jamais transmis à KOHEX ni conservés ; seule la réponse sur l'âge en est issue (politique de confidentialité, article 4 bis) ;
• identifiant du panier, produits, quantités et catégories, empreinte du panier ;
• identifiant de la commande et résultat de son contrôle ;
• issue de la vérification, rendue par Todis ou par le navigateur de l'acheteur (18 ans ou plus, moins de 18 ans, ou échec), avec la méthode utilisée, rattachée à un identifiant technique de vérification ;
• liens d'autorisation du marchand (dates, identifiant du panier à l'usage) ;
• adresse IP et informations techniques du navigateur de l'acheteur, reçues le temps de la connexion et jamais enregistrées (politique de confidentialité, article 4) ;
• cookie technique de la page de vérification de Todis, 15 minutes.

Données exclues : KOHEX ne reçoit ni ne conserve aucune donnée d'identité de l'acheteur, ni nom, ni e-mail, ni téléphone, ni adresse, ni identifiant client, ni date de naissance. KOHEX ne reçoit ni ne conserve aucune catégorie particulière de données au sens de l'article 9 du RGPD : l'âge n'est connu que par « 18 ans ou plus », ou non. Les images du visage traitées sur l'appareil de l'acheteur pour la vérification par pièce d'identité sont des données biométriques au sens de cet article ; elles ne quittent pas cet appareil, et leur traitement repose sur le consentement explicite de l'acheteur (politique de confidentialité, article 4 bis).

Le détail des données, de leurs usages et de leurs durées est dans la politique de confidentialité, articles 3, 4, 4 bis, 5 et 8.

5. Instructions du marchand

KOHEX ne traite les données que sur instruction documentée du marchand. Ces instructions sont le présent accord, les conditions générales et les réglages du marchand dans le module (catégories réservées, activation de la vérification par pièce d'identité, liens d'autorisation et acceptation d'un acheteur sur une commande en attente), y compris pour ce qui concerne les transferts hors de l'Union européenne (article 13).

Si KOHEX juge une instruction contraire au RGPD ou à une autre règle de protection des données, elle en informe le marchand et ne l'exécute pas. Si le droit de l'Union ou d'un État membre impose un traitement à KOHEX, elle en informe le marchand avant le traitement, sauf si ce droit l'interdit.

6. Sous-traitants ultérieurs

Autorisation générale : le marchand autorise KOHEX à recourir aux sous-traitants ultérieurs suivants.

Les copies de sauvegarde du service n'ont pas d'autre destination. Celles de la base des licences de Todis, qui ne porte aucune donnée de l'acheteur, vont aussi sur un serveur de KOHEX en France, chiffrées ; la supervision tourne sur ce même serveur, sans donnée de l'acheteur.

Todis est un service de KOHEX, pas un sous-traitant ultérieur.

Stripe n'est pas un sous-traitant ultérieur au titre du présent accord : il ne reçoit aucune donnée de l'acheteur. C'est le prestataire de paiement de KOHEX pour les données du marchand (politique de confidentialité, article 3 bis).

Obligations imposées : KOHEX impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, notamment des garanties suffisantes de sécurité. KOHEX reste pleinement responsable envers le marchand de l'exécution de leurs obligations.

Nouveau sous-traitant ultérieur : KOHEX l'annonce au marchand 30 jours avant qu'il traite des données, par e-mail. Le marchand qui s'y oppose pour un motif raisonnable lié à la protection des données peut résilier l'abonnement avant ce délai ; KOHEX lui rembourse alors la part de la période payée qui reste à courir, au prorata.

7. Sécurité et confidentialité

Mesures en place :

• échanges chiffrés (HTTPS) entre la boutique, le service, Todis et le navigateur de l'acheteur ; requêtes entre le module et le service signées par la clé de la boutique, réponses signées par le service ; messages de Todis au service signés ;
• environnements d'essai et de production séparés ;
• machines filtrées depuis internet, administration par clé seulement ;
• secrets dans un coffre, jamais dans le code ;
• base de données du service chiffrée au repos, jeton de licence de la boutique chiffré dans cette base ; copies de sauvegarde chiffrées, avec un essai de restauration chaque mois ;
• aucune donnée de l'acheteur dans les journaux ni dans les métriques du service et de Todis ;
• minimisation : le module n'envoie au service que des identifiants techniques, des produits, des quantités et des catégories ;
• limites de nombre de vérifications par panier et par boutique ;
• vérification par pièce d'identité exécutée sur l'appareil de l'acheteur, sans transmission d'image ni de donnée de la pièce ; aucun service tiers appelé par cette page.

KOHEX peut faire évoluer ces mesures, à condition de ne pas réduire le niveau de sécurité.

Qui accède aux données. Seules les personnes autorisées par KOHEX, dans la limite de ce que leurs fonctions exigent, à commencer par Raphaël Citeau, gérant. Ces personnes sont tenues à la confidentialité par un engagement écrit ou par une obligation légale.

8. Assistance au marchand

• Demandes d'accès et d'effacement : PrestaShop ne transmet pas ces demandes au service. Le marchand qui en reçoit une d'un acheteur écrit à contact@todis.eu en citant le numéro de la commande dans PrestaShop, ou l'identifiant du panier ; KOHEX lui indique les données qu'elle détient, et les efface s'il le demande, sous 10 jours. L'effacement d'une commande emporte les données de son panier. Ce que le module garde dans la boutique est sous la maîtrise du marchand (article 2).
• Autres droits : si un acheteur s'adresse directement à KOHEX, KOHEX transmet sa demande au marchand sans y répondre elle-même.
• Recours de l'acheteur contre une décision automatisée : l'examen humain revient au marchand (politique de confidentialité, article 7).
• Analyse d'impact : KOHEX fournit au marchand qui laisse active la vérification par pièce d'identité la description du traitement nécessaire à son analyse d'impact relative à la protection des données, si elle est requise de lui.
• Sécurité, violation, analyse d'impact et consultation de l'autorité : KOHEX aide le marchand à respecter les articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont elle dispose, notamment par la documentation de l'article 12. Cette aide est sans frais dans une mesure raisonnable ; au-delà, elle peut être facturée après accord du marchand.

9. Durées de conservation

Celles du tableau de la politique de confidentialité, article 8.

Les données de la boutique suivent l'article 11.

10. Violation de données

KOHEX notifie au marchand toute violation de données du marchand, avérée ou soupçonnée, par e-mail à l'adresse donnée à la souscription, dans les 24 heures après en avoir eu connaissance. La notification contient, avec ce qui est connu à ce moment : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le point de contact pour la suite, les conséquences probables, et les mesures prises ou proposées. Les éléments sont donnés au fur et à mesure s'ils ne sont pas tous connus d'emblée. La notification d'une violation à l'autorité de contrôle et aux acheteurs reste la décision et la responsabilité du marchand, responsable du traitement.

La notification d'une violation par KOHEX ne vaut pas reconnaissance de responsabilité.

11. Fin du traitement, effacement et restitution

• Restitution : le marchand qui souhaite une copie des données traitées pour son compte la demande à contact@todis.eu avant la fin de son abonnement ; KOHEX la lui fournit dans un format lisible. À défaut de demande, le marchand choisit l'effacement.
• Désinstallation du module : les tables et les réglages du module sont effacés de la boutique (politique de confidentialité, article 3). La désinstallation prévient aussi le service, qui efface aussitôt les données de la boutique ; si le service est injoignable à ce moment, elles sont effacées à la réinstallation du module, à la fin de la licence ou à la demande du marchand. La désinstallation ne met pas fin à l'abonnement : après une réinstallation, le marchand relie de nouveau sa boutique avec son jeton de licence.
• Fin de l'abonnement : la licence est révoquée. Les données de la boutique dans le service sont effacées 30 jours après la fin de la licence ; les données d'un panier et d'une commande suivent leurs durées propres (politique de confidentialité, article 8).
• Copies de sauvegarde : les données effacées les quittent 30 jours au plus après l'effacement, en fonctionnement normal.

12. Documentation et audits

KOHEX met à la disposition du marchand, sur demande, la documentation nécessaire pour démontrer le respect du présent accord. Le marchand peut faire réaliser un audit par an, lui-même ou par un auditeur indépendant tenu au secret et non concurrent de KOHEX, avec un préavis de 30 jours, pendant les heures ouvrées, sans perturber le service ni accéder aux données des autres marchands, et à ses frais. Un audit supplémentaire est possible après une violation de données qui concerne le marchand ou sur demande d'une autorité de contrôle.

13. Transferts hors de l'Union européenne

Les machines virtuelles du service et de Todis (Scaleway, Paris) et les copies de sauvegarde chiffrées (OVH, Gravelines ; et, pour la seule base des licences de Todis, un serveur de KOHEX) sont en France. Aucune donnée de l'acheteur ne quitte l'Union européenne.

Seules les alertes de supervision, qui ne portent aucune donnée de l'acheteur, peuvent être traitées aux États-Unis par Slack Technologies, LLC. Ce transfert est encadré par le Data Privacy Framework UE-États-Unis, auquel Slack adhère, et à défaut par les clauses contractuelles types de la Commission européenne.

Tout autre transfert hors de l'Union européenne suit la procédure de l'article 6 pour un nouveau sous-traitant ultérieur, et repose sur une garantie prévue au chapitre V du RGPD.

14. Responsabilité, durée et droit applicable

Responsabilité : entre les parties, la responsabilité au titre du présent accord suit l'article 9 des conditions générales. Cette clause n'affecte pas les droits des personnes concernées au titre de l'article 82 du RGPD.

Durée : le présent accord court de la souscription jusqu'à l'effacement des données (article 11).

Droit applicable : le présent accord est soumis au droit français. À défaut de résolution amiable, tout litige relève de la compétence des tribunaux du ressort du siège social de KOHEX (Besançon), y compris en cas de pluralité de défendeurs ou d'appel en garantie.

Langue : le texte français fait foi. Tant qu'aucune traduction n'est publiée, les pages dans les autres langues reprennent ce texte en français.