1. Objet

Les présentes conditions générales de vente et d'utilisation (« CGV ») régissent l'accès et l'utilisation du service Fastoche, une solution logicielle en mode SaaS (Software as a Service) de gestion des retours e-commerce, éditée par FASTOCHE (voir mentions légales). Toute souscription à un abonnement Fastoche implique l'acceptation pleine et entière des présentes CGV.

2. Abonnement et facturation

Fastoche est proposé sous forme d'abonnement mensuel à paliers, chaque formule incluant un volume de retours traités par mois. Au-delà de ce volume inclus, chaque produit retourné supplémentaire est facturé au tarif unitaire public indiqué sur la page Tarifs, qui prévaut sur toute mention antérieure. Les tarifs sont exprimés hors taxes (HT) et majorés de la TVA en vigueur. La facturation est mensuelle, à terme échu ou à échoir selon la formule, par prélèvement automatique ou carte bancaire.

3. Durée et résiliation

L'abonnement est conclu sans engagement de durée minimale, sauf mention contraire expresse acceptée par le client (notamment pour les formules sur-mesure). Il se renouvelle tacitement chaque mois. Chaque partie peut résilier l'abonnement à tout moment, avec un préavis de trente (30) jours, par email à hello@fastoche.co ou depuis l'espace client. La résiliation prend effet à la fin de la période de facturation en cours ; aucun remboursement au prorata n'est dû sauf disposition légale contraire.

4. Obligations du client

Le client est responsable de l'exactitude des informations renseignées lors de la configuration du service (politiques de retour, tarifs, conditions d'éligibilité) et de leur conformité à la réglementation applicable à son activité, notamment en matière de droit de la consommation et de rétractation.

5. Responsabilité

Fastoche met en œuvre les moyens raisonnables pour assurer la disponibilité et la fiabilité du service, sans garantie d'absence totale d'interruption. La responsabilité de l'éditeur, tous préjudices confondus, ne saurait excéder le montant total versé par le client au titre de l'abonnement au cours des douze (12) derniers mois précédant le fait générateur.

6. Données personnelles

Le traitement des données personnelles collectées dans le cadre de l'utilisation du service est décrit dans notre politique de confidentialité. Lorsque le client confie à Fastoche des données personnelles de ses propres clients, l’article 7 ci-dessous tient lieu d’accord de traitement des données.

7. Accord de traitement des données (DPA)

Le présent article constitue l’accord de traitement des données conclu entre le client et FASTOCHE au sens de l’article 28 du Règlement (UE) 2016/679 (RGPD). Il prévaut sur toute autre stipulation des CGV pour ce qui concerne le traitement des données personnelles confiées par le client.

7.1 Rôles des parties

Le client (le marchand) est le responsable du traitement des données personnelles de ses clients finaux et de son personnel qu’il confie au service. FASTOCHE agit en qualité de sous-traitant et ne traite ces données que pour le compte du client et sur ses instructions. FASTOCHE demeure responsable de traitement pour les données de son propre compte client (identité, facturation, journaux de connexion), décrites dans la politique de confidentialité.

7.2 Objet, durée, nature et finalité du traitement

• Objet : fourniture du service de gestion des retours, échanges et remboursements décrit à l’article 1.
• Durée : la durée de l’abonnement, prolongée du délai de restitution et de suppression prévu à l’article 7.9.
• Nature : collecte via l’API de la plateforme e-commerce du client, enregistrement, consultation, transmission aux destinataires désignés par le client (transporteurs, logisticiens, service client), envoi de notifications aux clients finaux, anonymisation et suppression.
• Finalité : traiter les demandes de retour, d’échange et de remboursement des clients finaux du client, et permettre au client de suivre et justifier cette activité.
• Personnes concernées : clients finaux du client ayant passé une commande ; membres du personnel du client utilisant le service.
• Catégories de données : identité et coordonnées (nom, prénom, e-mail, téléphone, adresses), données de commande (articles, montants, transactions), données de retour (articles, motifs, résolution, transport, état à réception), identifiants techniques de la boutique. Aucune donnée dite sensible (article 9 du RGPD) n’est requise par le service.

7.3 Instructions documentées

FASTOCHE ne traite les données que sur instruction documentée du client. Constituent des instructions : les présentes CGV, la configuration du service effectuée par le client (politiques de retour, intégrations activées, modèles de notification), les actions réalisées par ses utilisateurs dans l’interface, et les signaux de conformité transmis par la plateforme e-commerce en son nom. FASTOCHE informe le client sans délai si une instruction lui paraît contraire au RGPD. FASTOCHE ne traite pour son propre compte que des données agrégées et anonymes (volumes, délais), à des fins de facturation et d’amélioration du service.

7.4 Confidentialité

Seules les personnes habilitées de FASTOCHE, soumises à une obligation de confidentialité, accèdent aux données, dans la stricte mesure nécessaire à l’exploitation et au support du service. Ces accès sont nominatifs, limités dans le temps et journalisés ; l’accès d’un opérateur de la plateforme à l’espace d’un client est tracé dans un journal d’audit.

7.5 Sécurité

FASTOCHE met en œuvre les mesures techniques et organisationnelles appropriées au risque (article 32 du RGPD), notamment : chiffrement des données en transit (TLS) et au repos ; chiffrement applicatif des jetons d’accès et secrets d’intégration en AES-256-GCM avec une clé maîtresse conservée hors de la base de données et jamais transmise au navigateur ; authentification par fournisseur d’identité (Google) ou mot de passe robuste ; contrôle d’accès par rôles ; séparation des environnements de test et de production ; sauvegardes chiffrées et procédure de restauration testée ; supervision des erreurs et des incidents avec alerte de l’équipe ; journalisation des actions sensibles. La politique de sécurité et de réponse aux incidents est publiée sur la page Sécurité.

7.6 Sous-traitants ultérieurs

Le client autorise de manière générale FASTOCHE à recourir aux sous-traitants ultérieurs suivants, liés par des obligations équivalentes à celles du présent article :

• Convex, Inc. — base de données et exécution du service (Union européenne, région eu-west-1).
• Vercel, Inc. — hébergement et diffusion des interfaces web.
• Resend — envoi des e-mails transactionnels aux clients finaux et au client.
• Stripe — facturation de l’abonnement du client (aucune donnée de client final).

Les transporteurs, logisticiens et outils de service client que le client choisit d’activer dans le service sont des destinataires désignés par le client, qui contracte directement avec eux ; ils ne sont pas des sous-traitants ultérieurs de FASTOCHE. FASTOCHE informe le client de tout ajout ou remplacement de sous-traitant ultérieur au moins trente (30) jours avant sa prise d’effet. Le client peut s’y opposer pour un motif légitime dans ce délai ; à défaut d’accord, il peut résilier l’abonnement sans frais. La liste à jour est disponible sur demande à hello@fastoche.co.

7.7 Assistance au client

FASTOCHE assiste le client dans l’exécution de ses obligations : réponse aux demandes d’exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité), analyses d’impact et consultations préalables de l’autorité de contrôle. Toute demande d’une personne concernée reçue directement par FASTOCHE est transmise au client sous cinq (5) jours ouvrés, sans y répondre sur le fond. Pour les boutiques Shopify, les demandes d’accès et d’effacement transmises par la plateforme sont traitées automatiquement : les données détenues sur le client final sont remises au client, ou anonymisées, sous trente (30) jours au plus tard.

7.8 Violation de données personnelles

FASTOCHE notifie au client toute violation de données personnelles affectant les données traitées pour son compte sans retard injustifié et au plus tard quarante-huit (48) heures après en avoir eu connaissance, afin de lui permettre de notifier l’autorité de contrôle dans le délai de soixante-douze (72) heures prévu à l’article 33 du RGPD. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact. Elle est complétée au fur et à mesure des constatations. FASTOCHE ne notifie pas l’autorité ni les personnes concernées à la place du client, sauf instruction de sa part ou obligation légale propre.

7.9 Fin du traitement : restitution et suppression

À la fin de l’abonnement, ou à la désinstallation de l’application depuis la plateforme e-commerce, le jeton d’accès à la boutique du client est supprimé immédiatement. Sur demande formulée dans les trente (30) jours, FASTOCHE restitue au client une copie exploitable des données de retour. Au plus tard trente (30) jours après la fin de l’abonnement ou la désinstallation, les données personnelles des clients finaux sont anonymisées de manière irréversible ; pour Shopify, cette opération est déclenchée par le signal de suppression de boutique que la plateforme envoie quarante-huit (48) heures après la désinstallation. FASTOCHE ne conserve au-delà que les données de facturation soumises à une obligation légale de conservation et des données anonymes.

7.10 Audits

FASTOCHE met à la disposition du client les informations nécessaires pour démontrer le respect du présent article. Le client peut, une fois par an au plus, à ses frais et moyennant un préavis de trente (30) jours, faire réaliser un audit par lui-même ou par un auditeur indépendant tenu à la confidentialité, pendant les heures ouvrées et sans perturber le service. Les rapports et certifications des sous-traitants ultérieurs tiennent lieu d’audit pour les prestations qu’ils fournissent.

7.11 Transferts hors de l’Union européenne

Les données sont hébergées et traitées dans l’Union européenne. Lorsqu’un sous-traitant ultérieur est établi hors de l’Union européenne ou y accède depuis un pays tiers, le transfert est encadré par une décision d’adéquation ou par les clauses contractuelles types adoptées par la Commission européenne, complétées si nécessaire de mesures supplémentaires.

7.12 Responsabilité

Chaque partie répond des manquements à ses propres obligations au titre du RGPD. La limitation de responsabilité de l’article 5 s’applique aux obligations du présent article, sauf disposition légale impérative contraire.

8. Droit applicable et litiges

Les présentes CGV sont soumises au droit français. En cas de litige, une solution amiable sera recherchée en priorité ; à défaut, les tribunaux compétents seront ceux du ressort du siège social de l'éditeur, sauf disposition d'ordre public contraire.