Cette traduction est fournie uniquement pour votre commodité ; la version anglaise fait foi.

Cangxin AI — Avenant relatif au traitement des données

Version 1.1 (Bêta) · Date d'entrée en vigueur : 11 novembre 2026

1. Parties et rôles

Le présent avenant fait partie des Conditions d'utilisation conclues entre Westwake Inc. (la « Plateforme ») et chaque entreprise d'entreposage (l'« Entrepôt ») et chaque entreprise vendeuse (le « Vendeur ») utilisant Cangxin AI.

Les termes tels que « informations personnelles », « responsable du traitement », « sous-traitant », « prestataire de services » et « entreprise » ont le sens que leur donne la législation américaine applicable en matière de protection de la vie privée (par exemple le CCPA).

2. Instructions

• La Plateforme traite les informations personnelles des clients uniquement pour fournir Cangxin AI tel que décrit dans les Conditions et dans le produit, sur les instructions documentées de l'Entrepôt et du Vendeur (y compris les paramètres qu'ils choisissent), ou lorsque la loi l'exige.
• La Plateforme ne vend ni ne partage les informations personnelles des clients, ne les utilise pas à des fins publicitaires et ne les combine pas avec d'autres données, sauf dans la mesure nécessaire pour fournir le service.
• L'Entrepôt donne des instructions à la Plateforme pour le compte de ses Vendeurs et confirme qu'il a conclu avec chaque Vendeur un accord au moins aussi protecteur que le présent avenant (voir la section 11).

3. Confidentialité et accès

Seules les personnes qui ont besoin d'un accès pour fournir ou sécuriser le service en disposent, et elles sont tenues à la confidentialité. Les données de chaque client sont séparées de celles des autres clients par des règles d'accès testées automatiquement.

4. Sécurité

La Plateforme applique les mesures de l'Annexe 2. Elle peut les améliorer, mais ne réduira pas le niveau global de protection.

5. Sous-traitants ultérieurs

• Le client autorise les sous-traitants ultérieurs figurant sur notre page des Sous-traitants ultérieurs.
• La Plateforme donne aux titulaires de compte un préavis d'au moins 30 jours par e-mail avant d'ajouter un sous-traitant ultérieur qui reçoit des informations personnelles des clients. Le client peut s'y opposer pour des motifs raisonnables liés à la protection des données. Si nous ne pouvons pas résoudre l'objection, le client peut fermer son compte.
• La Plateforme a conclu avec ses sous-traitants ultérieurs des contrats comportant des clauses de protection des données au moins aussi protectrices que le présent avenant, et elle reste responsable de ces sous-traitants.

6. Conservation et suppression

• Les noms, adresses, numéros de téléphone, adresses e-mail des destinataires, les fichiers d'étiquettes et les lignes d'import des commandes expédiées sont anonymisés au plus tard 30 jours après l'expédition. Le pays, l'État et les 3 premiers chiffres du code postal sont conservés à des fins statistiques et de facturation. L'Entrepôt peut raccourcir cette durée à une valeur comprise entre 1 et 30 jours ; le logiciel ne permet ni une durée plus longue ni la désactivation de la suppression.
• Les photos d'emballage sont conservées comme preuves en cas de réclamation, visibles uniquement par l'Entrepôt, sauf si l'Entrepôt choisit de les faire supprimer avec les données des destinataires. Elles peuvent montrer une étiquette d'expédition.
• Les sauvegardes sont conservées 30 jours au plus.
• Après la fermeture d'un compte, la Plateforme supprime ou anonymise les informations personnelles des clients dans un délai de 90 jours, sauf si la loi exige leur conservation. Le client peut exporter ses données avant la fermeture.

7. Demandes des personnes concernées

La Plateforme aide le client à répondre aux demandes des personnes concernées (accès, suppression, rectification) dans un délai de 30 jours à compter de la demande du client, en utilisant les fonctions du logiciel lorsque c'est possible. Si une personne contacte directement la Plateforme au sujet des données d'un client, la Plateforme transmet la demande au client et n'y répond pas elle-même, sauf si la loi l'exige.

8. Incidents de sécurité

• La Plateforme informe les clients concernés dans les meilleurs délais après avoir pris connaissance d'un incident de sécurité affectant leurs informations personnelles, avec un objectif de 72 heures, et plus tôt lorsque la loi l'exige.
• Si des informations Amazon sont concernées, la Plateforme informe également Amazon dans les 24 heures suivant la détection, comme l'exigent les règles de protection des données d'Amazon.
• La notification décrit ce qui s'est passé, les données et le nombre d'enregistrements concernés, les mesures prises et une personne à contacter.

9. Données d'Amazon et d'autres marketplaces

Pour les données de commande provenant d'Amazon (ou d'une autre marketplace ayant des règles similaires), la Plateforme, l'Entrepôt et le Vendeur s'engagent chacun à :

• les utiliser uniquement pour exécuter les commandes, calculer les frais et remplir les obligations fiscales et légales ;
• ne collecter et ne conserver que les données des destinataires nécessaires à cet effet, et les supprimer comme l'exige la section 6 ;
• ne jamais divulguer les données d'un vendeur à un autre vendeur ;
• ne pas envoyer ces données de destinataires aux fonctions d'IA. L'assistant IA ne reçoit jamais les noms, adresses postales, villes, codes postaux, numéros de téléphone ou e-mails des destinataires. L'import de commandes assisté par l'IA envoie au plus les en-têtes de colonnes et jusqu'à 20 lignes d'exemple d'un tableur, avec les colonnes des destinataires et les valeurs ressemblant à des données de destinataires masquées (codes postaux réduits à 3 chiffres), et n'envoie jamais de texte de commande collé ni de photos ou PDF de commandes ;
• les protéger par les mesures de l'Annexe 2.

10. Informations de sécurité

Sur demande écrite raisonnable, au plus une fois par an, la Plateforme répond à un questionnaire de sécurité et fournit des résumés de ses politiques de sécurité écrites.

11. Entre l'Entrepôt et le Vendeur

Pour les informations personnelles du Vendeur, l'Entrepôt et le Vendeur conviennent que :

• le Vendeur est le responsable du traitement et l'Entrepôt est le sous-traitant ;
• l'Entrepôt ne les traite que pour fournir ses services d'entreposage au Vendeur, au moyen de Cangxin AI ;
• les sections 2 à 10 s'appliquent entre eux, « Entrepôt » remplaçant « Plateforme » ;
• le Vendeur autorise la Plateforme en tant que sous-traitant ultérieur de l'Entrepôt.

12. Ordre de priorité

En cas de contradiction entre le présent avenant et les Conditions concernant les informations personnelles, le présent avenant prévaut.

13. Langue

Le présent avenant est rédigé en anglais. Les traductions sont fournies uniquement pour votre commodité ; si une traduction diffère, le texte anglais s'applique.

Annexe 1 — Détails du traitement

• Objet et durée : services Cangxin AI, pendant la durée du compte augmentée des délais de suppression de la section 6.
• Nature et finalité : stockage, opérations d'entrepôt, exécution des commandes, achat d'étiquettes via le propre compte transporteur ou d'expédition du client, suivi des colis, calcul de l'utilisation et des frais, fonctions assistées par l'IA, assistance.
• Personnes concernées : le personnel du client ; le personnel des vendeurs ; les destinataires des colis.
• Données : noms, coordonnées professionnelles, adresses, numéros de téléphone, adresses e-mail, contenu des commandes, numéros de suivi et événements de scan, fichiers d'étiquettes.
• Données sensibles : aucune n'est prévue. Les clients ne doivent pas téléverser de pièces d'identité, de numéros d'identification délivrés par l'État ni de numéros de comptes financiers lorsqu'une fonction ne les demande pas.

Annexe 2 — Mesures de sécurité en place

• connexions chiffrées (HTTPS) pour tout le trafic ;
• sauvegardes chiffrées en AES-256 sur notre serveur avant qu'une copie n'en sorte, conservées 30 jours au plus ;
• règles d'accès séparant les données de chaque client, avec des tests d'isolement automatisés ;
• pare-feu n'autorisant que l'accès web et l'accès d'administration ; base de données inaccessible depuis Internet ;
• clés des prestataires stockées de manière à ne pas pouvoir être relues ; secrets conservés en dehors du code source ;
• politiques de sécurité écrites (contrôle d'accès, réponse aux incidents, gestion des clés, conservation des données, journalisation, gestion des vulnérabilités, appareils, sous-traitants ultérieurs) ;
• anonymisation automatique des données des destinataires après la durée de conservation (section 6).