Clauses contractuelles types de l'UE : la règle Amazon expliquée

En bref

En s'inscrivant à Vendre sur Amazon ou à Expédié par Amazon, un vendeur souscrit ces clauses contractuelles types de la Commission européenne sans jamais les ouvrir : elles sont réputées signées à la date où l'enregistrement est finalisé. Amazon EU S.à r.l. y tient le rôle d'exportateur de données, le vendeur celui d'importateur, et les deux sont responsables du traitement (module 1). Le texte fixe ce qu'un vendeur peut faire des données d'acheteurs reçues pour expédier : une finalité unique, dix-huit mesures de sécurité, un mois pour répondre aux demandes. En cas de manquement, Amazon coupe les transferts — donc la capacité à traiter les commandes.

Ce que dit la règle

Le document reprend le modèle officiel de la Commission européenne, version « responsable du traitement vers responsable du traitement », complété par les annexes d'Amazon.

Qui signe, et à quel moment

L'exportateur est Amazon EU S.à r.l., à Luxembourg, dont le délégué à la protection des données se joint à eu-privacy@amazon.com. L'importateur est le partenaire de vente, avec l'adresse et le contact renseignés dans Seller Central. Aucune signature manuscrite : les deux parties sont réputées avoir signé une fois l'inscription finalisée. En cas de contradiction avec un accord connexe, ces clauses l'emportent.

Les données que le vendeur reçoit

Le transfert porte sur des données d'acheteurs Amazon, en flux continu selon les besoins opérationnels :

• identification : nom, adresse de facturation, adresse e-mail anonymisée du type 123456@marketplace.amazon.com ;
• commande : références, date d'achat, quantité, prix, taxes, frais de port, date de paiement ;
• expédition : adresse de livraison, téléphone, code d'accès à l'immeuble, fenêtres de dates, statut Prime, statut Amazon Business, consignes de l'acheteur.

Aucune donnée sensible n'entre dans ce périmètre. Le traitement autorisé se borne à collecter, stocker, trier, utiliser, mettre à disposition.

Une seule finalité autorisée

Ces données servent à exécuter les commandes passées sur les sites Amazon européens et britannique. Rien d'autre. Trois portes de sortie seulement : le consentement préalable de la personne concernée, la défense d'un droit en justice dans une procédure précise, ou la sauvegarde d'intérêts vitaux. Une campagne d'e-mails vers les acheteurs ou un import dans un outil de prospection sortent du cadre.

Conserver, puis effacer

La conservation dure le temps du Contrat Business Solutions conclu avec Amazon EU S.à r.l., sauf demande de suppression valide d'un acheteur. Au-delà, rien ne se garde plus longtemps que la finalité ne l'exige : effacement ou anonymisation, sauvegardes comprises. Les données doivent aussi rester exactes.

Ne pas laisser sortir les données de l'Union

Transmettre ces données à un tiers hors Union européenne suppose une base : ce tiers accepte les mêmes clauses, son pays bénéficie d'une décision d'adéquation, il apporte d'autres garanties appropriées au sens du règlement général sur la protection des données, il signe un acte contraignant de niveau équivalent dont copie revient à Amazon, la transmission défend un droit en justice ou des intérêts vitaux, ou la personne concernée y consent explicitement en connaissance des risques. C'est le point qui piège les vendeurs travaillant avec un logisticien ou un développeur hors Union.

Dix-huit mesures de sécurité, pas des intentions

L'annexe II ne s'arrête pas au « niveau approprié » : elle énumère des obligations vérifiables sur pièces.

• pare-feu actif, filtrage à l'entrée et à la sortie, blocage du trafic par défaut ;
• systèmes, logiciels, antivirus et fichiers de signature tenus à jour ;
• test des systèmes de sécurité au moins une fois par an et après tout changement significatif ;
• séparation des tâches et moindre privilège, accès « en bloc » réservé aux salariés approuvés ;
• authentification multifacteur, deux facteurs distincts au minimum, pour tout accès à distance ;
• chiffrement des supports mobiles ou amovibles et de toute transmission sortant du réseau ;
• journaux d'audit exploités, changements de production tracés, plan écrit de réponse aux incidents, détection des intrusions ;
• formation périodique, programme écrit de sécurité revu chaque année, destruction irrécupérable des supports ;
• responsabilité pleine des actes de ses sous-traitants, tenus aux mêmes exigences.

Violation de données : qui prévenir, et quand

Face à un incident, le vendeur corrige et limite les effets négatifs. Si les droits et libertés des personnes sont menacés, il alerte sans tarder Amazon et l'autorité de contrôle compétente — la Commission nationale pour la protection des données du Luxembourg (CNPD) — en décrivant la nature de l'événement, ses suites probables, les mesures prises et un point de contact. Risque élevé : les acheteurs sont informés à leur tour, sauf atténuation suffisante ou effort disproportionné.

Les demandes des acheteurs et des autorités

Une demande d'acheteur — accès, copie, rectification, effacement, opposition à la prospection — se traite gratuitement, dans les meilleurs délais et au plus tard un mois après réception. Une demande excessive ou répétitive peut être facturée à son coût administratif ou refusée, tout refus étant motivé et accompagné des voies de réclamation. Les décisions entièrement automatisées à effet juridique sont exclues, sauf consentement explicite ou autorisation légale encadrée. Le vendeur doit aussi démontrer sa conformité et se soumettre aux audits de la CNPD. Si une autorité d'un pays tiers réclame ces données, il prévient Amazon, contrôle la légalité de la demande, la conteste s'il a des motifs raisonnables de la croire illégale, et ne livre que le minimum autorisé.

À qui elle s'applique

À tout partenaire de vente inscrit aux services Vendre sur Amazon ou Expédié par Amazon qui reçoit des données d'acheteurs, sur les neuf sites européens et le site britannique. Ni la taille ni le mode d'expédition n'y changent rien. Le poids est plus lourd pour un vendeur établi hors de l'Union : c'est lui l'importateur, et la section sur les législations locales lui est adressée. Les informations exigées à l'inscription fournissent les coordonnées reprises en annexe.

Ce qui se passe en cas de manquement

Un vendeur qui n'est plus en mesure de respecter ces clauses doit le signaler sans délai à Amazon. La mécanique se déroule ensuite en trois temps. Amazon suspend les transferts jusqu'au retour à la conformité. Si rien ne change dans un délai raisonnable, et au plus tard un mois après la suspension, Amazon peut résilier la partie du contrat qui porte sur ces traitements ; une infraction grave ou persistante, ou le refus d'appliquer une décision contraignante, ouvre le même droit. Les données déjà transférées sont alors restituées ou intégralement effacées, copies comprises, preuve à l'appui. Sur le plan civil, chaque partie répond des dommages causés à l'autre et du préjudice subi par les personnes concernées, plusieurs responsables répondant conjointement et solidairement. Droit luxembourgeois, juridictions du Luxembourg.

Ce que nous constatons en dossier : ce texte n'est presque jamais cité nommément dans une notification Amazon. Il resurgit par la bande, quand une plainte pour prospection non sollicitée ou un signalement d'acheteur remonte aux équipes de conformité. Les cas délicats concernent des vendeurs ayant exporté leur base d'acheteurs vers un outil hébergé hors de l'Union sans s'être demandé qui en répondait. La coupure des transferts n'est pas une sanction commerciale, mais elle produit le même effet : sans données de commande, plus d'expédition.

Les pièges

• La newsletter après-vente. Réutiliser ces adresses pour une offre, même une seule fois, sort de la finalité unique : l'adresse anonymisée ne sert qu'à la commande en cours.
• L'outil hébergé hors d'Europe. CRM, tableur en ligne ou transporteur hors Union reçoit un transfert ultérieur, qui réclame sa propre base juridique et souvent un engagement écrit.
• Le fichier gardé « au cas où ». Un export oublié sur un poste ou dans une sauvegarde contrevient à la limitation de conservation, et l'effacement porte aussi sur les copies.
• La demande traitée à retardement. Le mois est un maximum ; une demande d'effacement sans réponse peut déclencher une réclamation devant l'autorité de contrôle.
• La sécurité informelle. L'annexe réclame des preuves : test annuel, multifacteur, journaux, plan d'incident, programme écrit. Un « nous faisons attention » ne se démontre pas.

Comment rester conforme

• Cartographier les données de commande Amazon : ce qui est reçu, où c'est stocké, qui y accède, combien de temps.
• Vérifier que chaque outil ou prestataire qui les touche est dans l'Union, ou couvert par une base documentée.
• Cloisonner ces données des fichiers marketing : aucune réutilisation, aucune fusion de bases.
• Installer les exigences prouvables de l'annexe II : multifacteur, chiffrement des supports mobiles, journaux, test annuel.
• Écrire une procédure de violation nommant le contact Amazon, l'autorité de contrôle et le délai.
• Tenir un registre daté des demandes reçues, pour prouver le respect du délai d'un mois.
• Purger exports et sauvegardes selon un calendrier écrit, preuve des effacements à l'appui.

FAQ

Faut-il signer les clauses contractuelles types pour vendre sur Amazon ?

Elles sont réputées signées par les deux parties dès la finalisation de l'inscription aux services Vendre sur Amazon ou Expédié par Amazon. Aucune démarche distincte n'est demandée, ce qui explique que beaucoup ignorent y être engagés.

Le vendeur est-il sous-traitant d'Amazon pour les données des acheteurs ?

Non. L'annexe désigne les deux parties comme responsables du traitement : Amazon EU S.à r.l. exporte, le partenaire de vente importe. Chacun répond de ses traitements et ne peut pas se décharger sur l'autre.

Peut-on utiliser les adresses e-mail des acheteurs pour une campagne marketing ?

Non. La finalité retenue est l'exécution des commandes passées sur les sites Amazon européens et britannique. Un autre usage suppose le consentement préalable, la défense d'un droit en justice ou la sauvegarde d'intérêts vitaux.

Que faire en cas de fuite de données d'acheteurs Amazon ?

Corriger l'incident, en limiter les effets, puis prévenir sans tarder Amazon et l'autorité de contrôle si les droits des personnes sont menacés, en décrivant l'événement, ses suites probables, les mesures prises et un point de contact. Si le risque est élevé, les acheteurs concernés doivent aussi être informés.

Quel droit s'applique en cas de litige ?

Le droit luxembourgeois, et les juridictions compétentes sont celles du Luxembourg. Une personne concernée peut toutefois agir devant les tribunaux de l'État membre où elle réside habituellement.

Pour aller plus loin

• Le contrat porteur : le Contrat Business Solutions d'Amazon.
• Comment ce cadre évolue : les modifications du contrat vendeur.
• À l'ouverture du compte : les informations requises pour vendre.
• La vue d'ensemble : le guide de la conformité Amazon 2026.
• Versements retenus : le guide de déblocage des fonds Amazon.
• Changement d'entité : les erreurs à éviter en changeant de structure.
• Le dossier de fond : toute la conformité Amazon.
• Compte déjà désactivé : notre accompagnement à la réactivation.