Accord de traitement des données

1. Objet et rôle des parties

Le Client détermine les finalités et les moyens des traitements qu'il met en œuvre au moyen du Service : il agit en qualité de responsable de traitement. Kapacity FZE traite les données pour son compte : elle agit en qualité de sous-traitant.

Lorsque le Client agit lui-même comme sous-traitant d'un tiers, Kapacity FZE intervient en qualité de sous-traitant ultérieur, et le présent Accord s'applique dans les mêmes termes.

2. Description du traitement (annexe I)

Nature et finalité

Hébergement et exploitation d'une plateforme de gestion commerciale : gestion de contacts, prise de rendez-vous, visioconférence et transcription, collecte de réponses à des formulaires, rédaction et signature électronique de documents, automatisations.

Durée

La durée du contrat principal, augmentée des délais de restitution et de suppression prévus à l'article 9.

Catégories de personnes concernées

Utilisateurs désignés par le Client (collaborateurs, prestataires) ; prospects, clients et interlocuteurs du Client ; signataires des documents ; participants aux visioconférences.

Catégories de données

Identité et coordonnées (nom, adresse électronique, téléphone, société) ; données de relation commerciale (étape, score, notes, montants, champs créés par le Client) ; données de rendez-vous ; réponses aux formulaires ; enregistrements audio et vidéo et leurs transcriptions ; documents contractuels et signatures ; données de preuve (adresse IP, agent utilisateur, horodatages) ; fichiers déposés.

Données sensibles

Le Service n'est pas conçu pour le traitement de catégories particulières de données au sens de l'article 9 du RGPD. Le Client s'abstient d'en déposer. S'il envisage un tel traitement, il doit en informer préalablement Kapacity FZE et convenir des mesures supplémentaires nécessaires.

Fréquence

Traitement continu, pour la durée du contrat.

3. Instructions documentées

Kapacity FZE traite les données uniquement sur instruction documentée du Client. Constituent de telles instructions : le contrat principal, le présent Accord, ainsi que les actions réalisées par le Client dans l'interface du Service.

Si Kapacity FZE est tenue de procéder à un traitement en vertu du droit qui lui est applicable, elle en informe le Client avant le traitement, sauf interdiction légale.

Kapacity FZE informe immédiatement le Client si, à son avis, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.

4. Confidentialité et personnel

Kapacity FZE veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité, ou soient soumises à une obligation légale appropriée de confidentialité. L'accès est limité aux personnes dont les fonctions le rendent nécessaire, et retiré sans délai à la fin de ces fonctions.

5. Sécurité (annexe II)

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature des traitements, Kapacity FZE met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement en transit : TLS pour l'ensemble des échanges.
• Chiffrement au repos : assuré par les hébergeurs pour la base de données et le stockage de fichiers.
• Cloisonnement des espaces de travail : l'isolation entre clients est appliquée par la base de données à chaque requête (politiques de sécurité au niveau des lignes), et non par la seule application.
• Authentification : mots de passe conservés sous forme de condensats non réversibles ; gestion des rôles et des droits par le Client.
• Protection des secrets : les jetons d'accès aux services tiers connectés par le Client sont chiffrés au moyen d'une clé conservée hors de la base de données ; une copie de celle-ci ne permet pas de les exploiter.
• Cloisonnement d'exécution : les scripts d'automatisation écrits par le Client s'exécutent dans un environnement isolé, sans accès direct à la base de données.
• Journalisation : traçabilité des accès aux secrets, des exécutions d'automatisation et des événements liés aux documents signés.
• Sauvegardes : mécanismes de sauvegarde des hébergeurs, destinés à la continuité du service.
• Minimisation : suppression automatique des enregistrements de visioconférence à l'échéance de leur durée de conservation.

Ces mesures peuvent évoluer, sans que le niveau de sécurité puisse être réduit pendant la durée du contrat.

6. Sous-traitants ultérieurs (annexe III)

Le Client autorise Kapacity FZE à recourir aux sous-traitants ultérieurs suivants (autorisation générale au sens de l'article 28.2 du RGPD) :

Kapacity FZE impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent Accord, et demeure pleinement responsable devant le Client de l'exécution de leurs obligations.

Tout ajout ou remplacement est notifié au Client trente jours avant sa prise d'effet. Le Client peut s'y opposer pour un motif raisonnable et documenté tenant à la protection des données ; à défaut de solution dans les trente jours, il peut résilier sans frais la partie du service concernée.

7. Transferts hors de l'Union européenne

L'infrastructure de traitement est située dans l'Union européenne. Deux transferts sont néanmoins mis en œuvre :

• l'accès aux données par le personnel habilité de Kapacity FZE, établie aux Émirats arabes unis, pays ne bénéficiant pas d'une décision d'adéquation ;
• la transmission des transcriptions au prestataire d'intelligence artificielle établi aux États-Unis, pour la génération des comptes rendus, lorsque cette fonctionnalité est utilisée.

Ces transferts sont régis par les clauses contractuelles types figurant en annexe de la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021, module 2 (responsable du traitement vers sous-traitant), que les parties déclarent adopter et qui sont incorporées au présent Accord par référence, avec les options suivantes :

• clause 9 : option 2, autorisation générale des sous-traitants ultérieurs, avec le préavis de trente jours prévu à l'article 6 ;
• clause 11 : l'option relative à l'organe de règlement des litiges indépendant n'est pas retenue ;
• clauses 17 et 18 : droit applicable et juridiction compétente de l'État membre dans lequel le Client est établi ;
• annexes I, II et III des clauses : renseignées par les articles 2, 5 et 6 du présent Accord.

En cas de contradiction entre les clauses contractuelles types et le présent Accord, les clauses contractuelles types prévalent.

8. Assistance au Client

8.1 Droits des personnes concernées

Le Service permet au Client d'accéder aux données, de les rectifier, de les exporter et de les supprimer de manière autonome. Kapacity FZE apporte, dans la mesure du possible, une assistance raisonnable pour les demandes qui ne pourraient être satisfaites par ces moyens.

Toute demande adressée directement à Kapacity FZE par une personne concernée est transmise au Client sans délai injustifié, et n'y est pas répondue sur le fond sans son instruction.

8.2 Violations de données

Kapacity FZE notifie au Client toute violation de données à caractère personnel sans délai injustifié et au plus tard quarante-huit heures après en avoir pris connaissance, afin de lui permettre de respecter son propre délai de notification à l'autorité de contrôle. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.

8.3 Analyses d'impact

Kapacity FZE apporte au Client, sur demande, l'assistance raisonnable nécessaire à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle, dans la limite des informations dont elle dispose.

9. Sort des données en fin de contrat

À l'expiration ou à la résiliation du contrat, le Client dispose de trente jours pour exporter ses données depuis l'interface, au format CSV, sans frais.

À l'issue de ce délai, Kapacity FZE supprime l'ensemble des données du Client, y compris les fichiers stockés, sauf obligation légale de conservation. Les copies présentes dans les sauvegardes sont supprimées à l'expiration du cycle de rétention de celles-ci.

Une attestation de suppression est délivrée sur demande écrite.

Les durées de conservation applicables en cours de contrat sont les suivantes :

10. Audits et démonstration de conformité

Kapacity FZE met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD.

Le Client peut réaliser un audit, une fois par période de douze mois, sur préavis écrit de trente jours. Il est réalisé en premier lieu sur pièces (questionnaire, documentation, rapports disponibles). Un audit sur site ou par un tiers indépendant tenu à la confidentialité ne peut avoir lieu qu'en cas d'insuffisance démontrée des réponses apportées ; il est alors organisé de manière à ne pas perturber l'exploitation et ses coûts sont supportés par le Client, sauf s'il révèle un manquement substantiel.

11. Obligations du Client

Le Client garantit :

• disposer d'une base légale pour chacun des traitements qu'il met en œuvre au moyen du Service ;
• avoir informé les personnes concernées conformément aux articles 13 et 14 du RGPD ;
• avoir recueilli, le cas échéant, le consentement requis, notamment celui des participants à un enregistrement de visioconférence ;
• que ses instructions sont licites et n'exposent pas Kapacity FZE à une violation de la réglementation ;
• tenir son propre registre des activités de traitement.

12. Durée, modification et hiérarchie

Le présent Accord entre en vigueur à la date d'acceptation des conditions générales et demeure en vigueur tant que Kapacity FZE traite des données pour le compte du Client.

En cas de contradiction, l'ordre de priorité est le suivant : les clauses contractuelles types, puis le présent Accord, puis les conditions générales.

Version en vigueur : 11 septembre 2026.