Draiza
← Retour au site

Accord de traitement des données (DPA)

Version 2026-10-12 — article 28 du RGPD

1. Objet et parties

Le présent accord de traitement des données (« DPA ») est conclu entre le Client, abonné à Draiza, responsable du traitement, et Agence de l’ombre, éditrice de Draiza (« Draiza »), sous-traitant au sens de l’article 28 du RGPD. Il encadre le traitement des données personnelles que le Client collecte ou saisit sur ses propres contacts (prospects, clients, rendez-vous, tunnels, campagnes) au moyen de Draiza. Il fait partie intégrante des CGV et est accepté avec elles. Pour les données de compte du Client (identité, facturation, usage), Draiza agit comme responsable de traitement, selon sa politique de confidentialité.

2. Description du traitement

Nature : hébergement, stockage, consultation, organisation, envoi d’e-mails et de messages, prise de rendez-vous et génération de contenus à la demande du Client. Finalité : fournir le Service Draiza au Client. Durée : celle de l’abonnement, puis les délais de l’article 9. Données traitées : identité et coordonnées, données de qualification commerciale, historique des échanges et rendez-vous, notes libres (chiffrées au niveau applicatif), données saisies dans les formulaires de tunnels. Personnes concernées : prospects, clients et contacts professionnels du Client.

3. Instructions du Client

Draiza traite les données uniquement sur instructions documentées du Client, c’est-à-dire les CGV, le présent DPA et l’usage que le Client fait des fonctionnalités du Service. Draiza informe le Client sans délai si elle estime qu’une instruction enfreint le RGPD ou une autre règle de protection des données. Elle ne traite pas les données pour son propre compte, ni pour des finalités commerciales ou d’entraînement de modèles d’IA.

4. Confidentialité

Draiza garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à la fourniture du Service, notamment sur signalement du Client pour le support.

5. Sécurité

Draiza met en œuvre les mesures techniques et organisationnelles de l’article 32 du RGPD décrites en Annexe 2 et les maintient à un niveau adapté aux risques.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale de recourir aux sous-traitants ultérieurs listés en Annexe 1. Draiza impose à chacun des obligations de protection des données équivalentes à celles du présent DPA et reste responsable de leur exécution à l’égard du Client. Tout ajout ou remplacement est notifié au Client avec un préavis de trente (30) jours, pendant lequel il peut s’y opposer pour un motif raisonnable lié à la protection des données ou résilier son abonnement sans pénalité. En cas de divergence avec toute autre liste figurant dans les CGV ou la politique de confidentialité, l’Annexe 1 prévaut pour les données de contacts du Client.

7. Droits des personnes et assistance

Compte tenu de la nature du traitement, Draiza aide le Client, par des mesures techniques adaptées (recherche, export, rectification, suppression des contacts), à répondre aux demandes d’exercice de droits. Si Draiza reçoit directement une demande d’une personne concernée par les données du Client, elle la lui transmet sans délai sans y répondre elle-même. Draiza assiste également le Client, sur demande et dans la limite des informations dont elle dispose, pour ses analyses d’impact et ses obligations des articles 32 à 36 du RGPD.

8. Violation de données

Draiza notifie le Client de toute violation de données personnelles affectant ses données, sans délai indu et au plus tard soixante-douze (72) heures après en avoir pris connaissance, par e-mail à l’adresse du compte. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou proposées.

9. Sort des données en fin de contrat

À la fin de l’abonnement, le Client peut exporter ses données depuis son espace pendant trente (30) jours. Elles sont ensuite supprimées dans un délai maximal de quatre-vingt-dix (90) jours, sauvegardes comprises, sauf obligation légale de conservation. Le Client peut demander une confirmation écrite de la suppression.

10. Audit

Draiza met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA. Le Client peut, une fois par an et avec un préavis de trente (30) jours, demander un audit documentaire, ou un audit sur site raisonnable en cas de violation avérée, aux frais du Client et sans compromettre la sécurité ni les données des autres clients.

11. Transferts hors Union européenne

Draiza privilégie des hébergements situés dans l’Union européenne. Lorsqu’un sous-traitant ultérieur traite des données hors de l’Espace économique européen, le transfert est encadré par une décision d’adéquation (dont le Data Privacy Framework pour les entreprises américaines certifiées) ou par les clauses contractuelles types de la Commission européenne, comme indiqué en Annexe 1.

12. Données sensibles

Le Client s’engage à ne pas collecter ni importer au moyen de Draiza les catégories particulières de données de l’article 9 du RGPD (santé, convictions religieuses ou politiques, vie ou orientation sexuelle, etc.) ni les données relatives aux condamnations pénales et infractions de l’article 10, et à limiter sa collecte aux informations adéquates, pertinentes et nécessaires. En cas de non-respect constaté, Draiza peut demander la mise en conformité et restreindre temporairement les traitements concernés.

13. Responsabilité, durée et droit applicable

Le présent DPA s’applique pendant toute la durée de l’abonnement et tant que Draiza détient des données du Client. La responsabilité des parties est régie par les CGV. Le droit français est applicable.

Annexe 1 — Sous-traitants ultérieurs

Annexe 2 — Mesures de sécurité