Accord de traitement des données (DPA)

Le présent accord encadre le traitement des données personnelles réalisé par METEORA, éditeur de Brandesk, pour le compte de ses clients, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »).

Version

1.0

Date d'entrée en vigueur

22 octobre 2026

Parties

Le Client : la personne morale qui a souscrit un abonnement à Brandesk, agissant en qualité de responsable de traitement.

METEORA, SARL au capital de 500 €, immatriculée au RCS d'Annecy sous le numéro 807 875 315, éditeur de Brandesk, agissant en qualité de sous-traitant.

Le présent accord fait partie intégrante des conditions générales de Brandesk (le « Contrat »). En cas de contradiction sur un point relatif à la protection des données, il prévaut sur le Contrat.

1. Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens qui leur est donné à l'article 4 du RGPD. En complément :

• Service : la plateforme Brandesk (signatures e-mail, cartes de visite digitales, cartes NFC, capture de leads, campagnes, statistiques) accessible sur app.brandesk.io.
• Collaborateurs : les personnes dont la fiche est créée dans le Service par le Client, par synchronisation d'annuaire, provisioning SCIM, import CSV ou saisie.
• Contacts : les personnes qui laissent leurs coordonnées via le formulaire « Échanger mes coordonnées » d'une carte digitale.
• Sous-traitant ultérieur : tout prestataire auquel METEORA confie tout ou partie du traitement.

2. Objet et durée

METEORA traite les données personnelles décrites à l'article 3 uniquement pour fournir le Service au Client. Le présent accord s'applique pendant toute la durée du Contrat et, au-delà, jusqu'à la suppression des données dans les conditions de l'article 12.

3. Description du traitement

4. Obligations du Client

• Il documente ses instructions, qui sont constituées par le Contrat, le présent accord et le paramétrage du Service (champs synchronisés, champs modifiables par les Collaborateurs, règles d'attribution, connexion CRM, webhooks, durée de conservation des statistiques).
• Il dispose d'une base légale pour chaque traitement et informe les Collaborateurs du traitement de leurs données.
• Il rédige le texte de consentement présenté aux Contacts et s'assure de sa conformité.
• Il veille à la sécurité de ses propres accès (gestion des comptes, double authentification, SSO).

5. Obligations de METEORA

METEORA s'engage à :

• traiter les données uniquement sur instruction documentée du Client, y compris pour les transferts, et à l'informer immédiatement si une instruction lui paraît contraire au RGPD ;
• ne pas utiliser les données à d'autres fins, notamment commerciales, et ne pas les vendre ni les louer ;
• garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité décrites à l'annexe 1 ;
• assister le Client dans le respect de ses obligations (droits des personnes, sécurité, notification des violations, analyse d'impact) ;
• tenir un registre des activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).

6. Sécurité

METEORA met en œuvre des mesures techniques et organisationnelles appropriées au risque, décrites à l'annexe 1. Elles peuvent évoluer, à condition de ne pas réduire le niveau de protection global.

7. Sous-traitants ultérieurs

Le Client autorise METEORA à recourir aux sous-traitants ultérieurs listés à l'annexe 2. METEORA impose à chacun, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable de leur exécution envers le Client.

METEORA informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut de solution, il peut résilier le Service concerné sans pénalité.

8. Localisation et transferts

Les données du Service sont hébergées en France. METEORA ne transfère pas de données hors de l'Union européenne, sauf lorsqu'un sous-traitant ultérieur listé à l'annexe 2 le prévoit ; un tel transfert est alors encadré par une décision d'adéquation ou par les clauses contractuelles types de la Commission européenne.

Les services tiers connectés par le Client (Google Workspace, Microsoft 365, fournisseur d'identité SSO ou SCIM, HubSpot, Salesforce, Pipedrive, destinataires de webhooks) sont choisis et contractés par le Client. Les échanges avec ces services se font sur son instruction et relèvent de ses propres contrats.

9. Droits des personnes concernées

Le Service permet au Client d'exporter et de supprimer les données d'un Collaborateur ou d'un Contact. Si une personne s'adresse directement à METEORA, METEORA transmet sa demande au Client dans un délai de 5 jours ouvrés et ne la traite pas sans son instruction.

10. Violations de données

METEORA notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, à l'adresse de contact de l'administrateur du compte. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Le Client reste seul responsable de la notification à l'autorité de contrôle et aux personnes concernées.

11. Analyse d'impact

METEORA fournit au Client, à sa demande, les informations nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle.

12. Sort des données en fin de contrat

À la fin du Contrat, le Client peut exporter ses données pendant 30 jours. METEORA supprime ensuite l'ensemble des données personnelles du Client, sauf obligation légale de conservation, dans un délai de 30 jours ; les copies de sauvegarde sont effacées à l'issue de leur cycle de rotation, au plus tard 30 jours après. METEORA confirme la suppression par écrit sur demande.

13. Audit

METEORA met à disposition du Client toutes les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant soumis à confidentialité, au plus une fois par an, sous réserve d'un préavis de 30 jours, sans perturber le fonctionnement du Service et à ses frais.

14. Responsabilité et droit applicable

La responsabilité de chaque partie est régie par le Contrat et par l'article 82 du RGPD. Le présent accord est soumis au droit français. Tout litige relève des tribunaux compétents d'Annecy.

15. Contact

Pour toute question relative au présent accord ou à la protection des données : hello@brandesk.io.

Annexe 1 — Mesures techniques et organisationnelles

• Chiffrement en transit : toutes les communications avec le Service se font en HTTPS.
• Chiffrement au repos des secrets : jetons OAuth, identifiants de connexion à l'annuaire et au CRM, secrets de double authentification, secrets SSO et de webhooks sont chiffrés (libsodium). Les mots de passe et les codes de secours sont hachés.
• Isolation des données : chaque requête est rattachée à l'organisation de l'utilisateur, vérifiée à chaque appel ; les données d'une organisation ne sont jamais accessibles à une autre.
• Contrôle d'accès : rôles et permissions par organisation et par département ; double authentification, obligatoire en option ; SSO SAML 2.0 et OpenID Connect, obligatoire en option.
• Journal d'audit : les actions d'administration (collaborateurs, signatures, règles, cartes, NFC, facturation, sécurité) sont enregistrées avec leur auteur et une adresse IP anonymisée, consultables et exportables par le Client.
• Protection contre les abus : limitation du nombre de tentatives de connexion, de demandes de lien magique et de soumissions de formulaires ; protection CSRF ; filtrage des robots.
• Minimisation : statistiques sans cookie ; l'adresse IP est anonymisée puis seulement utilisée, localement, pour déduire le pays, sans être conservée ; seuls le pays et le type d'appareil sont enregistrés. Les fichiers CSV importés sont supprimés après traitement.
• Conservation : les événements statistiques sont supprimés automatiquement après 13 mois (durée paramétrable).
• Pages publiques : les cartes digitales ne sont pas indexées par les moteurs de recherche par défaut. Une carte NFC ne contient qu'une adresse de redirection ; elle peut être désactivée ou déclarée perdue à tout moment, et un Collaborateur parti n'est plus accessible.
• Sauvegardes : sauvegarde quotidienne et chiffrée de la base de données, conservée 30 jours sur OVHcloud Object Storage, en France.
• Organisation : accès de production limités aux personnes habilitées de METEORA, soumises à confidentialité.

Annexe 2 — Sous-traitants ultérieurs

La facturation de l'abonnement est confiée à Stripe. METEORA y agit en qualité de responsable de traitement pour les seules données de facturation du Client ; aucune donnée de Collaborateur ou de Contact n'est transmise à Stripe.