Accord de traitement des donnees
Data Processing Agreement (DPA) — Derniere mise a jour : 17 fevrier 2026
Article 1 — Objet et duree du traitement
Le present accord de traitement des donnees (ci-apres "DPA") est conclu entre le studio utilisateur de la plateforme Piqr (ci-apres "le Responsable de traitement") et Piqr (ci-apres "le Sous-traitant"), conformement a l'article 28 du Reglement General sur la Protection des Donnees (RGPD).
Le present DPA s'applique pendant toute la duree d'utilisation de la plateforme Piqr par le Responsable de traitement. Il prend fin a la cloture du compte ou a la resiliation de l'abonnement.
Article 2 — Nature et finalite du traitement
Le Sous-traitant traite les donnees personnelles pour le compte du Responsable de traitement aux fins suivantes :
- Envoi de messages SMS automatises aux clients du studio (aftercare, suivi, rappels)
- Gestion de la base de donnees clients du studio
- Collecte et traitement des reponses SMS (dont les demandes STOP)
- Generation de statistiques d'envoi et de delivrabilite
- Gestion des consentements et des desinscriptions
Le Sous-traitant ne traite les donnees que sur instruction documentee du Responsable de traitement, sauf obligation legale contraire.
Article 3 — Types de donnees traitees
Les categories de donnees personnelles traitees sont :
- Donnees d'identification : prenom, nom de famille des clients
- Coordonnees : numero de telephone mobile, adresse email (optionnel)
- Donnees relatives aux soins : type de soin realise, date du rendez-vous, notes associees
- Donnees de communication : contenu des messages envoyes et recus, horodatage, statut de livraison
- Donnees de consentement : date de creation du contact, statut d'inscription/desinscription (opt-in/opt-out)
Note : Les donnees relatives aux soins peuvent constituer des donnees de sante au sens du RGPD (article 9). Le Responsable de traitement s'assure que le consentement explicite de ses clients a ete recueilli pour le traitement de ces donnees.
Article 4 — Categories de personnes concernees
- Clients du studio : personnes physiques ayant beneficie d'un soin et dont les coordonnees ont ete enregistrees dans la plateforme
- Utilisateurs du studio : personnes physiques disposant d'un acces au compte Piqr du studio
Article 5 — Obligations du Sous-traitant (Piqr)
Le Sous-traitant s'engage a :
- Ne traiter les donnees que conformement aux instructions documentees du Responsable de traitement
- Garantir la confidentialite des donnees traitees et s'assurer que les personnes autorisees a traiter les donnees sont soumises a une obligation de confidentialite
- Mettre en oeuvre les mesures techniques et organisationnelles appropriees pour assurer la securite des donnees (cf. Article 8)
- Ne pas faire appel a un autre sous-traitant sans l'autorisation prealable ecrite du Responsable de traitement, sauf pour les sous-traitants listes a l'Article 7
- Aider le Responsable de traitement a s'acquitter de ses obligations en matiere de droits des personnes concernees (acces, rectification, effacement, portabilite)
- Notifier le Responsable de traitement dans un delai de 72 heures en cas de violation de donnees personnelles
- Supprimer ou restituer les donnees personnelles au terme du contrat, conformement a l'Article 9
- Mettre a disposition du Responsable de traitement les informations necessaires pour demontrer le respect de ses obligations
Article 6 — Obligations du Responsable de traitement (Studio)
Le Responsable de traitement s'engage a :
- Recueillir le consentement prealable et explicite de ses clients avant l'envoi de messages SMS
- Informer ses clients de l'existence du traitement et de leurs droits (droit d'acces, de rectification, d'effacement, d'opposition)
- S'assurer que les donnees importees dans la plateforme ont ete collectees de maniere licite
- Ne pas utiliser la plateforme pour envoyer des messages a des personnes n'ayant pas donne leur consentement
- Respecter le droit d'opposition des destinataires (gestion des STOP)
- Documenter ses instructions de traitement et les mettre a disposition sur demande
Article 7 — Sous-traitants ulterieurs
Le Responsable de traitement autorise le Sous-traitant a faire appel aux sous-traitants ulterieurs suivants pour l'execution du service :
| Sous-traitant | Finalite | Localisation |
|---|---|---|
| Twilio Inc. | Envoi et reception de messages SMS | Etats-Unis (clauses contractuelles types UE) |
| Stripe Inc. | Gestion des paiements et de la facturation | Etats-Unis (clauses contractuelles types UE) |
| Resend Inc. | Envoi d'emails transactionnels | Etats-Unis (clauses contractuelles types UE) |
| Vercel Inc. | Hebergement de l'application web | Union Europeenne (region fra1) |
| Railway Corp. | Hebergement de la base de donnees et du worker | Union Europeenne |
En cas de changement de sous-traitant ulterieur, le Sous-traitant informera le Responsable de traitement par email au moins 30 jours avant la mise en oeuvre du changement, lui permettant de s'y opposer.
Article 8 — Mesures de securite
Le Sous-traitant met en oeuvre les mesures de securite suivantes :
Chiffrement
- En transit : toutes les communications sont chiffrees via HTTPS/TLS 1.2+
- Au repos : les credentials sensibles (tokens Twilio) sont chiffres en AES-256-GCM avant stockage en base de donnees
Controle d'acces
- Authentification par email et mot de passe avec hachage bcrypt
- Sessions securisees avec tokens JWT
- Isolation des donnees par studio : chaque studio n'accede qu'a ses propres donnees
- Rate limiting sur les endpoints sensibles (authentification, API)
Securite applicative
- Content Security Policy (CSP) avec politique stricte
- Headers de securite : HSTS, X-Frame-Options, X-Content-Type-Options
- Validation des entrees avec Zod (schemas de validation)
- Protection contre les injections SQL via ORM Prisma (requetes parametrees)
- Monitoring des erreurs via Sentry
Disponibilite
- Sauvegardes automatiques de la base de donnees
- Heartbeat monitoring du worker d'envoi de SMS
- Systeme de retry automatique (3 tentatives) pour les envois SMS echoues
Article 9 — Sort des donnees en fin de contrat
A la fin de la relation contractuelle (resiliation, cloture de compte) :
- Le Responsable de traitement peut exporter ses donnees depuis la plateforme avant la cloture
- Les donnees du studio et de ses clients sont conservees pendant 30 jours apres la cloture du compte (soft delete), permettant une eventuelle reactivation
- Passe ce delai, les donnees sont definitivement supprimees de tous les systemes, y compris les sauvegardes, dans un delai maximal de 90 jours
- Les logs d'audit et les preuves de consentement peuvent etre conserves plus longtemps si une obligation legale l'impose
Article 10 — Transferts de donnees hors UE
Certains sous-traitants ulterieurs (Twilio, Stripe, Resend) sont situes aux Etats-Unis. Les transferts de donnees vers ces sous-traitants sont encadres par les clauses contractuelles types adoptees par la Commission europeenne (decision d'execution 2021/914).
L'hebergement principal de l'application (Vercel, Railway) est configure en region Union Europeenne.
Article 11 — Delegue a la protection des donnees
Pour toute question relative a la protection des donnees personnelles :
DPO Piqr
Email : dpo@piqr.fr
Adresse : Piqr — Protection des donnees
Le DPO est joignable pour toute demande relative a l'exercice des droits des personnes concernees, aux violations de donnees ou a l'interpretation du present accord.
Article 12 — Droit applicable
Le present DPA est regi par le droit francais. En cas de litige relatif a l'interpretation ou a l'execution du present accord, les parties s'engagent a rechercher une solution amiable. A defaut, les tribunaux francais seront seuls competents.