Accord de traitement des données (DPA B2B)

Dernière mise à jour : 25 septembre 2026

Le présent Accord sur le traitement des données («DPA») complète les Conditions de service entre le client entreprise qui active DayInFlow («Client») et AMZSTRATEGY LLC, Company ID / Registration Number 2026-002043679, 30 N Gould St, Ste R, Sheridan, WY 82801, USA («DayInFlow»). Il s'applique aux données à caractère personnel que DayInFlow traite pour le compte du Client via le service. Les définitions de «responsable du traitement», «sous-traitant», «personne concernée», «violation de données à caractère personnel» et «traitement» suivent le GDPR lorsque cela est applicable. Si le Client agit en tant que responsable pour le compte d'un tiers, il garantit qu'il est habilité à donner les instructions prévues ici et qu'il a obtenu les autorisations nécessaires.

1. Objet, durée et instructions

DayInFlow traite les données afin de fournir, protéger, maintenir et assister les fonctionnalités achetées et configurées par le Client : organisations, utilisateurs, calendriers, disponibilités, événements, réservations, paiements des appels si activés, notifications, intégrations et assistance. Les instructions documentées comprennent le contrat, les choix effectués dans le produit et les demandes écrites compatibles avec le service. Le traitement dure pendant la durée du contrat et la période subséquente nécessaire à l'exportation et à la suppression, sauf obligation légale contraire. DayInFlow informe le Client s'il estime qu'une instruction viole la réglementation applicable, sauf en cas d'interdiction légale.

Le Client détermine les finalités des réservations, les questions posées aux invités, la base juridique, la licéité des communications, les destinataires et les éventuelles informations complémentaires. Il ne doit pas saisir de données particulières ou hautement sensibles sans avoir préalablement évalué la nécessité, la licéité et l'adéquation du service. DayInFlow n'utilise pas les données des invités pour une revente propre de données ni pour ses propres campagnes.

2. Personnes autorisées et confidentialité

DayInFlow limite l'accès au personnel et aux collaborateurs qui en ont besoin pour la prestation, l'assistance, la sécurité ou les obligations. Il les soumet à des obligations de confidentialité et à des instructions appropriées. Les accès administratifs sont limités, tracés et réexaminés en fonction du risque. Le Client reste responsable de la configuration de ses propres rôles, animateurs, gestionnaires d'équipe et destinataires.

3. Mesures techniques et organisationnelles

DayInFlow adopte des mesures adaptées au risque, notamment la séparation des données des organisations, le contrôle des accès, la protection des identifiants et des secrets, le chiffrement des données en transit et des informations sensibles lorsque cela est approprié, les sauvegardes, la journalisation, la surveillance, les limitations contre les abus et des vérifications périodiques. La disponibilité des systèmes dépend aussi de fournisseurs externes et des connexions configurées par le Client. Les mesures peuvent évoluer à condition de ne pas réduire matériellement le niveau global de protection.

Le Client doit utiliser l'authentification forte lorsque disponible, mettre à jour les rôles, déconnecter les personnes qui ne sont plus autorisées, contrôler les autorisations accordées aux intégrations et protéger les appareils et les exportations sous son contrôle.

4. Sous-traitants

Le Client autorise de manière générale le recours aux catégories de sous-traitants nécessaires à l'hébergement, la base de données, l'authentification, l'envoi d'e-mails et de SMS, les paiements, le traitement IA, la surveillance et l'assistance, selon la liste mise à jour sur la page «Sous-traitants et transferts». DayInFlow impose aux sous-traitants des obligations de protection substantiellement équivalentes à celles applicables au traitement confié et reste responsable de leurs prestations dans les limites prévues par la loi. Il informera le Client des ajouts ou remplacements significatifs avec un préavis raisonnable, sauf en cas d'urgence liée à la sécurité. Le Client peut formuler une objection motivée pour des raisons de protection des données ; les parties chercheront une solution praticable et, si cela s'avère impossible, envisageront la cessation du service concerné.

Les intégrations que le Client choisit de connecter à son compte peuvent agir en tant que fournisseurs indépendants ou sous-traitants selon le flux. Le Client doit examiner les conditions du fournisseur avant de l'autoriser.

5. Assistance au Client

Compte tenu de la nature du traitement et des informations disponibles, DayInFlow assiste le Client pour répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition des personnes concernées. Si une demande parvient directement à DayInFlow et concerne des données traitées pour le Client, il la transmet ou sollicite des instructions, sans répondre sur le fond sauf obligation légale. DayInFlow fournit une assistance raisonnable pour les évaluations d'impact, les consultations de l'autorité, les mesures de sécurité et les obligations de notification, dans la limite des informations disponibles ; les activités extraordinaires peuvent nécessiter un accord sur les coûts.

6. Violations des données à caractère personnel

Lorsqu'il détecte une violation de données à caractère personnel traitées pour le Client, DayInFlow en informe le Client sans retard injustifié après en avoir eu connaissance, via le contact administratif ou un canal approprié. La notification décrit, dans la mesure connue, la nature de l'incident, les catégories de données et de personnes concernées, les conséquences probables, les mesures adoptées ou prévues et un point de contact. Les informations peuvent être fournies de manière progressive. Le Client décide et gère les notifications aux autorités et aux personnes concernées lorsqu'il agit en tant que responsable, avec l'assistance raisonnable de DayInFlow.

7. Transferts internationaux

Si le traitement implique un transfert soumis aux règles de l'Espace économique européen ou du Royaume-Uni vers un pays non adéquat, les parties adoptent le mécanisme juridique applicable, y compris, lorsque nécessaire, les clauses contractuelles types de la Commission européenne dans le formulaire pertinent et les mesures supplémentaires. Le présent DPA ne remplace pas automatiquement l'exécution ou l'incorporation valide des clauses contractuelles types ni les évaluations de transfert requises. Le Client peut demander à support@dayinflow.com les informations disponibles sur les garanties et les flux.

8. Vérifications et preuve

DayInFlow met à disposition les informations raisonnablement nécessaires pour démontrer le respect des obligations applicables au sous-traitant. Le Client peut demander des éclaircissements ou une vérification proportionnée, avec préavis, horaire convenu, confidentialité, protection des autres clients et sans compromettre la sécurité. Un audit sur site nécessite une motivation raisonnable lorsque les documents et contrôles à distance ne sont pas suffisants. Les parties conviennent des coûts et des modalités avant les activités extraordinaires.

9. Restitution, suppression et priorité

À la fin du service, le Client peut exporter les données pendant les périodes d'accès applicables. DayInFlow supprime ou rend non identifiables les données traitées pour le compte du Client conformément aux Conditions et à l'Politique de confidentialité, sauf obligations légales, contestations ou sauvegardes soumises à une rotation limitée. Les factures et autres enregistrements que DayInFlow doit conserver en tant que responsable restent séparés. Si ce DPA et les Conditions sont incompatibles concernant le traitement pour le compte du Client, le DPA prévaut ; les droits impératifs prévus par la réglementation restent en vigueur.

Annexe A — Description du traitement

Personnes concernées : membres et collaborateurs du Client, animateurs, invités et leurs accompagnateurs indiqués, contacts d'assistance. Catégories de données : identité et coordonnées, rôle, disponibilités, métadonnées de calendrier, date/heure/fuseau et statut du rendez-vous, réponses aux questions, notes de l'événement, communications, éventuelles données de paiement de l'appel sous forme limitée, journaux techniques. Finalités : fournir et gérer les fonctionnalités configurées par le Client. Nature : collecte, enregistrement, consultation, organisation, conservation, transmission aux destinataires autorisés, suppression. Durée : contrat plus fenêtres d'exportation, de suppression et obligations légales décrites dans les documents associés. Catégories de destinataires : personnes autorisées par le Client, invités dans les limites de la réservation et fournisseurs nécessaires.

Annexe B — Mesures de sécurité

Authentification et autorisation par rôle ; séparation logique des espaces de travail ; validation des entrées et limitation des requêtes ; chiffrement du trafic ; protection des secrets ; sauvegarde et restauration ; traçabilité des actions sensibles ; mises à jour et gestion des vulnérabilités ; révision des permissions ; procédures de réponse aux incidents ; protection des canaux de support. La description indique des catégories de contrôles contractuels, non des certifications ou des résultats d'audits indépendants.