ACCORD DE TRAITEMENT DES DONNÉES NUVOPOLL (DPA)

Date de version : 4 octobre 2026

Date d'entrée en vigueur : La date à laquelle le Client accepte le présent DPA, conclut un Contrat intégrant cette version ou le signe séparément. Le contrat d'un Client existant n'est modifié que par la procédure contractuelle d'avenant applicable.

Parties

Client : La personne physique ou morale identifiée dans le compte, le Bon de commande ou le procès-verbal de signature applicable, agissant en qualité de Responsable du traitement ou, le cas échéant, de Sous-traitant autorisé par son Responsable du traitement.

Seamlexly : Seamlexly OÜ, société privée à responsabilité limitée de droit estonien, code d'immatriculation 17021816, numéro de TVA EE102783597, sise à Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141 Estonie, fournissant les services Nuvopoll.

Contact protection des données : contact@nuvopoll.com.

Le Client et Seamlexly sont conjointement désignés les « Parties ».

1. Objet, champ d'application et ordre de préséance

1.1 Le présent DPA régit les Données Personnelles du Client traitées par Seamlexly pour le compte du Client dans le cadre des Services d'étude, d'enquête, de collecte de données et de génération de rapports Nuvopoll. Il complète les conditions de service applicables, le contrat d'abonnement, le Bon de commande ou tout autre contrat de service (« Contrat »).

1.2 Les dispositions impératives de la loi prévalent. Les instruments impératifs de transfert prévalent pour les transferts qu'ils régissent. Sous réserve de ces exigences, le présent DPA prévaut sur toute stipulation divergente du Contrat relative au Traitement des Données Personnelles du Client. Aucune clause générale de limitation de responsabilité, indemnité, politique de site web ou notification ultérieure de produit ne saurait écarter les obligations légales impératives ou les droits des personnes concernées.

1.3 Le présent DPA peut être accepté par voie électronique ou conclu séparément. Les registres d'acceptation identifient le Client, son représentant signataire, la version et la date. Les Utilisateurs Autorisés ne deviennent pas des cocontractants distincts du seul fait de leur accès à un espace de travail.

1.4 Les activités de Seamlexly exercées en qualité de Responsable du traitement véritablement indépendant (telles que sa propre facturation et sa gestion d'entreprise) sont régies par sa Politique de confidentialité et le droit applicable. La qualification juridique dépend de la finalité réelle de chaque activité. Les opérations d'authentification, de sécurité, d'audit ou de conservation exécutées pour le compte du Client demeurent soumises au présent DPA, même si les mêmes systèmes sous-tendent les activités propres de Seamlexly.

1.5 Le présent DPA s'applique sans distinction de nationalité ou de résidence des participants, sous réserve du champ d'application territorial et matériel de la loi applicable. L'établissement en Estonie détermine les obligations de Seamlexly au titre du RGPD ; ces obligations ne sont pas circonscrites aux données de résidents de l'Union européenne.

2. Définitions

Services désigne les services et fonctionnalités activées de Nuvopoll fournis au titre du Contrat.

Bon de commande désigne une commande, un enregistrement d'abonnement ou un descriptif de service convenu séparément identifiant le Client et les Services applicables.

RGPD désigne le Règlement (UE) 2016/679. EEE désigne l'Espace Économique Européen.

Législation Applicable sur la Protection des Données désigne le droit impératif sur la protection des données et de la vie privée applicable au Traitement concerné, y compris le RGPD, le droit estonien applicable et les législations nationales complémentaires, ainsi que, le cas échéant, la loi turque n° 6698 (« KVKK ») et la législation britannique sur la protection des données.

Utilisateur Autorisé désigne une personne autorisée par le Client à utiliser son espace de travail et à émettre des instructions dans la limite des permissions attribuées.

Données Personnelles du Client désigne les Données Personnelles transmises, collectées, générées ou autrement traitées dans le cadre des Services pour le compte du Client, y compris les données d'étude, les journaux d'accès des participants, les enregistrements audio, les transcriptions et les Preuves de Conformité associées.

Preuves de Conformité désigne les enregistrements minimisés appuyant l'obligation de rendre compte (accountability), tels que les versions d'avis de confidentialité, les preuves de recueil de consentement, les registres d'instructions, les preuves de suppression et les métadonnées d'audit pertinentes. Ces éléments peuvent contenir des Données Personnelles et restent soumis aux instructions du Client. Le hachage cryptographique ne confère pas automatiquement un caractère anonyme à ces données.

Instructions Documentées désigne le présent DPA, les Bons de commande applicables, les instructions écrites authentifiées ainsi que les actions ou configurations autorisées sur la plateforme définissant le Traitement concerné.

Données Personnelles, Responsable du traitement, Sous-traitant, Personne Concernée, Traitement, Violation de Données Personnelles et Autorité de Contrôle ont la signification légale définie par le droit applicable ; en vertu du RGPD, les Données Personnelles concernent des personnes physiques identifiées ou identifiables.

Catégories Particulières désigne les données visées à l'article 9 du RGPD et les catégories protégées équivalentes selon le droit applicable. Les données relatives aux condamnations pénales et aux infractions sont soumises de manière distincte à l'article 10 du RGPD, le cas échéant.

Sous-traitant Ultérieur désigne toute entité tierce engagée par Seamlexly pour traiter des Données Personnelles du Client pour le compte de ce dernier. Le personnel agissant sous l'autorité directe de Seamlexly se distingue des prestataires tiers indépendants.

TOM désigne les mesures techniques et organisationnelles décrites à l'Annexe II.

3. Rôles et responsabilités du Client

3.1 Lorsque le Client détermine les finalités et les moyens essentiels de l'étude, il agit en qualité de Responsable du traitement et Seamlexly agit en qualité de Sous-traitant. Lorsque le Client agit pour le compte d'un autre Responsable du traitement, Seamlexly intervient en qualité de Sous-traitant ultérieur de ce dernier, et le Client doit obtenir les autorisations requises et répercuter les instructions licites émanant du niveau supérieur. Les références aux droits et devoirs du Client s'appliquent en tenant compte de ce rôle.

3.2 Le Client détermine la finalité de l'étude, les groupes de participants, les questions posées, les catégories de données, la base juridique de l'article 6 du RGPD, toute condition relative aux données sensibles, les avis de confidentialité, les durées de conservation, les autorisations d'accès, les paramètres de publication ainsi que les avis éthiques ou déclarations locales éventuellement exigés.

3.3 Le Client s'assure de fournir des avis de confidentialité exacts, de ne collecter que les données nécessaires, de gérer les habilitations d'accès des utilisateurs et de recueillir et maintenir les consentements requis ou toute autre base juridique légitime. Le consentement n'est pas requis dans tous les cas ; il appartient au Client d'identifier la base juridique appropriée pour chaque traitement.

3.4 Pour les mineurs, les Catégories Particulières de données et les données d'infractions pénales, le Client met en œuvre les conditions et garanties légales préalables avant toute collecte. Les fonctionnalités logicielles d'étude ne constituent pas en elles-mêmes une dérogation ou une autorisation légale.

3.5 Le Client demeure responsable de l'évaluation matérielle et de l'exécution de ses obligations de Responsable du traitement, notamment de la licéité de ses recherches, du contenu des avis de confidentialité, des décisions relatives aux demandes des Personnes Concernées, des durées de conservation et de toute analyse d'impact ou notification aux autorités. Seamlexly fournit un traitement technique et une assistance ; elle n'agit en aucun cas comme délégué à la protection des données, conseiller juridique ou décideur de conformité pour le Client. Les modèles, rappels et rapports générés par la plateforme ne constituent pas une validation juridique.

3.6 La conception axée sur la confidentialité de Nuvopoll intègre des outils destinés à aider le Client à s'acquitter de ses obligations. Le droit applicable n'impose pas nécessairement un portail, un rappel, un modèle, une interface de gestion de certificats ou un workflow automatisé déterminé. Ces fonctionnalités sont fournies selon les termes du Contrat et de la configuration activée. Leur mise à disposition ne transfère pas les responsabilités du Client à Seamlexly et ne garantit pas la conformité légale de ce dernier. Lorsqu'une fonctionnalité ou un niveau de service précis est convenu, Seamlexly reste tenue d'exécuter cet engagement contractuel.

3.7 Les obligations incombant au Client n'exonèrent pas Seamlexly de ses propres obligations légales ou contractuelles. Seamlexly peut déterminer les moyens techniques non essentiels sans modifier les finalités fixées par le Client.

4. Instructions et traitements autorisés

4.1 Seamlexly ne traite les Données Personnelles du Client que sur Instruction Documentée de ce dernier, y compris en ce qui concerne les transferts, à moins qu'elle ne soit tenue d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel elle est soumise. Elle informe le Client de cette obligation juridique avant le Traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public. Toute autre demande émanant d'une autorité est examinée conformément au droit applicable et aux instruments de transfert contraignants.

4.2 Les instructions comprennent la création d'études, la gestion des accès des participants invités, la configuration des avis et des consentements, l'activation de la transcription, la gestion des permissions, l'analyse des données, l'exportation de sélections, la publication de rapports configurés et le déclenchement de suppressions.

4.3 Si Seamlexly estime qu'une instruction viole le RGPD ou toute autre disposition du droit de l'Union ou d'un État membre relative à la protection des données, elle en informe immédiatement le Client. Elle signale de même toute préoccupation au regard d'autres lois applicables et peut suspendre l'opération concernée dans l'attente d'une clarification. Cela n'impose pas à Seamlexly de valider la conformité juridique de chaque protocole d'étude.

4.4 Une instruction de partage n'autorise que les données, les destinataires, la finalité et la configuration d'accès expressément sélectionnés. La connexion d'une intégration n'autorise pas l'accès à l'ensemble des données de l'espace de travail. Les instructions relatives aux rapports publics restent soumises au principe de minimisation et aux obligations légales de divulgation.

4.5 Seamlexly s'interdit de vendre les Données Personnelles du Client, de les utiliser à des fins de prospection commerciale non liée ou de profilage indépendant, ou de les exploiter pour entraîner des modèles d'intelligence artificielle à usage général pour ses propres besoins. L'anonymisation des Données Personnelles du Client requiert une instruction licite préalable ; des données ne peuvent être traitées comme anonymes que si toute ré-identification est raisonnablement impossible.

5. Personnel et confidentialité

5.1 Les personnes autorisées à traiter les Données Personnelles du Client doivent s'engager à respecter la confidentialité ou être soumises à une obligation légale appropriée de secret, recevoir une formation adaptée et n'accéder qu'aux données strictement nécessaires à l'exercice de leurs fonctions.

5.2 Seamlexly assure la gestion, la modification et la révocation des habilitations d'accès, y compris lors des départs de personnel ou des changements de fonctions. Les accès à privilèges élevés sont restreints et journalisés. Les engagements de confidentialité survivent à la fin de la mission et à l'expiration du Contrat.

5.3 Les sociétés de support et de développement tierces ayant accès aux Données Personnelles du Client relèvent du régime des Sous-traitants ultérieurs ; le simple fait de les qualifier d'équipes de support n'écarte pas ces stipulations.

6. Sécurité et registres

6.1 Seamlexly met en œuvre les TOM appropriées requises par l'article 32 du RGPD, en tenant compte de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du Traitement ainsi que des risques pour les personnes. Ses obligations couvrent la confidentialité, l'intégrité, la disponibilité, la résilience, le rétablissement rapide de la disponibilité et l'évaluation régulière de l'efficacité des mesures de sécurité.

6.2 L'Annexe II précise les mesures appliquées ainsi que toute mesure convenue additionnelle. Seamlexly s'interdit de réduire substantiellement le niveau global de sécurité convenu. Toute modification substantielle affectant la localisation convenue des données, les modalités d'accès ou les transferts est régie par les procédures applicables de notification, d'autorisation et de transfert.

6.3 Seamlexly tient à jour le registre requis des activités de traitement effectuées pour le compte du Responsable du traitement et met ces informations à la disposition de l'Autorité de Contrôle compétente conformément à la loi. Les métadonnées de sécurité et de conformité sont strictement minimisées ; l'accès aux journaux est restreint.

7. Assistance et demandes des personnes concernées

7.1 Compte tenu de la nature du Traitement, Seamlexly aide le Client, par des TOM appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de répondre aux demandes d'exercice des droits des Personnes Concernées (accès, rectification, effacement, limitation, portabilité et opposition).

7.2 Seamlexly notifie sans retard injustifié au Client toute demande reçue directement et ne statue pas sur son bien-fondé, sauf sur Instruction Documentée ou obligation légale. Elle peut accuser réception et orienter la personne vers le Client concerné.

7.3 Le Client détermine si une analyse d'impact, une consultation préalable ou une notification est requise et assume la responsabilité de son contenu et de sa soumission. Seamlexly apporte son assistance au titre des articles 32 à 36 du RGPD, en tenant compte de la nature du Traitement et des informations à sa disposition (sécurité, évaluation des violations, analyses d'impact, consultations préalables). La disponibilité d'outils en libre-service n'épuise pas cette obligation d'assistance.

7.4 L'assistance de routine comprise dans les Services est fournie dans le cadre du Contrat. Des prestations additionnelles exceptionnelles peuvent être facturées sur une base raisonnable et transparente, préalablement convenue dans la mesure du possible. Tout désaccord sur les frais ne saurait retarder une coopération légale urgente. Aucun frais additionnel n'est exigible pour remédier à un manquement de Seamlexly au présent DPA.

7.5 Sous réserve du Contrat et de la configuration activée, les outils en libre-service mis à disposition du Client comprennent un canal de demande dédié aux participants par étude (si activé), une interface de gestion des demandes, des fonctions de recherche, d'exportation et de suppression authentifiées, un suivi des statuts et décisions, des rappels de conservation et la suppression de données d'étude initiée par le Client. Leur périmètre dépend du forfait souscrit, du rôle et de la configuration de l'étude et doit être décrit fidèlement. Ces outils constituent un moyen technique d'assistance pouvant excéder le strict minimum légal ; chaque fonctionnalité énumérée ne constitue pas une obligation légale de produit universelle. La rectification, la limitation et l'opposition peuvent exiger des démarches manuelles distinctes ; le simple fait de marquer une demande comme résolue n'exécute pas automatiquement l'opération technique correspondante.

7.6 S'il est activé, le canal de demande des participants peut collecter le nom, le numéro d'identité/passeport, l'adresse, les coordonnées, le type de demande et le motif du demandeur. Il s'agit de Données Personnelles distinctes des réponses de fond apportées aux questionnaires. Le Client détermine les informations proportionnellement requises pour identifier le demandeur et traiter la demande, apprécie l'adéquation du formulaire et fournit un canal de contact alternatif si nécessaire. Seamlexly demeure responsable de la conception adéquate des traitements qu'elle fournit et de l'assistance requise aux clauses 7.1 à 7.3, sans statuer sur le bien-fondé légal de la demande. La soumission via le canal ne prouve pas en elle-même l'identité du demandeur. Le Client définit toute vérification préalable proportionnée avant de statuer sur la demande.

7.7 La qualification d'une étude comme « anonyme » ne garantit pas en soi que chaque réponse, fichier audio ou enregistrement technique soit juridiquement anonyme. Aucune restriction apportée au canal de demande en ligne ne saurait être présentée comme une privation générale des droits conférés par la loi. Le Client détermine les droits applicables et les exigences licites d'identification, et maintient ses coordonnées accessibles tant que des Données Personnelles demeurent identifiables ; Seamlexly fournit l'assistance prescrite aux clauses 7.1 à 7.3.

8. Violations de données à caractère personnel

8.1 Seamlexly notifie au Client toute Violation de Données Personnelles affectant les Données Personnelles du Client sans retard injustifié après en avoir pris connaissance. Tout délai contractuel additionnel ne s'applique que s'il est expressément stipulé dans un Bon de commande et ne remplace pas l'exigence de notification sans retard injustifié.

8.2 La notification initiale comprend les informations disponibles relatives à la nature de la violation, aux catégories de données et de personnes concernées, au nombre approximatif si ascertainable, aux conséquences probables, aux mesures prises ou envisagées ainsi qu'un point de contact. Les informations complémentaires sont transmises par étapes successives sans retard injustifié ; Seamlexly n'attend pas la clôture définitive de ses investigations avant de notifier le Client.

8.3 Seamlexly investigue, contient et remédie aux incidents relevant de son périmètre de responsabilité, préserve les éléments de preuve et assiste le Client dans l'évaluation des risques et les notifications requises. Elle fournit des points d'étape réguliers et une synthèse finale d'incident disponible.

8.4 La notification ne constitue pas une reconnaissance de responsabilité. L'obligation de notification n'est pas écartée au motif que le Client, un utilisateur ou un tiers aurait contribué à l'incident. La responsabilité et la notification constituent deux questions distinctes.

8.5 Le Client conserve le contrôle exclusif des notifications relatives à ses traitements, sauf obligation légale indépendante pesant sur Seamlexly ou exigence contraire d'un instrument de transfert applicable.

9. Demandes des autorités publiques

9.1 Seamlexly apprécie la validité, la portée et la base légale de toute réquisition portant sur des Données Personnelles du Client. Lorsque la loi l'autorise, elle en avise le Client préalablement à toute divulgation et recherche les clarifications ou voies de recours appropriées si les circonstances le justifient. La communication d'informations est strictement limitée aux exigences impératives de la loi.

9.2 Les réquisitions émanant d'autorités étrangères ne constituent pas automatiquement un fondement légal suffisant de divulgation. L'article 48 du RGPD, le chapitre V du RGPD et les obligations des instruments de transfert impératifs demeurent pleinement contraignants. Seamlexly conserve les traces écrites autorisées et prête son concours au Client.

10. Conservation, restitution et suppression

10.1 Le Client fixe les durées de conservation de ses réponses, fichiers audio, transcriptions, certificats, exports et Preuves de Conformité, y compris la conservation légitime pour la constatation, l'exercice ou la défense de droits en justice. La durée n'a pas à découler exclusivement d'un délai légal impératif. Le Client documente ses arbitrages et les expose dans ses avis de confidentialité si nécessaire. Seamlexly ne définit pas de manière autonome la politique de conservation du Client.

10.2 Le Client paramètre les options de conservation disponibles et émet les instructions de suppression correspondantes. Les rappels et outils de suivi aident le Client à gérer ses études ; une date d'échéance configurée n'entraîne pas automatiquement la suppression des réponses de l'étude. Une fonction de suppression automatique n'opère que si elle est expressément sélectionnée et documentée comme telle. Lorsque la fonction choisie ne délivre que des rappels, il incombe au Client de déclencher la suppression. Seamlexly demeure tenue d'exécuter la surveillance convenue et les instructions licites de suppression.

10.3 Les fichiers d'export générés côté serveur font l'objet d'un nettoyage périodique au terme de sept jours, à moins que le Client n'active l'option de conservation disponible. Le nettoyage est effectué de manière planifiée et non à la seconde exacte de la septième journée. Les exports conservés restent soumis aux instructions de suppression du Client. Les copies téléchargées ou transférées vers des systèmes tiers sont gérées par le Client et ses destinataires.

10.4 Au terme de la prestation de traitement ou à la cessation des Services, Seamlexly procède, au choix du Client, à la restitution ou à la suppression de l'ensemble des Données Personnelles du Client ainsi que des copies existantes, à moins que le droit de l'Union ou d'un État membre n'exige la conservation des données. Le Client notifie son choix par une instruction administrative habilitée. Les Parties conviennent du format de restitution, des modalités d'accès et du calendrier de suppression en utilisant les exports de la plateforme ou une procédure d'assistance convenue, dans le respect du droit applicable. Le présent DPA n'instaure aucun délai fixe supplémentaire d'accès aux exports ni de SLA rigide de finalisation de suppression.

10.5 La suppression d'un compte utilisateur individuel, la fermeture d'un espace de travail, la suppression de données d'une étude et la résiliation du Contrat constituent des instructions distinctes. La demande d'un utilisateur de supprimer son compte ne constitue pas, en soi, une autorisation donnée par le Client de détruire son espace de travail. Tout délai de grâce produit relatif aux comptes utilisateurs ne constitue ni une durée de conservation légale ni une garantie de maintien des accès d'export après résiliation.

10.6 Toute instruction de suppression doit désigner l'étude concernée, les registres ou le périmètre visé avec des éléments de localisation suffisants. Seamlexly applique l'instruction aux Données Personnelles du Client placées sous son contrôle effectif, y compris les enregistrements audio, transcriptions et métadonnées associées si visés par l'instruction. Une action en libre-service ne traite que les éléments spécifiquement sélectionnés. Le Client peut solliciter une assistance pour les données associées non couvertes par le libre-service. Un échec technique non résolu de suppression ne doit pas être qualifié de suppression achevée.

10.7 Les sauvegardes (backups) et les copies marquées pour suppression différée (soft-delete) peuvent subsister pour les durées strictement encadrées à l'Annexe V. Seamlexly en réserve l'usage exclusif à la restauration et à l'administration essentielle du système, assure leur protection et veille à leur expiration programmée ou à leur élimination. Lorsqu'une restauration système réintroduit des données antérieurement supprimées, les instructions de suppression applicables leur sont à nouveau appliquées avant toute remise en exploitation. Le calendrier des copies résiduelles ne déroge pas à un délai légal de suppression anticipée plus contraignant.

10.8 Sur demande, Seamlexly fournit les informations disponibles sur l'état d'avancement, le périmètre effectif, les échecs identifiés, les catégories conservées et le calendrier d'élimination résiduelle. Elle ne certifie l'achèvement d'une suppression qu'à hauteur des vérifications matériellement opérées. La substitution d'un nom, la révocation d'un certificat ou la modification d'un statut n'emportent pas automatiquement l'effacement ou l'anonymisation de l'ensemble des données associées.

10.9 Le Client détermine la durée de conservation des Preuves de Conformité traitées pour son compte et communique ses Instructions Documentées correspondantes. Seamlexly ne choisit pas cette durée et n'en valide pas la pertinence juridique. L'infrastructure technique doit supporter les instructions convenues, et toute contrainte technique significative doit être signalée au Client. Le traitement de fin de service demeure soumis à la clause 10.4.

10.10 Les durées de conservation des données traitées par Seamlexly en qualité de Responsable du traitement indépendant ne relèvent pas du présent DPA et figurent dans sa Politique de confidentialité. Elles ne sauraient être transposées aux Données Personnelles du Client au seul motif de la colocalisation technique dans le même environnement.

11. Audits et responsabilité

11.1 Seamlexly met à la disposition du Client toutes les informations nécessaires pour apporter la preuve du respect des obligations prévues à l'article 28 du RGPD et permet la réalisation d'audits, y compris des inspections, par le Client ou un autre auditeur mandaté par lui, et y contribue.

11.2 Un examen documentaire raisonnable peut précéder toute inspection physique. Les inspections ordinaires font l'objet d'un préavis d'au moins 30 jours et ont lieu au maximum une fois tous les 12 mois. Ces règles ne sauraient faire obstacle à un audit urgent requis en cas de soupçon d'infraction grave, de modification substantielle des traitements ou des garanties, de violation de données nécessitant une expertise, d'injonction d'une autorité ou d'exigence d'un instrument de transfert impératif. Les situations d'urgence justifient un préavis proportionnellement réduit.

11.3 Les audits préservent les données des autres clients, la sécurité des infrastructures et les informations confidentielles par des mesures de protection adaptées, sans que ces garanties ne servent à dissimuler des éléments de conformité indispensables. Seamlexly peut récuser un auditeur pour des motifs légitimes d'indépendance, de qualification ou de conflit d'intérêts et collabore à la désignation d'un remplaçant.

11.4 Les frais des audits ordinaires sont à la charge du Client à des conditions raisonnables. Lorsqu'un audit constate un manquement substantiel imputable à Seamlexly, cette dernière prend en charge les coûts raisonnables imputables et remédie aux manquements. Les clauses tarifaires ne peuvent faire échec aux droits d'audit impératifs ou aux prérogatives des autorités de contrôle.

12. Sous-traitants ultérieurs

12.1 Le Client accorde une autorisation écrite générale pour les Sous-traitants ultérieurs et les activités de traitement énumérés à l'Annexe III. Les sociétés affiliées non listées ne sont pas automatiquement autorisées. Seamlexly maintient cette liste à jour selon la procédure d'information et d'objection ci-après.

12.2 Avant qu'un nouveau Sous-traitant ultérieur ou un remplaçant ne commence à traiter des données, Seamlexly en informe le Client par écrit, en précisant son identité sociale, son service, les catégories de données, ses implantations, les modalités d'accès et les garanties de transfert, avec un préavis suffisant permettant au Client de formuler une objection raisonnable motivée par la protection des données. La notification est adressée à l'adresse e-mail administrative du Client ou via une notification de compte journalisée. Tout délai convenu dans le Contrat s'applique.

12.3 Les Parties s'efforcent d'identifier une solution alternative satisfaisante. Dans l'attente, Seamlexly n'impose pas le traitement contesté à ce Client sans accord licite. Si aucune solution n'est viable, les Parties organisent l'interruption du traitement concerné selon le Contrat et le droit applicable. Le présent DPA n'introduit aucun remboursement automatique ni motif nouveau de résiliation commerciale unilatérale ; les droits légaux impératifs et les voies de recours des instruments de transfert demeurent préservés.

12.4 Seamlexly exerce une diligence raisonnable et lie chaque Sous-traitant ultérieur par un contrat écrit lui imposant les mêmes obligations de protection des données que celles fixées à l'article 28, paragraphe 4, du RGPD, notamment des garanties suffisantes quant aux TOM appropriées. Les conditions contractuelles standard du prestataire ne sont admissibles que si elles satisfont à ces exigences.

12.5 Seamlexly demeure pleinement responsable envers le Client de l'exécution par le Sous-traitant ultérieur de ses obligations, conformément à l'article 28, paragraphe 4, du RGPD. La taille du fournisseur, un déséquilibre de négociation ou l'utilisation de conditions d'adhésion ne réduisent pas cet engagement à une simple obligation de diligence.

12.6 Une intégration tierce activée par le Client peut relever d'un Responsable de traitement distinct, d'un Sous-traitant propre au Client ou d'un Sous-traitant ultérieur de Seamlexly selon les modalités techniques réelles. La qualification juridique doit être documentée et ne dépend pas du seul fait d'avoir cliqué sur le bouton de connexion. Les prestataires servant uniquement aux activités de Responsable de traitement indépendant de Seamlexly sont exclus de l'Annexe III.

13. Emplacements et transferts internationaux

13.1 Les centres d'hébergement principaux sont décrits aux Annexes I et III. Un hébergement centralisé dans l'UE ne signifie pas que tout service d'assistance, accès support ou traitement IA soit confiné à l'UE.

13.2 Seamlexly ne communique pas les Données Personnelles du Client à un destinataire distinct hors de l'EEE sans instruction ou autorisation licite, sans validation du Sous-traitant ultérieur et sans application d'un mécanisme du Chapitre V du RGPD. Les accès à distance constituent des transferts dès lors qu'ils en remplissent les critères légaux.

13.3 Pour chaque transfert restreint, les Parties documentent l'exportateur et l'importateur effectifs, leurs qualités respectives, la destination, la finalité, les données et le mécanisme applicable. En cas de recours aux Clauses Contractuelles Types (CCT/SCC), les modules, options et annexes appropriés sont complétés, l'instrument valablement conclu ou incorporé, et les évaluations d'impact de transfert et mesures supplémentaires requises mises en œuvre préalablement au transfert.

13.4 La mention générique que des données sont «sécurisées par des CCT » ne se substitue pas à l'instrument contractuel formel. L'Annexe IV consigne les clauses et priorités applicables. Les clauses impératives des CCT (droits des personnes concernées, prérogatives des autorités, obligations de suspension) ne sauraient être modifiées par des clauses contractuelles divergentes du DPA ou du Contrat.

13.5 Le Client répond de ses propres obligations au titre du droit de l'exportation des données ; Seamlexly satisfait à ses obligations propres et lui prête son concours. Les mécanismes applicables à la Turquie et au Royaume-Uni sont traités à l'Annexe IV. Les obligations locales ne peuvent être transférées sans discernement au Client.

13.6 Toute modification substantielle de l'implantation, du produit, de l'URL d'appel (endpoint), de l'entité juridique ou des garanties de transfert d'un fournisseur nécessite un réexamen et l'application des procédures de notification et d'autorisation. Si aucun mécanisme légal ne subsiste, les transferts concernés sont suspendus et les Parties adoptent les mesures appropriées.

14. Données audio, IA et authentification des participants

14.1 La collecte d'enregistrements audio et leur transcription constituent des traitements distincts activés sur instruction du Client. Le Client apprécie l'opportunité de l'enregistrement et fournit les avis et bases légales appropriés. Lorsque la transcription est activée, le fichier audio est acheminé vers Google Cloud Speech-to-Text via le point de terminaison européen configuré. Nuvopoll n'utilise pas ces fichiers à des fins d'identification biométrique. Les modes de réponse écrite dépendent de la conception et du paramétrage de l'étude par le Client.

14.2 Les fonctionnalités de l'API Gemini Developer sont utilisées pour concevoir des études, traduire des questions ou des avis de confidentialité et convertir des documents en formulaires d'enquête. Les bases de réponses des participants, les réponses en texte libre et les fichiers audio ne sont pas transmis automatiquement à l'API Gemini pour analyse de modèle. Le Client, en qualité de Responsable du traitement, est responsable des informations et Données Personnelles que lui-même ou ses Utilisateurs Autorisés choisissent d'inclure dans les requêtes (prompts) ou documents chargés, de la licéité de cette divulgation, des avis requis et des bases juridiques applicables. Ces éléments sont transmis à Google LLC pour l'exécution de la commande demandée. Cette répartition n'écarte pas les obligations de Sous-traitant incombant à Seamlexly.

14.3 Le service Gemini est utilisé sous le régime des conditions de l'API Developer de Google LLC, distinctement du contrat de cloud d'entreprise Google Cloud. Google peut conserver les données soumises et les résultats générés jusqu'à 55 jours à des fins de détection des abus (abuse monitoring) selon les conditions du service. Les modalités d'utilisation, de revue, de conservation et de transfert par le prestataire sont régies par les conditions Google AI applicables. L'utilisation par Seamlexly reste encadrée par la clause 4.5. Si les conditions du fournisseur ne permettent pas le traitement licite envisagé, les Données Personnelles visées ne doivent pas être soumises à cette fonctionnalité.

14.4 Tout traitement nouveau par IA appliqué aux bases de réponses, enregistrements audio ou transcriptions exige une fonctionnalité spécifiquement définie, des Instructions Documentées licites et des accords contractuels et de transfert appropriés. Des mentions génériques relatives à l'assistance par IA ne constituent pas une telle habilitation.

14.5 L'accès des participants invités peut s'appuyer sur une liste d'adresses e-mail autorisées (allowlist), un message de vérification, un lien de connexion à usage unique, un horodatage de vérification et des données de session. Ces informations sont traitées au titre du contrôle d'accès du Client. La maîtrise d'une boîte de réception ne prouve pas l'identité civile de la personne. Les tiers traitant les données d'authentification ou d'acheminement des courriels pour le compte de Seamlexly relèvent de la clause 12.

15. Responsabilité et droits impératifs

15.1 La responsabilité contractuelle entre les Parties est régie par le Contrat dans la mesure permise par la loi. Rien dans le présent DPA n'exclut ni ne limite les obligations ou responsabilités auxquelles il ne peut être dérogé légalement, notamment les droits issus de l'article 82 du RGPD, la responsabilité du fait des sous-traitants, les stipulations impératives des instruments de transfert ou les compétences des autorités de contrôle.

15.2 Les engagements d'indemnisation n'exonèrent aucune Partie de ses propres agissements illicites ou devoirs légaux. Le présent DPA n'introduit aucune limitation de responsabilité nouvelle du seul fait de l'intervention d'un grand fournisseur d'infrastructure.

16. Durée, modifications et droit applicable

16.1 Le présent DPA s'applique tant que Seamlexly traite des Données Personnelles du Client. Les stipulations relatives à la confidentialité, à la conservation restreinte licite, à la suppression/restitution, aux audits et à la responsabilité survivent à sa cessation dans la mesure nécessaire.

16.2 Les modifications doivent respecter la procédure contractuelle d'avenant prévue au Contrat et préserver le droit impératif. Les changements substantiels apportés au Traitement ne peuvent être autorisés rétroactivement par une simple modification unilatérale sur un site internet.

16.3 La loi applicable et l'attribution de juridiction contractuelle suivent les stipulations du Contrat, sous réserve du droit impératif, des juridictions obligatoires désignées par les CCT et des prérogatives des personnes concernées et autorités de contrôle.

Annexe I — Description du traitement

Annexe II — Mesures de sécurité et fonctions d'assistance au client

A. Engagements de sécurité et dispositions techniques

Seamlexly applique les mesures appropriées requises par la clause 6. Ce qui suit décrit les dispositions techniques appliquées aux Services et la portée de la sécurité convenue ; il ne s'agit pas d'une garantie absolue d'absence totale d'incidents ou d'interruptions.

1. Hébergement et chiffrement. Hébergement centralisé conforme à l'Annexe I ; chiffrement au repos géré par le fournisseur d'infrastructure pour Firestore et Cloud Storage et protocoles HTTPS/TLS pour toutes les communications de service. L'infrastructure physique est opérée par le fournisseur cloud.
2. Authentification et accès. Firebase Authentication assure l'accès aux comptes. Seamlexly applique des autorisations serveur et des restrictions d'accès strictes aux données du Client. Le Client assigne ses utilisateurs et leurs rôles. Une session authentifiée ne confère en aucun cas le droit d'accéder aux données d'un autre Client ni de fermer son espace de travail.
3. Liens d'écoute audio. La plateforme génère des liens de lecture temporaires valables quinze minutes. Un lien signé constitue un jeton au porteur temporaire : toute personne le détenant peut accéder au fichier pendant cette durée. Il ne remplace pas un contrôle d'identité, et son transfert peut divulguer le fichier. Seamlexly procède aux vérifications d'habilitation requises avant délivrance ; le Client veille à la gestion de ses destinataires et à la circulation des liens.
4. Confidentialité et habilitations. Les accès des équipes sont limités aux missions autorisées et soumis au secret. Les accès privilégiés sont accordés et révoqués conformément à la clause 5.
5. Métadonnées techniques. Selon le mode d'étude sélectionné, les journaux peuvent comprendre des adresses IP masquées, des chaînes user-agent brutes et, en dehors du mode anonyme, des adresses IP réelles et des empreintes dérivées. Le hachage ou la qualification « anonyme » ne garantit pas que les données soient juridiquement anonymes. Le Client prend en compte ces données dans ses avis de confidentialité et ses arbitrages de conservation.
6. Preuves et registres d'audit. Les fonctionnalités d'avis, de consentement, d'instruction et d'audit assurent la traçabilité. L'intégrité des preuves s'appuie sur des empreintes cryptographiques et des registres archivés. Les preuves peuvent contenir des identifiants (notamment l'adresse e-mail de l'intervenant) et font l'objet de contrôles d'accès et de conservation stricts.
7. Restauration et sauvegarde. La récupération à un instant précis (PITR) de Firestore, les sauvegardes journalières planifiées et les mécanismes de suppression différée (soft-delete) du stockage sont décrits à l'Annexe V. Leur existence ne constitue pas une garantie d'objectifs de temps (RTO) ou de perte de données (RPO) convenue séparément ni une garantie de disponibilité ininterrompue.
8. Gestion de la sécurité. Seamlexly réalise des évaluations de sécurité, des traitements de vulnérabilités, une gestion des incidents et des procédures de reprise adaptées aux risques conformément à la clause 6. Toute certification formelle, périodicité de tests, déploiement généralisé du MFA, plage horaire dédiée de support ou seuil de reprise ne s'applique que si elle fait l'objet d'un accord exprès et d'une documentation contractuelle précise.

B. Assistance et fonctionnalités optionnelles de confidentialité

Selon la formule et la configuration activées, les fonctionnalités d'assistance au Client comprennent : des canaux de demande dédiés par étude, des registres de suivi des requêtes, des outils d'exploration/exportation/suppression, des alertes de conservation, le versionnage des mentions d'information, la traçabilité des consentements et les options de confidentialité des études. Le Client les mobilise pour appliquer ses propres choix de gestion.

Le Client peut adresser une demande d'assistance à contact@nuvopoll.com en précisant son compte, l'étude en cause, l'opération sollicitée et les informations de localisation utiles, sans divulguer de Données Personnelles superflues. Seamlexly apporte le concours prévu à l'article 7 à l'aide des outils techniques disponibles et, le cas échéant, d'interventions manuelles coordonnées. Elle peut solliciter toute précision indispensable à l'exécution fidèle d'une instruction.

Aucune prestation de conseil juridique général, de désignation externe de DPO, d'exécution automatisée universelle des droits ou de suppression mécanique sur simple rappel de conservation n'est incluse. La disponibilité d'outils optionnels ne dispense pas Seamlexly de ses devoirs légaux d'assistance ni de son obligation d'exécuter les fonctions expressément convenues au Contrat.

Annexe III — Sous-traitants ultérieurs autorisés

Le Client autorise les Sous-traitants ultérieurs désignés ci-après pour les Services correspondants. Les modifications obéissent à la clause 12. La localisation de l'hébergement central ne préjuge pas des centres d'assistance ou de traitement secondaire de chaque fournisseur. Une entité contractante établie dans l'EEE ne constitue pas en elle-même un destinataire certifié au titre du Cadre de protection des données UE-États-Unis (Data Privacy Framework / DPF) : tout recours au DPF concerne un transfert éligible vers une entité américaine certifiée. Les CCT et autres instruments s'appliquent aux transferts qu'ils régissent effectivement.

Serveur SMTP configuré par le Client

Lorsque le Client configure et active son propre serveur SMTP pour un flux de messages, ces communications sont routées via le prestataire choisi par le Client plutôt que par le relais Resend standard. Le Client est seul responsable de la contractualisation avec ce prestataire et de la mise en place des garanties de confidentialité, de sécurité et de transfert pour sa propre relation fournisseur. Ce prestataire ne devient pas un Sous-traitant ultérieur de Seamlexly du seul fait de son interconnexion à Nuvopoll. Seamlexly demeure responsable de ses propres opérations de traitement et du routage des messages et identifiants. Les messages hors du périmètre de cette route personnalisée restent régis par le dispositif de distribution standard de la plateforme.

Les prestataires traitant uniquement les écritures comptables ou administratives propres à Seamlexly ne sont pas des Sous-traitants ultérieurs des Données Personnelles du Client. Les autres intégrations activées par le Client s'apprécient au regard de la clause 12.6.

Annexe IV — Dispositions relatives aux transferts internationaux

A. Transferts au départ de l'EEE

Pour chaque transfert restreint, les Parties documentent l'exportateur et l'importateur effectifs, leurs qualités respectives, la destination, la finalité, les catégories de données, la durée de conservation, les mesures de garantie et le mécanisme juridique retenu. En cas d'utilisation des Clauses Contractuelles Types de l'UE, les modules, options et annexes appropriés sont renseignés et l'acte dûment signé ou incorporé. Le Module 3 (Sous-traitant à Sous-traitant) peut s'appliquer aux transferts de Seamlexly vers ses Sous-traitants ultérieurs selon la chaîne contractuelle et le périmètre juridique réel. Les analyses d'impact et mesures complémentaires requises sont adoptées avant tout transfert.

Le présent DPA ne vaut pas autorisation préalable de destinataires indéterminés ni signature automatique de CCT non régularisées. Les instruments de transfert impératifs prévalent pour les transferts qu'ils encadrent.

B. Transferts originaires de Turquie

Dès lors que la loi KVKK s'applique, les Parties concernées mettent en œuvre une voie légale valide au titre de l'article 9 de la KVKK pour le transfert réel. En cas de recours au contrat type officiel turc, elles concluent le modèle approprié (Responsable du traitement à Sous-traitant ou Sous-traitant à Sous-traitant), complètent les mentions obligatoires et procèdent à la notification à l'autorité turque dans les cinq jours ouvrés suivant la signature. Les Parties actent la partie responsable de la formalité et conservent la preuve du dépôt. Le texte officiel est maintenu dans son intégrité, sous réserve des options admises.

Les dérogations pour transferts occasionnels ne peuvent servir de justification à un hébergement récurrent et continu. Le Client exécute les devoirs attachés à son rôle d'exportateur ; Seamlexly s'acquitte des obligations correspondant à son rôle et lui prête son concours.

C. Transferts originaires du Royaume-Uni

Lorsqu'un transfert bénéficie d'une décision d'adéquation britannique, la conclusion d'un accord IDTA ou de l'Avenant britannique (UK Addendum) n'est pas requise du seul fait de la localisation de l'exportateur au Royaume-Uni. Lorsqu'un transfert restreint n'est pas couvert par une décision d'adéquation, les Parties régularisent le mécanisme légal adéquat et établissent les instruments et analyses prescrits.

D. Autres législations locales applicables

Le Client recense les exigences propres à son contexte d'utilisation, et les Parties formalisent tout accord de transfert complémentaire indispensable avant d'initier les opérations concernées. Le présent DPA ne garantit pas la conformité de l'hébergement standard à l'ensemble des règles locales de localisation des données de tous les États.

Annexe V — Dispositions relatives à la conservation et aux copies résiduelles

Les copies résiduelles sont strictement encadrées et traitées selon la clause 10.7. Toute modification substantielle de ces règles est régie par les procédures d'avenant, de localisation, de sous-traitance et d'instruction applicables. La restauration de sauvegardes ou la production de nouveaux exports ne peuvent servir à éluder une instruction de suppression.

Acceptation

Le présent DPA peut être intégré au Contrat et accepté électroniquement par le représentant habilité du Client. Le compte ou le Bon de commande concerné et l'enregistrement de l'acceptation identifient le Client, son représentant, la version et la date d'acceptation. Aucune signature manuscrite séparée n'est exigée dès lors qu'intervient une acceptation ou incorporation électronique valable.