Accord de Traitement des Données (DPA)
Art. 28 RGPD — comment FlowMan.net traite les données personnelles pour votre compte.
1. Objet et rôles
Le présent Accord de Traitement des Données (DPA) complète les CGU et encadre le traitement de données personnelles réalisé par FlowMan.net (« le Sous-traitant ») pour le compte du client (« le Responsable de traitement ») au sens de l'art. 28 du RGPD. Il s'applique dès que le client traite via la plateforme des données de ses propres collaborateurs, clients, participants d'ateliers ou répondants d'enquêtes.
2. Données traitées et finalités
Catégories : identité et coordonnées professionnelles (nom, email), données d'usage des ateliers (réponses, votes, notes, évaluations de maturité), contenus importés par le client. Finalité exclusive : fourniture des fonctionnalités de la suite FlowMan.net. Aucune vente ni utilisation publicitaire des données.
3. Instructions et confidentialité
FlowMan.net ne traite les données que sur instruction documentée du client (via l'utilisation de la plateforme). Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
4. Sous-traitants ultérieurs
Le client autorise le recours aux sous-traitants suivants. Toute modification sera notifiée avec faculté d'objection :
- Stripe — Paiements et facturation (données de facturation) — USA/UE, certifié PCI-DSS.
- Resend — Envoi d'emails transactionnels (adresse email, contenu des notifications).
- PostHog (EU Cloud) — Analyse produit et session replay — hébergé dans l'Union Européenne, saisies masquées par défaut.
- Hébergement cloud — Hébergement de l'application et de la base de données, sauvegardes chiffrées.
5. Mesures de sécurité
Chiffrement TLS en transit, isolation stricte des données par organisation (multi-tenant), authentification à deux facteurs, vérification par code OTP des opérations sensibles, sauvegardes quotidiennes chiffrées avec rétention de 14 jours, journalisation des accès administrateurs.
6. Assistance à l'exercice des droits
La plateforme fournit nativement : export complet des données au format ZIP, suppression définitive du compte (délai de rétractation de 7 jours ou suppression immédiate vérifiée par OTP), rectification en libre-service. FlowMan.net assiste le client pour toute demande complémentaire des personnes concernées sous 72 h ouvrées : dpo@flowman.net.
7. Violation de données
En cas de violation de données personnelles, FlowMan.net notifie le client sans délai injustifié et au plus tard 48 h après en avoir pris connaissance, avec les informations nécessaires à ses obligations de notification (art. 33 RGPD).
8. Durée, restitution et suppression
Le DPA s'applique pendant toute la durée de la souscription. À la résiliation, le client peut exporter l'intégralité de ses données (ZIP) ; les données sont ensuite définitivement supprimées des systèmes actifs sous 30 jours et des sauvegardes sous 44 jours (cycle de rétention).
9. Audit
FlowMan.net met à disposition la documentation nécessaire pour démontrer sa conformité. Un audit peut être mené une fois par an, à distance, moyennant un préavis de 30 jours et un accord de confidentialité.