Accord de traitement des données

Référence DPA-2026-10-06. Rédaction du 6 octobre 2026. Cette date ne fait pas repartir un engagement déjà commencé et ne crée pas un paiement pour une période déjà réglée. La poursuite de l’utilisation vaut acceptation de cette version, sans nouvelle signature.

Data Processing Agreement (« DPA ») — Version de rédaction : 6 octobre 2026 — Référence : DPA-2026-10-06.

1. Parties et rattachement au contrat

Le présent accord lie :

• PRO&BEAUTY, SARL au capital de 1 000 euros, RCS Toulouse 801 458 134, SIRET 801 458 134 00039, siège social 9 avenue de la Marqueille, 31650 Saint-Orens-de-Gameville, France (« Pro&Beauty » ou le « Sous-traitant ») ;
• le Client professionnel ou Partenaire identifié dans le compte, la commande ou le contrat particulier, dont le représentant habilité accepte le présent DPA (« Donneur d’ordre »).

Le contact Pro&Beauty pour les données et incidents est service-clients@proandbeauty.com, objet « RGPD / DPA » ou « Urgent — Incident de données ». Le contact du Donneur d’ordre est celui du représentant ou du référent données désigné dans son compte ; il est tenu à jour.

Le DPA fait partie des CGU, CGV ou du contrat partenaire qui l’incorpore. Il est conclu par acceptation écrite, y compris électronique, du représentant habilité, avec identification des parties et de la version. Les instructions, annexes et leur historique sont conservables.

Il prévaut sur le contrat principal pour les traitements réalisés en sous-traitance, sans écarter une règle impérative ou une clause contractuelle type de transfert applicable. Il est régi par le règlement (UE) 2016/679 (« RGPD ») et les autres dispositions applicables aux traitements concernés.

2. Rôles et périmètre

Le DPA s’applique lorsque Pro&Beauty traite, pour fournir la Plateforme, les données personnelles que le Donneur d’ordre lui confie ou lui demande de produire ou transmettre : fichiers de destinataires, campagnes, contenus identifiants, paramètres, statistiques et autres données décrites à l’annexe A (« Données confiées »).

Le Donneur d’ordre est normalement responsable de traitement. S’il intervient lui-même comme sous-traitant d’un responsable distinct, il garantit être autorisé à engager Pro&Beauty comme sous-traitant ultérieur, transmet les instructions pertinentes et reste l’interlocuteur contractuel, sauf accord différent. Les droits du responsable initial restent préservés.

Les données que Pro&Beauty traite pour ses finalités propres de gestion commerciale, comptabilité ou sécurité indépendante sont décrites dans sa politique de confidentialité. Cette distinction ne permet pas de requalifier arbitrairement un fichier confié ou une campagne en traitement propre. Une opération de responsabilité conjointe nécessite, le cas échéant, un accord distinct conforme à l’article 26 du RGPD.

3. Instructions documentées et limitation des finalités

Pro&Beauty traite les Données confiées uniquement sur les instructions documentées et licites du Donneur d’ordre, notamment le contrat, les annexes, les choix d’utilisation, imports, créations, envois, exports et demandes écrites de son représentant habilité. Les instructions couvrent les transferts internationaux effectivement autorisés et encadrés.

Si le droit de l’Union ou d’un État membre impose une autre opération, Pro&Beauty en informe le Donneur d’ordre avant le traitement, sauf interdiction légale pour un motif important d’intérêt public. Une demande d’une autorité de pays tiers n’est pas considérée, à elle seule, comme une instruction valable ou une autorisation générale de transfert.

Pro&Beauty informe immédiatement le Donneur d’ordre si elle estime qu’une instruction viole les règles applicables de protection des données. Elle peut suspendre l’instruction litigieuse dans la mesure nécessaire, solliciter sa correction et préserver les données et droits concernés. Elle n’est pas tenue d’exécuter une instruction manifestement illicite.

Les Données confiées ne sont ni vendues, ni utilisées pour prospecter les destinataires pour le compte de Pro&Beauty ou d’une marque, ni mutualisées dans un fichier commercial. Leur utilisation pour entraîner ou améliorer de façon autonome un modèle d’IA exige un cadre distinct licite et ne résulte pas du présent DPA. Les statistiques réutilisées hors instruction doivent être effectivement anonymes ou faire l’objet d’un cadre légal distinct.

4. Obligations du Donneur d’ordre

Le Donneur d’ordre :

• détermine les finalités, les bases légales et les durées de conservation de ses traitements, en tenant compte des capacités et délais convenus ;
• fournit les informations et recueille les accords nécessaires auprès des personnes, y compris pour les images, voix, campagnes et transmissions à des destinataires tiers ;
• établit et conserve les preuves de consentement ou d’une autre base, gère les oppositions et exclut les contacts qui ne peuvent plus être sollicités ;
• limite les imports aux données nécessaires, vérifie leur qualité et n’introduit pas de catégories non autorisées ;
• organise ses habilitations, protège les accès et communique des instructions cohérentes ;
• réalise les analyses d’impact et consultations qui lui incombent, avec l’assistance prévue ci-dessous ;
• respecte les règles nationales et sectorielles applicables aux destinataires, aux canaux de communication et aux pays concernés.

Ces obligations ne libèrent pas Pro&Beauty de ses obligations propres au titre du RGPD et du présent accord.

5. Confidentialité et accès autorisés

Pro&Beauty s’assure que les personnes autorisées à traiter les Données confiées sont tenues par un engagement de confidentialité ou une obligation légale appropriée. Les accès sont limités aux missions nécessaires et retirés lorsqu’ils ne sont plus requis.

Le support n’accède aux données d’un compte que lorsque cela est nécessaire à une intervention justifiée et avec les habilitations appropriées. La désignation d’une marque partenaire ne donne pas à celle-ci un accès aux fichiers privés du Client sans instruction et fondement valables.

Les engagements de confidentialité subsistent après la fin de l’intervention. Les habilitations sensibles et leur contrôle sont documentés à l’annexe C.

6. Sécurité, documentation et maintien des garanties

Pro&Beauty met en œuvre des mesures techniques et organisationnelles adaptées à la nature, à la portée, aux finalités et aux risques du traitement, conformément à l’article 32 du RGPD. L’annexe C décrit les mesures contractuellement prévues et les paramètres réellement vérifiés.

Les mesures prennent notamment en compte la confidentialité, l’intégrité, la disponibilité, la résilience, la restauration après incident, les protections d’accès et l’évaluation régulière de leur efficacité. Leur adaptation ne peut réduire globalement le niveau de protection convenu sans information et cadre appropriés.

Pro&Beauty tient la documentation et le registre des activités de sous-traitance requis, conserve les informations utiles à la démonstration de conformité et coopère avec les autorités de contrôle. Une obligation de sécurité ne constitue pas une garantie d’absence absolue d’incident.

7. Sous-traitance ultérieure et information préalable

Le Donneur d’ordre accorde une autorisation générale écrite pour les sous-traitants ultérieurs identifiés et décrits dans l’annexe B complétée et rendue accessible lors de l’acceptation. Cette autorisation ne porte pas sur un fournisseur indéterminé ni sur une finalité nouvelle.

Pro&Beauty informe le Donneur d’ordre sur support durable de tout ajout ou remplacement envisagé au moins trente jours calendaires avant l’accès prévu aux Données confiées, en indiquant l’identité, la mission, les données concernées, les pays et garanties de transfert pertinents. Le Donneur d’ordre peut émettre une objection motivée relative à la protection des données pendant ce délai.

Les parties recherchent une solution raisonnable : information complémentaire, mesure de protection, fournisseur alternatif ou désactivation de la fonction concernée. Si une objection fondée demeure sans solution, le Donneur d’ordre peut mettre fin à la seule prestation affectée, avec restitution des sommes prépayées correspondant à sa période non fournie. Ce mécanisme n’autorise pas la suppression des droits légaux de contrôle.

En situation d’urgence, Pro&Beauty privilégie un fournisseur déjà autorisé ou sollicite une autorisation spécifique préalable ; une urgence ne crée pas une dispense générale des exigences de l’article 28 du RGPD.

Chaque sous-traitant ultérieur est lié par écrit à des obligations de protection au moins équivalentes pour son périmètre. Pro&Beauty vérifie ses garanties et demeure responsable envers le Donneur d’ordre de l’exécution de ces obligations par ses sous-traitants ultérieurs, conformément au RGPD. Une exclusion générale concernant les services extérieurs ne s’applique pas à cette responsabilité.

8. Transferts internationaux et accès depuis un pays tiers

Les pays de stockage, sauvegarde et accès sont identifiés à l’annexe B. Aucune localisation exclusivement dans l’EEE n’est garantie par défaut. Les accès d’assistance et l’administration à distance sont pris en compte dans la cartographie des transferts.

Avant tout transfert relevant du chapitre V du RGPD, Pro&Beauty et le Donneur d’ordre s’assurent de l’existence d’un mécanisme adapté : décision d’adéquation effectivement applicable ou garanties appropriées, notamment les clauses contractuelles types (« CCT ») de la décision d’exécution (UE) 2021/914, avec le module pertinent, annexes complètes et engagements effectivement souscrits.

L’évaluation du transfert et les mesures complémentaires nécessaires sont documentées. La validité du mécanisme et, lorsqu’elle est invoquée, la certification de l’entité destinataire sont contrôlées. Le consentement général à des CGU ne remplace pas ces garanties.

Les CCT de transfert valablement conclues prévalent en cas de contradiction et ne sont pas modifiées d’une manière qui réduise leur protection. Les clauses destinées au seul encadrement de l’article 28 ne sont pas utilisées à tort comme outil de transfert international.

Si le mécanisme devient invalide ou insuffisant, les parties mettent en place une garantie valable, suspendent le transfert concerné ou prennent les mesures légalement requises. Une donnée n’est pas transférée à un nouveau fournisseur d’IA par le seul fait que la fonction aurait été ajoutée à l’interface.

9. Droits des personnes et assistance

Pro&Beauty met à disposition les moyens et informations raisonnablement nécessaires pour aider le Donneur d’ordre à répondre aux demandes d’accès, rectification, effacement, limitation, opposition et portabilité, compte tenu de la nature du traitement.

Si une demande concernant des Données confiées lui est adressée directement, elle la transmet sans retard injustifié au contact du Donneur d’ordre, avec un objectif de transmission de trois jours ouvrables, et ne répond pas sur le fond sans instruction, sauf obligation légale. Elle ne divulgue pas des données à une personne sans les vérifications appropriées.

Pro&Beauty assiste aussi le Donneur d’ordre pour les obligations de sécurité, les analyses d’impact et consultations préalables, dans la mesure des informations dont elle dispose. Les opérations usuelles accessibles dans le service sont comprises. Une assistance exceptionnelle peut faire l’objet d’un devis raisonnable et accepté, à condition de ne pas empêcher une obligation légale ou urgente et de ne pas faire payer la correction d’un manquement de Pro&Beauty.

10. Violations de données personnelles

Pro&Beauty notifie au Donneur d’ordre sans retard injustifié après en avoir pris connaissance toute violation de Données confiées. Elle vise une première information dans les vingt-quatre heures suivant cette connaissance, sans attendre un rapport complet et sans utiliser ce délai comme autorisation de retarder une alerte disponible plus tôt.

La notification indique progressivement, selon les éléments disponibles : la nature de l’incident, les catégories et ordres de grandeur des données et personnes concernées, le contact chargé du suivi, les conséquences probables et les mesures prises ou proposées. Une information incomplète est complétée au fur et à mesure.

Pro&Beauty prend les mesures raisonnables de confinement et remédiation, préserve les éléments utiles, documente l’incident et coopère aux investigations. Elle ne réalise pas de communication publique identifiant le Donneur d’ordre ou ses personnes concernées sans instruction ou nécessité légale.

Le Donneur d’ordre apprécie ses propres notifications à l’autorité, notamment le délai de soixante-douze heures applicable selon le RGPD, et aux personnes en cas de risque élevé. Pro&Beauty conserve les obligations de notification qui lui incombent pour ses propres traitements et celles imposées par un autre droit applicable.

11. Contrôle, informations et audits

Pro&Beauty met à disposition les informations nécessaires pour démontrer le respect du DPA et permet les audits, y compris les inspections, du Donneur d’ordre ou d’un auditeur indépendant mandaté et tenu à confidentialité.

Les parties privilégient d’abord, lorsque cela suffit, la revue documentaire et les éléments d’audit pertinents. Pour une inspection programmée, un préavis normalement de quinze jours ouvrables est convenu, avec périmètre, organisation, protection des autres clients et secrets légitimes, sans empêcher un contrôle effectif.

Les audits ordinaires peuvent être coordonnés pour éviter des interventions disproportionnées. Aucune limite de fréquence, de coût ou de préavis ne bloque un audit nécessaire après un incident, une suspicion fondée de non-conformité ou une demande d’autorité. Les tests intrusifs en production nécessitent une organisation préalable compatible avec la sécurité, sans constituer un refus général d’audit.

Chaque partie supporte normalement ses coûts ; des prestations exceptionnelles peuvent être convenues sans entraver les droits. Pro&Beauty supporte la correction de ses manquements et les coûts raisonnables directement causés par une non-conformité établie dans les limites légales et contractuelles valables.

12. Fin du traitement : restitution ou suppression au choix du Donneur d’ordre

Au terme des prestations, le Donneur d’ordre choisit la restitution ou la suppression des Données confiées, puis la suppression des copies existantes, sauf obligation légale de conservation. Une fonction de clôture doit expliquer ce choix et les délais. L’anonymisation n’est une alternative que si elle est effective et acceptée lorsqu’une telle acceptation est nécessaire.

Sauf demande d’effacement plus rapide, maintien autorisé dans un compte gratuit ou règle de réversibilité différente, une période de récupération de trente jours calendaires suit la fin effective du traitement. En l’absence d’instruction différente, Pro&Beauty avertit le Donneur d’ordre de la date prévue et applique la suppression après cette période. Les données actives sont supprimées au plus tard dans les trente jours calendaires suivants.

Les formats d’export sont structurés, couramment utilisés et lisibles par machine lorsque requis. Une restitution obligatoire ne peut être refusée pour le seul motif d’un impayé. Les droits de Pro&Beauty sur son logiciel et les droits de tiers sont préservés sans empêcher la remise des données auxquelles le Donneur d’ordre a droit.

Les copies résiduelles de sauvegarde sont isolées de l’usage courant et purgées au plus tard dans les quatre-vingt-dix jours suivant la suppression des données actives. Si une restauration exceptionnelle est nécessaire avant cette purge, les suppressions et exclusions sont réappliquées. Une preuve de suppression est fournie sur demande raisonnable.

Une obligation légale résiduelle est documentée avec les données, finalité, durée et accès concernés ; elle ne permet pas de garder tout un fichier pour une simple commodité. Les factures et preuves propres de Pro&Beauty relèvent d’une conservation distincte, sans réutilisation des Données confiées à des fins commerciales.

Les délais plus protecteurs ou périodes de récupération impérativement requis par le Data Act, un accord de transfert ou une loi applicable prévalent. Une migration en cours ne doit pas être interrompue par une suppression prématurée.

13. Intelligence artificielle et services connectés

Les fonctions d’IA, d’emailing, de SMS/RCS et autres services connectés traitant les Données confiées sont identifiées avec leur rôle et leur périmètre. Une action du Donneur d’ordre ne valide pas une transmission à un fournisseur inconnu ou l’usage autonome des données par celui-ci.

Pro&Beauty limite les données adressées à une IA à celles nécessaires à la fonction, configure les possibilités de conservation et de réutilisation selon les garanties contractuelles requises et ne promet pas l’absence d’entraînement par un fournisseur sans l’avoir vérifiée. Si des garanties suffisantes ne peuvent être établies pour des Données confiées, la fonction doit être limitée aux données non personnelles ou désactivée pour ces données.

Un fournisseur agissant pour certaines opérations comme responsable distinct n’est pas couvert pour ces opérations par un simple contrat de sous-traitance. L’information, la base légale, les permissions et les transferts correspondants doivent être organisés avant leur activation. Les copies publiées sur un réseau choisi par le Donneur d’ordre suivent ensuite le rôle et les conditions de ce destinataire, sans supprimer les obligations de Pro&Beauty sur son propre périmètre.

14. Données sensibles et usages non autorisés

Le service standard n’est pas destiné à l’hébergement de dossiers médicaux, de données de santé détaillées, de données biométriques d’identification, de données relatives aux infractions ni d’autres données exigeant un dispositif spécifique non convenu. Une photo de personne peut être une donnée personnelle ; sa qualification sensible dépend notamment de ce qu’elle révèle et du traitement réalisé.

Le Donneur d’ordre n’importe pas ces catégories sans accord spécifique et garanties adaptés. Le caractère esthétique ou professionnel d’un usage ne constitue pas, à lui seul, une autorisation au titre de l’article 9 du RGPD. Les contenus concernant des mineurs requièrent les autorisations et protections applicables.

Si Pro&Beauty découvre une donnée importée hors périmètre, elle informe le Donneur d’ordre et recherche une mesure proportionnée de restriction, restitution ou suppression, sauf nécessité légale ou urgence contraire. L’interdiction contractuelle ne suffit pas à exonérer des obligations de sécurité sur une donnée effectivement reçue.

15. Responsabilité, coopération et droits impératifs

Chaque partie répond de ses manquements aux obligations qui lui incombent. Pro&Beauty reste responsable des sous-traitants ultérieurs selon l’article 28 du RGPD. Les exclusions relatives aux services tiers du contrat principal ne peuvent contredire cette obligation.

Les limitations valablement prévues dans le contrat principal peuvent s’appliquer aux rapports contractuels entre les parties dans la seule mesure légalement admise. Elles ne limitent pas les droits des personnes concernées, les recours de l’article 82 du RGPD, la part de responsabilité légalement attribuée, les pouvoirs des autorités, les CCT applicables ni les obligations non limitables.

Aucune partie ne peut transférer à l’autre une sanction qui lui est personnellement imposée en violation d’une règle impérative. Une répartition contractuelle ne produit pas une exonération opposable à une autorité ou à une personne concernée.

16. Traitements soumis à la loi suisse et à d’autres droits

Lorsque la loi suisse sur la protection des données (« LPD ») s’applique, les instructions et garanties couvrent également les obligations pertinentes de sous-traitance, de sécurité et de communication à l’étranger. Pro&Beauty informe le Donneur d’ordre d’une violation sans retard injustifié et l’assiste pour ses obligations envers le PFPDT et les personnes concernées.

Si des CCT européennes sont utilisées pour un transfert soumis à la LPD, les adaptations nécessaires pour leur usage suisse, notamment les références légales et autorités compétentes, doivent être convenues et complétées dans l’annexe de transfert. Les annexes européennes ne sont pas réputées adaptées automatiquement à tous les pays.

Tout besoin lié à un autre droit applicable est identifié avant le traitement et encadré par un avenant ou des garanties supplémentaires lorsque nécessaire. Aucune clause ne garantit une conformité mondiale indifférenciée.

17. Évolution du DPA et ordre de priorité

Les modifications sont identifiées, conservables et communiquées suivant la procédure contractuelle ; les changements de sous-traitant suivent l’article 7. Une publication ne réduit pas rétroactivement la protection convenue. Les corrections nécessaires à une obligation impérative prennent effet suivant ses exigences, avec information appropriée.

Le DPA reste applicable aussi longtemps que Pro&Beauty conserve des Données confiées au titre de ses prestations. En cas de contradiction, les règles impératives et garanties valables de transfert priment, puis le DPA et ses annexes pour leur objet. Les clauses de juridiction du contrat principal ne limitent pas les voies de recours propres aux personnes ni les compétences des autorités.

Annexe A — Description des traitements et instructions initiales

A.1 Parties et contacts

• Donneur d’ordre : personne morale ou professionnel identifié dans le compte et la commande ; adresse, identifiant professionnel, représentant et contact données enregistrés dans le dossier contractuel.
• Sous-traitant : PRO&BEAUTY, coordonnées à l’article 1.
• Responsable initial, si le Donneur d’ordre est lui-même sous-traitant : identité et autorisation à documenter dans un avenant avant traitement.

A.2 Objet et finalités

Fournir les fonctions choisies de gestion de contenus, création de supports, traitement de fichiers de contacts, préparation et envoi de campagnes, programmation, intégrations, statistiques et assistance technique. Aucune prospection autonome sur les fichiers confiés n’est une instruction initiale.

A.3 Nature des opérations

Collecte par import ou saisie, réception, stockage, organisation, consultation habilitée, conversion et personnalisation, segmentation selon les instructions, transmission aux destinataires choisis, journalisation nécessaire, calcul de statistiques, export, sauvegarde, restauration, suppression et assistance. Les opérations d’IA ne sont réalisées que pour une fonction activée et avec un fournisseur autorisé.

A.4 Personnes concernées

Clients, prospects et contacts du Donneur d’ordre ; interlocuteurs de ses établissements ; collaborateurs identifiés dans les fichiers et contenus ; personnes représentées ou citées dans les supports ; bénéficiaires professionnels d’un partenariat. Les destinataires particuliers sont inclus lorsqu’ils figurent dans une campagne licite.

A.5 Catégories de données

Noms et coordonnées, email et téléphone, informations professionnelles et établissement, langue et préférences de communication, segment ou critères de campagne non sensibles, preuve de consentement ou opposition, contenu des messages, historique technique d’envoi et statistiques, photos/vidéos/voix volontairement importées et autres données strictement nécessaires à une fonction convenue.

Les mots de passe des réseaux sociaux, données complètes de carte, dossiers médicaux, données sensibles non autorisées et données pénales sont exclus du périmètre standard. Les secrets techniques de connexion nécessaires sont traités selon les mesures de sécurité convenues.

A.6 Durée, fréquence et destinataires

La fréquence dépend de l’usage : stockage continu pendant la prestation, campagnes et génération ponctuelles, accès de support justifiés. La durée correspond au contrat et aux instructions, puis aux délais de restitution et suppression de l’article 12. Les destinataires sont ceux autorisés pour la campagne ou fonction et les sous-traitants de l’annexe B.

A.7 Export et suppression

Les données structurées et métadonnées nécessaires à leur compréhension sont restituées en formats documentés tels que CSV ou JSON ; les médias dans leurs formats d’origine ou un format standard adapté ; les créations dans les formats disponibles et licites. Les limites concernant des sources protégées sont annoncées sans retirer les données propres du Donneur d’ordre.

Les formats effectivement disponibles à l’export et les limites techniques sont ceux proposés dans le service au moment de la récupération. Ils ne certifient pas un format qui ne serait pas proposé.

Annexe B — Prestataires

Les prestataires suivants interviennent pour l’exploitation de la Plateforme. Cette liste nomme le service utilisé. Elle ne reproduit pas l’entité contractante détaillée, le pays de chaque traitement ni la référence d’une clause de transfert : ces éléments sont communicables au Donneur d’ordre sur demande, sans être attestés dans la présente version.

Un prestataire qui n’est pas dans cette liste n’est pas autorisé par le présent DPA à traiter les Données confiées. L’ajout ou le remplacement suit l’article 7.

Annexe C — Sécurité

Pro&Beauty applique l’article 6. La présente version ne publie pas une attestation de certification, ni le détail des clés, des journaux ou des procédures internes. Les mesures précises utiles à un contrôle sont communiquées sous confidentialité. Cette réserve ne supprime pas le droit d’audit.

Annexe D — Rôles à ne pas confondre

Stripe et les établissements de paiement déterminent certaines finalités propres de paiement et de lutte contre la fraude. Sellsy reçoit la relation commerciale et les pièces de Pro&Beauty ; une liste de destinataires du Donneur d’ordre n’a pas à y être copiée sans nécessité. Ringover sert la téléphonie du support. Meta, Google et les autres réseaux connectés à la demande du Donneur d’ordre appliquent leurs conditions pour les opérations qu’ils réalisent. Une marque partenaire reste responsable de ses propres fichiers. Aucun de ces rôles ne donne à une marque un accès général aux listes et créations privées du Client.