Accord de traitement des données de QR Code AI

ACCORD DE TRAITEMENT DES DONNÉES (DPA)

Dernière mise à jour : 2 mars 2026

Le présent accord de traitement des données (« DPA ») fait partie des Conditions d’utilisation (le « Contrat ») conclues entre Supernovae, société immatriculée en France, située au 27 Rue Wurtz, Juvisy-sur-Orge 91260, numéro de TVA FR67948452891 (le « Sous-traitant », « nous »), et l’entité qui accepte le présent DPA (le « Responsable du traitement », « vous »), ensemble désignées les « Parties ».

Le présent DPA s’applique lorsque nous traitons des données à caractère personnel pour votre compte dans le cadre des services QR Code AI, y compris par l’intermédiaire de l’API.

1. DÉFINITIONS

• « Données à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l’article 4, paragraphe 1, du RGPD.
• « Traitement » : toute opération ou tout ensemble d’opérations effectuées sur des Données à caractère personnel, au sens de l’article 4, paragraphe 2, du RGPD.
• « Personne concernée » : la personne physique identifiée ou identifiable à laquelle se rapportent les Données à caractère personnel.
• « Sous-traitant ultérieur » : tout tiers auquel le Sous-traitant fait appel pour traiter des Données à caractère personnel pour le compte du Responsable du traitement.
• « RGPD » : le règlement (UE) 2016/679 du Parlement européen et du Conseil.
• « RGPD britannique » : le règlement général sur la protection des données du Royaume-Uni, tel qu’applicable en droit britannique et lu conjointement avec le Data Protection Act 2018.
• « CCT » : les clauses contractuelles types approuvées par la Commission européenne pour le transfert de Données à caractère personnel vers des pays tiers.
• « Violation de données » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données à caractère personnel ou l’accès non autorisé à de telles données.

2. CHAMP D’APPLICATION ET RÔLES

2.1 Responsable du traitement et Sous-traitant

Aux fins du présent DPA :

• Vous (Responsable du traitement) : vous déterminez les finalités et les moyens du Traitement des Données à caractère personnel lorsque vous utilisez nos Services, notamment lorsque vous utilisez notre API pour générer des QR codes pour vos propres clients ou intégrer nos Services à vos produits.
• Nous (Sous-traitant) : nous traitons les Données à caractère personnel pour votre compte, conformément à vos instructions, dans les conditions décrites dans le présent DPA et le Contrat.

2.2 Cas dans lesquels le présent DPA s’applique

Le présent DPA s’applique lorsque :

• Vous utilisez l’API QR Code AI pour générer des QR codes qui traitent les données de vos utilisateurs finaux, par exemple des URL contenant des informations personnelles, des données vCard ou des coordonnées encodées dans des QR codes.
• Vous utilisez les fonctionnalités de suivi et d’analyse de QR Code AI qui collectent des données de scan auprès de vos utilisateurs finaux.
• Nous traitons, dans toute autre situation, des Données à caractère personnel pour votre compte en qualité de sous-traitant.

Lorsque vous utilisez QR Code AI à titre individuel pour vos propres besoins, nous agissons en qualité de responsable du traitement indépendant et notre Politique de confidentialité régit le traitement des données.

3. DESCRIPTION DU TRAITEMENT DES DONNÉES

3.1 Objet et durée

Nous traitons les Données à caractère personnel pendant la durée du Contrat afin de fournir les services QR Code AI, notamment la génération de QR codes, le suivi, les analyses et les fonctionnalités associées.

3.2 Nature et finalités du Traitement

• Générer des QR codes à partir des données fournies par le Responsable du traitement
• Suivre les scans de QR codes et collecter des données d’analyse
• Stocker les configurations des QR codes et les métadonnées associées
• Traiter les demandes de génération de QR codes artistiques par intelligence artificielle
• Fournir des rapports et des tableaux de bord d’analyse

3.3 Types de Données à caractère personnel

Les Données à caractère personnel traitées peuvent comprendre :

• Les coordonnées encodées dans des QR codes : noms, adresses e-mail et numéros de téléphone
• Les URL et adresses web
• Les données de localisation issues des scans de QR codes
• Les informations sur les appareils et les adresses IP issues des scans de QR codes
• Les instructions textuelles et les images fournies pour générer des QR codes par intelligence artificielle
• Toute autre donnée que le Responsable du traitement choisit d’encoder dans des QR codes

3.4 Catégories de Personnes concernées

• Les utilisateurs finaux qui scannent les QR codes créés par le Responsable du traitement
• Les personnes dont les coordonnées sont encodées dans des QR codes
• Les utilisateurs des produits ou services du Responsable du traitement qui interagissent avec les QR codes

4. OBLIGATIONS DU SOUS-TRAITANT

4.1 Instructions relatives au Traitement

Nous traitons les Données à caractère personnel uniquement sur vos instructions documentées, sauf si le droit de l’Union européenne ou le droit d’un État membre auquel nous sommes soumis nous impose de le faire. Dans ce cas, nous vous informons de cette obligation légale avant le Traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

Nous vous informons immédiatement si, selon nous, une instruction constitue une violation du RGPD ou d’autres dispositions applicables du droit de l’Union européenne ou d’un État membre relatives à la protection des données.

4.2 Confidentialité

Nous veillons à ce que les personnes autorisées à traiter les Données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

4.3 Mesures de sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :

• Le chiffrement des Données à caractère personnel en transit (TLS/HTTPS), ainsi que le chiffrement au repos des informations sensibles stockées
• Des contrôles d’accès et une authentification fondée sur les rôles pour les systèmes internes
• Des évaluations régulières de la sécurité et des analyses de vulnérabilité
• Une infrastructure hébergée par Scaleway et DigitalOcean, avec des mesures de sécurité et de conformité qui dépendent du prestataire et du service d’hébergement
• Une protection contre les attaques par déni de service distribué (DDoS) et un pare-feu applicatif web (Cloudflare)
• Des sauvegardes régulières avec stockage chiffré
• La journalisation et la surveillance des accès aux Données à caractère personnel

4.4 Sous-traitants ultérieurs

Nous faisons appel aux sous-traitants ultérieurs figurant sur notre page Sous-traitants. Nous vous informerons directement par écrit de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur, en vous laissant 30 jours à compter de cette notification pour vous y opposer avant que le changement ne prenne effet. Vous pouvez exercer cette opposition en nous écrivant à [email protected] dans ce délai. Si vous vous y opposez et que nous ne pouvons pas raisonnablement donner suite à votre opposition, chacune des parties peut résilier la partie des Services concernée.

Nous ne faisons appel à un sous-traitant ultérieur pour traiter des Données à caractère personnel pour votre compte que dans le cadre d’un contrat écrit, y compris des conditions électroniques applicables, qui lui impose les obligations de protection des données prévues à l’article 28, paragraphe 4, du RGPD. Nous demeurons responsables de nos sous-traitants ultérieurs dans les conditions prévues par cet article.

4.5 Droits des Personnes concernées

Nous vous aidons à répondre aux demandes des Personnes concernées qui exercent leurs droits en vertu de la législation applicable à la protection des données : accès, rectification, effacement, limitation, portabilité et opposition. Si une Personne concernée nous adresse directement une demande, nous l’orientons rapidement vers vous, sauf instruction contraire de votre part.

4.6 Assistance à la conformité

Nous vous aidons à respecter vos obligations au titre des articles 32 à 36 du RGPD, compte tenu de la nature du Traitement et des informations dont nous disposons.

5. NOTIFICATION DES VIOLATIONS DE DONNÉES

5.1 Délai de notification

Nous vous notifions toute Violation de données dans les meilleurs délais et, en tout état de cause, dans les 72 heures suivant le moment où nous en avons connaissance. La notification est envoyée à l’adresse e-mail associée à votre compte.

5.2 Contenu de la notification

La notification comprend, dans la mesure où ces informations sont disponibles :

• Une description de la nature de la Violation de données, notamment les catégories et le nombre approximatif de Personnes concernées et d’enregistrements touchés.
• Le nom et les coordonnées de notre interlocuteur chargé de la protection des données.
• Une description des conséquences probables de la Violation de données.
• Une description des mesures prises ou proposées pour remédier à la Violation de données, notamment celles visant à en atténuer les éventuelles conséquences négatives.

5.3 Coopération continue

Nous coopérons avec vous et vous apportons une assistance raisonnable pour examiner toute Violation de données, en atténuer les effets et y remédier, ainsi que pour effectuer les notifications que vous êtes tenu d’adresser aux autorités de contrôle ou aux Personnes concernées.

6. TRANSFERTS INTERNATIONAUX DE DONNÉES

6.1 Localisation des données

Les Données à caractère personnel sont principalement stockées et traitées dans l’Union européenne :

• France (UE), via Scaleway
• Pays-Bas (UE), via DigitalOcean

6.2 Transferts en dehors de l’UE ou de l’EEE

Certains de nos sous-traitants ultérieurs sont situés en dehors de l’UE ou de l’EEE, principalement aux États-Unis. Pour ces transferts, nous nous appuyons sur :

• Le cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) : lorsqu’il est applicable, pour les transferts vers des prestataires établis aux États-Unis et certifiés au titre de ce cadre.
• Les clauses contractuelles types (CCT) : nous intégrons les CCT approuvées par la Commission européenne (décision d’exécution (UE) 2021/914 de la Commission) à nos accords avec les sous-traitants ultérieurs situés en dehors de l’UE ou de l’EEE lorsque le cadre de protection des données ne s’applique pas.

6.3 Analyse d’impact des transferts

Nous réalisons des analyses d’impact des transferts vers des pays tiers et mettons en œuvre des mesures supplémentaires lorsque cela est nécessaire pour garantir un niveau adéquat de protection des données.

7. AUDITS ET INSPECTIONS

7.1 Droits d’audit

Vous avez le droit de vérifier notre respect du présent DPA. Nous mettons à votre disposition toutes les informations nécessaires pour démontrer ce respect et permettons la réalisation d’audits, y compris d’inspections, par vous-même ou par un auditeur que vous mandatez, et y contribuons.

7.2 Déroulement des audits

Les modalités suivantes s’appliquent aux audits uniquement dans la mesure où elles ne restreignent pas les droits ou obligations prévus par la législation applicable à la protection des données :

• Vous devez nous adresser un préavis écrit d’au moins 30 jours avant tout audit.
• Les audits ne peuvent avoir lieu plus d’une fois par an, sauf à la demande d’une autorité de contrôle ou à la suite d’une Violation de données.
• Les audits doivent se dérouler pendant les heures normales d’activité et ne doivent pas perturber déraisonnablement nos opérations.
• Vous supportez les frais de tout audit, sauf si celui-ci révèle un manquement substantiel au présent DPA.
• Les informations confidentielles de nos autres clients ne doivent pas être divulguées au cours de l’audit.

8. CONSERVATION ET SUPPRESSION DES DONNÉES

8.1 Pendant le Contrat

Nous conservons les Données à caractère personnel pendant la durée du Contrat, dans la mesure nécessaire à la fourniture des Services.

8.2 À la fin du Contrat

À la fin du Contrat ou à réception de votre demande écrite :

• Selon votre choix, nous supprimons les Données à caractère personnel ou vous les restituons, puis supprimons les copies restantes de nos systèmes actifs dans un délai de 30 jours.
• Les Données à caractère personnel contenues dans les archives de sauvegarde sont supprimées dans un délai de 6 mois. Dans l’intervalle, elles restent protégées et ne sont pas utilisées à d’autres fins, sauf exigence contraire de la législation applicable.
• Nous pouvons conserver les Données à caractère personnel dans la mesure imposée par la législation applicable, notamment au titre des obligations fiscales ou comptables. Dans ce cas, nous isolons et protégeons ces données et limitons tout Traitement ultérieur à ce qu’exige la loi.

8.3 Attestation

À votre demande, nous vous fournissons une confirmation écrite de la suppression des Données à caractère personnel conformément à la présente section.

9. RESPONSABILITÉ

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations de responsabilité prévues au Contrat. Aucune disposition du présent DPA ne limite la responsabilité de l’une ou l’autre des parties envers les Personnes concernées ou les autorités de contrôle au titre de la législation applicable à la protection des données.

10. DROIT APPLICABLE

Le présent DPA est régi par le droit français. Le RGPD et le RGPD britannique s’appliquent dans la mesure où le Traitement relève de leur champ d’application juridique respectif. Tout litige découlant du présent DPA est résolu conformément aux dispositions du Contrat relatives au règlement des litiges.

11. ACCEPTATION DU PRÉSENT DPA

Le présent DPA est incorporé aux Conditions d’utilisation et en fait partie intégrante. En utilisant les Services QR Code AI, vous acceptez le présent DPA.

Si vous avez besoin d’un exemplaire de ce DPA signé séparément pour vos dossiers, contactez-nous à [email protected]. Nous vous le fournirons dans un délai de 10 jours ouvrés.

12. CONTACT

Pour toute question concernant le présent DPA ou nos pratiques de traitement des données :

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Île-de-France 91260 France [email protected]