Accord de traitement des données (DPA)

Le présent Accord de traitement des données, ou Data Processing Agreement (« DPA »), fait partie intégrante des Conditions Générales d’Utilisation de Swiipe.

Il définit les conditions dans lesquelles Swiipe traite des données à caractère personnel pour le compte de ses clients, conformément au Règlement (UE) 2016/679 (« RGPD »), à la loi Informatique et Libertés et à la réglementation applicable en matière de protection des données.

En utilisant Swiipe dans un cadre professionnel, le Client reconnaît avoir lu et accepté le présent DPA. Les traitements que Swiipe réalise pour ses propres finalités restent décrits dans la Politique de confidentialité.

1. Parties

Le présent DPA est conclu entre :

Swiipe

• Dénomination sociale : IKIGAI GROUP SAS
• Forme juridique : SAS
• Siège social : 62 chemin de Raudelauzette, 31140 Fonbeauzard, France
• SIRET : 91071618200019
• TVA intracommunautaire : FR95910716182
• Contact protection des données : hello@swiipe.io
• Référent protection des données : IKIGAI GROUP SAS, joignable à hello@swiipe.io

Éditeur des plateformes swiipe.io et swiipe.me, ci-après désigné « Swiipe », « nous » ou « le Sous-traitant ».

Le Client

Toute personne physique ou morale utilisant Swiipe dans un cadre professionnel pour créer, publier, administrer ou analyser des Ecosystems, Swipe Funnels, quiz, formulaires, e-mails, produits, réservations, contenus ou automatisations.

Ci-après désigné « le Client » ou « le Responsable de traitement ».

2. Définitions

Les termes « Données personnelles », « Traitement », « Responsable de traitement », « Sous-traitant », « Sous-traitant ultérieur », « Personne concernée » et « Violation de données personnelles » ont le sens que leur donne le RGPD.

• Ecosystem : l’espace public d’un Client sur swiipe.me (ou sur un domaine de marque), composé de blocs : liens, produits, quiz, réservations, formulaires, contenus.
• Swipe Funnel : un parcours de conversion mobile-first publié par le Client (présentation, qualification, capture, vente, réservation).
• Lead : la fiche contact unique d’une personne ayant interagi avec une surface du Client. Toute capture de coordonnées alimente cette fiche, jamais une seconde base.
• Utilisateur final : toute personne qui visite, répond, réserve, achète ou écrit via une surface publiée par le Client.

3. Rôles des parties

3.1 Swiipe en tant que responsable de traitement

Swiipe est responsable de traitement pour les traitements réalisés pour ses propres finalités, notamment :

• la création et la gestion des comptes Clients et des espaces de travail ;
• la gestion de l’abonnement, de la facturation et du paiement ;
• le support client ;
• la sécurité, la prévention de la fraude et la détection des abus ;
• l’analyse interne de l’utilisation du service, agrégée ou pseudonymisée lorsque c’est possible ;
• les communications relatives au service ;
• la page Découverte et l’annuaire public des Ecosystems, pour les profils que le Client y rend visibles.

Ces traitements sont couverts par la Politique de confidentialité de Swiipe.

3.2 Swiipe en tant que sous-traitant

Swiipe agit comme sous-traitant lorsque le Client utilise la plateforme pour traiter les données de ses propres prospects, leads, visiteurs, clients, participants, abonnés, acheteurs ou utilisateurs finaux. Cela inclut les données collectées ou traitées via :

• les Ecosystems publics du Client ;
• les Swipe Funnels ;
• les quiz, formulaires et champs de qualification ;
• le CRM et les fiches leads (tags, scores, segments, notes, historique) ;
• les pages et liens de réservation ;
• la vente de produits, formations et services, et l’encaissement associé ;
• les e-mails transactionnels ou marketing envoyés par le Client, et sa newsletter ;
• la messagerie Inbox et les canaux externes que le Client y connecte ;
• les analytics et événements de parcours ;
• les pixels, tags, intégrations et campagnes publicitaires configurés par le Client ;
• les fonctionnalités Magic AI utilisées sur instruction du Client.

Dans ce cadre, Swiipe ne traite les données personnelles que selon les instructions documentées du Client et pour les finalités nécessaires à la fourniture du service.

4. Description des traitements

4.1 Objet du traitement

Swiipe fournit une plateforme marketing et vente tout-en-un permettant au Client de créer, publier, connecter, automatiser et analyser des parcours de conversion : Ecosystems, Swipe Funnels, quiz, formulaires, CRM, e-mails, réservations, produits et paiements, analytics, intégrations et assistance IA.

4.2 Nature des opérations réalisées

• collecte, enregistrement, hébergement et organisation ;
• structuration, affichage et consultation ;
• analyse, segmentation, scoring et qualification ;
• envoi d’e-mails et de notifications ;
• export et transmission aux prestataires autorisés ;
• génération ou transformation de contenus par IA, lorsque le Client utilise ces fonctionnalités ;
• suppression ou anonymisation.

4.3 Catégories de données personnelles traitées

Selon la configuration choisie par le Client, Swiipe peut traiter :

• Identification : nom, prénom, e-mail, téléphone, photo, avatar ;
• Professionnelles : société, rôle, secteur, site web, réseaux sociaux ;
• Compte : identifiants, rôles, permissions, préférences, paramètres ;
• Leads et CRM : réponses aux formulaires, scores, tags, segments, notes, historique d’interaction ;
• Quiz : questions, réponses, résultats, branches, recommandations ;
• Réservation : date, heure, type de rendez-vous, prestation, notes, statut ;
• Paiement : transaction, statut, montant, devise, facture, référence Stripe ; Swiipe ne stocke jamais de numéro de carte complet ;
• Communication : e-mails envoyés, ouvertures, clics, désinscriptions, messages échangés dans l’Inbox ;
• Techniques : adresse IP, navigateur, appareil, pays et région approximatifs, journaux, événements, pages vues, sources de trafic ;
• Contenus : textes, images, vidéos, notes vocales, fichiers et pages fournis par le Client ;
• Intégrations : jetons d’accès, identifiants et données synchronisées via les intégrations activées (Instagram, Shopify, Gmail, Outlook, WhatsApp…) ;
• IA : consignes, textes, sources et contenus volontairement transmis aux fonctionnalités Magic AI.

Swiipe ne demande pas au Client de collecter des données sensibles au sens de l’article 9 du RGPD. Le Client s’engage à ne pas en transmettre, sauf base légale appropriée et mesures de protection adaptées.

4.4 Catégories de personnes concernées

• les Clients, administrateurs et membres d’équipe ;
• les visiteurs des surfaces publiées par le Client ;
• les prospects et leads du Client ;
• les clients finaux, acheteurs et apprenants du Client ;
• les participants à des quiz, formulaires ou réservations ;
• les abonnés à la newsletter du Client ;
• les partenaires, affiliés ou collaborateurs invités par le Client.

4.5 Finalités des traitements

Les données sont traitées pour permettre au Client de :

• créer et publier ses Ecosystems, Swipe Funnels, quiz et parcours ;
• collecter, qualifier et suivre ses leads dans le CRM ;
• gérer des réservations et demandes de contact ;
• vendre des produits, formations ou services et encaisser les paiements ;
• envoyer des e-mails transactionnels ou marketing ;
• répondre à ses utilisateurs finaux via l’Inbox ;
• connecter des intégrations tierces et mesurer ses campagnes ;
• analyser ses parcours de conversion ;
• exporter ou supprimer ses données ;
• générer, améliorer ou transformer des contenus avec Magic AI.

5. Obligations de Swiipe

Swiipe s’engage à :

• traiter les données personnelles uniquement sur instruction documentée du Client ;
• ne pas utiliser les données traitées pour le compte du Client à des fins incompatibles avec la fourniture du service ;
• soumettre les personnes autorisées à traiter les données à une obligation de confidentialité ;
• mettre en œuvre des mesures techniques et organisationnelles adaptées au niveau de risque ;
• aider raisonnablement le Client à répondre aux demandes d’exercice de droits des personnes concernées ;
• aider raisonnablement le Client à respecter ses obligations de sécurité, de notification, d’analyse d’impact et de documentation ;
• informer le Client de tout changement important concernant les sous-traitants ultérieurs ;
• supprimer ou restituer les données du Client à la fin du contrat, sauf obligation légale contraire.

6. Obligations du Client

Le Client demeure responsable de la conformité des traitements qu’il réalise via Swiipe. À ce titre, il s’engage à :

• déterminer les finalités et les moyens des traitements effectués via Swiipe ;
• collecter les données de manière licite, loyale et transparente ;
• informer ses utilisateurs finaux, notamment via ses propres mentions légales et politique de confidentialité configurées dans Swiipe ;
• disposer d’une base légale appropriée pour chaque traitement ;
• recueillir les consentements nécessaires, notamment pour les e-mails marketing, la newsletter, les cookies, pixels, traceurs et communications commerciales ;
• ne collecter que les données nécessaires à ses finalités ;
• configurer correctement ses formulaires, funnels, e-mails, pixels, intégrations, durées de conservation et exports ;
• ne pas transmettre de données sensibles sans base légale et mesures de sécurité appropriées ;
• répondre directement aux demandes de droits formulées par ses propres utilisateurs finaux.

7. Magic AI et fonctionnalités d’intelligence artificielle

Swiipe propose des fonctionnalités d’assistance, d’import, de génération, d’optimisation et de transformation de contenus reposant sur des services d’intelligence artificielle (« Magic AI »). Elles aident le Client à générer ou améliorer des Ecosystems, des Swipe Funnels, des quiz, des questions de qualification, des offres, des e-mails, des articles, des textes marketing, des résumés de leads ou des propositions de réponse dans l’Inbox.

Lorsque le Client utilise ces fonctionnalités, seuls les contenus nécessaires à la génération (textes, consignes, sources, URL) sont transmis aux prestataires IA, et uniquement dans la mesure nécessaire à l’exécution de la demande. Ces prestataires traitent les contenus conformément à leurs propres politiques et ne les conservent pas au-delà du traitement.

Toute proposition issue de l’IA reste une proposition : un humain la valide avant publication ou envoi. Le Client s’engage à ne pas inclure de données sensibles, confidentielles ou non nécessaires dans les consignes et contenus transmis.

8. Sous-traitants ultérieurs

Le Client autorise Swiipe à recourir à des sous-traitants ultérieurs pour fournir le service. Swiipe ne recourt qu’à des prestataires présentant des garanties suffisantes en matière de sécurité et de protection des données, et leur impose des obligations au moins équivalentes à celles du présent DPA.

8.1 Sous-traitants impliqués dans la fourniture du service

8.2 Sous-traitants activés par le Client

Ces prestataires n’interviennent que lorsque le Client connecte l’intégration ou active la fonctionnalité concernée.

8.3 Services tiers connectés par le Client

Le Client peut connecter à Swiipe des services dont il a lui-même le compte et le contrat, conformément à l’article 5 des CGU. Swiipe ne mandate pas ces services : ils ne sont donc pas des sous-traitants ultérieurs de Swiipe, et leurs conditions de traitement relèvent de la relation entre le Client et le service concerné.

Il en va de même des services configurés directement par le Client — Meta Pixel, tags analytics, CRM externes, widgets ou intégrations marketing — qui collectent des données directement auprès des utilisateurs finaux. Le Client reste responsable de leur configuration, de l’information des personnes concernées et du recueil des consentements requis.

9. Localisation des données et transferts hors EEE

Les données applicatives traitées via Swiipe sont hébergées dans l’Union européenne (Supabase) et les fonctions de l’application s’exécutent à Paris (Vercel). Certains sous-traitants impliquent toutefois des transferts vers des pays hors de l’Espace Économique Européen, notamment pour l’envoi d’e-mails, le stockage de fichiers, le suivi des erreurs, les intégrations tierces et les services d’intelligence artificielle.

Ces transferts sont encadrés par l’un des mécanismes prévus au chapitre V du RGPD :

• le Data Privacy Framework (décision d’adéquation de la Commission européenne du 10 juillet 2023), lorsque le prestataire américain y est certifié ;
• les Clauses Contractuelles Types de la Commission européenne, intégrées au contrat de traitement du prestataire, qui s’appliquent seules ou en secours si la décision d’adéquation venait à être invalidée ;
• des garanties complémentaires appropriées lorsque nécessaire.

10. Mesures de sécurité

Swiipe met en œuvre des mesures techniques et organisationnelles adaptées pour protéger les données personnelles contre la destruction, la perte, l’altération, la divulgation ou l’accès non autorisés, notamment :

• chiffrement des communications (HTTPS / TLS) ;
• hachage des mots de passe avec des algorithmes modernes ;
• sessions signées et contrôle des accès par espace de travail ;
• stockage sécurisé et renouvellement des jetons d’accès tiers ;
• limitation des accès aux seules personnes habilitées, principe du moindre privilège ;
• séparation des environnements de développement et de production ;
• journalisation des actions sensibles et purge automatique des journaux périmés ;
• limitation de débit et protections contre les abus sur les surfaces publiques ;
• sauvegardes et mécanismes de reprise de l’hébergeur ;
• surveillance, diagnostic et correction des incidents.

Ces mesures évoluent avec l’infrastructure de Swiipe.

11. Droits des personnes concernées

Le Client est responsable de la gestion des demandes formulées par ses propres utilisateurs finaux. Dans la mesure du raisonnable, Swiipe l’aide à répondre aux demandes d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité, notamment via l’export et la suppression des leads depuis le dashboard.

Toute demande concernant les données traitées pour le compte du Client doit être transmise par le Client à Swiipe par écrit, à hello@swiipe.io. Si une personne concernée s’adresse directement à Swiipe, Swiipe l’oriente vers le Client sauf obligation légale contraire.

12. Conservation et suppression des données

Les données sont conservées pendant la durée nécessaire à la fourniture du service, sauf obligation légale contraire ou instruction documentée du Client.

À la fin du contrat ou sur demande documentée du Client, Swiipe supprime ou restitue les données traitées pour son compte, sauf lorsque leur conservation est imposée par la loi ou nécessaire à la défense de droits. La suppression du compte depuis le dashboard supprime immédiatement funnels, Ecosystems, leads, commandes et analytics (voir Suppression des données).

13. Violation de données personnelles

En cas de violation de données personnelles affectant des données traitées pour le compte du Client, Swiipe s’engage à :

• prendre les mesures raisonnables nécessaires pour contenir et corriger l’incident ;
• informer le Client dans les meilleurs délais après en avoir eu connaissance ;
• transmettre les informations raisonnablement disponibles permettant au Client d’évaluer ses obligations de notification ;
• documenter l’incident et les mesures correctives mises en œuvre.

Swiipe notifie le Client dans un délai maximal de 48 heures après avoir découvert la violation, ce qui lui laisse de la marge pour respecter son propre délai de notification à la CNIL (72 heures).

14. Audit et documentation

Swiipe met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant. Toute demande d’audit devra être :

• formulée par écrit ;
• limitée à un périmètre raisonnable ;
• planifiée avec un préavis suffisant ;
• réalisée dans le respect de la confidentialité, de la sécurité du service et des données des autres clients ;
• prise en charge financièrement par le Client lorsque des coûts spécifiques sont engendrés.

Swiipe peut refuser ou adapter toute demande d’audit disproportionnée, abusive ou susceptible de compromettre la sécurité du service.

15. Responsabilité

Chaque partie demeure responsable du respect de ses propres obligations au titre du RGPD et de la législation applicable. Le Client demeure seul responsable :

• des données qu’il choisit de collecter et de ses finalités de traitement ;
• de la configuration de ses funnels, formulaires, e-mails, pixels, intégrations et exports ;
• de l’information de ses utilisateurs finaux et du recueil des consentements nécessaires ;
• de la conformité de ses propres communications marketing ;
• de l’utilisation des données exportées depuis Swiipe.

La responsabilité de Swiipe au titre du présent DPA est limitée conformément aux Conditions Générales d’Utilisation.

16. Durée et résiliation

Le présent DPA prend effet à compter de la première utilisation de Swiipe par le Client et demeure applicable pendant toute la durée du contrat principal. Certaines obligations survivent à la fin du contrat lorsque cela est nécessaire pour respecter une obligation légale, assurer la suppression progressive des données, gérer les sauvegardes ou défendre un droit.

17. Modifications du DPA

Swiipe peut modifier le présent DPA pour tenir compte de l’évolution du service, de ses sous-traitants, de son infrastructure ou de la réglementation. En cas de modification substantielle, Swiipe en informe le Client par e-mail ou via une notification dans l’application. La date de dernière mise à jour figure en haut de cette page.

18. Droit applicable et juridiction compétente

Le présent DPA est soumis au droit français. À défaut de résolution amiable, tout litige relatif au présent DPA sera soumis aux tribunaux compétents de Toulouse.

19. Contact

Pour toute question relative au présent DPA ou à la protection des données personnelles :

• Éditeur : IKIGAI GROUP SAS
• Adresse : 62 chemin de Raudelauzette, 31140 Fonbeauzard, France
• E-mail : hello@swiipe.io

Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

20. Annexe — points à confirmer avant publication

Les éléments ci-dessous doivent être validés juridiquement avant mise en ligne. Une fois confirmés, cette annexe est retirée.

16 champs encore entre crochets sur cette page.