Sous l'article 28 du RGPD, toute entreprise qui utilise un sous-traitant (comme Zenovay) pour traiter des données personnelles de l'UE doit avoir un Data Processing Agreement (DPA) en place avec ce sous-traitant. Nous publions un DPA standard pré-signé par Zenovay — vous n'avez pas besoin de négocier ou de chasser une signature.
Où se trouve le DPA
Le DPA actuel est publié sur zenovay.com/legal/dpa dans les six langues (en, de, fr, es, pt-BR, ja). Vous pouvez le lire en intégralité sans vous connecter.
Comment il devient contraignant
Vous n'avez pas besoin de cliquer sur un bouton « accepter » distinct ou de renvoyer quoi que ce soit. Le DPA publié devient automatiquement une partie contraignante de votre contrat lorsque vous concluez l'accord Zenovay — c'est-à-dire, lorsque vous acceptez nos Conditions de Service lors de l'inscription. À partir de ce moment, le DPA régit le traitement de vos données personnelles par Zenovay.
Si votre équipe juridique a besoin d'une copie contre-signée (une signature manuscrite ou numérique sur le document) ou d'un addendum personnalisé, veuillez envoyer un e-mail à [email protected] avec le nom légal de votre organisation et les coordonnées du signataire, et nous arrangerons cela. Il n'y a pas de frais.
Ce qui est couvert
Le DPA couvre :
- Objet et durée du traitement.
- Nature, finalité et types de données personnelles traitées.
- Obligations de Zenovay en tant que sous-traitant (sécurité, confidentialité, notification de violation).
- Liste des sous-traitants ultérieurs et votre droit d'objection.
- Mécanismes de transferts internationaux (Clauses Contractuelles Type + EU-US Data Privacy Framework).
- Droits d'audit, suppression / restitution des données à la résiliation.
- Conditions de responsabilité et d'indemnisation.
Liste des sous-traitants
Le DPA énumère chaque sous-traitant ultérieur que Zenovay utilise. La liste actuelle est aussi sur la page publique /legal/subprocessors et inclut :
- Cloudflare (hébergement, edge compute, stockage objet R2)
- Supabase (base de données Postgres, auth)
- Stripe (traitement des paiements)
- Resend (email transactionnel)
- Mapbox (géolocalisation, globe 3D)
- OpenAI (AI insights, via Cloudflare AI Gateway)
La page /legal/subprocessors est la liste faisant autorité, mise à jour. Nous vous notifions au moins 30 jours avant d'ajouter un nouveau sous-traitant. Si vous vous opposez, vous pouvez résilier le contrat selon le DPA.
Résidence des données UE
Depuis 2026-04-24, la base de données primaire est à Francfort (eu-central-1). Le DPA reflète cela dans la clause sur les transferts internationaux — pour les sous-traitants US, nous nous appuyons sur les Clauses Contractuelles Type soutenues par les certifications EU-US Data Privacy Framework.
Voir résidence des données pour la carte complète de résidence.
Mises à jour du DPA
Les changements matériels au DPA sont versionnés. Nous vous notifions par email au moins 30 jours avant qu'une nouvelle version ne devienne contraignante. Vous pouvez vous opposer aux changements — les options légales suivent le droit des contrats standard.
Applicabilité par plan
Le DPA standard est disponible sur tous les plans, y compris Free. Pour les organisations qui ont besoin d'addenda DPA personnalisés (clauses sectorielles, équivalent BAA pour santé, etc.), les clients Enterprise peuvent négocier des conditions additionnelles avec leur équipe compte.