Flowtly – Accord de traitement des données

Ceci est une traduction française de la version anglaise, fournie pour des raisons de commodité. La version en langue anglaise fait foi (voir la section 1). Version anglaise · Version polonaise

1. Dispositions générales et objet

Le présent Accord de traitement des données (« DPA ») est conclu entre l’Organisation utilisant la Plateforme Flowtly, agissant en qualité de responsable du traitement au sens de l’article 4, point 7), du règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») (le « Responsable du traitement »), et Flowtly Prosta Spółka Akcyjna, dont le siège social est situé à Varsovie (01-194), ul. Młynarska 8/12, Pologne, inscrite au Registre des entrepreneurs du Registre judiciaire national sous le numéro KRS 0001188143, NIP 5273180297, REGON 542625051 (« Flowtly » ou le « Sous-traitant »), agissant en qualité de sous-traitant au sens de l’article 4, point 8), du RGPD.

Le DPA précise les obligations des Parties relatives au traitement des données à caractère personnel visé au § 11 des Conditions générales de la Plateforme Flowtly (« Sécurité des données ») et s’applique à tout traitement de données à caractère personnel effectué par Flowtly pour le compte du Responsable du traitement et sur ses instructions documentées, dans le cadre de la fourniture de l’accès à la Plateforme. Le DPA ne modifie pas les règles et limitations de responsabilité prévues au § 12 des Conditions générales — voir la section 13.

Le DPA met en œuvre les exigences de l’article 28 du RGPD et est disponible sur la présente page dans la version identifiée dans l’historique des révisions (section 13). Le DPA s’applique à une Organisation utilisant la Plateforme sur la même base que les Conditions générales — telles qu’en vigueur pour cette Organisation — qui renvoient au présent document. La version en langue anglaise du présent document est la version qui fait foi ; la présente traduction française, comme toute traduction, y compris la version polonaise, est fournie pour des raisons de commodité.

2. Définitions

Les termes commençant par une majuscule qui ne sont pas définis dans le présent DPA ont le sens qui leur est donné dans les Conditions générales de la Plateforme Flowtly. Aux fins du présent DPA :

• RGPD — règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
• Responsable du traitement — l’Organisation en tant que responsable du traitement au sens de l’article 4, point 7), du RGPD, agissant par l’intermédiaire des personnes habilitées à la représenter ; ce rôle est distinct du rôle d’« Administrateur » prévu par les Conditions générales, qui désigne un rôle d’utilisateur de la Plateforme et non la qualité de responsable du traitement ;
• TOMs (mesures techniques et organisationnelles) — les mesures décrites dans le document « Mesures techniques et organisationnelles » de Flowtly, qui constitue l’annexe 1 du présent DPA ;
• Sous-traitant ultérieur — un autre sous-traitant auquel Flowtly confie à son tour le traitement de données à caractère personnel aux fins de l’exécution du présent DPA ;
• Violation de données à caractère personnel — une violation au sens de l’article 4, point 12), du RGPD.

3. Durée du traitement

Le présent DPA s’applique pendant la durée du contrat d’accès à la Plateforme conclu entre le Responsable du traitement et Flowtly en vertu des Conditions générales, et prend fin à la résiliation ou à l’expiration de ce contrat, sous réserve des dispositions qui, par leur nature, continuent de s’appliquer après sa cessation, y compris l’obligation de supprimer ou de restituer les données décrite à la section 11.

4. Nature, finalité et étendue du traitement ; catégories de données et de personnes concernées

Nature et finalité du traitement. Flowtly traite les données à caractère personnel uniquement afin de fournir au Responsable du traitement l’accès à la Plateforme, conformément aux Conditions générales et aux instructions documentées du Responsable du traitement. Les opérations de traitement comprennent notamment : la collecte, l’enregistrement, la consultation, la modification, l’exportation et la suppression de données au sein du Compte de l’Organisation, effectuées dans le cadre des fonctionnalités de la Plateforme en matière de ressources humaines et de paie, de projets, de facturation et d’émission de factures — qui sont des outils d’aide à la gestion de ces domaines par l’Organisation et non un outil de comptabilité, conformément au § 12(2) des Conditions générales — ainsi que le stockage de données sur des serveurs gérés par Flowtly, l’assistance technique et la garantie de la sécurité et de la continuité de la Plateforme.

Les catégories de personnes concernées comprennent notamment : les salariés et collaborateurs du Responsable du traitement, les Utilisateurs et les Administrateurs, les cocontractants et leurs représentants, les candidats à l’emploi — dans la mesure où le Responsable du traitement utilise la fonctionnalité correspondante de la Plateforme — ainsi que les autres personnes physiques dont les données sont saisies dans la Plateforme par le Responsable du traitement ou ses Utilisateurs dans le cadre de son utilisation.

Les catégories de données à caractère personnel comprennent notamment : les données d’identification et de contact, les données relatives aux ressources humaines et à l’emploi (y compris la rémunération, le temps de travail, les relevés de congés), les données de facturation et d’émission de factures, les données relatives aux cocontractants et — dans la mesure où le Responsable du traitement les saisit licitement dans la Plateforme, lorsque cela est nécessaire au respect d’obligations découlant du droit du travail ou du droit de la sécurité sociale — les catégories particulières de données visées à l’article 9 du RGPD (par exemple, les données concernant la santé dans le contexte d’un arrêt maladie, l’appartenance syndicale). La responsabilité de la base juridique de la saisie de ces données dans la Plateforme incombe au Responsable du traitement. L’étendue détaillée des catégories de données correspond à celle décrite dans la Politique de confidentialité.

5. Obligations du Sous-traitant

Flowtly s’engage à :

1. ne traiter les données à caractère personnel que sur instruction documentée du Responsable du traitement — y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale — à moins que Flowtly ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis ; dans ce cas, Flowtly informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public ;
2. veiller à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité (voir la section 7) ;
3. mettre en œuvre et maintenir les mesures techniques et organisationnelles décrites dans les TOMs, conformément à l’article 32 du RGPD (voir la section 8) ;
4. respecter les conditions de recrutement de Sous-traitants ultérieurs décrites à la section 9 ;
5. apporter au Responsable du traitement l’assistance décrite à la section 10 ;
6. au terme de la prestation de services relatifs au traitement, supprimer toutes les données à caractère personnel ou les restituer au Responsable du traitement et détruire les copies existantes, conformément à la section 11, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des données à caractère personnel ;
7. mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD, et permettre la réalisation d’audits, y compris des inspections, et contribuer à ces audits, conformément à la section 11.

6. Instructions du Responsable du traitement

Les Conditions générales, la configuration de la Plateforme et la manière dont le Responsable du traitement et les Utilisateurs qu’il autorise utilisent la Plateforme sont considérées comme des instructions documentées du Responsable du traitement, de même que les instructions distinctes adressées sous forme documentaire (y compris par e-mail) à business.support@flowtly.eu. Le Responsable du traitement est responsable de la licéité des instructions qu’il donne. Si Flowtly estime qu’une instruction du Responsable du traitement constitue une violation du RGPD ou d’autres dispositions du droit relatif à la protection des données, Flowtly en informe sans délai le Responsable du traitement.

7. Confidentialité

Flowtly veille à ce que seules les personnes autorisées par Flowtly aient accès aux données à caractère personnel, dans la mesure nécessaire à l’exercice de leurs fonctions, et à ce que ces personnes soient tenues à une obligation de confidentialité à l’égard des données à caractère personnel, y compris après la fin de leur emploi ou de leur collaboration avec Flowtly.

8. Sécurité du traitement (article 32 du RGPD)

Flowtly met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque du traitement, compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que du risque pour les droits et libertés des personnes physiques. La description en vigueur de ces mesures figure dans le document « Mesures techniques et organisationnelles » de Flowtly, qui constitue l’annexe 1 du présent DPA.

Flowtly ne réduira pas le niveau global de sécurité du traitement décrit dans les TOMs pendant la durée du présent DPA (l’« engagement de non-régression ») ; le remplacement d’une mesure donnée par une autre offrant un niveau de protection équivalent ou supérieur ne constitue pas une régression. Toute modification des TOMs — y compris un tel remplacement — est consignée sous la forme d’une nouvelle version datée dans l’historique des révisions disponible sur la page de ce document, de sorte que la version des TOMs en vigueur à toute date de traitement donnée peut toujours être établie à partir de cet historique.

9. Sous-traitance ultérieure (Sous-traitants ultérieurs)

Le Responsable du traitement accorde à Flowtly une autorisation écrite générale de recruter des Sous-traitants ultérieurs pour l’exécution du présent DPA (article 28, paragraphe 2, du RGPD). Flowtly conclut avec chaque Sous-traitant ultérieur un contrat qui lui impose les mêmes obligations en matière de protection des données que celles qui incombent à Flowtly en vertu du présent DPA, y compris en ce qui concerne les mesures techniques et organisationnelles. Flowtly demeure pleinement responsable à l’égard du Responsable du traitement de l’exécution par un Sous-traitant ultérieur de ses obligations en matière de protection des données, conformément à l’article 28, paragraphe 4, du RGPD.

Flowtly informe le Responsable du traitement de tout ajout ou remplacement envisagé de Sous-traitants ultérieurs au moins 30 jours à l’avance, en identifiant le nouveau Sous-traitant ultérieur et l’étendue de son activité, et en donnant au Responsable du traitement la possibilité d’émettre des objections à l’encontre de ce changement. Les objections, motivées par des raisons légitimes tenant à la protection des données, sont adressées à business.support@flowtly.eu dans un délai de 30 jours à compter de la notification ; l’absence d’objection dans ce délai vaut acceptation du changement. Flowtly ne commencera pas à traiter les données à caractère personnel du Responsable du traitement par l’intermédiaire d’un nouveau Sous-traitant ultérieur avant l’expiration du délai d’objection ou, si une objection est formulée en temps utile, avant que celle-ci n’ait été résolue. En cas d’objection justifiée à laquelle il ne peut être donné suite d’une autre manière, les Parties conviennent de bonne foi de la marche à suivre, y compris, si nécessaire, la résiliation du contrat de services dans la mesure où celui-ci exigerait le recours à ce Sous-traitant ultérieur.

Sous-traitants ultérieurs actuellement recrutés, conformément à la Politique de confidentialité de la Plateforme :

Sous-traitant ultérieur	Étendue du traitement	Lieu du traitement
Google Cloud (Google Ireland Limited)	Hébergement de la Plateforme et infrastructure cloud	UE (europe-west1, Belgique)
Stripe	Traitement des paiements	UE / hors EEE, selon l’opération
Kontomatik	Intégration des données bancaires	Pologne (UE)
Functional Software, Inc. (Sentry)	Surveillance des erreurs système	États-Unis
Anthropic, PBC	Traitement du contenu des documents pour les fonctionnalités fondées sur l’IA (analyse de documents, assistant)	États-Unis
Postmark (ActiveCampaign, Inc.)	Envoi d’e-mails transactionnels (factures, relances, notifications)	États-Unis

La liste ci-dessus reflète la situation à la date de publication de la version concernée du présent DPA et est mise à jour conformément à la procédure décrite ci-dessus. La liste actuelle des Sous-traitants ultérieurs est également disponible sur demande adressée à l’adresse ci-dessus.

10. Assistance au Responsable du traitement ; violations de données à caractère personnel

Exercice des droits des personnes concernées. Compte tenu de la nature du traitement, Flowtly aide le Responsable du traitement, dans toute la mesure du possible — au moyen de mesures techniques et organisationnelles appropriées disponibles sur la Plateforme et d’une assistance demandée à l’adresse indiquée à la section 6 — à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits prévus au chapitre III du RGPD.

Respect des articles 32 à 36 du RGPD. Flowtly aide le Responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, y compris l’obligation de notifier une violation de données à caractère personnel à l’autorité de contrôle et l’obligation distincte de la communiquer aux personnes concernées lorsqu’une violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés, ainsi que les analyses d’impact relatives à la protection des données et la consultation préalable de l’autorité de contrôle, compte tenu de la nature du traitement et des informations dont dispose Flowtly.

Violations de données à caractère personnel. Flowtly notifie au Responsable du traitement toute violation de données à caractère personnel qu’il a constatée dans les meilleurs délais, et en tout état de cause au plus tard 48 heures après en avoir pris connaissance, sans attendre que toutes les circonstances de l’incident aient été établies. La notification initiale comprend les informations visées à l’article 33, paragraphe 3, du RGPD dans la mesure où elles sont disponibles à ce moment, et est complétée par étapes à mesure que d’autres circonstances sont établies. Le délai de 48 heures constitue le délai contractuel maximal de Flowtly pour cette notification initiale et ne dispense pas Flowtly de l’obligation d’agir dans les meilleurs délais lorsque cela est possible plus tôt ; il est indépendant du délai de 72 heures dans lequel le Responsable du traitement, en sa qualité de responsable du traitement, doit notifier la violation à l’autorité de contrôle en vertu de l’article 33, paragraphe 1, du RGPD, lorsque la notification est requise.

11. Fin du traitement ; audits et inspections

Fin du traitement. Au terme de la prestation de services relatifs au traitement, le Responsable du traitement indique à Flowtly, sous forme documentaire, dans un délai de 30 jours à compter de cet événement, si Flowtly doit supprimer ou restituer les données à caractère personnel ; à défaut d’indication dans ce délai, Flowtly est en droit de supprimer les données. Flowtly exécute l’action choisie — suppression des systèmes de production, ou restitution dans un format électronique couramment utilisé suivie de la suppression — dans un délai raisonnable n’excédant pas 30 jours à compter de la réception de l’instruction du Responsable du traitement, à moins que le droit de l’Union ou le droit polonais n’impose à Flowtly de conserver les données plus longtemps en vertu d’une obligation légale liant directement Flowtly (par exemple, les règles fiscales ou comptables relatives aux propres documents comptables de Flowtly) — ce qui ne s’étend pas aux propres documents comptables du Responsable du traitement traités sur la Plateforme. Les copies de sauvegarde contenant des données supprimées restent protégées conformément aux TOMs et sont écrasées dans le cycle ordinaire de rotation des sauvegardes qui y est décrit, sans que les données supprimées soient restaurées dans le système de production.

Audits et inspections. Flowtly met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD, permet au Responsable du traitement, ou à un auditeur mandaté par celui-ci, de réaliser des audits, y compris des inspections, de la conformité du traitement au présent DPA, et coopère à leur réalisation. Un audit est réalisé moyennant un préavis écrit d’au moins 30 jours, pendant les heures normales d’ouverture de Flowtly, d’une manière qui perturbe aussi peu que raisonnablement possible l’activité de Flowtly et qui respecte la confidentialité des informations relatives aux autres clients de Flowtly, au maximum une fois par année civile — ces limites ne s’appliquent pas lorsque l’audit est réalisé en raison d’un soupçon raisonnable de violation de données à caractère personnel ou d’un autre manquement important au présent DPA, ou à la demande d’une autorité de contrôle compétente. La mise à disposition d’informations au titre de la première phrase n’est pas limitée à une fois par an.

12. Transferts internationaux de données

La majeure partie du traitement des données à caractère personnel a lieu au sein de l’Espace économique européen (EEE) — l’infrastructure de la Plateforme et son traitement de documents par OCR sont maintenus dans la région UE du prestataire mentionné à la section 9. Trois des Sous-traitants ultérieurs mentionnés à la section 9 — Functional Software, Inc. (exerçant sous le nom de Sentry), Anthropic, PBC et Postmark (ActiveCampaign, Inc.) — sont établis aux États-Unis, en dehors de l’EEE. Flowtly veille à ce que les transferts de données à caractère personnel vers ces Sous-traitants ultérieurs — ainsi que tout autre transfert de données à caractère personnel hors de l’EEE susceptible d’intervenir en lien avec les autres Sous-traitants ultérieurs ou leurs propres sous-traitants ultérieurs — s’effectuent sur la base d’un mécanisme approprié prévu au chapitre V du RGPD : en particulier les clauses contractuelles types approuvées par la décision d’exécution (UE) 2021/914 de la Commission européenne (selon le module adapté à la relation entre Flowtly et le Sous-traitant ultérieur), ou — dans la mesure où un Sous-traitant ultérieur donné s’en prévaut — le cadre de protection des données UE–États-Unis (EU–U.S. Data Privacy Framework), complétés, lorsqu’une analyse d’impact relative aux transferts l’indique comme nécessaire, par des garanties supplémentaires. Les informations relatives au mécanisme appliqué à un Sous-traitant ultérieur donné sont mises à la disposition du Responsable du traitement sur demande adressée à l’adresse indiquée à la section 6.

13. Responsabilité et dispositions finales

La limitation de la responsabilité de Flowtly prévue au § 12 des Conditions générales (« Responsabilité ») s’applique par analogie au traitement des données à caractère personnel en vertu du présent DPA, dans la mesure permise par la loi. Cela est sans préjudice des dispositions impératives, notamment : l’article 82 du RGPD en ce qui concerne les actions des personnes concernées contre Flowtly, les pouvoirs des autorités de contrôle en vertu du RGPD et les règles du Code civil polonais relatives à la responsabilité pour les dommages causés intentionnellement.

Les questions non régies par le présent DPA sont régies, selon le cas, par les Conditions générales, y compris leurs dispositions relatives au droit applicable et au règlement des litiges. Le présent DPA est régi par le droit polonais.

Le présent document correspond à la version publiée le 28 octobre 2026. L’historique des versions antérieures, le cas échéant, est disponible ci-dessous.