Accord de traitement des données personnelles

Annexe aux conditions générales de vente et d'utilisation de Prezevent

Version du 10 novembre 2026.

Article 1 – Parties et objet

Le présent accord est conclu entre :

le Client, personne morale ayant souscrit aux services de Prezevent, agissant en qualité de responsable de traitement ;
Prezevent, SARL au capital de 1 500 euros, immatriculée au RCS de Paris sous le numéro 450 861 166, dont le siège est situé 89 rue de l'Église, 75015 Paris, agissant en qualité de sous-traitant.

Il fixe les conditions dans lesquelles Prezevent traite, pour le compte du Client, les données personnelles nécessaires à la fourniture de la plateforme Prezevent (le « Service »), conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 « Informatique et Libertés ».

Il fait partie intégrante des conditions générales de vente et d'utilisation de Prezevent (les « CGVU »). En cas de contradiction entre les CGVU et le présent accord sur la protection des données personnelles, le présent accord prévaut.

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « violation de données personnelles » et « personne concernée » ont le sens que leur donne le RGPD.

Article 2 – Description du traitement

Les caractéristiques du traitement (nature, finalités, catégories de données et de personnes, durée) sont décrites à l'annexe 1.

Article 3 – Durée

Le présent accord s'applique pendant toute la durée de l'abonnement du Client au Service, puis jusqu'à la suppression ou la restitution de l'ensemble des données personnelles du Client dans les conditions de l'article 13.

Article 4 – Instructions du Client

Prezevent traite les données personnelles uniquement sur instruction documentée du Client. Constituent des instructions documentées : les CGVU et le présent accord, l'utilisation et le paramétrage du Service par le Client, et toute instruction écrite complémentaire acceptée par Prezevent.

Prezevent n'utilise jamais les données personnelles du Client pour ses propres finalités, notamment à des fins de prospection, de profilage ou de revente.

Si Prezevent considère qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit français, elle en informe immédiatement le Client.

Si Prezevent est tenue, en vertu du droit de l'Union ou du droit français, de procéder à un transfert de données ou à un traitement non prévu par les instructions, elle en informe le Client avant le traitement, sauf si la loi l'interdit pour des motifs importants d'intérêt public.

Article 5 – Obligations du Client

Le Client, en qualité de responsable de traitement :

s'assure que chaque traitement réalisé au moyen du Service repose sur une base légale et une finalité déterminée ;
informe les personnes concernées (participants, invités, intervenants) du traitement de leurs données, et leur indique qu'il est leur interlocuteur pour l'exercice de leurs droits ;
ne collecte, au moyen des formulaires qu'il paramètre, que les données nécessaires à l'organisation de ses événements ;
s'il collecte des catégories particulières de données (par exemple des informations de santé, un handicap, un régime alimentaire révélant des convictions religieuses), s'assure de disposer d'une exception au sens de l'article 9 du RGPD, en général le consentement explicite de la personne, limite ces données au strict nécessaire et les supprime dès que l'événement est passé ;
n'importe dans le Service que des données qu'il est en droit de traiter ;
réalise, le cas échéant, l'analyse d'impact relative à la protection des données (AIPD).

Article 6 – Confidentialité

Prezevent veille à ce que les personnes autorisées à traiter les données personnelles du Client :

s'engagent à en respecter la confidentialité, par contrat ou par une obligation légale appropriée ;
n'y accèdent que dans la mesure nécessaire à l'exécution du Service et du support ;
reçoivent une formation appropriée en matière de protection des données personnelles.

Article 7 – Sécurité

Prezevent met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures sont décrites à l'annexe 2.

Prezevent peut faire évoluer ces mesures, à condition de ne pas réduire le niveau global de sécurité.

Article 8 – Sous-traitants ultérieurs

Le Client autorise de manière générale Prezevent à faire appel à des sous-traitants ultérieurs. La liste des sous-traitants ultérieurs à la date de la présente version figure à l'annexe 3.

Prezevent informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail ou par une notification dans le Service. Le Client peut s'y opposer par écrit, pour un motif raisonnable lié à la protection des données, dans ce délai. Si aucune solution n'est trouvée, le Client peut résilier le Service concerné, sans pénalité, avant l'entrée en fonction du nouveau sous-traitant.

Prestataires choisis par le Client. Le Client peut configurer, pour un événement, son propre prestataire d'envoi d'e-mails (par exemple Brevo, Mailjet, Mailchimp ou un serveur SMTP privé). Ce prestataire est alors choisi et contracté par le Client : il est son propre sous-traitant, et non un sous-traitant ultérieur de Prezevent. Prezevent lui transmet les données nécessaires à l'envoi sur instruction du Client. Le Client est responsable de la conformité de sa relation avec ce prestataire.

Prezevent impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord. Prezevent reste pleinement responsable envers le Client de l'exécution de leurs obligations par ses sous-traitants ultérieurs.

Article 9 – Transferts hors de l'Union européenne

Les données personnelles du Client sont hébergées en France (voir l'annexe 3).

Prezevent ne transfère ou ne permet l'accès aux données personnelles du Client depuis un pays situé hors de l'Espace économique européen que si ce transfert est encadré par l'une des garanties prévues au chapitre V du RGPD : décision d'adéquation (dont le Data Privacy Framework UE–États-Unis pour les entreprises certifiées), ou clauses contractuelles types de la Commission européenne.

Article 10 – Droits des personnes concernées

Si Prezevent reçoit directement une demande d'exercice de droits d'une personne concernée relative aux données du Client, elle ne répond pas elle-même sur le fond. Elle transmet la demande au Client sous 5 jours ouvrés et indique à la personne que sa demande a été transmise.

Prezevent aide le Client, par les fonctionnalités du Service ou à sa demande, à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition.

Article 11 – Violations de données personnelles

Prezevent notifie au Client toute violation de données personnelles le concernant sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, par e-mail au contact désigné par le Client.

La notification contient, dans la mesure du possible :

la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
le nom et les coordonnées du référent RGPD de Prezevent ;
les conséquences probables de la violation ;
les mesures prises ou envisagées pour y remédier et en atténuer les effets.

Si toutes ces informations ne sont pas disponibles en même temps, Prezevent les communique au fur et à mesure, sans délai injustifié.

Il revient au Client, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées. Prezevent l'aide à le faire en lui fournissant les informations dont elle dispose.

Article 12 – Assistance au Client

Prezevent aide le Client, dans la mesure des informations dont elle dispose :

à réaliser ses analyses d'impact (AIPD) et, le cas échéant, la consultation préalable de la CNIL ;
à respecter ses obligations de sécurité ;
à répondre aux demandes de la CNIL relatives au Service.

Article 13 – Durée de conservation et sort des données

Pendant l'abonnement. Prezevent conserve les données du Client, y compris celles des événements passés, pendant toute la durée de l'abonnement, afin que le Client puisse les consulter et les analyser. Il appartient au Client, responsable de traitement, de fixer la durée de conservation adaptée à ses finalités et d'en informer les personnes concernées. Le Client peut à tout moment supprimer les données d'un événement ou d'un participant dans le Service. Prezevent recommande au Client de supprimer les catégories particulières de données (article 5) dès que l'événement concerné est passé.

À la fin de l'abonnement, quelle qu'en soit la cause :

les données du Client restent conservées et exportables pendant 3 mois, notamment pour permettre un renouvellement de l'abonnement sans perte d'historique ;
à l'issue de ce délai, Prezevent supprime les données personnelles du Client de la base de production, ou les rend anonymes de façon irréversible, au plus tard 30 jours après, sauf si le Client demande par écrit leur restitution ou leur suppression anticipée. L'anonymisation n'est retenue que si elle empêche toute réidentification, champs libres et fichiers compris ;
les copies présentes dans les sauvegardes sont supprimées automatiquement au terme de leur cycle de conservation, soit au plus tard un mois après. Jusqu'à leur suppression, elles restent protégées et ne sont utilisées pour aucun autre usage que la restauration du Service.

Compte sans abonnement en cours. Lorsque le compte du Client n'a plus d'abonnement en cours et n'a fait l'objet d'aucune connexion ni commande depuis plus d'un an, Prezevent rend anonymes de façon irréversible les données personnelles qu'il contient, après en avoir informé le Client par e-mail au moins 30 jours avant ; le Client peut exporter ses données pendant ce délai.

Changement de fournisseur. Lorsque le Client demande à changer de fournisseur, les délais de transition, de récupération et d'effacement prévus par l'article « Changement de fournisseur et portabilité des données » des CGVU s'appliquent.

Prezevent ne conserve aucune donnée personnelle du Client au-delà, sauf obligation légale. Elle confirme la suppression ou l'anonymisation par écrit sur demande du Client.

Article 14 – Documentation et audit

Prezevent met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations : le présent accord, la description des mesures de sécurité, la liste des sous-traitants ultérieurs et, le cas échéant, ses attestations ou certifications (par exemple ISO/IEC 27001, une fois obtenue).

Le Client peut réaliser ou faire réaliser un audit, au plus une fois par an, sauf violation de données avérée. Il en informe Prezevent au moins 30 jours à l'avance. L'audit est réalisé par le Client ou par un auditeur indépendant tenu au secret professionnel, pendant les heures ouvrées, sans perturber le Service ni porter atteinte à la confidentialité des données des autres clients. Il porte en priorité sur la documentation et les questionnaires ; un audit sur place ne peut viser les datacenters des hébergeurs, dont les certifications font foi. Les frais de l'audit sont à la charge du Client.

Article 15 – Registre

Prezevent tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD.

Article 16 – Contact

Prezevent : référent RGPD, Jean-François Gruet — rgpd@prezevent.com
Client : le contact indiqué lors de la souscription ou dans les paramètres du compte. Le Client informe Prezevent de tout changement.

Article 17 – Responsabilité et droit applicable

La responsabilité de chaque Partie est régie par les CGVU, sans préjudice de l'article 82 du RGPD.

Le présent accord est soumis au droit français. Les litiges relèvent des juridictions désignées dans les CGVU.

Annexe 1 – Description du traitement

Élément	Description
Nature des opérations	Hébergement, enregistrement, organisation, consultation, modification, envoi de communications, extraction, suppression des données, au moyen du Service de gestion d'événements professionnels.
Finalité	Permettre au Client d'organiser et de gérer ses événements professionnels au moyen de l'ensemble des fonctionnalités du Service décrites dans sa documentation, notamment : site web de l'événement, formulaires d'inscription, invitations et communications par e-mail et SMS, accueil et émargement des participants, suivi et analyse de la participation, y compris a posteriori.
Catégories de personnes concernées	Participants, invités et intervenants des événements du Client ; utilisateurs du Service désignés par le Client.
Catégories de données	Identité (nom, prénom, civilité) ; coordonnées (e-mail, téléphone) ; informations professionnelles (société, fonction) ; données d'inscription et réponses aux formulaires ; présence et émargement ; historique des communications ; photo du participant ; signature d'émargement. Aucune donnée de paiement des participants.
Catégories particulières de données	Uniquement si le Client les collecte au moyen des formulaires qu'il paramètre : par exemple régime alimentaire, besoins d'accessibilité ou informations de santé. Le Client en est seul responsable (article 5).
Durée du traitement	Durée de l'abonnement du Client, puis jusqu'à la suppression des données selon l'article 13. Pendant l'abonnement, la durée de conservation est fixée par le Client, qui peut supprimer à tout moment les données d'un événement ou d'un participant.
Lieu d'hébergement	France (OVHcloud Gravelines ; MongoDB Atlas, région Paris).

Annexe 2 – Mesures de sécurité

Hébergement et infrastructure

Hébergement : serveur applicatif et journaux chez OVHcloud en France (région de Gravelines, y compris le stockage S3 des journaux), base de données chez MongoDB Atlas (région Paris), fichiers chez Google Cloud Storage (Union européenne : région europe-west9 à Paris et multirégion EU).
Applications déployées sous forme de conteneurs Docker, construits par une chaîne d'intégration continue (GitLab CI) et déployés avec Dokploy.

Chiffrement

Chiffrement des flux en TLS 1.2 ou supérieur.
Chiffrement au repos de la base de données et de ses sauvegardes (MongoDB Atlas).
Fichiers stockés chez Google Cloud Storage, chiffrés au repos : les médias destinés à être publiés (visuels des sites, e-mails et badges) dans un bucket public ; les fichiers des participants (signatures d'émargement, photos, fichiers joints) dans un bucket privé, lisibles uniquement par des liens signés à durée limitée.
Journaux applicatifs conservés dans un stockage S3 OVHcloud pendant 180 jours, chiffrés au repos par le fournisseur (SSE-OMK, clés gérées par OVHcloud).

Gestion des accès

Accès aux systèmes de production réservé au personnel technique de Prezevent, avec des comptes nominatifs.
Authentification unique par Google Workspace avec validation en deux étapes obligatoire ; authentification à deux facteurs sur les services qui ne passent pas par Google Workspace.
Mots de passe stockés dans un gestionnaire de mots de passe (Bitwarden) ; secrets transmis par lien à usage unique.
Revue périodique des accès et révocation au départ de toute personne.

Sauvegardes et continuité

Sauvegardes de la base de données : deux par jour et une par semaine.
Objectif de perte de données maximale (RPO) : 12 heures. Objectif de rétablissement du Service (RTO) : 4 heures.
Tests de restauration réguliers.

Développement et exploitation

Relecture du code par un second développeur avant mise en production.
Analyse régulière des vulnérabilités et application des correctifs de sécurité.
Séparation des environnements : aucune donnée réelle hors production sans accord du Client et anonymisation.

Organisation

Politiques de sécurité alignées sur la norme ISO/IEC 27001, pilotées avec la plateforme Bastion.
Engagement de confidentialité de toute personne ayant accès aux données.
Formation annuelle du personnel à la sécurité et à la protection des données.
Procédure de gestion des incidents et des violations de données, testée chaque année.

Annexe 3 – Sous-traitants ultérieurs

Sous-traitant	Prestation	Données concernées	Localisation des données	Garanties de transfert
OVHcloud (OVH SAS, France)	Hébergement du serveur applicatif ; stockage des journaux applicatifs (S3)	Données traitées par l'application ; journaux (identifiant et adresse e-mail des utilisateurs, adresses consultées)	France (Gravelines)	Aucun transfert hors UE
Google Cloud Storage (Google Cloud France SARL, France)	Stockage des fichiers du Service	Médias publiés ; signatures d'émargement, photos et fichiers joints des participants	Union européenne (régions europe-west9, Paris, et multirégion EU)	Data Privacy Framework ou clauses contractuelles types
MongoDB Atlas (MongoDB Inc., États-Unis)	Base de données managée et sauvegardes	Toutes les données du Service	France (région Paris)	Accès possible depuis les États-Unis pour le support : Data Privacy Framework ou clauses contractuelles types
Google Workspace (Google Ireland Ltd)	Messagerie et outils collaboratifs (échanges avec le Client et support)	Données transmises par le Client lors des échanges	UE et États-Unis	Data Privacy Framework ou clauses contractuelles types
Apsynth (France)	Développement, maintenance et exploitation technique du Service	Toutes les données du Service, par les accès d'administration nominatifs de ses développeurs	France	Aucun transfert hors UE
Brevo (Sendinblue SAS, France)	Envoi des e-mails (prestataire par défaut, lorsque le Client n'a pas configuré le sien) et des SMS	Identité, adresse e-mail, numéro de téléphone, contenu des messages, statistiques d'envoi	UE	Garanties prévues par le DPA de Brevo

Les prestataires d'envoi d'e-mails configurés par le Client lui-même ne figurent pas dans cette liste : ce sont ses propres sous-traitants (article 8).