Accord de Traitement des Données (DPA)

1. Objet et champ d'application

Le présent Accord de Traitement des Données (ci-après le « DPA ») complète les Conditions Générales d'Utilisation et de Vente (CGU/CGV) de Kairez. Il a pour objet de définir les conditions dans lesquelles Kairez, en qualité de Sous-traitant, traite des données à caractère personnel pour le compte du Client, agissant en qualité de Responsable de traitement, conformément à l'article 28 du Règlement Général sur la Protection des Données (Règlement UE 2016/679, dit « RGPD »).

2. Rôles respectifs des parties

Le Client demeure le Responsable de traitement de l'ensemble des données personnelles traitées au sein de son environnement Google Workspace par ses collaborateurs. Kairez agit exclusivement en tant que Sous-traitant au sens du RGPD pour les besoins stricts de l'exécution du Service (vérification des entitlements, gestion des licences et diagnostic technique).

3. Instructions du Responsable de traitement

Kairez s'engage à ne traiter les données à caractère personnel que sur instruction documentée du Client, y compris en ce qui concerne les transferts hors de l'Union européenne, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit d'un État membre auquel il est soumis.

4. Mesures de sécurité techniques et organisationnelles

Kairez met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque :

• Chiffrement des flux : Toutes les communications réseau entre l'add-on client et l'API Kairez s'effectuent via HTTPS/TLS 1.3 avec chiffrement de bout en bout.
• Pseudonymisation et hachage : Les adresses e-mail des utilisateurs sont systématiquement transformées en empreintes cryptographiques irréversibles SHA-256 avant toute transmission aux serveurs de licence Kairez.
• Gestion des secrets et accès stricts : Les jetons et clés d'accès aux infrastructures sont gérés via des coffres-forts cloud sécurisés (Google Secret Manager) avec principe du moindre privilège.

5. Garantie fondamentale d'isolation du contenu des slides

6. Sous-traitants ultérieurs (Subprocessors)

Le Client autorise de manière générale Kairez à faire appel à des sous-traitants ultérieurs pour l'exécution des prestations techniques d'hébergement et de facturation. La liste complète et tenue à jour des sous-traitants est consultable en temps réel sur la page Kairez / Sous-traitants.

Kairez s'assure que chaque sous-traitant présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées respectant les exigences du RGPD.

7. Assistance pour l'exercice des droits des personnes

Compte tenu de la nature du traitement, Kairez assiste le Client par des mesures techniques appropriées, dans toute la mesure du possible, pour lui permettre de s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité). Toute demande peut être adressée directement à privacy@getkairez.com.

8. Notification des violations de données

Kairez s'engage à notifier au Client toute violation de données à caractère personnel dans un délai maximum de 48 heures après en avoir pris connaissance. Cette notification s'accompagne de toute documentation utile afin de permettre au Client, si nécessaire, de notifier cette violation à l'autorité de contrôle compétente (CNIL).

9. Sort des données au terme du contrat

Au terme du contrat ou en cas de désinstallation de l'add-on, Kairez s'engage à supprimer l'ensemble des données de licence et logs techniques pseudonymisés conservés sur ses serveurs dans un délai maximum de 30 jours, à l'exception des pièces justificatives exigées par la législation fiscale ou comptable archivées par Paddle.

10. Audits et conformité

Kairez met à la disposition du Client, sur demande écrite motivée, les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d'audits documentaires de sécurité.

Annexe 1 : Description détaillée du traitement

• Nature et finalité du traitement : Gestion technique des accès, calcul des quotas d'utilisation mensuels (Starter, Pro Solo, Pro Team) et contrôle de validité des abonnements souscrits par le Client.
• Catégories de personnes concernées : Collaborateurs, employés et prestataires du Client utilisant l'add-on Kairez dans Google Slides.
• Catégories de données traitées : Empreinte cryptographique de l'adresse e-mail (SHA-256), nom de domaine Google Workspace (pour les licences d'équipe), statut du plan de licence, horodatages d'activation et d'usage, code de version du plugin.
• Données expressément exclues du traitement : Contenu des diapositives, données de documents Drive, noms de fichiers, fichiers partagés, données financières brutes.