PANCAKE

Accord de traitement des données (DPA)

Version 1.0 — 21 septembre 2026

Le présent accord de traitement des données (« DPA ») complète le contrat, le devis, les Conditions Générales d’Utilisation et, le cas échéant, les Conditions Générales de Vente applicables à PANCAKE. Il encadre les traitements de données personnelles réalisés par EFFLORESENS pour le compte du Client.

Article 1 — Objet et rôles des parties

Pour les données personnelles que le Client confie à PANCAKE afin qu’elles soient traitées pour ses propres finalités, le Client agit en qualité de responsable de traitement et EFFLORESENS en qualité de sous-traitant au sens du règlement (UE) 2016/679 (« RGPD »).

Le Client détermine les finalités et moyens essentiels du traitement et garantit disposer d’une base juridique appropriée pour les données confiées à PANCAKE.

Le présent DPA ne couvre pas les traitements pour lesquels EFFLORESENS agit pour ses propres finalités en qualité de responsable de traitement, notamment la gestion de sa relation commerciale, sa facturation, certaines opérations de sécurité, la gestion de ses obligations légales et l’administration propre du Service. Ces traitements sont décrits dans la Politique de confidentialité PANCAKE.

Article 2 — Instructions du Client

EFFLORESENS traite les données personnelles uniquement sur instruction documentée du Client et dans la mesure nécessaire à la fourniture de PANCAKE, sauf obligation contraire résultant du droit applicable.

Le contrat, le devis, les CGU, le présent DPA ainsi que les actions réalisées par les Utilisateurs autorisés dans PANCAKE constituent les instructions documentées du Client. Sont notamment considérés comme des instructions : créer ou administrer un compte, inscrire un apprenant, créer une session Connect, envoyer une notification, importer un contenu, lancer une fonctionnalité, exporter ou supprimer des données.

Lorsque le Client déclenche une fonctionnalité reposant sur un fournisseur d’intelligence artificielle externe, cette action constitue une instruction autorisant EFFLORESENS à transmettre au fournisseur concerné les seules données raisonnablement nécessaires à l’exécution de la fonctionnalité demandée.

Si EFFLORESENS estime qu’une instruction enfreint le RGPD ou une autre disposition applicable en matière de protection des données, elle en informe le Client dans la mesure permise par la loi et peut suspendre l’exécution de l’instruction concernée.

Article 3 — Obligations d’EFFLORESENS

EFFLORESENS s’engage à :

• traiter les données uniquement conformément aux instructions documentées du Client ;
• veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité appropriée ;
• mettre en œuvre des mesures techniques et organisationnelles raisonnables adaptées aux risques ;
• aider raisonnablement le Client, compte tenu de la nature du traitement et des informations disponibles, à répondre aux demandes d’exercice de droits et à respecter ses obligations en matière de sécurité, violation de données et, lorsque cela est applicable, analyse d’impact ;
• mettre à disposition les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par le présent DPA ;
• ne pas vendre les données personnelles confiées par le Client et ne pas les utiliser pour entraîner, pour son propre compte, un modèle général destiné à d’autres Clients.

Article 4 — Sécurité et confidentialité

EFFLORESENS met en œuvre des mesures techniques et organisationnelles proportionnées aux risques afin de protéger la confidentialité, l’intégrité et la disponibilité des données relevant de son périmètre.

Ces mesures comprennent notamment, selon le périmètre concerné, le contrôle des accès et habilitations, l’authentification des Utilisateurs, la protection des communications par HTTPS, le cloisonnement logique des espaces clients, la journalisation technique nécessaire à la sécurité, la maintenance et les mises à jour, ainsi que des mesures de sauvegarde.

La sauvegarde technique ne constitue pas un engagement de plan de reprise d’activité, de délai de restauration, de RPO ou de RTO. Tout engagement renforcé de continuité ou de disponibilité fait l’objet de conditions particulières.

Le Client demeure responsable de la sécurité de ses propres postes, identifiants, utilisateurs, paramétrages, droits d’accès et procédures internes.

Article 5 — Sous-traitants ultérieurs et localisation

Le Client autorise de manière générale EFFLORESENS à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture de PANCAKE. EFFLORESENS veille à ce que les obligations de protection des données applicables soient répercutées de manière appropriée à ces prestataires.

Les principaux prestataires actuellement identifiés sont décrits en annexe du présent DPA.

EFFLORESENS informe le Client d’un changement significatif de sous-traitant susceptible d’affecter le traitement de ses données. Le Client peut présenter une objection motivée fondée sur des raisons sérieuses relatives à la protection des données. Les parties recherchent alors de bonne foi une solution raisonnable.

Lorsque des données font l’objet d’un transfert hors de l’Espace économique européen, EFFLORESENS met en œuvre, lorsque cela est requis, un mécanisme de transfert reconnu par la réglementation applicable et les garanties complémentaires appropriées.

Article 6 — Droits des personnes, violations et assistance

Lorsque EFFLORESENS reçoit directement une demande d’exercice de droits portant sur des données traitées pour le compte du Client, elle peut transmettre la demande au Client ou inviter la personne concernée à s’adresser au Client, sauf obligation légale contraire.

Compte tenu de la nature du traitement, EFFLORESENS fournit au Client une assistance raisonnable pour lui permettre de répondre aux demandes d’accès, rectification, effacement, limitation, opposition ou portabilité lorsque ces droits sont applicables.

En cas de violation de données personnelles concernant les données traitées pour le compte du Client, EFFLORESENS informe le Client dans les meilleurs délais après en avoir pris connaissance et lui communique les informations raisonnablement disponibles permettant d’apprécier la nature et les conséquences de la violation.

EFFLORESENS coopère raisonnablement avec le Client pour la gestion de la violation, sans se substituer au Client dans ses obligations propres de notification à l’autorité de contrôle ou aux personnes concernées.

Article 7 — Fin du contrat et sort des données

À la fin de la relation contractuelle, le Client dispose de trente (30) jours pour demander ou réaliser la récupération des données et exports raisonnablement disponibles dans PANCAKE.

À l’issue de cette période, EFFLORESENS peut supprimer les données opérationnelles traitées pour le compte du Client, sauf obligation légale imposant leur conservation.

Des copies résiduelles peuvent subsister temporairement dans les sauvegardes techniques jusqu’à leur rotation normale. Elles restent soumises aux mesures de confidentialité et de sécurité applicables et ne constituent pas une possibilité de restauration garantie.

Une extraction spécifique, une migration, une transformation vers un format particulier ou une prestation de réversibilité dépassant les fonctions standard de PANCAKE peut faire l’objet d’un devis.

Article 8 — Information, contrôle et audit

EFFLORESENS fournit au Client, sur demande raisonnable, les informations nécessaires pour démontrer le respect du présent DPA.

Lorsque ces informations ne permettent pas raisonnablement au Client de vérifier le respect de ses obligations, un audit peut être organisé sur demande motivée, avec un préavis raisonnable et selon des modalités convenues entre les parties.

Tout audit doit préserver la sécurité de PANCAKE, la confidentialité des autres Clients, les secrets d’affaires et les informations dont la divulgation créerait un risque de sécurité. Il ne peut entraîner l’accès aux données d’autres Clients.

Les travaux spécifiques, répétés ou disproportionnés demandés par le Client dans le cadre d’un audit peuvent faire l’objet d’un devis, sauf lorsqu’ils résultent directement d’un manquement avéré d’EFFLORESENS à ses obligations.

Le présent DPA reste applicable pendant toute la durée où EFFLORESENS traite des données personnelles pour le compte du Client.

Annexe 1 — Description des traitements

Annexe 2 — Principaux prestataires

EFFLORESENS peut faire évoluer cette liste conformément à l’article 5 du présent DPA. Sur demande et sous réserve de faisabilité, des modalités particulières de traitement ou de localisation en Europe, voire une solution locale ou dédiée, peuvent faire l’objet d’un devis.

Contact protection des données

EFFLORESENS — 2 allée des Cavaliers, 94700 Maisons-Alfort, France
E-mail : [email protected]