Accord de traitement des données

1. Champ d'application et rôles

Le présent Accord de traitement des données (« Accord ») s'applique lorsque vous utilisez RooQuiz pour collecter des données à caractère personnel auprès de vos répondants. Il fait partie intégrante des Conditions d'utilisation de RooQuiz et y est incorporé par référence. En utilisant le service pour collecter des réponses, vous acceptez le présent Accord ; aucune signature n'est nécessaire à sa prise d'effet.

Comme l'explique notre Politique de confidentialité, notre rôle dépend des données concernées. Pour les données de votre compte (nom, adresse e-mail, informations de facturation et données d'utilisation), nous sommes le responsable du traitement. Pour les réponses aux quiz et les leads — les réponses, coordonnées et autres informations que vos répondants transmettent via les quiz que vous créez — vous êtes le responsable du traitement et nous agissons en qualité de sous-traitant pour votre compte. Le présent Accord régit cette seconde catégorie.

Le sous-traitant au sens du présent Accord est JINJUN SHAO, exerçant sous le nom RooQuiz. Contact : contact@rooquiz.com.

En cas de contradiction entre le présent Accord et les Conditions d'utilisation ou la Politique de confidentialité s'agissant des traitements effectués pour votre compte, le présent Accord prévaut.

2. Objet, durée, nature et finalité du traitement

Les éléments requis par l'article 28, paragraphe 3, du RGPD sont les suivants :

• Objet : fourniture de la plateforme de quiz et d'évaluation RooQuiz, incluant la collecte, le calcul des scores, le stockage, l'analyse et la restitution des réponses aux quiz ainsi que des leads qui en découlent.
• Durée : pendant toute la durée d'activité de votre compte, augmentée des durées de conservation prévues à la section 9.
• Nature et finalité : héberger, stocker, évaluer et afficher les réponses ; générer les pages de résultats et les rapports ; capter et organiser les leads ; envoyer les e-mails de résultat et de notification selon votre configuration ; et transmettre les données aux destinations que vous connectez.
• Types de données à caractère personnel et catégories de personnes concernées : voir l'Annexe A.

3. Nos obligations en tant que sous-traitant

Nous nous engageons à :

• ne traiter les données à caractère personnel que sur vos instructions documentées, y compris celles exprimées par votre configuration du service (vos questions, votre barème, vos paramètres de rapport, vos connecteurs et vos réglages d'e-mail), sauf obligation contraire du droit applicable — auquel cas nous vous en informerons avant le traitement, sauf si ce droit l'interdit ;
• veiller à ce que les personnes autorisées à traiter les données à caractère personnel soient soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites à l'Annexe B ;
• vous aider, compte tenu de la nature du traitement, à vous acquitter de votre obligation de répondre aux demandes des personnes concernées (voir la section 6) ;
• vous aider à respecter vos obligations au titre des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à notre disposition ;
• mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD (voir la section 8) ;
• à votre choix, supprimer ou restituer les données à caractère personnel au terme du service, comme indiqué à la section 9.

Nous ne vendons pas de données à caractère personnel et n'utilisons pas les données de vos répondants à nos propres fins — publicité, profilage ou entraînement de modèles d'IA compris.

4. Sous-traitants ultérieurs

Vous nous donnez une autorisation écrite générale de recourir aux sous-traitants ultérieurs listés à l'Annexe C. Nous demeurons pleinement responsables envers vous de l'exécution de leurs obligations.

Chaque sous-traitant ultérieur est engagé par un contrat écrit lui imposant des obligations de protection des données au moins équivalentes à celles du présent Accord.

Nous mettrons à jour la liste de l'Annexe C avant d'ajouter ou de remplacer un sous-traitant ultérieur, et la date « Dernière mise à jour » en haut de cette page changera en conséquence. Si vous vous opposez à un nouveau sous-traitant ultérieur pour des motifs légitimes tenant à la protection des données, écrivez-nous à contact@rooquiz.com dans un délai de 30 jours ; si nous ne pouvons proposer d'alternative raisonnable, vous pourrez résilier la partie concernée du service et obtenir le remboursement des sommes prépayées non utilisées.

Les destinations que vous connectez vous-même — Slack, Zapier, Kit, webhooks, votre propre serveur SMTP et tout client d'IA relié via MCP — ne sont pas nos sous-traitants ultérieurs. En activant une telle connexion, vous nous donnez l'instruction de transmettre des données à un tiers de votre choix, lequel les traite dans le cadre de votre relation avec lui.

5. Transferts internationaux

La base de données principale hébergeant les réponses aux quiz et les leads est située aux États-Unis (AWS us-west-2, Oregon). La couche applicative, le stockage d'objets et la mise en cache s'exécutent sur le réseau mondial de Cloudflare.

Les données à caractère personnel traitées au titre du présent Accord sont donc transférées hors de l'Espace économique européen, et plusieurs sous-traitants ultérieurs listés à l'Annexe C sont établis hors de l'EEE ou exploitent une infrastructure mondiale. Lorsque nous transférons des données à caractère personnel de personnes situées dans l'EEE, au Royaume-Uni ou en Suisse, le transfert est encadré par les clauses contractuelles types de la Commission européenne (assorties, le cas échéant, de l'addendum britannique relatif aux transferts internationaux de données) ou par un autre mécanisme reconnu au chapitre V du RGPD. Une copie des clauses sur lesquelles nous nous fondons est disponible sur demande.

Les fonctions d'IA — génération de quiz et analyse des rapports — s'exécutent sur Cloudflare Workers AI à partir de modèles hébergés par Cloudflare. Vos contenus ne sont pas transmis à OpenAI, Anthropic, Google ou tout autre fournisseur d'IA externe à cette fin, et ne servent pas à entraîner des modèles tiers.

6. Demandes des personnes concernées

Il vous appartient de répondre aux demandes de vos répondants souhaitant exercer leurs droits. Le service vous donne un accès direct aux données à caractère personnel que nous détenons pour votre compte : vous pouvez à tout moment consulter, modifier, exporter et supprimer les réponses, les répondants et les leads depuis votre compte, ce qui suffit normalement à satisfaire une demande sans notre intervention.

Si un répondant nous contacte directement au sujet de données dont vous êtes responsable, nous ne répondrons pas en votre nom. Nous l'inviterons à vous contacter et, lorsque nous pouvons vous identifier comme responsable du traitement, nous vous transmettrons la demande sans retard injustifié. Si vous avez besoin d'une aide que les outils du produit ne permettent pas, écrivez-nous à contact@rooquiz.com et nous vous assisterons.

7. Violations de données à caractère personnel

Nous vous informerons sans retard injustifié après avoir pris connaissance d'une violation de données à caractère personnel affectant des données traitées pour votre compte, et en tout état de cause en temps utile pour vous permettre de respecter vos propres obligations de notification au titre des articles 33 et 34 du RGPD.

La notification décrira la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements en cause dans la mesure où ils sont connus, les conséquences probables, les mesures prises ou envisagées, ainsi qu'un point de contact pour toute information complémentaire. Lorsque la situation n'est pas encore entièrement établie, nous communiquerons les informations par étapes, au fur et à mesure de leur disponibilité.

8. Audits et informations

Sur demande écrite, et au maximum une fois par période de douze mois sauf exigence d'une autorité de contrôle ou survenance d'une violation, nous fournirons les informations raisonnablement nécessaires pour démontrer notre conformité au présent Accord, y compris une description de nos mesures techniques et organisationnelles.

Lorsque ces informations ne suffisent pas à vos fins, nous coopérerons de bonne foi à un audit complémentaire réalisé par vous ou par un auditeur indépendant que vous mandatez, sous réserve d'un préavis raisonnable, d'obligations de confidentialité et de modalités ne compromettant ni la sécurité ni la confidentialité des données de nos autres clients.

9. Suppression et restitution

Vous pouvez à tout moment supprimer les réponses, les répondants et les leads depuis votre compte, et les exporter au format CSV dans la limite des quotas d'export de votre formule.

À la résiliation ou à l'expiration de votre compte, nous supprimerons les données à caractère personnel traitées pour votre compte dans un délai de 90 jours, sauf conservation imposée par le droit applicable. Les sauvegardes sont purgées selon leur cycle de rotation habituel. Si vous avez besoin d'un export final, demandez-le avant la fermeture de votre compte.

À votre demande formulée avant la suppression, nous mettrons les données à votre disposition dans un format couramment utilisé et lisible par machine.

10. Vos obligations en tant que responsable du traitement

Vous êtes responsable de la licéité des données que vous collectez via RooQuiz. Vous devez notamment :

• disposer d'une base légale au titre de l'article 6 du RGPD pour collecter et utiliser les données des répondants, ainsi que d'une base valable pour toute action marketing ultérieure ;
• fournir à vos répondants les informations exigées par les articles 13 et 14 du RGPD — qui vous êtes, ce que vous ferez de leurs réponses et comment vous joindre ;
• recueillir le consentement lorsque vous vous fondez sur celui-ci, y compris pour les e-mails marketing adressés aux leads issus d'un quiz, et en conserver la preuve ;
• ne pas collecter de catégories particulières de données (article 9 du RGPD) — données de santé, biométriques, politiques, religieuses ou assimilées — via vos quiz, sauf base légale appropriée et information préalable de notre part ;
• configurer le service, y compris l'accès aux rapports et les connecteurs, d'une manière cohérente avec ce que vous avez indiqué à vos répondants.

RooQuiz le recueille pour vous par défaut : partout où un répondant saisit son e-mail pour consulter son rapport, une case facultative — jamais pré-cochée — lui demande s'il souhaite recevoir vos messages. Il n'y a rien à activer. Ne pas la cocher ne l'empêche pas de voir le rapport, car un consentement exigé en contrepartie de quelque chose n'est pas valable. Le statut du consentement est filtrable sur vos leads et répondants et figure dans vos exports, afin de n'écrire qu'aux personnes ayant accepté. Le retrait est en libre-service pour toute personne disposant d'un compte : elle peut le désactiver à tout moment depuis son espace personnel, et vos listes et exports le reflètent immédiatement — vous n'avez pas à traiter la demande. Une personne n'ayant ouvert qu'un seul rapport n'a pas de compte ; si elle vous demande d'arrêter, vous pouvez retirer le consentement pour elle depuis la fiche du lead. Vous ne pouvez pas donner un consentement à la place de quelqu'un : seul le répondant le peut, et c'est ce qui préserve la valeur probante de l'enregistrement. Vous restez responsable de ce que vous envoyez et de la prise en compte de tout retrait qui vous parvient directement.

11. Exemplaires signés

Le présent Accord prend effet sans signature. Si votre processus de conformité exige un exemplaire contresigné ou une version sur votre propre papier à en-tête, écrivez à contact@rooquiz.com et nous l'organiserons.

Annexe A — Détails du traitement

Catégories de personnes concernées

Les personnes qui répondent aux quiz que vous publiez (« répondants ») et toute personne dont vous saisissez vous-même les coordonnées dans RooQuiz en tant que lead.

Catégories de données à caractère personnel

• Données d'identité et de contact : nom, adresse e-mail et numéro de téléphone lorsque votre quiz ou vos paramètres de leads les collectent.
• Données de réponse : les réponses transmises à vos quiz, y compris les réponses en texte libre, ainsi que les scores, les résultats par dimension et le rapport généré.
• Données de gestion des leads : notes, commentaires, étiquettes, attribution, source et statut que vous enregistrez pour un lead.
• Données de réservation : créneaux demandés, fuseau horaire et message éventuel transmis lors de la réservation d'un appel depuis une page de résultats.
• Données techniques : adresse IP, agent utilisateur, horodatages et métadonnées de soumission collectés pour exploiter et sécuriser le service.
• Toute autre donnée à caractère personnel que vous choisissez de collecter via vos questions ou vos champs de répondant personnalisés.

Catégories particulières de données

Non prévues. Les quiz étant configurés par vous, vous maîtrisez la collecte éventuelle de telles données ; voir la section 10.

Fréquence et durée

En continu, pendant toute la durée de votre utilisation du service, sous réserve des règles de conservation et de suppression de la section 9.

Annexe B — Mesures techniques et organisationnelles

Nous maintenons des mesures adaptées au risque, notamment :

• Chiffrement en transit (TLS) pour toutes les connexions à la plateforme, et chiffrement au repos pour la base de données principale et le stockage d'objets.
• Les identifiants des destinations connectées (jetons d'accès Slack et Kit, par exemple) sont stockés chiffrés au niveau applicatif.
• Cloisonnement des locataires : chaque requête est limitée à l'équipe propriétaire des données, ce qui est imposé par la couche d'accès de l'application et non par simple convention.
• Contrôle d'accès fondé sur les rôles au sein d'une équipe (propriétaire, administrateur, membre, lecteur), avec vérification des droits en lecture comme en écriture.
• Les données à caractère personnel renvoyées aux clients d'IA via l'interface MCP sont masquées avant de quitter nos systèmes.
• Protection contre les robots et les abus sur les pages de quiz publiques (Cloudflare Turnstile) et limitation de débit sur les points d'accès sensibles.
• Un journal d'audit des actions d'administration, conservé 90 jours sur la formule gratuite et 365 jours sur Pro.
• Accès aux systèmes de production limité aux personnes qui en ont besoin, protégé par une authentification multifacteur.
• Infrastructure gérée et redondante, avec sauvegardes automatisées de la base de données.
• Application des correctifs de sécurité via des mises à jour régulières des dépendances et des alertes automatisées de vulnérabilité.

Ces mesures évoluent avec le service. Nous pouvons remplacer une mesure par une autre offrant un niveau de protection au moins équivalent.

Annexe C — Sous-traitants ultérieurs

Les sous-traitants ultérieurs suivants interviennent dans la fourniture du service. Les « données de compte » désignent les données vous concernant en tant que client RooQuiz ; les « données de service » désignent les réponses et les leads que nous traitons pour votre compte.

Les destinations que vous connectez vous-même ne figurent pas ci-dessus ; voir la section 4.

Questions

Écrivez à contact@rooquiz.com. Pour notre traitement général des données à caractère personnel, consultez la Politique de confidentialité.

Politique de confidentialité · Conditions d'utilisation