Accord de traitement des données (DPA)

Sommaire

Objet et rôles
Description du traitement
Instructions du responsable
Confidentialité
Mesures de sécurité
Sous-traitants ultérieurs
Mémoire mutualisée
Assistance au responsable
Violation de données
Transferts hors Union européenne
Sort des données en fin de contrat
Audit et démonstration de conformité

Document en cours de complétion. L'identité de la société éditrice sera ajoutée à son immatriculation. Le présent accord est publié pour être consultable et opposable en l'état ; une version signée peut être demandée à [email protected].

1. Objet et rôles

Le présent accord complète les conditions générales d'utilisation et encadre le traitement, par baakalai, des données personnelles contenues dans votre outil de gestion de la relation client.

Vous êtes le responsable de traitement. Vous déterminez les finalités et les moyens, et vous répondez de la licéité des données que vous importez.
baakalai est le sous-traitant. Il traite ces données pour votre compte, sur vos instructions.

Le traitement des données de votre propre compte utilisateur relève d'un autre régime : baakalai en est alors responsable, et c'est la politique de confidentialité qui s'applique.

2. Description du traitement

Élément	Description
Nature	Collecte depuis votre CRM, stockage, analyse, calcul de scores, génération de contenus, envoi de messages, restitution, suppression
Finalité	Identifier les opportunités commerciales de votre base existante et préparer ou exécuter les relances correspondantes
Durée	Durée de votre abonnement, puis trente jours
Personnes concernées	Vos contacts, prospects et clients, ainsi que les membres de votre équipe figurant comme propriétaires d'affaires
Catégories de données	Identification (nom, fonction, société), coordonnées professionnelles (email, profil LinkedIn, ville, pays), données commerciales (montant, étape, dates), contenus d'échanges, données d'activité et scores calculés
Catégories particulières	Aucune. Le service n'est pas destiné à traiter de données sensibles au sens de l'article 9, ni de données d'infraction

3. Instructions du responsable

baakalai ne traite les données que sur vos instructions documentées. Constituent des instructions documentées : les présentes, les conditions générales, et les actions que vous déclenchez dans l'application (connecter un CRM, activer un déclencheur, lancer une séquence, autoriser le mode automatique).

Si une instruction nous paraît constituer une violation du règlement, nous vous en informons sans délai et pouvons suspendre son exécution.

4. Confidentialité

Les personnes autorisées à traiter vos données sont soumises à une obligation de confidentialité. L'accès est limité à ce qui est nécessaire à l'exploitation et au support, et fait l'objet d'une journalisation.

5. Mesures de sécurité

Au titre de l'article 32 du règlement :

chiffrement en transit par TLS ;
chiffrement au repos en AES-256-GCM des jetons d'accès et des clés d'interface ;
hachage des mots de passe par bcrypt à coût 12 ;
cloisonnement des données par compte appliqué au niveau de la base, et non seulement dans le code applicatif ;
jetons de session de courte durée, jetons de rafraîchissement stockés sous forme d'empreinte ;
journal d'audit des actions sensibles, conservé un an ;
limitation de débit, assainissement des contenus, en-têtes de sécurité HTTP ;
sauvegardes assurées par l'hébergeur de la base de données.

6. Sous-traitants ultérieurs

Vous autorisez de façon générale le recours aux sous-traitants ultérieurs listés ci-dessous. Toute addition ou remplacement vous sera notifié au moins trente jours à l'avance, avec faculté de vous y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, vous pouvez résilier sans frais.

Socle, actif pour tout compte

Sous-traitant	Traitement confié	Lieu
Supabase	Base de données et stockage de fichiers	Union européenne
Railway	Hébergement de l'application	Union européenne
Cloudflare	Site vitrine, DNS, protection réseau	États-Unis, réseau mondial
Anthropic	Génération de contenus, analyse des réponses, recommandations	États-Unis
Voyage AI	Embeddings sémantiques, si l'option est active	États-Unis
Resend	Emails de service adressés à vos utilisateurs	États-Unis
Stripe	Paiement et facturation	États-Unis, Irlande
Brave Search	Recherche web pour la prospection et les signaux	États-Unis

Activés par vous, selon vos intégrations

Les services suivants ne reçoivent de données que si vous les connectez. Vous en restez maître, et vous pouvez les déconnecter à tout moment.

Catégorie	Services
Messagerie	Google (Gmail), Microsoft (Outlook et Graph), ou votre propre serveur SMTP
Gestion de la relation client	Pipedrive, HubSpot, Salesforce, Odoo, Notion, Airtable, Folk
Outils d'envoi tiers	Lemlist, Apollo, Instantly, Smartlead, Waalaxy, La Growth Machine, Informz
Enrichissement de contacts	Dropcontact, Apollo, Hunter, LinkedIn
Registres publics d'entreprises	API Recherche d'entreprises et BODACC (France), Companies House (Royaume-Uni), CourtListener (États-Unis), OpenCorporates (Union européenne)

Les registres publics d'entreprises ne reçoivent aucune donnée personnelle : ils sont interrogés sur des raisons sociales et des numéros d'identification, et alimentent l'évaluation de santé financière.

7. Mémoire mutualisée

Point propre à baakalai, que nous préférons écrire noir sur blanc plutôt que de le laisser découvrir.

Le produit apprend de son usage : formulations qui obtiennent des réponses, séquences efficaces sur un secteur, motifs de perte récurrents. Ces enseignements sont par défaut cloisonnés à votre compte ou à votre équipe.

Un enseignement ne rejoint le pool commun à plusieurs clients qu'après anonymisation automatique et complète : noms de sociétés, noms de personnes, adresses email, URL et numéros sont retirés avant toute mise en commun. Un contrôle final bloque le partage si une donnée identifiante subsiste. Les agrégats commerciaux ne sont jamais partagés automatiquement.

Aucune donnée permettant d'identifier vos contacts ou votre société n'est donc accessible à un autre client. Vous pouvez demander l'exclusion totale de votre compte du pool commun en écrivant à [email protected].

8. Assistance au responsable

baakalai vous assiste, dans la mesure du possible :

Droits des personnes : l'application permet de rechercher, corriger, exporter et supprimer les données d'un contact. Pour une demande que l'application ne couvre pas, nous intervenons sous dix jours ouvrés.
Sécurité et notification de violation : voir l'article 9.
Analyse d'impact : nous fournissons sur demande les informations techniques nécessaires à sa réalisation.

Il vous appartient de répondre aux personnes concernées : vous êtes leur interlocuteur, pas nous.

9. Violation de données

En cas de violation affectant vos données, nous vous informons sans délai injustifié et au plus tard sous quarante-huit heures après en avoir pris connaissance.

La notification décrit la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées.

La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées vous incombe : vous êtes le responsable de traitement.

10. Transferts hors Union européenne

Les données sont stockées dans l'Union européenne. Certains sous-traitants ultérieurs sont établis aux États-Unis, ce qui implique un transfert, encadré par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification du prestataire au titre du cadre de protection des données entre l'Union européenne et les États-Unis.

11. Sort des données en fin de contrat

À la fin du contrat, vos données restent exportables pendant trente jours au format JSON depuis l'application. Passé ce délai, elles sont supprimées de nos systèmes actifs, les sauvegardes suivant leur propre cycle d'expiration.

Vous pouvez demander la suppression immédiate à [email protected]. Des statistiques d'usage anonymes, ne permettant d'identifier ni vous ni vos contacts, sont conservées.

12. Audit et démonstration de conformité

Nous mettons à votre disposition, sur demande, les informations nécessaires pour démontrer le respect de l'article 28 : description des traitements, mesures techniques et organisationnelles, liste à jour des sous-traitants ultérieurs.

Vous pouvez faire réaliser un audit une fois par an, avec un préavis de trente jours, pendant les heures ouvrées, sans perturber l'exploitation, et sous réserve d'un engagement de confidentialité. Les frais sont à votre charge, sauf si l'audit révèle un manquement substantiel de notre part.

This English version is provided for convenience only. The French version is the only binding text. A signed copy can be requested at [email protected].

1. Purpose and roles

This agreement supplements the terms of use and governs baakalai's processing of personal data held in your CRM. You are the controller: you determine purposes and means and answer for the lawfulness of the data you import. baakalai is the processor, acting on your instructions. Processing of your own user account is a separate matter governed by the privacy policy.

2. The processing

Nature: collection from your CRM, storage, analysis, scoring, content generation, message sending, return and deletion. Purpose: identify commercial opportunities in your existing base and prepare or execute the matching follow-ups. Duration: the term of your subscription, then thirty days. Data subjects: your contacts, prospects and customers, plus team members appearing as deal owners. Data categories: identification, professional contact details, commercial data, message content, activity data and computed scores. No special categories under Article 9, and no criminal offence data.

3. Instructions

baakalai processes only on your documented instructions. These comprise this agreement, the terms of use, and the actions you trigger in the application. If an instruction appears to infringe the Regulation, we will tell you without delay and may suspend it.

4. Confidentiality

Persons authorised to process your data are bound by confidentiality. Access is limited to what operation and support require, and is logged.

5. Security measures

TLS in transit; AES-256-GCM at rest for access tokens and API keys; bcrypt cost 12 for passwords; per-account isolation enforced at the database level rather than in application code alone; short-lived session tokens with hashed refresh tokens; audit logging of sensitive actions retained for one year; rate limiting, content sanitisation and HTTP security headers; backups provided by the database host.

6. Subprocessors

You give general authorisation for the subprocessors below. Additions or replacements are notified at least thirty days in advance, with a right to object on legitimate data protection grounds; failing agreement, you may terminate at no cost.

Core, active for every account: Supabase (database and file storage, EU), Railway (application hosting, EU), Cloudflare (marketing site, DNS, network protection, US and global), Anthropic (content generation, reply analysis, recommendations, US), Voyage AI (semantic embeddings when enabled, US), Resend (service emails to your users, US), Stripe (payment and billing, US and Ireland), Brave Search (web search for prospecting and signals, US).

Enabled by you: mail providers (Google, Microsoft, or your own SMTP server); CRMs (Pipedrive, HubSpot, Salesforce, Odoo, Notion, Airtable, Folk); third-party sending tools (Lemlist, Apollo, Instantly, Smartlead, Waalaxy, La Growth Machine, Informz); enrichment (Dropcontact, Apollo, Hunter, LinkedIn); public company registries (France, UK, US, EU). Registries receive no personal data: they are queried on company names and identifiers.

7. Pooled learning memory

The product learns from usage. Those lessons are scoped to your account or team by default. A lesson joins the pool shared across customers only after complete automated anonymisation: company names, personal names, email addresses, URLs and numbers are stripped beforehand, and a final guard blocks sharing if any identifying value remains. Business aggregates are never shared automatically. No data identifying your contacts or your company is accessible to another customer. You may request full exclusion of your account from the shared pool at [email protected].

8. Assistance

The application lets you search, correct, export and delete a contact's data. For requests it does not cover, we act within ten business days. We provide, on request, the technical information needed for a data protection impact assessment. Responding to data subjects is yours: you are their point of contact, not us.

9. Personal data breach

We inform you without undue delay and at the latest within forty-eight hours of becoming aware of a breach affecting your data, describing its nature, the approximate categories and volume of data and people concerned, the likely consequences, and the measures taken or proposed. Notifying the supervisory authority and, where required, the data subjects is yours as controller.

10. Transfers outside the EU

Data is stored in the European Union. Some subprocessors are established in the United States, which involves a transfer, framed by the European Commission's standard contractual clauses and, where applicable, the provider's certification under the EU-US Data Privacy Framework.

11. End of contract

Your data stays exportable in JSON for thirty days after the contract ends, then is deleted from active systems, with backups following their own expiry cycle. Immediate deletion can be requested at [email protected]. Anonymous usage statistics, which cannot identify you or your contacts, are retained.

12. Audit

We make available, on request, the information needed to demonstrate compliance with Article 28. You may commission one audit per year, on thirty days' notice, during business hours, without disrupting operations, and subject to confidentiality. Costs are yours unless the audit reveals a substantial failure on our side.