Accord de sous-traitance des données (DPA)

1. Statut, parties et intégration au contrat

Version du 9 novembre 2026. Les clauses suivantes proposent des obligations contractuelles ; elles ne constituent ni un audit ni une certification des opérations existantes.

Intégré au contrat de service Magnetly accepté, cet accord lie le client professionnel identifié dans ce contrat (le « Client ») et Jynhold, SAS au capital de 1 000 €, RCS Paris 992 428 581, 50 avenue des Champs-Élysées, 75008 Paris, France (« Jynhold »). Jynhold exploite le produit Magnetly.

Le Client agit normalement comme responsable de traitement des données personnelles qu’il collecte via Magnetly. Jynhold agit comme son sous-traitant. Si le Client est lui-même sous-traitant, il garantit disposer de l’autorisation de son responsable de traitement pour désigner Jynhold comme sous-traitant ultérieur ; les parties documentent alors les instructions et la chaîne contractuelle correspondantes.

2. Périmètre, définitions et priorité

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « violation de données personnelles » et « autorité de contrôle » ont le sens du règlement (UE) 2016/679 (RGPD). Le présent DPA couvre les données traitées par Jynhold pour le compte du Client via le service, notamment les traitements décrits à l’annexe 1 ci-dessous.

Il ne remplace pas la politique distincte de Jynhold concernant les informations qu’elle traite comme responsable pour l’administration de ses comptes, sa relation commerciale, la facturation ou ses finalités propres de sécurité.

Pour les données concernées, ce DPA prévaut sur toute stipulation contradictoire des conditions du service. Les clauses impératives applicables aux transferts internationaux prévalent sur toute stipulation contradictoire du DPA. Aucune clause ne limite les droits des personnes ni les pouvoirs des autorités compétentes.

3. Annexe 1 — description du traitement

La configuration du Client et ses instructions documentées ultérieures complètent cette annexe sans autoriser un traitement illicite.

4. Instructions documentées et périmètre IA

Jynhold traite les données concernées uniquement sur instruction documentée du Client, y compris pour les transferts internationaux. Le contrat accepté, le présent DPA, la configuration autorisée et les demandes d’assistance documentées constituent des instructions dans leur périmètre. Tout traitement supplémentaire nécessite une instruction documentée complémentaire.

Si une disposition légale impose un autre traitement à Jynhold, elle en informe le Client avant le traitement, sauf interdiction légale. Elle informe immédiatement le Client si, selon elle, une instruction enfreint le droit applicable à la protection des données, et sollicite une instruction licite avant de poursuivre l’opération contestée.

Les champs de coordonnées des prospects ne sont jamais inclus dans les requêtes IA. Les réponses libres, contenus importés et instructions peuvent néanmoins contenir des informations personnelles ; ils sont transmis aux prestataires IA de l’annexe 2 par OpenRouter, uniquement vers des fournisseurs sans conservation des données et qui en excluent la collecte. Le Client évite les données personnelles inutiles dans les entrées IA. La seule qualification ZDR d’une route ne supprime pas les exigences du DPA.

Jynhold ne vend pas les données concernées, ne les utilise pas pour une publicité distincte et ne les emploie pas pour entraîner ses propres modèles généralistes en dehors des instructions du Client. Aucune garantie plus large concernant l’entraînement par les tiers n’est donnée au-delà de ce que décrit l’annexe 2.

5. Responsabilités du Client

Le Client détermine ses finalités, questions, champs obligatoires, destinataires et bases légales. Il fournit les informations nécessaires, recueille les consentements requis, respecte la minimisation et formule des instructions licites. Il reste responsable de l’exactitude et de la licéité des données et contenus fournis ainsi que de ses utilisateurs autorisés.

Le Client n’introduit pas intentionnellement de données hors du périmètre convenu et n’utilise pas Magnetly pour un traitement interdit. Tout changement important de finalité, usage de données sensibles ou décision exclusivement automatisée produisant des effets juridiques ou significatifs similaires nécessite une analyse appropriée et, le cas échéant, un avenant écrit. Ces responsabilités ne dispensent pas Jynhold de ses propres obligations de sous-traitant.

6. Confidentialité et personnel

Jynhold veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité appropriée, reçoivent des instructions adaptées à leurs missions et n’accèdent qu’aux informations nécessaires. Les autorisations d’accès sont gérées et retirées lorsqu’elles ne sont plus nécessaires.

La confidentialité se poursuit après la fin de l’intervention de la personne ou de la relation de service. Les divulgations imposées par la loi restent soumises aux obligations d’information et de minimisation applicables.

7. Obligations de sécurité et annexe 3

Jynhold met en œuvre les mesures techniques et organisationnelles adaptées au risque prévues à l’article 32 du RGPD, en tenant compte de l’état des connaissances, des coûts, du traitement et des risques pour les personnes. L’annexe 3 décrit les mesures effectivement appliquées au service concerné.

Ces mesures couvrent, selon les besoins, la confidentialité, l’intégrité, la disponibilité, la résilience, la restauration et l’évaluation régulière de leur efficacité. Jynhold ne réduit pas matériellement le niveau global de protection pendant le traitement sans garanties équivalentes appropriées.

Les obligations générales de cette clause ne valent pas preuve de certifications, d’algorithmes de chiffrement, de fréquences de tests ou d’objectifs de reprise que l’annexe 3 n’énonce pas.

8. Autorisation et changement des sous-traitants ultérieurs

Lors de l’acceptation du DPA, le Client donne une autorisation écrite générale pour les sous-traitants identifiés dans l’annexe 2. Jynhold ne recourt à un sous-traitant ultérieur que dans le cadre d’un contrat écrit imposant des obligations équivalentes aux obligations pertinentes du DPA. Jynhold reste responsable envers le Client de leur exécution.

Préavis : Jynhold informe par email le propriétaire de l’espace de travail du Client, à l’adresse de son compte, au moins 30 jours calendaires avant l’ajout ou le remplacement d’un sous-traitant appelé à traiter les données concernées, en indiquant le service, les données, les lieux et garanties pertinents. Le Client peut s’y opposer pendant ce délai pour des motifs raisonnables et documentés de protection des données.

Les parties recherchent une alternative ou une mesure de protection adaptée. Faute de résolution avant le changement, le Client peut demander la suspension du traitement concerné ou mettre fin au service concerné dans les conditions contractuelles convenues. La seule publication du registre sur un site ne vaut pas renonciation à s’opposer. Chaque prestataire de l’annexe 2 publie la liste de ses propres sous-traitants ultérieurs et en annonce les changements selon son contrat ; ces listes sont citées à l’annexe 2. Le Client adresse son opposition par écrit à [email protected].

9. Transferts hors de l’EEE

Jynhold n’effectue un transfert couvert hors de l’EEE que conformément aux instructions documentées du Client et au chapitre V du RGPD. L’annexe 2 identifie, pour chaque prestataire, l’entité contractante, le pays, le rôle, les données et la garantie de transfert applicable.

Les clauses contractuelles types utilisées sont celles de la décision d’exécution (UE) 2021/914, dans les modules indiqués à l’annexe 2, intégrées aux contrats des prestataires. Le présent DPA fondé sur l’article 28 n’est pas, à lui seul, un mécanisme de transfert international. Jynhold met les informations et garanties pertinentes à disposition du Client et l’assiste dans l’analyse de transfert nécessaire.

Lieux de traitement : application et site de présentation à Amsterdam (Railway, EU West), base de données à Francfort (Neon, AWS eu-central-1), fichiers sur Cloudflare R2 en juridiction de l’Union européenne, emails depuis la région eu-west-1 (Resend), rapports d’erreur et environnement d’import en région UE (Sentry, Modal). Les requêtes IA sont traitées par OpenRouter, les fournisseurs de modèles et Exa, établis aux États-Unis. Les fournisseurs de modèles et Exa sont engagés par OpenRouter, et non par Jynhold, et ne sont pas certifiés au titre du Data Privacy Framework ; les requêtes ne vont qu’aux fournisseurs qu’OpenRouter classe sans conservation des données, sans jamais les coordonnées des prospects, et Jynhold a demandé à OpenRouter la chaîne contractuelle de ces fournisseurs (article 28, paragraphe 4, du RGPD) et la base de leurs transferts. Un destinataire non certifié au titre du Data Privacy Framework n’est pas présenté comme couvert par la décision d’adéquation.

10. Demandes des personnes

Compte tenu de la nature du traitement, Jynhold assiste le Client par des mesures techniques et organisationnelles appropriées pour répondre aux demandes de droits prévues au RGPD. Si elle reçoit directement une demande concernant les données confiées, Jynhold en informe rapidement le Client et ne répond pas au fond en son nom, sauf instruction ou obligation légale.

Les parties coopèrent pour identifier et fournir, rectifier, limiter, exporter ou supprimer les données demandées licitement. L’assistance doit permettre au Client de respecter ses délais légaux ; Jynhold traite chaque demande d’assistance du Client dans un délai de 30 jours au plus. Toute prestation réellement supplémentaire ou facturation doit être convenue de manière transparente à l’avance et ne peut empêcher l’exécution des obligations impératives de Jynhold.

11. Violations de données personnelles

Jynhold informe le Client de toute violation affectant les données confiées dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification est adressée au contact sécurité ou de compte désigné par le Client ; le contact Jynhold est [email protected].

À mesure que les informations deviennent disponibles, Jynhold décrit la nature de la violation, les données et personnes concernées, les conséquences probables, les mesures prises ou envisagées et un contact de suivi. Elle fournit des mises à jour, préserve les éléments utiles et assiste raisonnablement l’enquête, la limitation des conséquences et les notifications du Client.

Jynhold n’attend pas la fin de l’enquête pour effectuer sa première notification. Le délai légal de 72 heures applicable, le cas échéant, à la notification du responsable de traitement à l’autorité ne remplace pas l’obligation de Jynhold d’informer dans les meilleurs délais. Le Client détermine les notifications aux personnes et autorités, sauf obligation légale imposant à Jynhold d’agir directement.

12. Assistance, autorités et analyses

Compte tenu du traitement et des informations dont elle dispose, Jynhold assiste le Client pour ses obligations des articles 32 à 36 du RGPD, notamment la sécurité, l’analyse des violations, les analyses d’impact et les consultations préalables nécessaires. Les parties coopèrent avec les autorités de contrôle compétentes.

Jynhold fournit au Client les informations nécessaires pour apprécier les traitements et garanties pertinents du service, sous réserve d’une protection proportionnée des informations confidentielles. Le Client reste responsable de l’analyse de ses propres finalités et de l’usage qu’il envisage.

13. Restitution, suppression et sauvegardes

À la fin de la prestation de traitement, Jynhold, selon le choix du Client, restitue ou supprime les données confiées et supprime les copies existantes, sauf conservation imposée par le droit de l’Union ou d’un État membre. Les règles ci-dessous précisent le mode d’export, son format, le calendrier de suppression et la procédure de confirmation.

Les données conservées uniquement pour une obligation légale sont limitées, isolées de l’usage courant et traitées uniquement pour cette obligation. Les sauvegardes suivent le cycle de suppression documenté, restent protégées et indisponibles pour l’usage courant ; toute restauration préserve les instructions de suppression applicables.

Règles appliquées : un outil supprimé n’est plus servi aussitôt, et ses sessions, réponses, prospects, événements, versions, catalogue et fichiers sont effacés 30 jours plus tard ; la suppression d’un espace par son propriétaire retire aussitôt l’accès de ses membres et efface ses données selon la même règle ; les fichiers qu’aucune donnée ne référence plus sont effacés du stockage après 24 heures ; l’historique de restauration de la base couvre 7 jours, au-delà desquels une donnée effacée n’y subsiste plus. Avant la fin du service, le Client exporte en CSV les réponses de ses outils et les prospects de son espace ; un export plus complet ou la suppression d’un prospect isolé se demande à [email protected]. Le journal des appels IA et les événements de paiement, sans coordonnées des prospects, sont conservés détachés pour la facturation. Le contrat prend fin à la suppression de l’espace, ou du compte qui le possède, par le Client, ou à la suppression de ce compte après 3 ans sans connexion ; les données confiées sont alors supprimées dans les 30 jours. Un espace dont l’abonnement ou l’essai a pris fin reste en lecture seule, ses données conservées, jusqu’à l’un de ces événements. Jynhold traite les demandes d’export et de suppression dans un délai de 30 jours et en confirme l’exécution par écrit à l’adresse qui les a formulées. Archives légales : les documents comptables et factures de Jynhold sont conservés 10 ans (article L123-22 du Code de commerce) ; ils ne contiennent pas les données des formulaires du Client. L’expiration commerciale des crédits ne fixe pas une durée de conservation des données.

14. Justification de conformité et audits

Jynhold fournit les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permet les audits, y compris les inspections, réalisés par le Client ou un auditeur indépendant mandaté, en y contribuant. Les parties peuvent convenir d’un préavis et de modalités raisonnables de confidentialité, de sécurité et de coordination qui ne rendent pas le droit légal d’audit inopérant.

Les rapports et documents pertinents existants peuvent être examinés en priorité lorsqu’ils suffisent ; ils n’excluent pas un audit ou une inspection nécessaire. Un incident grave, une préoccupation étayée de conformité ou une demande d’autorité doivent être traités sans retard déraisonnable lié au préavis habituel. Chaque partie protège les données des autres clients et les informations de sécurité confidentielles au cours de la procédure.

15. Annexe 2 — registre des prestataires

Rôles distincts : Stripe, par Stripe Payments Europe, Limited (Irlande) au titre du contrat Stripe, avec Stripe, LLC (États-Unis, certifiée au titre du Data Privacy Framework) et les clauses contractuelles types du Data Transfer Addendum de Stripe, assure les paiements ; selon la compréhension de Jynhold, sous Stripe Managed Payments, Link (Sold through Link, LLC) est merchant of record et agit comme responsable de traitement indépendant pour les données de paiement des acheteurs. Google fournit la connexion facultative avec un compte Google, comme responsable indépendant de ce compte : c’est un service tiers, pas un sous-traitant. Ces traitements propres ne relèvent pas du mandat de sous-traitance confié à Jynhold et ne reçoivent pas les données des formulaires du Client.

Ce registre constitue l’annexe d’autorisation de la clause 8. Chaque prestataire annonce les changements de ses propres sous-traitants selon son contrat, dans la liste publique citée ci-dessus ; le préavis de 30 jours de Jynhold (clause 8) s’applique à tout changement de ce registre.

16. Annexe 3 — mesures de sécurité, contacts et acceptation

Mesures en place à la date de cette version, chacune vérifiable dans le service et sa documentation :

• Chiffrement en transit : tous les échanges en HTTPS (TLS), HSTS en production et en-têtes de sécurité sur chaque réponse de l’application (nosniff, interdiction d’affichage dans un cadre, politique de permissions) ; application joignable uniquement à travers Cloudflare ; base de données accessible uniquement en TLS avec vérification du certificat.
• Authentification : connexion sans mot de passe, par code à usage unique envoyé par email ou par Google ; sessions enregistrées côté serveur, valables 7 jours.
• Séparation des espaces : chaque route de l’application vérifie que l’utilisateur est membre de l’espace concerné ; ce contrôle est couvert par des tests d’intégration.
• Accès privilégiés : pour l’assistance, un administrateur de Jynhold n’accède à un compte que par une connexion à la place de l’utilisateur, tracée (début et fin), limitée à 24 heures et jamais facturée au Client.
• Limitation des abus : limites de débit sur les routes de l’application, le fonctionnement public des outils, la connexion et le serveur MCP.
• Secrets : clés et secrets conservés dans l’environnement de l’hébergeur, jamais dans le code.
• Chiffrement au repos : assuré par les prestataires de stockage, Neon pour la base de données et Cloudflare R2 pour les fichiers, selon leurs propres mesures.
• Sauvegardes : restauration de la base de données à un instant donné sur une fenêtre de 7 jours (Neon), testée le 9 novembre 2026.
• Isolation des exécutions : le code d’import de catalogue s’exécute dans un environnement isolé (Modal, région UE), limité en mémoire et en durée, détruit en fin d’import, qui ne joint que des adresses publiques d’Internet, à l’exclusion de l’infrastructure de Jynhold.
• Requêtes sortantes : les pages et fichiers que le serveur lit sur Internet passent par un contrôle qui refuse toute adresse non publique (protection contre la falsification de requêtes côté serveur).
• Journalisation : rapports d’erreur (Sentry, région UE) sans adresse IP, cookie, en-tête, corps de requête ni identité ; journaux d’exécution de l’hébergeur.
• IA : requêtes acheminées uniquement vers des fournisseurs sans conservation des données, jamais avec les coordonnées des prospects.
• Développement : suite de tests automatisés (unitaires, d’intégration et de bout en bout) exécutée avant l’intégration de chaque changement.
• Suppression : tâches quotidiennes qui effacent les outils supprimés depuis plus de 30 jours, les fichiers qu’aucune donnée ne référence plus et les compteurs de limitation expirés.

Jynhold ne détient aucune certification de sécurité (ISO 27001, SOC 2 ou autre) et ne fixe pas d’objectif de reprise chiffré. Incidents : les erreurs de l’application sont remontées à Sentry et les journaux de l’hébergeur sont consultables ; en cas de violation de données personnelles, Jynhold informe le Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance (clause 11).

Contacts : les notifications de Jynhold (violations, changements de sous-traitants) sont adressées au propriétaire de l’espace de travail du Client, à l’adresse email de son compte, ou à un autre contact que le Client désigne par écrit à [email protected]. Ce contact de Jynhold reçoit les instructions, les questions de confidentialité et les signalements d’incident.

Acceptation : le DPA s’applique dans sa version publiée à la date d’acceptation du contrat de service par le Client. Les modifications importantes ultérieures sont documentées et communiquées selon le contrat applicable.