Data Processing Agreement / Accord de traitement des données

Dernière mise à jour : 26/05/2026

Le présent Accord de traitement des données, ci-après le « DPA » ou l’« Accord », a pour objet de définir les conditions dans lesquelles COFILITEX, ci-après « Demify » ou le « Sous-traitant », traite des données à caractère personnel pour le compte de ses clients professionnels dans le cadre de la fourniture des services Demify.

Le présent DPA complète les Conditions Générales d’Utilisation, les Conditions Générales de Vente, tout bon de commande, contrat, devis, proposition commerciale ou accord spécifique conclu entre Demify et le Client.

Il est conclu entre :

le Client, agissant en qualité de responsable du traitement ;
COFILITEX, agissant en qualité de sous-traitant pour les traitements décrits dans le présent DPA.

Le présent DPA est établi conformément au Règlement général sur la protection des données — Règlement (UE) 2016/679 — notamment son article 28.

1. Objet

Le présent DPA encadre les traitements de données à caractère personnel réalisés par Demify pour le compte du Client dans le cadre de l’utilisation des services Demify.

Demify est un SaaS B2B permettant notamment aux équipes commerciales, marketing, produit et growth de créer, éditer, personnaliser, partager et analyser des démos produit interactives.

Dans ce cadre, Demify peut traiter, pour le compte du Client, des données liées notamment :

aux démos créées par le Client ;
aux captures réalisées via l’extension Chrome ;
aux contenus clients ;
aux prospects et leads du Client ;
aux conversations avec le chatbot IA ;
aux analytics de consultation des démos ;
aux liens personnalisés destinés aux prospects.

Le présent DPA a pour objet de définir les obligations respectives des Parties en matière de protection des données personnelles.

2. Rôles des parties

Pour les traitements réalisés dans le cadre des démos, captures, contenus clients, prospects, leads, conversations chatbot, analytics et liens personnalisés, le Client agit en qualité de responsable du traitement.

À ce titre, le Client détermine les finalités et les moyens essentiels des traitements réalisés via les services Demify.

Demify agit en qualité de sous-traitant, au sens du RGPD, lorsqu’elle traite des données personnelles pour le compte du Client et sur ses instructions documentées.

Le Client demeure seul responsable :

de la licéité des traitements réalisés via Demify ;
de la détermination des finalités poursuivies ;
de l’identification de la base légale applicable ;
de l’information des personnes concernées ;
du respect des règles de prospection commerciale ;
du respect des droits des personnes concernées ;
de la conformité des contenus, données et instructions transmis à Demify.

Demify peut agir en qualité de responsable de traitement distinct pour certains traitements réalisés pour ses propres finalités, notamment la gestion de ses clients, la facturation, la sécurité de ses services, le support, la prospection commerciale propre à Demify, l’amélioration de ses services et le respect de ses obligations légales. Ces traitements sont décrits dans la Politique de confidentialité de Demify.

3. Durée

Le présent DPA prend effet à compter de la date d’acceptation des Conditions Générales, de signature d’un contrat, d’acceptation d’un bon de commande ou du début d’utilisation des services Demify par le Client.

Il reste applicable pendant toute la durée durant laquelle Demify traite des données personnelles pour le compte du Client.

Les obligations relatives à la confidentialité, à la sécurité, à la suppression ou restitution des données et à la coopération avec le Client survivront à la fin du contrat pendant la durée nécessaire à leur exécution.

4. Nature et finalités du traitement

Demify traite les données personnelles pour le compte du Client afin de fournir, maintenir, sécuriser et améliorer les services souscrits par le Client.

Les traitements peuvent notamment avoir pour finalités :

création de démos produit interactives ;
édition et personnalisation de démos ;
capture de parcours produit via l’extension Chrome ;
enregistrement de screenshots, URL, clics, textes visibles et métadonnées d’étapes ;
enregistrement audio optionnel via microphone, lorsque cette fonctionnalité est activée ;
transcription éventuelle de contenus audio ;
génération ou assistance à la génération de contenus ;
mise à disposition de démos publiques, privées ou personnalisées ;
création de liens personnalisés destinés à des prospects ;
fonctionnement du chatbot IA intégré aux démos ;
analyse des consultations et interactions avec les démos ;
suivi des étapes vues, messages chatbot, clics et clics CTA ;
qualification commerciale ou mesure d’engagement des prospects ;
hébergement, stockage et sécurisation des contenus clients ;
support technique et résolution d’incidents ;
journalisation technique et prévention des abus ;
maintenance et amélioration fonctionnelle des services.

Demify ne traite les données personnelles que pour les finalités nécessaires à la fourniture des services ou conformément aux instructions documentées du Client.

5. Catégories de données

Les catégories de données personnelles susceptibles d’être traitées par Demify pour le compte du Client peuvent inclure :

contenus clients importés, créés, configurés ou partagés dans Demify ;
captures d’écran ;
URL ;
clics ;
textes visibles dans les interfaces capturées ;
métadonnées d’étapes ;
titres, descriptions, annotations et contenus de démos ;
audio micro optionnel ;
transcriptions audio ;
données relatives aux prospects ou leads ;
prénom, nom, fonction, entreprise, email professionnel ou autres informations renseignées par le Client ;
données personnalisées associées aux liens prospects ;
paramètres de personnalisation d’une démo ou d’un chatbot ;
messages échangés avec le chatbot IA ;
réponses, prompts, instructions ou contenus générés par IA ;
données d’analytics de démo ;
visites, étapes vues, durée de consultation, clics, clics CTA, événements d’interaction ;
identifiants techniques, logs, horodatages, informations de navigateur ou d’appareil strictement nécessaires au fonctionnement et à la sécurité du service.

Le Client s’interdit d’utiliser Demify pour traiter des catégories particulières de données au sens du RGPD, sauf accord écrit préalable de Demify et mise en place de garanties appropriées.

Sont notamment interdits, sauf accord écrit spécifique :

données de santé ;
données biométriques ;
données relatives aux opinions politiques ;
données relatives aux convictions religieuses ou philosophiques ;
données relatives à l’appartenance syndicale ;
données relatives à la vie sexuelle ou à l’orientation sexuelle ;
données relatives aux condamnations pénales et infractions ;
mots de passe ;
secrets techniques ;
clés API ;
tokens ;
données bancaires complètes ;
données RH confidentielles ;
informations financières confidentielles ;
secrets d’affaires non destinés à être capturés ou partagés.

6. Catégories de personnes concernées

Les personnes concernées par les traitements réalisés via Demify peuvent notamment inclure :

utilisateurs du Client ;
administrateurs du workspace du Client ;
membres des équipes commerciales, marketing, produit, support ou growth du Client ;
prospects du Client ;
leads du Client ;
clients ou clients potentiels du Client ;
visiteurs de démos ;
personnes interagissant avec le chatbot IA ;
personnes apparaissant dans des contenus, captures, textes visibles, audios ou transcriptions fournis par le Client.

Le Client est responsable de s’assurer que les personnes concernées sont informées conformément aux exigences applicables.

7. Instructions documentées du Client

Demify traite les données personnelles uniquement sur instructions documentées du Client, sauf obligation contraire imposée par le droit de l’Union européenne ou le droit d’un État membre applicable à Demify.

Les instructions documentées du Client comprennent :

le présent DPA ;
les Conditions Générales applicables ;
les paramètres configurés par le Client dans les services Demify ;
les actions réalisées par les utilisateurs autorisés ;
les bons de commande, devis ou contrats acceptés ;
toute instruction écrite complémentaire transmise par le Client et acceptée par Demify.

Demify informe le Client si, selon elle, une instruction constitue une violation du RGPD ou d’une autre disposition applicable en matière de protection des données.

Demify peut refuser d’exécuter une instruction manifestement illicite, techniquement impossible, non prévue par les services, ou susceptible de porter atteinte à la sécurité, à la confidentialité ou aux droits de tiers.

8. Confidentialité

Demify s’engage à garantir la confidentialité des données personnelles traitées pour le compte du Client.

Demify veille à ce que les personnes autorisées à traiter les données personnelles :

soient soumises à une obligation de confidentialité appropriée ;
n’aient accès aux données que dans la mesure nécessaire à leurs missions ;
soient sensibilisées aux exigences de protection des données personnelles ;
traitent les données uniquement conformément aux instructions du Client et aux procédures internes applicables.

Cette obligation de confidentialité demeure applicable après la fin de la relation contractuelle.

9. Sécurité

Demify met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données personnelles contre la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé.

Ces mesures tiennent compte :

de l’état des connaissances ;
des coûts de mise en œuvre ;
de la nature, de la portée, du contexte et des finalités du traitement ;
des risques pour les droits et libertés des personnes concernées.

Les mesures de sécurité minimales sont décrites en Annexe 1 du présent DPA.

Le Client reconnaît que la sécurité des traitements dépend également :

de la bonne configuration de son workspace ;
de la gestion de ses utilisateurs ;
de la confidentialité des identifiants ;
de la qualité des contenus importés ;
des autorisations accordées à ses utilisateurs ;
de la sécurité de ses propres systèmes, terminaux, navigateurs, réseaux et outils tiers.

10. Sous-traitants ultérieurs

Le Client autorise Demify à recourir à des sous-traitants ultérieurs pour fournir les services.

À la date de mise à jour du présent DPA, les sous-traitants ultérieurs identifiés peuvent inclure :

Supabase ;
Vercel ;
OpenAI ;
Anthropic ;
Mistral ;
Resend ;
Hyperline.

Ces sous-traitants peuvent intervenir notamment pour :

l’hébergement ;
la base de données ;
l’infrastructure applicative ;
les fonctionnalités d’intelligence artificielle ;
l’envoi d’emails ;
la facturation ;
le paiement ;
la sécurité ;
la maintenance ;
le support technique.

Demify impose à ses sous-traitants ultérieurs des obligations de protection des données au moins équivalentes à celles prévues dans le présent DPA, notamment en matière de confidentialité, sécurité, assistance, suppression ou restitution des données.

Demify demeure responsable envers le Client de l’exécution des obligations de ses sous-traitants ultérieurs dans les conditions prévues par le RGPD.

Demify informera le Client de tout ajout ou remplacement de sous-traitant ultérieur par un moyen raisonnable, notamment par email, notification dans l’application ou mise à jour de la liste des sous-traitants.

Le Client pourra formuler une objection raisonnable et documentée à l’ajout ou au remplacement d’un sous-traitant ultérieur dans un délai raisonnable suivant l’information communiquée.

En cas d’objection, les Parties s’efforceront de trouver une solution raisonnable. Si aucune solution n’est possible, le Client pourra cesser d’utiliser les fonctionnalités concernées ou résilier les services concernés selon les conditions contractuelles applicables.

11. Transferts hors Union européenne

Les données personnelles peuvent être hébergées ou traitées dans le pays suivant :

États-Unis / infrastructure distribuée mondialement, incluant des régions situées dans l’Union européenne selon les services utilisés.

Certaines opérations de traitement ou certains sous-traitants ultérieurs peuvent impliquer des transferts de données personnelles en dehors de l’Union européenne ou de l’Espace économique européen.

Lorsque de tels transferts ont lieu, Demify s’engage à mettre en place les garanties appropriées exigées par la réglementation applicable, notamment :

une décision d’adéquation de la Commission européenne, lorsque disponible ;
les Clauses Contractuelles Types de la Commission européenne ;
des mesures supplémentaires lorsque nécessaire ;
tout autre mécanisme de transfert reconnu par le RGPD.

Le Client reconnaît que l’utilisation de certains services, notamment de fournisseurs d’infrastructure, d’IA, d’emailing ou de paiement, peut impliquer des traitements ou accès depuis des pays tiers.

Demify tient à disposition du Client les informations raisonnablement nécessaires concernant les transferts applicables, dans la limite de ses propres accords avec ses sous-traitants ultérieurs et des informations commercialement ou techniquement disponibles.

12. Assistance relative aux droits des personnes

Dans la mesure où cela est possible et compte tenu de la nature du traitement, Demify assiste le Client, par des mesures techniques et organisationnelles appropriées, afin de permettre au Client de répondre aux demandes d’exercice des droits des personnes concernées.

Ces droits peuvent notamment inclure :

droit d’accès ;
droit de rectification ;
droit à l’effacement ;
droit à la limitation du traitement ;
droit d’opposition ;
droit à la portabilité ;
droit de ne pas faire l’objet d’une décision automatisée dans les conditions prévues par le RGPD.

Lorsque Demify reçoit directement une demande d’une personne concernée relative à un traitement réalisé pour le compte du Client, Demify peut :

transmettre la demande au Client ;
inviter la personne concernée à contacter directement le Client ;
ne pas répondre directement sur le fond, sauf instruction documentée du Client ou obligation légale contraire.

Le Client demeure responsable de la réponse aux personnes concernées.

Toute assistance nécessitant des développements spécifiques, recherches disproportionnées ou interventions non prévues dans les services peut faire l’objet d’une facturation complémentaire, sous réserve d’information préalable du Client.

13. Assistance AIPD

Demify assiste raisonnablement le Client, compte tenu de la nature du traitement et des informations dont elle dispose, pour la réalisation d’analyses d’impact relatives à la protection des données, lorsque celles-ci sont requises.

Cette assistance peut notamment consister à fournir des informations disponibles sur :

la nature des traitements réalisés par Demify ;
les catégories de données traitées ;
les mesures de sécurité mises en œuvre ;
les sous-traitants ultérieurs ;
les transferts éventuels hors Union européenne ;
les mesures de suppression, restitution ou conservation applicables.

Le Client demeure seul responsable de déterminer si une analyse d’impact est nécessaire et de la réaliser.

Toute assistance approfondie, spécifique ou personnalisée peut faire l’objet d’une facturation complémentaire, sous réserve d’accord préalable entre les Parties.

14. Violations de données

Demify notifie au Client toute violation de données personnelles affectant les données traitées pour le compte du Client dans les meilleurs délais après en avoir pris connaissance.

La notification peut être adressée à l’adresse de contact renseignée par le Client, à l’administrateur du workspace ou à tout contact privacy communiqué à Demify.

La notification inclut, lorsque les informations sont disponibles :

la nature de la violation ;
les catégories et le volume approximatif de données concernées ;
les catégories et le nombre approximatif de personnes concernées ;
les conséquences probables de la violation ;
les mesures prises ou proposées pour remédier à la violation ;
les mesures proposées pour limiter les conséquences négatives éventuelles ;
le point de contact pertinent chez Demify.

Lorsque toutes les informations ne sont pas disponibles immédiatement, Demify peut les communiquer de manière échelonnée.

Le Client demeure responsable, en qualité de responsable du traitement, de déterminer si la violation doit être notifiée à l’autorité de contrôle ou communiquée aux personnes concernées.

Demify coopère raisonnablement avec le Client pour l’aider à respecter ses obligations de notification, dans la limite des informations dont elle dispose.

15. Suppression ou restitution des données

À la fin du contrat ou à l’expiration des services, Demify supprime ou restitue les données personnelles traitées pour le compte du Client, selon le choix du Client et dans les limites des fonctionnalités disponibles.

Le Client est responsable d’exporter ses données avant la fin de son accès lorsque les fonctionnalités d’export sont disponibles.

Sauf instruction contraire du Client ou obligation légale de conservation, Demify supprime ou anonymise les données personnelles dans un délai raisonnable après la fin du contrat, selon ses politiques de conservation applicables.

Demify peut conserver certaines données lorsque cela est nécessaire :

pour respecter une obligation légale ;
pour établir la preuve d’un droit ou d’un contrat ;
pour prévenir la fraude ou les abus ;
pour assurer la sécurité des services ;
pour résoudre un litige ;
pour conserver des sauvegardes temporaires avant leur écrasement automatique.

Les données conservées à ces fins restent soumises à des mesures de confidentialité et de sécurité appropriées.

16. Audit et documentation

Demify met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations au titre du présent DPA.

Cette documentation peut inclure, selon les cas :

la description des traitements ;
la liste des sous-traitants ultérieurs ;
les mesures de sécurité générales ;
les informations relatives aux transferts ;
les politiques ou procédures applicables ;
des attestations, rapports ou éléments de conformité disponibles.

Le Client peut demander un audit raisonnable portant sur les traitements réalisés par Demify pour son compte.

Afin de préserver la sécurité, la confidentialité et la disponibilité des services, tout audit doit :

être précédé d’un préavis écrit raisonnable ;
être limité au périmètre strictement nécessaire ;
ne pas perturber les services ;
respecter la confidentialité des informations de Demify et de ses autres clients ;
être réalisé par un auditeur indépendant soumis à une obligation de confidentialité ;
ne pas permettre l’accès aux données d’autres clients ;
ne pas porter atteinte aux secrets d’affaires, mesures de sécurité sensibles ou informations confidentielles de Demify.

Demify peut refuser ou encadrer toute demande d’audit manifestement excessive, abusive, non justifiée, présentant un risque de sécurité ou portant atteinte aux droits de tiers.

Les audits sur site, audits techniques approfondis, tests d’intrusion ou demandes spécifiques non prévus dans l’offre peuvent être soumis à l’accord préalable écrit de Demify et faire l’objet d’une facturation complémentaire.

17. Responsabilité

Chaque Partie est responsable du respect de ses obligations au titre du RGPD et du présent DPA.

Le Client est responsable :

de la licéité des traitements ;
de la base légale applicable ;
de l’information des personnes concernées ;
de la conformité des données transmises à Demify ;
des instructions données à Demify ;
des paramétrages effectués dans les services ;
des contenus capturés, importés, partagés ou générés ;
de ses propres obligations en qualité de responsable du traitement.

Demify est responsable du respect de ses obligations en qualité de sous-traitant, dans les limites prévues par le RGPD et par les contrats applicables.

La responsabilité de Demify au titre du présent DPA est soumise aux limitations de responsabilité prévues dans les Conditions Générales, le contrat principal, le bon de commande ou tout accord spécifique applicable, sous réserve des dispositions impératives du droit applicable.

Aucune stipulation du présent DPA ne limite les droits des personnes concernées au titre du RGPD.

18. Fin du contrat

À la fin du contrat principal, quelle qu’en soit la cause, le présent DPA demeure applicable aussi longtemps que Demify traite des données personnelles pour le compte du Client.

Le Client doit prendre les mesures nécessaires pour exporter ou récupérer ses données avant la fin effective de son accès aux services, lorsque les fonctionnalités le permettent.

Après expiration des délais applicables, Demify pourra supprimer, anonymiser ou rendre inaccessibles les données traitées pour le compte du Client, sauf obligation légale ou nécessité légitime de conservation.

Les obligations de confidentialité, de sécurité, de coopération et de suppression ou restitution survivront à la fin du contrat pendant la durée nécessaire à leur exécution.

Annexe 1 — Mesures de sécurité minimales

Demify met en œuvre des mesures techniques et organisationnelles raisonnables destinées à protéger les données personnelles traitées pour le compte du Client.

Ces mesures peuvent inclure notamment :

1. Gouvernance et organisation

limitation des accès aux personnes autorisées ;
principe du moindre privilège ;
sensibilisation des personnes autorisées aux obligations de confidentialité ;
procédures internes relatives à la sécurité et à la confidentialité ;
encadrement contractuel des sous-traitants ultérieurs ;
revue périodique des accès internes lorsque cela est applicable.

2. Contrôle d’accès

authentification des utilisateurs ;
gestion des droits par compte, organisation ou rôle ;
séparation logique des espaces clients ;
limitation des accès administratifs ;
suppression ou désactivation des accès lorsque nécessaire ;
obligation pour les utilisateurs de protéger leurs identifiants.

3. Sécurité applicative

utilisation de protocoles sécurisés pour l’accès aux services ;
mesures raisonnables de protection contre les accès non autorisés ;
journalisation technique des événements nécessaires à la sécurité ;
correction raisonnable des vulnérabilités identifiées ;
protection contre les abus, usages frauduleux ou comportements anormaux ;
supervision technique des services lorsque cela est applicable.

4. Sécurité des données

stockage sécurisé des données ;
séparation logique des données clients ;
sauvegardes ou mécanismes de résilience selon les services utilisés ;
mesures de protection contre la perte, l’altération ou l’accès non autorisé ;
suppression ou anonymisation des données selon les politiques applicables.

5. Chiffrement et transmission

chiffrement des communications lorsque techniquement applicable ;
recours à des connexions sécurisées ;
protection des échanges avec les sous-traitants ultérieurs ;
limitation des transferts de données aux finalités nécessaires à la fourniture des services.

6. Disponibilité et résilience

hébergement auprès de prestataires cloud professionnels ;
mesures raisonnables de continuité et de disponibilité ;
supervision des incidents techniques ;
procédures de restauration ou de reprise selon les capacités techniques disponibles ;
maintenance corrective et évolutive des services.

7. Gestion des incidents

processus interne de détection et d’analyse des incidents ;
qualification des incidents de sécurité ;
notification au Client en cas de violation de données personnelles affectant ses données ;
documentation raisonnable des incidents ;
mesures correctives lorsque nécessaire.

8. Sous-traitance

sélection de sous-traitants présentant des garanties appropriées ;
contractualisation avec les sous-traitants ultérieurs ;
suivi de la liste des sous-traitants ;
information du Client en cas de changement significatif selon les modalités prévues au DPA.

9. Limites

Les mesures ci-dessus constituent des mesures minimales générales.

Elles doivent être complétées, si nécessaire, par les mesures propres au Client, notamment :

gestion interne des accès ;
paramétrage des workspaces ;
contrôle des contenus capturés ;
exclusion des données sensibles ou confidentielles ;
information des personnes concernées ;
sécurisation des terminaux et navigateurs des utilisateurs.

Annexe 2 — Description du traitement

1. Responsable du traitement

Le Client.

2. Sous-traitant

COFILITEX

3. Service concerné

Demify, SaaS B2B de création, édition, personnalisation, partage et analyse de démos produit interactives.

4. Durée du traitement

Pendant la durée du contrat entre le Client et Demify, augmentée des durées nécessaires à la suppression, restitution, sauvegarde temporaire, preuve ou respect d’obligations légales.

5. Nature des opérations réalisées

Demify peut réaliser les opérations suivantes pour le compte du Client :

collecte ;
réception ;
enregistrement ;
structuration ;
organisation ;
hébergement ;
stockage ;
consultation ;
adaptation ;
modification ;
extraction ;
transmission ;
mise à disposition ;
analyse ;
génération assistée par IA ;
transcription ;
suppression ;
anonymisation ;
journalisation technique.

6. Finalités du traitement

Les finalités sont notamment :

création de démos interactives ;
capture de parcours produit ;
édition de démos ;
personnalisation de démos ;
partage de démos ;
génération de contenus ;
fonctionnement du chatbot IA ;
analyse de l’engagement des prospects ;
suivi des interactions ;
gestion de liens personnalisés ;
support ;
sécurité ;
maintenance ;
prévention des abus.

7. Catégories de données personnelles

Les données traitées peuvent inclure :

contenus clients ;
screenshots ;
URL ;
clics ;
textes visibles ;
métadonnées d’étapes ;
audio micro optionnel ;
transcripts ;
données prospects/leads ;
conversations chatbot ;
analytics de démo ;
données personnalisées de liens prospects ;
logs techniques ;
identifiants d’événements ;
données de configuration des démos.

8. Catégories de personnes concernées

Les personnes concernées peuvent inclure :

utilisateurs du Client ;
administrateurs ;
membres du workspace ;
prospects ;
leads ;
visiteurs de démos ;
personnes interagissant avec le chatbot IA ;
personnes apparaissant dans les contenus capturés ou importés.

9. Sous-traitants ultérieurs

Les sous-traitants ultérieurs peuvent inclure :

Supabase ;
Vercel ;
OpenAI ;
Anthropic ;
Mistral ;
Resend ;
Hyperline.

10. Lieu d’hébergement

États-Unis / infrastructure distribuée mondialement, incluant des régions situées dans l’Union européenne selon les services utilisés.

11. Transferts hors UE

Des transferts hors Union européenne peuvent intervenir selon les sous-traitants utilisés, leur localisation, leurs infrastructures et les fonctionnalités activées.

Lorsque nécessaire, ces transferts sont encadrés par des garanties appropriées conformément au RGPD.

12. Données sensibles

Les services Demify ne sont pas destinés à traiter des données sensibles, secrets, mots de passe, données de santé, données RH confidentielles, données financières confidentielles ou données de tiers non autorisées.

Le Client s’engage à ne pas importer, capturer, transmettre ou partager de telles données via Demify, sauf accord écrit préalable et garanties appropriées.