Le présent accord est conclu entre FRQR SAS (ci-après 'Sous-traitant') et le Client abonné à un plan payant frqr.app (ci-après 'Responsable de traitement').

2. Objet et durée

Le Sous-traitant s'engage à traiter les données personnelles uniquement pour les finalités décrites dans les Conditions Générales et pour la durée de l'abonnement actif.

3. Nature des traitements

Création et gestion de liens courts, QR codes et bio pages
Mesure d'audience NEXUS sans cookie, sur données pseudonymisées (l'adresse IP n'est jamais conservée en clair)
Synchronisation des leads vers les outils CRM du client (HubSpot, Mailchimp, etc.)
Envoi de notifications email (digest, alertes seuil)
Fonctions d'intelligence artificielle (génération de contenus, résumés), traitées par Mistral AI en France

4. Sous-traitants ultérieurs

FRQR SAS héberge l'application et sa base de données en France, chez Scaleway. Certains sous-traitants ultérieurs sont établis hors de l'Union européenne : ces transferts sont encadrés par le Data Privacy Framework UE-États-Unis et/ou les clauses contractuelles types de la Commission européenne.

Scaleway (France) : hébergement de l'application, de la base de données et des sauvegardes
Cloudflare (États-Unis, entité européenne Cloudflare Netherlands) : proxy de app.frqr.app : adresse IP et en-têtes des requêtes, en transit
Stripe (États-Unis, entité européenne Stripe Payments Europe, Irlande) : paiements par carte et prélèvement SEPA, y compris les paiements en roupies de la zone Inde
Brevo (France) : envoi des emails transactionnels
Mistral AI (France) : fonctions d'IA, seul fournisseur d'IA : contenus soumis par le client
Sentry (États-Unis) : suivi des erreurs applicatives, sans identité de l'utilisateur
Google, GitHub, Microsoft (États-Unis) : connexion avec un compte tiers (OAuth), si l'utilisateur la choisit
Apple (États-Unis) : mise à jour des cartes de visite Apple Wallet : jeton de notification de l'appareil uniquement
Slack (États-Unis) : alertes techniques internes, sans donnée personnelle

Les pixels publicitaires (Meta, Google, LinkedIn, TikTok…) qu'un client ajoute à ses liens courts ou à ses pages bio ne se chargent qu'après le consentement du visiteur. Les régies concernées ne sont pas des sous-traitants de FRQR : le client les choisit et reste responsable de ce traitement.

FRQR SAS informe ses clients de tout ajout ou remplacement d'un sous-traitant ultérieur. Pour toute question : legal@frqr.app.

5. Mesures de sécurité

Chiffrement TLS (version 1.2 minimum) en transit ; secrets et sauvegardes chiffrés au repos
Contrôle d'accès RBAC, authentification MFA pour les équipes internes
Journal d'audit des opérations sensibles (création, modification, suppression)
Sauvegardes quotidiennes chiffrées, copiées hors du serveur

6. Droits des personnes concernées

Sur demande du Responsable de traitement, FRQR SAS s'engage à assister dans l'exercice des droits des personnes concernées (accès, rectification, suppression, portabilité) dans un délai de 72 heures ouvrées.

7. Notification de violations

En cas de violation de données à caractère personnel, FRQR SAS s'engage à en informer le Responsable de traitement dans les 48 heures suivant la prise de connaissance de l'incident.

8. DPA complet et contact

Le DPA complet et signable (format PDF) est disponible sur demande à legal@frqr.app.

Ce DPA est mis à jour à chaque évolution du service. Une question sur son contenu ? Écrivez-nous depuis la page Contact : l'équipe répond en français, par e-mail.

Pour aller plus loin : Le RGPD (CNIL).