Accord de traitement des données (DPA)

1. Objet et parties

Le présent accord de traitement des données (« le DPA ») est conclu entre Kwoji, société par actions simplifiée à associé unique au capital de 100 euros, immatriculée au RCS de Paris sous le numéro 108 473 042, dont le siège est situé 47 rue Vivienne, 75002 Paris, France (« l'Éditeur »), et l'organisation professionnelle qui ouvre un espace d'organisation sur la plateforme Kwoji (« le Client »).

Il précise, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »), les conditions dans lesquelles l'Éditeur traite des données à caractère personnel pour le compte du Client. Il complète les Conditions générales d'utilisation (« CGU ») et les Conditions générales de vente (« CGV »), dont il fait partie intégrante. En cas de contradiction sur une question de protection des données, le DPA prévaut.

2. Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne l'article 4 du RGPD. En outre :

• « Plateforme » : le service Kwoji, accessible sur kwoji.com et kwoji.app ;
• « Organisation » : l'espace ouvert par le Client sur la Plateforme, avec ses membres, ses paramètres et ses données ;
• « Membres » : les collaborateurs du Client et toute autre personne que le Client invite dans son Organisation ;
• « Données du Client » : les données à caractère personnel que l'Éditeur traite pour le compte du Client, décrites à l'article 3 et à l'annexe A ;
• « Sous-traitant ultérieur » : tout prestataire auquel l'Éditeur recourt et qui traite des Données du Client ;
• « Réglementation applicable » : le RGPD, la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés », et les textes pris pour leur application.

3. Qualification des rôles

La Plateforme réunit deux ensembles de traitements, qui n'ont pas le même responsable. Le Client décide de ce qu'il paramètre et de ce qu'il lit sur son Organisation ; l'Éditeur décide de ce qu'est un compte joueur et de la façon dont fonctionnent les jeux. Le rôle de chacun suit donc le traitement, et non la donnée :

Une même donnée peut relever des deux ensembles. Un résultat de partie est collecté par l'Éditeur pour faire fonctionner le jeu, en qualité de responsable du traitement ; son agrégation dans le tableau de bord que lit le Client est un traitement réalisé pour le compte de ce dernier. Le présent DPA ne s'applique qu'aux traitements réalisés en qualité de sous-traitant. Ceux dont l'Éditeur est responsable sont décrits dans la Politique de confidentialité.

En qualité de responsable des traitements qu'il fait réaliser, le Client détermine leur base légale, informe ses collaborateurs, consulte ses instances représentatives du personnel lorsque la réglementation l'exige, et mène, le cas échéant, sa propre analyse d'impact. Il s'assure qu'il est en droit de confier à l'Éditeur les données qu'il saisit, notamment les adresses e-mail des personnes qu'il invite.

4. Description du traitement

Les finalités, les catégories de personnes concernées, les catégories de données et les durées de conservation des traitements réalisés pour le compte du Client sont décrites à l'annexe A. Le traitement porte sur la durée de vie de l'Organisation, dans les limites de durée fixées par cette annexe. Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est demandée par la Plateforme ; le Client s'interdit d'en saisir dans les champs qu'il renseigne (noms d'équipes, d'axes ou de valeurs de segmentation).

5. Instructions du Client

L'Éditeur ne traite les Données du Client que sur instruction documentée du Client. Valent instructions documentées : le présent DPA, les CGU et les CGV, l'usage que le Client fait des fonctionnalités de la Plateforme, et les réglages qu'il opère dans son espace d'administration (activation de Kwoji Pulse, de ses relances ou de Kwoji Live, connexion d'un canal, définition des équipes, des managers, des dates d'arrivée et des axes, choix du seuil d'anonymat de Kwoji Pulse, invitations, retrait d'un membre, export des données).

Certaines règles sont fixées par la Plateforme et ne se paramètrent pas, précisément parce qu'elles protègent les Membres : le plancher du seuil d'anonymat de Kwoji Pulse (jamais moins de trois réponses, et un seuil abaissé ne vaut que pour les vagues suivantes), sa durée de conservation de six mois, l'absence de restitution d'une réponse individuelle. En utilisant les fonctionnalités concernées, le Client les adopte comme partie de ses instructions. Toute instruction complémentaire est adressée par écrit à contact@kwoji.com. L'Éditeur informe le Client s'il estime qu'une instruction enfreint la Réglementation applicable, et peut alors en suspendre l'exécution.

6. Obligations de l'Éditeur

L'Éditeur s'engage à :

• traiter les Données du Client uniquement pour les finalités de l'annexe A et selon les instructions du Client, sauf obligation imposée par le droit de l'Union ou d'un État membre, auquel cas il en informe le Client avant le traitement, sauf si ce droit l'interdit ;
• garantir la confidentialité des Données du Client (articles 7 et 8) ;
• mettre en œuvre les mesures de sécurité décrites à l'article 9 ;
• respecter les conditions de recours aux Sous-traitants ultérieurs (article 10) ;
• aider le Client à respecter ses propres obligations (articles 12 et 13) ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA (article 14) ;
• tenir le registre des catégories d'activités de traitement réalisées pour le compte du Client, prévu à l'article 30.2 du RGPD.

7. Accès aux Données du Client

Principe. Personne chez l'Éditeur ne consulte les Données du Client. Cet engagement vaut pour toutes les Données du Client, et en particulier pour les réponses à Kwoji Pulse.

Exceptions, limitativement énumérées. Un accès n'a lieu que dans l'un des cas suivants, et seulement dans la mesure strictement nécessaire :

• une demande écrite du Client portant sur un besoin de support précis, et pour la seule durée de ce support ;
• la maintenance, la correction d'une anomalie, la restauration d'une sauvegarde ou l'examen d'un incident de sécurité, lorsqu'ils ne peuvent être menés sans toucher aux données ;
• une obligation légale ou la demande d'une autorité compétente.

Tout accès de ce type est consigné par écrit par l'Éditeur (date, motif, personne, données concernées) et ce relevé est communiqué au Client sur demande.

Kwoji Pulse. Aucune réponse individuelle n'est communiquée au Client ni à quiconque, y compris à la demande du Client. Les résultats restitués à l'Organisation sont des agrégats calculés par la base de données elle-même, jamais sous le seuil d'anonymat de l'Organisation : cinq réponses par défaut, que seul le propriétaire de l'Organisation peut fixer à quatre ou trois, sans réglage permettant de descendre plus bas. Un seuil abaissé ne s'applique qu'aux vagues ouvertes après le changement, jamais aux réponses déjà données ; un seuil remonté s'applique à toutes les vagues. La protection qui empêche de retrouver une réponse en comparant deux groupes voisins reste active quel que soit le seuil, et chaque Membre peut consulter le seuil en vigueur depuis sa carte de vote. La table des réponses n'est accessible par aucune interface de programmation exposée aux navigateurs. L'Éditeur ne prétend pas pour autant à une impossibilité technique : ses personnes habilitées disposent, pour administrer la base, d'un accès qui permettrait de la lire. C'est l'engagement du présent article, et non une contrainte technique, qui l'interdit. Le commentaire anonyme qu'un Membre peut laisser après une note basse est enregistré sans aucun rattachement à lui (ni identifiant, ni date, ni segment, ni note) : il est restitué à l'administration de l'Organisation, une fois la vague close, sans seuil de réponses, et l'Organisation peut retirer un commentaire qui désigne un tiers. Le fonctionnement détaillé est décrit sur la page Comment Kwoji Pulse protège l'anonymat.

Aucun usage propre. L'Éditeur n'utilise pas les Données du Client pour ses propres fins. En particulier, il ne produit aucune comparaison ni aucun étalonnage entre clients à partir de ces données, ne les vend ni ne les loue, et ne les utilise pas pour entraîner un modèle d'intelligence artificielle.

Accès d'administration. L'accès technique aux consoles d'administration des hébergeurs est réservé aux personnes habilitées par l'Éditeur, en nombre strictement limité, et retiré dès qu'une personne n'en a plus l'usage. La liste de ces personnes est communiquée au Client sur demande.

8. Confidentialité du personnel

L'Éditeur veille à ce que toute personne autorisée à traiter les Données du Client soit soumise à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de sa mission, et ne traite ces données que sur instruction.

9. Sécurité

L'Éditeur met en œuvre les mesures techniques et organisationnelles suivantes, adaptées au risque au sens de l'article 32 du RGPD :

• Cloisonnement des données : contrôle d'accès au niveau des lignes de la base (Row Level Security) sur les tables, qui limite chaque Membre aux données de son Organisation ; fonctions serveur qui vérifient le rôle de l'appelant en base ; tables sensibles (réponses Kwoji Pulse, segments figés au vote, commentaires anonymes) sans aucun chemin de lecture exposé.
• Chiffrement : toutes les communications passent par des connexions chiffrées (HTTPS et WebSocket sécurisées) ; le chiffrement des données au repos est assuré par l'hébergeur de la base de données (Supabase, Inc., région Irlande (Union européenne)).
• Authentification : connexion sans mot de passe, par lien à usage unique ou par Google ; jetons de session vérifiés côté serveur ; accès au temps réel par un jeton d'organisation signé, valable cinq minutes.
• Secrets et clés : secrets conservés hors du code source ; la clé qui contourne le contrôle d'accès de la base n'est détenue que par un service serveur dédié et par un environnement d'automatisation dédié, jamais par un navigateur ni par le serveur de jeu ; jetons de connexion Google et adresses de canal Slack ou Teams stockés hors de toute interface exposée et jamais renvoyés à un navigateur.
• Intégrité des résultats : les résultats de partie sont signés par le serveur de jeu et la signature est vérifiée par la base avant tout enregistrement.
• Sauvegardes : sauvegarde quotidienne de la base de production, prise par un rôle en lecture seule, chiffrée (AES-256) avant stockage et conservée 30 jours.
• Environnements séparés : un environnement de développement et un environnement de production étanches, chacun avec sa propre base.
• Minimisation : photos de jeu dans un espace de stockage privé, servies par des liens temporaires et supprimées sous sept jours ; aucun enregistrement des flux de Kwoji Live ; rapports d'erreurs techniques sans identité ni adresse IP.
• Contrôle des évolutions : toute modification du code et du schéma de la base passe par une demande de fusion et une chaîne de vérification automatisée (tests, contrôle des types, rejeu des migrations sur une base vierge) avant sa mise en production.

L'Éditeur peut faire évoluer ces mesures, à condition de ne pas réduire le niveau de protection global des Données du Client.

10. Sous-traitants ultérieurs

Le Client autorise de manière générale l'Éditeur à recourir aux Sous-traitants ultérieurs listés à l'annexe B. L'Éditeur impose à chacun, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA, et demeure responsable envers le Client de leur exécution.

L'Éditeur informe le Client de tout ajout ou remplacement d'un Sous-traitant ultérieur au moins 30 jours avant qu'il ne traite des Données du Client, par la mise à jour de l'annexe B et par un message adressé au propriétaire de l'Organisation. Le Client peut s'y opposer par écrit, pour un motif raisonnable tenant à la protection des données, dans ce délai de 30 jours. Les parties cherchent alors une solution de bonne foi ; à défaut, le Client peut résilier la souscription concernée, sans pénalité, avant l'entrée en fonction du nouveau Sous-traitant ultérieur.

Les outils que le Client connecte lui-même à son Organisation (son espace de travail Slack ou Microsoft Teams, l'agenda Google d'un Membre) ne sont pas des Sous-traitants ultérieurs de l'Éditeur : ce sont des destinataires choisis par le Client ou par le Membre, régis par les conditions de leur éditeur.

11. Transferts hors de l'Union européenne

La base de données de la Plateforme est hébergée dans l'Union européenne (Irlande (Union européenne)). Certains Sous-traitants ultérieurs sont établis aux États-Unis ou peuvent traiter des données hors de l'Union européenne ; l'annexe B indique, pour chacun, la localisation et la garantie encadrant le transfert (clauses contractuelles types de la Commission européenne et, le cas échéant, certification au Data Privacy Framework).

Le Client est informé en particulier que le média de Kwoji Live (voix et vidéo) est acheminé par Cloudflare RealtimeKit, qui n'offre pas de localisation garantie dans l'Union européenne : les flux peuvent transiter par des serveurs situés hors de l'Union. Ils ne sont enregistrés ni par l'Éditeur ni pour son compte. Kwoji Live est désactivé par défaut et ne s'active que par une décision du Client, dans son espace d'administration.

Le Client est informé de même que le résumé de vague de Kwoji Pulse par IA est produit par Scaleway SAS, en France (région de Paris), sans transfert hors de l'Union européenne. Il reçoit les résultats agrégés déjà affichés au Client, jamais sous le seuil d'anonymat de l'Organisation, y compris ceux des périmètres de managers avec le nom du manager, et le texte des commentaires anonymes de la vague tel qu'il a été écrit, noms compris. Seul le résumé est conservé par l'Éditeur ; Scaleway peut conserver au plus deux semaines une requête en erreur, pour son diagnostic. Le résumé par IA est désactivé par défaut et ne s'active que par une décision du Client, dans son espace d'administration.

Les réponses de la mascotte de la Galaxie par IA sont produites par Scaleway SAS, en France (région de Paris), sans transfert hors de l'Union européenne. Scaleway reçoit la question posée, telle que l'administration l'écrit, et les résultats agrégés par groupe que la Galaxie affiche déjà au Client, jamais sous le seuil d'anonymat de l'Organisation, avec les noms des managers que la Galaxie affiche, sans aucune réponse individuelle ni commentaire. Rien de cet échange n'est conservé par l'Éditeur ; Scaleway peut conserver au plus deux semaines une requête en erreur, pour son diagnostic. Cette fonction relève du même réglage que le résumé par IA, désactivé par défaut.

12. Assistance au Client

Droits des personnes. La Plateforme permet à chaque Membre d'exercer lui-même ses droits d'accès et de portabilité (téléchargement de ses données depuis son profil, réponses Kwoji Pulse comprises), de rectification et d'effacement. Si l'Éditeur reçoit directement une demande portant sur des Données du Client, il la transmet au Client dans les meilleurs délais et n'y répond pas sans son instruction, sauf pour orienter la personne. Il assiste le Client, dans la mesure du possible, pour les demandes que les fonctionnalités ne couvrent pas.

Analyse d'impact et consultation préalable. L'Éditeur fournit au Client les informations dont il dispose pour mener une analyse d'impact relative à la protection des données ou consulter l'autorité de contrôle, notamment la description du fonctionnement de Kwoji Pulse et de Kwoji Live.

13. Notification des violations de données

L'Éditeur notifie au Client toute violation de données à caractère personnel touchant des Données du Client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification est adressée aux propriétaires et administrateurs de l'Organisation. Elle décrit, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées, et le point de contact de l'Éditeur. Les éléments qui ne sont pas encore connus sont communiqués ensuite, sans délai indu. L'Éditeur prend les mesures nécessaires pour contenir la violation et en limiter les effets, et coopère avec le Client pour lui permettre de remplir ses propres obligations de notification.

14. Audit

L'Éditeur met à la disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect du présent DPA : réponse à un questionnaire de sécurité, description des mesures de l'article 9, liste des Sous-traitants ultérieurs et documentation disponible.

Si ces éléments ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret professionnel et qui n'est pas un concurrent de l'Éditeur, au plus une fois par période de douze mois, moyennant un préavis écrit de 30 jours, pendant les heures ouvrées et sans perturber le fonctionnement de la Plateforme. L'audit est à la charge du Client. Il ne porte pas sur les données d'autres clients. Ces limites de fréquence ne s'appliquent pas à un audit demandé par une autorité de contrôle ou consécutif à une violation de données touchant le Client.

15. Fin du traitement

La résiliation d'un palier payant ne met pas fin à l'Organisation, qui continue au palier gratuit dans les conditions des CGV. Le traitement pour le compte du Client prend fin à la fermeture de l'Organisation, demandée par écrit par son propriétaire à contact@kwoji.com.

• Restitution. Avant la fermeture, le propriétaire peut télécharger les données de l'Organisation depuis son espace d'administration (Paramètres), dans un format structuré. Les résultats de Kwoji Pulse ne sont restitués que sous leur forme agrégée, téléchargeable depuis l'onglet Pulse : aucune réponse individuelle n'est restituée, ni à la fermeture ni à aucun autre moment. Les commentaires anonymes se lisent à l'écran et n'entrent dans aucun téléchargement.
• Suppression. L'Éditeur supprime l'Organisation et les Données du Client dans un délai de 30 jours suivant la demande, puis confirme la suppression par écrit. Les copies contenues dans les sauvegardes disparaissent au terme de leur durée de conservation de 30 jours.
• Ce qui subsiste. Les comptes joueurs, qui relèvent de l'Éditeur en qualité de responsable du traitement et peuvent être rattachés à d'autres organisations, ne sont pas supprimés par la fermeture ; chaque Membre reste libre de supprimer son compte. Les données que l'Éditeur doit conserver en vertu d'une obligation légale, notamment les factures, sont conservées pour la durée requise.

Le retrait d'un Membre en cours de contrat suit les règles décrites à l'annexe A.

16. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est régie par l'article « Responsabilité » des CGV. Pour un Client au palier gratuit, qui n'a pas souscrit aux CGV, elle est régie par les CGU. Ces stipulations s'appliquent sans préjudice des droits que les personnes concernées tiennent directement de l'article 82 du RGPD.

17. Acceptation et documents

Le présent DPA fait partie intégrante des CGU et des CGV. Il est accepté par le Client lors de la création de son Organisation et, le cas échéant, lors de la souscription d'un palier payant, dans les mêmes conditions que ces documents. Cette acceptation en ligne vaut signature. La version applicable est celle publiée à l'adresse kwoji.com/dpa, datée en tête de page.

Le Client qui a besoin d'un exemplaire signé peut demander, à contact@kwoji.com, une version PDF identique à la version publiée, signée par l'Éditeur. Un accord négocié peut être conclu pour les souscriptions sur devis ; il prévaut alors sur le présent DPA dans la mesure où il y déroge.

18. Modifications

L'Éditeur peut modifier le présent DPA, notamment pour suivre l'évolution de la Plateforme, de ses Sous-traitants ultérieurs ou de la Réglementation applicable. La date de dernière mise à jour figure en tête de page. Toute modification substantielle est notifiée au propriétaire de l'Organisation au moins 30 jours avant son entrée en vigueur, sauf si elle est imposée par la loi ou une autorité. Aucune modification ne peut réduire le niveau de protection des Données du Client sans son accord.

19. Droit applicable et juridiction

Le présent DPA est soumis au droit français. À défaut de résolution amiable, tout litige relatif à son interprétation ou à son exécution relève des tribunaux du ressort du siège de l'Éditeur.

Annexe A. Description du traitement

Personnes concernées : les Membres de l'Organisation, tous rôles confondus ; les personnes que le Client invite par e-mail, avant qu'elles aient rejoint l'Organisation.

Nature des opérations : collecte, enregistrement, organisation, conservation, calcul d'agrégats, consultation par le Client, transmission aux destinataires qu'il a choisis, effacement.

Départ d'un Membre. Le retrait définitif d'un Membre par le Client supprime son adhésion, ses clubs, son équipe, ses affectations de segmentation, ses inscriptions et ses rendez-vous hébergés dans l'Organisation. Ses résultats de parties sont conservés pour les agrégats de l'Organisation, mais son identifiant y est remplacé par un alias aléatoire dont aucune correspondance n'est conservée : ils ne se rattachent plus à lui. Ses réponses Kwoji Pulse suivent la durée de conservation de six mois, comme les commentaires anonymes, qui ne se rattachent à personne.

Annexe B. Sous-traitants ultérieurs

Les autres prestataires de l'Éditeur (paiement, mesure d'audience) ne traitent que des données dont l'Éditeur est responsable ; ils sont listés dans la Politique de confidentialité.

Historique des versions

• 23 septembre 2026 : version initiale.
• 24 septembre 2026 : ajout du résumé par IA, fonctionnalité optionnelle, désactivée par défaut (annexe A, et Cloudflare Workers AI en sous-traitant ultérieur à l'annexe B).
• 25 septembre 2026 : ajout des réponses de la mascotte de la Galaxie par IA ; Scaleway SAS devient le sous-traitant ultérieur de l'IA pour ces réponses et pour le résumé de vague Kwoji Pulse, et Cloudflare Workers AI est retiré ; un seul réglage, désactivé par défaut, couvre les deux fonctions (§3, §11, annexe A, annexe B) ; Scaleway SAS sert aussi l'arbitre du jeu Kwoji Verita, sans option (annexe B).