Accord de traitement des données
Annexe de traitement des données applicable lorsque FlowMRR traite des données personnelles pour le compte de ses clients.
Dernière mise à jour : 14 septembre 2026
1. Champ d’application et rôle des parties
Le présent Accord de traitement des données (« ATD ») complète les conditions applicables au service FlowMRR. Il s’applique lorsque Flow-MRR traite des données personnelles pour le compte d’un client dans le cadre du service.
Le client agit en qualité de responsable du traitement. Flow-MRR, SASU immatriculée au RCS de Paris sous le numéro 109 145 771, agit en qualité de sous-traitant au sens de l’article 28 du RGPD. Le présent ATD est intégré aux conditions acceptées lors de l’utilisation ou de la souscription au service.
2. Instructions, objet et durée du traitement
Instructions documentées
Flow-MRR traite les données personnelles uniquement selon les instructions documentées du client, telles qu’elles résultent du présent ATD, des fonctionnalités configurées dans FlowMRR et des instructions écrites ultérieures du client, sauf obligation légale contraire.
Objet, nature et finalités
Le traitement consiste à collecter, héberger, organiser, analyser, afficher et restituer les données nécessaires à la fourniture du service : analytics de revenus Stripe, mouvements de revenus, rétention, prévisions, trésorerie et recouvrement. Le traitement dure pendant la relation contractuelle et pendant les délais nécessaires à la clôture, à la sécurité et aux obligations légales applicables.
Personnes concernées et catégories de données
Les personnes concernées peuvent inclure les utilisateurs autorisés du client, ses prospects, clients, abonnés, contacts de facturation et payeurs. Les données peuvent inclure les identifiants, coordonnées professionnelles, données de compte Stripe, informations d’abonnement, de facturation, de paiement, d’activité et de correspondance liées aux fonctionnalités activées par le client.
3. Obligations de Flow-MRR
Confidentialité et sécurité
Flow-MRR veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité. Flow-MRR met en œuvre des mesures techniques et organisationnelles appropriées, tenant compte de l’état de l’art, des coûts de mise en œuvre, de la nature du traitement et des risques pour les personnes concernées.
Assistance au client
Compte tenu de la nature du traitement et des informations disponibles, Flow-MRR aide raisonnablement le client à répondre aux demandes d’exercice des droits, aux analyses d’impact, aux consultations préalables et aux obligations de sécurité prévues par le RGPD. Toute demande reçue directement d’une personne concernée est transmise au client, sauf obligation légale de répondre directement.
Violation de données
Flow-MRR informe le client sans délai indu après avoir pris connaissance d’une violation de données personnelles affectant les données traitées pour son compte. Flow-MRR fournit les informations raisonnablement disponibles afin d’aider le client à respecter ses obligations de notification.
4. Recours à d’autres sous-traitants
Le client autorise Flow-MRR à recourir à des sous-traitants ultérieurs pour fournir, sécuriser et améliorer le service. Flow-MRR impose à ces sous-traitants des obligations de protection des données substantiellement équivalentes à celles du présent ATD.
À la date de mise à jour du présent ATD, les sous-traitants ultérieurs sont : Supabase (base de données et sauvegardes, région Paris, UE), Railway (hébergement applicatif), Vercel (hébergement du frontend), Brevo (e-mails transactionnels, UE) et Amazon Web Services (stockage de fichiers, région eu-west-3). Stripe agit en qualité de source des données pour le compte du client et non de sous-traitant de Flow-MRR.
En cas de changement matériel dans les catégories de sous-traitants ultérieurs utilisées pour le service, Flow-MRR en informe le client avec un préavis raisonnable. Le client peut s’y opposer pour des motifs légitimes liés à la protection des données ; les parties rechercheront alors une solution raisonnable. À défaut, le client pourra résilier la partie concernée du service avant le changement, sans pénalité pour la période non utilisée.
5. Transferts internationaux
Lorsqu’un transfert de données personnelles hors de l’Espace économique européen est nécessaire, Flow-MRR met en place un mécanisme de transfert valide au regard du RGPD et des garanties appropriées.
6. Données anonymisées et analyses internes
Flow-MRR peut créer et utiliser des données agrégées et anonymisées de manière irréversible à partir de l’utilisation du service, à des fins d’analyse interne, d’amélioration du service, de sécurité, de statistiques et d’analyse de marché. Ces données ne permettent pas d’identifier le client, les personnes concernées, ni les informations propres à un compte Stripe.
Flow-MRR ne vend pas les données personnelles du client, les données issues de ses comptes Stripe connectés, ni les données permettant d’identifier le client ou ses utilisateurs. Les données anonymisées ne constituent plus des données personnelles lorsqu’elles ne permettent raisonnablement pas de réidentifier une personne.
7. Mesures de sécurité
Flow-MRR maintient des mesures techniques et organisationnelles appropriées au risque, incluant notamment la gestion des accès selon le principe du moindre privilège, l’authentification des utilisateurs, la confidentialité des transmissions, la journalisation de sécurité lorsque nécessaire, des procédures de gestion des incidents, ainsi que des mesures destinées à préserver la disponibilité et l’intégrité des données. Ces mesures sont réévaluées en fonction de l’évolution du service et des risques.
8. Audit, retour et suppression
Audit
Flow-MRR met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent ATD. Un audit peut être demandé une fois par période de douze mois, moyennant un préavis raisonnable, pendant les heures ouvrées et sous réserve d’obligations de confidentialité et de sécurité appropriées.
Fin de service
À la cessation du service, Flow-MRR supprime ou restitue les données personnelles selon les fonctionnalités disponibles et les instructions du client, sauf conservation requise par le droit applicable. Les données actives sont conservées pendant la durée de la relation contractuelle ; les sauvegardes sont supprimées selon les cycles de rétention et de sécurité applicables. Les données agrégées et anonymisées de manière irréversible peuvent être conservées.
Contact : support@flow-mrr.com.