Accord relatif au traitement des données personnelles (DPA) — Clarexis

Version 1.0 — en vigueur à compter du 20 octobre 2026

Entre le Client, tel que défini dans les Conditions Générales de Vente (les « CGV », https://www.clarexis.com/cgv), agissant par son Administrateur, et CLAREXIS, société par actions simplifiée (SAS) au capital de 1 000 euros, dont le siège social est situé 6 rue d'Armaillé, 75017 Paris, immatriculée au RCS de Paris sous le numéro 131 456 238 (« Clarexis »).

Article 1 — Objet

1.1 Le présent accord (le « DPA ») encadre, conformément à l'article 28 du Règlement (UE) 2016/679 (le « RGPD »), les traitements de données personnelles que Clarexis réalise pour le compte du Client dans le cadre du service Clarexis (le « Service »).

1.2 Pour ces traitements, le Client agit en qualité de responsable de traitement et Clarexis en qualité de sous-traitant.

1.3 Traitements exclus. Le DPA ne s'applique pas aux traitements que Clarexis réalise pour son propre compte, en qualité de responsable de traitement, notamment : la gestion des comptes Utilisateurs et de l'authentification, la gestion de l'abonnement, la facturation et les paiements, la tenue du journal des crédits, la sécurité du Service et la prévention des abus (y compris la vérification du téléphone et le contrôle d'unicité du Plan Gratuit), la messagerie de support, la conservation des preuves d'acceptation des documents contractuels, les communications de service et le respect de ses obligations légales. Ces traitements sont décrits dans la Politique de confidentialité (https://www.clarexis.com/politique-confidentialite).

1.4 Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données personnelles » et « autorité de contrôle » ont le sens que leur donne le RGPD. Les autres termes en majuscules ont le sens que leur donnent les CGV et les Conditions Générales d'Utilisation (les « CGU », https://www.clarexis.com/cgu).

Article 2 — Durée

Le DPA prend effet à son acceptation par l'Administrateur au nom du Client, lors de la création de l'espace du Client, et s'applique tant que Clarexis traite des données personnelles pour le compte du Client, quelle que soit sa formule (Plan Gratuit ou Abonnement), jusqu'à l'exécution de l'article 17.

Article 3 — Nature et finalités des traitements

3.1 Clarexis traite les données pour le compte du Client aux seules fins de fournir le Service : recherche de profils professionnels, obtention de coordonnées professionnelles (email, téléphone), gestion des Contacts et des listes, export, préparation d'approches commerciales par l'Agent IA, et conservation de ces éléments dans l'espace du Client pendant les durées prévues à l'annexe 1.

3.2 La description détaillée des traitements figure à l'annexe 1.

3.3 Cache technique interne. Pour fournir le Service sans interroger à nouveau le fournisseur pour une même donnée, Clarexis tient un cache technique interne des profils professionnels et des coordonnées obtenus auprès de son fournisseur de données. Une donnée présente dans ce cache et encore dans sa durée de fraîcheur peut être utilisée pour répondre à la demande d'un autre client de Clarexis. Ce cache est distinct des données propres au Client : aucun autre client ne peut savoir que le Client a recherché ou obtenu une donnée ; les Contacts acquis, listes et offres du Client ne sont jamais accessibles à un autre client ; chaque client obtient et se voit décompter ses propres Contacts.

Article 4 — Catégories de données personnelles

Les catégories de données traitées pour le compte du Client sont décrites à l'annexe 1. Elles comprennent principalement des données d'identification et des données professionnelles de personnes physiques agissant dans un cadre professionnel, ainsi que leurs coordonnées professionnelles. Le Service n'est pas conçu pour traiter des catégories particulières de données au sens de l'article 9 du RGPD ; le Client s'abstient d'en saisir.

Article 5 — Catégories de personnes concernées

• Prospects et candidats du Client : personnes physiques exerçant une activité professionnelle, dont le profil est recherché, consulté, enrichi ou utilisé au moyen du Service.
• Personnes mentionnées par le Client dans les contenus qu'il saisit (offres commerciales, critères de recherche, listes).

Les Utilisateurs du Client (Administrateur, Utilisateurs supplémentaires) sont concernés par les traitements propres de Clarexis décrits dans la Politique de confidentialité.

Article 6 — Instructions documentées du Client

6.1 Clarexis ne traite les données que sur instruction documentée du Client. Constituent des instructions documentées : le présent DPA, les CGV, les CGU, et les actions effectuées par les Utilisateurs dans le Service conformément à ses fonctionnalités (recherche, obtention d'une coordonnée, export, génération par l'Agent IA, suppression d'un Utilisateur, suppression de l'espace du Client, etc.).

6.2 Clarexis informe le Client si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données.

6.3 Clarexis ne traite pas les données pour ses propres finalités et ne les vend pas. Elle n'utilise aucune donnée du Client, de ses Utilisateurs ou des prospects pour entraîner un modèle d'intelligence artificielle, et ne donne à aucun sous-traitant ultérieur l'autorisation de le faire.

Article 7 — Confidentialité

Clarexis veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et limite leur accès à ce qui est nécessaire à l'exécution du Service, à son support et à sa sécurité. Les actions sensibles de l'équipe d'administration de la plateforme sont journalisées.

Article 8 — Sécurité

8.1 Clarexis met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, en tenant compte de l'état des connaissances, des coûts de mise en œuvre, et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.

8.2 Clarexis peut faire évoluer ces mesures à condition de ne pas diminuer le niveau global de sécurité.

Article 9 — Sous-traitants ultérieurs

9.1 Le Client autorise de manière générale Clarexis à recourir aux sous-traitants ultérieurs listés à l'annexe 3 et dans la liste publiée à l'adresse https://www.clarexis.com/sous-traitants.

9.2 Clarexis impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données offrant des garanties suffisantes, conformément à l'article 28.4 du RGPD. Clarexis demeure responsable envers le Client de l'exécution de leurs obligations par ses sous-traitants ultérieurs.

9.3 Fournisseur de données. Le Client autorise expressément Clarexis à recourir à FullEnrich Corp comme sous-traitant ultérieur pour la recherche de profils professionnels et l'obtention de coordonnées professionnelles, dans les conditions de l'article 19 et de l'annexe 3. En acceptant le DPA, le Client consent expressément au traitement des données personnelles ainsi réalisé, dans le respect de la réglementation applicable.

Article 10 — Information et opposition en cas de nouveau sous-traitant ultérieur

10.1 Clarexis informe le Client, par email adressé à l'Administrateur ou par un avis dans le Service, de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, au moins 8 jours avant sa prise d'effet, sauf urgence liée à la sécurité ou à la continuité du Service.

10.2 Le Client peut formuler une objection motivée, fondée sur la protection des données, avant la prise d'effet. Les parties recherchent alors de bonne foi une solution. À défaut, le Client peut résilier l'abonnement dans les conditions des CGV ou demander la suppression de son espace, sans que cela ouvre droit à une indemnité.

Article 11 — Transferts hors de l'Espace économique européen

11.1 Clarexis ne transfère des données hors de l'Espace économique européen (l'« EEE ») que dans le respect du chapitre V du RGPD : pays bénéficiant d'une décision d'adéquation, clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914) ou autre garantie appropriée.

11.2 Les transferts connus et leurs garanties sont indiqués, pour chaque sous-traitant ultérieur, à l'annexe 3.

Article 12 — Exercice des droits des personnes concernées

12.1 Clarexis aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d'exercice des droits prévus aux articles 15 à 22 du RGPD.

12.2 Lorsque Clarexis reçoit directement une telle demande relative à un traitement réalisé pour le compte du Client et qu'elle peut identifier le Client concerné, elle la transmet au Client sans retard injustifié et n'y répond pas elle-même sans instruction du Client, sauf obligation légale.

12.3 Le Client dispose dans le Service des fonctions permettant de consulter et d'exporter les données de ses Contacts. Les Contacts acquis étant en lecture seule dans le Service, toute demande de rectification, d'effacement ou d'opposition nécessitant une intervention est adressée à rgpd@clarexis.com.

12.4 Lorsqu'une demande d'effacement ou d'opposition porte sur des données traitées au moyen du Service, Clarexis efface ces données de son cache technique interne et des espaces des clients qui les ont acquises et, sauf demande de rectification, enregistre la personne sur une liste d'opposition. Cette liste ne contient que des empreintes cryptographiques non réversibles des identifiants concernés (identifiant fournisseur, URL de profil, email, téléphone, nom associé au domaine de l'entreprise) ; elle empêche toute nouvelle collecte ou mise à disposition des données correspondantes au moyen du Service, pour tout client, sans débit de crédits. Clarexis informe les clients concernés qu'elle peut identifier.

12.5 Une personne concernée peut également s'opposer directement auprès du fournisseur de données de Clarexis, selon les modalités propres à celui-ci ; dans ce cas, le fournisseur peut y donner suite sans en informer Clarexis ni le Client.

Article 13 — Violations de données personnelles

13.1 Clarexis notifie au Client toute violation de données personnelles portant sur des données traitées pour son compte sans retard injustifié, et au plus tard 48 heures après en avoir pris connaissance, y compris lorsque la violation lui est notifiée par un sous-traitant ultérieur.

13.2 La notification contient, dans la mesure où ces informations sont disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, un point de contact, les conséquences probables et les mesures prises ou envisagées. Les informations non disponibles immédiatement sont communiquées dès que possible.

13.3 Il appartient au Client, responsable de traitement, de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées. Clarexis l'assiste dans la mesure des informations dont elle dispose.

Article 14 — Analyses d'impact

Clarexis fournit au Client, à sa demande et dans la mesure des informations dont elle dispose, l'assistance raisonnable nécessaire à la réalisation d'une analyse d'impact relative à la protection des données concernant les traitements réalisés au moyen du Service.

Article 15 — Consultation de l'autorité de contrôle

Clarexis assiste le Client, dans la mesure des informations dont elle dispose, lorsque celui-ci doit consulter l'autorité de contrôle préalablement à un traitement en application de l'article 36 du RGPD.

Article 16 — Audit et informations de conformité

16.1 Clarexis met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA.

16.2 Le Client peut, à ses frais et au plus une fois par an sauf indice sérieux de manquement ou demande d'une autorité, faire réaliser un audit portant sur les traitements réalisés pour son compte, par lui-même ou par un auditeur indépendant tenu au secret, moyennant un préavis écrit de 30 jours. L'audit se déroule sans perturber le Service et sans donner accès aux données d'autres clients ni aux informations couvertes par le secret des affaires de Clarexis au-delà du nécessaire.

Article 17 — Sort des données à la fin du Service

17.1 Suppression de l'espace du Client. L'Administrateur peut demander à tout moment, depuis le Service et avec une confirmation renforcée, la suppression définitive de l'espace du Client, quel que soit l'état de son abonnement. Clarexis arrête alors l'abonnement éventuel et supprime l'espace du Client : tous les comptes de ses Utilisateurs, leurs photos de profil, listes, recherches, offres commerciales et données de recherche, les coordonnées acquises par le Client et les droits d'accès associés, ainsi que les conversations de support rattachées à ses comptes. Avant suppression, le Client peut exporter ses Contacts au moyen des fonctions d'export du Service. Une suppression commencée n'est déclarée terminée qu'une fois chacune de ses étapes réalisée.

17.2 Données conservées. Sont conservés, sans donnée d'identification des Utilisateurs lorsque cela est possible : le journal des crédits pendant 10 ans (montants, types, dates, références techniques ; libellés sans nom de prospect), les références de facturation, les preuves d'acceptation des documents contractuels pendant 5 ans après la fin de la relation, et la trace de la suppression pendant 5 ans. Les données de paiement et les factures sont conservées par le prestataire de paiement selon ses propres règles.

17.3 La résiliation de l'abonnement n'entraîne pas la suppression des données : le Client revient au Plan Gratuit et ses Contacts acquis restent disponibles.

17.4 La suppression d'un Utilisateur supplémentaire par l'Administrateur entraîne la suppression de son compte, de ses listes, de ses accès personnels aux Contacts et de son historique de recherche personnel ; les Contacts qu'il a acquis restent rattachés au Client.

17.5 Les données que Clarexis conserve pour ses propres obligations (facturation, preuves d'acceptation, journal des crédits) relèvent de la Politique de confidentialité.

Article 18 — Obligations du Client

Le Client, responsable de traitement :

• détermine les finalités de ses traitements, qui ne peuvent être que sa propre prospection commerciale entre professionnels ou son recrutement, pour un usage exclusivement interne ;
• dispose d'une base légale pour chaque traitement qu'il réalise au moyen du Service ;
• informe les personnes concernées lorsque la réglementation l'exige ;
• met en place les mécanismes et procédures lui permettant de répondre aux demandes d'exercice des droits ;
• ne vend, ne partage, ne concède sous licence ou sous-licence, ne distribue ni ne commercialise les données obtenues au moyen du Service au profit d'une personne extérieure à son entreprise, et ne les utilise pas pour constituer une base de données destinée à des tiers ou un service concurrent ;
• ne reproduit ni n'utilise les marques du fournisseur de données de Clarexis ;
• veille au respect de ces obligations par ses Utilisateurs, conformément aux articles 7 et 9 des CGU et à l'article 15 des CGV ;
• s'abstient de saisir dans le Service des catégories particulières de données ou des données relatives à des condamnations pénales.

Article 19 — Traitements réalisés au moyen du fournisseur de données FullEnrich

19.1 Les profils professionnels et les coordonnées professionnelles proposés par le Service proviennent de FullEnrich Corp, société de droit de l'État du Delaware (États-Unis), dans le cadre d'un contrat de revente conclu avec Clarexis. FullEnrich n'est pas mentionné dans les interfaces commerciales du Service.

19.2 Rôle de FullEnrich. Selon le traitement concerné et conformément aux conditions contractuelles de FullEnrich :

• lorsque FullEnrich fournit la donnée en qualité de sous-traitant, il agit comme sous-traitant ultérieur de Clarexis, qui agit elle-même comme sous-traitant du Client, responsable de traitement ;
• lorsque FullEnrich fournit la donnée en qualité de responsable de traitement indépendant, il traite les données pour son propre compte selon ses propres conditions et sa propre politique de confidentialité, disponibles sur son site.

19.3 Traitements réalisés par FullEnrich pour le compte de Clarexis (d'après le DPA de FullEnrich) : enrichissement des données transmises et stockage temporaire, aux fins de prospection commerciale ou de recrutement du client final ; conservation par défaut de 3 mois suivie d'une suppression automatique. Les données transmises à FullEnrich pour une recherche ou un enrichissement sont décrites à l'annexe 1.

19.4 Durée de conservation chez Clarexis.

• Cache technique interne : une donnée obtenue auprès de FullEnrich n'est plus servie comme à jour au-delà de sa durée de fraîcheur, fixée par Clarexis entre 1 et 12 mois (6 mois par défaut), séparément pour les profils, les emails et les téléphones. Si sa revérification échoue, l'ancienne donnée n'est pas délivrée à un nouveau demandeur. Une revérification réussie fait repartir la durée de fraîcheur.
• Espace du Client : une coordonnée acquise par le Client est conservée dans son espace tant que le Client existe, indépendamment de la durée de fraîcheur du cache, puis supprimée selon l'article 17 ou plus tôt sur demande d'effacement ou d'opposition de la personne concernée (article 12.4). Une donnée devenue différente lors d'une revérification ultérieure ne remplace pas silencieusement la coordonnée déjà acquise par le Client.

19.5 Obligations reprises du contrat FullEnrich. Les obligations de l'article 18 reprennent les conditions imposées par FullEnrich aux clients finaux. Le Client est en outre tenu, pour les données FullEnrich, par des obligations non moins restrictives que celles qui pèsent sur Clarexis au titre du DPA de FullEnrich.

19.6 Fin du contrat de fourniture. Si le contrat entre Clarexis et FullEnrich prend fin, Clarexis en informe le Client et cesse de fournir les données concernées.

Article 20 — Hiérarchie documentaire

20.1 En cas de contradiction entre le DPA et les CGV ou les CGU sur une question relative à la protection des données personnelles, le DPA prévaut. Pour les autres questions, l'ordre de priorité de l'article 27.1 des CGV s'applique.

20.2 Le DPA est versionné. Une modification substantielle donne lieu à une nouvelle version majeure, qui doit être acceptée par l'Administrateur au nom du Client dans les conditions prévues par les CGV.

20.3 Le DPA est soumis au droit français.

Annexe 1 — Description des traitements réalisés pour le compte du Client

Annexe 2 — Mesures techniques et organisationnelles

Seules sont listées les mesures vérifiées dans le code du Service à la date du présent DPA.

• Isolation par entreprise et contrôle d'accès en base : politiques de sécurité au niveau des lignes (Row Level Security) de la base PostgreSQL, privilèges limités par colonne sur les données des prospects et des Contacts ; tables techniques accessibles uniquement par le serveur.
• Rôles : Administrateur unique et non remplaçable, Utilisateurs supplémentaires, administrateur de la plateforme ; fonctions d'administration réservées et vérifiées côté serveur ; changements de rôle refusés par la base.
• Authentification : comptes nominatifs par email et mot de passe ; confirmation de l'adresse email ; téléphone vérifié par SMS ; contrôle anti-robots sur l'inscription, la connexion, la réinitialisation du mot de passe, l'envoi de codes SMS et la confirmation du mot de passe avant la suppression de l'espace du Client ; protection contre les tentatives de connexion répétées ; réauthentification pour la suppression de l'espace du Client ; désactivation et suppression des comptes des Utilisateurs supplémentaires par l'Administrateur.
• Chiffrement en transit : échanges avec le Service en HTTPS ; en-tête HSTS.
• Secrets côté serveur : clés des fournisseurs conservées uniquement dans l'environnement des fonctions serveur ; jamais transmises au navigateur.
• Politique de sécurité du contenu (CSP) stricte côté navigateur, limitant les scripts et connexions aux seules origines nécessaires ; bibliothèques externes chargées avec contrôle d'intégrité.
• Limitation de fréquence des opérations sensibles.
• Minimisation : profils enregistrés sans coordonnées ; données transmises au fournisseur d'IA sans email ni téléphone ; contenu généré par l'Agent IA jamais stocké en base ; libellés du journal des crédits génériques, sans nom de prospect ni indication de la source de la donnée.
• Journaux : masquage automatique des adresses email, numéros de téléphone et jetons dans les journaux des fonctions serveur ; journal technique purgé selon une durée réglable (1 à 12 mois) ; journal append-only des actions sensibles de l'administration de la plateforme.
• Suppression et droits : suppression reprenable et vérifiée des comptes et de l'espace du Client (photos de profil et conversations de support comprises), jamais déclarée terminée avant la fin de chaque étape ; liste d'opposition des prospects limitée à des empreintes HMAC-SHA256 dont la clé n'est accessible à aucun rôle applicatif, contrôlée avant tout appel au fournisseur de données ; procédure d'exercice des droits réservée au serveur.
• Durée de fraîcheur des données du fournisseur : contrôlée côté serveur ; une donnée périmée n'est plus servie comme à jour.
• Sauvegardes : aucune sauvegarde planifiée ni restauration à un instant donné n'est activée à la date d'effet du présent DPA.
• Tests : suite de tests automatisés de sécurité et de non-régression (contrôle d'accès, isolation entre entreprises, confidentialité des journaux, suppression), exécutée sur une base de test isolée reconstruite à partir du code.
• Hébergement de la base de données principale dans l'Union européenne (région Paris).

Annexe 3 — Sous-traitants ultérieurs

Les fournisseurs intervenant exclusivement pour les traitements propres de Clarexis (paiement, emails de service, vérification du téléphone, protection anti-robots, messagerie de support) figurent dans la Politique de confidentialité et la liste des sous-traitants (https://www.clarexis.com/sous-traitants).