Accord de traitement des données

1. Objet et acceptation

Le présent accord fait partie des conditions générales : en les acceptant, le Client accepte aussi cet accord, sans signature séparée. Il s'applique aux données personnelles que le Client saisit ou dépose dans le Service pour son propre compte. Pour ces données, le Client est responsable du traitement et l'éditeur, désigné dans les mentions légales (le « Sous-traitant »), agit pour son compte.

Les données que l'éditeur traite pour ses propres besoins (compte utilisateur, facturation, sécurité du service, support) relèvent de sa responsabilité et sont décrites dans la politique de confidentialité.

2. Description du traitement

• Finalité : fournir le Service — bilan de cybersécurité, plan d'action, preuves, kit incident, suivi des fournisseurs, questionnaires clients, vérification des fuites de données, rapports et signature de la direction.
• Personnes concernées : membres de l'équipe du Client, contacts d'urgence, interlocuteurs des fournisseurs du Client, signataires, et toute personne mentionnée par le Client dans ses saisies.
• Données : identité et coordonnées professionnelles (nom, fonction, e-mail, téléphone), réponses aux questionnaires, documents déposés comme preuves, journal d'incident, commentaires et messages internes, résultats de vérification des fuites (noms des fuites et types de données exposées), signatures électroniques (nom, fonction, date, adresse IP et navigateur au moment de la signature).
• Données sensibles : le Service n'est pas conçu pour des données sensibles au sens de l'article 9 du RGPD (santé, opinions…) ni pour des données bancaires ; le Client s'engage à ne pas en déposer.
• Durée : celle de l'utilisation du Service par le Client, puis selon l'article 9 ci-dessous.

3. Instructions du Client

Le Sous-traitant traite les données uniquement sur instruction documentée du Client : les conditions générales, le présent accord et les actions que le Client effectue dans le Service (ajout, envoi d'un questionnaire, lancement d'une analyse, suppression…) constituent ces instructions. Il n'utilise jamais ces données pour ses propres fins, ne les revend pas et ne s'en sert pas pour entraîner un modèle d'IA. Si une instruction lui paraît contraire au RGPD, il en informe immédiatement le Client.

4. Confidentialité

Les personnes autorisées à accéder aux données (l'éditeur et, le cas échéant, ses collaborateurs) sont soumises à une obligation de confidentialité et n'y accèdent que lorsque c'est nécessaire : support demandé par le Client, incident, obligation légale.

5. Sécurité

Le Sous-traitant met en œuvre des mesures adaptées au risque (article 32 du RGPD), notamment :

• hébergement en France, sur une infrastructure dédiée et isolée, sans port ouvert sur Internet ;
• chiffrement des échanges (HTTPS) ; mots de passe stockés sous forme d'empreinte irréversible ;
• double authentification proposée à chaque utilisateur ; droits d'accès par rôle au sein de l'espace du Client ;
• base de données inaccessible depuis l'extérieur ; journalisation des actions d'administration ;
• sauvegardes quotidiennes, dont la restauration est testée régulièrement ;
• mises à jour de sécurité automatiques ; surveillance continue avec alertes et réparation automatique.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale au recours à des sous-traitants ultérieurs pour le fonctionnement du Service (acheminement du trafic, envoi des e-mails, paiement, support) et pour les fonctions optionnelles qu'il utilise. La liste à jour de ces sous-traitants, avec leur rôle et leur localisation, est communiquée sur simple demande à [email protected].

Le Sous-traitant leur impose par contrat des obligations de protection équivalentes et reste responsable de leurs manquements. Il informe le Client par e-mail au moins 30 jours avant tout ajout ou remplacement ; le Client peut s'y opposer en résiliant son abonnement avant la date du changement, sans frais. Les transferts hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données UE–États-Unis.

7. Droits des personnes et assistance

Le Service permet au Client d'exporter ou de supprimer lui-même les données (page « Mon profil »). Si une personne s'adresse directement au Sous-traitant, celui-ci transmet sa demande au Client sans délai et ne lui répond pas à sa place. Il aide le Client, dans la mesure de ses moyens, à respecter ses obligations : sécurité, notification des violations, analyse d'impact et consultation de la CNIL.

8. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, à l'adresse e-mail du compte. La notification décrit la nature de la violation, les données et personnes concernées, ses conséquences probables et les mesures prises ou proposées, pour permettre au Client de notifier la CNIL dans les 72 heures si nécessaire.

9. Fin du contrat

À tout moment, et notamment avant la fin du contrat, le Client peut télécharger l'ensemble de ses données dans un format réutilisable. À la suppression du compte, les données sont effacées de la base, puis des sauvegardes au plus tard 14 jours après, sauf obligation légale de conservation (factures).

10. Contrôle

Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord, notamment en répondant à son questionnaire de sécurité. Le Client peut faire réaliser un audit, une fois par an au plus, par un auditeur tenu au secret et non concurrent, avec un préavis de 30 jours ; l'audit ne doit pas compromettre la sécurité ni la confidentialité des données des autres clients et reste à la charge du Client.

11. Contact

Pour toute question sur cet accord ou sur vos données : [email protected].