Accord de traitement des données

1. Parties et objet

Le présent accord (l’« Accord ») est conclu entre le Client, responsable du traitement, et Ahmed BECHIR EI, exerçant sous le nom commercial DELQUOR, entrepreneur individuel immatriculé au registre du commerce et des sociétés sous le numéro 992 562 728 R.C.S. Vienne, dont l’établissement est situé 36 Rue Antonio Meucci, 38090 Villefontaine, France (le « Sous-traitant »). Les termes en majuscules ont le sens que leur donnent les conditions générales d’utilisation ; les autres termes ont le sens du règlement (UE) 2016/679 (le « RGPD »).

L’Accord fait partie des conditions générales d’utilisation et, pour les abonnements payants, des conditions générales de vente. Il est accepté au nom du Client par l’Utilisateur qui crée un Espace de travail ou souscrit un abonnement. Il encadre les traitements de données personnelles que le Sous-traitant réalise pour le compte du Client dans le cadre du Service.

Lorsque le Client agit lui-même comme sous-traitant pour ses propres clients, notamment au moyen d’un Compte MSSP, le Sous-traitant intervient en qualité de sous-traitant ultérieur : le Client garantit que ses instructions sont conformes à celles de son propre responsable du traitement et l’Accord s’applique dans les mêmes termes.

2. Description du traitement

3. Instructions du Client

Le Sous-traitant ne traite les données que sur instruction documentée du Client. Constituent ces instructions : l’Accord, les conditions générales applicables et l’utilisation que le Client fait des fonctionnalités et des paramètres du Service. Le Client peut donner des instructions complémentaires par écrit, si elles sont compatibles avec le fonctionnement du Service.

Les transferts de données vers un pays tiers n’ont lieu que dans le cadre de ces instructions, c’est-à-dire avec les sous-traitants ultérieurs autorisés, ou lorsque le droit de l’Union ou d’un État membre l’exige ; dans ce dernier cas, le Sous-traitant en informe le Client avant le traitement, sauf interdiction légale. Le Sous-traitant informe immédiatement le Client s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre règle de protection des données.

4. Confidentialité

Les personnes autorisées à traiter les données pour le compte du Sous-traitant sont soumises à une obligation de confidentialité, légale ou contractuelle. Elles n’y accèdent que dans la mesure nécessaire à l’assistance demandée par le Client, à la sécurité du Service ou au respect d’une obligation légale.

5. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en annexe pour garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD, et les réexamine lorsque le Service évolue.

6. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs figurant dans la liste publiée. Le Sous-traitant informe le Client de tout ajout ou remplacement au moins 30 jours à l’avance, par e-mail au propriétaire de l’Espace de travail et par la mise à jour de la liste.

Le Client peut s’opposer au changement, dans ce délai, pour un motif raisonnable lié à la protection des données. Si aucune solution n’est trouvée, le Client peut mettre fin à son utilisation du Service avant la prise d’effet du changement, sans frais, et obtenir le remboursement de la part du prix payée pour la période restant à courir.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles de l’Accord, en particulier des garanties suffisantes de sécurité. Il reste pleinement responsable envers le Client de l’exécution de leurs obligations.

7. Assistance au Client

Le Service permet au Client de consulter, rectifier, exporter et supprimer lui-même l’essentiel des données : modification de l’inventaire et des veilles, retrait des membres, exports CSV, suppression du Compte. Pour le reste, le Sous-traitant aide le Client, sur demande, à répondre aux demandes d’exercice des droits des personnes concernées.

Si une personne s’adresse directement au Sous-traitant au sujet de données traitées pour le Client, le Sous-traitant transmet sa demande au Client dans les meilleurs délais et n’y répond pas sur le fond sans instruction du Client.

Compte tenu de la nature du traitement et des informations dont il dispose, le Sous-traitant aide le Client à respecter ses obligations relatives à la sécurité, à la notification des violations, aux analyses d’impact et à la consultation préalable de l’autorité de contrôle.

8. Violations de données

Le Sous-traitant notifie au Client toute violation de données personnelles concernant les Données du Client dans les meilleurs délais après en avoir pris connaissance, par e-mail au propriétaire et aux administrateurs de l’Espace de travail. La notification décrit, dans la mesure où ces informations sont connues, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou proposées ; elle est complétée au fur et à mesure.

Il appartient au Client, responsable du traitement, de notifier la violation à l’autorité de contrôle et, le cas échéant, aux personnes concernées. Le Sous-traitant ne le fait pas à sa place, sauf instruction écrite.

9. Fin des traitements : restitution et suppression

Au terme du Service, le Client récupère ses données au moyen des exports, ou d’une copie complète fournie sur demande selon les conditions générales de vente. Les données d’un Espace de travail sont effacées immédiatement lorsqu’il est supprimé avec le Compte de son propriétaire ; à défaut, le Sous-traitant les efface sur demande écrite du Client, au plus tard trente jours après celle-ci.

Les données effacées peuvent subsister dans les sauvegardes de la base de données jusqu’à la destruction de celles-ci, au plus tard 90 jours après leur réalisation, et dans les journaux d’envoi du prestataire d’e-mails pendant 30 jours ; elles n’y sont plus utilisées. Le Sous-traitant conserve uniquement les données que la loi l’oblige à garder.

10. Information et audits

Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations : le présent Accord et son annexe de sécurité, la liste des sous-traitants ultérieurs et ses réponses écrites aux questions du Client. Patcharo ne détient aucune certification de sécurité.

Le Client peut faire réaliser, à ses frais, un audit du respect de l’Accord par lui-même ou par un auditeur indépendant tenu au secret, au plus une fois par an sauf violation de données ou demande d’une autorité, moyennant un préavis de 30 jours. L’audit porte d’abord sur la documentation ; il est organisé de façon à ne pas perturber le Service ni compromettre la sécurité ou les données des autres clients.

11. Responsabilité et durée

La responsabilité de chaque partie est régie par les conditions générales applicables, dans le respect de l’article 82 du RGPD. L’Accord s’applique tant que le Sous-traitant traite des données pour le compte du Client ; en cas de contradiction avec d’autres documents contractuels, il prévaut pour ce qui concerne les données personnelles.

12. Annexe : mesures de sécurité mises en œuvre

• Isolation des clients : chaque Espace de travail est isolé par des règles de sécurité appliquées par la base de données à chaque ligne ; toutes les écritures passent par des fonctions qui vérifient le rôle de l’Utilisateur ; des tests automatisés de l’isolation sont exécutés avant chaque mise en production.
• Authentification : mots de passe d’au moins 15 caractères, conservés par le prestataire d’authentification sous forme non réversible ; double authentification proposée à tous et obligatoire pour la console d’administration ; nouvelle authentification récente exigée pour les opérations sensibles ; fin de session après 2 heures d’inactivité ; appareils mémorisés pour 30 jours au plus, dont seule l’empreinte du jeton est conservée ; limitation des tentatives.
• Administration : accès réservé à des comptes dédiés avec double authentification obligatoire, permissions par rôle, sessions limitées dans le temps, journal d’administration non modifiable, données personnelles masquées sauf permission dédiée, consultation d’un Espace de travail en lecture seule, limitée dans le temps et inscrite à son journal d’audit.
• Chiffrement : communications chiffrées (HTTPS imposé, y compris sur les sous-domaines) ; base de données chiffrée au repos par son hébergeur (AES-256 selon Supabase).
• Protection de l’application : en-têtes de sécurité, politique de sécurité des contenus stricte sur la console d’administration, contrôle de l’origine des requêtes qui modifient des données, requêtes sortantes limitées à l’internet public, webhooks entrants signés.
• Minimisation : aucune adresse IP ni chaîne complète de navigateur conservée pour les sessions des Utilisateurs (seulement des familles de navigateur, système, appareil et le pays) ; journaux techniques sans adresse IP, cookie ni paramètre ; journal des e-mails sans adresse ni contenu ; jetons d’invitation conservés sous forme d’empreinte ; aucune Donnée du Client transmise au service de traduction automatique.
• Secrets : clés de service jamais exposées au navigateur ; recherche automatique de secrets dans le code et les fichiers publiés avant chaque mise en production.
• Sauvegardes : sauvegardes logiques chiffrées de la base réalisées avant les mises à jour importantes, avec test de restauration.

Limites à connaître : l’offre actuelle de l’hébergeur de la base ne donne accès ni à des sauvegardes automatiques ni à une restauration à un instant donné ; les champs de l’inventaire ne font pas l’objet d’un chiffrement applicatif supplémentaire ; la double authentification n’est pas imposée aux Utilisateurs des clients. Le Client est invité à activer la double authentification pour tous ses membres, à attribuer à chacun le rôle le plus restreint suffisant, à ne pas saisir de données personnelles inutiles dans les champs libres et à exporter régulièrement les données qu’il souhaite conserver.

Pour toute question sur l’Accord : contact@patcharo.com ; pour signaler un incident de sécurité : security@patcharo.com.