Accord de traitement des données à caractère personnel

Annexe 2 aux conditions générales de vente et de service de Guetteo, établie en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »).

Article 1. Parties et objet

1.1. Le présent accord (le « DPA ») est conclu entre le Client, agissant en qualité de responsable de traitement, et MC Eternity Consulting, SASU, RCS Strasbourg 920 749 710, éditrice de Guetteo, agissant en qualité de sous-traitant (« Guetteo »).

1.2. Il définit les conditions dans lesquelles Guetteo traite, pour le compte du Client, les données à caractère personnel contenues dans les Contenus du Client. Il ne s'applique pas aux traitements dont Guetteo est responsable (comptes, facturation, support, prospection, réutilisation des publications officielles), décrits dans sa politique de confidentialité de l'application.

1.3. Les termes « donnée à caractère personnel », « traitement », « violation de données » et « sous-traitant ultérieur » ont le sens que leur donne le RGPD. Les autres termes commençant par une majuscule ont le sens que leur donnent les CGV.

Article 2. Durée

Le DPA s'applique pendant toute la durée du contrat et, au-delà, jusqu'à la suppression ou la restitution complète des données dans les conditions de l'article 11.

Article 3. Description du traitement

Un numéro SIREN de personne morale n'est pas une donnée à caractère personnel ; celui d'un entrepreneur individuel en est une. Le DPA s'applique à l'ensemble des Contenus du Client sans distinction, par simplicité.

Article 4. Obligations de Guetteo

Guetteo s'engage à :

1. ne traiter les données que sur instruction documentée du Client, constituée par le contrat, le paramétrage du Compte et les demandes écrites du Client, y compris pour les transferts hors de l'Union européenne, sauf obligation légale dont elle informe alors le Client avant le traitement, sauf si la loi l'interdit ;
2. informer immédiatement le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition applicable ;
3. ne pas utiliser les données pour ses propres finalités, notamment ne pas les vendre, ne pas les utiliser à des fins de prospection et ne pas les utiliser ni les faire utiliser pour entraîner un modèle d'intelligence artificielle ;
4. garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité ;
5. mettre en œuvre les mesures de sécurité de l'article 7 ;
6. respecter les conditions de recours aux sous-traitants ultérieurs de l'article 6 ;
7. aider le Client, dans les conditions des articles 8 et 9 ;
8. supprimer ou restituer les données en fin de contrat (article 11) ;
9. mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits (article 10) ;
10. tenir le registre des catégories d'activités de traitement effectuées pour le compte de ses clients (RGPD, art. 30, 2).

Article 5. Obligations du Client

Le Client :

• s'assure de disposer d'une base légale pour confier les données à Guetteo et pour la surveillance qu'il organise, et informe les personnes concernées lorsque cela lui incombe ;
• ne confie que les données nécessaires au Service et ne dépose aucune donnée sensible ;
• documente par écrit toute instruction autre que celles résultant du contrat et du paramétrage ;
• reste responsable de la sécurité des systèmes vers lesquels il fait transmettre les alertes (webhook, Slack, messagerie).

Article 6. Sous-traitants ultérieurs

6.1. Le Client donne une autorisation écrite générale au recours par Guetteo aux sous-traitants ultérieurs suivants :

6.2. Guetteo informe le Client de tout ajout ou remplacement de sous-traitant ultérieur par courrier électronique au moins trente jours à l'avance. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données, dans ce délai ; à défaut d'accord, il peut résilier le contrat sans frais avant l'entrée en fonction du nouveau sous-traitant, la part du prix correspondant à la période payée non consommée lui étant remboursée.

6.3. Guetteo impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du DPA, et demeure pleinement responsable envers le Client de leur exécution.

Article 7. Sécurité (RGPD, art. 32)

Guetteo met en œuvre les mesures suivantes, effectivement en place à la date du DPA ou signalées comme à mettre en place :

Hébergement et réseau

• hébergement exclusif chez Scaleway, en France (région de Paris), application en conteneur serverless ;
• base de données PostgreSQL managée accessible uniquement par un réseau privé, sans adresse publique, chiffrée au repos ;
• chiffrement des flux entre les utilisateurs et l'Application (HTTPS) ;
• environnement de préproduction séparé, d'accès restreint par adresse IP, alimenté par les sources publiques et des données de démonstration, sans données de Clients.

Sauvegardes

• sauvegarde automatique quotidienne de la base, conservée sept jours, stockée par Scaleway dans une autre région de l'Union européenne que la base ;
• sauvegarde complémentaire quotidienne conservée trente jours, et sauvegarde du premier jour de chaque mois conservée douze mois ;
• procédure de restauration documentée et test de restauration automatique chaque mois sur une copie temporaire, supprimée après contrôle.

Contrôle d'accès

• connexion des Utilisateurs sans mot de passe, par lien à usage unique valable quinze minutes, dont seule l'empreinte (SHA-256) est conservée ; le lien n'est consommé que par une confirmation explicite, ce qui le protège des analyseurs de liens des messageries ;
• cloisonnement des données par Compte ; rôles propriétaire et membre ;
• secrets (clés d'API, identifiants) uniquement dans le gestionnaire de secrets de Scaleway et les secrets du dépôt de code, jamais dans le code ;
• déploiement exclusivement par une chaîne automatisée, au moyen d'une identité technique aux droits limités au projet ;
• accès d'administration réservé au président de Guetteo, avec authentification à deux facteurs sur les consoles Scaleway, Stripe et GitHub.

Développement et exploitation

• tests automatisés, analyse statique et audit des dépendances bloquants avant toute mise en production ;
• mise en production uniquement sur une version validée ;
• supervision continue des traitements, sans donnée de Client dans les alertes techniques.

Journalisation

• journaux techniques de l'Application conservés sept jours ;
• journalisation des opérations d'administration sensibles : effacement sur opposition tracé (source, identifiant de la publication, dates, référence de la demande) ; actions du back-office d'administration enregistrées dans un journal d'audit.

Minimisation

• seules les données nécessaires au Service sont collectées ; aucun Contenu du Client n'est transmis hors de l'Union européenne.

Guetteo peut faire évoluer ces mesures, à condition de ne pas réduire le niveau global de sécurité.

Article 8. Violations de données

8.1. Guetteo notifie au Client toute violation de données à caractère personnel concernant les Contenus du Client dans un délai maximal de quarante-huit heures après en avoir pris connaissance, par courrier électronique à l'adresse du propriétaire du Compte.

8.2. La notification contient, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le point de contact, les conséquences probables et les mesures prises ou envisagées. Les informations non disponibles immédiatement sont communiquées par étapes, sans retard indu.

8.3. Guetteo aide le Client à remplir ses obligations de notification à la CNIL et de communication aux personnes concernées (RGPD, art. 33 et 34). Il appartient au Client, responsable de traitement, de procéder à ces notifications, sauf demande écrite de sa part.

Article 9. Assistance

9.1. Droits des personnes. Guetteo transmet au Client, dans les meilleurs délais, toute demande d'une personne concernée relative aux Contenus du Client qu'elle reçoit, sans y répondre elle-même sauf instruction. Le Client peut répondre lui-même à la plupart des demandes depuis l'Application (consultation, ajout et suppression d'Éléments surveillés) ; l'export est fourni sur demande (CGV, article 22).

9.2. Analyses d'impact et consultation préalable. Guetteo fournit au Client les informations raisonnablement nécessaires à une analyse d'impact ou à une consultation préalable de la CNIL portant sur le Service.

9.3. L'assistance excédant un usage raisonnable peut être facturée sur devis préalable.

Article 10. Audits

10.1. Guetteo met à la disposition du Client, sur demande, la documentation démontrant le respect du DPA (registre, description des mesures de sécurité, liste des sous-traitants ultérieurs et de leurs garanties).

10.2. Si cette documentation ne suffit pas, le Client peut faire réaliser, à ses frais, un audit sur pièces ou sur place, une fois par an au plus, sauf violation de données, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de Guetteo, moyennant un préavis de trente jours. L'audit ne peut porter atteinte à la sécurité du Service, aux données des autres clients, ni aux engagements de confidentialité de Guetteo envers ses propres prestataires ; l'accès aux installations de Scaleway est remplacé par ses rapports et certifications.

Article 11. Fin du contrat : sort des données

11.1. Pendant le contrat et pendant trente jours après la clôture du Compte, le Client peut demander l'export de ses Contenus (CGV, article 22).

11.2. À l'issue de ce délai, Guetteo supprime les Contenus du Client de la base de production, puis de ses sauvegardes à leur expiration (douze mois au plus), sauf obligation légale de conservation. Guetteo confirme la suppression au Client sur demande.

11.3. Le Client peut demander par écrit, avant l'expiration du délai d'export, la restitution de ses données dans un format CSV.

Article 12. Transferts hors de l'Union européenne

12.1. Les Contenus du Client sont traités et stockés dans l'Union européenne ; ils ne font l'objet d'aucun transfert hors de l'Union européenne.

12.2. Tout transfert futur serait soumis à la procédure de l'article 6.2 et encadré par l'un des mécanismes du chapitre V du RGPD, notamment les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914).

Article 13. Responsabilité

La responsabilité de chaque partie au titre du DPA est régie par les CGV, sous réserve des dispositions impératives de l'article 82 du RGPD.

Article 14. Coordonnées

Pour Guetteo : contactguetteo.fr. Pour le Client : l'adresse du propriétaire du Compte, ou toute adresse dédiée à la protection des données qu'il communique à Guetteo par courrier électronique.