Accord de sous-traitance (DPA)

1. Objet, nature et finalité

Fourniture d'une plateforme de cybersécurité : protection, inventaire, mise à jour et supervision des appareils du Responsable du traitement, détection et réponse aux incidents, rapports de conformité et, selon les options, sécurité des e-mails.

2. Catégories de données et de personnes

• Personnes concernées : salariés, dirigeants et utilisateurs des appareils du Responsable du traitement ; correspondants de messagerie pour K-Mail.
• Données : identifiants et noms d'utilisateurs, noms et caractéristiques des appareils, inventaire logiciel, journaux DNS, événements de sécurité, empreintes et, avec accord explicite, échantillons de fichiers, métadonnées et contenus d'e-mails analysés (K-Mail).
• Aucune catégorie particulière de données n'est recherchée ; leur présence fortuite dans un contenu analysé est traitée avec les mêmes garanties.

3. Durée

L'accord s'applique pendant toute la durée de l'abonnement et jusqu'à la suppression des données à son terme.

4. Obligations du Sous-traitant

• traiter les données uniquement sur instruction documentée du Responsable du traitement, y compris pour les transferts, sauf obligation imposée par le droit de l'Union ou d'un État membre, dont il informe préalablement le Responsable du traitement ;
• garantir la confidentialité des personnes autorisées à traiter les données ;
• mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
• aider le Responsable du traitement à répondre aux demandes d'exercice des droits et à respecter ses obligations des articles 32 à 36 du RGPD, y compris ses analyses d'impact et la consultation préalable de l'autorité de contrôle ;
• demeurer pleinement responsable, à l'égard du Responsable du traitement, de l'exécution des obligations de ses sous-traitants ultérieurs ;
• informer immédiatement le Responsable du traitement si une instruction lui paraît contraire à la réglementation.

5. Mesures de sécurité

• hébergement des données clients dans l'Union européenne [À VALIDER : nom de l'hébergeur] ;
• chiffrement en transit (TLS 1.3) et au repos, avec clés propres à chaque client ;
• isolation des clients par filtrage systématique et règles de sécurité au niveau des lignes de la base de données ;
• authentification mutuelle des agents, commandes et mises à jour signées, protection contre le rejeu ;
• authentification forte, moindre privilège et journal d'audit des accès internes ;
• durées de conservation appliquées automatiquement ; sauvegardes chiffrées.

6. Sous-traitants ultérieurs

Le Responsable du traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés sur la page Sous-traitants. Le Sous-traitant informe le Responsable du traitement de tout ajout ou remplacement au moins 30 jours à l'avance ; celui-ci peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans pénalité. Chaque sous-traitant ultérieur est soumis à des obligations équivalentes.

7. Violations de données

Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à l'autorité de contrôle. [À VALIDER : délai]

8. Audits

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet des audits, au plus une fois par an sauf incident, avec un préavis raisonnable et dans le respect de la confidentialité des autres clients.

9. Fin du contrat

À la fin de l'abonnement, le Sous-traitant permet l'export des données pendant 30 jours puis, au choix du Responsable du traitement, les lui restitue ou les supprime, ainsi que leurs copies, sauf obligation légale de conservation.

10. Transferts

Les données clients sont destinées à un hébergement dans l'Union européenne. Seuls les sous-traitants ultérieurs identifiés comme établis hors de l'UE sur la page Sous-traitants (envoi des e-mails transactionnels et, s'ils sont activés, services optionnels comme Kayzen Copilot) peuvent recevoir des données, sous les garanties des articles 45 ou 46 du RGPD (décision d'adéquation ou clauses contractuelles types).