Accord de traitement des données (DPA)

Le présent accord de traitement des données (ci-après le « DPA ») constitue le contrat de sous-traitance exigé par l'article 28 du règlement (UE) 2016/679 (« RGPD »). Il fait partie intégrante des Conditions générales de vente et d'utilisation (les « Conditions ») et s'applique automatiquement à tout Client dès la création de son compte ou la souscription d'un essai ou d'un abonnement. Les termes commençant par une majuscule ont le sens défini dans les Conditions.

1. Parties et rôles

• Le Client agit en qualité de responsable de traitement : il détermine les finalités et les moyens des traitements portant sur les données issues de son environnement Microsoft 365 ou Google Workspace et sur les contenus qu'il saisit dans le Service.
• Jean-Luc Cadignan, Entrepreneur Individuel, exerçant sous le nom commercial « PrivacyGuard AI » (l'« Éditeur »), agit en qualité de sous-traitant : il traite ces données uniquement pour le compte du Client et pour lui fournir le Service.

Les traitements pour lesquels l'Éditeur est lui-même responsable de traitement (gestion des comptes, facturation, relation client, sécurité du site) ne relèvent pas du présent DPA ; ils sont décrits dans la Politique de confidentialité.

2. Objet et durée

Le DPA définit les conditions dans lesquelles l'Éditeur traite des données personnelles pour le compte du Client. La description des traitements (nature, finalité, catégories de données et de personnes concernées) figure en annexe 1.

Le DPA s'applique pendant toute la durée d'utilisation du Service, puis jusqu'à la suppression ou la restitution des données dans les conditions de l'article 11.

3. Instructions documentées du Client

L'Éditeur traite les données uniquement sur instruction documentée du Client. Constituent ces instructions : les Conditions, le présent DPA, la configuration du Service choisie par le Client (connecteurs activés, autorisations accordées, paramètres d'alerte) et les actions qu'il réalise dans le Service.

Si l'Éditeur considère qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre, il en informe immédiatement le Client. Si le droit applicable impose à l'Éditeur un traitement non prévu par ces instructions, il en informe le Client avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

4. Confidentialité

L'Éditeur garantit que toute personne autorisée à traiter les données est soumise à une obligation de confidentialité. À la date du présent DPA, l'Éditeur exploite le Service seul ; aucun salarié ni prestataire n'a accès aux données du Client, à l'exception des sous-traitants ultérieurs listés en annexe 3 dans la stricte limite de leur mission.

5. Sécurité

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées décrites en annexe 2, afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures peuvent évoluer, à condition de ne jamais réduire le niveau de protection global.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale à l'Éditeur pour recourir aux sous-traitants ultérieurs listés en annexe 3.

L'Éditeur informe le Client par e-mail de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours avant sa mise en œuvre. Pendant ce délai, le Client peut s'y opposer pour un motif raisonnable lié à la protection des données. À défaut de solution trouvée entre les parties, le Client peut résilier son abonnement sans frais ; la part de l'abonnement payé correspondant à la période non utilisée lui est alors remboursée.

L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA et demeure responsable envers le Client de leur respect.

7. Transferts hors de l'Union européenne

Les données traitées pour le compte du Client sont hébergées en France ; leurs sauvegardes sont stockées par Scaleway dans l'Union européenne, et les documents déposés dans le Centre de Preuves sont stockés par Scaleway en France. Elles ne sont pas transférées hors de l'Union européenne. Tout transfert futur ne pourrait intervenir qu'après information du Client selon la procédure de l'article 6 et dans le respect du chapitre V du RGPD.

8. Assistance pour les droits des personnes

Si l'Éditeur reçoit directement une demande d'exercice de droits émanant d'une personne dont les données sont traitées pour le compte du Client, il la transmet au Client sans délai et n'y répond pas lui-même, sauf instruction du Client. L'Éditeur aide le Client, dans la mesure du possible et par des mesures techniques et organisationnelles appropriées, à répondre à ces demandes (accès, rectification, effacement, limitation, opposition, portabilité).

9. Violation de données personnelles

L'Éditeur notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse du compte du Client. La notification contient, dans la mesure où elles sont disponibles :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour y remédier et en atténuer les effets ;
• le point de contact auprès duquel obtenir des informations complémentaires.

Lorsque toutes les informations ne peuvent être fournies en même temps, elles le sont de manière échelonnée, sans retard indu. Il appartient au Client, en tant que responsable de traitement, de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées ; l'Éditeur l'assiste dans cette démarche.

10. Assistance AIPD et consultation préalable

L'Éditeur fournit au Client les informations dont il dispose pour l'aider à réaliser une analyse d'impact relative à la protection des données (AIPD) portant sur son utilisation du Service et, le cas échéant, à consulter l'autorité de contrôle. Le présent DPA et ses annexes peuvent être joints à cette analyse.

11. Sort des données en fin de contrat

À la fin de l'abonnement, les données sont conservées 90 jours au plus, conformément à l'article 12 des Conditions, afin de permettre au Client de les exporter ou de réactiver son compte. Pendant cette période, le Client peut demander l'export de ses données dans les formats proposés par le Service, ou leur suppression anticipée.

À l'issue de ce délai, l'Éditeur supprime les données, à l'exception de celles dont la conservation est imposée par la loi. Les copies présentes dans les sauvegardes techniques sont effacées au fil de leur cycle de rotation. Sur demande, l'Éditeur confirme par écrit la suppression.

12. Documentation et audits

L'Éditeur met à la disposition du Client, sur demande à contact@privacyguardai.fr, toutes les informations nécessaires pour démontrer le respect du présent DPA : description des mesures de sécurité, liste à jour des sous-traitants ultérieurs, et réponses écrites aux questionnaires de sécurité raisonnables.

Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret professionnel et non concurrent de l'Éditeur, au plus une fois par an (sauf violation de données ou demande d'une autorité de contrôle), moyennant un préavis écrit de 30 jours. Les audits se déroulent pendant les heures ouvrées, sans perturber le Service ni donner accès aux données des autres clients ; leurs frais sont à la charge du Client.

13. Obligations du Client

• disposer d'une base légale pour les traitements confiés à l'Éditeur et informer les personnes concernées, notamment ses utilisateurs Microsoft 365 ou Google Workspace ;
• ne saisir dans le Service que les données nécessaires à son utilisation ;
• documenter par écrit toute instruction particulière ;
• veiller, pendant toute la durée du traitement, au respect du RGPD par l'Éditeur, notamment au moyen de la documentation prévue à l'article 12.

14. Responsabilité, ordre de priorité et modifications

La responsabilité de chaque partie au titre du DPA est régie par les Conditions, sous réserve des dispositions impératives du RGPD. En cas de contradiction entre le DPA et les Conditions sur la protection des données, le DPA prévaut.

L'Éditeur peut faire évoluer le DPA pour tenir compte d'une évolution du Service ou de la réglementation, sans réduire le niveau de protection des données. Toute modification substantielle est notifiée au Client par e-mail au moins 30 jours avant son entrée en vigueur.

Le Client qui souhaite disposer d'un exemplaire signé du DPA, par exemple pour son registre des traitements, peut le demander à contact@privacyguardai.fr. Les Clients Entreprise peuvent négocier un DPA spécifique dans le cadre de leurs conditions particulières.

Annexe 1 — Description des traitements

Annexe 2 — Mesures techniques et organisationnelles

• Isolation des données de chaque Client au niveau de la base de données PostgreSQL (Row-Level Security) : un Client ne peut jamais lire les données d'un autre, y compris en cas d'erreur applicative.
• Chiffrement des communications (HTTPS/TLS) entre le navigateur, le Service et les API Microsoft et Google.
• Chiffrement au repos des identifiants de connexion Microsoft et Google, déchiffrés uniquement en mémoire au moment de leur utilisation.
• Accès aux environnements Microsoft 365 et Google Workspace limité à des autorisations en lecture seule, révocables à tout moment par le Client depuis sa console d'administration.
• Mots de passe des utilisateurs hachés avec l'algorithme Argon2, jamais stockés en clair.
• Cookies de session sécurisés (HttpOnly, Secure, SameSite) inaccessibles aux scripts du navigateur.
• Minimisation : seules les informations nécessaires à l'évaluation des applications sont conservées ; les adresses e-mail présentes dans les journaux Google ne sont pas enregistrées.
• Fonctionnalités d'IA : seuls des faits portant sur l'application concernée sont transmis à Mistral AI, sans nom, e-mail ni identifiant d'utilisateur ; aucune suggestion n'est enregistrée sans validation humaine.
• Hébergement sur une infrastructure dédiée en France, accès administrateur restreint à l'Éditeur et protégé par authentification forte.
• Sauvegarde automatique quotidienne de la base de données, stockée hors du serveur principal chez un prestataire distinct (Scaleway), afin de pouvoir restaurer le Service en cas de panne.
• Historique horodaté et non modifiable des évaluations de risque.
• Centre de Preuves : documents stockés dans un espace privé dédié en France (Scaleway), accessibles uniquement par des liens temporaires de quelques minutes générés après vérification de l'identité et de l'organisation, empreinte SHA-256 calculée au dépôt pour en prouver l'intégrité, trace conservée de chaque dépôt et de chaque retrait.

Annexe 3 — Sous-traitants ultérieurs autorisés

Stripe n'est pas un sous-traitant ultérieur au titre du présent DPA : il intervient uniquement pour la facturation, traitement dont l'Éditeur est responsable (voir la Politique de confidentialité). Microsoft et Google sont les fournisseurs choisis par le Client et ne sont pas des sous-traitants de l'Éditeur.