Accord de traitement des données — brouillon

1. Parties et définitions

Le présent accord de traitement des données (« DPA ») fait partie de l'accord entre le client utilisant le service Vetora (le « Responsable de traitement ») et l'éditeur de Vetora (le « Sous-traitant », voir les mentions légales pour son identité), et régit le traitement de données personnelles effectué par le Sous-traitant pour le compte du Responsable de traitement. Les termes non définis ici ont le sens que leur donne le RGPD (règlement (UE) 2016/679).

2. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement pendant toute la durée d'utilisation du Service (scan gratuit, rapport payant, ou abonnement Surveillance continue / plan Team), et jusqu'à leur suppression conformément à la section 9.

3. Nature, finalité et catégories de données

Le Service est un scanner de sécurité en boîte noire pour applications web. Selon les fonctionnalités utilisées, le Sous-traitant peut traiter :

• Les coordonnées des titulaires de compte et membres d'organisation du Responsable de traitement (adresse email, données d'authentification)
• La ou les URL soumises au scan, et les résultats du scan (failles détectées) dérivés de ce qui est déjà publiquement accessible à cette URL
• Les métadonnées des requêtes API pour l'intégration CI/API (adresse IP, horodatage, usage de la clé API)
• Les données de facturation traitées via Stripe (voir sous-traitants ci-dessous) — Vetora ne stocke jamais les numéros de carte complets
• Les identifiants d'espace de travail/canal Slack, uniquement si le Responsable de traitement connecte explicitement les alertes Slack pour une organisation

Le Service n'accède ni au code source ni à l'infrastructure serveur du Responsable de traitement — uniquement à ce qu'un visiteur normal peut déjà atteindre en HTTP(S) (voir la page méthodologie).

4. Catégories de personnes concernées

• Les titulaires de compte et membres d'organisation du Responsable de traitement
• Les personnes dont des données personnelles pourraient apparaître incidemment dans le contenu public d'une page scannée ou dans une faille détectée (ex. une adresse email codée en dur dans du code source exposé, si le site du Responsable de traitement en expose une) — le Sous-traitant ne recherche pas activement ces données, elles sont un sous-produit du scan de ce que le site du Responsable de traitement expose lui-même

5. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• Ne traiter les données personnelles que sur instruction documentée du Responsable de traitement (exploitation du Service telle que décrite), sauf obligation contraire du droit de l'UE ou d'un État membre
• Garantir que les personnes ayant accès aux données personnelles sont tenues à la confidentialité
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (voir section 6)
• Assister le Responsable de traitement dans la réponse aux demandes d'exercice des droits des personnes concernées et, le cas échéant, aux analyses d'impact
• Notifier le Responsable de traitement sans délai indu après avoir eu connaissance d'une violation de données personnelles
• Ne pas recourir à un nouveau sous-traitant sans en informer le Responsable de traitement (voir section 7)

6. Mesures de sécurité

Mesures actuellement en place, décrites avec exactitude plutôt qu'exhaustivité :

• Row Level Security (RLS) activée sur chaque table de la base de données, avec un contrôle de rôle applicatif (pas seulement RLS) pour l'écriture sur les tables sensibles
• Secrets (clés API, tokens de gestion/session) stockés sous forme de hash à sens unique, jamais en clair
• Authentification à deux facteurs (TOTP) optionnelle pour les titulaires de compte, activable par organisation
• Rate limiting par endpoint pour borner les abus
• Un journal d'audit interne des actions sensibles (création/révocation de clé, changements de membership, paiements, consentement aux checks actifs)
• TLS en transit pour chaque connexion au Service

Cette liste devra être revue et formalisée (idéalement au regard de référentiels type ISO 27001 / SOC 2) dans le cadre de la relecture juridique demandée par cette page elle-même.

7. Sous-traitants

Le Sous-traitant utilise actuellement les sous-traitants suivants, strictement pour l'exploitation du Service :

Plusieurs de ces prestataires sont établis, ou traitent des données, en dehors de l'Union européenne. Les garanties spécifiques sur lesquelles chacun s'appuie (clauses contractuelles types, décisions d'adéquation) n'ont pas encore été vérifiées et documentées individuellement — cela fait partie du travail de relecture évoqué en tête de page.

8. Droits des personnes concernées

Le Responsable de traitement est responsable de répondre aux demandes RGPD de ses propres personnes concernées. Lorsqu'une demande porte sur des données que le Sous-traitant détient pour son compte, le Sous-traitant apporte une assistance raisonnable. Les titulaires de compte peuvent aussi exercer leurs droits directement — voir paramètres du compte pour l'export et la suppression en libre-service.

9. Conservation et suppression des données

À la fin de l'utilisation du Service par le Responsable de traitement, le Sous-traitant supprime ou anonymise les données personnelles traitées pour son compte dans un délai raisonnable, sauf obligation légale de conservation plus longue (notamment comptable). Voir la politique de confidentialité pour le détail actuel des durées de conservation.

10. Audit

Le Sous-traitant met à disposition les informations raisonnablement nécessaires pour démontrer sa conformité au présent DPA et permettre des audits, y compris des inspections, menés par le Responsable de traitement ou un auditeur qu'il mandate, sous réserve d'un préavis raisonnable et de confidentialité.