Les Parties

SANFYTECH, société par actions simplifiée au capital de 5 000,00 euros, dont le siège social est situé 173 rue de Courcelles, 75017 Paris, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 107 365 249 (SIRET 107 365 249 00013, TVA intracommunautaire FR81107365249), représentée par Cédric SANTIAGO en qualité de Président, dûment habilité aux fins des présentes, ci-après « SANFYTECH », le « Prestataire » ou le « Sous-traitant »,

d’une part,

et la personne morale ou physique qui a accepté le présent Accord dans les conditions de l’article 4.1, ci-après le « Client » ou le « Responsable de traitement », dont l’identité, le représentant et les coordonnées sont ceux que désigne le Contrat principal,

d’autre part,

ci-après désignées individuellement une « Partie » et collectivement les « Parties ».

Préambule

Le « Contrat principal » désigne le devis, le bon de commande, le contrat-cadre ou le contrat dédié conclu entre les Parties et qui incorpore le présent Accord par référence.

Son exécution conduit le Prestataire à traiter, pour le compte du Client, des données à caractère personnel dont celui-ci détermine les finalités et les moyens. L’article 28.3 du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données impose que cette relation soit régie par un acte juridique écrit liant le sous-traitant à l’égard du responsable du traitement.

Le présent accord, ci-après l'« Accord », satisfait à cette exigence. L’article 28.3 exige un acte juridique écrit et opposable ; il n’en impose ni la forme, ni la signature séparée, ni la remise matérielle. L’Accord est en conséquence publié, versionné et incorporé par référence au Contrat principal, dont il forme une pièce indissociable, et il prévaut sur celui-ci pour tout ce qui concerne le traitement de données à caractère personnel.

Le Client déclare agir à des fins entrant dans le cadre de son activité professionnelle. Il reconnaît avoir été mis en mesure de prendre connaissance, avant de s’engager, de la version du présent Accord que désigne le Contrat principal, y compris la description des mesures techniques et organisationnelles figurant à l’annexe 2 et la déclaration de limites du A2.20, ainsi que la liste des sous-traitants ultérieurs figurant à l’annexe 3. Cette reconnaissance ne limite ni n’exclut le devoir d’information de l’article 1112-1 du Code civil.

Le Responsable de traitement reconnaît que les descriptions figurant aux annexes du présent Accord, et notamment la déclaration de limites du A2.20, décrivent l’état réel du dispositif du Sous-traitant à la date de la version considérée et prévalent sur toute présentation commerciale, plaquette, page du site du Prestataire ou échange précontractuel, lesquels n’ont pas de valeur contractuelle. Le Sous-traitant ne souscrit au titre du présent Accord aucun engagement chiffré de disponibilité, aucune astreinte continue, aucune surveillance humaine permanente et aucune localisation exclusivement française des Données, la copie de sauvegarde primaire étant située en Allemagne dans les conditions du A1.2.

Ceci exposé, il a été convenu ce qui suit.

Article 1 — Définitions

Les termes ci-après, employés avec une majuscule initiale, ont dans le présent Accord le sens suivant, au singulier comme au pluriel. Les termes définis à l’article 4 du RGPD et non repris ci-dessous conservent le sens que leur donne ce texte.

1.1 « RGPD » : le règlement (UE) 2016/679 du 27 avril 2016.

1.1 bis « Réglementation applicable » : le RGPD, la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, les textes pris pour leur application ainsi que les lignes directrices, recommandations et délibérations de l’Autorité de contrôle.

1.2 « Données » : les données à caractère personnel traitées par le Sous-traitant pour le compte du Responsable de traitement dans le cadre du Contrat principal, telles que décrites à l’annexe 1, à l’exclusion de celles que le Sous-traitant traite pour son propre compte.

1.3 « Traitement » : les opérations décrites à l’annexe 1, effectuées par le Sous-traitant pour le compte du Responsable de traitement.

1.4 « Personnes concernées » : les personnes physiques auxquelles se rapportent les Données, telles que catégorisées à l’annexe 1.

1.5 « Instructions documentées » : les instructions du Responsable de traitement relatives au Traitement, constituées par le Contrat principal, le présent Accord et ses annexes, ainsi que par toute instruction complémentaire délivrée dans les formes de l’article 6.

1.6 « Sous-traitant ultérieur » : tout tiers auquel le Sous-traitant confie l’exécution d’activités de traitement déterminées pour le compte du Responsable de traitement, au sens des articles 28.2 et 28.4 du RGPD. Ceux autorisés à la date de la présente version figurent à l’annexe 3.

1.7 « Violation de données » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles Données, au sens de l’article 4.12 du RGPD.

1.8 « Mesures de sécurité » : les mesures techniques et organisationnelles mises en œuvre par le Sous-traitant au titre de l’article 32 du RGPD, décrites à l’annexe 2.

1.9 « Autorité de contrôle » : la Commission nationale de l’informatique et des libertés ou toute autre autorité compétente au sens de l’article 51 du RGPD.

1.10 « CGV » : les conditions générales de vente du Prestataire, référence SFT-JUR-CGV-10, dans la version et à la date identifiées au Contrat principal, publiées à l’adresse https://www.sanfytech.com/legal/cgv. Elles ne sont pas jointes au présent Accord et ne constituent aucune des trois annexes visées au 3.1. La version opposable entre les Parties est celle que le Contrat principal identifie par sa référence, son numéro de version et sa date, à l’exclusion de toute autre, y compris de toute version ultérieurement mise en ligne à la même adresse. Le Prestataire en conserve un exemplaire figé et le remet au Client sur simple demande, sur papier ou sur support durable. Tout renvoi du présent Accord à une stipulation des CGV s’entend par référence à cette version.

1.11 « Clauses contractuelles types » : les clauses adoptées par la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021, dans le module applicable à la relation considérée.

1.12 « Jour ouvré » : tout jour autre que le samedi, le dimanche et un jour férié en France.

Article 2 — Objet et qualité des Parties

2.1 Objet. L’Accord définit les conditions dans lesquelles le Sous-traitant effectue, pour le compte du Responsable de traitement, les opérations décrites à l’article 5, ainsi que les obligations respectives des Parties au regard du RGPD. Il ne modifie ni l’objet, ni le périmètre, ni le prix des prestations convenues au Contrat principal, et ne crée aucune obligation de traitement en dehors de ce que celui-ci prévoit.

2.2 Qualité des Parties. Le Client agit en qualité de Responsable de traitement au sens de l’article 4.7 du RGPD et SANFYTECH en qualité de Sous-traitant au sens de l’article 4.8. Le Client demeure seul compétent pour déterminer les finalités et les moyens des traitements, les catégories de Données collectées, les durées de conservation métier, les destinataires, l’information des Personnes concernées et les réponses à leurs demandes d’exercice de droits.

2.3 Périmètre d’accès. Le Sous-traitant ne détermine ni les champs collectés par les formulaires, applications et interfaces du Client, ni les destinataires des Données, ni les durées de conservation métier. Il n’accède au contenu applicatif que dans la stricte mesure nécessaire à une opération d’exploitation, à la résolution d’un incident ou à l’exécution d’une instruction documentée ; cet accès fait l’objet d’une traçabilité dans les conditions et sous les réserves décrites à l’annexe 2.

2.4 Traitements propres du Sous-traitant. Par exception au 2.3, le Sous-traitant agit en qualité de responsable de traitement pour la journalisation technique et de sécurité de son propre socle d’infrastructure, sur le fondement de son intérêt légitime à assurer la sécurité des réseaux et des systèmes d’information au sens du considérant 49 du RGPD et de l’obligation de l’article 32, ainsi que pour la gestion de sa relation commerciale, de sa facturation et de sa comptabilité, dont il rend compte dans sa politique de confidentialité publiée à l’adresse https://www.sanfytech.com/legal/confidentialite. Les journaux produits sur les systèmes exploités pour le compte du Responsable de traitement en exécution de l’article 32 du RGPD demeurent traités en qualité de Sous-traitant, dans les conditions du A2.9 de l’annexe 2. Lorsque le Contrat principal le prévoit, le Sous-traitant déploie sur les services du Responsable de traitement une mesure d’audience auto-hébergée, qu’il opère en qualité de Sous-traitant, sur instruction documentée et pour le compte exclusif de celui-ci, lequel demeure maître de la finalité, de l’activation de la mesure et de sa configuration. Les statistiques produites lui sont propres, ne sont recoupées avec les données d’aucun autre site ni avec aucun autre traitement, ne sont transmises à aucun tiers et ne sont accessibles qu’à lui seul, à l’exclusion de tout autre éditeur, le cloisonnement par site étant mis en œuvre techniquement. Le Sous-traitant met à sa disposition un paramétrage satisfaisant aux conditions de l’exemption de consentement admise pour la mesure d’audience, lui en communique le détail par écrit et le documente ; toute demande de configuration s’en écartant est traitée et consignée comme une instruction documentée. Cette mesure est dépourvue de cookie et de tout accès aux informations stockées dans l’équipement terminal de l’utilisateur ; elle tronque l’adresse de connexion, honore le signal d’opposition du navigateur et purge les journaux bruts à treize (13) mois. Il appartient au Responsable de traitement d’apprécier, au regard de l’article 82 de la loi n° 78-17 du 6 janvier 1978 et des lignes directrices de l’Autorité de contrôle, si la configuration retenue relève de l’exemption de consentement, et d’en faire mention dans sa propre politique de confidentialité. S’il venait à déterminer les finalités et les moyens d’un traitement confié, le Sous-traitant en serait considéré comme responsable au sens de l’article 28.10 du RGPD.

2.5 Point de contact. SANFYTECH n’est pas tenue de désigner un délégué à la protection des données au sens de l’article 37 du RGPD, les conditions de ce texte n’étant pas réunies à la date de la présente version. Elle désigne un point de contact unique en matière de protection des données, joignable à l’adresse rgpd@sanfytech.com, dédiée aux demandes relatives à la protection des données, relevée les jours ouvrés et compétente pour toute demande relevant du présent Accord.

Article 3 — Documents contractuels et hiérarchie

3.1 L’Accord est composé du présent corps et de ses trois annexes, qui en font partie intégrante et sont publiées avec lui : annexe 1, localisation des données, instructions documentées et points de contact ; annexe 2, mesures techniques et organisationnelles de sécurité ; annexe 3, liste des sous-traitants ultérieurs autorisés. Les éléments de l’article 28.3 du RGPD sont définis à l’article 5.

3.2 En cas de contradiction entre les documents liant les Parties, l’ordre de priorité décroissant est le suivant : le présent Accord, pour toute question relative aux données à caractère personnel ; le Contrat principal et ses annexes ; le devis ou bon de commande accepté ; les CGV. Le Client reconnaît avoir pris connaissance des CGV dans leur version en vigueur à la date de signature du Contrat principal.

3.3 En cas de contradiction entre le corps de l’Accord et l’une de ses annexes, le corps prévaut, sauf pour la description technique des Mesures de sécurité et pour la liste des sous-traitants ultérieurs, pour lesquelles les annexes 2 et 3 font foi. Le document « Annexe. Mesures techniques et organisationnelles de sécurité » référencé SFT-JUR-TOM-01 reproduit le texte de l’annexe 2 à l’identique lorsqu’il est joint au Contrat principal ; il ne peut ni en réduire ni en étendre la portée.

3.4 Les stipulations du Contrat principal et des CGV relatives à la confidentialité, à la responsabilité, à la force majeure, aux notifications et à la preuve électronique s’appliquent au présent Accord, sous réserve des adaptations qu’il comporte. Toutefois, l’invocation de la force majeure ne dispense le Sous-traitant ni de la notification prévue à l’article 14, ni de la mise en œuvre des Mesures de sécurité dans la mesure où l’événement le permet, ni de la restitution ou de la destruction des Données prévue à l’article 17. Conformément à l’article 28.4 du RGPD, la défaillance d’un Sous-traitant ultérieur n’exonère pas le Sous-traitant de sa responsabilité devant le Responsable de traitement, quelles que soient les stipulations du Contrat principal ou des CGV relatives à la force majeure. Le délai d’action éventuellement réduit par les CGV n’est pas applicable aux actions fondées sur le présent Accord, régies par le 19.7.

Article 4 — Durée, prise d’effet et révision

4.1 Acceptation et prise d’effet. L’Accord est accepté par la signature du Contrat principal qui l’incorpore par référence, laquelle emporte adhésion sans réserve à la version qu’il désigne. Il prend effet à la date d’effet du Contrat principal et demeure en vigueur pendant toute sa durée, puis tant que le Sous-traitant conserve des Données pour le compte du Responsable de traitement. Aucune signature séparée n’est requise ; le Responsable de traitement qui le souhaite peut néanmoins demander au Sous-traitant un exemplaire paraphé de la version en vigueur, qui lui est délivré sans frais.

4.1 bis Version opposable. La version qui engage les Parties est celle que le Contrat principal désigne par son numéro et sa date ; à défaut de désignation, celle qui était publiée à l’adresse https://www.sanfytech.com/legal/dpa à la date de signature du Contrat principal. La publication d’une version postérieure est sans effet sur les Contrats principaux en cours : elle ne vaut que pour les engagements conclus après elle, ou après acceptation écrite du Responsable de traitement. Le Sous-traitant conserve un exemplaire figé de chaque version publiée et en délivre copie sur simple demande.

4.2 La cessation du Contrat principal, quelle qu’en soit la cause, emporte cessation de l’Accord, sous réserve de la survie des stipulations relatives à la confidentialité, au sort des Données, à la documentation, aux audits et à la responsabilité, qui demeurent applicables jusqu’à leur complète exécution.

4.3 L’Accord est révisé au moins une fois par an, ainsi qu’à chaque changement structurant d’architecture, de fournisseur, de niveau de risque, de périmètre du Traitement ou de cadre réglementaire. Toute modification du corps de l’Accord donne lieu à la publication d’une version nouvelle, portant son numéro et sa date. Conformément au 4.1 bis, cette publication n’emporte par elle-même aucun effet sur un Contrat principal en cours : la version nouvelle n’y devient applicable que par avenant écrit ou par acceptation écrite du Responsable de traitement.

4.4 Par exception, la mise à jour de l’annexe 3 suit la procédure d’information préalable de l’article 10 et ne nécessite pas d’avenant à défaut d’objection dans le délai imparti. La mise à jour de l’annexe 2 résultant du renforcement d’une mesure de sécurité prend effet de plein droit ; le Sous-traitant en rend compte lors de la revue annuelle.

4.5 Traitements antérieurs à la prise d’effet. Le présent Accord régit les Traitements à compter de sa date d’effet, y compris ceux ayant débuté antérieurement, qui s’y trouvent soumis pour l’avenir. Il annule et remplace, à compter de cette date, toute annexe, note ou document de conformité antérieurement remis par le Sous-traitant au Responsable de traitement décrivant la chaîne de sous-traitance : celle qui est opposable entre les Parties est exclusivement celle de l’annexe 3. Cette caducité porte sur la seule valeur descriptive de ces documents ; elle n’emporte ni leur destruction, que le Sous-traitant s’interdit, ni renonciation du Responsable de traitement aux droits qu’il tient de la période antérieure, et demeure sans effet sur les documents établis par le Responsable de traitement lui-même. Le présent Accord ne met à la charge du Sous-traitant aucune obligation au titre d’une période antérieure à son immatriculation, le 15 juillet 2026.

Article 5 — Description du traitement

5.1 Description permanente. Les prestations du Sous-traitant portent sur un périmètre constant — développement logiciel sur mesure, conseil, intégration de systèmes d’intelligence artificielle, hébergement, infogérance et maintien en condition opérationnelle. Les éléments que l’article 28.3 du RGPD impose de définir sont en conséquence arrêtés une fois pour toutes comme suit, et valent pour tout Contrat principal qui incorpore le présent Accord :

Élément de l’article 28.3	Description
Objet du traitement	Exécution des prestations informatiques commandées au Contrat principal
Nature des opérations réalisées par le Sous-traitant	Hébergement, stockage, exécution, sauvegarde, restauration, supervision, correction, migration et suppression ; consultation ponctuelle aux seules fins d’exploitation, de diagnostic ou d’exécution d’une instruction documentée
Finalités poursuivies par le Responsable de traitement	Développement, mise à disposition, hébergement et maintien en condition opérationnelle des applications, sites et systèmes du Responsable de traitement
Catégories de données à caractère personnel	Identifiants et données de connexion ; journaux techniques ; coordonnées professionnelles ; données applicatives confiées par le Responsable de traitement ou saisies par les utilisateurs de ses services
Catégories de personnes concernées	Utilisateurs, collaborateurs, clients et correspondants du Responsable de traitement
Durée du traitement	Durée du Contrat principal, augmentée des délais de restitution et de suppression fixés à l’article 17
Catégories particulières de données (articles 9 et 10 du RGPD)	Aucune, sauf mention contraire au Contrat principal

5.2 Particularités de l’affaire. Le Contrat principal peut compléter ou écarter une ligne du tableau du 5.1 pour l’affaire qu’il régit, notamment lorsque le Traitement porte sur des catégories particulières de données, sur des données d’administrés ou d’usagers d’un service public, sur des données de santé, ou lorsqu’une durée de conservation métier particulière est convenue. Ce qu’il énonce prévaut alors sur la description permanente, pour cette seule affaire. À défaut de mention, la description permanente s’applique intégralement.

5.3 Exactitude. Le Responsable de traitement, qui détermine seul les finalités et les moyens, garantit l’exactitude de la description au regard du Traitement qu’il confie. Il informe le Sous-traitant, sans retard injustifié, de toute évolution l’affectant, en particulier de l’introduction d’une nouvelle catégorie de Données ou de Personnes concernées, et notamment d’une catégorie particulière au sens des articles 9 et 10 du RGPD. Le Sous-traitant ne peut se prévaloir de la description permanente pour refuser de tenir compte d’une telle information.

5.4 Durées. Le Sous-traitant ne traite les Données que pour la durée nécessaire à l’exécution du Contrat principal et selon les durées de conservation métier fixées par le Responsable de traitement. Les durées techniques propres au socle d’exploitation du Sous-traitant, notamment celles des journaux et des jeux de sauvegarde, sont décrites à l’annexe 2 ; elles ne valent pas durée de conservation des données métier.

5.5 Localisation. La localisation des Données est décrite au A1.2 de l’annexe 1.

Article 6 — Instructions documentées

6.1 Le Sous-traitant ne traite les Données que sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts vers un pays tiers ou une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit français auquel il est soumis. En pareil cas, il informe le Responsable de traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

6.2 Le Contrat principal, le présent Accord et ses annexes constituent les Instructions documentées initiales du Responsable de traitement.

6.3 Toute instruction complémentaire est adressée par écrit au point de contact du Sous-traitant, un courrier électronique à l’adresse rgpd@sanfytech.com valant écrit. Elle mentionne son objet, le traitement concerné et sa date d’effet souhaitée. Le Sous-traitant en accuse réception dans les cinq (5) jours ouvrés et indique, dans le même délai, si son exécution est techniquement possible dans le cadre du Contrat principal et si elle entraîne des travaux ou des coûts supplémentaires. Une instruction excédant le périmètre du Contrat principal donne lieu à un devis préalable.

6.4 Le Sous-traitant informe immédiatement le Responsable de traitement si, selon lui, une instruction constitue une violation de la Réglementation applicable ou d’une autre disposition du droit de l’Union ou du droit d’un État membre relative à la protection des données. Il peut suspendre l’exécution de l’instruction litigieuse jusqu’à ce qu’elle soit confirmée, modifiée ou retirée par écrit, sans que cette suspension engage sa responsabilité.

6.5 Le Sous-traitant conserve la trace écrite des Instructions documentées reçues et exécutées pendant la durée de l’Accord augmentée de cinq (5) ans, et la met à disposition sur demande.

Article 7 — Obligations du Sous-traitant au titre de l’article 28.3

Le Sous-traitant souscrit les obligations de l’article 28.3 du RGPD, dont les conditions d’exécution sont fixées comme suit : instructions documentées, article 6 ; confidentialité des personnes autorisées, article 8 ; sécurité du traitement, article 9 et annexe 2 ; sous-traitance ultérieure, article 10 ; assistance à l’exercice des droits des Personnes concernées, article 12 ; assistance en matière de sécurité, de violations et d’analyse d’impact, articles 13 et 14 ; sort des Données au terme de la prestation, article 17 ; documentation et audits, article 15.

Article 8 — Personnel et confidentialité

8.1 Le Sous-traitant limite l’accès aux Données aux seules personnes qui en ont besoin pour l’exécution du Contrat principal, selon le principe du besoin d’en connaître, et s’engage à généraliser le principe du moindre privilège dans les conditions et selon l’échéance figurant à l’annexe 2.

8.2 Le Sous-traitant s’engage à ce que toute personne physique susceptible d’accéder aux Données, qu’elle soit dirigeant, salarié, mandataire ou intervenant extérieur, souscrive une obligation de confidentialité écrite préalablement à l’ouverture de ses accès, survivant à la fin de sa collaboration. Il déclare que l’ensemble des personnes habilitées à la date de la présente version ont souscrit cet engagement écrit, dont il justifie sur demande. Cet engagement comporte le rappel de la règle de l’article 29 du RGPD. La liste des personnes habilitées est communiquée au Responsable de traitement sur demande écrite.

8.3 Le Sous-traitant informe les personnes dont l’activité d’administration est journalisée et enregistrée de l’existence, des finalités et de la durée de conservation de ces traitements. L’obligation de confidentialité du présent article s’ajoute, sans s’y substituer, aux stipulations du Contrat principal et des CGV relatives à la confidentialité et au secret des affaires.

8.4 Conformément aux articles 29 et 32.4 du RGPD, le Sous-traitant fait en sorte que toute personne physique agissant sous son autorité et ayant accès aux Données ne les traite que sur instruction du Responsable de traitement, sauf obligation imposée par le droit de l’Union ou le droit d’un État membre. L’engagement de confidentialité souscrit en application du 8.2 comporte le rappel de cette règle.

Article 9 — Sécurité du traitement

9.1 Le Sous-traitant met en œuvre les Mesures de sécurité, appropriées pour garantir un niveau de sécurité adapté au risque au sens de l’article 32 du RGPD, compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du Traitement, ainsi que des risques pour les droits et libertés des Personnes concernées.

9.2 Ces mesures sont décrites à l’annexe 2, qui les présente à leur état réel à la date de la présente version ; les mesures qui ne sont pas en place y sont déclarées comme telles au A2.20.

9.3 Les obligations du Sous-traitant au titre des Mesures de sécurité sont des obligations de moyens renforcées. Le Sous-traitant ne garantit ni l’absence de vulnérabilité, ni l’invulnérabilité des systèmes, ni l’impossibilité d’un accès non autorisé. Il informe le Responsable de traitement, sans retard injustifié et au plus tard dans les cinq (5) jours ouvrés, de toute évolution défavorable d’une mesure décrite à l’annexe 2, en précisant la mesure concernée, la cause de l’évolution, la mesure compensatoire mise en place et l’échéance de retour à l’état décrit. Lorsque cette évolution affecte substantiellement le niveau de sécurité du Traitement, le Responsable de traitement peut, dans les trente (30) jours de cette information, former une objection motivée dans les conditions du 10.3 et, à défaut d’accord, résilier la prestation concernée sans indemnité de part ni d’autre. Aucune mise à jour de l’annexe 2 ne peut réduire le niveau des Mesures de sécurité sans avenant écrit signé des deux Parties.

9.4 Sincérité des déclarations. Chaque déclaration de sécurité faite par le Sous-traitant au titre du présent Accord, ou en réponse à un questionnaire fournisseur du Responsable de traitement, est appuyée sur un élément de preuve daté qu’il conserve et communique à première demande. À défaut d’un tel élément, il déclare l’état réel de la mesure et son échéance de mise en œuvre. Le Sous-traitant ne détient aucune certification, qualification ni homologation de sécurité délivrée par un organisme tiers ; les évaluations de sa posture de sécurité sont des auto-évaluations outillées, dont la synthèse est communicable dans les conditions de l’article 15.

9.5 Lorsque le Contrat principal porte sur la mise à disposition de ressources d’infrastructure que le Responsable de traitement administre lui-même, la répartition des responsabilités de sécurité est la suivante, sauf stipulation plus précise du Contrat principal. Relèvent du Sous-traitant : le matériel, la couche de virtualisation, le réseau et l’alimentation ; le filtrage au niveau de la couche de virtualisation et au niveau de l’opérateur amont ; la sauvegarde de l’image complète de la machine ; la notification au Responsable de traitement, sans retard injustifié et au plus tard le Jour ouvré suivant sa détection, de tout incident détecté au niveau de l’infrastructure, sans préjudice du délai de l’article 14.1 lorsque cet incident constitue une Violation de données. Relèvent du Responsable de traitement : le système d’exploitation invité, ses correctifs et son noyau ; le panneau d’hébergement, les comptes, les sites et les bases ; le pare-feu local de la machine et l’exposition applicative ; la restauration applicative et la cohérence des données ; la notification au Sous-traitant, sans retard injustifié et au plus tard le Jour ouvré suivant sa détection, de tout incident détecté à l’intérieur de la machine. Le Sous-traitant ne souscrit aucun engagement de détection à l’intérieur du système d’exploitation invité et n’a pas connaissance des catégories de Données qui y sont traitées ; celles-ci sont néanmoins comprises dans les images de sauvegarde chiffrées qu’il conserve. Toute modification du filtrage mis en œuvre par le Sous-traitant susceptible d’affecter la disponibilité d’un service du Responsable de traitement requiert l’accord écrit préalable de celui-ci.

Article 10 — Sous-traitance ultérieure

10.1 Autorisation générale. Le Responsable de traitement autorise le Sous-traitant, par une autorisation générale et écrite au sens de l’article 28.2 du RGPD, à faire appel aux Sous-traitants ultérieurs listés à l’annexe 3, laquelle précise pour chacun son identité, l’activité confiée, les catégories de Données concernées, le pays de traitement et, en cas de transfert hors de l’Union européenne, la garantie appropriée applicable.

10.2 Information préalable. Le Sous-traitant informe le Responsable de traitement par écrit, à l’adresse figurant à l’annexe 1, de tout projet d’ajout ou de remplacement d’un Sous-traitant ultérieur, dans les meilleurs délais à compter du moment où il en a connaissance et, en tout état de cause, dix (10) jours au moins avant sa mise en œuvre. L’information précise l’identité du nouveau Sous-traitant ultérieur, l’activité confiée, les catégories de Données concernées, le pays de traitement et la garantie de transfert applicable. Les Parties conviennent que ce délai correspond au préavis le plus court que le Sous-traitant obtient lui-même de ses propres fournisseurs : il ne peut s’engager à un préavis plus long que celui qu’il reçoit.

10.3 Droit d’objection. Le Responsable de traitement dispose de dix (10) jours à compter de cette information pour formuler par écrit une objection motivée tirée de considérations de protection des données. À défaut d’objection dans ce délai, le changement est mis en œuvre et l’annexe 3 est mise à jour ; cette absence d’objection ne vaut ni renonciation à contester ultérieurement le recours à ce Sous-traitant ultérieur, ni acceptation d’une réduction du niveau de protection des Données. En cas d’objection, les Parties se rapprochent de bonne foi pour rechercher une solution alternative, notamment le maintien du Sous-traitant ultérieur en place, des mesures complémentaires ou l’exclusion des Données du périmètre confié. Si le désaccord persiste, le Responsable de traitement peut résilier la prestation concernée, sans frais ni indemnité de part ni d’autre, sous la seule réserve du paiement des prestations exécutées.

10.4 Urgence. En cas de défaillance, de faille de sécurité ou de cessation d’activité d’un Sous-traitant ultérieur rendant impossible le respect du préavis, le Sous-traitant peut lui substituer un prestataire présentant des garanties au moins équivalentes et en informe le Responsable de traitement sans délai, et au plus tard dans les soixante-douze (72) heures, en motivant l’urgence. Le droit d’objection s’exerce alors a posteriori dans les conditions du 10.3.

10.5 Obligations répercutées. Le Sous-traitant impose par contrat à chaque Sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles fixées par le présent Accord, conformément à l’article 28.4 du RGPD, notamment le traitement sur instruction documentée, l’engagement écrit de confidentialité des personnes autorisées, les mesures de sécurité de l’article 32 du RGPD, la notification des violations sans retard injustifié, l’assistance à l’exercice des droits, l’encadrement de sa propre sous-traitance ultérieure, la tenue du registre de l’article 30.2 du RGPD, l’information du Sous-traitant lorsqu’une instruction lui paraît constituer une violation de la Réglementation applicable, ainsi que la restitution ou la destruction des données au terme de sa prestation avec attestation écrite. Le Sous-traitant conserve la trace écrite de ces engagements et la communique au Responsable de traitement sur demande écrite.

10.5 bis Accords des Sous-traitants ultérieurs. Le Sous-traitant ne confie de Traitement à un Sous-traitant ultérieur qu’après avoir conclu avec lui, ou accepté de lui, l’accord de sous-traitance prévu à l’article 28.4 du RGPD, dont il conserve un exemplaire daté. Il en communique la référence et la date au Responsable de traitement sur simple demande écrite.

10.6 Responsabilité et tenue de la liste. Le Sous-traitant demeure pleinement responsable devant le Responsable de traitement de l’exécution par ses Sous-traitants ultérieurs de leurs obligations, conformément à l’article 28.4 du RGPD. Il tient l’annexe 3 à jour, en communique la version en vigueur sur simple demande, et signale toute évolution de la localisation des données ou de la chaîne de sous-traitance annoncée par l’un de ses fournisseurs.

10.7 Services souscrits par le Responsable de traitement. Les services que le Responsable de traitement souscrit directement auprès de tiers, notamment une plateforme de paiement, un service de nom de domaine, une plateforme d’encaissement, un réseau social ou un service de diffusion, ne sont pas des Sous-traitants ultérieurs du Sous-traitant. Ils relèvent de la seule responsabilité du Responsable de traitement et sont identifiés comme tels à l’annexe 3 lorsqu’ils interviennent dans la chaîne technique.

Article 11 — Transferts hors de l’Union européenne

11.1 Principe. Les Données traitées au titre de l’hébergement et de la sauvegarde sont hébergées et conservées exclusivement sur le territoire de l’Union européenne, selon la répartition figurant à l’annexe 1. Aucun transfert de ces Données vers un pays tiers ou une organisation internationale n’est réalisé du fait de l’hébergement ou de la sauvegarde. Les services accessoires à l’exploitation qui comportent un transfert hors de l’Union européenne sont limitativement énumérés à l’annexe 3 et régis par les 11.2 à 11.6 ; ils ne portent que sur les catégories de Données que cette annexe désigne.

11.2 Transferts limitativement énumérés. Les seuls transferts vers un pays tiers sont ceux énumérés à l’annexe 3, qui précise pour chacun le Sous-traitant ultérieur concerné, l’activité confiée, les catégories de Données transférées, le pays de destination et la garantie appropriée applicable au sens du chapitre V du RGPD.

11.3 Fondement. Chaque transfert est encadré, par ordre de priorité : par une décision d’adéquation de la Commission européenne au sens de l’article 45 du RGPD lorsque le pays de destination en bénéficie et que le destinataire relève de son champ ; à défaut, par les Clauses contractuelles types au sens de l’article 46.2 c) du RGPD, conclues entre le Sous-traitant et le destinataire ; en toute hypothèse, complétées par les mesures supplémentaires nécessaires pour garantir un niveau de protection essentiellement équivalent à celui assuré dans l’Union, notamment la minimisation des données transmises, la pseudonymisation lorsqu’elle est praticable, le chiffrement des communications et la restriction stricte des accès.

Le Sous-traitant conserve, pour chacun des transferts énumérés à l’annexe 3, la garantie appropriée applicable et la communique au Responsable de traitement sur demande écrite. Il l’informe sans retard injustifié de tout transfert pour lequel la garantie ne pourrait plus être établie et, en pareil cas, applique le 11.5.

11.4 Condition de mise en œuvre. Aucun transfert vers un pays tiers n’est mis en œuvre ni poursuivi tant que la garantie appropriée applicable au sens du chapitre V du RGPD n’a pas été conclue et archivée par le Sous-traitant. À défaut, le Sous-traitant suspend le flux concerné et en informe le Responsable de traitement. Le Sous-traitant décrit sur demande écrite les mesures supplémentaires de minimisation, de pseudonymisation et de chiffrement qu’il applique au transfert considéré.

11.5 Invalidation d’un mécanisme. En cas d’invalidation, de suspension ou de modification substantielle de l’un des mécanismes visés au 11.3 par la Cour de justice de l’Union européenne, par la Commission européenne ou par l’Autorité de contrôle, les Parties mettent en œuvre sans retard injustifié, et au plus tard dans les soixante (60) jours suivant la prise d’effet de la décision, le mécanisme de substitution disponible. À défaut de mécanisme assurant un niveau de protection essentiellement équivalent, le Sous-traitant suspend le transfert et en informe sans délai le Responsable de traitement, qui décide soit de mesures complémentaires, soit de la résiliation de la prestation concernée dans les conditions du 10.3.

11.6 Demandes d’autorités de pays tiers et interdictions. Le Sous-traitant informe le Responsable de traitement, dans la mesure où le droit applicable le permet, de toute demande contraignante d’accès aux Données émanant d’une autorité publique d’un pays tiers, et met en œuvre les voies de recours raisonnablement disponibles. Il ne peut garantir l’absence de toute demande de cette nature à l’égard d’un fournisseur soumis à un droit étranger, notamment au titre du chapitre 121 du titre 18 du Code des États-Unis. Il s’interdit de transférer à un Sous-traitant ultérieur, quel que soit son pays d’établissement, des identifiants d’authentification ou des secrets cryptographiques du Responsable de traitement, et restreint les habilitations de manière à rendre cette transmission techniquement impossible. Il s’interdit également de mettre en œuvre un transfert vers un pays tiers non listé à l’annexe 3 sans l’information préalable prévue à l’article 10.

Article 12 — Assistance à l’exercice des droits des personnes concernées

12.1 Compte tenu de la nature du Traitement, le Sous-traitant aide le Responsable de traitement, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à donner suite aux demandes d’exercice des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi qu’aux demandes relatives à la décision individuelle automatisée et aux directives post mortem.

12.2 Toute demande adressée directement au Sous-traitant par une personne se présentant comme une Personne concernée est transmise au Responsable de traitement sans retard injustifié et au plus tard dans un délai de trois (3) Jours ouvrés, sans que le Sous-traitant y réponde lui-même, sauf instruction écrite contraire. Le Responsable de traitement demeure seul compétent pour apprécier la recevabilité de la demande et pour y répondre.

12.3 Le Sous-traitant met à disposition, sur demande écrite et selon les modalités convenues au A1.5 de l’annexe 1, les moyens d’extraction, de rectification et de suppression dont il dispose sur les systèmes qu’il exploite pour le compte du Responsable de traitement, dans un délai raisonnable au regard de la nature de la demande. Il ne garantit pas l’exhaustivité de la localisation d’une donnée dans les journaux techniques et de sécurité ni dans les jeux de sauvegarde, dont la structure ne permet pas une recherche unitaire ; l’articulation entre l’effacement et les sauvegardes est régie par l’article 17.

12.4 L’assistance de routine, consistant à transmettre une demande, à produire un export standard ou à exécuter une suppression, une limitation ou la prise en compte d’une opposition au moyen des fonctions existantes, est comprise dans le prix de la prestation. Une assistance approfondie, notamment le développement d’une fonction d’export spécifique ou l’extraction manuelle de données dans un système non prévu à cet effet, fait l’objet d’un devis préalable, au tarif journalier convenu au Contrat principal. Lorsque le Responsable de traitement indique par écrit que l’absence d’exécution est susceptible de le placer hors du délai de l’article 12.3 du RGPD et confirme sa commande, le Sous-traitant exécute la prestation nécessaire sans attendre l’acceptation formelle du devis, dans la limite de deux (2) jours de travail, et la facture ensuite au tarif journalier convenu au Contrat principal ; il en informe par écrit le Responsable de traitement au plus tard le jour de l’exécution.

Article 13 — Analyse d’impact et consultation préalable

13.1 Le Sous-traitant aide le Responsable de traitement, compte tenu de la nature du Traitement et des informations à sa disposition, à réaliser les analyses d’impact relatives à la protection des données prévues à l’article 35 du RGPD et, le cas échéant, à conduire la consultation préalable de l’Autorité de contrôle prévue à l’article 36.

13.2 Cette assistance consiste à fournir la description des opérations qu’il réalise, celle des Mesures de sécurité en place et des mesures planifiées avec leur échéance, la liste des Sous-traitants ultérieurs et des transferts, la description des flux de données et les durées de conservation techniques. Elle ne comprend pas la rédaction de l’analyse d’impact, qui incombe au Responsable de traitement ; celle-ci, comme la production de documentation détaillée destinée à un auditeur externe ou la participation à des ateliers d’analyse de risques, fait l’objet d’un devis préalable, au tarif journalier convenu au Contrat principal.

13.3 Le Sous-traitant informe le Responsable de traitement lorsqu’il identifie, dans le Traitement confié, une caractéristique susceptible de rendre une analyse d’impact obligatoire au regard des lignes directrices de l’Autorité de contrôle, notamment le traitement à grande échelle de données sensibles, l’évaluation ou la notation de personnes, ou la surveillance systématique d’une zone accessible au public.

Article 14 — Notification des violations de données

14.1 Délai. Le Sous-traitant notifie au Responsable de traitement toute Violation de données affectant les traitements réalisés pour son compte sans retard injustifié et au plus tard quarante-huit (48) heures, jours non ouvrés compris, à compter du moment où il en a pris connaissance, conformément à l’article 33.2 du RGPD. Ce délai se compte en heures calendaires et n’est suspendu ni par un samedi, ni par un dimanche, ni par un jour férié : il est stipulé pour que le Responsable de traitement conserve une part utile du délai de soixante-douze (72) heures que l’article 33.1 du RGPD lui impartit pour notifier la Violation à l’autorité de contrôle. La prise de connaissance s’entend du moment où le Sous-traitant acquiert un degré raisonnable de certitude qu’un incident de sécurité a compromis des Données. Lorsqu’un incident est susceptible de constituer une Violation de données sans que ce degré de certitude soit encore atteint, le Sous-traitant en informe le Responsable de traitement à titre préliminaire dans le même délai, en qualifiant expressément l’information de préliminaire, et conduit sans délai les vérifications nécessaires.

14.2 Portée de l’engagement. Ce délai court à compter de la prise de connaissance effective. Il ne constitue pas un engagement de détection en continu : la prise en charge humaine des événements de sécurité est assurée les Jours ouvrés, la détection automatisée demeurant active en dehors de ces plages et les événements y étant enregistrés pour traitement à la reprise. Le Sous-traitant ne souscrit aucun engagement d’astreinte, de permanence ni de surveillance humaine continue. La capacité de prise de connaissance du Sous-traitant repose sur le dispositif de détection décrit au A2.9 de l’annexe 2.

14.3 Contenu. La notification est adressée par courrier électronique au point de contact du Responsable de traitement figurant à l’annexe 1, avec demande d’accusé de réception, et comporte, dans la limite des éléments connus à cette date :

• la nature de la Violation de données, ainsi que la date et l’heure de sa survenance et de sa prise de connaissance, exprimées en temps universel coordonné ;
• les catégories et le nombre approximatif de Personnes concernées, ainsi que les catégories et le nombre approximatif d’enregistrements concernés ;
• les conséquences probables de la Violation de données ;
• les mesures prises ou proposées pour y remédier et, le cas échéant, en atténuer les effets négatifs ;
• le nom et les coordonnées du point de contact du Sous-traitant.

La mention « inconnu à ce stade » est admise pour toute rubrique non établie ; elle ne justifie pas de différer la notification. Lorsque les informations ne peuvent être fournies en une seule fois, elles sont communiquées de manière échelonnée, sans retard injustifié, à mesure qu’elles sont établies. Une notification tardive est accompagnée des motifs du retard, conformément à l’article 33.1 du RGPD.

14.4 Préservation des preuves. Dès la prise de connaissance d’un incident susceptible de constituer une Violation de données, le Sous-traitant ouvre une main courante horodatée, fige les éléments de preuve dont il dispose et soustrait à la purge automatique les jeux de sauvegarde antérieurs à l’incident. Il s’abstient de supprimer tout message, journal ou fichier documentant l’événement.

14.5 Compétence du Responsable de traitement. Celui-ci demeure seul compétent pour apprécier le risque au sens des articles 33 et 34 du RGPD et pour décider de la notification à l’Autorité de contrôle et de l’information des Personnes concernées. Le Sous-traitant ne procède à aucune notification ni information en ses lieu et place. Il l’assiste dans l’accomplissement de ces obligations, notamment par la mise à disposition des éléments techniques, de la chronologie horodatée et des extraits de journaux dont il dispose effectivement à la date de la demande.

14.6 Retour d’expérience et registre. Le Sous-traitant adresse au Responsable de traitement, dans un délai de quinze (15) jours à compter de la clôture de la Violation de données, un retour d’expérience écrit indiquant la chronologie, la cause identifiée, les mesures correctives engagées et leur échéance. Il documente toute Violation de données dans un registre comportant les faits, leurs effets et les mesures prises, conformément à l’article 33.5 du RGPD ; les fiches sont conservées cinq (5) ans à compter de la clôture et les extraits concernant le Responsable de traitement lui sont communiqués sur demande.

14.7 Alerte réciproque. Le Responsable de traitement notifie au Sous-traitant, dans le même délai qu’au 14.1 à compter de sa prise de connaissance, tout incident de sécurité relevant de son propre périmètre et susceptible d’affecter les systèmes ou les Données confiés. Il s’engage à préserver les éléments de preuve de tout incident survenu dans son périmètre.

Article 15 — Documentation, audits et inspections

15.1 Mise à disposition de l’information. Le Sous-traitant met à la disposition du Responsable de traitement la documentation nécessaire pour démontrer le respect de l’article 28 du RGPD, notamment l’extrait du registre des catégories d’activités de traitement le concernant, la description des Mesures de sécurité, la liste à jour des Sous-traitants ultérieurs et les garanties encadrant les transferts énumérés à l’annexe 3.

15.2 Audit documentaire. Le Responsable de traitement peut demander, une fois par année civile, sur préavis écrit de trente (30) jours, la communication des éléments de preuve associés aux engagements de l’annexe 2. Le Sous-traitant répond dans les trente (30) jours suivant la réception de la demande. Cette limite de fréquence n’est pas opposable lorsque la demande est nécessaire pour permettre au Responsable de traitement de démontrer le respect de ses propres obligations, notamment à l’occasion d’une Violation de données ou d’un contrôle de l’Autorité de contrôle.

15.3 Audit sur site. Le Responsable de traitement peut faire réaliser, par lui-même ou par un auditeur tiers indépendant qu’il mandate, un audit ou une inspection des mesures mises en œuvre, aux conditions cumulatives suivantes : préavis écrit de trente (30) jours, sauf urgence justifiée par un incident de sécurité avéré ; un audit par année civile hors incident ; réalisation pendant les Jours et heures ouvrés du Sous-traitant ; périmètre limité aux systèmes et traitements concernant le Responsable de traitement ; auditeur tiers non concurrent du Sous-traitant et soumis à un engagement de confidentialité écrit. Un audit supplémentaire peut être conduit à la suite d’une Violation de données affectant le Responsable de traitement.

15.4 Limites opposables. Le Sous-traitant peut opposer à une demande d’audit les mesures nécessaires à la protection des données de ses autres clients, à la sécurité de son infrastructure et au secret de ses affaires. Il ne communique aucun élément permettant d’identifier ses autres clients, aucun secret d’authentification, aucune adresse technique interne et aucun document dont la remise augmenterait la surface d’attaque de son système d’information. Il propose alors une modalité alternative de vérification effective, notamment la production d’attestations, de relevés horodatés anonymisés ou une vérification en séance sans remise de document. Il ne peut opposer ces limites pour refuser au Responsable de traitement tout moyen de vérifier l’exécution d’une obligation souscrite au présent Accord.

15.5 Frais et suites. Les frais d’audit sont à la charge du Responsable de traitement. Le Sous-traitant contribue gratuitement à chaque audit à hauteur d’une (1) journée de travail ; le temps consacré au-delà est facturé au tarif journalier convenu au Contrat principal, sur devis préalablement accepté, sans que cette facturation puisse priver d’effet le droit que le Responsable de traitement tient de l’article 28, paragraphe 3, point h), du RGPD. Par exception, lorsque l’audit révèle un manquement substantiel du Sous-traitant, les frais correspondants sont supportés par ce dernier, qui prend en charge les travaux de remise en conformité et communique un plan d’action daté dans les trente (30) jours. Le rapport d’audit est communiqué au Sous-traitant, qui dispose de trente (30) jours pour formuler ses observations ; il est couvert par l’obligation de confidentialité et ne peut être transmis à un tiers, sauf à l’Autorité de contrôle ou en exécution d’une décision de justice.

Article 16 — Registre des catégories d’activités de traitement

16.1 Le Sous-traitant tient un registre écrit des catégories d’activités de traitement effectuées pour le compte du Responsable de traitement, conforme à l’article 30.2 du RGPD, comportant le nom et les coordonnées du Sous-traitant et de chaque responsable de traitement pour le compte duquel il agit, les catégories de traitements effectués, les transferts vers un pays tiers avec l’identification des garanties appropriées, et une description générale des mesures de sécurité de l’article 32. Ce registre est établi et alimenté à la date de la présente version.

16.2 L’extrait du registre concernant le Responsable de traitement lui est communiqué sur demande écrite, dans un délai de trente (30) jours suivant la réception de la demande, ainsi qu’à l’Autorité de contrôle sur sa demande, conformément à l’article 30.4 du RGPD. Le registre est actualisé au moins une fois par an et à chaque évolution du périmètre du Traitement, de la chaîne de sous-traitance ou de la localisation des Données.

Article 17 — Sort des données au terme de la prestation

17.1 Choix du Responsable de traitement. Au terme de la prestation, quelle qu’en soit la cause, le Responsable de traitement notifie par écrit au Sous-traitant, dans un délai de trente (30) jours à compter de la date d’effet de la fin du Contrat principal, son choix entre la restitution de l’intégralité des Données dans les formats décrits au 17.2, ou leur destruction. À défaut de notification dans ce délai, le Sous-traitant adresse au Responsable de traitement une relance écrite, par lettre recommandée avec demande d’avis de réception, l’invitant à exercer son choix et l’avertissant expressément qu’à défaut de réponse les Données seront détruites ; si cette relance demeure sans réponse pendant trente (30) jours à compter de sa première présentation, le Sous-traitant procède à la destruction et en informe le Responsable de traitement dans les conditions du 17.5. Jusqu’à l’expiration de ce délai, les Données demeurent conservées et protégées par les mesures de l’annexe 2, sans autre traitement que leur conservation technique.

17.2 Restitution. La restitution s’effectue dans des formats exploitables, décrits ci-après ; le Sous-traitant ne garantit pas que l’ensemble de ces formats soient des formats ouverts normalisés. La restitution intervient dans les trente (30) jours suivant la réception de l’instruction, ou dans les quinze (15) jours lorsque le Contrat principal le stipule expressément. Elle porte sur les données applicatives, remises sous forme d’exports de bases de données relus et vérifiés avant remise, sur les fichiers et documents remis sous leur format d’origine dans une arborescence lisible, et sur les éléments de configuration nécessaires au redéploiement du service, à l’exclusion des éléments propres à l’infrastructure du Sous-traitant, de ses secrets d’exploitation et de ses outils internes. Une image complète de machine virtuelle peut être remise sur demande expresse et sous réserve de faisabilité technique ; produite au format du logiciel de sauvegarde du Sous-traitant, elle nécessite un environnement compatible pour être exploitée. La remise s’effectue par un canal sécurisé convenu entre les Parties et donne lieu à un procès-verbal de restitution.

17.3 Destruction en base active. La destruction des Données en base active et sur les systèmes de production intervient dans un délai de trente (30) jours à compter, selon le cas, de l’acceptation du procès-verbal de restitution ou de la réception de l’instruction de destruction.

17.4 Sauvegardes. Les jeux de sauvegarde ne sont ni modifiés, ni extraits, l’altération d’une sauvegarde détruisant son intégrité et sa valeur probante. Les Données y subsistant disparaissent par l’effet de la purge automatique, à l’expiration de la durée de rétention en vigueur, qui ne peut excéder douze (12) mois à compter de la destruction en base active. Pendant cet intervalle, ces Données ne font l’objet d’aucun traitement autre que leur conservation technique et restent protégées par les mesures de l’annexe 2. Si une restauration intervient dans cet intervalle, la destruction est immédiatement réappliquée après restauration.

17.5 Attestation. Le Sous-traitant remet une attestation de destruction datée, précisant le périmètre concerné, la date d’effacement en base active, la date d’expiration de la dernière sauvegarde comportant les Données et le moyen employé.

17.6 Conservation imposée par le droit. Par exception, le Sous-traitant conserve les Données dont la conservation lui est imposée par le droit de l’Union ou le droit français, notamment les pièces comptables au sens de l’article L123-22 du Code de commerce, pour la seule durée prescrite et aux seules fins de satisfaire à cette obligation ; il en informe le Responsable de traitement en précisant la catégorie de données, le fondement et la durée.

17.7 Assistance à la réversibilité. La restitution prévue au 17.2 est réalisée sans frais dans la limite de la franchise d’assistance prévue au Contrat principal ou, à défaut de stipulation, de quatre (4) heures de travail. Au-delà, toute prestation d’assistance à la migration est facturée au tarif journalier convenu au Contrat principal, sur devis remis dans les cinq (5) jours ouvrés de la demande et accepté. Les modalités de réversibilité opérationnelle excédant cette restitution sont régies par le Contrat principal ; à défaut de stipulation, elles sont celles que les CGV prévoient au titre de la réversibilité et comprennent notamment la remise des accès, des comptes d’administration, des noms de domaine et des certificats nécessaires à la continuité, détenus pour le compte du Responsable de traitement. Le présent paragraphe ne réduit aucune obligation de réversibilité souscrite au Contrat principal ou aux CGV.

17.8 Continuité de la restitution. Le Sous-traitant maintient à jour une documentation d’exploitation permettant la reprise du service par un tiers compétent. Il désigne un intervenant de secours par une délégation de pouvoirs consentie par décision écrite et datée du Président du Sous-traitant. Cette décision définit le périmètre de la délégation — accès aux seuls environnements concernés, actes conservatoires et communication avec le Responsable de traitement, limités aux éléments nécessaires au maintien et à la restitution des Données et des configurations — ainsi que ses conditions d’activation, à savoir l’incapacité du Sous-traitant ou une indisponibilité supérieure à trente (30) jours. Émanant de la société et non de la personne de son Président, la délégation survit à l’empêchement de ce dernier. Le Responsable de traitement en est informé et la décision lui est communiquée sur demande écrite. Il remet au Responsable de traitement, sur demande écrite, les moyens d’accès de secours permettant la récupération des Données, sous pli scellé ou par dépôt dans un coffre-fort dont la libération ne dépend pas de sa seule volonté. En cas de cessation effective d’activité du Sous-traitant, d’incapacité de la personne physique assurant l’exploitation ou d’indisponibilité durable de ses moyens, la restitution prévue au 17.2 est mise en œuvre sans délai ; à défaut, le Responsable de traitement peut la faire exécuter par l’intervenant de secours. L’ouverture d’une procédure collective à l’égard d’une Partie n’emporte ni résiliation de plein droit du présent Accord, ni exigibilité anticipée d’une obligation, et ne constitue pas par elle-même un fait déclencheur au sens du présent paragraphe ; les prérogatives de l’administrateur et du liquidateur d’exiger la poursuite des contrats en cours demeurent réservées, sans préjudice de l’obligation de suppression ou de renvoi des Données. La désignation de cet intervenant, l’adoption de la décision qui lui délègue ces pouvoirs et la constitution du dépôt sont acquises à la date de la présente version.

Article 18 — Obligations du Responsable de traitement

18.1 Le Responsable de traitement s’engage à disposer, pour chaque traitement confié, d’une base juridique valable au sens de l’article 6 du RGPD et, le cas échéant, d’une exception au sens de l’article 9.2, à respecter la Réglementation applicable pour l’ensemble des traitements dont il détermine les finalités et les moyens, et à en justifier sur demande.

18.2 Il informe les Personnes concernées conformément aux articles 12 à 14 du RGPD, recueille et gère les consentements lorsqu’ils sont requis, et répond aux demandes d’exercice de droits qui lui sont adressées.

18.3 Il documente par écrit toute instruction relative au Traitement, dans les formes de l’article 6, et garantit la licéité de ses instructions.

18.4 Il désigne à l’annexe 1 un point de contact protection des données joignable pendant toute la durée de l’Accord et informe le Sous-traitant de tout changement sans retard injustifié. À défaut de contact joignable, les notifications adressées à l’adresse figurant à l’annexe 1 sont réputées valablement délivrées.

18.5 Il ne transmet au Sous-traitant, et ne dépose sur les systèmes exploités par celui-ci, que les Données nécessaires à l’exécution du Contrat principal. Il s’interdit en particulier de placer des données de production dans un environnement de développement, de test ou de démonstration, les jeux d’essai devant être synthétiques ou anonymisés. En miroir de cette obligation, le Sous-traitant s’interdit de conserver une copie de Données sur son poste d’administration au-delà de la durée strictement nécessaire à l’opération en cours.

18.6 Il assure la sécurité des accès qu’il détient sur les systèmes exploités par le Sous-traitant, la gestion et la révocation des habilitations qu’il délivre à ses propres personnels et prestataires, ainsi que la sécurité des équipements depuis lesquels il se connecte.

18.7 Il informe le Sous-traitant lorsqu’il est soumis à des obligations sectorielles particulières, notamment au titre de la directive (UE) 2022/2555 ou du règlement (UE) 2022/2554, afin que les Parties conviennent des modalités de coopération et des délais lui permettant de respecter ses propres obligations de notification. Au regard des critères de taille de l’article 2 de la directive (UE) 2022/2555 et en l’état du droit français à la date de la présente version, la transposition de cette directive n’étant pas intervenue, le Sous-traitant n’est pas qualifié d’entité essentielle ou importante à ce titre. Il informe le Responsable de traitement, sans retard injustifié, de toute évolution de cette qualification résultant de la loi de transposition, d’un acte d’exécution ou de l’évolution de sa propre situation.

18.8 Il demeure pleinement responsable, à l’égard des Personnes concernées et de l’Autorité de contrôle, de la conformité du traitement dont il détermine les finalités et les moyens.

18.9 Données particulières. Le présent paragraphe s’applique lorsque le Contrat principal mentionne, en application du 5.2, que le Traitement porte sur des catégories particulières de données au sens des articles 9 et 10 du RGPD. Le Responsable de traitement garantit alors disposer d’une exception au sens de l’article 9.2 du RGPD ou, s’agissant de données relatives à des condamnations pénales et à des infractions, du fondement exigé par l’article 10. Les Parties conviennent des mesures renforcées suivantes : restriction nominative des accès du Sous-traitant, journalisation renforcée des consultations, pseudonymisation des extraits utilisés à des fins de diagnostic et exclusion de ces données des outils d’assistance à l’exploitation mentionnés à l’annexe 3. Le Responsable de traitement est expressément informé de ce que cette exclusion repose sur une consigne d’usage et non sur une restriction technique, le compte technique de l’outil d’assistance disposant de droits étendus sur le socle du Sous-traitant. En conséquence, le Sous-traitant s’interdit tout recours à cet outil sur les systèmes portant les données visées au présent paragraphe et procède aux diagnostics correspondants sans y recourir. Le Responsable de traitement est en outre informé de ce que le chiffrement des volumes de stockage des systèmes de production n’est pas mis en œuvre à la date de la présente version, dans les conditions du A2.2 et du point 1 du A2.20 de l’annexe 2. Le Traitement de catégories particulières de données n’est engagé qu’après mise en œuvre du chiffrement au repos du volume qui les accueille ou, à défaut, après accord écrit exprès du Responsable de traitement mentionnant expressément cette limite et les mesures compensatoires retenues.

Article 19 — Responsabilité et répartition des dommages

19.1 Chaque Partie répond des dommages causés par le traitement lorsqu’elle n’a pas respecté les obligations du RGPD qui lui incombent en propre, ou lorsqu’elle a agi en dehors des Instructions documentées ou contrairement à celles-ci, conformément à l’article 82.2 du RGPD.

19.2 Lorsque les deux Parties participent au même traitement et sont responsables d’un dommage causé par celui-ci, la charge finale de la réparation est répartie entre elles à hauteur de la part de responsabilité incombant à chacune, conformément à l’article 82.5 du RGPD. La Partie ayant réparé la totalité du dommage dispose d’un recours contre l’autre à hauteur de cette part. Le présent article ne fait pas obstacle au droit des Personnes concernées d’obtenir réparation intégrale de leur préjudice auprès de l’une ou l’autre des Parties, conformément à l’article 82.4 du RGPD.

19.3 Plafond. Dans les rapports entre les Parties, la responsabilité pécuniaire du Sous-traitant au titre du présent Accord et du Contrat principal, toutes causes confondues, est limitée au plafond que stipule le Contrat principal ou, à défaut de stipulation propre, les conditions générales de vente du Prestataire dans leur version incorporée à ce contrat. Les Parties conviennent expressément qu’il n’existe qu’un seul plafond entre elles, celui du Contrat principal, et que le présent Accord n’en ouvre pas un second. Ce plafond est unique et global : il couvre l’ensemble des réclamations formées au titre du présent Accord et du Contrat principal se rapportant à un même fait générateur, sans cumul, et s’applique notamment aux dommages résultant d’un manquement aux Mesures de sécurité, aux obligations de l’article 32 du RGPD ou aux Instructions documentées, y compris au titre du recours prévu au 19.2. Les Parties reconnaissent expressément que ce plafond, eu égard à la nature des prestations, au niveau des prix pratiqués, aux limites déclarées au A2.20 de l’annexe 2 et à la répartition des risques qu’elles ont voulue, préserve la portée de l’obligation essentielle de sécurité au sens de l’article 1170 du Code civil et ne crée aucun déséquilibre significatif au sens de l’article 1171 du même code.

19.4 Exceptions. Ce plafond n’est pas opposable en cas de dol, de faute lourde, de dommage corporel, d’atteinte volontaire à la confidentialité, au titre de la garantie d’éviction de la clause de propriété intellectuelle du Contrat principal, ni dans les cas où la loi interdit la limitation. Les amendes administratives prononcées au titre de l’article 83 du RGPD présentent un caractère personnel : elles demeurent à la charge exclusive de la Partie sanctionnée et ne donnent lieu à aucune prise en charge ni à aucun recours entre les Parties. Le recours prévu au 19.2 ne porte que sur la réparation des dommages causés aux Personnes concernées au sens de l’article 82 du RGPD et s’exerce dans la limite du plafond du 19.3.

19.5 Sont exclus les dommages indirects et immatériels, notamment la perte de chiffre d’affaires, de marge, de clientèle ou d’image, le manque à gagner et la perte de données que le Responsable de traitement n’aurait pas sauvegardées de son côté lorsque la sauvegarde ne relève pas du Contrat principal. Par exception, cette exclusion n’est opposable ni à la réparation du dommage, y compris moral, subi par une Personne concernée au titre de l’article 82 du RGPD, ni au recours entre les Parties organisé au 19.2, qui s’exercent dans la limite du plafond du 19.3.

19.6 Le Sous-traitant déclare être titulaire d’une police d’assurance de responsabilité civile professionnelle souscrite auprès de Hiscox SA, succursale française (49 avenue de l’Opéra, 75002 Paris, RCS Paris 833 546 989), en cours de validité, qu’il maintient pendant toute la durée de l’Accord et dont il justifie sur demande écrite par la production d’une attestation à jour mentionnant les activités garanties, les montants de garantie et la période de validité. Les activités et le champ territorial effectivement couverts sont ceux que mentionne cette attestation ; le Sous-traitant ne souscrit au titre du présent Accord aucune déclaration sur l’étendue de sa garantie autre que celle qui en résulte, ne garantit aucune couverture des risques cybernétiques ni aucune prestation d’assistance en cas de crise cybernétique, et ne prend aucun engagement de prise en charge. La souscription de cette assurance n’emporte aucune extension des plafonds de l’article 19.

19.7 Délai d’action. Par dérogation à toute stipulation contraire du Contrat principal ou des CGV, et en application de l’article 2254 du Code civil, les actions fondées sur le présent Accord, y compris le recours prévu au 19.2, se prescrivent par trois (3) ans à compter du jour où la Partie qui agit a connu ou aurait dû connaître les faits lui permettant d’exercer son action. Le présent délai est sans effet sur les droits que les Personnes concernées tiennent de l’article 82 du RGPD, ni sur les délais de prescription d’ordre public.

Article 20 — Dispositions générales

20.1 Notifications. Sauf stipulation contraire, les notifications prévues au présent Accord sont valablement délivrées par courrier électronique adressé aux points de contact figurant à l’annexe 1, avec demande d’accusé de réception. Celles relatives à la résiliation, à une mise en demeure ou à une objection au sens de l’article 10 sont confirmées par lettre recommandée avec demande d’avis de réception.

20.2 Preuve. Les courriers électroniques, les journaux techniques, les enregistrements de sessions d’administration et les horodatages produits par les systèmes du Sous-traitant font foi entre les Parties, conformément aux articles 1366 et 1367 du Code civil, sous réserve de la preuve contraire. Cette convention de preuve, établie en application de l’article 1356 du Code civil, joue au bénéfice des deux Parties : le Responsable de traitement peut opposer au Sous-traitant les mêmes éléments et, sur demande écrite formée dans le cadre d’un différend, le Sous-traitant lui communique les extraits de journaux, d’enregistrements de sessions et d’horodatages se rapportant aux faits litigieux, dans les limites et selon les modalités alternatives du 15.4. La signature électronique conforme au règlement (UE) n° 910/2014 est admise pour la signature du présent Accord.

20.3 Nullité partielle et non-renonciation. Si l’une des stipulations était déclarée nulle ou inapplicable, les autres conserveraient leur plein effet et les Parties négocieraient de bonne foi une stipulation de remplacement d’effet équivalent. Le fait pour une Partie de ne pas se prévaloir d’un manquement de l’autre ne vaut pas renonciation à s’en prévaloir ultérieurement.

20.4 Cession et langue. L’Accord suit le sort du Contrat principal et ne peut être cédé indépendamment de celui-ci. Il est rédigé en langue française, seule version faisant foi entre les Parties.

Article 21 — Loi applicable et juridiction

21.1 Le présent Accord est régi par le droit français et par la Réglementation applicable.

21.2 Résolution amiable préalable. En cas de différend relatif à la formation, à l’interprétation, à l’exécution ou à la cessation du présent Accord, la Partie la plus diligente en saisit l’autre par écrit, en exposant l’objet du différend et la solution proposée. Les Parties s’efforcent de bonne foi de parvenir à une solution négociée. La tentative amiable est réputée close à l’expiration d’un délai de trente (30) jours à compter de cette saisine écrite, sauf prorogation convenue par écrit. Elle ne fait obstacle ni à la saisine du juge des référés, ni à l’engagement de mesures conservatoires ou probatoires, ni à une procédure d’injonction de payer, ni à l’exercice par une Personne concernée des droits qu’elle tient des articles 77 à 79 du RGPD.

21.3 Attribution de compétence.

21.4 Portée de l’attribution de compétence. L’attribution de compétence du 21.3 est stipulée de façon très apparente et convenue, conformément à l’article 48 du Code de procédure civile, entre des personnes ayant toutes contracté en qualité de commerçant. Lorsque le Responsable de traitement n’a pas la qualité de commerçant, notamment s’il exerce une activité libérale ou agricole, s’il s’agit d’une association ou de toute autre personne morale de droit privé à but non lucratif, cette attribution lui est inopposable et la compétence est déterminée selon les règles de droit commun, sans que cette circonstance n’affecte la validité des autres stipulations du présent Accord. Lorsque le Responsable de traitement est une personne morale de droit public et que le Contrat principal relève du Code de la commande publique, les différends relèvent de la juridiction administrative, ces contrats étant des contrats administratifs en application de l’article L6 de ce code. En cas de cessation, de non-prorogation ou d’incompétence matérielle du Tribunal des activités économiques de Paris, la compétence est attribuée au tribunal de commerce de Paris.

21.5 Les stipulations du présent article sont sans préjudice de la compétence de l’Autorité de contrôle, du droit des Personnes concernées d’introduire une réclamation auprès d’une autorité de contrôle au sens de l’article 77 du RGPD et de leur droit à un recours juridictionnel effectif au sens des articles 78 et 79 du même règlement.

Publié par SANFYTECH, représentée par Cédric SANTIAGO, Président. Le Prestataire conserve un exemplaire figé de chaque version publiée et en délivre copie au Responsable de traitement, sur papier ou sur support durable, sur simple demande.

Annexe 1 — Localisation, instructions documentées et points de contact

La présente annexe est visée aux articles 5 et 6 de l’Accord. Elle est publiée avec lui et n’est pas nominative : les éléments de l’article 28.3 du RGPD sont arrêtés à l’article 5, et ce qui est propre à une affaire figure au Contrat principal, dans les conditions du 5.2.

A1.2 Localisation des données

Emplacement	Pays	Nature
Systèmes de production	France	Centres de données de OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419), situés à Strasbourg, Roubaix et Gravelines (France)
Copie de sauvegarde primaire, chiffrée	Allemagne	Serveur de sauvegarde dédié exploité par le Sous-traitant chez le même hébergeur
Copie de sauvegarde secondaire, chiffrée	France	Site secondaire du Sous-traitant, alimenté par tirage depuis la copie primaire

Le régime applicable est le suivant : sauvegardes chiffrées à la source avant transfert ; copie primaire conservée dans l’Union européenne (Allemagne) et copie miroir conservée en France. Le Responsable de traitement reconnaît avoir été informé de ce que la copie de sauvegarde primaire est située en Allemagne et non en France, et s’engage à répercuter cette information dans sa propre politique de confidentialité lorsqu’il y mentionne la localisation de l’hébergement. Tout changement de localisation de l’un de ces emplacements est notifié avec un préavis de trente (30) jours.

A1.3 Instructions documentées initiales

Le Responsable de traitement donne au Sous-traitant les instructions permanentes suivantes, qui complètent celles résultant du corps de l’Accord et du Contrat principal.

1. Héberger, exécuter, sauvegarder et restaurer les Données dans le cadre des prestations décrites au Contrat principal, et n’en faire aucun autre usage.
2. N’accéder au contenu applicatif que pour une opération d’exploitation, la résolution d’un incident, l’exécution d’une instruction écrite ou une obligation légale, et tracer cet accès.
3. Appliquer les durées de conservation métier fixées par le Responsable de traitement et ne pas les modifier de sa propre initiative.
4. Ne réaliser aucun transfert de Données hors de l’Union européenne en dehors de ceux énumérés à l’annexe 3.
5. Ne transmettre à un outil d’assistance à l’exploitation aucune Donnée au-delà de ce que le diagnostic de l’incident traité rend strictement nécessaire, ni aucun secret d’authentification.
6. Ne pas utiliser les Données pour entraîner, affiner ou évaluer un modèle d’apprentissage automatique, et obtenir des fournisseurs de ses outils l’engagement que les contenus soumis ne sont pas utilisés à cette fin.
7. Transmettre au Responsable de traitement, dans les trois (3) Jours ouvrés, toute demande d’exercice de droits reçue directement, sans y répondre.
8. Notifier toute Violation de données dans les conditions de l’article 14.

A1.4 Points de contact protection des données

Partie	Titulaire	Adresse électronique
Sous-traitant	Cédric SANTIAGO, Président, point de contact protection des données	rgpd@sanfytech.com
Responsable de traitement	Le référent protection des données que désigne le Contrat principal	L’adresse que désigne le Contrat principal
Responsable de traitement, représentant légal	Le signataire du Contrat principal	L’adresse de notification que désigne le Contrat principal

A1.5 Modalités d’assistance à l’exercice des droits

Opération	Moyen mis à disposition par le Sous-traitant	Délai à compter de la demande écrite
Extraction des données d’une Personne concernée	export ciblé depuis la base applicative, remis au format CSV ou JSON par canal sécurisé	dix (10) jours ouvrés
Rectification	exécution de la modification demandée par écrit, avec compte rendu	cinq (5) jours ouvrés
Effacement en base active	exécution de la suppression demandée par écrit, avec compte rendu	cinq (5) jours ouvrés
Limitation	gel technique de l’enregistrement lorsque l’application le permet ; à défaut, information écrite de l’impossibilité et de ses motifs	cinq (5) jours ouvrés
Opposition	prise en compte de l’opposition sur les systèmes exploités pour le compte du Responsable de traitement lorsque l’application le permet ; à défaut, information écrite de l’impossibilité et de ses motifs	cinq (5) jours ouvrés
Portabilité	export des données fournies par la Personne concernée, dans un format structuré, couramment utilisé et lisible par machine, lorsque la structure du système le permet ; à défaut, information écrite de l’impossibilité et de ses motifs	dix (10) jours ouvrés

Les journaux techniques et de sécurité et les jeux de sauvegarde ne permettent pas de recherche unitaire ; leur sort est régi par l’article 17. Toute opération excédant les moyens ci-dessus relève de l’assistance approfondie de l’article 12.4.

Annexe 2 — Mesures techniques et organisationnelles

La présente annexe est visée à l’article 9 de l’Accord. Elle décrit les mesures mises en œuvre au titre de l’article 32 du RGPD à leur état réel à la date de la présente version. Elle décrit ces mesures au niveau des engagements opposables au Responsable de traitement comme dans leur détail technique. Les mesures qui ne sont pas en place sont déclarées comme telles au A2.20.

A2.1 Objet, définitions et portée

A2.1.1 Objet. La présente annexe décrit les mesures techniques et organisationnelles mises en œuvre par SANFYTECH, ci-après le « Prestataire », pour garantir un niveau de sécurité adapté au risque, en application de l’article 32 du Règlement (UE) 2016/679. Elle vaut description des mesures au sens de l’article 28, paragraphe 3, point c) du même règlement. Elle décrit ces mesures à leur état réel à la date de signature : les mesures qui ne sont pas en place sont déclarées comme telles dans le corps de chaque article et, sous forme récapitulative, au A2.20.

A2.1.2 Définitions. « Contrat » : selon le cas, l’accord de sous-traitance conclu en application de l’article 28 du Règlement (UE) 2016/679, ci-après le « DPA », le contrat d’hébergement, le contrat d’infogérance ou tout autre contrat auquel la présente annexe est jointe. « Client » : le cocontractant du Prestataire, responsable de traitement. « Données » : les données à caractère personnel traitées par le Prestataire pour le compte du Client. « Systèmes hébergés » : les serveurs, machines virtuelles, conteneurs et services exploités par le Prestataire pour la fourniture du service. « Zone déléguée » : les systèmes dont le Prestataire fournit l’infrastructure, la couche de virtualisation et le filtrage réseau, mais dont le Client administre lui-même le système invité, ses comptes et ses applications. « Bastion » : le point de passage par lequel le Prestataire authentifie, autorise et enregistre les sessions d’administration humaines. « Frontal » : le point d’entrée unique assurant la terminaison chiffrée et la publication des Systèmes hébergés placés en réseau privé. « Jour ouvré » : tout jour autre que le samedi, le dimanche et un jour férié en France. Lorsque la présente annexe est jointe au DPA, le « Prestataire » s’entend du Sous-traitant et le « Client » du Responsable de traitement au sens de ce document.

A2.1.3 Nature de l’obligation. Les obligations de sécurité du Prestataire sont des obligations de moyens renforcées. Le Prestataire ne garantit ni l’absence de vulnérabilité dans les composants logiciels qu’il exploite, ni l’invulnérabilité des Systèmes hébergés, ni l’impossibilité d’un accès non autorisé. La présente annexe ne crée aucun régime de responsabilité distinct de celui du Contrat : la réparation d’un manquement à l’une des mesures qu’elle décrit obéit aux stipulations de responsabilité du Contrat et, pour les Données, à celles du DPA, y compris quant au plafond convenu, à son caractère unique et global et aux exceptions qui lui sont opposables. Conformément à l’article 1170 du Code civil, aucune de ces stipulations ne peut priver de sa substance l’obligation essentielle de sécurité du Prestataire.

A2.1.4 Sincérité et évolutions. Chaque déclaration de sécurité du Prestataire, y compris en réponse à un questionnaire fournisseur, est appuyée sur un élément de preuve daté qu’il communique à première demande ; à défaut, il déclare l’état réel de la mesure. Il informe le Client par écrit de toute évolution défavorable d’une mesure décrite ci-après, sans retard injustifié lorsque cette évolution crée un risque immédiat pour la sécurité des Données du Client, et en indiquant la mesure de substitution mise en œuvre dans l’intervalle. Le Prestataire ne détient aucune certification ni qualification de sécurité et ne s’en prévaut pas.

A2.1.5 Portée et révision. La présente annexe constitue l’annexe 2 du DPA ; le document « Annexe. Mesures techniques et organisationnelles de sécurité » en reproduit le texte à l’identique lorsqu’il est joint à un autre contrat, sans pouvoir en réduire la portée. En cas de contradiction avec le corps du DPA, celui-ci prévaut ; en cas de divergence avec ses autres annexes, la stipulation la plus favorable au Client prévaut. À défaut de DPA, la présente annexe s’interprète conformément au contrat auquel elle est jointe et, à titre supplétif, aux conditions générales de vente du Prestataire accessibles à l’adresse https://www.sanfytech.com/legal/cgv. Le Prestataire ne peut se prévaloir de l’absence de DPA pour refuser au Client l’exercice des droits que lui reconnaît l’article 28, paragraphe 3 du Règlement (UE) 2016/679. La présente annexe ne crée aucun engagement de disponibilité ni aucune garantie de temps d’intervention ou de rétablissement : de tels engagements figurent, le cas échéant, aux seules conditions particulières du contrat et à l’annexe relative aux niveaux de service. Elle est actualisée avant chaque signature à laquelle elle est jointe et à chaque changement structurant d’architecture, de fournisseur ou de niveau de risque.

A2.2 Gouvernance, organisation et dérogations

A2.2.1 Organisation. Le Prestataire est une structure de petite taille dont l’exploitation repose sur un nombre restreint d’intervenants ; le nombre de personnes physiques habilitées est structurellement restreint. Il n’a pas désigné de délégué à la protection des données, aucune des conditions de l’article 37, paragraphe 1 du Règlement (UE) 2016/679 n’étant réunie : il n’est ni une autorité publique ni un organisme public, ses activités de base ne consistent ni en un suivi régulier et systématique à grande échelle des personnes concernées, ni en un traitement à grande échelle de données visées aux articles 9 et 10 du même règlement. Il désigne un point de contact unique en matière de sécurité et de protection des données, joignable à l’adresse rgpd@sanfytech.com. Écarts déclarés : ni séparation des tâches, ni double validation, ni fonction d’audit interne indépendante.

A2.2.2 Absence de certification et d’audit externe. Le Prestataire ne détient aucune certification, qualification ni homologation de sécurité délivrée par un organisme tiers. Les évaluations de sa posture de sécurité sont des auto-évaluations outillées ; elles ne valent ni audit indépendant, ni test d’intrusion, ni homologation. Écart déclaré : aucun audit indépendant et aucun test d’intrusion externe n’a été réalisé.

A2.2.3 Positionnement réglementaire. À la date de la présente annexe, la directive (UE) 2022/2555 n’a pas fait l’objet d’une transposition en droit français. Au regard des critères de taille de son article 2, le Prestataire n’entre pas dans le champ des entités essentielles ou importantes et n’entre pas davantage dans les catégories que ce texte y soumet indépendamment de leur taille. Il informe le Client de tout changement de son statut d’assujettissement dans un délai de trente (30) jours à compter de l’entrée en vigueur du texte de transposition ou de la modification de sa situation. Il est pleinement soumis au Règlement (UE) 2016/679 en qualité de sous-traitant.

A2.2.4 Dérogations. Toute dérogation aux mesures décrites est écrite, motivée, assortie d’une mesure compensatoire, datée, et porte une date de réexamen à douze (12) mois au plus ; passée cette date sans réexamen, elle est caduque et la mesure redevient pleinement applicable. Le registre des dérogations est communiqué au Client sur demande écrite.

A2.3 Contrôle d’accès et gestion des habilitations

A2.3.1 Habilitations. Les droits d’accès aux Systèmes hébergés sont attribués selon les principes du besoin d’en connaître et du moindre privilège. Les environnements de chaque client sont cloisonnés dans des rôles qui leur sont propres, sans visibilité sur les environnements des autres clients ni sur le socle d’infrastructure du Prestataire, cette exclusivité étant vérifiée cible par cible et documentée ; elle porte sur les habilitations et non sur les flux réseau entre invités. Les comptes techniques de sauvegarde et de virtualisation sont cantonnés à un rôle de moindre privilège, sans droit de modification de configuration.

A2.3.2 Cycle de vie d’un accès. Tout départ ou changement de fonction donne lieu à la fermeture des accès correspondants sur l’ensemble des systèmes d’identité du Prestataire.

A2.3.3 Imputation. L’accès humain est nominatif jusqu’au Bastion, qui enregistre la session ; l’imputation des actions repose sur cet enregistrement. Écarts déclarés : un compte d’administration système partagé subsiste sur une partie des systèmes, compensé par l’authentification par clé exclusive, par l’enregistrement des sessions et par l’alerte sur usage de l’accès de secours ; les comptes humains d’administration disposent de droits étendus sur le socle exploité par le Prestataire, le principe du moindre privilège ne leur étant pas généralisé.

A2.4 Authentification

A2.4.1 Accès techniques. L’accès aux Systèmes hébergés s’effectue exclusivement par protocole chiffré, avec authentification par clé cryptographique de type ed25519, l’authentification par mot de passe étant refusée par la configuration de l’ensemble des serveurs administrés du périmètre du Client, déployée par automate au moyen d’un fichier unique. Le jeu d’algorithmes est homogène sur la flotte et inclut un échange de clés hybride résistant à l’analyse quantique. Le Prestataire n’utilise à aucun titre le message texte, l’appel vocal ou les questions secrètes comme facteur d’authentification.

A2.4.2 Authentification à plusieurs facteurs. Écart déclaré : aucun système d’administration du Prestataire n’impose de second facteur. La compensation retenue est l’authentification exclusive par clé cryptographique, la restriction d’origine du Bastion et l’enregistrement des sessions.

A2.4.3 Mots de passe. La politique du Prestataire retient les longueurs minimales suivantes : quinze (15) caractères pour les comptes du socle, quatorze (14) pour les comptes de service, douze (12) pour un compte sans privilège, vingt-quatre (24) caractères aléatoires pour un secret non mémorisé et une phrase de passe d’au moins sept (7) mots pour la protection d’une clé privée.

A2.4.4 Applications développées pour le Client. Le Prestataire impose que les mots de passe des utilisateurs finaux soient conservés sous forme d’empreinte produite par une fonction de dérivation à coût mémoire de type Argon2id, avec un sel aléatoire unique par compte d’au moins cent vingt-huit (128) bits, à l’exclusion de toute empreinte simple ou de tout encodage réversible. Cette règle s’applique à toute application développée ou reprise par le Prestataire. Écart déclaré : sa vérification application par application n’est pas acquise sur les applications déjà livrées.

A2.4.5 Accès de secours. Un mécanisme d’accès de secours indépendant du Bastion est déposé sur les machines exposées, sa clé privée étant conservée hors ligne ; les conteneurs systèmes en sont exclus par décision documentée et disposent d’un chemin de secours par la console de la plate-forme de virtualisation. Chaque usage déclenche une règle de détection de niveau élevé et un compte rendu écrit.

A2.5 Gestion des secrets

A2.5.1 Coffre-fort. Les secrets d’exploitation, soit les mots de passe techniques, les jetons et les clés, sont conservés dans un coffre-fort auto-hébergé qui en constitue la source unique et sont injectés aux applications à l’exécution ; aucun secret n’est écrit dans un dépôt de code, dans une image de conteneur ou dans un fichier de configuration versionné.

A2.5.2 Exposition. Toute apparition d’un secret hors du coffre-fort, même interne et même brève, est qualifiée d’incident de sécurité : le secret est renouvelé sans attendre, le support est détruit et l’événement est tracé, le masquage dans une sortie ne dispensant jamais du renouvellement.

A2.5.3 Séquestre. Les clés de chiffrement des sauvegardes sont déposées en séquestre dans le coffre-fort, distinct du dépôt de sauvegarde et de son site secondaire. Écart déclaré : la clé protégeant les sauvegardes du cluster de virtualisation n’est pas déposée en séquestre ; sa perte rendrait les sauvegardes correspondantes irrécupérables.

A2.6 Administration par bastion et traçabilité

A2.6.1 Chemin d’administration. L’administration des Systèmes hébergés s’effectue par un Bastion dédié, hébergé hors du cluster qu’il administre, qui opère un rebond en coupure et enregistre chaque session. Ce Bastion n’est joignable depuis aucune adresse extérieure à la liste d’autorisation du Prestataire, ce qui a été vérifié depuis un hôte tiers étranger à cette liste : les services d’administration y sont sans réponse. Les flux d’administration sont chiffrés et authentifiés de bout en bout ; aucun protocole d’administration en clair n’est utilisé.

A2.6.2 Chemins parallèles. Écart déclaré : des connexions directes non enregistrées subsistent depuis les origines déclarées par le Prestataire ; l’exhaustivité de l’enregistrement des sessions d’administration n’est pas garantie.

A2.6.3 Traçabilité. Les authentifications, les élévations de privilège et les modifications des fichiers de clés d’accès sont journalisées et centralisées, avec une surveillance d’intégrité en temps réel des fichiers de clés autorisées. Les enregistrements de sessions d’administration constituent, pour le Client, un élément de preuve au titre de l’article 28, paragraphe 3, point h) du Règlement (UE) 2016/679. Les extraits le concernant lui sont communiqués sur demande écrite, expurgés des éléments relatifs aux autres clients, des secrets d’authentification, des adresses techniques internes et de tout élément dont la remise augmenterait la surface d’attaque du système d’information du Prestataire ; lorsque l’expurgation prive l’extrait de sa portée probante, le Prestataire y substitue une attestation circonstanciée ou une consultation en séance sans remise de document. Les personnes dont les sessions sont enregistrées sont informées de l’existence, des finalités et de la durée de conservation de ce traitement. Écart déclaré : aucune durée de conservation n’est fixée pour ces enregistrements et aucun engagement de profondeur d’historique n’est souscrit.

A2.6.4 Automates et poste d’administration. Les traitements automatisés de déploiement, de sauvegarde et de supervision disposent chacun d’une identité et d’une clé propres, restreintes à l’origine de l’automate et, lorsque la commande est fixe, à cette seule commande ; aucune clé humaine n’est utilisée par un automate. Écart déclaré : le poste d’administration n’est pas un poste dédié et durci, il sert également à la navigation et au développement et son disque n’est pas chiffré.

A2.7 Cloisonnement réseau et filtrage

A2.7.1 Cloisonnement. Les Systèmes hébergés pour le compte du Client sont placés dans un réseau privé dépourvu d’adressage public et ne sont pas joignables directement depuis Internet : leur publication s’effectue par le Frontal, qui assure la terminaison chiffrée, le filtrage des chemins de reconnaissance connus et l’application des règles de réputation d’adresses. Le principe retenu est « une application, une machine », un service par conteneur. Le cloisonnement entre les environnements des différents clients repose sur l’absence d’adressage public des machines du réseau privé, sur ce principe et sur les rôles d’accès distincts décrits au A2.3.1.

A2.7.2 Filtrage. Toute machine dotée d’une adresse publique gouvernée par le Prestataire porte, au niveau de la couche de virtualisation, une politique d’entrée en rejet explicite, dont la concordance avec les règles effectivement chargées dans le noyau est vérifiable et vérifiée. Écart déclaré : le réseau privé n’est pas segmenté par des règles de filtrage entre invités et le pare-feu local n’est pas déployé de manière homogène sur l’ensemble des hôtes.

A2.7.3 Zone déléguée. Le filtrage au niveau de la couche de virtualisation incombe au Prestataire y compris lorsque le Client administre lui-même le système invité. Écart déclaré : ce filtrage n’est pas effectif sur l’intégralité de la Zone déléguée, et aucun filtrage n’est appliqué au niveau de l’opérateur amont ; pour ces machines, le Prestataire ne garantit pas l’absence d’exposition directe sur Internet d’un service applicatif, d’administration ou de base de données. Toute modification de filtrage susceptible d’affecter la disponibilité d’un service du Client requiert son accord écrit préalable : le Prestataire lui adresse à cette fin la liste des règles envisagées et le Client dispose de dix (10) Jours ouvrés pour l’accepter ou la refuser par écrit ; à défaut de réponse dans ce délai, l’accord est réputé donné. En cas de refus, l’écart demeure, le Prestataire en consigne le motif au registre des dérogations prévu au A2.2.4 et le Client supporte le risque résiduel d’exposition, dont il déclare avoir été informé. Par exception, le Prestataire peut appliquer sans accord préalable une règle de filtrage rendue nécessaire par une attaque en cours ou par une vulnérabilité en cours d’exploitation, dans les conditions du A2.13.2.

A2.7.4 Filtrage applicatif et formulaires. Un moteur de détection d’intrusion exploité en mode autonome alimente le blocage des origines malveillantes ; il s’exécute sur l’infrastructure du Prestataire et n’émet aucun signal vers un tiers. Un pare-feu applicatif est déployé sur les frontaux ; écart déclaré : il fonctionne en mode blocage sur une partie d’entre eux et en détection seule sur les autres, par décision datée inscrite au registre des dérogations. Les formulaires publics des sites développés ou exploités par le Prestataire sont protégés contre l’abus automatisé par un mécanisme auto-hébergé, sans cookie et sans transfert hors Union européenne.

A2.8 Chiffrement en transit et au repos

A2.8.1 En transit. L’ensemble des services publiés pour le compte du Client est accessible exclusivement par un canal chiffré, en version 1.2 au minimum du protocole de sécurité de la couche de transport, avec des certificats valides renouvelés automatiquement ; les flux d’administration sont chiffrés et authentifiés de bout en bout.

A2.8.2 Nommage. Écart déclaré : la signature cryptographique des zones de noms de domaine, la restriction des autorités de certification et la politique stricte de sécurité du transport de courrier ne sont pas activées, cette dérogation étant motivée par le risque d’indisponibilité résultant d’une signature orpheline et inscrite au registre des dérogations.

A2.8.3 Sauvegardes. Les sauvegardes des Données sont chiffrées par le Prestataire avant leur transmission au dépôt de sauvegarde et à sa copie secondaire ; les clés ne sont détenues par aucun exploitant de dépôt.

A2.8.4 Volumes de production. Écart déclaré : les volumes de stockage des systèmes de production et du poste d’administration ne sont pas chiffrés au repos. Le risque est atténué par le cloisonnement décrit au A2.7, par le filtrage des systèmes exposés, par le chiffrement des sauvegardes et par la sécurité physique des supports, assurée par OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419) dans ses centres de données situés dans l’Union européenne.

A2.9 Journalisation, supervision et détection

A2.9.1 Collecte. Le Prestataire collecte et centralise les journaux de sécurité de l’ensemble des systèmes qu’il administre : authentifications, élévations de privilège, actions d’administration, accès au Frontal, événements du fournisseur d’identité et de la plate-forme de virtualisation. La collecte est assurée par un agent installé sur chaque hôte, dont le déploiement est une condition de mise en production, et une surveillance d’intégrité en temps réel porte sur les fichiers de clés d’accès.

A2.9.2 Protection. Les journaux sont conservés de manière ségrégée du système principal, sur une machine dédiée et cloisonnée dont les ports de collecte sont restreints à des sources nommées ; les agents disposent d’un droit d’écriture seule et aucun compte applicatif ne peut supprimer un journal. Aucun secret, aucun élément d’authentification et aucune donnée relevant de l’article 9 du Règlement (UE) 2016/679 n’est écrit dans un journal, qui porte la référence de la donnée concernée et non son contenu.

A2.9.3 Durées de conservation. La politique appliquée est la suivante : événements de sécurité centralisés, douze (12) mois ; journaux système locaux, six (6) mois ; journaux d’accès du Frontal, environ quatorze (14) jours, selon la rotation configurée. Ces durées s’inscrivent dans la fourchette de six mois à un an recommandée par la Commission nationale de l’informatique et des libertés en matière de journalisation. Cette politique est appliquée depuis le 2 septembre 2026 et la profondeur d’historique effectivement disponible croît depuis cette date : aucun engagement de profondeur antérieure n’est souscrit et le Prestataire communique sur demande le relevé de la profondeur réellement disponible. Les journaux rattachés à une violation de données ou à un contentieux sont extraits de la purge et conservés cinq (5) ans à compter de la clôture du dossier.

A2.9.4 Supervision et détection. Le Prestataire assure une supervision automatisée permanente de la disponibilité des Systèmes hébergés au moyen de sondes et de collecteurs de métriques, avec notification automatique vers des points de contact opérationnels. Il exploite une plate-forme de détection couvrant l’ensemble des hôtes qu’il administre, dotée de règles de corrélation dédiées notamment à l’usage de l’accès de secours et à la modification des fichiers de clés d’accès.

A2.9.5 Alerte. Les alertes de sécurité de gravité élevée sont acheminées automatiquement vers un canal de notification des intervenants techniques du Prestataire, et aucune sortie de notification ne peut être désactivée sans date de réactivation écrite. Cet acheminement technique ne constitue ni un engagement de délai d’alerte, ni un engagement de prise en charge humaine, ni une astreinte. Le Prestataire ne revendique aucune surveillance humaine continue : la portée de son engagement de notification est celle définie à l’article 14.2 de l’accord de sous-traitance. Des extraits des journaux concernant le Client lui sont communiqués sur demande écrite, ainsi qu’aux autorités de contrôle et aux équipes de réponse à incident dans le cadre d’une notification ou d’une réquisition.

A2.10 Gestion des vulnérabilités et des correctifs

A2.10.1 Veille et suivi. Le Prestataire assure une veille quotidienne, les Jours ouvrés, des avis de l’autorité nationale compétente et des publications des éditeurs des composants qu’il exploite. Les hôtes administrés sont enrôlés dans un outil de gestion de parc qui remonte l’état des correctifs, produit un rapport périodique, signale tout hôte muet et alerte lorsqu’un correctif de sécurité reste en attente.

A2.10.2 Délais de correction. Le Prestataire applique les correctifs de sécurité selon les délais suivants, décomptés à compter de la mise à disposition du correctif par l’éditeur, ou de la publication de l’avis de l’autorité nationale si elle est antérieure.

Sévérité effective	Système exposé à Internet	Système en réseau privé
Critique	72 heures	7 jours
Haute	7 jours	30 jours
Moyenne	30 jours	90 jours
Basse	90 jours	dès la fenêtre d’intervention suivante

La sévérité effective est déterminée par la gravité intrinsèque, relevée d’un niveau en cas d’exploitation observée ou de probabilité d’exploitation élevée, et pondérée par l’exposition réelle du système. Le fournisseur d’identité, le Bastion, le coffre-fort de secrets et le Frontal relèvent d’office du régime des systèmes exposés à Internet, le délai applicable étant plafonné à sept (7) jours quelle que soit la sévérité, sans que ce plafond puisse allonger un délai plus court. Ces délais s’appliquent aux vulnérabilités portées à la connaissance du Prestataire à compter de la date d’effet du Contrat ; les vulnérabilités antérieurement identifiées, constituées pour l’essentiel de composants pour lesquels aucun correctif n’est publié en amont, font l’objet d’un plan de résorption dont l’état d’avancement est communiqué au Client sur demande écrite.

A2.10.3 Absence de correctif. Lorsqu’aucun correctif n’est publié en amont, le Prestataire met en œuvre une mesure d’atténuation sans délai si la vulnérabilité est exploitée, et consigne le risque résiduel par écrit au registre des dérogations. Le Prestataire ne garantit pas l’absence de vulnérabilité dans les composants tiers qu’il déploie.

A2.10.4 Chaîne d’approvisionnement. Les correctifs et outils installés proviennent exclusivement des dépôts officiels des éditeurs, avec vérification des signatures, ou d’une publication officielle dont l’empreinte cryptographique est vérifiée ; aucun outil n’est installé par exécution directe d’un script téléchargé ni par ajout d’un dépôt tiers non signé.

A2.10.5 Zone déléguée. Le Prestataire signale par écrit au Client, dans un délai de trois (3) Jours ouvrés, toute vulnérabilité portée à sa connaissance affectant un système invité que le Client administre, avec la mesure recommandée, et applique le cas échéant une mesure compensatoire au niveau de l’infrastructure. Il n’assure ni la supervision, ni le suivi des correctifs, ni la détection des incidents à l’intérieur de ce système.

A2.11 Durcissement des systèmes et sécurité physique

A2.11.1 Socle. Les Systèmes hébergés reposent sur un socle unique, provisionné et maintenu par automatisation, toute machine hors socle constituant une exception documentée. Le service d’accès distant est durci par un fichier de configuration unique déployé sur l’ensemble de la flotte, refusant l’authentification par mot de passe et la connexion directe en compte système par mot de passe.

A2.11.2 Conteneurs. Les règles d’exécution prévoient un réseau dédié par application, l’interdiction de monter un répertoire sensible de l’hôte, la limitation des capacités, une racine en lecture seule lorsque l’application le permet, des limites de mémoire et de processeur exprimées en valeurs absolues et jamais en pourcentage, ainsi que des journaux exportés et plafonnés. Écart déclaré : ces règles ne sont pas généralisées à l’ensemble du parc et des étiquettes d’image mutables subsistent en production.

A2.11.3 Sécurité physique et environnementale. Le Prestataire n’exploite aucun centre de données en propre. Les Systèmes hébergés s’exécutent sur des serveurs installés dans les centres de données de OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419), situés à Strasbourg, Roubaix et Gravelines (France) : le contrôle d’accès physique aux locaux, la sûreté du site, l’alimentation électrique, le refroidissement et la mise au rebut des supports relèvent de cet hébergeur, dont les engagements figurent à ses propres conditions et sont communiqués au Client sur demande. Le site sur lequel est constituée la copie secondaire des sauvegardes est placé sous le contrôle exclusif du Prestataire, en France, et ne reçoit que des Données chiffrées dont le Prestataire détient seul les clés ; il est situé dans un local fermé, dont l’accès est restreint aux seules personnes habilitées nommément, le support de stockage y est dédié à ce seul usage et aucun service n’y est exposé sur Internet. Les Parties reconnaissent expressément que ce site n’est pas un centre de données professionnel et qu’il ne bénéficie ni d’une alimentation électrique secourue, ni d’un dispositif de détection et d’extinction d’incendie, ni d’un contrôle d’accès physique tracé ; le risque correspondant est atténué par le chiffrement des Données, par le caractère seulement secondaire de cette copie et par la conservation de la copie primaire dans un centre de données de OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419). Écart déclaré : ce site n’est pas raccordé à la plate-forme de détection du parc.

A2.12 Sauvegardes, restauration et continuité

A2.12.1 Fréquence et chiffrement. L’ensemble des Systèmes hébergés fait l’objet d’une sauvegarde quotidienne automatisée exécutée en dehors des heures ouvrées, les bases de données donnant lieu à un export applicatif cohérent produit avant la sauvegarde d’image. Les sauvegardes sont chiffrées avant transmission et l’exploitant du dépôt ne détient aucune clé de déchiffrement. Modalités de localisation : sauvegardes chiffrées à la source avant transfert ; copie primaire conservée dans l’Union européenne (Allemagne) et copie miroir conservée en France.

A2.12.2 Immuabilité relative. Les systèmes de production disposent d’un droit de dépôt et de relecture sur le dépôt de sauvegarde, à l’exclusion de tout droit de suppression, ce refus ayant été vérifié en conditions réelles : la compromission d’un système de production ne permet donc pas d’effacer ses propres sauvegardes. La copie secondaire est constituée par tirage à l’initiative du site secondaire, sans qu’aucun accès du dépôt vers ce site ne soit possible. Écart déclaré : aucune copie hors ligne ni immuable n’est constituée.

A2.12.3 Vérification. L’intégrité des sauvegardes est vérifiée par un contrôle automatisé quotidien, le délai de détection d’une altération étant inférieur à vingt-quatre (24) heures pour un jeu de sauvegarde nouvellement créé ; les purges sont automatisées. Les rapports sont communiqués au Client sur demande écrite.

A2.12.4 Rétention. La rétention appliquée aux systèmes de production est d’au moins sept (7) sauvegardes quotidiennes, deux (2) hebdomadaires et une (1) mensuelle, soit une profondeur d’environ cinq (5) semaines.

A2.12.5 Restauration. La restauration s’effectue vers un environnement neuf, sans écraser l’environnement d’origine, afin de permettre un contrôle contradictoire avant remise en service. Une restauration complète d’une machine virtuelle a été réalisée avec succès le 7 août 2026, en deux cent quarante et une (241) secondes, ainsi qu’une restauration en mode fichier dont l’empreinte du contenu restauré était identique à l’originale. Ce fait est mentionné à titre de preuve de capacité et ne constitue aucun engagement de délai de restauration. Écarts déclarés : le Prestataire ne souscrit aucun programme de tests de restauration périodiques et aucune restauration depuis la copie secondaire n’a été éprouvée.

A2.12.6 Isolation d’urgence. En cas de suspicion de compromission, le Prestataire met en œuvre une procédure écrite d’isolation du système de sauvegarde : suspension des synchronisations, révocation des jetons de dépôt des sources suspectées, restriction du filtrage du dépôt et suspension des purges. Écart déclaré : cette procédure n’a pas été éprouvée en exercice.

A2.12.7 Redondance et continuité. Les Systèmes hébergés s’exécutent sur l’infrastructure décrite aux conditions particulières du Contrat. Lorsque celles-ci prévoient un cluster de virtualisation réparti sur plusieurs serveurs physiques, les ressources d’un serveur défaillant sont relancées sur un serveur survivant à partir de leur réplique périodique ; à défaut d’une telle stipulation, aucune redondance matérielle n’est fournie et la reprise s’effectue par restauration d’une sauvegarde. Les Parties reconnaissent expressément que ce mécanisme constitue une reprise automatisée avec interruption, et non une continuité de service sans interruption : aucune garantie de bascule transparente, de reprise sans coupure ou de répartition active entre plusieurs sites n’est consentie. Le Prestataire ne garantit aucun délai de restauration chiffré et ne souscrit aucun objectif de reprise ni de perte de données maximale admissible en dehors d’une annexe au contrat principal signée à cet effet. Écarts déclarés : aucun test de bascule n’a été conduit ; il n’existe aucun plan de continuité et de reprise d’activité formalisé, ni aucun objectif chiffré de perte de données maximale admissible ou de durée maximale d’interruption admissible.

A2.12.8 Dépendances. Écart déclaré : le calcul, la résolution de noms, l’enregistrement des noms de domaine et une partie des sauvegardes reposent sur un fournisseur d’infrastructure unique, OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419), et la voie d’acheminement du courrier électronique du Prestataire repose également sur un fournisseur unique.

A2.12.9 Indisponibilité du Prestataire. Le Prestataire maintient, hors ligne et hors de son système d’information, un dossier de reprise comportant les coordonnées de ses fournisseurs critiques, la localisation des moyens de déchiffrement des sauvegardes, la procédure d’accès de secours, l’ordre de rétablissement des services et la liste des contacts clients. Il désigne un intervenant de secours par une délégation de pouvoirs consentie par décision écrite et datée du Président de la société, qui en définit le périmètre — accès aux seuls environnements concernés, actes conservatoires et communication avec le Client, limités aux éléments nécessaires au maintien et à la restitution des Données et des configurations — ainsi que ses conditions d’activation, au premier rang desquelles l’incapacité du Prestataire ou son indisponibilité durable. Émanant de la société et non de la personne de son Président, cette délégation survit à l’empêchement de ce dernier. Le Client en est informé et la décision lui est communiquée sur demande écrite. Il remet au Client, sous pli scellé ou par dépôt dans un coffre convenu entre les Parties, les seuls éléments nécessaires à la récupération des Données du Client et à la reprise des services qui lui sont propres : moyens d’accès de secours aux Systèmes hébergés qui lui sont dédiés, moyens de déchiffrement des sauvegardes le concernant, codes de transfert de ses noms de domaine et clés privées de ses certificats. Aucun identifiant, jeton ou moyen d’accès au compte du Prestataire auprès de OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419), ni à un système mutualisé hébergeant les données d’autres clients, n’est remis au Client : l’accès à l’infrastructure amont est, le cas échéant, exercé par l’intervenant de secours. Ce dépôt est mis à jour à chaque modification substantielle des accès concernés.

A2.13 Développement, chaîne logicielle et gestion des changements

A2.13.1 Chaîne de livraison. Le code source des applications développées par le Prestataire réside dans une forge qu’il auto-héberge. La construction des images est réalisée par un exécuteur d’intégration continue qui ne détient aucune clé d’accès aux systèmes de production : il publie l’image dans un registre interne et déclenche un contrôleur de déploiement par une commande contrainte. Le déploiement porte sur une référence de version exacte, jamais sur une branche, et n’est réputé réussi qu’après un contrôle de bonne santé bloquant du service. Écart déclaré : le Prestataire ne revendique ni revue de code obligatoire, ni analyse de sécurité automatisée du code, ni fourniture systématique d’un inventaire de composants.

A2.13.2 Confirmation préalable et information du Client. Toute intervention modifiant un Système hébergé du Client ou une application qui lui est destinée est subordonnée à une confirmation humaine explicite et préalable. Cette confirmation est donnée par une personne, jamais par un automate, jamais déduite d’un silence, porte sur un changement nommé et borné, et est consignée avec son horodatage. Elle est celle d’un intervenant habilité du Prestataire et ne se confond ni avec l’information du Client, ni avec son accord préalable, qui n’est requis que dans les cas où la présente annexe ou le Contrat le stipule expressément. Le Client est informé au minimum cinq (5) Jours ouvrés avant tout changement structurant affectant son service, avec la nature du changement, la fenêtre d’intervention, l’interruption attendue et le point de contact. Par exception, l’application d’un correctif de sécurité dans les délais du A2.10.2, la mise en œuvre d’une mesure d’atténuation au sens du A2.10.3 et l’exécution d’une mesure conservatoire peuvent être conduites sans confirmation ni information préalables lorsque l’urgence l’impose ; le Client en est alors informé, avec le résultat de l’intervention et le motif de la dérogation, au plus tard le Jour ouvré suivant.

A2.13.3 Retour arrière et traçabilité. Aucun changement n’est exécuté sans que sa méthode de retour arrière, son point de retour et sa durée estimée n’aient été déterminés et vérifiés au préalable. Tout changement structurant est précédé d’une sauvegarde dont le succès est vérifié. Un changement dont le contrôle de bonne santé échoue donne lieu à un retour arrière immédiat, sans correction en avant sur la production. Le Prestataire consigne chaque intervention avec sa date, son objet, son motif, les systèmes concernés, la méthode de retour arrière, la confirmation obtenue et le résultat ; les entrées concernant le Client lui sont communiquées sur demande écrite.

A2.13.4 Données de test. Aucune donnée de production, et en particulier aucune Donnée, n’est utilisée en environnement de développement, de test ou de préproduction : les jeux d’essai sont synthétiques ou anonymisés. Écart déclaré : le Prestataire ne dispose pas d’un environnement de préproduction complet, la mesure compensatoire consistant à réaliser les essais sur un système restauré depuis une sauvegarde.

Écart résorbé. Une copie de travail d’une base exploitée pour un Client a existé hors de l’environnement de production, sur un poste d’administration. Elle est demeurée chiffrée en permanence, aucune extraction en clair n’ayant été réalisée. Le service et ses volumes ont été supprimés et l’absence de toute autre copie a été vérifiée. La règle applicable est désormais celle du premier alinéa du présent paragraphe : les environnements de développement, de mise au point et d’essai sont reconstitués sur des jeux de données ne comportant aucune donnée réelle.

A2.13.5 Composants et cryptographie. Les mécanismes de protection contre l’abus des formulaires et de mesure d’audience mis en œuvre sur les sites du Client sont auto-hébergés, dépourvus de cookie et ne donnent lieu à aucun transfert hors Union européenne, la mesure d’audience anonymisant l’adresse de connexion. Les données d’audience des différents sites ne sont pas recoupées et chaque éditeur n’accède qu’aux statistiques de son propre site, à l’exclusion de celles de tout autre. Le Prestataire opère cette mesure en qualité de sous-traitant, sur instruction documentée du Client et pour le compte exclusif de celui-ci. Le Client demeure responsable de traitement pour la mesure d’audience réalisée sur son site : il lui appartient d’apprécier, au regard de l’article 82 de la loi n° 78-17 du 6 janvier 1978 et des lignes directrices de la Commission nationale de l’informatique et des libertés, si la configuration retenue relève de l’exemption de consentement, et d’assurer en conséquence l’information des personnes concernées ainsi que, le cas échéant, le recueil de leur consentement. Le Prestataire ne garantit pas que la configuration livrée soit exemptée de consentement ; il communique au Client, sur demande écrite, le paramétrage effectif, les données collectées et leur durée de conservation. Les mécanismes cryptographiques ne sont jamais réimplémentés, seules des bibliothèques reconnues et maintenues étant employées.

A2.13.6 Protection des données dès la conception. Toute application développée ou reprise par le Prestataire pour le compte du Client fait l’objet, avant sa mise en production, d’une description du parcours des Données qu’elle traite et d’une limitation des champs collectés au strict nécessaire au regard de l’article 5, paragraphe 1, point c) du Règlement (UE) 2016/679. Le Prestataire met en œuvre techniquement, par une purge programmée, les durées de conservation que le Client lui indique, et ménage la possibilité de satisfaire une demande d’exercice des droits sans intervention manuelle en base de données.

A2.14 Cycle de vie des systèmes, fin de vie et effacement

A2.14.1 Mise en service. Aucun système n’entre en production sans avoir été rattaché à l’ensemble des dispositifs obligatoires du Prestataire : Bastion, automatisation de configuration, collecte de journaux, gestion des correctifs, métrologie, supervision de disponibilité assortie d’une notification, sauvegarde, résolution de noms interne et documentation d’inventaire. Le socle d’une machine neuve prévoit le dépôt des clés d’accès sur un compte non privilégié, le verrouillage du mot de passe du compte système et le rangement du secret de console au coffre-fort.

A2.14.2 Décommissionnement. Le retrait d’un système donne lieu au retrait de la publication, à l’arrêt de la surveillance, à la fermeture des accès, à la destruction du système et à l’effacement des traces résiduelles, suivis d’un contrôle de disparition et d’un compte rendu daté. La décision relative au sort des sauvegardes est prise expressément et par écrit, l’absence de décision équivalant à une conservation. Écart déclaré : des données résiduelles de systèmes antérieurement retirés subsistent ; les supports des serveurs sont au demeurant sous le contrôle physique de OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419) et soumis à ses procédures de mise au rebut.

A2.14.3 Fin du Contrat. Au terme de la prestation, quelle qu’en soit la cause, le Client notifie au Prestataire son choix entre la restitution de l’intégralité des Données le concernant et leur destruction, conformément à l’article 28, paragraphe 3, point g) du Règlement (UE) 2016/679 et selon les modalités et délais prévus au DPA. La restitution s’effectue dans un format exploitable ; la suppression en base active et sur les systèmes de production intervient dans un délai de trente (30) jours à compter, selon le cas, de l’acceptation du procès-verbal de restitution ou de la réception de l’instruction de destruction. Les copies de sauvegarde ne sont ni modifiées ni extraites, afin de préserver leur intégrité ; elles disparaissent par l’effet de la purge automatique à l’expiration de la durée de conservation applicable, qui ne peut excéder douze (12) mois à compter de la suppression en base active. Lorsqu’une restauration intervient dans cet intervalle et réintroduit une donnée dont l’effacement avait été demandé, le Prestataire réapplique l’effacement sans délai. Une attestation de destruction datée est délivrée, précisant le périmètre, la date d’effacement en production, la date d’expiration de la dernière sauvegarde et le moyen employé.

A2.15 Sous-traitants ultérieurs, fournisseurs et localisation des Données

A2.15.1 Sous-traitants ultérieurs. La liste des sous-traitants ultérieurs figure en annexe du DPA, avec pour chacun l’activité confiée, le pays de traitement et la garantie applicable en cas de transfert hors Union européenne. Le Prestataire informe le Client par écrit de tout ajout ou remplacement dans les meilleurs délais et, en tout état de cause, dix (10) jours au moins avant sa mise en œuvre ; le Client dispose de dix (10) jours à compter de cette information pour formuler par écrit une objection motivée, tirée de considérations de protection des données. Ce délai correspond au préavis le plus court que le Prestataire obtient lui-même de ses propres fournisseurs. En cas d’objection, les Parties se rapprochent de bonne foi pour rechercher une solution alternative ; si le désaccord persiste, le Client peut résilier la prestation concernée sans frais ni indemnité de part ni d’autre, sous la seule réserve du paiement des prestations exécutées. En cas de défaillance, de faille de sécurité ou de cessation d’activité d’un sous-traitant ultérieur rendant impossible le respect du préavis, le Prestataire peut lui substituer un prestataire présentant des garanties au moins équivalentes et en informe le Client sans délai, en motivant l’urgence ; le droit d’objection s’exerce alors a posteriori. Le Prestataire demeure pleinement responsable de l’exécution par le sous-traitant ultérieur de ses obligations.

A2.15.2 Localisation. Les Données sont hébergées et sauvegardées au sein de l’Union européenne selon la répartition suivante.

Emplacement	Pays	Nature
Infrastructure de production	France	Systèmes hébergés et volumes de production
Copie de sauvegarde primaire	Allemagne	Sauvegardes chiffrées
Copie de sauvegarde secondaire	France	Miroir chiffré tiré depuis la copie primaire

Le Client reconnaît avoir été informé de ce que la copie de sauvegarde primaire est située en Allemagne et non en France, et s’engage à répercuter cette information dans sa propre politique de confidentialité lorsqu’il y mentionne la localisation de l’hébergement. Tout changement de localisation est notifié au Client avec un préavis de trente (30) jours.

A2.15.3 Transferts hors Union européenne. Les Données traitées au titre de l’hébergement et de la sauvegarde sont hébergées et conservées exclusivement sur le territoire de l’Union européenne : aucun transfert hors de l’Union n’est réalisé du fait de l’hébergement ou de la sauvegarde. En revanche, l’outil d’assistance à l’exploitation mentionné au A2.15.4 et, lorsque la prestation en comporte, l’exécution d’appels d’inférence auprès d’un fournisseur établi hors de l’Union comportent un transfert. Ces services sont limitativement énumérés en annexe du DPA, qui précise pour chacun les catégories de Données transférées, le pays de destination et la garantie appropriée applicable, décision d’adéquation au sens de l’article 45 du Règlement (UE) 2016/679 ou clauses contractuelles types de la décision d’exécution (UE) 2021/914 de la Commission, complétées des mesures supplémentaires nécessaires. Aucun nouveau transfert de Données n’est mis en œuvre sans information préalable du Client.

A2.15.4 Outil d’assistance à l’exploitation. Le Prestataire informe expressément le Client de ce qu’un outil d’assistance automatisée, identifié en annexe du DPA, est mobilisé pour l’assistance à l’exploitation et au diagnostic : les éléments qui lui sont soumis se limitent aux éléments de configuration et aux extraits de journaux et de fichiers strictement nécessaires à l’intervention en cours, lesquels peuvent comporter des adresses de connexion et des identifiants techniques. Le Prestataire s’interdit de lui transmettre des secrets d’authentification et des clés cryptographiques, et de lui transmettre des Données au-delà de ce que l’incident traité rend nécessaire ; il minimise les éléments soumis, notamment par la troncature des journaux et le masquage des identifiants directs lorsque le diagnostic le permet. Toute modification portant sur un Système hébergé est subordonnée à la confirmation humaine préalable prévue au A2.13.2. Le Client peut, par instruction écrite, exclure ses systèmes du périmètre de cet outil ; le Prestataire y procède dans les trente (30) jours et l’informe de l’incidence de cette exclusion sur les délais de diagnostic. Écart déclaré : le compte technique de cet outil dispose de droits étendus sur le socle du Prestataire et la portée du jeton d’accès au fournisseur d’infrastructure n’est pas restreinte.

A2.16 Personnel et confidentialité

A2.16.1 Toute personne autorisée à accéder aux Données est soumise à une obligation contractuelle de confidentialité, écrite et signée préalablement à tout accès, en application de l’article 28, paragraphe 3, point b) du Règlement (UE) 2016/679. La liste des personnes habilitées est communiquée au Client sur demande écrite.

A2.16.2 Écart déclaré : le Prestataire ne tient ni charte d’utilisation des moyens informatiques signée, ni programme de sensibilisation tracé, ni exercice de crise. Les intervenants demeurent tenus au secret par l’effet du Contrat, des stipulations des conditions générales de vente relatives à la confidentialité et au secret des affaires et, s’agissant des dirigeants, de leur obligation de loyauté.

A2.17 Gestion des incidents et des violations de données

A2.17.1 Qualification. Tout événement de sécurité détecté fait l’objet d’une qualification par le Prestataire, qui détermine s’il constitue une violation de données à caractère personnel au sens de l’article 4, point 12) du Règlement (UE) 2016/679.

A2.17.2 Notification au Client. Le Prestataire notifie au Client toute violation de Données dont il a connaissance sans retard injustifié et au plus tard quarante-huit (48) heures, jours non ouvrés compris, à compter de sa prise de connaissance, par courrier électronique adressé au point de contact désigné par le Client, et lui communique les informations prévues à l’article 33, paragraphe 3 du Règlement (UE) 2016/679 dans la mesure où elles sont disponibles. La prise de connaissance s’entend, dans les mêmes termes qu’au DPA, du moment où le Prestataire acquiert un degré raisonnable de certitude qu’un incident de sécurité a compromis des Données. Ce délai se compte en heures calendaires et n’est suspendu ni par un samedi, ni par un dimanche, ni par un jour férié : il est stipulé pour que le Client conserve une part utile des soixante-douze (72) heures dont il dispose lui-même pour notifier la violation à l’autorité de contrôle. Il ne constitue pas pour autant un engagement de détection en continu : la prise en charge humaine des événements de sécurité est assurée les Jours ouvrés, la détection automatisée demeurant active en dehors de ces plages et les événements y étant enregistrés pour traitement à la reprise ; le Prestataire ne souscrit aucun engagement d’astreinte, de permanence ni de surveillance humaine continue. Lorsque les informations ne peuvent être fournies en une seule fois, elles sont communiquées de manière échelonnée, sans retard injustifié ; une notification tardive est accompagnée des motifs du retard.

A2.17.3 Assistance. Le Prestataire assiste le Client, compte tenu de la nature du traitement et des informations à sa disposition, pour lui permettre de respecter ses obligations au titre des articles 33 et 34 du Règlement (UE) 2016/679, ainsi que, le cas échéant, celles résultant de la directive (UE) 2022/2555 ou du règlement (UE) 2022/2554 lorsque le Client y est assujetti, sans que le Prestataire soit lui-même qualifié d’entité essentielle ou importante.

A2.17.4 Registre, retour d’expérience et mesures conservatoires. Le Prestataire tient un registre des violations de données et le communique au Client pour ce qui le concerne. Il lui adresse un retour d’expérience écrit dans un délai de quinze (15) jours suivant la clôture de l’incident, indiquant la chronologie, la cause identifiée, les mesures correctives appliquées et les mesures préventives décidées. En cas de suspicion de compromission, il met en œuvre sans délai les mesures conservatoires proportionnées, notamment l’isolation réseau du système concerné, la révocation des accès et des secrets exposés, la préservation des traces et l’isolation du système de sauvegarde décrite au A2.12.6.

A2.18 Catégories particulières de données

A2.18.1 Le Prestataire ne traite, dans le cadre du Contrat, aucune donnée relevant des catégories particulières visées à l’article 9 du Règlement (UE) 2016/679, sauf stipulation contraire du DPA.

A2.18.2 Lorsque le Contrat principal mentionne, en application de l’article 5.2 du DPA, que le traitement porte sur de telles données, le Prestataire met en œuvre, sur instruction documentée du Client et après accord écrit des Parties, les mesures renforcées suivantes : pseudonymisation systématique, chiffrement applicatif additionnel des champs concernés, journalisation nominative des accès, restriction des habilitations à une liste nominative tenue à jour, restriction des sauvegardes au strict nécessaire, réduction des durées de conservation et exclusion de ces données du périmètre de l’outil d’assistance à l’exploitation mentionné au A2.15.4.

A2.18.3 Données de santé. Le Prestataire ne détient pas le certificat de conformité exigé, par le II de l’article L. 1111-8 du code de la santé publique, de celui qui héberge sur support numérique des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de la personne à l’origine de leur production ou de leur recueil, ou du patient lui-même. En conséquence, il ne réalise aucune prestation soumise à ce certificat, c’est-à-dire aucune des activités énumérées à l’article R. 1111-9 du même code — mise à disposition et maintien en condition opérationnelle des sites physiques, de l’infrastructure matérielle ou virtuelle ou de la plateforme d’hébergement d’applications, administration et exploitation du système d’information contenant les données, sauvegarde de celles-ci — lorsque ces activités portent sur un système d’information conservant de telles données pour le compte d’autrui. Le recours à un sous-hébergeur certifié ne l’en dispense pas lorsque sa propre intervention relève de l’une de ces activités.

Réserve expresse. Ce qui précède ne vise que la conservation de données de santé pour le compte d’autrui. N’est donc pas une prestation soumise à certification la mention incidente, transitoire et non persistante d’un élément relatif à la santé dans un champ libre ou une adresse d’un formulaire qui n’est pas destiné à recueillir de telles données, lorsque ce formulaire ne comporte aucun champ structuré de santé, qu’aucune base n’en conserve le contenu et que la demande est acheminée au Client sans autre stockage chez le Prestataire que le temps strictement nécessaire à son acheminement. Le Prestataire n’assure alors aucune conservation de données de santé pour le compte d’autrui ; ces données demeurent celles du Client.

La création d’une base conservant le contenu de tels champs, l’ajout d’un champ structuré relatif à la santé, l’indexation ou tout croisement de ces informations font basculer la qualification et imposent un réexamen préalable. Toute prestation portant alors sur des données de santé à caractère personnel est subordonnée soit à l’obtention préalable du certificat requis, soit à une répartition des rôles formalisée par avenant plaçant hors du périmètre du Prestataire toute activité soumise à certification. Le Client garantit au Prestataire qu’aucune donnée de santé à caractère personnel n’est introduite dans les Systèmes hébergés en dehors de la réserve expresse ci-dessus ou d’un tel avenant, et l’informe sans délai s’il en constate l’introduction.

A2.19 Preuve et droit d’audit du Client

A2.19.1 Mise à disposition des éléments de preuve. Le Client peut demander, sur préavis écrit de trente (30) jours, la communication des éléments de preuve correspondant aux mesures décrites à la présente annexe ; cette communication n’est soumise à aucune limite de fréquence lorsqu’elle est nécessaire pour permettre au Client de démontrer le respect de ses propres obligations au titre des articles 28 et 32 du Règlement (UE) 2016/679, notamment à l’occasion d’une violation de données, d’un contrôle de l’autorité de contrôle ou d’une analyse d’impact relative à la protection des données.

A2.19.2 Audit. Le Client peut faire réaliser, par lui-même ou par un auditeur tiers indépendant qu’il mandate, un audit ou une inspection au sens de l’article 28, paragraphe 3, point h) du Règlement (UE) 2016/679, dans les conditions prévues au DPA ou, à défaut de DPA, dans les conditions suivantes : préavis écrit de trente (30) jours, sauf urgence justifiée par un incident de sécurité avéré ; un audit par année civile hors incident ; réalisation pendant les Jours et heures ouvrés du Prestataire ; périmètre limité aux systèmes et traitements concernant le Client ; auditeur non concurrent du Prestataire et soumis à un engagement de confidentialité écrit préalablement communiqué. Un audit supplémentaire peut être conduit à la suite d’une violation de Données affectant le Client.

A2.19.3 Limites opposables. Le Prestataire ne communique ni la cartographie détaillée de son exposition, ni la liste de ses comptes à privilèges, ni aucun élément dont la remise augmenterait la surface d’attaque de son système d’information ; il y substitue alors une modalité alternative de vérification effective, notamment une attestation circonstanciée, un relevé horodaté anonymisé ou une vérification en séance sans remise de document. Il ne peut opposer ces limites pour refuser au Client tout moyen de vérifier l’exécution d’une obligation souscrite à la présente annexe.

A2.19.4 Portée de la description. Le Prestataire ne peut se prévaloir d’une mesure comme d’une mesure en place tant que sa mise en œuvre n’a pas été vérifiée et documentée. La présente annexe décrit l’état des mesures à la date de version figurant en tête ; lorsqu’un écart déclaré a été résorbé, la version jointe au Contrat mentionne sa résorption avec la date du relevé qui l’atteste. À défaut d’une telle mention, l’écart est réputé subsister et le Client peut, sans indemnité, refuser la signature ou la subordonner à la mise à jour préalable de l’annexe.

A2.20 Limites expressément portées à la connaissance du Client

Le Prestataire déclare, au titre de son obligation de sincérité, que les mesures suivantes ne sont pas en place à la date de signature et que les limites suivantes affectent le périmètre confié :

1. le chiffrement des volumes de stockage des systèmes de production et du poste d’administration, seules les sauvegardes étant chiffrées ; le poste d’administration est en outre un poste polyvalent, non dédié à la seule administration ;
2. l’imposition d’un second facteur d’authentification sur l’ensemble des systèmes d’administration ;
3. l’exhaustivité de l’enregistrement des sessions d’administration, des chemins d’administration parallèles au Bastion subsistant ;
4. la disponibilité effective d’un historique de journaux de douze mois, la politique de conservation n’étant appliquée que depuis le 2 septembre 2026, et la conservation pendant six mois des journaux d’accès du Frontal ;
5. l’existence d’une astreinte, d’une permanence, d’une surveillance humaine continue ou d’une équipe de réponse à incident dédiée ;
6. l’existence d’un plan de continuité et de reprise d’activité formalisé et éprouvé, et par conséquent de tout objectif de reprise ou de perte de données maximale admissible opposable ;
7. la détection à l’intérieur des systèmes que le Client administre lui-même ;
8. toute certification, qualification ou homologation de sécurité délivrée par un organisme tiers, ainsi que tout audit indépendant ou test d’intrusion externe ;
9. le filtrage, au niveau de la couche de virtualisation et au niveau de l’opérateur amont, des machines dotées d’une adresse publique administrées par le Client lui-même ; le Prestataire ne garantit pas, pour ces machines, l’absence d’exposition directe sur Internet d’un service applicatif, d’administration ou de base de données ;
10. la segmentation du réseau privé par des règles de filtrage entre invités et le déploiement d’un pare-feu local homogène sur l’ensemble des hôtes ;
11. la généralisation du principe du moindre privilège aux comptes humains d’administration, ceux-ci disposant de droits étendus sur le socle exploité par le Prestataire ;
12. le dépôt en séquestre de la clé de chiffrement protégeant les images du socle de virtualisation, dont la perte rendrait les sauvegardes correspondantes irrécupérables ;
13. la limitation au moindre privilège des habilitations du compte technique de l’outil d’assistance à l’exploitation et la restriction de portée du jeton d’accès au fournisseur d’infrastructure ;
14. la constitution d’une copie de sauvegarde hors ligne ou immuable, ainsi que l’épreuve d’une restauration depuis la copie secondaire et de la procédure d’isolation d’urgence ;
15. la tenue de revues périodiques de sécurité, de revues des fournisseurs, de tests de restauration programmés et d’exercices de crise, que le Prestataire ne souscrit pas et ne présente pas comme tenus.

Annexe 3 — Sous-traitants ultérieurs autorisés

La présente annexe est visée aux articles 10 et 11 de l’Accord. Elle énumère limitativement les Sous-traitants ultérieurs autorisés à la date de la présente version. Toute évolution suit la procédure d’information préalable et le droit d’objection de dix (10) jours de l’article 10. Un Sous-traitant ultérieur propre à une affaire déterminée est mentionné au Contrat principal, dans les conditions du 5.2.

A3.1 Socle commun, mobilisé pour toutes les prestations

Sous-traitant ultérieur	Activité confiée	Catégories de données	Pays et transfert	Garantie
OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419)	Infrastructure de calcul et de stockage, réseau, noms de domaine faisant autorité, bureau d’enregistrement, serveur de sauvegarde	Toutes catégories du Traitement, sous forme de volumes et d’images de machines ; données techniques de résolution de noms	France (production) et Allemagne (sauvegarde) ; pas de transfert hors Union européenne	Sans objet, aucun transfert hors de l’Union européenne ; accord de sous-traitance du fournisseur au sens de l’article 28.4 du RGPD, archivé par le Sous-traitant et communiqué sur demande écrite
Mindbaz SAS, marque Sweego, France	Acheminement des courriels transactionnels et applicatifs émis par les services, et des messages d’alerte	Adresses électroniques des destinataires, objet et contenu des messages	France ; pas de transfert hors Union européenne	Sans objet, aucun transfert hors de l’Union européenne ; accord de sous-traitance du fournisseur au sens de l’article 28.4 du RGPD
Proton AG, Plan-les-Ouates, Suisse	Messagerie professionnelle du Sous-traitant, susceptible de recevoir des messages relatifs au Traitement	Correspondance professionnelle, métadonnées de messagerie	Suisse et Union européenne ; transfert vers un pays tiers reconnu adéquat	Décision d’adéquation de la Commission européenne relative à la Suisse, au sens de l’article 45 du RGPD

A3.2 Fournisseurs de modèles de langage et outil d’assistance à l’exploitation

Cette section s’applique lorsque le Contrat principal comporte une prestation de conseil, d’intégration ou d’exploitation reposant sur un système d’intelligence artificielle, ainsi qu’à l’outil d’assistance à l’exploitation du Sous-traitant. Elle ne traite que de la qualité de Sous-traitant ultérieur des fournisseurs concernés et de l’encadrement des Données qui leur sont transmises ; la répartition des rôles entre les Parties au titre des systèmes d’intelligence artificielle relève du Contrat principal et de l’annexe qui lui est jointe.

Les composants exécutés sur l’infrastructure du Sous-traitant, notamment un modèle à poids ouverts, l’instance de mesure d’audience, le moteur de détection d’intrusion exploité en mode autonome et le mécanisme de protection des formulaires, ne sont pas des Sous-traitants ultérieurs au sens de l’article 28.4 du RGPD : aucune Donnée n’est transmise à un tiers de ce fait. Leur substitution par un service tiers suit la procédure d’information préalable et de droit d’objection de l’article 10.

Sous-traitant ultérieur	Activité confiée	Catégories de données	Pays et transfert	Garantie
Mistral AI SAS, France	Exécution des appels d’inférence, dans le périmètre du Contrat principal	Contenu des invites et des sorties, tel que délimité par le Contrat principal	Inférence exécutée dans l’Union européenne ; le Sous-traitant ne stipule aucune absence de traitement hors de l’Union	Accord de traitement conclu au titre de l’article 28 du RGPD ; exclusion écrite de l’entraînement sur les contenus soumis ; clauses de transfert applicables aux traitements exécutés par une filiale établie hors de l’Union
Google, services Gemini et Vertex AI	Exécution des appels d’inférence, dans le périmètre du Contrat principal	Contenu des invites et des sorties, tel que délimité par le Contrat principal	Région de traitement arrêtée au Contrat principal ; transfert hors de l’Union européenne lorsque la région retenue y est située	Décision d’adéquation lorsqu’elle est applicable, à défaut Clauses contractuelles types ; accord de traitement conclu au titre de l’article 28 du RGPD ; exclusion écrite de l’entraînement sur les contenus soumis
Anthropic Ireland, Limited, Irlande, entité contractante ; traitement exécuté aux États-Unis	Exécution des appels d’inférence et outil d’assistance à l’exploitation et au diagnostic des systèmes administrés par le Sous-traitant	Éléments de configuration, extraits de journaux comportant des adresses IP et des identifiants techniques, extraits de fichiers consultés lors d’un diagnostic ; contenu des invites et des sorties	Irlande pour l’entité contractante ; traitement aux États-Unis ; transfert	Clauses contractuelles types ; accord de traitement conclu au titre de l’article 28 du RGPD ; conditions du fournisseur excluant l’entraînement de modèles sur les contenus soumis

Aucun fournisseur n’est mobilisé avant que quatre conditions ne soient réunies et documentées : exclusion écrite de l’entraînement sur les contenus soumis ; rétention nulle ou bornée par écrit ; accord de traitement conclu au titre de l’article 28 du RGPD ; garantie appropriée au sens du chapitre V du RGPD pour tout traitement hors de l’Union européenne. Le Sous-traitant informe le Responsable de traitement, sans retard injustifié et au plus tard dans les cinq (5) Jours ouvrés de sa connaissance, de toute évolution défavorable affectant l’un de ces fournisseurs, notamment la disparition de l’exclusion d’entraînement, l’apparition d’une rétention ou un changement de localisation des traitements, et suspend dans l’attente de sa décision le recours au fournisseur concerné pour ses Données.

L’outil d’assistance à l’exploitation n’accède au contenu applicatif du Responsable de traitement que dans la stricte mesure nécessaire à une intervention d’exploitation ou à la résolution d’un incident. Avant toute transmission, le Sous-traitant applique une minimisation des contenus soumis : troncature des adresses de connexion, suppression des identifiants directs de Personnes concernées, des secrets d’authentification et des jetons d’accès, et substitution des identifiants techniques par des références non signifiantes. Toute modification portant sur un système de production ou sur une application du Responsable de traitement est subordonnée à une validation humaine préalable, et les sessions correspondantes sont enregistrées dans les conditions de l’annexe 2. Le Responsable de traitement peut, par instruction écrite, exclure ses systèmes du périmètre de cet outil ; le Sous-traitant y procède dans les trente (30) jours et l’informe de l’incidence de cette exclusion sur les délais de diagnostic. Le compte technique de cet outil dispose, à la date de la présente version, de droits d’administration étendus sur le socle du Sous-traitant, dans les conditions du point 13 du A2.20 de l’annexe 2.

A3.3 Services souscrits directement par le Responsable de traitement

Les services suivants, lorsqu’ils interviennent dans la chaîne technique du Traitement, sont souscrits directement par le Responsable de traitement auprès de leur éditeur : plateforme de paiement en ligne, plateforme d’encaissement associatif, réseaux sociaux et messageries sociales, services de diffusion de contenus musicaux ou vidéo, services de mesure d’audience tiers. Ils ne constituent pas des Sous-traitants ultérieurs du Sous-traitant au sens de l’article 28.4 du RGPD. Le Responsable de traitement en assure l’encadrement juridique, l’inscription à son propre registre, l’information des Personnes concernées et, le cas échéant, l’encadrement des transferts hors de l’Union européenne qu’ils comportent.