Accord de sous-traitance

1. Objet et parties

Le présent accord (l’« Accord ») fixe les conditions dans lesquelles Pepiva Technology, [À COMPLÉTER : forme sociale, numéro RCS ou SIREN, adresse du siège] (« Pepiva »), traite des données personnelles pour le compte du Client dans le cadre du service ProxTrace hébergé (le « Service »).

Il fait partie intégrante des conditions générales de service (les « Conditions ») et s’applique dès leur acceptation, quelle que soit l’offre. Les termes définis dans les Conditions et dans le RGPD ont le même sens ici. En cas de contradiction, l’Accord prévaut sur les Conditions pour tout ce qui concerne la protection des données personnelles.

L’Accord ne s’applique pas à l’édition auto-hébergée, où les données restent sur l’infrastructure du Client et ne sont pas traitées par Pepiva. Il ne couvre pas non plus les traitements dont Pepiva est responsable (comptes de la console, sécurité des connexions, relation commerciale), décrits dans la politique de confidentialité.

2. Description du traitement

La nature et les finalités du traitement, les catégories de données et de personnes concernées et les durées de conservation sont décrites à l’annexe 1. La durée du traitement est celle du contrat, prolongée du délai de restitution et de suppression prévu à l’article 12.

3. Instructions du Client

Pepiva ne traite les données personnelles que sur instruction documentée du Client. Les Conditions, le présent Accord, la configuration choisie par le Client dans la console (infrastructures enrôlées, profils de collecte, durée de conservation, activation de l’assistant IA, notifications) et ses demandes écrites constituent ces instructions.

Pepiva informe immédiatement le Client si une instruction lui paraît constituer une violation du RGPD ou d’une autre disposition applicable. Si le droit de l’Union ou d’un État membre impose à Pepiva un traitement, elle en informe le Client avant de le réaliser, sauf si ce droit l’interdit pour des motifs importants d’intérêt public.

4. Obligations du Client

Le Client, en tant que responsable de traitement :

• dispose d’une base légale pour faire traiter les données décrites à l’annexe 1, notamment les noms de comptes et adresses IP présents dans les journaux de son infrastructure ;
• informe les personnes concernées, en particulier ses administrateurs, utilisateurs et prestataires dont l’activité est journalisée, conformément aux articles 13 et 14 du RGPD ;
• n’active les profils de collecte optionnels, dont la lecture des services, paquets et ports en écoute dans les invités, et l’assistant IA qu’en connaissance de cause ;
• ne place pas volontairement de données sensibles au sens de l’article 9 du RGPD, ni de secrets, dans les noms, commentaires ou champs libres de son infrastructure.

5. Confidentialité

Pepiva veille à ce que les personnes autorisées à traiter les données personnelles s’engagent à respecter leur confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L’accès aux données est limité aux personnes qui en ont besoin pour fournir le Service, assurer le support ou la sécurité.

6. Sécurité

Pepiva met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2, adaptées au risque conformément à l’article 32 du RGPD. Elle peut les faire évoluer sans réduire le niveau global de protection.

7. Sous-traitants ultérieurs

Le Client accorde à Pepiva une autorisation générale de recourir à des sous-traitants ultérieurs. Ceux en place à la date de l’Accord figurent à l’annexe 3 et sur la page publique Sous-traitants ultérieurs.

Pepiva informe le Client de tout ajout ou remplacement envisagé par courriel adressé aux administrateurs de son Organisation au moins trente jours avant qu’il ne prenne effet, et met à jour la page publique. Le Client peut s’y opposer par écrit, pour un motif raisonnable lié à la protection des données, dans les quinze jours suivant l’information. Les parties recherchent alors une solution de bonne foi. À défaut, le Client peut résilier sans pénalité la partie du Service concernée avant la prise d’effet du changement ; lorsque le sous-traitant ne sert qu’une option, comme l’assistant IA, le Client peut aussi simplement la laisser désactivée.

Pepiva impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles de l’Accord. Elle reste responsable envers le Client de l’exécution de leurs obligations.

8. Transferts hors de l’Union européenne

Pepiva ne transfère de données personnelles hors de l’Espace économique européen que dans les cas et avec les garanties décrits à l’annexe 4. À la date de l’Accord, seul l’assistant IA optionnel entraîne un tel transfert.

9. Droits des personnes concernées

Pepiva aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes concernées. Si une personne s’adresse directement à Pepiva au sujet de données traitées pour le compte du Client, Pepiva transmet la demande au Client dans les meilleurs délais et n’y répond pas elle-même, sauf instruction du Client.

10. Assistance du Client

Compte tenu de la nature du traitement et des informations à sa disposition, Pepiva aide le Client à respecter ses obligations relatives à la sécurité, à la notification des violations, aux analyses d’impact et à la consultation préalable de l’autorité de contrôle (articles 32 à 36 du RGPD). Elle fournit notamment la documentation de sécurité disponible et répond aux questionnaires raisonnables du Client.

11. Violations de données personnelles

Pepiva notifie au Client toute violation de données personnelles affectant ses données dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, par courriel aux administrateurs de son Organisation. La notification comprend, dans la mesure où elles sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables, les mesures prises ou proposées pour y remédier et un point de contact. Les informations manquantes sont communiquées dès qu’elles sont disponibles.

La notification à la CNIL et, le cas échéant, l’information des personnes concernées restent à la charge du Client, avec l’aide de Pepiva. Pepiva documente toute violation, ses effets et les mesures prises.

12. Sort des données en fin de contrat

À la fin du contrat, Pepiva met à la disposition du Client, sur sa demande formulée au plus tard trente jours après la fin, un export de ses données dans un format structuré, dans les conditions de l’article 9 des Conditions. À l’issue de ce délai, elle supprime les données personnelles traitées pour le compte du Client de la base de production ; les copies de sauvegarde sont effacées au fil de leur rotation, au plus tard [À COMPLÉTER : durée de rotation des sauvegardes]. Pepiva confirme la suppression par écrit sur demande du Client.

Cette obligation ne s’applique pas aux données dont le droit de l’Union ou d’un État membre exige la conservation.

13. Registre, information et audits

Pepiva tient le registre des catégories d’activités de traitement effectuées pour le compte de ses clients prévu à l’article 30, paragraphe 2, du RGPD.

Pepiva met à la disposition du Client les informations nécessaires pour démontrer le respect de l’Accord : description des mesures de sécurité, liste des sous-traitants ultérieurs et, lorsqu’ils existent, rapports d’audit ou de test récents. Si ces éléments ne suffisent pas, le Client peut faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de Pepiva, au plus une fois par an sauf violation avérée ou demande d’une autorité de contrôle, avec un préavis écrit d’au moins trente jours. L’audit se déroule pendant les heures ouvrées, sans perturber le Service ni donner accès aux données d’autres clients ; ses frais sont à la charge du Client. Pepiva reçoit une copie du rapport.

14. Responsabilité et durée

La responsabilité de chaque partie au titre de l’Accord est régie par les Conditions, dans les limites permises par l’article 82 du RGPD. L’Accord produit ses effets pendant toute la durée du contrat et jusqu’à la suppression complète des données traitées pour le compte du Client.

Annexe 1 : description des traitements

Finalités

• Fournir le Service : recevoir, conserver et structurer les observations du Collecteur, établir l’historique des changements et l’inventaire, rapprocher les événements de leurs preuves, évaluer les contrôles de bonnes pratiques, produire les rapports et les notifications choisies par le Client.
• Répondre, à la demande d’un Utilisateur, par l’assistant IA lorsque le Client l’a activé.
• Assurer le support demandé par le Client, la sécurité et le bon fonctionnement du Service.

Nature des opérations

Collecte par le Collecteur installé par le Client, transmission chiffrée, enregistrement, structuration, conservation, consultation, comparaison, mise à disposition aux Utilisateurs du Client, transmission au fournisseur de l’assistant IA lorsque celui-ci est utilisé, effacement.

Catégories de personnes concernées

• Administrateurs, utilisateurs et prestataires du Client disposant d’un compte ou d’un jeton d’API sur ses nœuds Proxmox VE ou serveurs Proxmox Backup Server.
• Personnes dont l’adresse IP ou le compte apparaît dans les journaux et événements de l’infrastructure (connexions SSH, interface web, API, tâches).
• Titulaires des comptes système des hôtes et, si le Client active le profil correspondant, des services exécutés dans les invités.
• Utilisateurs de la console, pour les commentaires, prises en charge et actions qu’ils enregistrent dans l’Organisation.

Catégories de données

• Identifiants techniques : noms d’utilisateurs Proxmox et domaines d’authentification, noms de jetons d’API, comptes système des hôtes.
• Données de connexion et de journalisation : adresses IP sources, horodatages, identifiants de tâches, nœud concerné, lignes de journal retenues comme preuve d’un événement.
• Configuration et inventaire : nœuds, machines virtuelles et conteneurs, noms d’hôtes et d’invités, réseaux, règles et journaux de pare-feu, stockages, métadonnées des sauvegardes Proxmox Backup Server, valeurs avant et après des configurations observées.
• Si le Client active ce profil : services, paquets et ports en écoute dans les invités.
• Contenus saisis dans la console : commentaires, justifications d’exceptions, conversations de l’assistant IA.

Ne sont pas collectés : le contenu des disques des machines et des sauvegardes, le contenu du dossier privé de Proxmox, les mots de passe et clés privées de l’infrastructure. Aucune donnée sensible au sens de l’article 9 du RGPD n’est recherchée ; les noms et commentaires saisis par le Client peuvent toutefois en contenir s’il les y place.

Durées de conservation

Les observations, événements et rapports sont conservés pendant la durée fixée par l’offre souscrite ; lorsque la console le permet, le Client peut choisir une durée plus courte dans cette limite. Les données plus anciennes sont supprimées automatiquement. Les conversations de l’assistant IA sont conservées dans la console jusqu’à leur suppression par l’Utilisateur ou jusqu’à la fin du contrat [À COMPLÉTER : durée maximale de conservation des conversations]. À la fin du contrat, l’article 12 s’applique.

Lieu du traitement

Les données sont hébergées par OVH SAS dans l’Union européenne [À CONFIRMER : localisation du centre de données]. Seul l’assistant IA, lorsqu’il est utilisé, transmet des extraits hors de l’Union européenne (annexe 4).

Annexe 2 : mesures techniques et organisationnelles

Accès à la console

• Échanges chiffrés en TLS entre le navigateur et la console, et entre le Collecteur et la console.
• Double authentification obligatoire pour tous les comptes ; mots de passe stockés sous forme hachée.
• Cookie de session réservé au serveur (HttpOnly), transmis uniquement en HTTPS (Secure) et limité au site d’origine (SameSite=Strict), d’une durée de huit heures au plus.
• Rôles par Organisation (administrateur, opérateur, auditeur) ; journalisation des connexions et des actions sensibles.
• Accès d’exploitation à la plateforme réservé aux exploitants de Pepiva, protégé par double authentification et journalisé.

Cloisonnement

• Chaque Organisation forme un périmètre distinct ; le cloisonnement est appliqué côté serveur pour chaque requête, sans dépendre de l’interface.

Collecte sur l’infrastructure du Client

• Collecte en lecture seule : le Collecteur ne reçoit et n’exécute aucune commande de la console ; les flux vont de l’infrastructure vers la console uniquement.
• Compte système dédié sur les nœuds, sans shell utilisable, dont l’élévation de privilèges est limitée à un lecteur unique ; rôles Proxmox d’audit pour l’API.
• Vérification stricte des clés d’hôte SSH, épinglées et sans mise à jour automatique : un jeu de clés modifié est refusé.
• Livraisons du Collecteur signées en Ed25519 et vérifiées avant installation.
• File d’envoi locale bornée ; les envois sont acquittés par la console.

Assistant IA

• Désactivé tant que l’offre ou le Client ne l’active pas ; déclenché uniquement à la demande d’un Utilisateur.
• Les identifiants Proxmox, clés SSH, mots de passe et secrets de l’installation ne sont pas transmis ; les champs sensibles sont filtrés et les secrets connus masqués avant l’enregistrement des conversations.
• Requêtes émises avec l’option de non-conservation proposée par l’API du fournisseur [À VÉRIFIER : durée de conservation résiduelle par le fournisseur au titre de la surveillance des abus].

Continuité et organisation

• Sauvegardes chiffrées hors site de la base de la console : en cours de mise en place [À COMPLÉTER : date de mise en service, fréquence, lieu et durée de conservation].
• Chiffrement des données au repos : [À COMPLÉTER].
• Accès aux données limité aux personnes habilitées et tenues à la confidentialité ; procédure de gestion des incidents et des violations [À COMPLÉTER : description de la procédure].
• Courriels transactionnels émis par un relais de messagerie exploité par Pepiva sur sa propre infrastructure, sans prestataire tiers.

Annexe 3 : sous-traitants ultérieurs

La liste à jour, datée, figure sur la page Sous-traitants ultérieurs. À la date de l’Accord :

• OVH SAS, 2 rue Kellermann, 59100 Roubaix, France : hébergement de l’infrastructure du Service (serveur privé virtuel), toutes les données, Union européenne [À CONFIRMER : localisation du centre de données].
• OpenAI [À VÉRIFIER : entité contractante et adresse] : fourniture du modèle de langage de l’assistant IA, uniquement lorsque l’assistant est activé et utilisé ; extraits nécessaires à la réponse ; États-Unis.

La procédure d’information et d’objection est décrite à l’article 7.

Annexe 4 : transferts hors de l’Union européenne

Lorsqu’un Utilisateur sollicite l’assistant IA, sa question et le contexte utilisé pour y répondre (extraits d’inventaire, d’événements et de résultats de contrôles de l’Organisation concernée) sont transmis à OpenAI. Ces extraits peuvent contenir des noms d’utilisateurs Proxmox, des noms d’hôtes et des adresses IP. Le transfert vers les États-Unis est encadré par les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), intégrées à l’accord de traitement des données conclu par Pepiva avec OpenAI [À VÉRIFIER : module applicable, et éventuelle certification d’OpenAI au cadre de protection des données UE–États-Unis]. Pepiva a évalué les garanties offertes par le pays de destination [À COMPLÉTER : référence de l’analyse d’impact du transfert].

Le Client qui ne souhaite aucun transfert hors de l’Union européenne laisse l’assistant IA désactivé ; le reste du Service n’entraîne aucun transfert.