Accord de sous-traitance (DPA)

Version du TODO_LEGAL(DATE_VERSION) — accord conclu en application de l’article 28 du règlement (UE) 2016/679 (« RGPD »), modèle pour les clients professionnels

1. Parties et objet

Le présent accord est conclu entre le Client, titulaire d’un compte NeverWiped (le « Responsable du traitement »), et YOOBOOST SAS, TODO_LEGAL(FORME_JURIDIQUE), SIREN TODO_LEGAL(SIREN), TODO_LEGAL(ADRESSE) (le « Sous-traitant »). Il fait partie intégrante des conditions générales de vente (https://neverwiped.com/cgv) et s’applique dès la première sauvegarde.

Il encadre le traitement, par le Sous-traitant, des données personnelles que le Client peut inclure dans ses sauvegardes et dans les métadonnées de ses sauvegardes. Les données du compte du Client (identité, facturation, membres de l’équipe) sont traitées par YOOBOOST SAS en tant que responsable du traitement, selon la politique de confidentialité (https://neverwiped.com/confidentialite).

2. Description du traitement

Particularité essentielle. Les sauvegardes sont chiffrées sur le serveur du Client, avant leur envoi, avec une clé qui ne quitte jamais ce serveur (chiffrement restic : AES-256 et authentification Poly1305). Le Sous-traitant ne détient aucune clé : il ne conserve qu’un code de contrôle de 32 bits de la clé de récupération, qui ne permet pas de la reconstituer. Il ne peut ni lire ni déchiffrer ces données ; les restaurations sont déchiffrées sur le serveur du Client. Son traitement du contenu se limite à la conservation et à la suppression de données chiffrées.

3. Instructions du Client

Le Sous-traitant traite les données uniquement sur instruction documentée du Client. Constituent ces instructions : les CGV, le présent accord, le plan de sauvegarde confirmé par le Client, la formule choisie (fréquence, conservation, volume), le réglage de conservation choisi pour chaque serveur (y compris la mise en pause du nettoyage) et les actions du Client ou des membres de son équipe dans l’espace client ou avec l’agent (sauvegarde, restauration, suppression d’un serveur ou du compte). Le Sous-traitant informe immédiatement le Client si une instruction lui paraît contraire à la réglementation.

4. Obligations du Sous-traitant (article 28.3 du RGPD)

Le Sous-traitant s’engage à :

• a) ne traiter les données que sur instruction documentée du Client, y compris pour les transferts, sauf obligation légale dont il informerait le Client préalablement, à moins que la loi ne l’interdise ;
• b) veiller à ce que les personnes autorisées à accéder à l’infrastructure soient soumises à une obligation de confidentialité ;
• c) prendre les mesures de sécurité de l’article 32 du RGPD décrites à l’article 5 ;
• d) ne recourir à un sous-traitant ultérieur que dans les conditions de l’article 6 ;
• e) aider le Client, compte tenu de la nature du traitement, à répondre aux demandes d’exercice des droits des personnes concernées : le Client peut lui-même restaurer, supprimer un serveur ou supprimer son compte ; le Sous-traitant ne pouvant pas lire les données, il ne peut pas rechercher une donnée précise dans une sauvegarde ;
• f) aider le Client à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable, dans la mesure des informations dont il dispose ;
• g) au terme du service, supprimer les données selon l’article 10, sans en conserver d’autre copie que celles décrites à cet article, sauf obligation légale ;
• h) mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent article et permettre des audits dans les conditions de l’article 9.

5. Mesures de sécurité

• Chiffrement côté client de toutes les sauvegardes avant l’envoi ; aucune clé chez le Sous-traitant.
• Le serveur du Client communique avec la plateforme et avec le stockage uniquement en TLS (HTTPS) ; l’administration du stockage depuis la plateforme passe par un lien privé chiffré (WireGuard).
• Disques du serveur de stockage chiffrés au repos (LUKS2) : protection contre un disque perdu ou remplacé, pas contre une personne présente sur le serveur de stockage en fonctionnement.
• Un dépôt distinct par serveur, avec un identifiant d’accès propre, limité à ce dépôt ; le Sous-traitant ne conserve qu’une empreinte (hash) de cet identifiant et de la clé de l’agent.
• Stockage en ajout seul : en dehors d’une courte fenêtre de nettoyage (identifiant valable une heure, au plus une fois par semaine et par serveur, délivré à la demande de l’agent), aucune sauvegarde ne peut être supprimée ni modifiée depuis le serveur du Client. La plateforme supprime un dépôt dans les seuls cas de l’article 10.
• Une seule copie des sauvegardes du Client, sur des disques en RAID 6 : elle résiste à la panne de deux disques, pas à la perte du serveur de stockage entier.
• Quotas par dépôt, limitation des tentatives de connexion et des appels à l’API.
• Mises à jour de l’agent signées (Ed25519), la clé de signature n’étant pas sur la plateforme.
• Mots de passe des comptes stockés sous forme dérivée (scrypt) ; second facteur disponible pour les comptes clients.
• Interface d’administration réservée aux personnes habilitées, avec second facteur ; chaque page consultée et chaque action y sont inscrites dans un journal d’audit. Elle ne donne aucun accès au contenu des sauvegardes.
• Sauvegarde chiffrée de la plateforme sur un second site (TODO_LEGAL(SITE_SAUVEGARDE_PLATEFORME), pays : TODO_LEGAL(PAYS_SAUVEGARDE_PLATEFORME)), et procédure de restauration écrite.
• Supervision de la disponibilité et alertes.

Le Sous-traitant ne détient aucune certification de sécurité et ne garantit aucun taux de disponibilité. La page Sécurité (https://neverwiped.com/fr/securite) décrit ces mesures et leurs limites ; le Sous-traitant peut les faire évoluer sans en réduire le niveau global.

6. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs suivants :

La liste à jour figure sur cette page (https://neverwiped.com/dpa). Le Sous-traitant informe le Client par e-mail, à l’adresse du compte, de tout ajout ou remplacement d’un sous-traitant ultérieur au moins trente (30) jours à l’avance. Le Client peut s’y opposer pour un motif légitime ; à défaut d’accord, il peut résilier sans frais avant la date du changement. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord et reste responsable de leur exécution.

7. Localisation et transferts

Contenu des sauvegardes. Les sauvegardes, chiffrées sur le serveur du Client, sont envoyées directement par l’agent au serveur de stockage, situé en France, et restaurées directement depuis ce serveur. Elles ne transitent pas par la plateforme et ne sont pas transférées hors de l’Union européenne.

Métadonnées des sauvegardes. La plateforme (site, espace client, API, base de données) est hébergée dans l’Union européenne par TODO_LEGAL(HEBERGEUR_PLATEFORME) (TODO_LEGAL(PAYS_HEBERGEUR_PLATEFORME)). Les métadonnées des sauvegardes y sont traitées ; cet hébergement ne relève pas du chapitre V du RGPD.

Autres sous-traitants ultérieurs. La localisation du prestataire e-mail et les transferts éventuels des sous-traitants de Mollie ne sont pas encore vérifiés : TODO_LEGAL(localisation et garanties des sous-traitants e-mail et paiement). Le Sous-traitant communique au Client, sur demande, la liste à jour et les garanties applicables.

Sauvegarde de la plateforme. La sauvegarde chiffrée de la base de la plateforme est conservée sur un second site (TODO_LEGAL(SITE_SAUVEGARDE_PLATEFORME), pays : TODO_LEGAL(PAYS_SAUVEGARDE_PLATEFORME)). Si ce pays n’est pas situé dans l’Espace économique européen et ne bénéficie pas d’une décision d’adéquation, le transfert est encadré par les clauses contractuelles types de la Commission, dans les mêmes conditions.

Point à valider par le juriste : pays de l’hébergeur de la plateforme ; pays du second site de sauvegarde de la plateforme ; localisation et garanties du prestataire e-mail et des sous-traitants de Mollie.

8. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles dont il a connaissance dans un délai maximal de quarante-huit (48) heures, par e-mail à l’adresse du compte, avec les informations disponibles (nature, catégories et volume approximatif concernés, conséquences probables, mesures prises, contact). Les informations qui ne sont pas encore connues sont communiquées dès que possible, de manière échelonnée. Il appartient au Client, responsable du traitement, de notifier la CNIL et les personnes concernées le cas échéant. Compte tenu du chiffrement côté client, une violation du stockage n’expose que des données chiffrées ; une violation de la plateforme peut exposer des métadonnées.

9. Audits

Le Sous-traitant fournit sur demande la documentation de ses mesures de sécurité et répond aux questionnaires de sécurité raisonnables du Client. Le Client peut faire réaliser, à ses frais, une fois par an et avec un préavis de trente (30) jours, un audit par un auditeur indépendant tenu au secret, dans des conditions qui ne compromettent pas la sécurité des autres clients. Un audit supplémentaire est possible après une violation de données concernant le Client ou à la demande d’une autorité de contrôle.

10. Sort des données à la fin du service

• Suppression d’un serveur dans l’espace client : suppression immédiate des sauvegardes concernées.
• Suppression du compte : suppression des sauvegardes de tous les serveurs du compte 7 jours après la demande du Client, annulable jusque-là ; leur absence sur le stockage est vérifiée avant la suppression du compte.
• Résiliation : suppression 30 jours après la fin de la période payée.
• Impayé non régularisé : suppression 45 jours après l’échec du paiement.
• Fin d’essai sans abonnement : suppression 7 jours après la fin de l’essai.

Le contenu des sauvegardes n’existe qu’en un exemplaire, sur le serveur de stockage : il n’en reste aucune copie chez le Sous-traitant après ces suppressions. Les métadonnées supprimées de la plateforme subsistent, chiffrées, dans les sauvegardes de la plateforme jusqu’à leur rotation, soit 12 mois au plus, ainsi que dans les images disque de la plateforme gardées par l’hébergeur (7 jours au plus) ; elles n’y sont utilisées que pour restaurer la plateforme après un incident.

Avant ces dates, le Client peut restaurer ses données avec l’agent. Le Sous-traitant ne peut pas les lui restituer sous une autre forme, ne détenant pas la clé.

11. Obligations du Client

Le Client s’assure d’une base légale pour les données qu’il sauvegarde, informe les personnes concernées, conserve sa clé de récupération et teste ses restaurations. Il reste seul responsable du choix des données sauvegardées. Il est responsable des membres qu’il invite dans son équipe : leurs actions dans l’espace client valent instructions du Client.

12. Durée

Le présent accord s’applique pendant toute la durée du service et jusqu’à la suppression effective des données (article 10).

13. Conclusion, copie signée et modifications

Le présent accord est accepté avec les CGV lors de l’inscription, sous forme électronique (article 28.9 du RGPD). Un Client professionnel qui souhaite une copie signée l’obtient sur demande à TODO_LEGAL(EMAIL_RGPD) : les parties signent alors la version en vigueur, complétée de l’annexe ci-dessous, sans modification du texte. En cas de contradiction entre le présent accord et les CGV sur la protection des données personnelles, le présent accord prévaut.

Le Sous-traitant peut mettre à jour le présent accord ; toute modification qui réduit la protection des données est notifiée par e-mail au moins trente (30) jours à l’avance, et le Client peut résilier sans frais avant son entrée en vigueur.

Contact pour toute question relative au présent accord : TODO_LEGAL(EMAIL_RGPD).

Annexe — Page de signature (copie signée, facultative)

Version de l’accord signée : TODO_LEGAL(DATE_VERSION).