Accord de sous-traitance Nimbu (DPA)

Ce document est une traduction fournie à titre informatif. Seule la version néerlandaise fait foi ; en cas de divergence, le texte néerlandais prévaut.

Annexe au Contrat d’hébergement et de licence Nimbu

Le présent accord de sous-traitance (le “DPA”) fait partie intégrante du Contrat d’hébergement et de licence Nimbu (le “Contrat principal”) entre le Client qui y est identifié en qualité de Responsable du traitement et Zenjoy BV, Blijde Inkomststraat 22, 3000 Leuven, BCE BE 0838.367.436, en qualité de Sous-traitant. Les notions issues du Règlement général sur la protection des données (Règlement (UE) 2016/679, le “RGPD”) ont la même signification dans le présent DPA.

Article 1 — Objet, rôles et instructions

1.1. Le Sous-traitant traite les données à caractère personnel décrites à l’Annexe A exclusivement pour le compte et sur instructions documentées du Responsable du traitement, y compris les instructions relatives aux transferts, et uniquement dans la mesure nécessaire à l’exécution du Contrat principal.

1.2. L’acceptation électronique du Contrat principal et du présent DPA constitue l’instruction documentée initiale. Les configurations, opérations et commandes que le Responsable du traitement ou un Utilisateur mandaté par lui exécute dans les limites des droits accordés valent instructions complémentaires. Les autres instructions sont données par écrit ou par voie électronique.

1.3. Si le Sous-traitant est tenu de procéder à un traitement en vertu du droit de l’Union ou du droit belge, il informe le Responsable du traitement de cette exigence juridique avant le traitement, sauf si la loi l’interdit pour des motifs importants d’intérêt public.

1.4. Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d’une autre législation applicable en matière de protection des données. Le Sous-traitant peut suspendre l’exécution concernée jusqu’à ce que l’instruction soit clarifiée ou adaptée.

1.5. Dans la mesure où Zenjoy traite des données à caractère personnel exclusivement pour exécuter l’hébergement, le support, le suivi des erreurs, la sauvegarde, la restauration, la sécurité et les autres Services demandés par le Responsable du traitement, Zenjoy agit en qualité de Sous-traitant au titre du présent DPA, y compris lorsque des journaux techniques ou des données client sont consultés à cette fin.

Zenjoy agit en qualité de responsable du traitement distinct exclusivement pour des finalités propres clairement délimitées, dont la gestion des contrats et de la facturation, la preuve de la conclusion du contrat, la gestion et la sécurisation de son propre système de comptes Nimbu, la prévention et l’investigation de la fraude et des abus dirigés contre Zenjoy ou la Plateforme, le respect de ses propres obligations légales et la constatation, l’exercice ou la défense de droits en justice. Ce traitement relève de la Déclaration de confidentialité de la plateforme Nimbu et non du présent DPA.

Lorsque les mêmes données sont traitées pour plusieurs finalités, le rôle est déterminé pour chaque finalité distincte. La qualification découle toujours du traitement effectif et de la législation applicable. Zenjoy limite son traitement en qualité de responsable du traitement distinct aux données nécessaires à la finalité propre concernée.

Article 2 — Spécification et durée

2.1. L’objet et la durée du traitement, la nature et les finalités, les types de données à caractère personnel, les catégories de personnes concernées ainsi que les droits et obligations du Responsable du traitement sont déterminés dans le Contrat principal et l’Annexe A.

2.2. Le traitement dure aussi longtemps que le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement, y compris la période contractuelle de transition, de récupération et de suppression.

Article 3 — Obligations du Responsable du traitement

3.1. Le Responsable du traitement détermine les finalités et les moyens du traitement et répond de la base juridique, de la transparence, de l’exactitude, de la minimisation des données, des durées de conservation et du traitement des droits des personnes concernées.

3.2. Le Responsable du traitement veille à ce que ses instructions soient licites, à ce que les Utilisateurs reçoivent des droits appropriés et à ce que les données à caractère personnel ne soient pas traitées via des fonctions manifestement non sécurisées ou non prises en charge.

3.3. Les catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD, les données à caractère personnel relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD ou les données soumises à un régime de sécurité particulier ne sont traitées qu’après un addendum écrit préalable fixant la nécessité, les instructions et les mesures supplémentaires.

3.4. Le Responsable du traitement garantit qu’il n’introduit pas ni ne fait introduire les données visées à l’article 3.3 sans addendum, y compris via des champs de texte libre, des formulaires ou des téléversements, et signale immédiatement au Sous-traitant toute infraction constatée. Le Sous-traitant peut, après notification lorsque cela est raisonnablement possible, bloquer ou suspendre le traitement concerné et supprimer les données sur instruction du Responsable du traitement. Les coûts supplémentaires démontrables de sécurité, d’assistance ou de conformité résultant d’une telle infraction peuvent être facturés à des tarifs raisonnables. L’article 15.4 est applicable.

Article 4 — Utilisation et traitement minimal

4.1. Le Sous-traitant n’utilise pas les données à caractère personnel à ses propres fins de publicité, de profilage ou de vente et ne les combine pas avec des données d’autres clients, sous réserve des traitements propres visés à l’article 1.5.

4.2. Le Sous-traitant ne réalise que les copies nécessaires à la production, à la redondance, à la sécurité, à la journalisation, à la sauvegarde, à la restauration et à l’exécution des instructions documentées.

4.3. Toute demande de communication légalement obligatoire est, si la loi le permet, communiquée au Responsable du traitement avant la communication. Le Sous-traitant limite la communication à ce qui est juridiquement requis.

Article 5 — Confidentialité et personnel

5.1. Le Sous-traitant garantit que les personnes autorisées à traiter les données à caractère personnel se sont engagées contractuellement à la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité. Cette obligation subsiste après la fin de leur accès.

5.2. L’accès est limité aux personnes qui en ont besoin pour leur mission. Le Sous-traitant assure une sensibilisation et des instructions appropriées en matière de protection des données et de sécurité de l’information.

Article 6 — Sous-traitants ultérieurs

6.1. Le Responsable du traitement accorde une autorisation écrite générale pour les sous-traitants ultérieurs figurant sur https://www.nimbu.io/sub-processors.

6.2. La liste actuelle mentionne au moins l’identité, la fonction, la localisation principale et le mécanisme de transfert applicable. Le Sous-traitant notifie tout ajout ou remplacement envisagé au moins quinze (15) jours à l’avance par e-mail ou via l’environnement d’administration.

Le délai de notification s’applique dans la mesure où il est raisonnablement réalisable. En cas de remplacement urgent en raison d’un risque de sécurité, d’une obligation légale, d’une insolvabilité, d’un manquement grave ou d’une cessation inattendue par un sous-traitant ultérieur existant, le Sous-traitant peut engager immédiatement un remplaçant approprié ; il en informe le Responsable du traitement sans retard injustifié et applique intégralement les autres garanties du présent article.

6.3. Le Responsable du traitement peut, dans ce délai, formuler une objection motivée. Une objection est spécifique, étayée et limitée aux risques substantiels du sous-traitant ultérieur concerné en matière de protection des données. Les Parties recherchent une solution raisonnable. Si aucune solution équivalente n’est disponible et que le sous-traitant ultérieur est nécessaire, le Sous-traitant peut, à son choix, remplacer néanmoins le sous-traitant ultérieur ou désactiver la fonction affectée, et le Responsable du traitement peut uniquement mettre fin, avant l’engagement et sans indemnité de résiliation, au Service substantiellement et directement affecté. Un droit de résiliation ne s’applique pas aux Services non affectés. Les montants payés d’avance pour la période non fournie sont remboursés au prorata.

6.4. Le Sous-traitant impose au sous-traitant ultérieur, par un contrat écrit, des obligations de protection des données en substance identiques, avec des garanties appropriées concernant les mesures techniques et organisationnelles. Le Sous-traitant demeure responsable envers le Responsable du traitement de l’exécution par le sous-traitant ultérieur.

6.5. Lorsque le Client active ou configure une intégration optionnelle avec un service tiers, le rôle en matière de protection des données est déterminé par le traitement effectif et non exclusivement par le compte ou les identifiants utilisés. Dans la mesure où le Client engage directement le tiers dans le cadre de son propre contrat et où le Sous-traitant établit uniquement une liaison technique sur instruction documentée, ce tiers n’est pas un sous-traitant ultérieur du Sous-traitant et le Client répond lui-même du contrat applicable, de la base juridique et des éventuelles garanties de transfert. En revanche, si le Sous-traitant engage lui-même le tiers pour traiter des données à caractère personnel pour le compte du Client, ce tiers est réputé sous-traitant ultérieur et le présent article s’applique, indépendamment des identifiants techniquement utilisés.

Article 7 — Sécurité

7.1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte, des finalités et des risques, le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD. Les mesures standard actuelles figurent à l’Annexe B.

7.2. Le Sous-traitant peut remplacer des mesures par des mesures matériellement équivalentes ou meilleures, pour autant que le niveau général de sécurité ne diminue pas. Une diminution substantielle est communiquée au préalable et traitée comme une modification du présent DPA.

7.3. Le Responsable du traitement et ses Utilisateurs demeurent responsables de leurs terminaux, de l’attribution correcte des rôles, de la confidentialité des moyens d’authentification, de l’activation des options de sécurité disponibles et de la révocation en temps utile des accès.

Article 8 — Violations de données à caractère personnel

8.1. Le Sous-traitant notifie toute violation de données à caractère personnel sans retard injustifié au point de contact enregistré par le Responsable du traitement, après que le Sous-traitant a acquis, sur la base des informations raisonnablement disponibles, un degré raisonnable de certitude qu’un incident de sécurité a affecté des données à caractère personnel du Responsable du traitement. Les procédures internes d’escalade ou d’équipe ne diffèrent pas ce moment. Le Sous-traitant s’efforce de fournir une première notification dans les quarante-huit (48) heures suivant l’obtention de cette certitude.

Une première notification peut être échelonnée et incomplète si toutes les informations ne sont pas encore disponibles. Un signal de sécurité non encore confirmé, une vulnérabilité ou un incident sans indication raisonnable que des données à caractère personnel du Responsable du traitement ont été affectées ne vaut pas connaissance d’une violation de données à caractère personnel. Le présent article ne limite pas l’obligation légale de notification du Sous-traitant au titre de l’article 33, paragraphe 2 du RGPD.

8.2. La notification contient, dans la mesure où ils sont connus : la nature de la violation ; les catégories et une approximation du nombre de personnes concernées et d’enregistrements ; le point de contact ; les conséquences probables ; et les mesures prises ou proposées. Le Sous-traitant fournit des compléments dès qu’ils sont disponibles.

8.3. Le Sous-traitant prête une assistance raisonnable pour l’enquête, la limitation, la remédiation et l’appréciation de la nécessité d’une notification à une autorité de contrôle ou à une personne concernée. Le Responsable du traitement décide de ses notifications au titre des articles 33 et 34 du RGPD, sauf disposition légale contraire.

8.4. Chaque Partie supporte les coûts raisonnables d’incident et d’assistance à proportion de la cause dont elle est responsable. Le Responsable du traitement rembourse les coûts raisonnables supplémentaires du Sous-traitant dans la mesure où un incident a été causé par les systèmes, Utilisateurs, identifiants, intégrations, instructions ou manquements du Responsable du traitement et non par un manquement du Sous-traitant.

Article 9 — Assistance

9.1. Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable du traitement, dans la mesure du possible par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes des personnes concernées au titre des articles 12 à 23 du RGPD. Le Sous-traitant ne répond pas lui-même à une telle demande, sauf sur instruction ou obligation légale.

9.2. Compte tenu de la nature du traitement et des informations disponibles, le Sous-traitant aide au respect des articles 32 à 36 du RGPD, notamment la sécurité, les violations de données, les analyses d’impact relatives à la protection des données et la consultation préalable.

9.3. L’assistance standard dans le cadre du fonctionnement normal est incluse. Une assistance extraordinaire, spécifique au client, peut être facturée après estimation préalable si elle ne résulte pas d’un manquement du Sous-traitant et si l’obligation légale d’assistance n’en devient pas illusoire.

Article 10 — Localisation et transferts internationaux

10.1. L’hébergement primaire, les bases de données et les sauvegardes primaires se trouvent au sein de l’EEE chez OVHcloud. Les sauvegardes hors site chiffrées se trouvent au sein de l’EEE chez Hetzner. Les e-mails transactionnels sont traités au sein de l’EEE par Scaleway. La détection de spam basée sur l’IA appliquée aux soumissions de formulaires est traitée au sein de l’EEE par Mistral AI, avec zero data retention.

10.2. Pour les services CDN, Bunny.net peut traiter le contenu des sites web, les données techniques de requête et les adresses IP via des emplacements edge mondiaux. Un transfert en dehors de l’EEE peut de ce fait avoir lieu.

10.3. Un transfert vers un pays tiers ou une organisation internationale n’a lieu que sur instruction documentée ou via un sous-traitant ultérieur autorisé et avec un mécanisme valide du chapitre V du RGPD, tel qu’une décision d’adéquation ou les modules applicables des clauses contractuelles types de la décision d’exécution (UE) 2021/914. Lorsque cela est requis, le Sous-traitant évalue le transfert et prend des mesures techniques, organisationnelles ou contractuelles supplémentaires.

10.4. Le Sous-traitant informe le Responsable du traitement de toute modification substantielle du mécanisme de transfert via la procédure relative aux sous-traitants ultérieurs.

Article 11 — Transparence envers les personnes concernées

11.1. Le Responsable du traitement fournit les informations visées aux articles 13 et 14 du RGPD pour ses propres traitements liés à son site web, ses applications, ses formulaires, ses clients, ses membres, sa boutique et autres. Le Sous-traitant fournit un soutien technique raisonnable lorsque cela doit se faire via la Plateforme.

11.2. Zenjoy fournit elle-même, pour son propre traitement visé à l’article 1.5, les informations via la Déclaration de confidentialité de la plateforme Nimbu.

Article 12 — Restriction d’accès

12.1. Le Sous-traitant utilise des centres de données physiques de fournisseurs d’infrastructure professionnels et limite l’accès logique d’administration selon le principe du besoin d’en connaître, une authentification forte, une gestion centralisée des accès et une journalisation, comme décrit à l’Annexe B.

12.2. Le Responsable du traitement peut recevoir des informations sur les catégories d’accès pertinentes et les mesures de contrôle. Les noms des membres individuels du personnel ne sont communiqués que si cela est nécessaire et licite.

Article 13 — Documentation et démontrabilité

13.1. Le Sous-traitant tient une documentation interne appropriée concernant la sécurité, les sous-traitants ultérieurs, les incidents, la gestion des accès et l’exécution du présent DPA.

13.2. Le Sous-traitant met à disposition les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD, en protégeant les informations confidentielles, les autres clients et la sécurité de la Plateforme.

Article 14 — Audit

14.1. Le Responsable du traitement peut effectuer un audit lui-même ou par l’intermédiaire d’un auditeur indépendant, non concurrent et tenu à la confidentialité. En principe, cet audit a lieu au maximum une fois par période de douze mois, moyennant une notification préalable d’au moins trente jours, pendant les heures de bureau et sans perturbation inutile.

14.2. Les limitations de fréquence et de notification ne s’appliquent pas après une violation pertinente, sur demande raisonnable d’une autorité de contrôle ou lorsqu’il existe des indications concrètes d’un non-respect substantiel.

14.3. Les Parties utilisent d’abord les rapports, questionnaires et pièces justificatives disponibles lorsque ceux-ci suffisent raisonnablement. Le Responsable du traitement supporte ses coûts d’audit. Si un manquement substantiel du Sous-traitant est constaté, le Sous-traitant supporte ses propres coûts raisonnables de coopération et remédie au manquement sans retard injustifié.

14.4. Un audit se déroule en principe sur la base de la documentation et à distance. Il ne donne pas accès au code source, aux secrets ou identifiants, aux environnements ou données d’autres clients ni aux centres de données des sous-traitants ultérieurs, et ne comprend aucun test de pénétration, scan de vulnérabilités ou test de charge sans accord écrit préalable distinct. Les Parties exploitent au maximum les certifications existantes, les rapports d’audit et le dossier d’information standard du Sous-traitant. Le Sous-traitant peut facturer à des tarifs raisonnables le temps raisonnable excédant ce dossier standard, sauf lorsque l’audit démontre un manquement substantiel du Sous-traitant.

Article 15 — Responsabilité

15.1. L’article 82 du RGPD et les droits des personnes concernées et des autorités de contrôle ne sont pas limités. Un Sous-traitant est responsable envers une personne concernée aux conditions de l’article 82, paragraphe 2 du RGPD ; la répartition interne de la charge suit l’article 82, paragraphe 5 du RGPD.

15.2. Dans la mesure permise par la loi et exclusivement dans les rapports internes entre les Parties, chaque Partie est responsable du manquement qui lui est imputable. La responsabilité interne totale du Sous-traitant envers le Responsable du traitement pour toute réclamation découlant du traitement de données à caractère personnel au titre du présent DPA ou s’y rapportant, quel que soit le fondement contractuel, extracontractuel, légal ou autre et y compris une action récursoire au titre de l’article 82, paragraphe 5 du RGPD, est soumise au plafond de responsabilité majoré de l’article 9.6 du Contrat principal, sous réserve des cas non limitables de l’article 9.9 du Contrat principal. Ce plafond ne limite aucun droit direct d’une personne concernée, aucun pouvoir ni aucune amende d’une autorité de contrôle ni aucune autre responsabilité dont la limitation contractuelle est interdite par le droit impératif. La responsabilité du Responsable du traitement envers le Sous-traitant n’est pas limitée par le présent article.

15.3. Une Partie qui, conformément à l’article 82, paragraphe 4 du RGPD, a payé plus que la part dont elle est responsable peut, conformément à l’article 82, paragraphe 5 du RGPD, exercer un recours contre les autres parties concernées à proportion de leur part. Dans la mesure permise par la loi, tout recours interne du Responsable du traitement contre le Sous-traitant demeure soumis à l’article 15.2.

15.4. Le plafond de responsabilité de Zenjoy ne limite pas l’obligation du Responsable du traitement de garantir ou d’indemniser Zenjoy pour les réclamations de tiers ou de personnes concernées, les enquêtes des autorités de contrôle, les frais externes raisonnables de défense et, dans la mesure où ils sont légalement récupérables, les sanctions ou indemnités résultant de : (a) une instruction illicite ou incomplète ; (b) l’absence d’une base juridique valable ou de la transparence requise ; (c) le traitement de données non autorisées en vertu de l’article 3.3 ; (d) un manquement dans la sécurisation des terminaux, comptes, rôles, moyens d’authentification ou intégrations du client ; (e) les actes des Utilisateurs ou des tiers engagés par le Responsable du traitement ; ou (f) toute autre violation par le Responsable du traitement du RGPD ou du présent DPA, chaque fois exclusivement dans la mesure où la réclamation ou le dommage est imputable au Responsable du traitement. La responsabilité des Parties est appréciée selon leur part respective conformément à l’article 82, paragraphe 5 du RGPD, étant entendu que tout recours interne contre le Sous-traitant demeure, dans la mesure permise par la loi, soumis à l’article 15.2.

Article 16 — Droits sur les données

16.1. Entre les Parties, le Responsable du traitement conserve ses droits sur les données client. Le présent DPA ne transfère aucun droit de propriété intellectuelle.

16.2. Les droits d’exportation au titre du Data Act et la délimitation des actifs numériques transférables sont régis par l’article 10.2 du Contrat principal.

Article 17 — Fin, restitution et suppression

17.1. Après la fin des services de traitement, le Sous-traitant met les données à caractère personnel et les données client transférables à disposition selon le processus de changement de fournisseur (switching) du Contrat principal. La période standard de récupération est d’au moins trente (30) jours calendaires après la période de transition.

17.2. Au choix du Responsable du traitement, le Sous-traitant restitue les données à caractère personnel et les supprime selon la procédure prévue aux articles 17.3 et 17.4, ou les supprime sans restitution, sauf si le droit de l’Union ou le droit belge impose leur conservation. Ce choix peut être communiqué via la demande de changement de fournisseur ou de résiliation.

17.3. Après la période de récupération, le Sous-traitant supprime les données à caractère personnel des systèmes de production actifs. Des copies résiduelles ne peuvent subsister que dans les sauvegardes réalisées avant cette suppression. Elles sont supprimées ou écrasées selon les cycles documentés à l’Annexe B et au plus tard douze (12) mois après la fin de la période de récupération. Lorsque cela est techniquement applicable, le Sous-traitant peut rendre les copies résiduelles irrévocablement inaccessibles plus tôt par la destruction des clés de chiffrement correspondantes. Jusque-là, elles restent chiffrées, logiquement isolées et bloquées pour tout traitement opérationnel ou autre, sauf lorsque l’accès est strictement nécessaire à la restauration d’urgence. Les données actives supprimées ne sont pas incluses dans de nouvelles sauvegardes.

17.4. Lorsqu’une sauvegarde est restaurée avant la suppression définitive, le Sous-traitant réapplique toutes les suppressions effectuées depuis sa création avant que l’environnement restauré ne soit utilisé de manière opérationnelle ou sauvegardé à nouveau. Tant qu’une copie à conserver légalement existe, elle reste isolée, sécurisée et bloquée pour tout traitement autre que la conservation légale. Le Sous-traitant informe le Responsable du traitement, sur demande, du fondement légal et du délai applicable.

17.5. Sur demande, le Sous-traitant confirme la suppression des systèmes actifs et, à l’expiration du cycle de sauvegarde applicable, la suppression définitive des copies résiduelles. Les dispositions relatives à la confidentialité, à la sécurité et à la responsabilité demeurent applicables aussi longtemps que le Sous-traitant détient encore des données à caractère personnel.

Article 18 — Dispositions finales

18.1. En cas de contradiction, le présent DPA prime pour le traitement de données à caractère personnel effectué sur instruction. Pour les prix, la prestation de services générale et le changement de fournisseur (switching) au titre du Data Act, le Contrat principal prime, dans la mesure où cela ne limite pas l’article 28 du RGPD.

18.2. Les modifications du présent DPA suivent l’article 16 du Contrat principal et ne peuvent pas réduire le niveau de protection exigé par l’article 28 du RGPD.

18.3. Le droit belge est applicable. Le tribunal compétent est déterminé conformément à l’article 17 du Contrat principal.

18.4. L’acceptation électronique constitue un contrat écrit valable sous forme électronique et est enregistrée conformément à l’article 1 du Contrat principal.

Annexe A — Spécification du traitement

Élément	Spécification
Responsable du traitement	Le Client tel qu’identifié dans le Contrat principal et l’environnement d’administration.
Sous-traitant	Zenjoy BV, Blijde Inkomststraat 22, 3000 Leuven, BCE BE 0838.367.436.
Objet	Hébergement, stockage, mise à disposition, sauvegarde, gestion technique, sécurité, support, export et suppression dans la plateforme Nimbu.
Nature du traitement	Recevoir, enregistrer, structurer, stocker, consulter sur instruction, transmettre techniquement, sécuriser, sauvegarder, restaurer, exporter et supprimer.
Finalités	Fourniture et sécurisation des sites web, applications web, formulaires, bases de données, boutiques, apps et fonctions Nimbu associées configurés par le Client.
Durée	La durée du Contrat principal, plus la période de transition, de récupération et de suppression techniquement nécessaire visée à l’article 17.
Catégories de personnes concernées	Au choix du Client, notamment les visiteurs de sites web, prospects, clients, membres, donateurs, fournisseurs, personnes de contact, travailleurs, candidats et utilisateurs finaux du Client.
Types de données à caractère personnel	Au choix du Client, notamment les données d’identification et de contact, les données de compte et d’authentification, les données de communication et de formulaires, les données de clients et de membres, les données de transaction, de commande, de statut de paiement et de livraison, le contenu, les identifiants techniques et les données d’utilisation. Les données de carte de paiement complètes ne doivent pas être stockées dans Nimbu lorsqu’un prestataire de paiement a été désigné à cet effet.
Données particulières	Non autorisées sans l’addendum visé à l’article 3.3.
Fréquence	En continu, selon l’utilisation par le Client et ses utilisateurs finaux.
Lieu de stockage	Production primaire et sauvegarde primaire au sein de l’EEE chez OVHcloud ; sauvegarde hors site chiffrée au sein de l’EEE chez Hetzner ; autres lieux conformément à l’article 10 et à la liste des sous-traitants ultérieurs.
Droits et obligations du Client	Détermine les finalités et les instructions licites ; gère les Utilisateurs et les durées de conservation ; assure la transparence ; traite les droits des personnes concernées ; reçoit les informations, l’assistance, l’export et les droits d’audit conformément au présent DPA.

Annexe B — Mesures techniques et organisationnelles

Les mesures ci-dessous sont les mesures standard au 27 juillet 2026. La présente Annexe décrit les catégories contraignantes et les objectifs minimaux des mesures techniques et organisationnelles appliquées par Zenjoy. Les produits, fournisseurs, outils, exemples d’architecture et détails d’implémentation mentionnés sont indicatifs et peuvent être remplacés conformément à l’article 7.2 sans modification du présent DPA, pour autant que Zenjoy maintienne un niveau général de sécurité matériellement équivalent ou supérieur.

Les fréquences et cadences mentionnées décrivent la configuration standard et les objectifs opérationnels de Zenjoy. Elles ne constituent pas un SLA distinct et n’emportent aucune garantie que chaque exécution individuellement planifiée de sauvegarde, de revue, de scan ou de test s’achève sans interruption ni erreur. Un écart occasionnel ne constitue pas en soi un manquement lorsque Zenjoy applique des mesures alternatives appropriées et que le niveau général de sécurité n’est pas substantiellement réduit. Seul un délai expressément désigné dans la présente Annexe comme minimum contractuel ou maximum contractuel vaut comme tel. La durée de conservation maximale de douze (12) mois pour les points de restauration et les copies résiduelles ainsi que les obligations de suppression qui y sont liées valent comme maximum contractuel.

La présente Annexe ne constitue pas un SLA et ne crée aucune disponibilité garantie, aucun délai de restauration, aucun recovery point objective, aucun service d’archivage ni aucune garantie que chaque point de restauration individuel soit toujours utilisable. Des obligations spécifiques de RPO, de RTO ou de restauration ne s’appliquent que si elles ont été expressément convenues dans un SLA distinct.

1. Architecture et isolation des tenants

La production et le staging tournent dans des clusters Kubernetes distincts et logiquement séparés sur des machines virtuelles, avec leurs propres VLAN, des routeurs et pare-feu redondants et une politique de périmètre default-deny. L’infrastructure de virtualisation sous-jacente peut partager des hôtes physiques.
Au sein de la plateforme SaaS, les données des clients sont isolées par tenant au niveau applicatif par un tenant-scoping obligatoire de l’accès aux données.
Les interfaces d’administration et l’accès aux clusters ne sont pas directement accessibles publiquement.

2. Gestion des identités et des accès

L’accès à l’infrastructure requiert d’abord une connexion VPN authentifiée par personne via Tailscale/Headscale et le fournisseur d’identité central avec authentification à deux facteurs imposée.
L’accès aux clusters passe en complément par Teleport avec GitHub SSO et WebAuthn. Les interfaces d’administration utilisent Authentik SSO et n’admettent que des comptes d’organisation protégés par 2FA.
Les droits d’infrastructure sont gérés de manière centralisée via des comptes liés à l’organisation et une équipe GitHub centrale. L’offboarding au niveau de la couche d’identité révoque l’accès à l’infrastructure qui y est lié.
Les appartenances et les droits d’accès élevés font l’objet d’une évaluation formelle périodique, avec un rythme cible opérationnel d’une fois par trimestre, et la revue est enregistrée.
Nimbu offre des rôles et des droits pour les administrateurs du client. Le Client gère ses propres Utilisateurs et révoque les accès qui ne sont plus nécessaires.

3. Chiffrement et gestion des clés

Le stockage en blocs Ceph RBD primaire est chiffré par volume avec LUKS/AES-256. Les clés sont gérées en dehors de l’infrastructure dans un gestionnaire de secrets distinct.
Les secrets Kubernetes sont chiffrés dans etcd. Les secrets dans la gestion de configuration sont chiffrés avec SOPS/age.
Les sauvegardes de bases de données sont chiffrées. Les sauvegardes MongoDB utilisent SSE-C AES-256, Zenjoy gérant la clé ; les sauvegardes PostgreSQL utilisent un chiffrement AES-256 côté serveur. Les sauvegardes hors site sont stockées sous forme chiffrée.
Les mots de passe ne sont pas stockés en clair mais traités avec une fonction à sens unique appropriée et un salt.

4. Sécurité du transport

Les endpoints publics ne sont accessibles que via HTTPS avec des certificats TLS gérés et renouvelés automatiquement via Let’s Encrypt et cert-manager.
Les connexions PostgreSQL et MongoDB prises en charge passent par TLS.
L’API Kubernetes et etcd utilisent le TLS mutuel pour la couche de contrôle du cluster.

5. Sauvegarde, conservation et restauration

Les sauvegardes primaires sont conservées chez OVHcloud ; des copies hors site chiffrées et géographiquement séparées sont conservées chez Hetzner.
MongoDB dispose d’une point-in-time recovery continue avec une granularité de dix minutes, complétée par au maximum 60 points de restauration quotidiens, 12 hebdomadaires et 12 mensuels. Aucun point de restauration n’est conservé plus de douze (12) mois (maximum contractuel), de sorte que tous les cycles de sauvegarde documentés expirent dans les douze mois.
PostgreSQL fait l’objet de sauvegardes de base physiques deux fois par jour avec environ quatre-vingt-dix jours de conservation.
Des dumps MySQL sont réalisés toutes les quatre heures avec dix à quatorze jours de conservation.
Les volumes Kubernetes sont sauvegardés via Velero quotidiennement avec sept jours de conservation et hebdomadairement avec quatorze jours de conservation. Il existe en outre des sauvegardes nocturnes au niveau des VM.
La restauration et la point-in-time recovery sont opérationnelles. Zenjoy effectue périodiquement un exercice de restauration documenté vers un environnement hors production, avec un rythme cible opérationnel d’au moins une fois par semestre.
Les délais ci-dessus valent pour la continuité opérationnelle des comptes actifs. Après la résiliation, les données des clients sont supprimées des systèmes actifs à l’issue de la période de transition et de récupération. Des copies résiduelles ne peuvent alors subsister que dans des sauvegardes réalisées avant cette suppression. Elles sont supprimées ou écrasées à l’expiration de leur cycle documenté et au plus tard douze (12) mois après la fin de la période de récupération (maximum contractuel).
Les copies résiduelles de données de clients supprimées restent chiffrées, logiquement isolées et bloquées pour tout usage opérationnel. L’accès n’est autorisé que pour la restauration d’urgence nécessaire. Zenjoy tient les instructions de suppression disponibles pendant le cycle de sauvegarde applicable. La procédure de restauration exige que ces instructions soient réappliquées avant qu’un environnement restauré soit utilisé de manière opérationnelle ou fasse l’objet d’une nouvelle sauvegarde.

6. Journalisation, surveillance et détection

Les journaux applicatifs et systèmes sont envoyés de manière centralisée via TLS vers OVH Logs Data Platform. Ils restent trente jours en hot et consultables, puis au maximum un an en cold/archivés.
Les metrics restent disponibles quatorze jours en pleine résolution et sont conservées, après downsampling, au maximum deux ans.
La surveillance et l’alerting continus passent par Prometheus et Alertmanager vers l’équipe opérationnelle, avec un heartbeat externe comme dead-man’s-switch.
Les erreurs sont suivies dans un environnement GlitchTip self-hosted au sein de l’infrastructure OVH.

7. Mises à jour et gestion des vulnérabilités

Les images de conteneurs, le code d’infrastructure et les dépendances pertinentes sont régulièrement contrôlés, à l’aide d’outils automatisés tels que Renovate et GitHub Dependabot, quant aux mises à jour et aux vulnérabilités connues. Les mises à jour de sécurité sont évaluées, testées et déployées sur la base du risque, dans un délai adapté à la gravité, à l’exposition et à l’impact opérationnel.
Les mises à jour mineures et les patchs sont appliqués de manière automatisée lorsque cela est approprié. Les upgrades de l’OS et de Kubernetes suivent une procédure planifiée de rolling upgrade avec des health checks par nœud.
Les dependency security alerts, Renovate, Docker Scout et gitleaks soutiennent le suivi continu des vulnérabilités et des secrets.
Les mises à jour de sécurité sont déployées via le processus de mise à jour selon le risque et l’urgence.

8. Développement et gestion des changements

Les changements sont gérés via le contrôle de versions, des contrôles automatisés et des environnements de staging et de production séparés.
Lors du développement et de la review, il est tenu compte des risques pertinents de sécurité web, dont l’OWASP Top 10.
L’accès aux données de production à des fins de support ou de maintenance est limité aux cas nécessaires, aux personnes habilitées et à une journalisation appropriée.

9. Réponse aux incidents et continuité

L’équipe d’ingénierie triage les incidents de sécurité sur la base de la surveillance, des alertes et du suivi des erreurs. Le point de contact pour les clients est help@zenjoy.be.
Zenjoy maintient une procédure de réponse aux incidents documentée et concise, avec les rôles, l’escalade, la conservation des preuves, la communication aux clients et l’évaluation a posteriori.
Les incidents relatifs aux données à caractère personnel sont traités conformément à l’article 8 du présent DPA.

10. Fournisseurs et évaluation

Les sous-traitants ultérieurs sont sélectionnés et liés contractuellement conformément à l’article 6.
Zenjoy évalue périodiquement l’efficacité des mesures, ainsi qu’après des incidents pertinents ou des modifications matérielles de l’architecture.