Accord de traitement des données (DPA)
Le présent accord complète les conditions générales de vente conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD). Il s'applique dès lors que le Client transmet à CTI Forecast des données personnelles dans le cadre du service. Une version signée peut être fournie sur demande à [email protected].
1. Parties et rôles
Sous-traitant : Karim EL BOUNI, entrepreneur individuel exerçant sous le nom commercial CTI Forecast, SIRET 79918632500020, 28 rue Sœur Janin, 69005 Lyon, France (« CTI Forecast »).
Responsable du traitement : le Client, titulaire d'un compte CTI Forecast.
Pour les données du compte (email, société, facturation, statistiques d'utilisation), CTI Forecast agit en tant que responsable de traitement ; ce traitement est décrit dans les mentions légales et n'entre pas dans le champ du présent accord.
2. Objet du traitement confié
- Nature : comparaison, à la demande du Client, de valeurs (adresses IP, noms de domaine, URL, empreintes de fichiers) avec le flux de renseignement sur les menaces de CTI Forecast, via l'API, TAXII 2.1 ou les listes de blocage.
- Données concernées : les valeurs soumises par le Client, qui peuvent constituer des données personnelles lorsqu'il s'agit, par exemple, d'adresses IP extraites de ses journaux.
- Personnes concernées : utilisateurs, visiteurs ou correspondants des systèmes d'information du Client.
- Finalité : détection et prévention des menaces informatiques pour le compte du Client.
- Durée : le temps de traitement de chaque requête. CTI Forecast ne conserve pas les valeurs interrogées : elles ne sont ni enregistrées en base de données ni écrites dans les journaux du serveur. Seul le nombre de requêtes par jour et par compte est conservé, pour appliquer les quotas.
3. Obligations de CTI Forecast
- Traiter les données uniquement sur instruction documentée du Client, constituée par ses requêtes et par le présent accord, et ne jamais les utiliser à d'autres fins, notamment pour enrichir le flux, entraîner un modèle ou les communiquer à un tiers.
- Garantir la confidentialité : seul l'éditeur a accès aux systèmes ; il est tenu au secret.
- Mettre en œuvre les mesures de sécurité décrites à l'article 5.
- Ne recourir qu'aux sous-traitants ultérieurs listés à l'article 4, et informer le Client de tout changement au moins 30 jours à l'avance par email, le Client pouvant s'y opposer et résilier sans frais.
- Aider le Client à répondre aux demandes d'exercice des droits des personnes concernées et à remplir ses obligations des articles 32 à 36 du RGPD.
- Notifier au Client toute violation de données personnelles sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles.
- Mettre à disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permettre des audits raisonnables, sur préavis de 30 jours, au plus une fois par an sauf violation avérée.
- Informer immédiatement le Client si une instruction lui paraît contraire à la réglementation.
4. Sous-traitants ultérieurs
| Prestataire | Localisation | Rôle |
|---|---|---|
| Stripe Payments Europe, Ltd. | Irlande | Paiement et facturation |
| Cloudflare, Inc. | États-Unis | Diffusion et protection du site |
| Sendinblue SAS (Brevo) | France | Emails de service |
| Scaleway SAS | France | Sauvegardes chiffrées |
Les valeurs interrogées transitent par le réseau de Cloudflare (chiffrement TLS de bout en bout jusqu'au serveur) mais ne sont transmises à aucun autre prestataire. Les transferts hors de l'Union européenne reposent sur l'EU-US Data Privacy Framework et les clauses contractuelles types de la Commission européenne.
5. Mesures de sécurité
- Chiffrement des échanges (TLS 1.2 minimum, HSTS) ; serveur sans port entrant exposé sur Internet.
- Clés API et mots de passe stockés uniquement sous forme d'empreintes irréversibles.
- Double authentification disponible pour les comptes, obligatoire pour l'administration.
- Journaux du serveur sans paramètres d'URL, conservés 90 jours au plus.
- Sauvegardes chiffrées hébergées en France, immuables pendant 30 jours (protection contre les rançongiciels), restauration testée.
- Pare-feu, mises à jour de sécurité, surveillance continue de la disponibilité.
- Politique de divulgation responsable : sécurité.
6. Fin du contrat
CTI Forecast ne conservant pas les valeurs interrogées, aucune donnée confiée n'est à restituer à la fin du contrat. Les données du compte sont supprimées dès la suppression du compte par le Client depuis « Mon compte », puis disparaissent des sauvegardes chiffrées par rotation au plus tard 13 mois après.
7. Droit applicable
Le présent accord est soumis au droit français. Tout litige relève des juridictions compétentes désignées dans les conditions générales de vente.
