Accord de traitement des données (DPA)
Le présent accord (le « DPA ») fait partie du Contrat d’utilisation de la plateforme TOONAH (le « Contrat ») conclu entre le Client (responsable de traitement) et TOONAH SAS (sous-traitant). Il met en œuvre l’article 28 du règlement (UE) 2016/679 (« RGPD »). Les termes définis dans le Contrat ou le RGPD ont le même sens ici.
1. Objet et durée
1.1. TOONAH traite des données personnelles pour le compte du Client dans le seul but de fournir la plateforme et les services du Contrat. Les traitements sont décrits à l’annexe 1.
1.2. Le DPA s’applique pendant la durée du Contrat et jusqu’à la suppression ou la restitution de toutes les données personnelles traitées pour le Client.
2. Instructions du Client
2.1. TOONAH ne traite les données que sur instruction documentée du Client. Constituent des instructions : le Contrat, le DPA, le paramétrage de l’espace par ses Administrateurs (utilisateurs, rôles, intégrations, paramètres d’IA, apprentissage) et les demandes écrites du Client.
2.2. TOONAH informe immédiatement le Client si une instruction lui paraît contraire au RGPD ou au droit applicable.
2.3. Si le droit de l’Union ou d’un État membre impose à TOONAH un traitement, TOONAH en informe le Client avant le traitement, sauf interdiction légale.
3. Obligations du Client
Le Client détermine les finalités et les bases légales des traitements, informe les personnes concernées, veille à n’introduire que des données nécessaires et licites, gère les droits d’accès de ses utilisateurs et choisit, en connaissance de cause, les fournisseurs d’IA activés pour son espace (annexe 2).
4. Confidentialité
TOONAH veille à ce que les personnes autorisées à traiter les données s’engagent à la confidentialité ou soient soumises à une obligation légale appropriée, et n’y accèdent que dans la mesure nécessaire à leur mission.
5. Sécurité
TOONAH met en œuvre les mesures techniques et organisationnelles de l’annexe 3, appropriées au risque (article 32 du RGPD). Il peut les faire évoluer sans réduire le niveau global de protection.
6. Sous-traitants ultérieurs
6.1. Le Client autorise de manière générale TOONAH à recourir aux sous-traitants ultérieurs de l’annexe 2.
6.2. TOONAH informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins [À COMPLÉTER : 30] jours à l’avance, par e-mail aux Administrateurs et dans la plateforme. Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données dans ce délai ; à défaut d’accord, il peut résilier le service concerné [À COMPLÉTER : modalités, remboursement prorata].
6.3. Les fournisseurs d’IA dont l’usage dépend d’une activation par le Client (annexe 2, partie B) ne traitent les données de l’espace qu’après cette activation par un Administrateur, qui vaut instruction.
6.4. TOONAH impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du DPA, et reste responsable de leur exécution envers le Client.
7. Transferts hors de l’Espace économique européen
7.1. Les données sont hébergées en France. TOONAH ne transfère de données hors de l’EEE que dans les cas de l’annexe 2, et avec une garantie appropriée au sens du chapitre V du RGPD : décision d’adéquation (y compris le cadre UE–États-Unis de protection des données pour les entités certifiées) ou clauses contractuelles types de la Commission européenne (décision (UE) 2021/914, module 3 entre TOONAH et le sous-traitant ultérieur), complétées si nécessaire de mesures supplémentaires.
7.2. [À COMPLÉTER : analyses d’impact des transferts (TIA) pour Anthropic, Google Cloud, Stripe et OpenAI le cas échéant ; mise à disposition sur demande.]
8. Assistance au Client
8.1. Demandes des personnes. TOONAH transmet au Client sans délai toute demande d’exercice de droits reçue directement et ne répond pas lui-même, sauf instruction. La plateforme permet au Client de consulter, rectifier, exporter et supprimer les données de son espace ; TOONAH l’assiste au-delà [À COMPLÉTER : conditions, éventuellement facturées].
8.2. Analyses d’impact et consultation préalable. TOONAH fournit au Client les informations nécessaires à ses analyses d’impact (article 35 du RGPD) et, le cas échéant, à la consultation de l’autorité de contrôle.
9. Violations de données
9.1. TOONAH notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans un délai de [À COMPLÉTER : nombre d’heures, par exemple 48] heures, à l’adresse de ses Administrateurs.
9.2. La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou envisagées, et un point de contact. Les informations peuvent être fournies en plusieurs fois.
9.3. Il appartient au Client, responsable de traitement, de notifier l’autorité de contrôle et, le cas échéant, les personnes concernées.
10. Sort des données à la fin du Contrat
À la fin du Contrat, TOONAH restitue les données au Client dans un format standard, à sa demande, pendant [À COMPLÉTER : délai], puis les supprime, y compris les copies, sauf obligation légale de conservation. La suppression dans les sauvegardes intervient au terme de leur rotation (annexe 3). TOONAH confirme la suppression par écrit sur demande.
11. Audits
11.1. TOONAH met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD : le présent DPA et ses annexes, [À COMPLÉTER : rapports d’audit ou de tests d’intrusion disponibles, certifications éventuelles — aucune certification n’est revendiquée à ce jour].
11.2. Le Client peut faire réaliser un audit, à ses frais, par lui-même ou un auditeur indépendant tenu au secret, au plus une fois par an sauf violation de données, avec un préavis de [À COMPLÉTER : 30] jours, pendant les heures ouvrées et sans accès aux données des autres clients. [À COMPLÉTER : modalités, prise en charge des coûts.]
12. Registre
TOONAH tient un registre des catégories d’activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).
13. Responsabilité
La responsabilité des parties au titre du DPA est régie par le Contrat, sans préjudice de l’article 82 du RGPD.
Annexe 1 — Description des traitements
| Élément | Description |
|---|---|
| Nature des traitements | Hébergement, stockage, organisation, consultation, calcul, recherche, analyse par des modèles d’IA, génération de contenus, transmission aux services connectés par le Client, sauvegarde, suppression |
| Finalités | Fournir au Client une plateforme de gouvernance, de gestion des risques, de conformité, de contrôle interne, d’audit et de diagnostic stratégique, avec un assistant d’IA ; support |
| Personnes concernées | Utilisateurs du Client ; salariés, dirigeants, mandataires, auditeurs, prestataires, clients ou autres tiers mentionnés dans le contenu saisi ou importé par le Client |
| Catégories de données | Identité et coordonnées professionnelles ; fonction et rattachement ; rôles et droits d’accès ; contenus de gouvernance, risques et conformité (risques, contrôles, constats, preuves, documents, incidents) ; données importées par les intégrations (annuaire, état de la double authentification, journaux de connexion, journaux techniques) ; questions, réponses et documents soumis à l’IA ; mémoire d’apprentissage si activée |
| Données sensibles | Aucune attendue. Le Client s’engage à ne pas en introduire sans nécessité ni base légale |
| Durée | Durée du Contrat et délai de restitution ; durées par défaut dans la Politique de collecte et de traitement des données |
| Lieu | France (hébergement) ; autres lieux selon l’annexe 2 |
Annexe 2 — Sous-traitants ultérieurs
A. Sous-traitants utilisés pour tous les espaces
| Sous-traitant | Service | Localisation des données | Garantie de transfert |
|---|---|---|---|
| OVH SAS (France) | Hébergement des serveurs (VPS), base de données PostgreSQL managée, stockage des sauvegardes externalisées si activé | France [À COMPLÉTER : centres de données et région de la base managée] | Pas de transfert (UE) |
| Mistral AI (France) | Modèles de langage (conversation, rédaction, planification) et représentations vectorielles pour la recherche | Union européenne [À COMPLÉTER : à confirmer selon le contrat] | Pas de transfert (UE) [À COMPLÉTER : à confirmer] |
| [À COMPLÉTER : prestataire d’envoi des e-mails, par exemple OVH SAS — serveur SMTP] | Envoi des e-mails transactionnels (noreply@toonah.io) | [À COMPLÉTER] | [À COMPLÉTER] |
B. Sous-traitants activés uniquement sur décision d’un Administrateur du Client
| Sous-traitant | Service | Localisation des données | Garantie de transfert |
|---|---|---|---|
| Google Cloud (Vertex AI) — [À COMPLÉTER : entité contractante] | Accès aux modèles Claude d’Anthropic pour l’analyse approfondie de documents | Région Union européenne de Google Cloud | Traitement dans l’UE ; [À COMPLÉTER : clauses contractuelles types / cadre UE–États-Unis pour l’accès éventuel depuis les États-Unis] |
| Anthropic PBC (États-Unis) — API directe | Modèles Claude | États-Unis | [À COMPLÉTER : clauses contractuelles types module 3 ou certification au cadre UE–États-Unis] ; mode refusé pour les espaces de la zone UE / EEE |
C. Autres prestataires
| Prestataire | Service | Statut |
|---|---|---|
| OpenAI | Transcription audio ; ancien modèle de représentations vectorielles | [À COMPLÉTER : confirmer s’il est actif en production ; sinon le retirer de la liste] |
| Stripe | Paiement des abonnements | Traite les données de facturation de l’organisation cliente, dont TOONAH est responsable de traitement (hors DPA) |
| GitHub | Hébergement du code source et des images logicielles | Ne traite aucune donnée des clients |
Les services connectés par le Client lui-même (Microsoft 365 / Entra ID, Google Workspace, outils de supervision, webhooks Slack ou Teams, fournisseur d’identité SSO) sont choisis et contractés par le Client ; ils ne sont pas des sous-traitants ultérieurs de TOONAH.
Annexe 3 — Mesures techniques et organisationnelles
Mesures en place à la date du présent projet, d’après le fonctionnement de la plateforme :
| Domaine | Mesures |
|---|---|
| Hébergement | Serveurs et base de données hébergés par OVH en France ; base de données managée accessible uniquement depuis le serveur applicatif (connexion chiffrée) ; aucune base exposée sur internet |
| Chiffrement en transit | HTTPS obligatoire (TLS, en-tête HSTS d’un an) sur le site, la plateforme et l’API |
| Chiffrement au repos | Secrets de double authentification chiffrés (libsodium) ; secrets des connecteurs, de l’authentification unique et des intégrations chiffrés (AES-256-GCM, clé dérivée par espace) ; codes de secours et mots de passe hachés ; [À COMPLÉTER : chiffrement du disque et de la base managée par l’hébergeur ; chiffrement des sauvegardes — non mis en place à ce jour] |
| Authentification | Mots de passe hachés (algorithme moderne choisi automatiquement par le framework) ; double authentification TOTP avec codes de secours et protection contre le rejeu ; authentification unique (SSO) selon l’offre ; jetons d’accès courts liés à leur surface (plateforme, console) et à leur titulaire, renouvellement limité à 30 jours |
| Protection contre les abus | Limitation du nombre de tentatives de connexion (5 échecs en 15 minutes) et du débit des requêtes sensibles ; verrouillage des comptes suspendus |
| Contrôle d’accès | Contrôle d’accès par rôles et par fonctionnalité dans chaque espace ; refus par défaut ; rôles distincts pour la console d’administration TOONAH |
| Isolation des clients | Chaque requête d’un utilisateur est restreinte à son espace par un filtre systématique au niveau de la couche d’accès aux données ; tests automatisés d’isolation |
| Traçabilité | Journal d’audit des actions sensibles (connexion, rôles, paramètres d’IA, accès d’assistance, publication et acceptation des documents contractuels) ; journaux applicatifs sans données personnelles en clair (adresses e-mail, liens et jetons exclus) |
| Intelligence artificielle | Choix du fournisseur par région ; fournisseur hors UE soumis à activation explicite ; journaux des appels sans contenu ; actions de l’IA soumises à confirmation humaine ; protections contre l’injection d’instructions dans l’assistant public |
| Sauvegardes et continuité | Sauvegarde quotidienne des bases de données et avant chaque déploiement ; copies locales conservées 14 jours, avec contrôle d’intégrité ; copie dans une autre région OVH si activée ; objectifs : perte de données maximale 24 h, rétablissement en 2 h ; procédure de test de restauration mensuelle documentée |
| Développement et exploitation | Revue de code, tests automatisés et contrôles de sécurité en intégration continue (dont la détection de secrets) ; déploiement en production soumis à approbation ; politique de sécurité du contenu (CSP) stricte sur les interfaces web |
| Organisation | Accès de production limité aux personnes habilitées ; accès d’assistance à un espace limité à 30 minutes et journalisé ; [À COMPLÉTER : engagements de confidentialité du personnel, sensibilisation, procédure de gestion des incidents et des violations de données, revue périodique des accès] |