Accord de traitement des données (DPA)

Le présent accord de traitement des données (l’« Accord » ou « DPA ») encadre, au sens de l’article 28 du règlement (UE) 2016/679 (« RGPD »), les traitements de données à caractère personnel réalisés par Cyber Dream SAS (« Cyber Dream ») pour le compte du Client dans le cadre des Services mlab.

Il fait partie intégrante du Contrat défini aux Conditions Générales de Vente et s’applique de plein droit à tout Client professionnel, sans signature séparée, dès l’acceptation des Conditions Générales de Vente. Un exemplaire signé peut être fourni sur demande à [email protected], sans en modifier le contenu. Les termes « responsable du traitement », « sous-traitant », « données à caractère personnel », « violation de données » et « personne concernée » ont le sens que leur donne le RGPD.

Pour les données que le Client ou ses Utilisateurs soumettent aux Services (fichiers, scripts, échantillons, emails, indicateurs, requêtes), pour les données lues sur instruction du Client (code source des dépôts connectés, historique et métadonnées Git, secrets détectés) et pour les résultats d’analyse qui s’y rapportent, y compris ceux des audits actifs et des scans de plages IP, le Client est responsable du traitement et Cyber Dream agit en qualité de sous-traitant, dans les limites du présent Accord.

Sont exclus du présent Accord, car Cyber Dream en est responsable du traitement : les données des comptes Utilisateurs (identification, authentification, facturation, préférences, journaux de sécurité), les connexions aux forges logicielles (identité du membre qui autorise la connexion, identifiants de l’installation ou de l’autorisation), le journal d’audit de l’organisation et les éléments prouvant l’autorisation de lancer une analyse, régis par la Politique de confidentialité, et les traitements que Cyber Dream réalise pour ses propres finalités, limitativement énumérés à l’article 11.

Cyber Dream s’engage à :

• ne traiter les données que sur instruction documentée du Client, constituée par le Contrat et par l’utilisation que le Client fait des Services et de leurs paramètres, y compris en ce qui concerne les transferts hors de l’Union européenne, sauf obligation légale dont elle informe le Client lorsque la loi le permet ;
• informer immédiatement le Client si une instruction lui paraît contraire au RGPD ou à une autre disposition applicable ;
• garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et disposent de la qualification prévue à l’article 10 des Conditions Générales d’Utilisation ;
• mettre en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD ;
• ne pas réutiliser les données du Client en dehors de la fourniture des Services, sous la seule réserve des traitements limitativement énumérés à l’article 11 ;
• ne faire examiner aucun échantillon du Client par un analyste, sauf accord exprès de l’organisation (opt-in) ;
• ne pas vendre les données, ne pas les utiliser à des fins publicitaires ou de profilage de personnes, et ne pas les utiliser pour entraîner ou affiner un modèle d’intelligence artificielle ;
• tenir un registre des traitements réalisés pour le compte du Client.

Le Client autorise de manière générale Cyber Dream à recourir aux sous-traitants ultérieurs suivants pour les données objet du présent Accord :

Les autres traitements sont réalisés sur l’infrastructure privée de Cyber Dream, située en France. Cyber Dream impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord et reste responsable envers le Client de leur respect.

Cyber Dream informe le Client par email de tout ajout ou remplacement d’un sous-traitant ultérieur au moins trente (30) jours à l’avance. Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données pendant ce délai. À défaut de solution acceptable, il peut résilier les Services concernés sans frais, avec remboursement au prorata des sommes versées pour la période non consommée.

La consultation du service de réputation de fichiers de CIRCL (Luxembourg) porte uniquement sur des empreintes de fichiers (hash) et non sur des données personnelles. CIRCL agit en responsable indépendant, comme décrit dans la Politique de confidentialité.

Lorsque des données sont traitées hors de l’Union européenne par un sous-traitant ultérieur, le transfert repose sur une décision d’adéquation, notamment le Data Privacy Framework UE-États-Unis pour les entités certifiées, ou à défaut sur les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), complétées si nécessaire par des mesures supplémentaires.

Cyber Dream met en œuvre des mesures techniques et organisationnelles adaptées au risque, au sens de l’article 32 du RGPD, et les fait évoluer selon l’état de l’art. Une description de ces mesures est communiquée au Client professionnel sur demande.

Cyber Dream notifie au Client toute violation de données affectant les données objet du présent Accord sans délai injustifié et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par email à l’adresse du propriétaire de l’organisation. La notification comprend, dans la mesure où elles sont disponibles, les informations prévues à l’article 33.3 du RGPD, complétées au fur et à mesure. Il appartient au Client, en sa qualité de responsable du traitement, de notifier l’autorité de contrôle et, le cas échéant, les personnes concernées.

Compte tenu de la nature du traitement, Cyber Dream aide le Client, dans la mesure du possible :

• à répondre aux demandes d’exercice des droits des personnes concernées ; toute demande reçue directement par Cyber Dream et relative aux données du Client lui est transmise sans délai ;
• à réaliser une analyse d’impact relative à la protection des données et, le cas échéant, à consulter l’autorité de contrôle ;
• à respecter ses obligations de sécurité et de notification des violations.

Une assistance allant au-delà de la documentation disponible et de l’usage normal des Services peut être facturée à un tarif raisonnable convenu à l’avance.

Cyber Dream met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord, en premier lieu sous forme documentaire (réponses à un questionnaire de sécurité, description des mesures, justificatifs).

Si ces éléments ne suffisent pas, ou à la demande d’une autorité de contrôle, le Client peut faire réaliser un audit, au plus une fois par période de douze (12) mois sauf violation de données, moyennant un préavis écrit de trente (30) jours, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de Cyber Dream. L’audit se déroule pendant les heures ouvrées, sans perturber les Services ni donner accès aux données d’autres clients. Ses coûts sont à la charge du Client, sauf s’il révèle un manquement substantiel de Cyber Dream.

À la fin du Contrat, Cyber Dream cesse tout traitement pour le compte du Client : les analyses planifiées sont arrêtées, et Cyber Dream renonce aux accès en lecture aux forges connectées, dont elle supprime les autorisations qu’elle détient.

Sont supprimés selon les durées prévues à la section 6 de la Politique de confidentialité, sauf obligation légale de conservation :

• les données de l’organisation (cases, clés API, webhooks, scans planifiés) et l’historique rattaché au compte ;
• les actifs déclarés (domaines, plages d’adresses IP, dépôts) ;
• les résultats des scans de plages IP, des audits actifs et des analyses de code, y compris les extraits et secrets masqués ;
• les données lues sur les dépôts connectés (historique des commits, contributeurs, mainteneurs) et les notifications d’événements reçues des forges.

Pendant trente (30) jours à compter de la fin du Contrat, le Client peut demander l’export de ses données à [email protected].

Cette suppression ne s’étend pas aux données conservées par Cyber Dream en qualité de responsable indépendant dans les conditions de l’article 11, qui ne comprennent jamais les données RedKit exclues par cet article. Elle ne s’étend pas non plus aux éléments prouvant l’autorisation de lancer une analyse, que Cyber Dream conserve en qualité de responsable de traitement pendant la durée prévue par la Politique de confidentialité.

Pour les Clients titulaires d’une offre payante, Cyber Dream agit en qualité de sous-traitant et ne réutilise pas les données du Client en dehors de la fourniture des Services. Par exception, et uniquement pour les traitements suivants, Cyber Dream agit en qualité de responsable du traitement indépendant, sur le fondement de son intérêt légitime (article 6.1.f du RGPD) :

• la sécurité des Services et la prévention des usages frauduleux ou abusifs ;
• la conservation, jusqu’à 3 ans, des indicateurs techniques dérivés de l’analyse (empreintes MD5, SHA-1, SHA-256, ssdeep et TLSH, type, taille, verdict, règles YARA déclenchées, correspondance MITRE ATT&CK, indicateurs de compromission malveillants extraits), à des fins de détection des menaces. Ces indicateurs sont détachés du compte et de l’organisation et ne comportent aucune donnée personnelle : le contenu des fichiers n’en fait jamais partie ;
• le respect de ses obligations légales et la défense de ses droits.

Pour ces finalités, Cyber Dream s’interdit de vendre les données, de les utiliser à des fins publicitaires, de profiler ou d’identifier des personnes, de les utiliser pour entraîner ou affiner un modèle d’intelligence artificielle, et de rendre les fichiers soumis accessibles à d’autres utilisateurs. Elle ne communique à des tiers que des indicateurs malveillants (empreintes, serveurs de commande et de contrôle, domaines), jamais le contenu d’un fichier ni l’identité du Client. Aucun échantillon du Client n’est examiné par un analyste sans l’accord exprès de l’organisation.

Exclusion des données RedKit. Sont exclues de tout traitement au titre de l’amélioration des mécanismes de détection et de la base de réputation les données produites ou collectées par les modules RedKit, traitées exclusivement pour le compte du Client :

• l’analyse de code source : contenu des dépôts, historique et métadonnées Git, secrets détectés et constats ;
• les audits actifs de domaines et les scans de plages d’adresses IP : requêtes, réponses, services exposés et vulnérabilités relevés ;
• la liste des actifs déclarés et les éléments transmis pour en prouver la maîtrise.

Pour la sécurité des Services, la prévention des abus, le respect des obligations légales et la défense de ses droits, Cyber Dream ne conserve de ces activités que les données de traçabilité nécessaires (organisation, membre ou clé API à l’origine de l’analyse, actif visé, date, module utilisé), à l’exclusion de leur contenu. Ces données restent des Informations Confidentielles du Client au sens de l’article 11 des Conditions Générales de Vente.

Il appartient au Client d’informer les personnes concernées de ces traitements lorsque la réglementation l’impose. Les Clients disposant d’un contrat Enterprise peuvent convenir, par conditions particulières, d’exclure tout ou partie de ces traitements.

Le Client garantit qu’il dispose d’une base légale pour soumettre les données aux Services et pour autoriser les traitements prévus à l’article 11, qu’il a informé les personnes concernées lorsque la réglementation l’impose, et que ses instructions sont conformes au RGPD. Il configure les Services, notamment les rôles et accès de son organisation, conformément à ses propres obligations.

Lorsqu’il connecte des dépôts de code, le Client informe ses développeurs, salariés et prestataires, ainsi que, dans la mesure du possible, les contributeurs externes à ses dépôts, de l’analyse de ces dépôts par les Services (articles 13 et 14 du RGPD). Il peut reprendre à cette fin, dans sa charte informatique ou sa notice d’information, le paragraphe type suivant, à adapter à sa situation :

« [Nom de l’organisation] analyse automatiquement le code source de ses dépôts [GitHub / GitLab] afin d’y détecter des vulnérabilités, des secrets exposés (mots de passe, clés, jetons) et des dépendances vulnérables. Cette analyse est confiée à Cyber Dream SAS (mlab.sh), qui agit en qualité de sous-traitant pour le compte de [Nom de l’organisation] et héberge les données en France.

Sont traités, pour chaque commit : le nom, l’identifiant et l’adresse email de son auteur, le message de commit, ainsi que les identifiants des contributeurs et mainteneurs des dépôts. Ce traitement repose sur l’intérêt légitime de [Nom de l’organisation] à assurer la sécurité de ses systèmes d’information (article 6.1.f du RGPD). Il n’a pas pour objet d’évaluer le travail ou le comportement des développeurs.

Les résultats d’analyse sont conservés [durée de l’historique de l’offre souscrite], et les données lues sur les dépôts pendant la durée de leur connexion au service. Vous disposez des droits d’accès, de rectification, d’effacement, de limitation et d’opposition, que vous pouvez exercer auprès de [contact ou délégué à la protection des données de l’organisation]. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr). »

En cas de contradiction entre le présent Accord et les autres documents du Contrat, le présent Accord prévaut pour ce qui concerne la protection des données personnelles. La responsabilité de chaque partie au titre du présent Accord est soumise aux limitations prévues au Contrat, sans préjudice de l’article 82 du RGPD.

Le présent Accord est modifié selon les modalités applicables aux Conditions Générales, avec un préavis de trente (30) jours pour toute modification substantielle. Il est régi par le droit français ; les litiges relèvent des juridictions prévues aux Conditions Générales de Vente.