Accord de traitement des données (DPA)
Dernière mise à jour : 30 octobre 2026
1. Parties et rôles
Votre organisation (« le Client ») est responsable du traitement des données qu'elle envoie dans CheckOps. ClearCloud (« le Sous-traitant ») les traite pour son compte, dans le seul but de fournir le service décrit dans les CGU. Cet accord en fait partie.
2. Obligations du Sous-traitant (article 28.3 du RGPD)
- Ne traiter les données que sur instruction documentée du Client : l'utilisation du service vaut instruction.
- Garantir la confidentialité des personnes autorisées à y accéder.
- Mettre en œuvre les mesures de sécurité de l'annexe II.
- Ne recourir à un autre sous-traitant qu'aux conditions de l'annexe III.
- Aider le Client à répondre aux demandes d'exercice des droits et à remplir ses obligations de sécurité et de notification.
- Notifier au Client toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance.
- Supprimer les données à la fin du contrat, à la suppression du compte.
- Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations.
3. Obligations du Client
Le Client s'assure de disposer d'une base légale pour les données qu'il envoie et limite ces données au nécessaire. Les SBOM et résultats de scanners décrivent des logiciels : ils ne devraient pas contenir de données personnelles au-delà des noms d'auteurs ou de mainteneurs de composants.
4. Durée et droit applicable
Cet accord dure aussi longtemps que le compte du Client. Il est soumis au droit français.
Annexe I · Description du traitement
| Objet | Inventaire des composants logiciels, détection des vulnérabilités, alertes, signalements et rapports CRA |
|---|---|
| Personnes concernées | Utilisateurs du Client ; destinataires des alertes ; le cas échéant, auteurs cités dans les SBOM |
| Données | Adresses e-mail, noms, rôles ; contenus des SBOM et résultats de scanners |
| Durée | Durée du compte |
Annexe II · Mesures techniques et organisationnelles
- Hébergement en France ; chiffrement en transit (TLS).
- Jetons d'API stockés sous forme d'empreinte ; jetons des canaux d'alerte chiffrés (AES-256-GCM).
- Isolation des données par organisation, vérifiée à chaque requête ; rôles par membre.
- Console d'administration accessible uniquement depuis des adresses IP autorisées.
Annexe III · Sous-traitants ultérieurs autorisés
| Sous-traitant | Rôle | Localisation | Données |
|---|---|---|---|
| OVH SAS (OVHcloud) | Hébergement de la plateforme, de la base de données et des sauvegardes | France | Toutes les données du service |
| Scaleway SAS | Envoi des e-mails (alertes, invitations) | France | Adresse e-mail du destinataire, contenu de l'alerte |
Tout ajout ou remplacement est annoncé par e-mail au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant son compte.
Annexe IV · Transferts hors de l'Union européenne
Aucun.