Accord de traitement des données (DPA)
Cet accord fixe les engagements de BoardAct lorsqu’il traite des données personnelles pour le compte de ses clients, dans leurs Espaces hébergés. Il répond à l’article 28 du RGPD et fait partie intégrante du contrat dès l’acceptation des CGV, d’un devis ou d’un accord de pilote.
1. Parties et rôles
Le Client, qui détermine les finalités et les moyens du traitement des données saisies dans son Espace, est responsable du traitement. BoardAct (Yvan Dervillier, personne physique, pour le compte de la société BoardAct en cours de constitution, dans les conditions de l’article 2 des CGV ; coordonnées dans les mentions légales) est sous-traitant. Les termes « données personnelles », « traitement », « violation de données personnelles » et « sous-traitant ultérieur » ont le sens que leur donne le règlement (UE) 2016/679 (RGPD). Les autres termes ont le sens des CGV.
2. Instructions
- BoardAct ne traite les données que sur instruction documentée du Client : le contrat, le présent accord, l’usage que le Client fait de l’Espace et ses demandes écrites (support, export, suppression).
- BoardAct informe immédiatement le Client s’il estime qu’une instruction enfreint le droit applicable.
- Si le droit de l’Union ou d’un État membre impose un traitement à BoardAct, il en informe le Client avant de l’effectuer, sauf si ce droit l’interdit.
3. Confidentialité du personnel
Seules les personnes de BoardAct qui en ont besoin pour exploiter ou supporter le service accèdent aux données, et uniquement dans cette mesure. Elles sont tenues à la confidentialité par contrat ou par la loi. À ce jour, cet accès est limité au fondateur.
4. Sécurité
BoardAct met en œuvre les mesures décrites à l’annexe 2, adaptées au risque (article 32 du RGPD). BoardAct n’est pas certifié ISO/IEC 27001 : l’annexe 2 présente une correspondance indicative entre des mesures déclarées en place et certains contrôles de l’annexe A de la norme ISO/IEC 27001:2022 ; elle ne constitue ni une déclaration de conformité à la norme ni un rapport d’audit. BoardAct peut les faire évoluer à condition de ne pas réduire le niveau de protection global.
5. Sous-traitants ultérieurs
- Le Client autorise de manière générale BoardAct à recourir aux sous-traitants ultérieurs listés à l’annexe 3.
- BoardAct informe le Client par e-mail de tout ajout ou remplacement prévu au moins 30 jours avant qu’il ne prenne effet, en indiquant l’identité du prestataire, le traitement concerné et son lieu.
- Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données dans ce délai. Les parties cherchent alors une solution ; à défaut, le Client peut résilier le service concerné sans pénalité et bénéficie de la réversibilité prévue à l’article 19 des CGV.
- BoardAct impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord, dont l’interdiction d’utiliser les données pour entraîner un modèle d’IA. BoardAct reste responsable envers le Client de leur exécution.
6. Transferts
Les Espaces et leurs sauvegardes sont stockés dans l’Union européenne (région Google Cloud europe-west9, Paris). Un transfert hors de l’Espace économique européen ne peut avoir lieu que dans le respect du chapitre V du RGPD (décision d’adéquation, dont le Data Privacy Framework UE–États-Unis pour les entreprises certifiées, ou clauses contractuelles types de la décision 2021/914). Les transferts éventuels sont limités aux prestataires, pays et garanties figurant à l’annexe 3, mise à jour avant tout changement. BoardAct documente les instructions de transfert, les clauses contractuelles types et mesures complémentaires applicables, ou la décision d’adéquation effectivement invocable, et en fournit les références au Client sur demande. En particulier, le trafic vers les Espaces passe par le réseau mondial de Cloudflare, qui peut le traiter, déchiffré, dans un centre de données hors de l’Union.
7. Assistance au Client
- Droits des personnes. L’Espace permet au Client de consulter, corriger, exporter et supprimer les données qu’il contient. BoardAct transmet au Client, sans y répondre lui-même, toute demande reçue directement d’une personne concernée, dans un délai de 5 jours ouvrés, et l’aide à y répondre si l’Espace ne suffit pas.
- Analyse d’impact et consultation préalable. BoardAct fournit au Client les informations dont il dispose pour réaliser une analyse d’impact ou consulter l’autorité de contrôle (articles 35 et 36 du RGPD).
- Registre. BoardAct tient le registre des catégories de traitements effectués pour le compte de ses clients (article 30.2 du RGPD).
8. Violations de données
- BoardAct alerte le Client dès qu’il prend connaissance d’une violation de données personnelles concernant son Espace, sans retard injustifié et au plus tard sous 48 heures, par e-mail à l’administrateur de l’Espace et au contact du contrat. Une première alerte peut être incomplète ; BoardAct transmet les compléments au fur et à mesure de leur disponibilité et coopère à l’analyse du risque et aux notifications requises.
- La notification indique, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées et un point de contact. Les informations non disponibles sont fournies dès que possible, par étapes.
- BoardAct prend sans délai les mesures pour contenir la violation et en limiter les effets, et aide le Client à remplir ses propres obligations de notification à la CNIL (72 heures) et aux personnes concernées. Il ne notifie pas lui-même l’autorité ou les personnes pour le compte du Client sans son accord.
- BoardAct documente toute violation (faits, effets, mesures) et en tire les enseignements.
9. Fin du traitement
À la fin du contrat, BoardAct met les données à disposition du Client pour export, selon l’article 19 des CGV et le registre des données exportables (au moins 30 jours de récupération, sans frais), puis les supprime. Les copies de sauvegarde résiduelles sont purgées automatiquement dans les 37 jours suivants : les anciennes versions des fichiers de sauvegarde sont effacées 30 jours après la suppression par une règle du stockage, puis définitivement à l’issue de la période de suppression douce de 7 jours du stockage Google Cloud. Le Client peut demander une suppression anticipée, qui met fin à l’accès et déclenche la même purge, sauf obligation légale de conservation. Une attestation de suppression est remise sur demande. Seules sont conservées les données que le droit de l’Union ou d’un État membre impose de garder, et pendant la seule durée exigée.
10. Documentation et audits
- BoardAct met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD : le présent accord, la page sécurité et, sur demande, ses réponses à un questionnaire de sécurité raisonnable.
- BoardAct permet les audits, y compris les inspections, réalisés par le Client ou par un auditeur qu’il mandate, tenu au secret et qui n’est pas un concurrent de BoardAct. Les modalités pratiques sont convenues de bonne foi pour protéger la sécurité du service et les données des autres clients ; en principe, l’audit a lieu au plus une fois par an, avec un préavis de 30 jours, en jours ouvrés. Ce préavis et cette fréquence ne s’appliquent pas lorsqu’un incident, un indice sérieux de manquement ou une autorité justifie un contrôle plus rapide. Les frais de l’audit sont à la charge du Client, sauf s’il révèle un manquement substantiel de BoardAct.
- Les centres de données sont exploités par Google Cloud et Cloudflare : leur contrôle repose sur les rapports et certifications que ces prestataires publient.
11. Absence d’entraînement d’IA
BoardAct n’utilise pas les données du Client pour entraîner, ajuster, évaluer ou améliorer un modèle d’IA, ni pour son propre compte ni pour celui d’un tiers. Aucune donnée d’un Espace hébergé n’est transmise à un fournisseur de modèle d’IA. Les agents d’IA que BoardAct utilise pour son propre fonctionnement le sont uniquement sur des espaces internes, sans accès autorisé au contenu des Espaces des clients. Si BoardAct proposait un jour une fonction faisant appel à un tel fournisseur, celle-ci serait désactivée par défaut, le fournisseur serait ajouté à l’annexe 3 selon l’article 5 et devrait s’engager à ne pas entraîner de modèle sur les données ni les conserver au-delà du traitement de la requête. Voir la charte IA.
12. Obligations du Client
- Disposer d’une base légale pour les données qu’il verse dans l’Espace et informer les personnes concernées, notamment ses salariés cités dans le registre.
- Ne pas verser de catégories particulières de données (article 9 du RGPD) ni de données relatives aux condamnations et infractions (article 10), sauf accord écrit préalable de BoardAct.
- Gérer les accès de ses Utilisateurs et désactiver sans délai les comptes qui ne sont plus nécessaires.
13. Durée, priorité, responsabilité
Le présent accord s’applique tant que BoardAct traite des données pour le compte du Client. En cas de contradiction, il prévaut sur les CGV pour ce qui touche aux données personnelles ; les clauses contractuelles types, lorsqu’elles s’appliquent, prévalent sur lui. La responsabilité des parties est régie par l’article 16 des CGV, dans les limites admises par le RGPD (article 82).
Annexe 1 — Description des traitements
- Objet et nature
- Hébergement, exploitation, sauvegarde, restauration, mise à jour de l’Espace ; support à la demande du Client ; export et suppression.
- Finalité
- Fournir au Client un Espace BoardAct pour tenir le registre de ses usages de l’IA, les prioriser, suivre leur adoption et documenter leur conformité.
- Personnes concernées
- Utilisateurs de l’Espace (salariés, dirigeants, prestataires du Client) ; personnes mentionnées dans le registre par le Client (par exemple référents, membres d’équipe, interlocuteurs de fournisseurs).
- Catégories de données
- Identité (nom, prénom), adresse e-mail professionnelle, rôle et équipe ; données de connexion et journal d’activité de l’Espace (actions, auteur, horodatage) ; adresse IP et données techniques des requêtes (transmises par Cloudflare) ; contenu du registre saisi par le Client (usages, tâches, outils, évaluations, formations, estimations de temps), qui peut contenir des informations sur des personnes nommées ; logos et images déposés (leurs métadonnées sont effacées à l’envoi).
- Données sensibles
- Aucune attendue. Interdites sans accord écrit préalable (article 12).
- Durée
- Durée du contrat, puis période de réversibilité (article 19 des CGV), puis 37 jours au plus pour la purge des sauvegardes (article 9).
- Lieu
- Stockage : Google Cloud, région europe-west9 (Paris) pour l’Espace, Union européenne pour les sauvegardes. Transit : réseau Cloudflare (mondial).
Annexe 2 — Mesures techniques et organisationnelles
Cette annexe décrit l’état réel au 31 octobre 2026. La colonne de droite indique, à titre de correspondance indicative, le contrôle de l’annexe A d’ISO/IEC 27001:2022 auquel chaque mesure se rattache : ce n’est ni une déclaration de conformité à la norme ni un rapport d’audit. « Écart connu » signale ce qui n’est pas encore en place.
| Domaine | Mesure | ISO/IEC 27001:2022 |
|---|---|---|
| Isolation des clients | Une instance de l’application et une base de données SQLite par client, dans un espace de noms Kubernetes dédié. Des règles réseau (NetworkPolicies) refusent le trafic entre clients ; une sonde d’isolation vérifie ces règles. Un pare-feu hôte empêche les conteneurs d’atteindre les services du nœud et le réseau d’administration. | 8.3, 8.20, 8.22 |
| Hébergement | Google Cloud, région europe-west9 (Paris). Sécurité physique des centres de données assurée et certifiée par Google, non par BoardAct. | 5.23, 7.1 à 7.14 (délégués) |
| Chiffrement | TLS sur tout le trafic public (navigateur → Cloudflare → plateforme). Chiffrement au repos par défaut de Google Cloud pour les disques et le stockage des sauvegardes (clés gérées par Google). | 8.24 |
| Sauvegardes | Réplication continue de chaque base (Litestream) vers un stockage Google Cloud dans l’Union européenne, chiffrée en transit. Restauration à un instant donné sur les dernières 24 heures ; les anciennes versions des fichiers de sauvegarde sont effacées après 30 jours par une règle du stockage, qui conserve ensuite les objets supprimés 7 jours (suppression douce). Les sauvegardes sont écrites, sans clé exportée, avec le compte de service du nœud, aujourd’hui commun à tous les Espaces hébergés sur ce nœud. Écart connu, en cours de correction : une identité et un dossier de sauvegarde propres à chaque Espace. | 8.13 |
| Continuité | Plateforme décrite entièrement dans git (GitOps) et procédure documentée de reconstruction à partir de git et des sauvegardes. Écart connu : nœud unique dans une seule zone, sans bascule automatique. | 5.29, 5.30, 8.14 (partiel) |
| Accès d’administration | Aucun port d’administration public : SSH, API Kubernetes et outil interne de gestion des essais ne sont joignables que par un réseau privé (VPN Tailscale) authentifié. Accès réservé au fondateur. | 5.15, 8.2, 8.5, 8.20 |
| Moindre privilège | Comptes de service à droits limités (envoi d’e-mails transactionnels uniquement, automate de provisionnement restreint aux espaces de noms clients) ; les sauvegardes utilisent encore le compte de service du nœud (voir « Sauvegardes »). Politiques d’admission Kubernetes (ValidatingAdmissionPolicy) qui bornent ce que l’automate de provisionnement peut créer ; certaines sont encore en mode observation. | 5.15, 5.18, 8.2 |
| Gestion des changements | Tout changement du code de l’application ou de l’infrastructure passe par une demande de fusion relue par le fondateur, avec contrôles automatisés (tests, analyse de secrets), avant fusion ; l’intégration continue valide aussi les manifestes et recherche les secrets avec gitleaks. Les demandes de création ou de modification d’un Espace, générées par l’outil interne de gestion des essais, sont fusionnées automatiquement une fois l’intégration continue réussie, sans relecture humaine. Images de conteneurs référencées par empreinte (digest), non par étiquette mobile. | 8.9, 8.25, 8.28, 8.29, 8.32 |
| Séparation des environnements | Les tests et répétitions se font hors des Espaces clients, sans données clientes réelles. | 8.31, 8.33 |
| Secrets | Secrets hors du code, recherche automatique de secrets à chaque changement, clés d’API restreintes à leur usage. | 5.17, 8.4, 8.24 |
| Journalisation | Journal d’activité dans chaque Espace (qui a fait quoi, quand) ; journaux techniques de la plateforme conservés 12 mois au plus. | 8.15, 8.16 (partiel) |
| Fichiers déposés | Images ré-encodées, métadonnées effacées, SVG contenant du code refusés. | 8.7, 8.26 |
| Incidents | Procédure de traitement et de notification au Client (sans retard injustifié, au plus tard 48 heures), documentation de chaque violation, retour d’expérience. | 5.24 à 5.28, 6.8 |
| Fournisseurs | Liste publique des sous-traitants ultérieurs, contrats de traitement des données de chaque fournisseur, préavis de 30 jours avant tout changement. | 5.19 à 5.22 |
| Vulnérabilités | Politique de divulgation responsable ([email protected], security.txt), suivi des correctifs des composants. | 5.7, 8.8 |
| Personnel | Engagement de confidentialité pour toute personne amenée à accéder aux données ; sensibilisation à la sécurité. | 6.1, 6.3, 6.6 |
| Conformité | Registre des traitements, politique de confidentialité, présent accord, charte IA ; revue au moins annuelle. | 5.1, 5.31, 5.34, 5.36 |
Écarts connus et chantiers en cours, publiés pour être transparents : haute disponibilité (8.14), supervision et alertes centralisées (8.16), passage de toutes les politiques d’admission en mode bloquant, filtrage réseau dès la première seconde de vie d’un conteneur, identité de sauvegarde propre à chaque Espace (en cours).
Annexe 3 — Sous-traitants ultérieurs
| Sous-traitant | Traitement | Données | Lieu et garanties |
|---|---|---|---|
| Google Cloud Platform (entité contractante : Google Cloud France, 8 rue de Londres, 75009 Paris) | Calcul, disques et stockage des sauvegardes des Espaces | Toutes les données de l’Espace | Stockage : région europe-west9 (Paris), sauvegardes dans l’Union européenne ; entité contractante établie dans l’Union. Transferts éventuels vers des sociétés affiliées de Google hors de l’EEE (par exemple pour le support ou l’exploitation) : encadrés, selon l’avenant de traitement des données de Google Cloud (Cloud Data Processing Addendum), par les clauses contractuelles types (décision 2021/914) ou le Data Privacy Framework UE–États-Unis, auquel Google LLC est inscrite. |
| Cloudflare, Inc. (États-Unis) | DNS, proxy et protection devant les Espaces, terminaison TLS | Adresse IP, requêtes et contenu en transit | Réseau mondial : traitement possible dans tout pays où Cloudflare exploite un centre de données, dont les États-Unis. Garanties : avenant de traitement des données de Cloudflare, incluant les clauses contractuelles types (décision 2021/914) ; Cloudflare, Inc. inscrite au Data Privacy Framework UE–États-Unis. |
| Brevo SAS (Paris, France) | Envoi des e-mails transactionnels (domaine notify.boardact.com) | Nom et adresse e-mail du destinataire, contenu du message | Union européenne, selon les engagements de Brevo ; pas de transfert prévu. Suivi des ouvertures et des clics désactivé. |
| Google Workspace (entité contractante : Google Cloud France, 8 rue de Londres, 75009 Paris) | Messagerie de boardact.com (contact@, support@, security@, billing@, essai@) | Ce que le Client choisit d’envoyer par e-mail | Entité contractante établie dans l’Union ; la messagerie peut être traitée dans des centres de données hors de l’Union. Transferts éventuels vers des sociétés affiliées de Google hors de l’EEE : encadrés, selon l’avenant de traitement des données de Google Workspace, par les clauses contractuelles types (décision 2021/914) ou le Data Privacy Framework UE–États-Unis, auquel Google LLC est inscrite. |
BoardAct fournit au Client, sur demande, les références des garanties de transfert applicables à chaque sous-traitant (article 6).
Pour information, ne sont pas sous-traitants ultérieurs car ils ne reçoivent aucune donnée des Espaces : GitHub (code source et dépôt privé de configuration des Espaces, qui ne contient aucune donnée personnelle) et le registre d’images de conteneurs. Aucun fournisseur de modèle d’IA ne reçoit de données des Espaces des clients ; les agents d’IA de BoardAct (fournisseur OpenAI) ne sont utilisés que sur des espaces internes de BoardAct. Une option d’agents d’IA pour les clients, non commercialisée à ce jour, aura ses propres conditions et sera ajoutée à la présente annexe, selon l’article 5, avant toute activation.