Le présent accord complète les conditions générales. Il s'applique dès qu'un scan traite des données personnelles pour le compte du Client, et répond à l'article 28 du RGPD. Le Client est le responsable du traitement ; RedSentinel (Alexandre Tavares, entrepreneur individuel (RedSentinel), SIRET 993 391 432 00024) est le sous-traitant.
1. Objet, nature et finalité
Le sous-traitant exécute, sur instruction du Client, des tests automatisés de cloisonnement entre clients sur les API configurées par le Client, et conserve les résultats pour les lui restituer. Les opérations de traitement consistent à envoyer des requêtes à ces API au moyen des comptes de test fournis, à analyser les réponses et à conserver les extraits nécessaires à la preuve des résultats.
2. Durée
L'accord s'applique pendant toute la durée d'utilisation du Service par le Client, puis jusqu'à la suppression des données prévue à l'article 9.
3. Données et personnes concernées
- Identifiants des comptes de test fournis par le Client (jetons, cookies, identifiants et mots de passe), conservés chiffrés.
- Données contenues dans les réponses des API testées, en principe des données de préproduction ; elles peuvent concerner les utilisateurs et clients finals du Client si celui-ci vise un environnement contenant des données réelles.
- Configuration des API : URL, spécifications, captures HAR fournies par le Client.
Le Client s'engage à privilégier des environnements de test et des données fictives, et à ne pas transmettre de catégories particulières de données au sens de l'article 9 du RGPD.
4. Instructions
Le sous-traitant ne traite les données que sur instruction documentée du Client, constituée par la configuration du Service et le lancement des scans. Il informe immédiatement le Client si une instruction lui paraît contraire à la réglementation.
5. Confidentialité
Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire au support et à la sécurité du Service.
6. Sécurité
Le sous-traitant met en œuvre les mesures décrites sur la page Sécurité, notamment le chiffrement des identifiants au repos, le masquage des secrets dans les rapports, le cloisonnement entre organisations, le contrôle des domaines visés et la journalisation des actions sensibles. Il peut faire évoluer ces mesures sans en réduire le niveau.
7. Sous-traitants ultérieurs
Le Client autorise le recours à l'hébergeur du Service (OVH SAS). Le sous-traitant informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant son abonnement avant l'échéance. Le sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes et reste responsable de leur exécution.
8. Assistance
Le sous-traitant aide le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes, à réaliser une analyse d'impact et à respecter ses obligations de sécurité. Il notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles pour que le Client puisse notifier l'autorité de contrôle dans le délai de 72 heures.
9. Sort des données
Les données d'une API sont supprimées lorsque le Client supprime l'API, l'organisation ou son compte, et au plus tard 30 jours après la fin du contrat, sauf obligation légale de conservation. Avant la suppression, le Client peut exporter ses rapports (HTML, JSON, SARIF) depuis le Service.
10. Audits
Le sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut réaliser un audit, à ses frais, une fois par an, moyennant un préavis de 30 jours, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent du sous-traitant, sans perturber le Service ni accéder aux données d'autres clients.
11. Registre
Le sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD.