Accord de sous-traitance des données (article 28 du RGPD)

Dernière mise à jour : 21 octobre 2026

Le présent accord fait partie intégrante des conditions générales de service. Il encadre les traitements de données à caractère personnel réalisés par PCE, pour la plateforme GEFAudit de Gefatech (le « Sous-traitant »), pour le compte du Client (le « Responsable de traitement »). Les termes employés ont le sens que leur donne le règlement (UE) 2016/679 (« RGPD »).

1. Description du traitement

• Objet et finalité : analyse des rapports PingCastle des domaines Active Directory du Client, restitution de tableaux de bord, de l’historique et des préconisations de remédiation.
• Nature des opérations : réception, analyse, pseudonymisation (si l’option est activée), stockage, consultation, export PDF, suppression.
• Durée : celle du contrat, puis jusqu’à la suppression des données prévue à l’article 9.
• Personnes concernées : salariés, prestataires et autres titulaires de comptes de l’Active Directory du Client ; utilisateurs de la plateforme désignés par le Client.
• Données concernées : noms de comptes utilisateurs et de comptes de service, noms d’ordinateurs, de serveurs et de groupes, noms distinctifs (DN), identifiants de sécurité (SID), adresses IP, dates de dernière connexion ou de changement de mot de passe lorsqu’elles figurent dans les objets signalés par PingCastle ; pour les utilisateurs de la plateforme : identifiant, nom, prénom, e-mail, adresse IP. Aucune donnée sensible au sens de l’article 9 du RGPD n’est traitée. Les rapports sont minimisés avant leur envoi (voir la politique de confidentialité).

2. Instructions du Responsable de traitement

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement : les CGS, le présent accord, le Devis et les paramétrages effectués par le Client dans la plateforme (activation de la pseudonymisation, niveau de détail de l’agent, gestion des utilisateurs et des domaines) constituent ces instructions. Si le Sous-traitant considère qu’une instruction constitue une violation du RGPD, il en informe immédiatement le Responsable de traitement.

3. Confidentialité

Le Sous-traitant garantit que les personnes autorisées à traiter les données s’engagent à respecter leur confidentialité et reçoivent la sensibilisation nécessaire en matière de protection des données. Les accès aux données sont limités aux besoins de l’administration et du support du Service.

4. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes (article 32 du RGPD) :

• minimisation des rapports avant leur envoi, réalisée chez le Client ; non-conservation des fichiers XML reçus ;
• pseudonymisation optionnelle par HMAC-SHA256 avec une clé propre au Client, chiffrée au repos ;
• chiffrement des échanges (HTTPS, TLS 1.2 ou supérieur) ; cloisonnement logique des données par client ;
• double authentification obligatoire pour les administrateurs, politique de mots de passe robustes, verrouillage après échecs répétés, expiration des sessions inactives ;
• mots de passe hachés (bcrypt), secrets chiffrés (AES-256-GCM), clés d’agent conservées sous forme d’empreinte uniquement ;
• journal d’audit des actions sensibles ; limitation du débit des requêtes ;
• hébergement dans des locaux en France, serveur isolé dans une zone réseau dédiée derrière un pare-feu et un système de prévention d’intrusion ; mises à jour de sécurité automatiques ;
• sauvegardes quotidiennes chiffrées (AES-256), conservées 14 jours.

5. Sous-traitants ultérieurs

À la date du présent accord, le Sous-traitant ne fait appel à aucun sous-traitant ultérieur pour traiter les données du Client : la plateforme est hébergée et exploitée par Gefatech sur ses propres serveurs. Le service de traduction utilisé pour les descriptions publiques des règles PingCastle ne reçoit aucune donnée du Client.

Le Client donne une autorisation générale au recours à des sous-traitants ultérieurs. Le Sous-traitant l’informe par écrit de tout ajout ou remplacement au moins 30 jours à l’avance ; le Client peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier sans frais. Tout sous-traitant ultérieur est soumis aux mêmes obligations que celles du présent accord.

6. Localisation et transferts

Les données sont traitées et stockées en France. Aucun transfert hors de l’Union européenne n’est réalisé.

7. Droits des personnes concernées

Le Responsable de traitement informe les personnes concernées. Le Sous-traitant l’aide, dans la mesure du possible, à répondre aux demandes d’exercice de leurs droits (accès, rectification, effacement, limitation, opposition, portabilité) ; s’il reçoit directement une telle demande, il la transmet au Client sans délai et n’y répond pas sans son instruction. Lorsque la pseudonymisation est activée, le Sous-traitant ne peut pas identifier par lui-même les personnes concernées.

8. Violations de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou envisagées. Il assiste le Client pour la notification à la CNIL et, le cas échéant, la communication aux personnes concernées.

9. Sort des données à la fin du contrat

Le Client peut exporter ses rapports jusqu’au terme du contrat. Au plus tard 30 jours après la fin du contrat, le Sous-traitant supprime les données du Client et les comptes de ses utilisateurs ; les copies présentes dans les sauvegardes chiffrées sont écrasées sous 14 jours. Les journaux de sécurité sont conservés 12 mois au plus. Le Sous-traitant confirme la suppression par écrit sur demande.

10. Assistance, documentation et audit

Le Sous-traitant aide le Client à réaliser ses analyses d’impact et consultations préalables, en lui fournissant les informations dont il dispose. Il met à sa disposition la documentation nécessaire pour démontrer le respect du présent accord et permet la réalisation d’audits, une fois par an au plus, avec un préavis de 30 jours, par le Client ou un auditeur tenu au secret qui ne soit pas un concurrent du Sous-traitant. Les frais de l’audit sont à la charge du Client.

11. Obligations du Responsable de traitement

Le Client garantit disposer d’une base légale pour le traitement, informer les personnes concernées (notamment ses salariés), ne transmettre que des rapports de domaines dont il a la maîtrise, et tenir son registre des activités de traitement.

12. Contact

Pour toute question relative au présent accord ou à la protection des données : guillaume@gefatech.fr. Le Sous-traitant tient un registre des catégories d’activités de traitement effectuées pour le compte de ses clients.