Contrat de sous-traitance de la bêta

Entre les soussignés

D'une part, HODEITEK S.L., NIF B56478027, dont le siège social est situé à Markole, Aretxabaleta, 20550, Gipuzkoa, Espagne, immatriculée au registre du commerce de Gipuzkoa, feuille SS-46529, tome 3121, folio 144, représentée par la personne qui signe en son nom. Ci-après, « Hodeitek » ou « le Sous-traitant ».

Contact en matière de protection des données : privacy@hodeitek.com. Contact pour la sécurité et les incidents : security@hodeitek.com.

D'autre part, l'organisation qui a demandé à participer à la bêta, avec les données d'identification, de représentation et de contact (dénomination sociale, NIF, siège social, représentant, adresse électronique de contact pour ce contrat et, le cas échéant, délégué à la protection des données) figurant dans sa demande de participation à la bêta et dans le courriel d'admission de Hodeitek. Ci-après, « le Client ».

Le Client signe en l'une de ces deux qualités (cocher une case) :

• ☐ Voie directe. Le Client est une organisation finale et agit en qualité de responsable du traitement. Hodeitek agit en qualité de sous-traitant.
• ☐ Voie MSSP. Le Client est un partenaire MSSP qui agit en qualité de sous-traitant de ses propres clients (qui sont les responsables du traitement). Hodeitek agit en qualité de sous-traitant ultérieur. La Partie II s'applique en outre.

Hodeitek et le Client se reconnaissent mutuellement la capacité de signer ce contrat et, à cet effet, exposent :

Exposent

1. Hodeitek organise le programme bêta de la plateforme HodeiShield, dont les conditions sont publiées sur hodeishield.com (ci-après, « les Conditions de la bêta »). Les Conditions de la bêta, le courriel d'admission de Hodeitek et ce contrat forment l'accord de participation.

2. Les Conditions de la bêta prévoient que les données que le participant charge sur la plateforme sont traitées par Hodeitek en qualité de sous-traitant, en vertu d'un contrat de sous-traitance conforme à l'art. 28 du règlement (UE) 2016/679 (« RGPD »), signé lors de la création du compte bêta et avant tout chargement de données à caractère personnel.

3. Ce contrat honore cet engagement. Il est régi par le RGPD, la loi organique 3/2018 (« LOPDGDD ») et les autres règles applicables.

1.Définitions

Les termes du RGPD (responsable du traitement, sous-traitant, données à caractère personnel, traitement, violation de données à caractère personnel, etc.) ont le sens que leur donne l'art. 4 RGPD. En outre :

• Plateforme : le service HodeiShield, accessible sur app.hodeishield.com, avec ses API, l'agent de poste et les autres composants que Hodeitek met à la disposition du Client pendant la bêta.
• Données du Client : les données à caractère personnel que le Client, ses utilisateurs ou ses systèmes saisissent dans la Plateforme, ou que la Plateforme génère à partir de celles-ci pour le compte du Client, décrites à la clause 5.
• Bêta : la période de participation du Client au programme, qui, selon les Conditions de la bêta, dure 3 mois à compter de l'acceptation de la place du Client, et jamais avant le 2 novembre 2026 ; les candidatures sont closes le 31 décembre 2026.
• Sous-traitant ultérieur : le tiers auquel Hodeitek fait appel pour traiter des Données du Client (Annexe II).
• Instructions documentées : celles de la clause 6.

2.Objet et portée

2.1. Ce contrat régit le traitement des Données du Client que Hodeitek effectue pour le compte du Client afin de lui fournir la Plateforme pendant la bêta, ainsi que le délai ultérieur de restitution et de suppression.

2.2. Hors objet. Ne font pas partie de cette sous-traitance, car Hodeitek les traite en qualité de responsable du traitement, les données suivantes, comme l'indiquent les Conditions de la bêta et l'avis de confidentialité de la console :

• les données de la demande de participation à la bêta (elles relèvent de la politique de confidentialité de hodeishield.com) ;
• les données des comptes d'utilisateur de la console, l'authentification, les journaux d'accès et de sécurité et, en cas de souscription depuis la console, la facturation (elles relèvent de l'avis de confidentialité de la console, app.hodeishield.com/privacy) ;
• les rapports d'erreur et de plantage que l'agent de poste (et, séparément, la console) envoie à Sentry (Functional Software, Inc.). Hodeitek les traite en qualité de responsable du traitement, pour diagnostiquer et corriger les défaillances de la Plateforme, sur la base de son intérêt légitime à la continuité et à la qualité du service (art. 6, § 1, point f), du RGPD). Ceux de l'agent contiennent le message et la trace de l'erreur, la version de l'agent, l'environnement, le système d'exploitation, la version du noyau et l'architecture ; l'adresse IP de la connexion parvient aux serveurs de Sentry, et les rapports n'incluent pas les résultats des contrôles. Ceux de la console sont décrits à l'Annexe I, section I.11. Ils sont conservés 90 jours. Les rapports de l'agent sont activés par défaut dans les binaires publiés, et chaque poste peut les désactiver avec le fichier marqueur /etc/hodei-shield/telemetry-off (Linux et macOS) ou %ProgramData%\Hodei-Shield\telemetry-off (Windows), ou avec HODEI_SENTRY_DSN=off, comme le décrit la documentation de l'agent ; les rapports de la console n'ont pas d'interrupteur par client (Annexe II, détail de Sentry). Hodeitek informe de ce traitement dans l'avis de confidentialité de la console. Pour ces rapports, Sentry est un prestataire de Hodeitek, et non un sous-traitant ultérieur du Client (Annexe II, lignes 5 et 6).

2.3. Si une donnée parmi celles décrites en 2.2 apparaît également dans les Données du Client (par exemple, le nom d'un utilisateur en tant qu'auteur d'une preuve ou responsable d'un risque, ou une entrée du journal d'audit qui consigne une modification de Données du Client), cet usage précis est traité conformément à ce contrat.

3.Durée

3.1. Ce contrat entre en vigueur à la date de la dernière signature et, en tout cas, avant que le Client ne charge des données à caractère personnel réelles. En l'absence de contrat signé, le Client ne peut utiliser que des données de test ne concernant aucune personne réelle.

3.2. Il dure aussi longtemps que la bêta du Client, augmentée du délai de restitution et de suppression de la clause 15.

3.3. Les obligations de confidentialité, de sécurité et de suppression restent en vigueur tant que Hodeitek ou ses sous-traitants ultérieurs conservent des Données du Client, y compris les copies de sauvegarde jusqu'à leur expiration.

3.4. Relation avec le contrat du service payant. Ce contrat régit le traitement des Données du Client pendant la bêta et les 30 jours qui suivent sa fin (clause 15.1). Si le Client passe à un contrat payant, le traitement pendant le service payant est régi par le contrat de sous-traitance de ce service, celui que Hodeitek signe directement avec le client payant, qui remplace ce contrat dès que le Client l'accepte ; jusque-là, ce contrat continue de s'appliquer aux Données du Client. Ce contrat ne régit pas le service payant.

4.Nature et finalité du traitement

4.1. Nature : hébergement, stockage, organisation, consultation, analyse, recoupement avec des sources publiques de sécurité, calcul de scores et de rapports, envoi des notifications que le Client configure, sauvegarde, export et suppression des Données du Client, dans le cadre des fonctions de la Plateforme.

4.2. Finalité unique : fournir au Client la Plateforme pendant la bêta afin qu'il mesure sa posture de sécurité et de conformité ainsi que celle de ses fournisseurs. HodeiShield mesure cette posture et ne certifie ni ne garantit la conformité à aucun référentiel.

4.3. Hodeitek n'utilise pas les Données du Client à ses propres fins, ni à des fins publicitaires, ni pour entraîner des modèles d'intelligence artificielle. Elle ne les inclut pas non plus dans des indicateurs agrégés entre clients (comparatifs ou benchmark, observatoire), sauf si le Client l'active expressément depuis la Plateforme. La seule exception à ces deux phrases est l'agrégation et l'anonymisation que le Client instruit à la clause 6.5, avec la finalité et les limites qui y sont fixées. Les commentaires et suggestions que le Client communique sur la Plateforme sont régis par les Conditions de la bêta, sans inclure ses données.

5.Types de données et catégories de personnes concernées

5.1. Selon les fonctions que le Client utilise, la Plateforme peut traiter les Données du Client suivantes :

5.2. Catégories particulières. La Plateforme n'est pas conçue pour les catégories particulières de données (art. 9 RGPD) ni pour les données pénales (art. 10 RGPD). Le Client s'engage à ne pas en charger. Si une preuve ou un document en contenait, le Client le communiquera au préalable à Hodeitek afin d'apprécier si elles peuvent être traitées avec les mesures de l'Annexe I.

5.3. Les Conditions de la bêta obligent le Client à n'enregistrer que des domaines, actifs et fournisseurs qu'il a le droit ou l'autorisation d'analyser.

6.Instructions documentées

6.1. Hodeitek traite les Données du Client uniquement sur instructions documentées du Client, y compris en ce qui concerne les transferts internationaux (art. 28.3.a RGPD), à moins qu'elle ne soit tenue d'y procéder en vertu du droit de l'Union ou du droit d'un État membre. Dans ce cas, Hodeitek informera le Client de cette exigence avant le traitement, sauf si ce droit interdit une telle information pour des motifs d'intérêt public.

6.2. Constituent des instructions documentées : (a) ce contrat et ses annexes ; (b) la configuration que le Client ou ses utilisateurs autorisés effectuent dans la Plateforme (par exemple, quels fournisseurs ils enregistrent, quels questionnaires ils envoient, quelles destinations d'alertes ils configurent, s'ils activent HodeiAI) ; (c) les instructions complémentaires que le Client envoie par écrit à privacy@hodeitek.com et que Hodeitek confirme.

6.3. Hodeitek informera immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition en matière de protection des données (art. 28.3, dernier alinéa, RGPD).

6.4. HodeiAI. L'assistant HodeiAI envoie du contenu à un sous-traitant ultérieur (Annexe II). Pendant la bêta, il est activé par défaut, et un administrateur du Client (tenant_admin ou org_admin) peut le désactiver à tout moment dans Configuration, rubrique HodeiAI : lorsque l'interrupteur est sur « désactivé », aucune requête n'est envoyée au sous-traitant ultérieur. Maintenir l'interrupteur activé constitue une instruction documentée du Client. Tenants de Clients finaux intégrés par un MSSP (Partie II, M7). Dans ces tenants, HodeiAI est également activé par défaut pendant la bêta, sur instruction du MSSP, qui agit en qualité de sous-traitant de ses Clients finaux et a obtenu de chacun d'eux, avant de charger des données, l'autorisation écrite générale de l'art. 28.2 RGPD pour Hodeitek et ses sous-traitants ultérieurs, y compris le fournisseur d'IA (clause M7) ; l'administrateur de chaque Client final peut le désactiver dans Configuration, rubrique HodeiAI. L'instruction documentée pour ces tenants est donnée par le MSSP en qualité de sous-traitant de son Client final (le responsable du traitement), et Hodeitek agit en qualité de sous-traitant ultérieur. Lorsque l'interrupteur est désactivé, l'analyse de risque des analyses de fournisseurs n'est pas non plus envoyée à OVHcloud AI Endpoints, ni pour les analyses lancées par un utilisateur ni pour les nouvelles analyses programmées.

6.5. Indicateurs agrégés et anonymisés pour le financement public. Par la signature de ce contrat, le Client donne à Hodeitek l'instruction documentée (art. 28.3.a RGPD) d'agréger et d'anonymiser des Données du Client à seule fin d'obtenir des indicateurs d'usage et de résultats du programme bêta pour les demandes de financement public de Hodeitek (programmes de financement public aux niveaux européen, national ou régional) et pour les rapports de suivi que demande l'organisme qui accorde le financement, comme le prévoient les Conditions de la bêta. L'instruction se limite à cette finalité et à ces conditions :

• a) Quels indicateurs. Uniquement des indicateurs d'usage et de résultats de l'ensemble des participants, par exemple le nombre d'organisations participantes, les évaluations réalisées, les fournisseurs supervisés, le délai de remédiation ou l'adoption de chaque module.
• b) Aucune donnée à caractère personnel. Le résultat ne contient pas de données à caractère personnel.
• c) Aucune organisation identifiée. Le résultat n'identifie ni le Client ni aucune autre organisation, ni directement ni par recoupement de données telles que le secteur, la taille ou la région.
• d) Groupe minimal. Chaque chiffre agrège les données d'au moins 5 organisations participantes, de sorte qu'aucune ne puisse en déduire les données d'une autre ; le chiffre d'un groupe plus restreint n'est pas utilisé séparément.
• e) Contenu exclu. Le résultat n'inclut aucun contenu du Client (preuves, documents, réponses aux questionnaires, conversations HodeiAI), aucune constatation relative à des fournisseurs précis ni aucun détail de vulnérabilités.
• f) Calcul. Les calculs sont effectués dans les systèmes et avec les mesures de l'Annexe I, uniquement par le personnel de la clause 8, et aucune donnée intermédiaire ne satisfaisant pas aux points b) à e) ne sort de Hodeitek.
• g) Redevabilité. Hodeitek conserve, pour chaque demande ou rapport, la liste des indicateurs utilisés et la description de leur mode de calcul, et la remet au Client s'il la demande (clause 16.1).

Dès lors que le résultat satisfait aux points b) à e), il constitue une information anonyme : il échappe au RGPD (considérant 26 RGPD) et à ce contrat.

6.6. Nom du Client. Ni la clause 6.5 ni aucune autre clause de ce contrat n'autorise Hodeitek à nommer ou à identifier le Client, par son nom, son logo, un témoignage ou un cas de réussite, sur aucun support, pas même dans une demande de financement ou un rapport à l'organisme qui l'accorde. Cela exige un consentement du Client, préalable, écrit et révocable, qui est demandé séparément et ne fait partie ni de la signature de ce contrat ni de l'acceptation des Conditions de la bêta. Refuser de le donner ou le retirer n'affecte pas la participation du Client à la bêta. Le retrait produit effet pour les usages nouveaux : à compter de ce moment, Hodeitek n'utilise plus le nom du Client dans des demandes, rapports ou supports nouveaux, mais n'est pas tenue de retirer ce qu'elle aurait déjà présenté à un organisme de financement avant le retrait. Si ce matériel contient des données à caractère personnel (par exemple, le nom ou la citation d'une personne dans un témoignage), Hodeitek les traite en qualité de responsable du traitement, avec sa propre information à cette personne et sa propre base juridique, et non en qualité de sous-traitant au titre de ce contrat. La personne physique dont les propos, le nom ou l'image figureraient dans un témoignage ou un cas client donne son propre consentement ; elle peut le refuser ou le retirer sans aucune conséquence pour elle, et si elle refuse, le Client conserve sa place et ses remises, car il peut fournir le témoignage sans nommer aucune personne ou par l'intermédiaire d'un autre porte-parole.

7.Obligations du Sous-traitant (art. 28.3 RGPD)

Hodeitek s'engage à :

• a) Instructions. Traiter les Données du Client uniquement sur les instructions documentées de la clause 6.
• b) Confidentialité. Veiller à ce que les personnes autorisées à traiter les Données du Client s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité (clause 8).
• c) Sécurité. Appliquer les mesures de l'art. 32 RGPD décrites à la clause 9 et à l'Annexe I.
• d) Sous-traitants ultérieurs. Respecter les conditions des paragraphes 2 et 4 de l'art. 28 RGPD pour recruter un autre sous-traitant (clause 10 et Annexe II).
• e) Droits des personnes concernées. Aider le Client, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits (clause 11).
• f) Art. 32 à 36. Aider le Client à garantir le respect des obligations des art. 32 à 36 RGPD, compte tenu de la nature du traitement et des informations dont elle dispose (clauses 12 et 13).
• g) Sort des données en fin de prestation. Selon le choix du Client, supprimer ou renvoyer toutes les Données du Client au terme de la prestation et détruire les copies existantes, à moins que le droit de l'Union ou des États membres n'exige leur conservation (clause 15).
• h) Démonstration et audits. Mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ces obligations et permettre la réalisation d'audits, y compris des inspections, par le Client ou un autre auditeur mandaté par lui, et contribuer à ces audits (clause 16).

En outre, Hodeitek tiendra le registre des activités de traitement en qualité de sous-traitant (art. 30.2 RGPD), qui existe déjà dans sa forme initiale, et coopérera avec l'autorité de contrôle à la demande de celle-ci (art. 31 RGPD).

8.Confidentialité du personnel

8.1. Seules accèdent aux Données du Client les personnes de Hodeitek qui en ont besoin pour fournir, maintenir ou sécuriser la Plateforme, ou pour répondre à une demande du Client.

8.2. Ces personnes sont soumises à un engagement écrit de confidentialité ou à une obligation légale équivalente, qui se poursuit après la fin de leur relation avec Hodeitek.

8.3. L'accès d'exploitation à la Plateforme avec des privilèges de plateforme est consigné dans le journal d'audit (voir Annexe I).

8.4. Exception pour les indicateurs de la clause 6.5. La confidentialité de cette clause et de la clause 7.b) n'empêche pas Hodeitek de présenter à un organisme de financement les indicateurs agrégés et anonymisés de la clause 6.5, avec la finalité et les conditions qui y sont fixées, car ils ne contiennent pas de Données du Client. L'exception ne s'étend à aucune donnée intermédiaire ni à aucune autre information du Client.

9.Sécurité du traitement

9.1. Hodeitek applique les mesures techniques et organisationnelles de l'Annexe I, appropriées au risque conformément à l'art. 32 RGPD.

9.2. Hodeitek S.L. est certifiée ISO/IEC 27001 et au Schéma national de sécurité (Esquema Nacional de Seguridad, ENS), catégorie MEDIA (certificat ENS n° 34/5704/26/09103, délivré par OCA Instituto de Certificación), pour un périmètre qui inclut le service SaaS HodeiShield. HodeiShield ne dispose d'aucune qualification CPSTIC et ne figure pas au Catalogue CPSTIC, et Hodeitek ne certifie pas la conformité du Client.

9.3. Hodeitek peut mettre à jour les mesures de l'Annexe I pourvu que le niveau de sécurité qui en résulte ne soit pas inférieur à celui décrit. Toute réduction du niveau de sécurité exige l'accord des parties.

10.Sous-traitants ultérieurs

10.1. Autorisation générale. Le Client donne à Hodeitek une autorisation écrite générale (art. 28.2 RGPD) de faire appel aux sous-traitants ultérieurs de la première partie de l'Annexe II, qui est la liste complète à la date de signature, comme le promettent les Conditions de la bêta.

10.2. Préavis et opposition. Hodeitek informera le Client par écrit, à l'adresse électronique de contact de ce contrat, de tout ajout ou remplacement d'un sous-traitant ultérieur avec un préavis d'au moins 15 jours. L'avis indiquera de qui il s'agit, quel service il fournit, où il traite les données et avec quelle garantie de transfert.

10.3. Le Client peut s'opposer dans ce délai pour des motifs raisonnables de protection des données. Si Hodeitek ne peut offrir d'alternative raisonnable, le Client peut quitter le programme et la clause 15 s'applique (30 jours pour exporter ou demander la suppression).

10.4. La mise à jour de l'Annexe II selon cette procédure ne constitue pas une modification du contrat au sens de la clause 19.2.

10.5. Mêmes obligations. Hodeitek impose à chaque sous-traitant ultérieur, par contrat, des obligations en matière de protection des données équivalentes à celles de ce contrat, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées (art. 28.4 RGPD). Si un sous-traitant ultérieur manque à ses obligations, Hodeitek demeure pleinement responsable envers le Client de l'exécution de ces obligations par ce sous-traitant ultérieur.

10.6. Destinations choisies par le Client. Les services que le Client connecte de son propre chef ne sont pas des sous-traitants ultérieurs de Hodeitek : les destinations d'alertes (Slack, Microsoft Teams, PagerDuty, Opsgenie, ses propres webhooks, son SIEM, Jira et ServiceNow) et les fournisseurs d'identité pour l'authentification unique (Google, Microsoft Entra, Okta, OneLogin ou un fournisseur propre). Le Client choisit la destination et en répond ; Hodeitek n'envoie que ce que le Client configure.

10.7. Sources de données publiques. Pour analyser l'exposition des fournisseurs du Client, la Plateforme interroge des services de données publiques (Shodan, Have I Been Pwned, OSV.dev, Logo.dev, NVD et d'autres, listés dans la seconde partie de l'Annexe II, « Sources de données publiques ») et ne leur envoie que des identifiants de ce qui est analysé : domaines, adresses de serveurs et identifiants de paquet, de produit ou de vulnérabilité ; elle ne leur envoie pas de comptes d'utilisateurs. Ils ne sont pas des sous-traitants ultérieurs et ne traitent pas de données à caractère personnel pour le compte de Hodeitek ; ils sont listés à part pour que le Client sache ce qui sort de la Plateforme. Un domaine d'entreprise n'est généralement pas une donnée à caractère personnel, mais il le devient s'il identifie une personne physique.

11.Assistance pour l'exercice des droits

11.1. Si une personne concernée s'adresse à Hodeitek pour exercer un droit sur des Données du Client, Hodeitek le transmettra au Client dans les meilleurs délais et, au plus tard, dans un délai de 5 jours ouvrables, et ne répondra pas pour son compte sauf instruction du Client. L'avis de la console indique déjà aux personnes concernées de s'adresser à l'organisation qui a chargé leurs données.

11.2. Le Client peut consulter et rectifier la plupart des Données du Client depuis la Plateforme elle-même, et en supprimer beaucoup. Deux suppressions de la Plateforme sont logiques et n'effacent pas la donnée : celle d'un fournisseur, qui peut être restauré pendant 30 jours et ne fait l'objet d'aucune tâche de suppression définitive (et avec lui subsistent le nom et l'adresse électronique de sa personne de contact), et celle d'un membre de l'organe de direction. Pour supprimer réellement ces données, ou lorsque le Client ne peut le faire lui-même, Hodeitek l'aidera à localiser, exporter, rectifier, limiter ou supprimer les données de la personne concernée dans un délai permettant au Client de répondre dans le mois prévu à l'art. 12.3 RGPD.

12.Assistance pour les art. 32 à 36 RGPD

Hodeitek fournira au Client, sur demande et avec les informations dont elle dispose :

• la description des mesures de l'Annexe I et sa mise à jour ;
• les informations permettant au Client de réaliser une analyse d'impact (art. 35 RGPD) lorsqu'il en a besoin, ainsi que pour la consultation préalable de l'autorité de contrôle (art. 36 RGPD) ;
• l'assistance de la clause 13 en cas de violation de données à caractère personnel.

13.Notification des violations de données à caractère personnel

13.1. Hodeitek notifiera au Client, dans les meilleurs délais et au plus tard dans un délai de 48 heures après en avoir pris connaissance, toute violation de données à caractère personnel affectant des Données du Client (art. 33.2 RGPD).

13.2. La notification sera envoyée à l'adresse électronique de contact du Client et comprendra, au minimum et dans la mesure où ils sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés ; le nom et les coordonnées de la personne de Hodeitek auprès de laquelle des informations supplémentaires peuvent être obtenues ; les conséquences probables ; et les mesures prises ou proposées, y compris, le cas échéant, les mesures pour en atténuer les conséquences. Si toutes les informations ne peuvent pas être fournies en même temps, elles seront communiquées de manière échelonnée, sans retard indu.

13.3. Hodeitek aidera le Client à notifier l'autorité de contrôle et, le cas échéant, les personnes concernées (art. 33 et 34 RGPD). La décision de notifier et la notification elle-même incombent au Client en tant que responsable du traitement.

13.4. Hodeitek documentera chaque violation (faits, effets et mesures correctives).

14.Transferts internationaux

14.1. La Plateforme est hébergée dans l'UE, chez OVHcloud (Gravelines, France).

14.2. Cloudflare, Inc. (États-Unis) fournit le DNS, le réseau de distribution, le pare-feu et la terminaison TLS sur le chemin de chaque requête ; elle voit donc le trafic en clair et peut traiter des données aux États-Unis. Le transfert repose sur le EU-U.S. Data Privacy Framework (décision d'exécution (UE) 2023/1795), tant que Cloudflare, Inc. figure comme participante active et, s'il cessait de s'appliquer, sur les clauses contractuelles types de la décision d'exécution (UE) 2021/914 incorporées au contrat avec Cloudflare.

14.3. Sentry (Functional Software, Inc., États-Unis) : l'organisation Sentry de Hodeitek stocke les données dans la région de l'UE, de sorte que la région de stockage n'implique pas de transfert international. Functional Software, Inc. peut accéder aux données ou les traiter depuis les États-Unis (support et ses propres sous-traitants ultérieurs) ; son contrat de sous-traitance public (version 5.1.0, du 29 mai 2024, https://sentry.io/legal/dpa/) fonde ces transferts sur le EU-U.S. Data Privacy Framework et, s'il ne s'applique pas, sur les clauses contractuelles types (modules 2 et 3). Dans ces rapports d'erreur, Sentry agit comme prestataire de Hodeitek, qui en est le responsable du traitement (clause 2.2), et non comme sous-traitant ultérieur du Client ; les garanties ci-dessus sont celles que Hodeitek a avec Sentry. Voir Annexe II.

14.4. Pour les autres sous-traitants ultérieurs de l'Annexe II, tout traitement hors de l'EEE reposera sur une décision d'adéquation ou sur les garanties de l'art. 46 RGPD, que l'Annexe II indique pour chacun d'eux. En particulier, Resend (Plus Five Five, Inc., États-Unis) déclare dans son contrat de sous-traitance que son traitement principal s'effectue aux États-Unis, avec des clauses contractuelles types et une adhésion au EU-U.S. Data Privacy Framework (Annexe II, ligne 4 ; région d'envoi : eu-west-1 (Irlande), mesurée par la console (2026-10-14) ; base du transfert : DPF/SCC). Les sources de données publiques de la seconde partie de l'Annexe II ne sont pas des sous-traitants ultérieurs : ce sont des services publics de tiers que la Plateforme interroge et qui ne reçoivent que les identifiants de ce qui est analysé indiqués dans ce tableau (domaines et adresses IP des fournisseurs, identifiants de paquets logiciels, noms CPE et identifiants CVE), et non des comptes d'utilisateurs. Hodeitek n'effectuera pas de nouveaux transferts sans suivre la procédure de la clause 10. Le Client peut demander copie des garanties à privacy@hodeitek.com.

15.Restitution et suppression à la fin du contrat

15.1. Délai de 30 jours. À la fin de la bêta, ou de la participation du Client pour quelque cause que ce soit (y compris la clôture anticipée), le Client dispose de 30 jours pour demander à Hodeitek, en écrivant à privacy@hodeitek.com, l'export de ses données, leur suppression, ou les deux. Ce délai coïncide avec les 30 jours de grâce en lecture seule de la licence.

15.2. Restitution. Le Client obtient la copie des Données du Client par deux voies complémentaires :

• (a) Libre-service. Tant que la licence du Client est en période de grâce, un administrateur du Client peut télécharger lui-même, avec la fonction « Exporter mes données » de la console, un fichier JSON contenant les données de base de l'espace de travail (nom, secteur et date de création) et les inventaires des fournisseurs (nom, domaine, catégorie, statut et date de création) et des actifs (nom, criticité, statut et date de création). La fonction n'inclut pas le reste des Données du Client, par exemple les utilisateurs, les contacts des fournisseurs, les questionnaires et leurs réponses, les preuves, les incidents, les risques, les politiques, l'inventaire de l'agent, le SBOM, le journal d'audit ou les conversations avec HodeiAI.
• (b) Procédure manuelle. À la demande écrite du Client, formulée en écrivant à privacy@hodeitek.com dans le délai de la clause 15.1, Hodeitek lui remet une copie des Données du Client que la fonction du point (a) ne couvre pas, dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV), au moyen d'une procédure manuelle exécutée par le personnel de Hodeitek, dans un délai de 30 jours à compter de la demande.
• (c) Indépendance. La procédure manuelle ne dépend pas de la fonction du point (a). Si cette fonction n'est pas disponible pour le Client (par exemple parce que la période de grâce de la licence a pris fin ou que la licence a été suspendue) ou ne fonctionne pas, Hodeitek remet aussi, au moyen de la procédure manuelle et dans le même délai, les données que la fonction couvrirait.

15.3. Suppression. La suppression ne se fait pas depuis la Plateforme. À la demande écrite du Client, formulée en écrivant à privacy@hodeitek.com, Hodeitek supprime les Données du Client des systèmes actifs au moyen de la même procédure manuelle exécutée par son personnel, dans un délai de 30 jours à compter de la demande ; si le Client demande à la fois la restitution et la suppression, Hodeitek supprime après avoir remis la copie, dans le même délai. Si, à l'expiration du délai de la clause 15.1, le Client n'est pas passé à l'offre payante ni n'a rien demandé, Hodeitek supprime les Données du Client des systèmes actifs au moyen de la même procédure, dans les 30 jours suivant la fin de ce délai. Les clauses 15.3 bis, 15.4 et 15.6 sont réservées.

15.3 bis. Journal d'audit et registres des droits des personnes concernées. (a) Les entrées du journal d'audit qui consignent des modifications de Données du Client (clause 2.3) sont en ajout seul, sont conservées 365 jours dans la base de données puis archivées dans un stockage d'objets. (b) Les entrées qui consignent les actions relatives aux droits des personnes concernées que le Client gère dans la Plateforme, dans son module de demandes d'exercice des droits (ouverture et clôture de chaque demande), sont conservées 5 ans dans la base de données puis archivées ; ce sont des Données du Client que Hodeitek conserve selon les instructions documentées du Client et elles ne sont pas supprimées avec le reste des Données du Client. (c) Les registres que Hodeitek tient, en tant que responsable du traitement, des demandes d'exercice des droits adressées à Hodeitek elle-même (accès ou export, rectification, limitation et suppression des données des utilisateurs de la console) ne sont pas des Données du Client : ils sont bloqués au terme de 1 an à compter de la résolution de la demande et détruits au terme de 3 ans, sans être archivés, conformément aux art. 32 et 72.1.k de la LOPDGDD espagnole.

15.4. Sauvegardes. Les Données du Client présentes dans des sauvegardes ne sont ni restaurées ni utilisées et sont éliminées à l'expiration de ces sauvegardes. En particulier, une fois supprimées des systèmes actifs conformément à la clause 15.3, les Données du Client qui subsistent dans les sauvegardes de la base de données gérées par l'hébergeur (OVHcloud) expirent avec ces sauvegardes, au plus tard 2 jours après, selon la durée de conservation des sauvegardes appliquée par ce prestataire (Annexe I, I.2).

15.5. Attestation. À la demande du Client, Hodeitek lui confirmera par écrit la suppression, une fois celle-ci intervenue.

15.6. Conservation légale. Hodeitek ne conservera des Données du Client au-delà de ces délais que si une règle de l'Union ou d'un État membre l'exige, de manière bloquée et uniquement pour cette finalité.

15.7. Passage à l'offre payante. Si le Client passe à l'offre payante dans les 30 jours, ses données se poursuivent dans le service payant. S'il le fait après, il démarre sans les données de la bêta.

16.Audits et inspections

16.1. Première voie : la documentation. Hodeitek mettra à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect de ce contrat. En première voie, Hodeitek fournira les certificats en vigueur ISO/IEC 27001 et ENS catégorie MEDIA de Hodeitek S.L. (ENS n° 34/5704/26/09103 ; https://hodeitek.com/docs/certificado-ens-34-5704-26-09103.pdf), avec leur périmètre, ainsi que des réponses raisonnables à un questionnaire de sécurité du Client.

16.2. Audit. Si cette documentation ne suffit pas pour une finalité précise, ou si une autorité de contrôle le demande, le Client peut réaliser un audit, lui-même ou par un auditeur indépendant tenu à la confidentialité, aux conditions suivantes : préavis écrit dans un délai raisonnable, au plus une fois pendant la bêta sauf violation de données à caractère personnel ou demande d'une autorité, pendant les heures ouvrables, limité à ce qui est nécessaire et sans accès aux données d'autres clients ni à des informations compromettant la sécurité de la Plateforme.

16.3. Chaque partie supporte ses propres coûts d'audit.

16.4. Les Conditions de la bêta interdisent les tests de sécurité sur la Plateforme, sauf communication de vulnérabilités à security@hodeitek.com. Un test technique intrusif dans le cadre d'un audit exige un accord écrit préalable sur sa portée.

17.Obligations du Client

Le Client :

• est responsable de la licéité du traitement des Données du Client et d'avoir informé les personnes concernées (art. 13 et 14 RGPD), et de disposer d'une base juridique pour les charger ;
• informe les personnes qui utilisent les postes sur lesquels il installe l'agent de poste que l'agent vérifie la configuration du poste et envoie à la Plateforme le nom du poste, le système d'exploitation, sa version et son architecture, les adresses IP des interfaces et les résultats des contrôles, et qu'en cas de défaillance il peut envoyer un rapport d'erreur (clause 2.2), et dispose d'une base juridique pour ce faire. Hodeitek met à sa disposition la description de ce qui quitte le poste, dans la documentation de l'agent ;
• donne des instructions conformes au RGPD ;
• ne charge que des données de fournisseurs, des domaines et des actifs qu'il a le droit ou l'autorisation d'analyser ;
• dans la voie MSSP, respecte en outre la Partie II ;
• conserve ses propres copies des informations qu'il juge importantes ;
• gère avec diligence les comptes de ses utilisateurs et leurs permissions au sein de la Plateforme.

18.Responsabilité

18.1. Chaque partie répond envers les personnes concernées conformément à l'art. 82 RGPD.

18.2. Entre les parties, chacune répond des dommages qu'elle cause à l'autre en manquant à ce contrat ou au RGPD.

18.3. Entre les parties, la responsabilité totale de Hodeitek pour les dommages découlant de ce contrat, y compris la protection des données personnelles, est limitée : (a) tant que le Client utilise la Plateforme dans la bêta gratuite, aux dommages directs que le Client établit, comme dans les Conditions de la bêta ; et (b) à partir du passage à un plan payant, aux honoraires que le Client a versés à Hodeitek pour la Plateforme au cours des 12 mois précédant le fait générateur de la responsabilité. Dans les deux cas, le plafond ne s'applique pas en cas de dol (dolo) ou de faute lourde (culpa grave). Ce plafond ne vaut qu'entre les parties et n'affecte pas les droits des personnes concernées à l'égard de l'une ou l'autre au titre de l'art. 82 RGPD.

19.Primauté, modification et nullité partielle

19.1. Primauté. En matière de protection des données, ce contrat prime sur les Conditions de la bêta, comme elles-mêmes le prévoient, et, par accord des parties dans ce contrat, sur le courriel d'admission. Pour le reste, les Conditions de la bêta s'appliquent.

19.2. Modification. Ce contrat ne peut être modifié que par accord écrit des deux parties. Les changements que Hodeitek apporte aux Conditions de la bêta ne modifient pas ce contrat. Demeurent réservés la procédure relative aux sous-traitants ultérieurs (clause 10) et l'actualisation des mesures sans réduction du niveau de sécurité (clause 9.3).

19.3. Si une clause était nulle, le reste demeure en vigueur et les parties la remplaceront par une clause valide produisant un effet aussi proche que possible.

20.Droit applicable et juridiction

Ce contrat est régi par le droit espagnol. Pour tout litige, les parties se soumettent aux juges et tribunaux de Donostia-San Sebastián, comme le prévoient les Conditions de la bêta. Cela ne limite pas les compétences des autorités de contrôle.

Partie II. Clauses spécifiques de la voie MSSP

Elles s'appliquent lorsque le Client signe en qualité de partenaire MSSP. Elles reprennent ce que disent les Conditions de la bêta.

M1. Rôle de chaque partie

• Chaque client final que le MSSP intègre à la bêta (ci-après, « Client final ») est le responsable du traitement de ses données.
• Le MSSP agit en qualité de sous-traitant du Client final.
• Hodeitek agit en qualité de sous-traitant ultérieur du MSSP.
• Chaque MSSP peut intégrer jusqu'à 3 Clients finaux à la bêta.

M2. Autorisation du Client final (art. 28.2 RGPD)

Le MSSP garantit que, avant de charger des données d'un Client final, il dispose de l'autorisation préalable et écrite de ce Client final de recourir à Hodeitek en tant que sous-traitant ultérieur, et que cette autorisation couvre les sous-traitants ultérieurs de l'Annexe II. Le MSSP remettra copie de cette autorisation à Hodeitek si celle-ci la demande.

M3. Obligations miroir (art. 28.4 RGPD)

Le MSSP déclare que les obligations de protection des données de la Partie I sont les mêmes que celles que le MSSP a envers chaque Client final dans son contrat de sous-traitance. Si le contrat du MSSP avec un Client final impose des obligations plus strictes qui concernent Hodeitek, le MSSP les communiquera par écrit avant de charger des données et, si Hodeitek les accepte, elles seront incorporées en annexe. Si elles ne sont pas acceptées, ce Client final n'est pas intégré par cette voie.

M4. Chaîne de communication

• Les instructions du Client final parviennent à Hodeitek par l'intermédiaire du MSSP. Le MSSP répond du fait qu'elles reflètent les instructions du Client final.
• Les notifications de Hodeitek (violations de données à caractère personnel, changements de sous-traitants ultérieurs, demandes de personnes concernées) sont envoyées au MSSP, qui les transmet au Client final dans les meilleurs délais.
• Opposition à un nouveau sous-traitant ultérieur (clause 10.3). Le MSSP transmet l'avis de la clause 10.2 à chaque Client final suffisamment tôt pour qu'il puisse s'opposer dans le délai de 15 jours, et exerce l'opposition en son nom. Si Hodeitek n'offre pas d'alternative raisonnable, l'effet de la clause 10.3 (quitter le programme et appliquer la clause 15) peut être limité au tenant de ce Client final, sans affecter le MSSP ni ses autres Clients finaux.
• Audit (clause 16). Le droit d'audit de l'art. 28.3.h RGPD s'étend au Client final : il est exercé par le MSSP en son nom ou par le Client final lui-même, aux conditions de la clause 16, et un audit demandé par plusieurs Clients finaux du même MSSP peut être réalisé conjointement.
• Si le MSSP cesse d'exister, devient insolvable ou quitte le programme, Hodeitek peut s'adresser directement au Client final pour lui permettre d'exporter ou de supprimer ses données dans le délai de la clause 15.

M5. Fin de la bêta du Client final

Les licences d'essai des Clients finaux expirent le jour où prend fin la bêta du MSSP. Les 30 jours de la clause 15 se comptent à partir de ce jour pour chaque Client final.

M6. Option de signature directe

Si le Client final le préfère, il peut signer ce contrat directement avec Hodeitek dans la voie directe. Dans ce cas, Hodeitek est sous-traitant du Client final pour ses données, la relation du MSSP avec ces données est régie par le contrat entre le MSSP et le Client final, et l'accès du MSSP au tenant du Client final est une instruction documentée du Client final.

M7. HodeiAI dans les tenants des Clients finaux

• Pendant la bêta, les Clients finaux intégrés par le MSSP héritent des conditions de la bêta, y compris HodeiAI activé par défaut dans leurs tenants (clause 6.4). C'est le MSSP qui décide pour eux.
• L'instruction documentée de maintenir HodeiAI activé dans ces tenants est donnée par le MSSP en qualité de sous-traitant de son Client final (le responsable du traitement), et Hodeitek agit en qualité de sous-traitant ultérieur.
• Le MSSP obtient de chaque Client final l'autorisation écrite générale (art. 28.2 RGPD) pour Hodeitek et ses sous-traitants ultérieurs, y compris le fournisseur d'IA, avant de charger des données. Il ne suffit pas d'en informer le Client final : sans cette autorisation préalable, le MSSP ne charge pas ses données. L'autorisation (M2) doit couvrir expressément le fait que HodeiAI est activé par défaut, qu'il envoie du contenu au sous-traitant ultérieur OVH SAS par l'intermédiaire d'OVHcloud AI Endpoints (inférence d'IA ; Annexe II, ligne 7) et que l'administrateur du Client final peut le désactiver dans Configuration, rubrique HodeiAI.
• Les obligations miroir de l'art. 28.4 RGPD (M3) s'étendent à ce traitement : le MSSP répond du fait que son contrat avec chaque Client final permet cette chaîne de sous-traitants ultérieurs.
• Si un administrateur du Client final désactive HodeiAI, Hodeitek cesse d'envoyer des requêtes au sous-traitant ultérieur depuis ce tenant.
• Le MSSP peut le modifier, et cela est consigné dans l'historique du client : l'org_admin du MSSP agit sur les tenants de ses clients, l'org_admin peut modifier le réglage de HodeiAI et la modification est consignée dans l'historique du tenant avec son auteur.

M8. Indicateurs agrégés et nom des Clients finaux

• L'instruction de la clause 6.5 pour les données des Clients finaux est donnée par le MSSP en qualité de sous-traitant de son Client final, avec Hodeitek comme sous-traitant ultérieur, et le MSSP garantit que son contrat avec chaque Client final lui permet de la donner (M3).
• Dans les chiffres de la clause 6.5, chaque Client final compte comme une organisation distincte du MSSP. Aucun chiffre n'est utilisé lorsque toutes les organisations sauf une sont le MSSP et ses Clients finaux, car le MSSP, qui voit les données de ses Clients finaux, pourrait en déduire la donnée de la dernière.
• Nommer ou identifier un Client final (clause 6.6) exige le consentement distinct de ce Client final ; celui du MSSP ne suffit pas. Le refuser ou le retirer n'affecte ni la participation du Client final ni celle du MSSP.

M9. Information des utilisateurs des postes

Avant d'installer l'agent de poste sur les postes d'un Client final, le MSSP s'assure que ce Client final, qui est responsable du traitement de ses données (M1), a informé les personnes qui utilisent ces postes de ce que la clause 17 dit de l'agent, et dispose d'une base juridique pour ce faire. Le MSSP peut leur fournir cette information au nom du Client final si celui-ci le lui demande. Hodeitek met à disposition la description de ce qui quitte le poste, dans la documentation de l'agent.

Annexe I. Mesures techniques et organisationnelles

Cette annexe décrit, en termes généraux, les catégories de mesures techniques et organisationnelles que Hodeitek applique aux Données du Client, et n'affirme pas celles qu'elle ne peut étayer. La description technique détaillée de ces mesures est mise à la disposition des clients sur demande, en écrivant à privacy@hodeitek.com.

Cadre certifié

• Hodeitek S.L. (l'entreprise) est certifiée ISO/IEC 27001 et Schéma national de sécurité (ENS), catégorie MEDIA, pour un périmètre qui inclut le service SaaS HodeiShield.
• HodeiShield ne dispose ni d'une qualification CPSTIC ni d'une certification de produit. Cette annexe n'en affirme aucune.

Isolation entre clients

• Les données de chaque client sont isolées de celles des autres clients dans la base de données, et les requêtes s'exécutent dans le contexte du client auquel elles correspondent.
• Cette mesure protège contre une défaillance de l'application qui oublierait de filtrer par client. Elle ne constitue pas une barrière face à qui peut choisir les requêtes exécutées ; elle est donc combinée avec le contrôle d'accès et le journal d'audit.

Chiffrement en transit

• Tout le trafic de la console est chiffré avec TLS. Cloudflare termine TLS en périphérie (Annexe II) et l'origine n'accepte que des connexions authentifiées provenant de Cloudflare.
• L'application se connecte à la base de données gérée en TLS et vérifie le certificat du serveur.
• L'agent de poste n'envoie des données que par des connexions chiffrées.

Chiffrement et protection des secrets au repos

• Les mots de passe sont stockés avec un algorithme de hachage conçu à cet effet, jamais en clair.
• Les éléments du second facteur, les clés privées de signature des sessions et les secrets d'intégrations (par exemple SSO, OAuth ou webhooks) sont stockés chiffrés.
• Les clés d'API ne sont stockées que sous forme d'empreinte, et leur partie secrète n'est affichée qu'une seule fois, à la création.
• Le stockage d'objets chiffre les fichiers côté serveur.
• La base de données gérée chiffre ses volumes et ses sauvegardes, selon la documentation du fournisseur d'infrastructure (OVHcloud, Annexe II).

Contrôle d'accès et authentification

• L'accès est fondé sur des rôles, avec des droits de lecture et d'écriture distincts.
• Le second facteur (TOTP) et les clés d'accès (passkeys) sont disponibles pour tous les utilisateurs. L'administrateur du Client peut exiger le second facteur de tous ses utilisateurs par la politique du tenant ; par défaut, il n'est pas exigé, et Hodeitek recommande au Client de l'activer.
• Les tentatives de connexion et de second facteur sont limitées.
• Les sessions ont une durée maximale, et les comptes inutilisés sont suspendus après un délai que le Client peut ajuster.

Sauvegardes

• La base de données gérée dispose de sauvegardes automatiques, avec journalisation continue des transactions pour restaurer à un instant donné, assurées par le fournisseur d'infrastructure (OVHcloud, Annexe II) et conservées dans l'Espace économique européen.
• Le présent contrat ne promet ni haute disponibilité ni objectifs de temps ou de point de reprise.

Journalisation et surveillance

• Les actions dans la console sont consignées dans un journal d'audit avec l'utilisateur, la date, l'IP et le navigateur.
• Le journal est en ajout seul : il n'admet aucune modification, et seul un processus de purge dédié peut supprimer des entrées déjà archivées. Les entrées sont conservées pendant une durée définie, puis archivées.
• Les rapports d'erreur et les journaux que la Plateforme envoie au service de diagnostic (Sentry, Annexe II) passent par un filtre qui retire l'utilisateur, les cookies et les en-têtes de la requête et masque les secrets, les jetons, les adresses e-mail et les adresses IP.
• Ce filtre ne reconnaît pas les noms de personnes ; le présent contrat n'affirme donc pas « sans données personnelles » pour le diagnostic des erreurs. L'agent de poste ne signale que les erreurs et les défaillances et masque ses identifiants avant l'envoi.

Minimisation et pseudonymisation

• L'agent de poste ne collecte que les données techniques minimales de l'appareil, et ne collecte ni noms d'utilisateur, ni numéros de série, ni adresses MAC.
• Des suppressions automatiques par durée existent, dont l'historique de HodeiAI et les sessions expirées. Elles n'incluent pas la suppression des données du Client à la fin de la bêta, qui relève du présent contrat.
• Avant d'envoyer du texte au fournisseur d'IA (Annexe II), la Plateforme pseudonymise les adresses e-mail, les numéros de téléphone, les pièces d'identité, les IBAN et les noms du dictionnaire du tenant, dans les flux de HodeiAI et de rédaction de politiques. Cela ne s'applique pas à tous les flux et ne reconnaît pas tout nom de personne, toute adresse postale ni tout identifiant de format libre, qui peuvent partir tels quels.

Intégrité et gestion des vulnérabilités

• Les observations envoyées par l'agent sont signées, et la console rejette celles qui ne se vérifient pas.
• Les dépendances sont mises à jour de façon automatisée, avec un délai d'attente avant d'adopter les nouvelles versions. Les images de production et le code sont réanalysés chaque semaine par une analyse de vulnérabilités et une analyse statique, et une nomenclature logicielle (SBOM) est générée à la publication des images.
• Les vulnérabilités peuvent être signalées à security@hodeitek.com.