DPA — article 28 du RGPD
L’accord qui encadre les données personnelles que RemotePilot traite pour le compte de ses clients professionnels.
1. Parties et objet
Le client (responsable de traitement) confie à ORENQIS LABS (sous-traitant) le traitement des données personnelles strictement nécessaire au diagnostic et à l’exécution des opérations demandées sur ses serveurs. Cet accord fait partie des CGU et s’applique dès l’enrôlement d’une première machine.
2. Description du traitement
- Nature : collecte, transmission, conservation limitée, effacement.
- Données : contenus de journaux, de fichiers et sorties de commandes pouvant contenir des données personnelles des utilisateurs du client.
- Personnes concernées : utilisateurs et clients finaux du client.
- Durée : celle du contrat, puis effacement ou restitution.
3. Obligations du sous-traitant
- Traiter les données uniquement sur instruction documentée du client.
- Garantir la confidentialité des personnes autorisées.
- Mettre en œuvre les mesures de sécurité décrites en annexe et dans le Trust Center.
- Ne recruter un sous-traitant ultérieur qu’après information préalable du client (30 jours), qui peut s’y opposer.
- Aider le client à répondre aux demandes d’exercice de droits.
- Notifier toute violation de données dans un délai maximal de [À COMPLÉTER] délai (ex. 48 heures) après en avoir pris connaissance.
- Supprimer ou restituer les données à la fin du contrat, sauf obligation légale de conservation.
- Mettre à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permettre des audits raisonnables.
4. Annexe — mesures techniques et organisationnelles
- Connexion sortante uniquement depuis l’agent ; aucun port entrant.
- TLS pour tous les échanges ; identifiants par machine révocables.
- Rôles, permissions par machine, approbations humaines liées à l’opération.
- Masquage des secrets reconnus et refus des chemins sensibles.
- Journal d’audit ; sauvegardes chiffrées.
- Chiffrement au repos : [À COMPLÉTER] à confirmer.
5. Annexe — sous-traitants ultérieurs
| Sous-traitant | Rôle | Données | Localisation | Encadrement des transferts |
|---|---|---|---|---|
| GitHub, Inc. | Hébergement du site public (GitHub Pages) et connexion (GitHub OAuth) | Requêtes HTTP du site public ; identifiant et e-mail du compte GitHub lors de la connexion | États-Unis | EU-US Data Privacy Framework et clauses contractuelles types |
| Supabase, Inc. | Authentification et base de données de l’application | Compte, sessions, organisations et données de l’application | [À COMPLÉTER] région du projet Supabase (ex. eu-west-3, Paris) | [À COMPLÉTER] clauses contractuelles types si région hors UE |
| OVH SAS | Hébergement de l’application, de l’API et du serveur MCP | Toutes les données traitées par l’application, journaux techniques | France / Union européenne | Aucun transfert hors UE |
| [À COMPLÉTER] prestataire de paiement | Paiement et facturation de l’offre Pro | Identité de facturation, moyen de paiement (non conservé par RemotePilot), factures | [À COMPLÉTER] | [À COMPLÉTER] |
| OVH SAS (messagerie) | Réception et envoi des e-mails d’assistance | Contenu des échanges avec l’assistance | France / Union européenne | Aucun transfert hors UE |
6. Obtenir une version signée
Les clients professionnels peuvent demander une version signée de cet accord et le registre des traitements à support@remotepilot.eu.