Data Processing Agreement
Accord de traitement des données personnelles au sens de l'article 28 du RGPD.
Version beta — projet de document
Ce document est en cours de revue par un conseil juridique et n'a pas encore de valeur contractuelle definitive. La version applicable, signee, sera publiee a la mise en disponibilité generale (GA).
- 01. 1. Objet et cadre juridique
- 02. 2. Catégories de données traitees
- 03. 3. Mesures de sécurité techniques et organisationnelles
- 04. 4. Sous-traitants ulterieurs
- 05. 5. Transferts internationaux
- 06. 6. Notification des violations
Les 7 sections de cette page, dans l'ordre. Elles totalisent 32 points.
1. Objet et cadre juridique
Le présent accord de traitement des données (DPA) est conclu entre le Client (responsable de traitement) et Chatbotaurus S.a r.l. (sous-traitant), conformément a l'article 28 du Règlement (UE) 2016/679 (RGPD).
Ce DPA fait partie integrante des Conditions Generales de Vente et s'applique a tout traitement de données personnelles effectue par Chatbotaurus pour le compte du Client.
2. Catégories de données traitees
| Categorie | Exemples | Base légale |
|---|---|---|
| Identification | Nom, email, identifiant | Execution du contrat |
| Connexion | Logs, IP, user-agent | Interet legitime |
| Contenu métier | Documents, workflows, conversations | Execution du contrat |
| Facturation | Adresse, IBAN (via Mollie) | Obligation légale |
Chatbotaurus ne traite aucune donnée sensible (Art. 9 RGPD) sauf instruction explicite et documentee du Client.
3. Mesures de sécurité techniques et organisationnelles
Chatbotaurus met en œuvre les mesures suivantes (Art. 32 RGPD) :
- Chiffrement en transit (TLS 1.3) ; sauvegardes et secrets chiffres (AES-256-GCM) ; chiffrement disque LUKS2 en roadmap
- Chiffrement de bout en bout des conversations sensibles, en option
- Cryptographie post-quantique (ML-KEM-768 et ML-DSA-65, en option) pour les données a long terme
- Authentification Zero Trust triple (mTLS + JWT + HMAC)
- Gestion des secrets via sops+age (chiffres dans git) ; OpenBao (MPL/Linux Foundation, Shamir 3/5, AppRole) pour les deploiements regules
- Isolation des conteneurs (AppArmor, Seccomp BPF, nftables)
- Journalisation des accès (SecurityAuditLogger, journaux centralises VictoriaLogs)
- Backups chiffres — cadence cible : quotidienne, avec tests de restauration mensuels
- Contrôle d'accès base sur les roles (RBAC via Authentik)
- Analyse de vulnerabilites des images (Trivy) et bouclier CrowdSec
4. Sous-traitants ulterieurs
Conformement a l'article 28(2) du RGPD, le Client autorise le recours aux sous-traitants ulterieurs suivants, tous etablis dans l'UE/EEE :
| Sous-traitant | Pays | Fonction |
|---|---|---|
| OVHcloud | France | Hébergement de production |
| Scaleway (Iliad) | France | Environnement de test + calcul IA |
| Hébergeur cloud UE | Lituanie (UE) | Environnement de staging |
| Mollie | Pays-Bas | Paiements |
Tout changement de sous-traitant est notifie au Client 30 jours a l'avance. Le Client dispose d'un droit d'opposition motive.
5. Transferts internationaux
Aucun transfert de données personnelles vers un pays tiers non adequat : nos sous-traitants sont etablis dans l'UE/EEE, la Suisse beneficiant d'une decision d'adequation.
Tous les sous-traitants sont etablis dans l'UE/EEE. Aucun service cloud americain (AWS, Azure, GCP) n'est utilise en production.
En cas de nécessite future de transfert hors UE (non prevu), les mecanismes de l'article 46 du RGPD seraient mis en œuvre (clauses contractuelles types, évaluation d'impact du transfert).
6. Notification des violations
En cas de violation de données personnelles (Art. 33 RGPD), Chatbotaurus s'engage a :
- Notifier le Client dans les 48 heures suivant la decouverte (délai du DPA, section 12.1)
- Fournir une description de la nature de la violation
- Communiquer les catégories et le nombre approximatif de personnes concernees
- Decrire les mesures prises ou proposees pour remedier a la violation
- Cooperer avec le Client pour la notification a la CNPD (72h) et aux personnes concernees
7. Droits d'audit
Le Client dispose d'un droit d'audit conformément a l'article 28(3)(h) du RGPD :
- Audit annuel sur site ou à distance, avec preavis de 30 jours
- Acces aux rapports d'audit de sécurité existants (Trivy, pentest)
- Accès aux attestations disponibles (aucune certification détenue à ce jour)
- Cooperation avec les auditeurs designes par le Client
- Les coûts d'audit sont a la charge du Client, sauf en cas de non-conformité averee
Dernière mise à jour : mars 2026. Pour toute question relative au DPA, contactez contact@chatbotaurus.com.
Besoin d'une réponse immédiate ?
Notre assistant MCP est disponible 24/7 pour repondre a vos questions techniques, vous guider dans votre projet ou resoudre vos problemes.