Accord de Traitement des Donnees (DPA)
ADRIEN VINET CONSULTING SASU — Aegis Vetis
Dernière mise à jour : 24 mars 2026
Ce DPA standard est publié sur aegis-vetis.io/legal/dpa. Pour les Clients soumis à HDS, une version personnalisée est disponible sur demande à dpo@aegis-vetis.io.
ENTRE
Le Responsable du traitement (ci-après « le Client ») :
Toute personne morale ayant souscrit un contrat de service Aegis Vetis (Conditions Générales de Vente, ci-après « CGV »).
Le Sous-traitant (ci-après « Aegis Vetis » ou « le Sous-traitant ») :
- Raison sociale : ADRIEN VINET CONSULTING SASU
- SIRET : 982 646 556 00018 — RCS Paris 982 646 556
- Capital social : 100,00 EUR
- Siège social : 14 rue Bausset, 75015 Paris, France
- Représentant légal : Adrien VINET, Président
- Délégué à la protection des données (DPO) : dpo@aegis-vetis.io
Article 1 — Objet et durée
1.1. Le présent Accord de Traitement des Données Personnelles (ci-après « DPA ») définit les conditions dans lesquelles le Sous-traitant traite des Données Personnelles pour le compte du Client, conformément à l'article 28 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (ci-après « RGPD »).
1.2. Le présent DPA entre en vigueur à la date de signature des CGV ou, à défaut de signature formelle, à la date de première utilisation du service Aegis Vetis par le Client.
1.3. Le DPA demeure en vigueur pendant toute la durée du contrat principal (CGV) et se prolonge jusqu'à la suppression complète des Données Personnelles conformément à l'article 9 du présent accord.
Article 2 — Nature, finalité et base légale du traitement
2.1. Nature du traitement. Aegis Vetis est un control plane Kubernetes qui déploie un agent léger sur les clusters du Client. Cet agent collecte des métadonnées d'infrastructure (et non des données métier) afin de réaliser des audits de conformité. Le Sous-traitant procède aux opérations suivantes :
- Collecte de métadonnées Kubernetes via l'agent déployé sur les clusters du Client ;
- Stockage des résultats d'audit de conformité ;
- Génération de rapports d'audit au format PDF et HTML ;
- Pseudonymisation des identifiants personnels dans les données d'audit ;
- Hébergement et mise à disposition de la plateforme de gestion.
2.2. Finalités du traitement. Les Données Personnelles sont traitées exclusivement pour les finalités suivantes :
- Évaluation de la conformité des clusters Kubernetes du Client aux référentiels applicables (CIS Benchmark, ANSSI, SecNumCloud 3.2, HDS, NIS2, RGPD) ;
- Détection des violations de politiques de sécurité et de conformité ;
- Génération de rapports d'audit destinés au Client ;
- Support technique au bénéfice du Client.
2.3. Base légale. Le traitement est fondé sur l'exécution des instructions documentées du Client en sa qualité de Responsable du traitement, conformément à l'article 28, paragraphe 3, point a) du RGPD.
2.4. Le Sous-traitant n'accède jamais au contenu des workloads, aux Secrets Kubernetes (valeurs), aux variables d'environnement des conteneurs, aux logs applicatifs ni aux données métier du Client.
Article 3 — Catégories de données et personnes concernées
3.1. Catégories de Données Personnelles traitées
| Catégorie | Exemples | Sensibilité |
|---|---|---|
| Métadonnées d'infrastructure | Noms de nœuds, noms de pods, namespaces, labels, annotations | Standard |
| Configurations de sécurité | Règles RBAC, Network Policies, Pod Security Admission | Standard |
| Résultats d'audit | Scores de conformité, violations détectées, historique des évaluations | Standard |
| Données d'identification | Adresse e-mail, rôle dans l'organisation, identifiant utilisateur | Standard |
| Logs d'utilisation de la plateforme | Connexions, actions réalisées, horodatages, adresses IP | Standard |
3.2. Données jamais collectées
Le Sous-traitant s'engage à ne jamais collecter les données suivantes :
- Valeurs des Secrets Kubernetes ;
- Variables d'environnement des conteneurs ;
- Logs applicatifs ;
- Contenu des volumes persistants ;
- Données métier du Client ;
- Clés privées et certificats TLS.
3.3. Catégories particulières de données (article 9 du RGPD)
Le Sous-traitant ne traite aucune donnée de santé au sens de l'article 9 du RGPD. Pour les Clients opérant dans le secteur de la santé et soumis à la certification HDS, les données traitées par Aegis Vetis demeurent exclusivement des métadonnées d'infrastructure. Une annexe HDS complémentaire est disponible sur demande à dpo@aegis-vetis.io.
3.4. Personnes concernées
- Les administrateurs et utilisateurs de la plateforme Aegis Vetis ;
- Indirectement, les personnes dont les données transitent par les clusters Kubernetes du Client, dans la stricte mesure où leurs identifiants apparaissent dans les métadonnées d'infrastructure (noms de nœuds, labels).
Article 4 — Obligations du Sous-traitant
4.1. Instructions documentées
Le Sous-traitant traite les Données Personnelles uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts de données vers un pays tiers. Si le Sous-traitant est tenu par le droit de l'Union ou le droit d'un État membre de procéder à un traitement non prévu par les instructions du Client, il en informe le Client avant le traitement, sauf interdiction légale.
4.2. Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données Personnelles s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
4.3. Sécurité du traitement (article 32 du RGPD)
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :
- Chiffrement en transit : TLS 1.3 pour toutes les communications entre l'agent, le control plane et les utilisateurs ;
- Chiffrement au repos : AES-256 pour les données stockées ;
- Hachage des mots de passe : bcrypt avec facteur de coût adapté ;
- Intégrité des webhooks : signature HMAC-SHA256 ;
- Authentification renforcée : authentification multifacteur (MFA) disponible pour tous les utilisateurs ;
- Principe du moindre privilège : contrôle d'accès basé sur les rôles (RBAC) ;
- Journalisation : audit trail complet de toutes les actions sur la plateforme ;
- Tests de sécurité : tests d'intrusion annuels réalisés par un tiers indépendant ;
- Plan de réponse aux incidents : procédure documentée de gestion des incidents de sécurité.
4.4. Sous-traitants ultérieurs
Les conditions de recours à des sous-traitants ultérieurs sont définies à l'article 5 du présent DPA.
4.5. Assistance au Client
Le Sous-traitant assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement, pour :
- Répondre aux demandes d'exercice des droits des personnes concernées (article 7) ;
- Garantir le respect des obligations de sécurité du traitement (article 32 du RGPD) ;
- Notifier les violations de données personnelles à l'autorité de contrôle (article 33 du RGPD) et aux personnes concernées (article 34 du RGPD) ;
- Réaliser une analyse d'impact relative à la protection des données (AIPD, article 35 du RGPD) ;
- Consulter l'autorité de contrôle préalablement à un traitement (article 36 du RGPD).
4.6. Notification des violations de données personnelles
En cas de violation de Données Personnelles au sens de l'article 4, point 12, du RGPD, le Sous-traitant notifie le Client dans un délai maximum de 72 heures après en avoir pris connaissance, par courrier électronique adressé au contact désigné par le Client.
La notification comprend :
- La nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données touchés ;
- Le nom et les coordonnées du DPO du Sous-traitant ;
- Les conséquences probables de la violation ;
- Les mesures prises ou proposées pour remédier à la violation et atténuer ses effets.
4.7. Audit
Les conditions d'audit sont définies à l'article 8 du présent DPA.
4.8. Sort des données en fin de contrat
Les conditions de restitution et de suppression des données sont définies à l'article 9 du présent DPA.
Article 5 — Sous-traitants ultérieurs
5.1. Liste des sous-traitants ultérieurs autorisés
Le Client autorise le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant | Finalité | Siège social | Localisation des données | Garanties |
|---|---|---|---|---|
| OVHcloud SAS | Hébergement de l'infrastructure du control plane | Roubaix, France | France | ISO 27001, HDS |
| Scaleway SAS | Hébergement de l'offre SaaS | Paris, France | France | ISO 27001 |
| Stripe Payments Europe Ltd | Traitement des paiements | Dublin, Irlande | Union européenne (Irlande) | PCI-DSS, RGPD |
5.2. Modification de la liste
Le Sous-traitant informe le Client de tout projet de modification de la liste des sous-traitants ultérieurs (ajout ou remplacement) avec un préavis minimum de 30 jours calendaires.
Le Client dispose de ce délai pour émettre des objections motivées. En cas d'objection légitime non résolue dans un délai raisonnable, le Client peut résilier le contrat de service sans pénalité.
5.3. Responsabilité
Le Sous-traitant demeure pleinement responsable à l'égard du Client de l'exécution par ses sous-traitants ultérieurs de leurs obligations en matière de protection des Données Personnelles. Le Sous-traitant conclut avec chaque sous-traitant ultérieur un contrat imposant les mêmes obligations de protection des données que celles prévues au présent DPA.
Article 6 — Transferts de données hors de l'Union européenne
6.1. Offre SaaS
Les Données Personnelles traitées dans le cadre de l'offre SaaS sont hébergées exclusivement en France, auprès d'OVHcloud SAS (Roubaix) et de Scaleway SAS (Paris). Le traitement des paiements est assuré par Stripe Payments Europe Ltd, dont le siège est situé à Dublin, Irlande, au sein de l'Union européenne.
Aucun transfert de Données Personnelles n'est effectué en dehors de l'Union européenne.
6.2. Offre Enterprise On-Premise
Les Données Personnelles traitées dans le cadre de l'offre Enterprise On-Premise résident exclusivement sur l'infrastructure du Client. Le Sous-traitant n'effectue aucun transfert de données.
6.3. Évolution
En cas de nécessité de transfert hors de l'Union européenne à l'avenir, le Sous-traitant mettra en œuvre les garanties appropriées prévues par le chapitre V du RGPD (clauses contractuelles types de la Commission européenne, décision d'adéquation, ou règles d'entreprise contraignantes) et en informera préalablement le Client.
Article 7 — Droits des personnes concernées
7.1. Le Client, en sa qualité de Responsable du traitement, est responsable de la gestion des demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition).
7.2. Lorsque le Sous-traitant reçoit directement une demande d'une personne concernée, il la transmet au Client sans délai et sans y répondre lui-même, sauf instruction contraire du Client.
7.3. Le Sous-traitant met à la disposition du Client les outils techniques suivants pour faciliter l'exercice des droits :
- Export des données : API d'export aux formats JSON et CSV ;
- Suppression des données : interface d'administration et API de suppression ;
- Journaux d'audit : traçabilité complète des opérations de traitement permettant de documenter les réponses aux demandes.
Article 8 — Audit et vérification
8.1. Le Sous-traitant met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et contribue aux audits, y compris les inspections, réalisés par le Client ou un auditeur mandaté par celui-ci.
8.2. Le Client peut réaliser ou faire réaliser un audit une fois par an, sous réserve d'un préavis écrit de 30 jours calendaires. L'audit est réalisé par un tiers indépendant soumis à une obligation de confidentialité. Les frais de l'audit sont à la charge du Client.
8.3. En alternative à un audit sur site, le Sous-traitant peut fournir au Client un rapport de type SOC 2 Type II réalisé par un cabinet indépendant, couvrant les contrôles relatifs à la sécurité, la disponibilité et la confidentialité.
8.4. Le périmètre de l'audit est strictement limité aux Données Personnelles traitées pour le compte du Client dans le cadre du présent DPA.
Article 9 — Sort des données en fin de contrat
9.1. À l'expiration ou à la résiliation du contrat de service, le Client dispose d'un délai de 30 jours calendaires pour exporter l'ensemble de ses Données Personnelles via les outils mis à sa disposition (API d'export aux formats JSON et CSV).
9.2. À l'issue de ce délai d'exportation, le Sous-traitant procède à la suppression définitive de l'ensemble des Données Personnelles du Client dans un délai de 30 jours calendaires supplémentaires.
9.3. Sur demande écrite du Client, le Sous-traitant fournit une attestation de suppression définitive des données dans un délai de 15 jours ouvrables suivant la suppression effective.
9.4. Exception. Les données strictement nécessaires au respect des obligations légales de conservation sont conservées pendant la durée prescrite par la loi, notamment les archives de facturation pendant une durée de 10 ans conformément à l'article L. 123-22 du Code de commerce.
9.5. Offre Enterprise On-Premise. Lorsque le Client utilise l'offre Enterprise On-Premise, les Données Personnelles résident exclusivement sur l'infrastructure du Client. Le Sous-traitant n'a aucune donnée à restituer ni à supprimer, à l'exception des éventuelles données de compte utilisateur hébergées sur la plateforme de gestion.
Article 10 — Responsabilité
10.1. La responsabilité du Sous-traitant au titre du présent DPA est limitée conformément aux dispositions de l'article 16 des CGV.
10.2. Chaque partie est responsable des dommages causés par un traitement qui ne respecte pas les obligations du RGPD qui lui incombent spécifiquement, conformément à l'article 82 du RGPD.
10.3. Le Sous-traitant n'est pas responsable des traitements réalisés par le Client postérieurement à l'exportation des Données Personnelles.
Article 11 — Dispositions finales
11.1. Hiérarchie des normes. En cas de contradiction entre le présent DPA et les CGV, les dispositions du DPA prévalent pour tout ce qui concerne le traitement des Données Personnelles.
11.2. Droit applicable. Le présent DPA est régi par le droit français.
11.3. Juridiction compétente. Tout litige relatif à l'interprétation ou à l'exécution du présent DPA est soumis à la compétence exclusive du Tribunal de Commerce de Paris.
11.4. Modification. Le Sous-traitant peut modifier le présent DPA avec un préavis de 30 jours calendaires notifié par courrier électronique au Client. En cas d'évolution réglementaire imposant une mise en conformité, ce préavis est réduit à 15 jours calendaires. La poursuite de l'utilisation du service après l'entrée en vigueur des modifications vaut acceptation.
11.5. Annexes. Les annexes suivantes sont disponibles sur demande à dpo@aegis-vetis.io :
- Annexe HDS — Dispositions complémentaires pour les Clients soumis à la certification Hébergeur de Données de Santé ;
- Annexe Sécurité — Description détaillée des mesures techniques et organisationnelles.
ADRIEN VINET CONSULTING SASU
Représentée par Adrien VINET, Président
Date : 24 mars 2026