Accord de Traitement des Données (DPA)

1. Objet et parties

Ce DPA s'applique chaque fois qu'AAA Sentinel traite des données personnelles pour le compte du client dans le cadre de la fourniture du service (par exemple, les données des utilisateurs que le client inscrit sur son compte, ou les métadonnées de ses comptes cloud). Le client agit en tant que responsable du traitement et AAA Sentinel en tant que sous-traitant, au sens de l'article 4 du Règlement (UE) 2016/679 (RGPD).

2. Objet, nature et finalité du traitement

AAA Sentinel traite des données personnelles pour le compte du client afin de fournir la Plateforme de FinOps, de posture des comptes et de gouvernance des dépenses d'IA :

• Nature : hébergement, traitement automatisé, analyse et génération de rapports et de tickets.
• Finalité : authentifier les utilisateurs du client, analyser le coût et la configuration des comptes connectés, lire les dépenses des API d'IA connectées, générer recommandations, alertes et tickets, exécuter les actions d'agent approuvées et facturer le service.
• Durée : pendant toute la durée du contrat de service, plus la période de conservation décrite à la section 3.

3. Durée

Ce DPA prend effet lorsque le client commence à utiliser la Plateforme et reste en vigueur tant qu'AAA Sentinel traite des données personnelles pour le compte du client, y compris la période postérieure à la résiliation décrite dans la Politique de Confidentialité (conservation jusqu'à 3 mois pour l'exportation ou la réactivation, ou de 14 jours si le client demande la suppression depuis son profil, puis révocation des accès et suppression complète).

4. Catégories de personnes concernées et de données

Le traitement peut concerner les catégories suivantes :

• Personnes concernées : employés et collaborateurs du client ayant accès à la Plateforme et, avec le module de sécurité, les personnes qui opèrent ses comptes cloud.
• Données : nom, email, rôle, journaux d'activité et, pour les personnes qui opèrent les comptes cloud, l'identité (ARN) et l'IP d'origine de chaque changement critique, conservées 90 jours.
• Métadonnées techniques : ARN de rôles IAM, ID de Service Principal, clés de Service Account chiffrées, identifiants de ressources (qui peuvent inclure des noms d'utilisateurs IAM) dans les constats et dans la couverture de l'analyse, clés API d'IA chiffrées.
• AAA Sentinel n'accède pas au contenu applicatif (code, données métier dans les bases du client) au-delà des métadonnées de coût, configuration et posture nécessaires, des fichiers de son export FOCUS et, s'il active les flux de surveillance, de la recherche d'une trace dans ses logs et de la vérification d'une clé dans DynamoDB ou S3 (la configuration des fonctions, comme Lambda, Cloud Functions ou Cloud Run, inclut les valeurs de leurs variables d'environnement, qui ne sont pas conservées), et n'utilise pas les clés d'IA à d'autres fins que le service contracté.

5. Instructions du responsable du traitement

AAA Sentinel traite les données personnelles uniquement sur instructions documentées du client, réputées données par la souscription au service, sa configuration sur la Plateforme, et ce DPA. Si AAA Sentinel considère qu'une instruction enfreint le RGPD ou une autre loi applicable en matière de protection des données, elle en informera le client avant de l'exécuter.

6. Confidentialité du personnel

AAA Sentinel garantit que les personnes autorisées à traiter les données personnelles se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité, et ont reçu une formation adéquate en matière de protection des données.

7. Mesures de sécurité

AAA Sentinel applique les mesures techniques et organisationnelles décrites à la section 7 de la Politique de Confidentialité, notamment :

• Chiffrement en transit (TLS 1.2+) et au repos (AES-256).
• Identifiants d'accès cloud chiffrés avec AWS KMS au moyen d'une clé gérée par AAA Sentinel.
• Isolation multi-tenant vérifiée sur chaque endpoint de l'API.
• Journal d'audit des actions effectuées sur les données, auquel l'application ne fait qu'ajouter des entrées.
• Authentification multifacteur obligatoire pour le personnel ayant accès aux données de la plateforme.

8. Sous-traitants ultérieurs

Le client autorise de manière générale AAA Sentinel à recourir aux sous-traitants ultérieurs suivants pour fournir le service :

• Amazon Web Services (AWS) : infrastructure, région EU-West-1 (Irlande), et EU-Central-1 (Francfort) pour confirmer les pannes de la surveillance. Cognito, DynamoDB, Lambda, S3 et KMS.
• Stripe : paiements, PCI DSS Niveau 1.
• Google Cloud (Vertex AI, Gemini) : assistance IA principale, multirégion UE, sans entraînement de modèles.
• Amazon Bedrock (AWS) : secours de l'assistance IA quand Gemini échoue, région us-east-1 (États-Unis), sans entraînement de modèles.
• Slack, Jira ou Linear uniquement lorsque le client les connecte comme destination d'alertes ou de tickets (traitement sur instruction du responsable).

AAA Sentinel informera le client de tout changement prévu de cette liste avec un préavis raisonnable, afin que le client puisse s'y opposer pour des motifs justifiés liés à la protection des données.

9. Transferts internationaux

Lorsqu'un sous-traitant ultérieur traite des données en dehors de l'Espace Économique Européen, AAA Sentinel s'assure que le transfert est couvert par les Clauses Contractuelles Types de la Commission européenne, une décision d'adéquation, ou le EU-US Data Privacy Framework, selon le cas.

10. Accès interne du personnel de la plateforme

Une petite équipe interne d'AAA Sentinel accède à des métriques agrégées pour exploiter la Plateforme, facturer correctement et fournir une assistance, sous réserve des garanties suivantes (détaillées à la section 12 de la Politique de Confidentialité) :

• Principe d'agrégation : aucun accès au contenu des résultats, aux identifiants des ressources cloud, aux identifiants d'accès ni aux rapports du client.
• Authentification renforcée (MFA) dans un annuaire d'identité séparé de celui des clients.
• Journal d'audit de chaque accès.
• Séparation des tâches : l'accès aux données financières est restreint à des rôles précis.
• Aucun accès par usurpation dans le produit actuel.

11. Assistance au responsable du traitement

AAA Sentinel assistera le client, dans une mesure raisonnable et compte tenu de la nature du traitement, dans le respect de ses obligations de répondre aux demandes d'exercice des droits des personnes concernées et, le cas échéant, de réaliser des analyses d'impact et des consultations préalables auprès de l'autorité de contrôle.

12. Notification des violations de données

AAA Sentinel notifiera au client, sans délai excessif et en tout état de cause dans les 72 heures suivant sa prise de connaissance, toute violation de données personnelles le concernant, avec les informations nécessaires pour que le client puisse respecter ses propres obligations de notification.

13. Audits

AAA Sentinel mettra à la disposition du client les informations nécessaires pour démontrer le respect des obligations énoncées dans ce DPA et permettra des audits raisonnables, y compris des inspections, réalisés par le client ou par un auditeur qu'il aura mandaté, moyennant un préavis raisonnable et sous réserve des engagements de confidentialité habituels.

14. Restitution et suppression des données

À la fin de la prestation du service, et sauf obligation légale de conservation contraire, AAA Sentinel supprimera ou restituera au client les données personnelles traitées, conformément aux délais décrits à la section 8 de la Politique de Confidentialité. Le client peut en outre télécharger ses données à tout moment depuis son profil et en demander la suppression, exécutée au bout de 14 jours sauf annulation préalable.

15. Loi applicable et contact

Ce DPA est régi par la même loi et la même juridiction que les Conditions Générales. Pour toute question relative à cet accord : compliance@aaa-sentinel.com.