Accord de traitement des données (DPA)
Version du 2026-10-31. Accord conclu en application de l'article 28 du règlement général sur la protection des données (RGPD), entre le client (responsable du traitement) et Thomas SAMSON (SAMSON Tech) (sous-traitant). Il fait partie des conditions générales et s'applique dès la création d'une organisation.
1. Description du traitement
- Objet
- Fournir le service Wardpod : analyse des vulnérabilités et inventaire logiciel des clusters Kubernetes du client.
- Nature
- Collecte par l'agent installé par le client, stockage, calcul des scores et priorités, affichage dans la console, envoi d'alertes et de rapports.
- Durée
- Celle de l'abonnement, puis effacement selon l'article 7.
- Données
- Métadonnées des clusters : noms de clusters, namespaces, workloads et conteneurs, images, paquets et versions, vulnérabilités, exposition (noms d'hôte des Ingress et routes), réglages de sécurité des pods. Elles ne contiennent en principe pas de données personnelles, sauf celles que le client met lui-même dans ces noms. Comptes des utilisateurs de la console (nom d'utilisateur, adresse mail, journal d'activité).
- Personnes concernées
- Utilisateurs de la console désignés par le client ; personnes éventuellement nommées dans les métadonnées des clusters.
- Exclusions
- L'agent ne remonte jamais le contenu des fichiers des images, les valeurs des variables d'environnement des pods, les Secrets, les ConfigMaps ni les journaux.
2. Instructions du client
Le sous-traitant ne traite les données que sur instruction documentée du client, constituée des conditions générales, du présent accord et de l'usage que le client fait de la console. Il informe le client si une instruction lui paraît contraire au RGPD.
3. Confidentialité
Les personnes autorisées à traiter les données sont tenues à la confidentialité. Le sous-traitant n'accède aux données d'une organisation que pour fournir le service, le dépanner à la demande du client ou répondre à une obligation légale.
4. Sécurité
Mesures techniques et organisationnelles en place :
- chiffrement des échanges (HTTPS) entre l'agent, la console et le service ;
- jetons d'agent propres à chaque cluster ; un cluster ne peut rien modifier de ce que voient les autres ;
- isolation des organisations, vérifiée par des tests automatiques ; console propre à chaque organisation sur les plans payants ;
- mots de passe stockés sous forme d'empreinte, secrets chiffrés en base, double authentification disponible ;
- serveur durci (accès par clé, pare-feu, mises à jour automatiques), joignable seulement au travers du proxy ;
- sauvegardes chiffrées deux fois par jour, stockées à part, restauration testée ;
- supervision continue et alertes ; accès d'administration restreint et journalisé.
5. Sous-traitants ultérieurs
Le client autorise le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement du service et des sauvegardes | France |
| Cloudflare, Inc. | Acheminement et protection du trafic | Réseau mondial (Data Privacy Framework, clauses contractuelles types) |
| Brevo (Sendinblue SAS) | Envoi des mails (alertes, rapports) | France |
Le sous-traitant impose à chacun des obligations équivalentes au présent accord. Il informe le client par mail de tout ajout ou remplacement au moins 30 jours à l'avance ; le client peut s'y opposer pour un motif lié à la protection des données, et résilier sans frais si aucune solution n'est trouvée.
6. Assistance au client
- Droits des personnes : le sous-traitant transmet sans délai au client toute demande reçue d'une personne concernée, et l'aide à y répondre.
- Violation de données : il notifie au client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à la notification à l'autorité de contrôle.
- Analyses d'impact : il fournit au client les informations nécessaires à ses analyses d'impact et à la consultation préalable de l'autorité.
7. Fin du traitement
À la suppression de l'organisation ou à la fin de l'abonnement, les données sont effacées du service, puis des sauvegardes à mesure de leur rotation, en 6 mois au plus. Avant la suppression, le client peut exporter ses données depuis la console. Les données de facturation sont conservées par l'éditeur au titre de ses obligations légales.
8. Audit
Le sous-traitant met à disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut faire réaliser un audit, à ses frais, par un auditeur indépendant tenu au secret, une fois par an au plus, avec un préavis de 30 jours, sans accès aux données des autres organisations.
9. Transferts
Les données sont hébergées en France. Un transfert hors de l'Union européenne par un sous-traitant ultérieur n'a lieu qu'avec les garanties prévues par le RGPD (décision d'adéquation, dont le Data Privacy Framework, ou clauses contractuelles types de la Commission européenne).
10. Contact
Pour toute question relative à cet accord : [email protected].