Accord de traitement des données (sous-traitance, RGPD art. 28)

Entre l'organisation cliente (« le Client », responsable de traitement) et l'Association QUANTUMI, SIREN 493 983 167, siège GUE PIERREUX, 72170 SEGRIE (« le Prestataire », sous-traitant).

1. Objet et durée

Le Prestataire traite, pour le compte du Client, les données personnelles contenues dans le tenant Microsoft 365 du Client, dans la seule mesure nécessaire à la fourniture du service Q-Review365 (analyse automatisée et aide à l'audit, en lecture seule). L'accord dure aussi longtemps que le Client utilise le service.

2. Description du traitement (RGPD art. 28.3)

• Nature : collecte en lecture seule via l'API Microsoft Graph (et, selon l'option activée, l'API REST SharePoint), analyse automatisée, stockage chiffré, affichage des constats, production de rapports et d'exports ; et, si le Client active la connexion d'une IA, mise à disposition en lecture seule de constats et d'indicateurs, pseudonymisés par défaut, à l'assistant d'IA qu'un utilisateur autorisé a connecté (article 3.11).
• Finalité : produire des constats de sécurité et des indicateurs de conformité indicatifs sur le tenant du Client.
• Personnes concernées : utilisateurs, administrateurs, invités et groupes du tenant du Client.
• Catégories de données : identifiants et noms affichés des comptes, adresses e-mail / noms d'utilisateur, rôles d'administration, appartenance aux groupes, état et méthodes d'authentification multifacteur enregistrées (selon la licence du Client), dates de connexion, applications et autorisations OAuth, stratégies d'accès conditionnel, droits et liens de partage SharePoint / OneDrive (métadonnées, selon l'option activée), événements du journal d'audit Purview (selon l'option activée), règles de la boîte de réception (selon l'option activée) : nom de la règle (limité à 80 caractères), adresses des destinataires d'une redirection, types de conditions et mots sensibles reconnus dans une liste fixe, dossiers de destination spéciaux.
• Règles de la boîte de réception : seul l'état actuel est conservé (un nouveau balayage remplace le précédent) ; la désactivation de la fonction supprime les règles collectées et les constats correspondants.
• Durée de conservation : les résultats bruts, les relevés d'historique et les constats résolus sont conservés 30 jours (formule Gratuit) ou 90 jours (formule Pro), puis purgés automatiquement. Les constats ouverts et les décisions de revue sont conservés tant que l'organisation existe.
• Données exclues : le service ne lit ni le contenu des messages ni le contenu des fichiers ; il ne conserve ni le texte des conditions saisies dans une règle de boîte (que Microsoft lui transmet avec la règle et dont il ne retient que des types de conditions et des mots d'une liste fixe), ni le nom affiché de ses destinataires. Les noms de fichiers et de sites peuvent néanmoins révéler des informations sensibles : le Client en est averti.
• Données du Client traitées par le Prestataire en tant que responsable de traitement (comptes, facturation, journal de sécurité) : voir la politique de confidentialité.

3. Obligations du Prestataire

1. Instructions : traiter les données uniquement sur instruction documentée du Client (le présent accord et l'usage du service). Informer le Client si une instruction lui paraît contraire au RGPD.
2. Confidentialité : les personnes autorisées à traiter les données sont tenues à la confidentialité. Le personnel de support de la plateforme n'a pas accès aux données d'audit des clients dans l'application : l'accès est refusé par la base de données au rôle applicatif utilisé par la plateforme (annexe A). L'accès d'administration à l'infrastructure est limité à l'exploitant technique du service, tenu à la confidentialité.
3. Sécurité (RGPD art. 32) : mesures techniques et organisationnelles de l'annexe A.
4. Sous-traitants ultérieurs : le Client donne une autorisation générale pour les sous-traitants de l'annexe B. Le Prestataire l'informe au moins 30 jours à l'avance de tout ajout ou remplacement, en précisant l'identité du nouveau sous-traitant, la nature du traitement et le pays concerné. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; les parties recherchent de bonne foi une solution alternative ; à défaut, le Client peut résilier le service concerné dans les conditions prévues aux conditions générales. Le Prestataire impose à chaque sous-traitant ultérieur des obligations de protection des données appropriées et reste responsable envers le Client de leur exécution.
5. Droits des personnes : aider le Client, par des mesures appropriées, à répondre aux demandes d'exercice des droits. Si une personne s'adresse directement au Prestataire pour des données du tenant du Client, il la renvoie au Client.
6. Violations de données : le Prestataire notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance et, dans la mesure du possible, au plus tard dans un délai de 48 heures, avec les informations disponibles nécessaires au Client pour satisfaire à ses propres obligations. Ce délai est un maximum, non un délai pendant lequel le Prestataire pourrait attendre volontairement.
7. Assistance : aider le Client pour les analyses d'impact et consultations préalables, dans la mesure de ses moyens.
8. Fin du contrat (cycle des CGV, art. 8.3, déclenché par la clôture de l'Organisation) : à la date effective de clôture, l'Organisation passe en état « export uniquement » pendant 30 jours (aucune nouvelle collecte) ; à l'issue, les résultats d'audit, tenants connectés, constats, relevés d'historique et campagnes de revue (avec leurs décisions) sont supprimés de la base active ; les copies résiduelles disparaissent par rotation des sauvegardes (jusqu'à 30 jours pour les sauvegardes du service ; l'éditeur s'engage à limiter à 30 jours la conservation des instantanés de l'hébergeur).
9. Audit : le Prestataire met à disposition les informations nécessaires pour démontrer le respect de ces obligations et permet un audit par an, aux frais du Client, annoncé au moins deux semaines à l'avance, pendant les heures ouvrées et sans compromettre la sécurité ni les données des autres clients ; le Prestataire peut refuser un auditeur concurrent ; le rapport reste confidentiel. Le code du logiciel est public (AGPL v3).
10. Transferts hors Union européenne : l'hébergement et les copies de sauvegarde sont situés en Suisse, qui n'est pas membre de l'Union européenne. Le transfert depuis l'Espace économique européen repose sur une décision d'adéquation de la Commission européenne (décision 2000/518/CE du 26 juillet 2000). Le trafic du service transite par le réseau de Cloudflare, Inc., établie aux États-Unis, qui traite les données en transit sur un réseau mondial : selon Cloudflare, ce transfert repose sur les clauses contractuelles types de la Commission européenne et sur sa certification au cadre de protection des données UE–États-Unis. Le Prestataire ne réalise aucun autre transfert pour les données du tenant, hors la transmission décidée par le Client à un fournisseur d'IA (article 3.11).
11. Connexion d'une IA (option, formule Pro) : a. Instruction du Client. Cette fonction est désactivée par défaut. Son activation par un administrateur du Client vaut instruction de permettre aux utilisateurs du Client de connecter, à leur initiative et avec leur propre autorisation, un assistant d'IA à la lecture des constats et indicateurs de l'organisation. Le Client peut la désactiver à tout moment ; toutes les autorisations sont alors révoquées. b. Destinataire choisi par le Client. Le fournisseur de l'IA est choisi par l'utilisateur ou le Client. Il n'est pas un sous-traitant ultérieur du Prestataire : il agit selon ses propres conditions, à l'égard de l'utilisateur ou du Client. Le Prestataire n'a aucun accès aux échanges entre l'utilisateur et l'IA, ne choisit pas le fournisseur et n'est pas responsable de son traitement. Le Client évalue ce fournisseur (conservation, usage pour améliorer ses modèles, lieu de traitement, transferts hors de l'Union européenne) et tient compte de cette transmission dans son registre et, si nécessaire, dans son analyse d'impact. c. Mesures du Prestataire. Lecture seule ; autorisation donnée par chaque utilisateur, limitée à ses droits et à son organisation, d'une durée maximale de 90 jours, révocable à tout moment ; pseudonymisation par défaut des identités, adresses, adresses IP, adresses web et noms saisis dans le tenant ; paramètres bruts du journal d'audit non transmis ; limitation du nombre d'appels ; journal des autorisations et d'un échantillon des appels (sans leur contenu). Les données pseudonymisées restent des données personnelles. d. Mode « en clair ». Le Client peut décider, par un administrateur et après confirmation, de transmettre les identités en clair. Il assume ce choix, qui révoque toutes les autorisations en cours. e. Précaution. Le Client n'associe pas ce connecteur à des outils capables d'envoyer des messages, d'écrire des fichiers ou d'agir sur ses systèmes (risque d'instructions piégées dans les données).

4. Obligations du Client

Le Client garantit qu'il est habilité à autoriser l'analyse de son tenant (consentement administrateur donné dans Microsoft), qu'il a informé ses utilisateurs si nécessaire, et qu'il dispose d'une base légale pour les données qu'il confie au service. S'il active la connexion d'une IA, il en informe ses utilisateurs et vérifie que cette transmission est compatible avec ses engagements. Il ne confie au service que les données nécessaires, s'abstient d'y faire figurer des catégories particulières de données sauf justification documentée, et tient son propre registre des traitements. Il peut retirer à tout moment le consentement donné chez Microsoft : le service ne collecte alors plus de nouvelles données.

5. Responsabilité

La responsabilité des parties est régie par les conditions générales.

---

Annexe A — Mesures techniques et organisationnelles

Annexe B — Destinataires et sous-traitants ultérieurs

Version 2.1 — 31/10/2026. Remplace la version 2.0 du 06/10/2026 ; ajoute les règles de la boîte de réception, la connexion d'une IA (article 3.11), Cloudflare et Swiss Backup. Un sous-traitant ultérieur ajouté (Cloudflare) fait l'objet du préavis de 30 jours de l'article 3.4.