Accord de traitement des données

1. Parties et rôles

Vous êtes responsable de traitement (ou sous-traitant de votre propre client) pour les données personnelles des visiteurs des domaines que vous ajoutez à GuardX. GuardX, l’éditeur identifié dans les Mentions légales, est votre sous-traitant.

2. Objet et durée

GuardX traite des données personnelles pour fournir le service de reverse proxy, d’atténuation DDoS et de pare-feu applicatif décrit dans les Conditions. Le traitement dure tant que les domaines sont actifs sur votre compte.

3. Nature, finalité, données et personnes concernées

• Finalité : recevoir, inspecter, filtrer et transmettre le trafic web ; détecter et bloquer les attaques et les robots ; vous présenter les événements de sécurité et les statistiques.
• Données : adresses IP, URL demandées, en-têtes et cookies nécessaires au filtrage, user agents, empreintes TLS et navigateur, signaux de comportement, résultats des vérifications. Les corps de requêtes ne sont pas conservés, sauf si vous activez la journalisation des charges d’attaque sur une offre qui la propose.
• Personnes : les visiteurs de vos sites et applications.

4. Nos obligations

• Traiter les données uniquement sur vos instructions documentées, à savoir ces conditions et vos réglages dans le tableau de bord, sauf obligation légale contraire ; dans ce cas, nous vous en informons préalablement lorsque c’est permis.
• Veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité.
• Appliquer des mesures techniques et organisationnelles appropriées : chiffrement en transit, contrôle d’accès, authentification à deux facteurs obligatoire pour l’administration, journalisation des actions d’administration et cloisonnement entre clients.
• Ne recourir qu’aux sous-traitants ultérieurs listés sur la page Sous-traitants ultérieurs, tenus d’obligations équivalentes. Nous vous informons de tout ajout ou remplacement au moins 30 jours à l’avance, par e-mail ou dans le tableau de bord. Vous pouvez vous y opposer pour des motifs raisonnables de protection des données pendant ce délai ; si nous ne pouvons y donner suite, vous pouvez résilier le service concerné.
• Vous aider à répondre aux demandes des personnes concernées, ainsi qu’en matière de sécurité, de notification de violation, d’analyses d’impact et de consultation des autorités, compte tenu de la nature du traitement.
• Vous notifier sans retard injustifié, et en tout cas sous 72 heures, après avoir pris connaissance d’une violation de données personnelles affectant vos données.
• À la fin du service, supprimer les données personnelles traitées pour vous, ou les restituer sur demande, sauf obligation légale de conservation. Les journaux de sécurité sont supprimés à l’expiration de leur durée de conservation.
• Vous fournir les informations nécessaires pour démontrer la conformité et permettre des audits par vous ou un auditeur mandaté, avec un préavis raisonnable, en heures ouvrées, au plus une fois par an sauf violation, sous réserve de confidentialité et de la protection des données des autres clients.

5. Vos obligations

Vous devez disposer d’une base légale pour le traitement, informer vos visiteurs (par exemple dans votre politique de confidentialité) et nous donner des instructions licites. Vous êtes responsable du contenu de vos sites.

6. Transferts internationaux

Lorsqu’un sous-traitant ultérieur opère hors de l’Espace économique européen, le transfert est couvert par une décision d’adéquation ou par les clauses contractuelles types de la Commission européenne, incorporées ici par référence.

7. Responsabilité et droit applicable

Les clauses de responsabilité des Conditions d’utilisation s’appliquent. Cet accord est régi par le droit français.

8. Contact

Questions de protection des données : contact@guardx.fr.