Accord de traitement des données

Parties#

Le présent accord de traitement des données (« l'Accord ») est conclu entre :

• Le sous-traitant : LIMITLESS KNOWLEDGE, société par actions simplifiée unipersonnelle (SASU) au capital de 500 €, dont le siège est situé 10 Place de Wicklow, 78180 Montigny-le-Bretonneux, France, immatriculée au RCS de Versailles sous le numéro 994 833 143 (SIRET 994 833 143 00013, TVA intracommunautaire FR46994833143), qui exploite la marque Narvy et le site narvy.io (« nous », « Narvy »)
• Le responsable du traitement : le client abonné à une offre payante Narvy (« vous », « le Client »)

Le présent Accord fait partie des conditions générales d'utilisation et s'applique dès que vous téléversez ou traitez des données personnelles au moyen du Service.

Objet et durée#

Narvy traite les données du Client dans le seul but de fournir les services de test de sécurité (SAST, DAST, SCA, analyse de code source, correction automatique). Le traitement dure le temps de l'abonnement actif, augmenté de la durée de conservation définie pour chaque offre.

Nature et finalité du traitement#

• SAST/SCA : analyse statique des binaires téléversés (APK, AAB, IPA) et des archives de code source
• DAST : analyse dynamique de l'application soumise dans un environnement de test instrumenté, le temps du scan
• Assistance IA et correction automatique : synthèses de scan, explications, tri des faux positifs et génération de correctifs, au moyen de modèles d'IA fournis par un sous-traitant ultérieur d'intelligence artificielle établi dans l'Union européenne (section 7)
• Rapports : production de livrables SARIF, PDF et HTML
• Intégration CI/CD : envoi de webhooks vers GitHub, GitLab, Bitbucket, Jenkins

Catégories de données personnelles#

Le Service peut traiter de manière incidente les données personnelles suivantes contenues dans ce que soumet le client :

• Adresses e-mail de développeurs présentes dans l'historique git ou les métadonnées d'application
• Clés d'API, jetons OAuth, secrets détectés par l'analyse de secrets (masqués avant affichage)
• Données du compte utilisateur du Client (nom, e-mail, adresse de facturation)
• Données d'utilisateurs finaux éventuellement présentes dans les binaires d'applications tierces analysés par le Client

Narvy ne demande, n'exige ni ne traite sciemment de catégories particulières de données personnelles (article 9 du RGPD).

Catégories de personnes concernées : le personnel du Client et les autres utilisateurs du Service ; les développeurs et autres personnes dont les données figurent dans le code, les binaires ou les dépôts soumis ; les utilisateurs finaux des applications du Client dont les données peuvent figurer dans le contenu soumis ou dans le trafic réseau capturé pendant une analyse dynamique.

Traitement sur instructions documentées#

Narvy ne traite les données personnelles que sur instruction documentée du Client, y compris en ce qui concerne les transferts de données personnelles vers un pays tiers ou une organisation internationale, à moins d'y être tenu par le droit de l'Union ou de l'État membre auquel Narvy est soumis. Dans ce cas, Narvy informe le Client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

Les instructions documentées du Client sont constituées par le présent Accord, les conditions générales d'utilisation, ainsi que les choix de configuration et de scan que le Client effectue dans le Service. Toute instruction supplémentaire ou modifiée sortant de l'usage normal du Service doit être convenue par écrit.

Narvy informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou des États membres relatives à la protection des données.

Confidentialité des personnes autorisées#

Narvy veille à ce que les personnes autorisées à traiter les données personnelles s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

L'accès aux données personnelles du Client est réservé au personnel qui en a besoin pour fournir, exploiter ou assister le Service, et cet accès est soumis aux contrôles d'accès et à la journalisation décrits dans la section Mesures de sécurité ci-dessous.

Sous-traitants ultérieurs#

Au titre de l'article 28(2) du RGPD, le Client accorde à Narvy une autorisation écrite générale de recourir aux sous-traitants ultérieurs décrits ci-dessous, et à d'autres sous-traitants ultérieurs dans le cadre de la fourniture du Service, sous réserve de la procédure d'information et d'opposition prévue dans la présente section.

Narvy a recours aux sous-traitants ultérieurs suivants :

• Hébergeur (Allemagne, Union européenne) : serveurs, base de données, stockage et sauvegardes
• Fournisseur d'intelligence artificielle établi dans l'Union européenne (traitement dans l'Union européenne) : modèles d'IA pour les synthèses de scan, les explications, le tri des faux positifs et la correction automatique ; reçoit les détails des failles et, si nécessaire, un extrait de code minimisé
• Prestataire de paiement (Union européenne, avec transferts ultérieurs vers les États-Unis, encadrés par des CCT) : facturation et traitement des paiements
• Prestataire d'e-mails transactionnels (États-Unis, encadré par des CCT) : envoi des e-mails de service
• Prestataire de supervision des erreurs (société états-unienne, données stockées dans sa région UE, encadré par des CCT) : supervision des erreurs applicatives
• Prestataire anti-robots (États-Unis, encadré par des CCT) : protection anti-robots sur le formulaire d'inscription et sur la page de contrôle de conformité aux stores uniquement
• Prestataire de prise de rendez-vous (États-Unis, encadré par des CCT) : réservation d'une consultation de remédiation, uniquement si le Client ouvre /consultation

La liste à jour des sous-traitants ultérieurs, avec leurs noms, est disponible sur demande à dpo@narvy.io.

En dehors de l'hébergeur, aucun de ces sous-traitants ultérieurs ne reçoit les binaires ni le code source téléversés par le Client ; le fournisseur d'intelligence artificielle reçoit uniquement les détails des failles et les extraits de code décrits ci-dessus. Pour le reste, les données du Client demeurent sur une infrastructure exploitée par Narvy ou par son hébergeur dans l'Union européenne.

Lorsque Narvy envisage d'ajouter ou de remplacer un sous-traitant ultérieur, il en informe le Client par e-mail au moins 30 jours à l'avance et met à jour la liste disponible sur demande. Si le Client dispose d'un motif raisonnable, tenant à la protection des données, de s'opposer au nouveau sous-traitant ultérieur, il le notifie par écrit à Narvy dans les 30 jours suivant cette information. Les parties recherchent de bonne foi une solution ; à défaut, le Client peut résilier la partie du Service concernée.

Narvy impose par contrat écrit à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent Accord, et demeure pleinement responsable envers le Client de l'exécution par chaque sous-traitant ultérieur de ses obligations.

Localisation des données et transferts internationaux#

Les données du Client sont stockées et traitées dans l'Union européenne, sur une infrastructure exploitée par Narvy ou par son hébergeur, y compris pour l'analyse dynamique. Les transferts de données personnelles vers des sous-traitants ultérieurs situés aux États-Unis, ou susceptibles d'y transférer des données (prestataires d'e-mails transactionnels, anti-robots, de prise de rendez-vous et de supervision des erreurs, ainsi que les transferts ultérieurs du prestataire de paiement), sont encadrés par les clauses contractuelles types (CCT) de la décision d'exécution (UE) 2021/914 de la Commission et, lorsque le prestataire y est certifié, par la décision d'adéquation relative au cadre de protection des données UE - États-Unis.

Mesures de sécurité#

• Chiffrement en transit (TLS) de toutes les connexions au Service
• Mots de passe conservés uniquement sous forme d'empreintes à sens unique, salées ; double authentification disponible sur tous les comptes
• Accès administrateur réservé au personnel autorisé ; actions d'administration sensibles journalisées
• Cloisonnement logique des données du Client par compte et par organisation ; fichiers soumis analysés dans des processus isolés, copies de travail temporaires supprimées à la fin de chaque scan
• Clés d'accès cloud et identifiants SSH fournis par le Client stockés chiffrés
• Sauvegardes quotidiennes de la base de données, conservées sur un cycle glissant de 12 mois au plus

Assistance au responsable du traitement#

Compte tenu de la nature du traitement et des informations à sa disposition, Narvy aide le Client, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées prévus au chapitre III du RGPD.

Narvy aide en outre le Client à respecter les obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition. Cela comprend, sur demande raisonnable, l'aide à la réalisation d'analyses d'impact relatives à la protection des données (article 35) et à la consultation préalable de l'autorité de contrôle (article 36) lorsque le traitement effectué par le Client au moyen du Service est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques.

L'assistance courante est incluse dans le Service. Pour une assistance qui dépasse sensiblement l'assistance courante, Narvy peut facturer des frais raisonnables, convenus au préalable avec le Client.

Droits des personnes concernées#

Vous pouvez demander l'export de vos données (article 20 du RGPD) et leur suppression (article 17) via /settings/data-export et l'option de suppression du compte dans les paramètres du compte, ou en écrivant à privacy@narvy.io. Nous répondons dans les 30 jours, comme l'exige le RGPD.

Notification des violations de données#

Narvy notifie le Client dans les meilleurs délais et au plus tard 72 heures après avoir pris connaissance d'une violation de données personnelles. La notification précise la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises pour y remédier.

Conservation et suppression#

Les règles de conservation suivantes s'appliquent, en cohérence avec la politique de confidentialité :

• Scan (rapport, résultats, historique) : supprimé automatiquement après 7 jours sur Community, 30 jours sur Solo, 90 jours sur Starter, 180 jours sur Pro, 365 jours sur Business ; sur Enterprise, conservé jusqu'à ce que le Client le supprime.
• Changements d'offre : une montée d'offre applique aussitôt la durée de conservation plus longue. Lorsqu'un passage à une offre inférieure ou une résiliation (qui ramène le compte à l'offre Community, 7 jours) réduit la durée de conservation, la durée de la nouvelle offre s'applique à toutes les données existantes du Client, scans comme fichiers téléversés, 30 jours après le changement ; d'ici là, la durée de l'offre précédente s'applique. Le Client est informé par e-mail au moment du changement, avec la date exacte de suppression et un lien d'export, puis reçoit un rappel 7 jours avant cette date. Revenir pendant ces 30 jours à une offre dont la durée de conservation est égale ou supérieure annule la suppression prévue.
• Fichier brut téléversé uniquement (les octets de l'APK, de l'AAB, de l'IPA ou de l'archive de code, le rapport étant conservé) : 7 jours sur Community, 30 jours sur Solo, 90 jours sur Starter, 180 jours sur Pro, 365 jours sur Business, jusqu'à suppression sur Enterprise.

Selon le choix du Client, Narvy supprime toutes les données personnelles ou les lui renvoie au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l'Union ou d'un État membre n'exige leur conservation. Sur demande écrite de suppression ou lors d'une suppression de compte, Narvy supprime toutes les données personnelles du Client sous 30 jours. À la fin d'un abonnement, le compte continue sur l'offre Community et la règle de changement d'offre ci-dessus s'applique. Les copies résiduelles présentes dans les sauvegardes de base de données disparaissent à mesure que ces sauvegardes sont écrasées selon le cycle glissant décrit à la section 9, en 12 mois au plus. Les pièces que Narvy est légalement tenu de conserver (par exemple les factures au titre du code de commerce) sont conservées pendant la durée obligatoire et ne peuvent pas être supprimées sur demande.

Droit d'audit et démonstration de la conformité#

Narvy met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, et permet la réalisation d'audits, y compris d'inspections, par le Client ou un autre auditeur qu'il a mandaté, et contribue à ces audits.

Le droit d'audit du Client peut être satisfait en premier lieu par la documentation d'audit que Narvy fournit sur demande à privacy@narvy.io. Narvy ne détient aucune certification ISO 27001 ni SOC 2.

Lorsque cette documentation ne répond pas raisonnablement aux exigences d'audit du Client, celui-ci peut mener un audit sur site ou à distance moyennant un préavis écrit d'au moins 30 jours, au plus une fois par année civile (sauf exigence d'une autorité de contrôle ou à la suite d'une violation de données personnelles), pendant les heures ouvrées, sous obligation de confidentialité, et de manière à ne pas perturber de façon déraisonnable l'activité de Narvy ni compromettre la sécurité des données des autres clients. Lorsqu'un audit révèle un manquement significatif de Narvy, celui-ci y remédie à ses frais.

Responsabilité et limitations#

La responsabilité et l'indemnisation sont régies par les conditions générales d'utilisation, sauf lorsque s'applique la responsabilité légale prévue aux articles 82 à 84 du RGPD.

Contact#

Pour toute question sur cet Accord, une demande de signature ou l'obtention d'un exemplaire contresigné :

Une version PDF contresignée de cet Accord est disponible sur demande pour les clients Business et Enterprise.