Accord de traitement des données

Parties

• Sous-traitant : Jean-Vincent QUILICHINI, entrepreneur individuel (EI) de droit français exerçant sous le nom isMalicious, SIREN 798 480 406 (« isMalicious »).
• Responsable de traitement : le client qui accepte le présent DPA, identifié dans sa commande, son compte ou son acceptation (le « Client »).

01Définitions

Les termes « responsable du traitement », « sous-traitant », « données à caractère personnel », « traitement », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne le RGPD. Les « Données personnelles du Client » désignent les données personnelles qu’isMalicious traite pour le compte du Client en fournissant les Services, décrites à l’annexe 1. Les « Services » et les « Conditions » ont le sens que leur donnent les Conditions d’utilisation d’isMalicious.

02Rôles et périmètre

Le Client est responsable du traitement et isMalicious sous-traitant des Données personnelles du Client. isMalicious agit comme responsable de traitement distinct, en dehors du présent DPA, pour les données personnelles qu’il traite pour ses propres finalités : facturation et comptabilité, sécurité des Services et prévention des abus, mesure et amélioration de ses services, et ses données de renseignement sur les menaces, constituées de valeurs d’indicateurs sans aucun lien avec le Client. Ces traitements sont décrits dans la politique de confidentialité.

03Instructions

isMalicious ne traite les Données personnelles du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, à moins que le droit de l’Union européenne ou d’un État membre ne l’y oblige ; dans ce cas, il informe le Client de cette obligation juridique avant le traitement, sauf si ce droit l’interdit. Les Conditions, le présent DPA et l’utilisation et la configuration des Services par le Client constituent l’ensemble de ses instructions ; toute instruction supplémentaire doit être convenue par écrit. isMalicious informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d’autres dispositions relatives à la protection des données.

04Confidentialité

isMalicious veille à ce que toute personne autorisée à traiter les Données personnelles du Client s’engage à respecter la confidentialité ou soit soumise à une obligation légale appropriée de confidentialité.

05Sécurité

isMalicious met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2 afin de garantir un niveau de sécurité adapté au risque, comme l’exige l’article 32 du RGPD. Il peut les faire évoluer, à condition que le niveau global de sécurité ne diminue pas.

06Sous-traitants ultérieurs

Le Client donne à isMalicious une autorisation générale de recourir aux sous-traitants ultérieurs listés sur la page des sous-traitants. isMalicious informe le Client par e-mail au moins trente jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Pendant ce délai, le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données ; si les parties ne parviennent pas à lever l’objection, le Client peut résilier les Services concernés, et les sommes payées d’avance pour la période postérieure à la résiliation lui sont remboursées. isMalicious impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données présentant des garanties suffisantes au sens de l’article 28, paragraphe 4, du RGPD, et demeure pleinement responsable envers le Client de l’exécution de leurs obligations.

07Demandes des personnes concernées

Compte tenu de la nature du traitement, isMalicious aide le Client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à répondre aux demandes des personnes concernées qui exercent leurs droits. Il transmet au Client dans les meilleurs délais toute demande reçue concernant les Données personnelles du Client, et n’y répond pas lui-même sauf instruction du Client.

08Assistance

isMalicious aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité du traitement, notification des violations de données, analyses d’impact et consultation préalable), compte tenu de la nature du traitement et des informations à sa disposition.

09Violations de données

isMalicious notifie au Client toute violation de données à caractère personnel affectant les Données personnelles du Client dans les meilleurs délais après en avoir pris connaissance. La notification décrit, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées ; les informations non encore disponibles sont communiquées dès qu’elles le sont.

10Transferts

Les Données personnelles du Client sont hébergées dans l’Union européenne. Lorsqu’un sous-traitant ultérieur les traite hors de l’Espace économique européen, le transfert repose sur une garantie prévue au chapitre V du RGPD, comme une décision d’adéquation de la Commission européenne, y compris le cadre de protection des données UE-États-Unis (Data Privacy Framework) pour les prestataires certifiés, ou les clauses contractuelles types adoptées par la Commission européenne.

11Suppression et restitution

Le Client peut exporter ses données tant que son compte est actif, lorsque les Services le permettent. Au terme de la fourniture des Services, isMalicious supprime les Données personnelles du Client dans un délai de trente jours, ou les restitue si le Client le demande avant le terme des Services, à moins que le droit de l’Union européenne ou d’un État membre n’en exige la conservation.

12Information et audits

isMalicious met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, et permet la réalisation d’audits, y compris d’inspections, et y contribue. Le Client adresse d’abord un questionnaire écrit, auquel isMalicious répond dans un délai de trente jours. Si les réponses ne suffisent pas, ou si une autorité de contrôle l’exige, le Client peut faire réaliser une inspection par lui-même ou par un auditeur indépendant tenu à la confidentialité, moyennant un préavis écrit de trente jours, au plus une fois par an sauf après une violation de données, pendant les heures ouvrées et à ses frais.

13Responsabilité et primauté

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations de responsabilité des Conditions, dans la mesure permise par le RGPD. En cas de contradiction entre le présent DPA et les Conditions sur le traitement des Données personnelles du Client, le présent DPA prévaut.

14Durée et droit applicable

Le présent DPA s’applique tant qu’isMalicious traite des Données personnelles du Client. Il est régi par le droit français, et les tribunaux de Paris (France) sont seuls compétents pour tout litige qui en découle, sous réserve de toute règle impérative contraire.

Annexe 1. Description du traitement

• Objet et durée. La fourniture des Services au Client, pendant la durée de son abonnement ou de son contrat, suivie du délai de suppression de la section 11.
• Nature et finalité. Hébergement, stockage, analyse, enrichissement, consultation et transmission des données que le Client soumet aux Services ou y paramètre, afin de lui fournir les recherches, la surveillance, les alertes, la gestion de dossiers, les listes de blocage de l’organisation et les flux.
• Catégories de personnes concernées. Les utilisateurs autorisés du Client et les personnes qu’il désigne dans les Services (par exemple les destinataires d’alertes) ; les personnes dont des identifiants figurent dans les données que le Client soumet, comme les expéditeurs et destinataires des e-mails soumis à l’analyse, ou les titulaires des adresses e-mail, adresses IP ou noms de domaine que le Client vérifie ou surveille.
• Types de données personnelles. Noms, adresses e-mail professionnelles, rôles et identifiants d’authentification des utilisateurs du Client ; adresses IP, agents utilisateurs et métadonnées des requêtes liées à l’utilisation des Services par le Client ; identifiants contenus dans les contenus soumis (adresses e-mail, adresses IP, noms de domaine, URL, e-mails et leurs en-têtes, commentaires et notes de dossier).
• Catégories particulières. Aucune n’est prévue. Le Client ne soumet aux Services ni catégories particulières de données personnelles, ni données de santé, ni données de cartes de paiement.
• Fréquence. Continue, tant que le Client utilise les Services.

Annexe 2. Mesures techniques et organisationnelles

• Hébergement. Les Services, leurs bases de données et leurs sauvegardes fonctionnent sur des serveurs exploités par Hetzner Online GmbH dans l’Union européenne.
• Chiffrement en transit. Le site, l’API et les flux sont servis en HTTPS (TLS).
• Identifiants. Les mots de passe ne sont conservés que sous forme d’empreintes bcrypt. Les données de cartes de paiement sont saisies sur la page de Stripe et n’atteignent jamais les serveurs d’isMalicious.
• Contrôle d’accès. Les données du Client sont cloisonnées à son organisation ; les rôles au sein de l’organisation (propriétaire, administrateur, membre) déterminent qui gère la facturation et les membres ; l’accès à l’API passe par des clés délivrées par organisation ; l’accès administrateur aux systèmes de production est limité à l’exploitant.
• Prévention des abus. Des limites de débit et une détection du trafic automatisé protègent les points d’accès publics.
• Supervision. Les erreurs et l’état du service sont surveillés en continu.
• Sauvegardes. Les bases de données sont sauvegardées régulièrement.

Annexe 3. Sous-traitants ultérieurs

Les sous-traitants ultérieurs autorisés à la date du présent DPA sont ceux listés sur la page des sous-traitants, mise à jour conformément à la section 6.

Acceptation

Pour accepter le présent DPA, signez-le et envoyez-le à contact@ismalicious.com, ou écrivez à cette adresse en désignant cette version (2026-10-19) et l’entité juridique qui l’accepte. Nous contresignons et vous retournons un exemplaire.

Client (entité juridique) :

Nom et qualité du signataire :

Date :

Signature :