Annexe relative à la protection des données

#Inventaire des changements

Version	Date	Description
v0.1	13/11/2026	Première version, établie à partir du modèle (réf. BCP 22.10.2026) — à valider par le juridique
v0.2	13/11/2026	Points ouverts tranchés par la direction ; entrée en vigueur à la publication

#Introduction

La présente Annexe relative à la protection des données (ci-après l’« Accord » ou « DPA ») encadre le traitement des données à caractère personnel effectué par Luxgap Sàrl (« Luxgap ») dans le cadre de la fourniture des services de la plateforme email.luxgap.com. Elle complète le Contrat et/ou CGU conclu entre Luxgap et le Client et en fait partie intégrante.

Lorsque Luxgap traite des données personnelles pour le compte du Client dans le cadre de la fourniture de la plateforme, Luxgap agit en qualité de Sous-traitant et le Client en qualité de Responsable de Traitement. Le présent Accord définit les engagements de Luxgap conformément à l’article 28 du RGPD.

En cas de contradiction entre le présent Accord et les CGU sur des questions relatives à la protection des données personnelles, le présent Accord prévaut. Luxgap peut être amenée à mettre à jour le présent Accord afin de refléter des évolutions légales, réglementaires ou techniques ; la version applicable et sa date d’entrée en vigueur figurent en tête du document et dans l’inventaire des changements.

Le présent Accord est établi en français. En cas de divergence entre la version française et une traduction, la version française prévaut.

Le présent Accord ne s’applique pas aux traitements pour lesquels Luxgap agit en qualité de responsable du traitement, notamment la gestion des comptes du portail de gestion et de l’historique de leurs connexions, le journal d’audit de la plateforme et la sécurité de ses systèmes, décrits dans la politique de confidentialité publiée sur luxgap.com.

#Article 1. Définitions

Aux fins du présent Accord, les termes suivants sont définis comme suit :

« Législation sur la protection des données » : Le Règlement Général sur la Protection des Données ((UE) 2016/679, « RGPD »), (ii) la loi luxembourgeoise du 1er août 2018 mettant en œuvre le RGPD dans le droit national, et (iii) toute législation nationale applicable, y compris les règlements et législations secondaires ;

« Données à caractère personnel » ou « Données personnelles » : Toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une « personne physique identifiable » une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale ;

« Contrat » : Le contrat principal dans le cadre duquel des données personnelles seront échangées et traitées auquel est éventuellement annexé le présent Accord ;

« Personne concernée » : La personne physique dont les données sont traitées ;

« Responsable du traitement » : L’entité qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ;

« Sous-traitant » : L’entité qui traite des données à caractère personnel pour le compte du Responsable du traitement et selon ses instructions ;

« Sous-traitant ultérieur » : Tout sous-traitant engagé par le Sous-traitant pour effectuer des activités de traitement spécifiques pour le compte du Responsable du traitement, conformément aux conditions de l’article 4.6 du présent Accord ;

« Traitement » : Toute opération ou ensemble d’opérations effectuées sur des données à caractère personnel ou sur des ensembles de données à caractère personnel, que ce soit ou non par des moyens automatisés, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;

« Analyse d’impact relative à la protection des données » : Une analyse effectuée préalablement au traitement de données à caractère personnel lorsqu’il est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ;

« Violation de données à caractère personnel » : Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de, ou l’accès à, des données à caractère personnel transmises, conservées ou traitées d’une autre manière ;

« Pays tiers » : Tout pays situé en dehors du champ d’application de la législation sur la protection des données de l’Espace économique européen (« EEE »).

#Article 2. Objet et Portée

Le présent Accord a pour objet de définir les droits et obligations respectifs des Parties concernant le traitement de données personnelles effectué par le Sous-traitant pour le compte du Responsable du traitement, dans le cadre du Contrat.

Le présent Accord s’applique à l’ensemble des traitements de données personnelles réalisés par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de l’exécution du Contrat, tels que décrits à l’Appendice 1. Il s’impose au Sous-traitant ainsi qu’à toute personne agissant sous son autorité et ayant accès aux données personnelles.

#Article 3. Durée

Le présent Accord entre en vigueur à la date d’entrée en vigueur du Contrat et/ou CGU et demeure valable pendant toute la durée dudit Contrat. Il restera applicable tant que le Sous-traitant traitera des données personnelles pour le compte du Responsable du traitement, tel que précisé à l’Appendice 1.

#Article 4. Obligations des Parties

#4.1. Description du traitement

(a)Les détails des opérations de traitement, notamment les catégories de données personnelles et les finalités du traitement pour lesquelles les données sont traitées pour le compte du Responsable du traitement, sont précisés à l’Appendice 1.
(b)Si le traitement porte sur des données personnelles révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, des données génétiques ou biométriques aux fins d’identifier de manière unique une personne physique, des données concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne, ou encore des données relatives à des condamnations pénales et infractions (« données sensibles »), le Sous-traitant appliquera des restrictions spécifiques et/ou des garanties supplémentaires.

#4.2. Instructions

(a)Le Sous-traitant ne traitera les données personnelles que sur instruction documentée du Responsable du traitement, sauf si une obligation légale prévue par le droit de l’Union ou par le droit d’un État membre auquel le Sous-traitant est soumis l’y contraint. Dans ce cas, le Sous-traitant informera le Responsable du traitement de cette obligation légale avant de procéder au traitement, sauf si la loi l’interdit pour des motifs importants d’intérêt public. Des instructions complémentaires peuvent également être données par le Responsable du traitement pendant toute la durée du traitement des données personnelles. Ces instructions doivent toujours être documentées.
(b)Le Sous-traitant informe immédiatement le Responsable du traitement si, de son point de vue, les instructions fournies par ce dernier enfreignent la législation sur la protection des données.

#4.3. Limitation des finalités

Le Sous-traitant ne traitera les données personnelles que pour les finalités spécifiques définies à l’Appendice 1, sauf s’il reçoit d’autres instructions du Responsable du traitement.

#4.4. Sécurité du traitement et confidentialité

(a)Le Sous-traitant mettra en œuvre, au minimum, les mesures techniques et organisationnelles spécifiées à l’Appendice 2 afin de garantir la sécurité des données personnelles. Cela inclut la protection des données contre toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé aux données (violation de données personnelles). Pour évaluer le niveau de sécurité approprié, les Parties tiendront compte de l’état des connaissances, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, et des risques pour les personnes concernées.
(b)Le Sous-traitant ne donnera accès aux données personnelles traitées qu’aux membres de son personnel habilités pour la mise en œuvre, la gestion ou le suivi du contrat. Le Sous-traitant s’assurera que les personnes autorisées à traiter les données personnelles se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.

#4.5. Documentation et conformité

(a)Le Sous-traitant met à la disposition du Responsable du traitement, sur demande, toutes les informations nécessaires pour démontrer le respect des obligations prévues dans le présent Accord.
(b)Si le Responsable du traitement a des raisons de penser que le traitement de données personnelles par le Sous-traitant ou par un sous-traitant ultérieur n’est pas conforme aux dispositions du présent Accord, il se réserve le droit de vérifier, directement ou par l’intermédiaire d’un auditeur externe indépendant de son choix, la conformité du Sous-traitant à ses obligations.
(c)Les audits peuvent également inclure des inspections dans les locaux ou installations du Sous-traitant, et sont, le cas échéant, réalisés avec un préavis raisonnable.
(d)Les Parties mettront à disposition de l’autorité de contrôle compétente, sur demande, les informations visées dans la présente clause, y compris les résultats des audits.

#4.6. Recours à des sous-traitants ultérieurs

(a)Le Sous-traitant dispose d’une autorisation générale du Responsable du traitement pour faire appel à des sous-traitants ultérieurs. La liste des sous-traitants engagés est indiquée à l’Appendice 3.
(b)Le Sous-traitant doit informer par écrit le Responsable du traitement de tout changement prévu de cette liste, par ajout ou remplacement d’un sous-traitant, au moins trente (30) jours avant la mise en œuvre. Cela permet au Responsable du traitement de s’opposer à ces changements avant l’engagement du ou des sous-traitants concernés. Toute objection doit être justifiée et proportionnée aux intérêts des parties.
(c)Lorsque le Sous-traitant fait appel à un sous-traitant pour exécuter des activités de traitement spécifiques (pour le compte du Responsable du traitement), il le fait par le biais d’un contrat écrit imposant, en substance, les mêmes obligations en matière de protection des données que celles qui incombent au Sous-traitant en vertu du présent Accord.
(d)Sur demande, le Sous-traitant fournit au Responsable du traitement une copie du contrat conclu avec les sous-traitants ultérieurs, ainsi que de toute modification ultérieure. Dans la mesure nécessaire pour protéger les secrets commerciaux ou autres informations confidentielles, y compris les données personnelles, le Sous-traitant peut flouter certaines parties du contrat avant transmission.
(e)Le Sous-traitant reste pleinement responsable vis-à-vis du Responsable du traitement de l’exécution des obligations du sous-traitant ultérieur au titre du contrat conclu avec ce dernier.

#4.7. Transferts internationaux

(a)Tout transfert de données vers un pays tiers ou une organisation internationale par le Sous-traitant ne peut être effectué que sur la base d’accord, d’instructions documentées du Responsable du traitement ou pour répondre à une exigence spécifique imposée par la législation sur la protection des données à laquelle le Sous-traitant est soumis. Ce transfert doit être effectué en conformité avec le Chapitre V du RGPD.
(b)Le Responsable du traitement accepte que, lorsque le Sous-traitant engage un sous-traitant ultérieur pour exécuter des activités de traitement spécifiques impliquant un transfert de données personnelles au sens du Chapitre V du RGPD, le Sous-traitant et le sous-traitant ultérieur peuvent garantir la conformité à ce chapitre en recourant aux clauses contractuelles types adoptées par la Commission conformément à l’article 46(2) du RGPD, à condition que les conditions d’utilisation de ces clauses soient remplies. La liste des sous-traitants ultérieurs, incluant le cas échéant des transferts hors de l’Union européenne vers des pays tiers, est présentée en Appendice 3 du présent Accord. Ces transferts sont réputés acceptés par le Responsable du traitement.

#Article 5. Assistance au Responsable du traitement

(a)Le Sous-traitant notifie sans délai au Responsable du traitement, et en tout état de cause dans un délai maximum de cinq (5) jours ouvrables, toute demande qu’il aurait reçue d’une personne concernée. Il ne répondra pas lui-même à la demande, sauf autorisation expresse du Responsable du traitement.
(b)Le Sous-traitant assiste le Responsable du traitement dans l’exécution de ses obligations relatives aux demandes d’exercice des droits des personnes concernées, en tenant compte de la nature du traitement.
(c)Le Sous-traitant assiste également le Responsable du traitement pour garantir le respect des obligations suivantes, en tenant compte de la nature du traitement et des informations dont il dispose :
1)L’obligation de réaliser une analyse d’impact relative à la protection des données lorsque le type de traitement envisagé est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ;
2)L’obligation de consulter l’autorité de contrôle compétente avant le traitement, lorsque l’analyse d’impact indique que le traitement pourrait entraîner un risque élevé en l’absence de mesures prises par le Responsable du traitement pour atténuer ce risque ;
3)L’obligation de veiller à ce que les données personnelles soient exactes et mises à jour, en informant le Responsable du traitement sans délai si le Sous-traitant prend connaissance du fait que les données qu’il traite sont inexactes ou obsolètes.

#Article 6. Notification de violations de données à caractère personnel

(a) Le Sous-traitant coopère avec le Responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du RGPD, selon celui qui est applicable, en tenant compte de la nature du traitement et des informations dont dispose le Sous-traitant.

(b) En cas de violation de données à caractère personnel en rapport avec des données traitées par le Responsable du traitement, le Sous-traitant prête assistance au responsable du traitement :

1)aux fins de la notification de la violation de données à caractère personnel à l’autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le Responsable du traitement en a eu connaissance, le cas échéant (sauf si la violation de données à caractère personnel est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques);
2)aux fins de l’obtention des informations suivantes qui, conformément à la législation sur la protection des données, doivent figurer dans la notification du Responsable du traitement, et inclure, au moins:
la nature des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés;
les conséquences probables de la violation de données à caractère personnel;
les mesures prises ou les mesures que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

(c) En cas de violation de données personnelles en rapport avec des données traitées par le Sous-traitant, celui-ci en informe le Responsable du traitement dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir pris connaissance. Cette notification contient au moins :

1)une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d'enregistrements de données à caractère personnel concernés);
2)les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel;
3)ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.
(d)Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais.

#Article 7. Sort des données personnelles

(a)Le traitement par le Sous-traitant n’a lieu que pendant la durée spécifiée à l’Appendice 1. À la fin de la prestation des services de traitement des données, le Sous-traitant, au choix du Responsable du traitement, supprimera toutes les données personnelles traitées pour le compte de ce dernier et en fournira la preuve, ou restituera toutes les données personnelles traitées pour son compte et supprimera les copies existantes.
(b)Lorsque la législation applicable au Sous-traitant interdit la restitution ou la suppression des données personnelles, le Sous-traitant veille à ce que les données personnelles ne soient traitées que dans la mesure et pendant la durée requise par ladite législation.

#Article 8. Délégué à la protection des données

Le Sous-traitant communiquera au Responsable du traitement le nom et les coordonnées de son Délégué à la protection des données dans l’Appendice 1, s’il en a désigné un conformément à l’article 37 du RGPD.

#Article 9. Non-respect des clauses et résiliation

(a)Sans préjudice des dispositions du RGPD, si le Sous-traitant ne respecte pas ses obligations découlant des présentes clauses, le Responsable du traitement peut lui ordonner de suspendre le traitement des données personnelles jusqu’à ce qu’il se conforme à ces clauses, ou bien résilier le contrat. Le Sous-traitant informera sans délai le Responsable du traitement s’il se trouve dans l’impossibilité de se conformer aux présentes clauses, pour quelque raison que ce soit.
(b)Le Responsable du traitement est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données personnelles conformément aux présentes clauses, si :
1)le traitement des données personnelles a été suspendu par le Responsable du traitement conformément au point (a) et que la conformité aux présentes clauses n’a pas été rétablie dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;
2)le Sous-traitant enfreint de manière substantielle ou répétée les présentes clauses ou ses obligations prévues par la législation en matière de protection des données ;
3)le Sous-traitant ne respecte pas une décision contraignante rendue par un tribunal compétent ou une autorité de contrôle compétente concernant ses obligations en vertu des présentes clauses ou de la législation applicable en matière de protection des données.
(c)Le Sous-traitant est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données personnelles en vertu des présentes clauses, lorsqu’après avoir informé le Responsable du traitement que ses instructions enfreignent les exigences légales applicables, conformément à la Clause 4.2, le Responsable du traitement insiste pour maintenir ses instructions.

#Article 10. Divers

(a)Si une disposition du présent Accord est considéré comme illégale, invalide ou inapplicable, en tout ou en partie, cette disposition sera réputée ne pas faire partie de l’Accord, sans que cela n’affecte la légalité, la validité ou l’applicabilité des autres dispositions du présent Accord.
(b)Dans ce cas ou en cas de disposition manquante, le Responsable du traitement s’engage à l’indiquer immédiatement et de bonne foi au Sous-traitant afin qu’il puisse mettre en place une nouvelle disposition valide remplaçant disposition non applicable ou manquante du DPA.
(c)L’Accord est soumis à et interprété conformément à la législation luxembourgeoise applicable. Tout litige découlant de ou en relation avec l’Accord sera soumis à la juridiction exclusive des tribunaux de Luxembourg s’il n’a pas pu être réglé préalablement à l’amiable.

#Appendice 1 Description du traitement

Finalités du traitement	Fourniture, exploitation et maintenance de la plateforme email.luxgap.com d’hébergement de messagerie électronique, incluant la réception des messages, leur filtrage contre les messages indésirables et les logiciels malveillants, leur stockage et leur envoi, l’accès aux boîtes par logiciels de messagerie, webmail, agendas et carnets d’adresses, l’import de boîtes depuis un précédent fournisseur, la gestion des comptes, des accès et de la double authentification, l’historique des connexions et la détection des connexions inhabituelles, la bascule d’urgence d’un domaine, les sauvegardes et restaurations, le support, ainsi que la sécurité et la prévention des abus. Le traitement est limité aux instructions documentées du Responsable du traitement, qui comprennent les réglages effectués par le Client dans le portail de gestion ; chacun de ces réglages est tracé dans le journal d’audit.
Moyens et natures du traitement	Traitement automatisé via la plateforme, hébergée chez OVHcloud, en France, dans le centre de données de Gravelines (Hauts-de-France), au moyen de logiciels libres (Postfix, Dovecot, Rspamd, ClamAV, Roundcube, Radicale). Le portail de gestion ne traite que des données de configuration et des métadonnées de sécurité : il ne lit pas le contenu des boîtes, sauf l’accès d’exception décrit à l’Appendice 2. L’origine des connexions est déterminée sur la plateforme à partir des bases de géolocalisation DB-IP Lite téléchargées, sans transmission d’adresse IP à un tiers. Les alertes de connexion inhabituelle et le journal d’activité de la plateforme sont transmis au SOC et au SIEM de Luxgap, opérés par Luxgap. La plateforme ne prend aucune décision fondée exclusivement sur un traitement automatisé au sens de l’article 22 du RGPD.
Catégories de données personnelles traitées	Données d’identification et de compte des utilisateurs (adresse électronique, nom affiché, rôle, état de la boîte, quota, empreinte du mot de passe) ; Contenu des boîtes : messages et pièces jointes, y compris leurs en-têtes, dossiers, règles de filtrage, agendas et carnets d’adresses, susceptibles de contenir des données personnelles des utilisateurs, de leurs correspondants ou de tiers ; Métadonnées d’acheminement des messages (expéditeur, destinataires, dates, tailles, résultats des contrôles anti-spam et antivirus) ; Données de double authentification (secret du code à usage unique, chiffré ; nom des appareils ; empreintes des mots de passe d’application ; date, adresse IP et type d’accès de leur dernière utilisation) ; Historique des connexions (adresse de la boîte, adresse IP, type d’accès, dates de première et de dernière connexion, nombre de connexions, origine déduite : réseau, pays, ville, nom inverse) ; Données techniques (journaux, horodatages, adresses IP, identifiants techniques). La plateforme n’est pas destinée spécifiquement au traitement de catégories particulières de données (sensibles au sens de l’article 9 du RGPD) ; les messages peuvent toutefois en contenir, ce qui relève de la responsabilité et des instructions du Client.
Catégories de personnes concernées	Utilisateurs autorisés du Client (titulaires de boîtes, administrateurs et auditeurs de l’espace client), correspondants des utilisateurs (expéditeurs et destinataires des messages), personnes figurant dans les agendas et carnets d’adresses et, le cas échéant, toute personne physique dont les données figurent dans les contenus du Client.
Lieu(x) du traitement des données personnelles	Union européenne. Hébergement de l’application, de la base de données, des boîtes et des sauvegardes sur un serveur privé virtuel d’OVHcloud, en France, dans le centre de données de Gravelines (Hauts-de-France). Copie chiffrée des sauvegardes dans Microsoft OneDrive (Microsoft 365) de Luxgap, dans le cadre de la frontière de données de l’Union européenne. La liste détaillée figure à l’Appendice 3.
Durée du traitement	Durée du Contrat. Pendant le Contrat, les messages sont conservés selon les règles fixées par le Client (quotas, vidage automatique de la corbeille et du dossier des messages indésirables). Une boîte supprimée est effacée à l’issue d’un délai de grâce de 30 jours par défaut, réglable pour chaque client ; la suppression de l’espace client peut être annulée pendant 7 jours avant l’effacement. Historique des connexions : 365 jours après la dernière connexion depuis une adresse. Journaux techniques des services : 14 jours. Sauvegardes sur le serveur : 7 quotidiennes, 4 hebdomadaires et 12 mensuelles, soit 12 mois au plus ; copie synchronisée vers OneDrive : même durée. Copie au SIEM de Luxgap : 6 mois. Les sauvegardes ne sont pas modifiables : une donnée supprimée n’en disparaît qu’à leur expiration, et toute restauration réapplique les suppressions intervenues depuis la sauvegarde. À l’issue, les données sont supprimées ou restituées conformément à l’Article 7 ; les copies de sauvegarde sont effacées au terme de leur cycle de conservation.
Base légale du traitement	Le traitement par le Sous-traitant repose sur le Contrat et les instructions documentées du Responsable du traitement (article 28 du RGPD). La détermination de la base légale du traitement à l’égard des personnes concernées incombe au Responsable du traitement.
Point de contact de chaque Partie	Point de contact principal Sous-traitant : Luxgap Sàrl, 2 rue de l’École, L-8376 Kahler - contact@luxgap.com - +352 621 583 116. Délégué à la protection des données (DPO) Luxgap : dpo@luxgap.com.
Personnes désignées comme autorisées à effectuer les activités de traitement	Les membres du personnel de Luxgap habilités pour la mise en œuvre, la gestion ou le suivi du Contrat et soumis à une obligation de confidentialité. L’accès au contenu d’une boîte n’est possible que par la procédure d’accès d’exception décrite à l’Appendice 2.
Pays tiers vers lesquels les données personnelles sont transférées (si applicable)	Aucun. L’hébergement de la plateforme et la copie des sauvegardes restent dans l’Union européenne. Un accès résiduel depuis un pays tiers par un sous-traitant ultérieur ne peut intervenir que s’il est encadré par des garanties appropriées au sens du chapitre V du RGPD.
Décision D’ADÉQUATION (si applicable)	Sans objet en fonctionnement normal (aucun transfert hors EEE). Le cas échéant, les transferts éventuels sont encadrés par une décision d’adéquation, des clauses contractuelles types et des mesures supplémentaires documentées.

#Appendice 2 Mesures techniques et organisationnelles pour assurer la sécurité des données

Le Sous-traitant met en œuvre et maintient les mesures techniques et organisationnelles suivantes afin d’assurer un niveau de sécurité adapté au risque. Ces mesures sont régulièrement réévaluées en fonction de l’état des connaissances, de la nature des traitements et des risques pour les personnes concernées.

#Gouvernance de la sécurité

Politique de cybersécurité documentée et revue au moins annuellement, analyse de risques annuelle et lors de tout changement significatif. Décisions d’architecture et modèle de menaces documentés.

#Hébergement et sécurité physique

Hébergement sur un serveur privé virtuel d’OVHcloud, en France, dans le centre de données de Gravelines (Hauts-de-France). La sécurité physique du site relève d’OVHcloud et s’appuie sur les certifications qu’il publie pour ses centres de données.

#Isolation du réseau

Seuls les ports nécessaires à la messagerie (25, 465, 587 et 993) et à l’accès web chiffré (443) sont exposés ; la base de données et les services internes ne sont pas accessibles depuis l’extérieur. Administration de l’infrastructure au travers d’un VPN, avec des clés SSH nominatives.

#Chiffrement

Connexions chiffrées pour la consultation, l’envoi et l’administration (TLS 1.2 au minimum, TLS 1.3 privilégié) ; chiffrement opportuniste avec les serveurs de messagerie tiers. Mots de passe des boîtes conservés sous forme d’empreintes (argon2id) ; clés privées de signature DKIM chiffrées dans la base de données (AES-256-GCM) ; secrets de double authentification chiffrés (AES-256-GCM) ; sauvegardes chiffrées sur le serveur avant d’en sortir.

#Gestion des accès

Cloisonnement des données entre clients au niveau de l’application et de la base de données (sécurité au niveau des lignes), droits attribués par rôle, authentification à deux facteurs obligatoire sur le portail de gestion, double authentification des boîtes au choix du Client avec mots de passe d’application révocables, protection contre les tentatives de connexion répétées et sessions à durée limitée et révocables.

#Accès au contenu des boîtes

Aucun rôle d’administration, y compris le plus élevé, ne dispose d’un droit de lecture du contenu des boîtes, et le portail de gestion ne comporte aucune fonction de lecture. Accès d’exception : demandé avec une justification et une référence de dossier, approuvé par une seconde personne, limité à une boîte et à une durée bornée (quatre heures au plus dans la configuration par défaut), expirant automatiquement, tracé à chaque étape et visible du Client ; il ne donne accès ni aux agendas ni aux carnets d’adresses.

#Sécurité applicative

Services exécutés dans des conteneurs non privilégiés et durcis ; absence de relais ouvert vérifiée automatiquement avant chaque mise en production ; filtrage anti-spam et antivirus ; limites d’envoi par boîte et par client.

#Journalisation et détection

Journal d’audit en ajout seul, chaîné par empreintes, consultable et exportable par le Client pour son espace ; adresse IP et navigateur effacés après un an, événements supprimés après cinq ans. Journaux techniques sans secret, adresses électroniques masquées. Historique des connexions avec détection des connexions inhabituelles, signalées au SOC de Luxgap ; copie du journal d’activité au SIEM de Luxgap, conservée 6 mois.

#Sauvegarde et continuité

Sauvegarde quotidienne des boîtes, de la base de données et de la configuration, chiffrée sur le serveur, avec contrôle d’intégrité après chaque sauvegarde et test de restauration automatisé chaque semaine ; conservation sur le serveur de 7 sauvegardes quotidiennes, 4 hebdomadaires et 12 mensuelles ; copie chiffrée synchronisée vers Microsoft OneDrive (Microsoft 365), dans l’Union européenne. Procédure de reprise documentée.

#Développement sécurisé

Contrôles automatisés de sécurité avant toute mise en production (dépendances, images, code, recherche de secrets), mise à jour continue des dépendances et conservation des secrets dans un coffre dédié, hors du code.

#Sensibilisation et formation

Formation annuelle obligatoire du personnel à la sécurité de l’information.

#Gestion des incidents

Procédures documentées de détection, de réponse et de notification des incidents de sécurité, avec analyse post-incident.

#Appendice 3 Liste des sous-traitants ultérieurs

Nom de l’entité	Adresse	Nom, fonction et coordonnées de la personne de contact	Nature du service
OVH SAS (OVHcloud)	2 rue Kellermann, 59100 Roubaix, France	Délégué à la protection des données - dpo@ovhcloud.com	Hébergement de l’application, de la base de données, des boîtes aux lettres et des sauvegardes sur un serveur privé virtuel situé en France (centre de données de Gravelines).
Microsoft Ireland Operations Ltd	One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande	Microsoft Data Protection Officer - via le portail de confidentialité Microsoft	Conservation d’une copie chiffrée des sauvegardes dans OneDrive (Microsoft 365), dans le cadre de la frontière de données de l’UE.

Les bases de géolocalisation DB-IP Lite sont téléchargées et lues sur la plateforme : leur éditeur ne reçoit aucune donnée personnelle et n’est pas un sous-traitant ultérieur. Le SOC et le SIEM de Luxgap sont opérés par Luxgap.

La connexion des administrateurs au portail de gestion passe par un fournisseur d’identité (Keycloak) hébergé sur la plateforme elle-même, avec authentification à deux facteurs obligatoire : aucun sous-traitant ultérieur n’intervient.

Les contrôles DNS des domaines du Client interrogent les résolveurs DNS récursifs configurés sur la plateforme (par défaut des résolveurs publics, 9.9.9.9 et 1.1.1.1) ; ces requêtes ne portent que sur des noms de domaine et des enregistrements DNS.

Document liéConditions générales d’utilisation