Avenant relatif au traitement des données (DPA)

Les dispositions complémentaires vérifiées ci-dessous (v1.0-RC1, 8 novembre 2026) prévalent, en cas de contradiction, sur les dispositions générales figurant plus loin dans ce document.

2. AVENANT RELATIF AU TRAITEMENT DES DONNÉES (DPA) — ANNEXES MISES À JOUR

2.1 Rôles

Govexa peut être responsable du traitement pour ses propres opérations de compte, de vente, de support, de sécurité et web. Pour les données personnelles qu'un Client professionnel téléverse sur la plateforme Govexa ou fournit à Govexa pour traitement via des connecteurs, Govexa agit en principe en tant que sous-traitant ou sous-traitant ultérieur sur instruction documentée du Client.

2.2 Catégories de données traitées — Annexe A

Selon l'usage, les Données Personnelles du Client peuvent comprendre :

Identité et annuaire des utilisateurs

• prénom, nom ;
• e-mail professionnel ;
• identifiant d'utilisateur/de compte ;
• organisation, service et rôle ;
• informations sur les rôles administrateur/privilégiés ;
• informations d'activation/de statut de la MFA ;
• dernière connexion ou activité du compte.

Données GRC

• enregistrements de processus, d'actifs, de données, de risques, de contrôles et d'obligations ;
• données d'audit, de constats, d'actions et de preuves ;
• enregistrements de fournisseurs/tiers ;
• vulnérabilités techniques et constats de sécurité ;
• fichiers et descriptions téléversés par le Client.

Données des connecteurs

Selon l'intégration activée par le Client, depuis AWS, Google, Okta, Microsoft Entra, GitHub, Jira, Slack ou d'autres systèmes pris en charge :

• annuaire des utilisateurs et informations d'accès ;
• état de la MFA/de la sécurité des identités ;
• dernière connexion/activité ;
• rôles administrateur et privilégiés ;
• métadonnées de configuration et de sécurité cloud ;
• configuration et paramètres de sécurité des dépôts ;
• autres métadonnées de configuration nécessaires à l'intégration pour produire des preuves GRC.

Govexa n'accède aux données que dans le périmètre de l'intégration et des instructions activées par le Client.

2.3 Sous-traitants ultérieurs d'IA gérés par Govexa

Lorsque l'IA gérée par Govexa est utilisée, Anthropic peut être le sous-traitant ultérieur d'IA par défaut. OpenAI peut être un sous-traitant ultérieur d'IA optionnel lorsque Govexa l'active pour le locataire/forfait concerné.

Le prompt et les Données Client contextuelles nécessaires à l'exécution de la fonction d'IA peuvent être transférés au fournisseur concerné. Les mécanismes de transfert international applicables à ce fournisseur sont gérés conformément au droit applicable.

Le ZDR d'Anthropic n'est pas promis par Govexa comme caractéristique contractuelle, sauf s'il est activé et vérifié séparément pour le compte concerné de Govexa.

2.4 IA dirigée par le Client — pas un sous-traitant ultérieur

Si le Client demande par écrit d'utiliser, pour les fonctions d'IA de la Plateforme, son propre compte Anthropic/OpenAI, sa propre clé d'API ou son serveur Ollama/de modèle auto-hébergé, ce fournisseur ou système est considéré non comme un sous-traitant ultérieur choisi par Govexa, mais comme un tiers choisi/dirigé par le Client ou le propre fournisseur du Client.

Dans cette configuration :

• les données envoyées à la fonction d'IA sont transmises, sur instruction du Client, directement au fournisseur/point de terminaison choisi par le Client ;
• le contrat, le DPA, les garanties de transfert, le mécanisme de transfert international avec le fournisseur et l'information nécessaire des personnes concernées relèvent de la responsabilité du Client ;
• Govexa stocke chiffrés les secrets de connexion pris en charge, tels que les clés d'API, et ne les réaffiche pas dans l'interface ;
• en cas d'échec d'une connexion d'IA dirigée par le Client, Govexa ne bascule pas silencieusement vers son propre compte d'IA.

Le simple acheminement technique effectué par Govexa ne transfère pas à Govexa le rôle juridique autonome du fournisseur choisi directement par le Client.

2.5 Sentry

Sentry n'est considéré comme un sous-traitant ultérieur utilisé pour la surveillance des erreurs que lorsque le DSN/l'intégration est activé dans l'environnement de production concerné. La configuration actuelle de l'application comprend sendDefaultPii: false et des contrôles de nettoyage beforeSend.

Si Sentry n'est pas activé en production, il est indiqué comme « conditionnel / uniquement si activé » dans la liste publique des sous-traitants ultérieurs ou retiré de la liste des sous-traitants actifs.

2.6 Conservation et suppression

Tant que Govexa n'applique pas encore de traitement automatique de conservation/suppression à durée fixe pour toutes les catégories de données, le DPA ou la Politique de confidentialité ne prévoit aucun engagement sur une durée automatique, telle que « 12 mois », qui n'est pas appliquée techniquement.

La conservation est déterminée selon la catégorie de données, le contrat, le besoin de sécurité, l'obligation légale et le cycle de sauvegarde technique.

L'audit_log est actuellement conservé en ajout seul. Aucune durée de suppression automatique déterminée n'est promise pour ces enregistrements tant qu'un mécanisme de conservation spécifiquement conçu et vérifié pour leur suppression/anonymisation n'est pas mis en place.

2.7 Sauvegarde et continuité d'activité

Les fonctions de sauvegarde proposées par le fournisseur peuvent être utilisées dans l'infrastructure de base de données de Govexa. Toutefois, Govexa ne propose pas de procédure de restauration testée ni d'objectifs RPO/RTO écrits comme garantie contractuelle tant qu'ils ne sont pas techniquement établis et démontrés.

2.8 Transferts internationaux

Pour les transferts soumis à restrictions au titre du RGPD, les clauses contractuelles types de la Commission européenne et les mesures supplémentaires nécessaires sont utilisées le cas échéant.

Pour les transferts transfrontaliers soumis à la KVKK, le mécanisme approprié au titre de l'article 9 de la loi n° 6698 et de la réglementation secondaire en vigueur est utilisé. Lorsque le contrat type KVKK est utilisé, les obligations de notification applicables sont respectées.

Dispositions générales

Lorsque Govexa traite des données personnelles pour le compte du Client, le Client agit comme responsable du traitement (ou sous-traitant pour un autre responsable) et Govexa comme sous-traitant ou sous-traitant ultérieur.

Govexa traite les données uniquement sur instructions documentées, impose des obligations de confidentialité et applique des mesures techniques et organisationnelles appropriées.

Le Client donne une autorisation générale pour les sous-traitants ultérieurs nécessaires. Anthropic peut être le sous-traitant IA par défaut; OpenAI peut être utilisé lorsqu'il est sélectionné. Un fournisseur BYOAI directement contracté par le Client peut être considéré comme un tiers dirigé par le Client.

Govexa fournit une assistance raisonnable pour les droits des personnes, violations de données, DPIA et audits requis. Une violation confirmée affectant les données Client est notifiée sans retard injustifié.

Pour les transferts hors EEE nécessitant un mécanisme, les modules SCC appropriés sont intégrés selon le rôle des parties.

• — — — — — — — — — — — — — — — — — — — — — — — --