En application stricte de l'Article 28 §3(a) du RGPD, Boundry s'interdit expressément d'utiliser, de divulguer, de céder ou d'exploiter les flux de télémétrie, les invites de commande (prompts) ou les données soumises par les agents IA de l'Organisation cliente pour l'entraînement ou l'ajustement de modèles d'intelligence artificielle. Vos données demeurent sous votre maîtrise exclusive.
1. Préambule et Rôles Contractuels
Le présent Accord de Traitement des Données (ci-après désigné le « DPA ») formalise le contrat liant :
- Le Responsable de Traitement : L'Organisation cliente utilisant la plateforme Boundry et ayant créé un compte organisationnel (ci-après le « Client »).
- Le Sous-traitant : La société Neko Labs SAS, société par actions simplifiée immatriculée au Registre du Commerce et des Sociétés de Paris, éditrice et opératrice de la solution Boundry (ci-après « Boundry »).
Le présent accord est conclu en application directe de l'Article 28 du Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679) ainsi que des exigences de gouvernance et de transparence instituées par le Règlement Européen sur l'Intelligence Artificielle (EU AI Act - Règlement UE 2024/1689).
Il s'applique à l'ensemble des opérations de traitement de données à caractère personnel effectuées par Boundry pour le compte du Client dans le cadre de la surveillance SecOps, de l'observabilité cryptographique et du filtrage pré-exécution des agents autonomes (LangChain, CrewAI, AutoGPT, scripts personnalisés).
2. Nature et Finalités des Opérations de Traitement
Conformément aux instructions documentées du Client, Boundry traite les données à caractère personnel strictement et exclusivement pour les finalités techniques de sécurité suivantes :
Supervision et validation en amont des arguments d'outils (tools) sollicités par les agents IA avant transmission aux API internes ou tierces de l'organisation.
Analyse heuristique temps réel visant à neutraliser les injections de prompt indirectes, les évasions de règles et les franchissements de périmètre applicatif (Boundaries).
Masquage automatisé (redaction) et pseudonymisation à la volée des données personnelles sensibles (PII, numéros bancaires, secrets d'API) avant stockage.
Scellement immuable HMAC SHA-256 et génération d'arbres de preuves (Merkle Proofs) pour garantir la non-répudiation des traces d'audit réglementaires.
3. Catégories de Données et Cloisonnement DLP
Les catégories de données personnelles traitées ainsi que les personnes concernées sont récapitulées dans le tableau ci-après :
| Catégorie de Données | Description & Typologie | Mesures de Protection & Masquage |
|---|---|---|
| Télémétrie d'Agents IA | Identifiants logiques des agents, nom d'outils invoqués, horodatages ISO 8601, durées d'exécution et codes de retour. | Cloisonnement par tenant, absence d'association nominative directe, scellement SHA-256. |
| Paramètres d'Outils (Arguments) | Données textuelles transitant dans les requêtes de l'agent (requêtes SQL, payload JSON, messages de messagerie). | Filtre DLP actif : caviardage automatique des numéros de carte bancaire, IBAN, tokens secrets et emails nominatifs. |
| Traces de Sécurité & Logs | Adresse IP d'origine des sensors SDK, signatures cryptographiques des décisions, scores de détection d'injection. | Chiffrement AES-256 au repos, rétention configurable de 7 à 3 650 jours. |
| Comptes Opérateurs SecOps | Nom, prénom, adresse email professionnelle, hash bcrypt du mot de passe et secret 2FA TOTP des administrateurs. | Authentification multi-facteurs obligatoire, sessions à durée limitée, non communiqué aux tiers. |
Exemple de Caviardage Automatique en Ligne (DLP Engine)
Le moteur de prévention des fuites de données de Boundry assainit automatiquement les flux avant toute écriture en base de données :
4. Sous-traitants Ultérieurs Autorisés
Conformément à l'Article 28 §2 et §4 du RGPD, le Client octroie par le présent DPA une autorisation générale à Boundry pour engager les sous-traitants ultérieurs mentionnés ci-dessous. Chacun d'entre eux a été audité et est soumis à des obligations contractuelles équivalentes à celles du présent accord :
| Sous-traitant Ultérieur | Rôle & Finalité Technique | Localisation, Certifications & Garanties |
|---|---|---|
| Supabase Inc. Base de données managée | Hébergement de la base de données PostgreSQL isolée, chiffrée et hautement disponible. |
Union Européenne (Région AWS Paris / Francfort) Infrastructure hébergée en UE, chiffrement AES-256 au repos, DPA signé. |
| Render Services Inc. Infrastructure Cloud PaaS | Hébergement et orchestration des micro-services API, de la console web et des worker nodes d'ingestion. |
Union Européenne (Région Francfort) Infrastructure hébergée à Francfort (UE), chiffrement TLS 1.3 de bout en bout, DPA signé. |
| Paddle Payments Ltd. Merchant of Record | Gestion de la facturation, encaissement des souscriptions payantes et conformité fiscale (TVA). |
Royaume-Uni / Union Européenne Conforme RGPD (Clauses Contractuelles Types CCT), Standard PCI-DSS Niveau 1, DPA officiel. |
| Cloudflare Inc. Protection Réseau & DDoS | Protection anti-DDoS distribuée et routage Anycast sécurisé. |
Union Européenne & Global Edge Protection réseau Anycast et mitigation DDoS, chiffrement TLS 1.3 strict, DPA signé. |
Boundry informera le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur par notification électronique avec un préavis d'au moins 30 jours calendaires. Le Client dispose de la faculté d'émettre des objections légitimes relatives à la sécurité des données avant l'entrée en vigueur effective du changement.
5. Durée de Conservation et Procédure de Purge & Effacement Cryptographique (Crypto-shredding)
Les données sont conservées selon la politique de rétention strictement déterminée par le Client dans sa console SecOps :
- Rétention Standard : La durée par défaut de conservation des logs de télémétrie est fixée à 90 jours.
- Plage Configurable : L'administrateur peut ajuster cette rétention entre 7 jours et 3 650 jours (10 ans) pour satisfaire ses propres obligations d'audit sectoriel (NIS 2, DORA, PCI-DSS).
- Purge Automatisée : Les enregistrements excédant la période de rétention sont détruits quotidiennement par routines cryptographiques automatisées.
- Conciliation entre Droit à l'Effacement (Art. 17 RGPD) et Chaîne SHA-256 (Crypto-shredding) : La chaîne de hachage SHA-256 ne porte pas sur les données personnelles en clair mais sur leur empreinte
input_sha256. Les charges utiles sensibles optionnelles sont chiffrées avec une clé dédiée par organisation. En cas de demande d'effacement RGPD, la destruction de la clé de chiffrement rend la donnée illisible définitivement tout en maintenant la vérifiabilité mathématique de la chaîne d'audit.
À la résiliation du contrat ou sur demande formelle d'exercice du droit à l'effacement (Article 17 du RGPD), Boundry s'engage à procéder à la suppression complète, irréversible et documentée de toutes les données du tenant, clés d'API et journaux d'audit associés dans un délai maximal de 48 heures ouvrées, avec remise sur demande d'un certificat d'effacement sécurisé.
6. Mesures Techniques et Organisationnelles de Sécurité (TOMs)
Boundry met en œuvre de manière permanente les mesures de sécurité appropriées pour assurer un niveau de sécurité adapté au risque (Article 32 du RGPD) :
Chiffrement robuste de toutes les données au repos via l'algorithme AES-256 et en transit avec TLS 1.3 strict intégrant la confidentialité persistante (PFS).
Authentification multi-facteurs TOTP obligatoire pour l'accès aux consoles SecOps. Clés d'API organisationnelles à granularité fine avec révocation immédiate.
Cloisonnement logique étanche des organisations clientes via Row-Level Security (RLS) et jetons JWT cryptographiquement signés empêchant tout accès croisé.
Journalisation immuable des accès opérateurs, supervision continue de disponibilité (/health), audits continus de dépendances et tests d'intrusion périodiques.
7. Procédure de Notification des Violations de Données (48 Heures)
En cas d'incident de sécurité avéré entraînant la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles confiées par le Client :
- Délai de Notification Garanti : Boundry s'engage à notifier par écrit le Client sans délai indu et au plus tard 48 heures après en avoir pris connaissance (délai plus strict que le délai réglementaire de l'Article 33 du RGPD imposée par l'Article 33 du RGPD).
- Informations Transmises : La notification détaille la nature de l'incident, le nombre approximatif de personnes ou d'enregistrements concernés, les conséquences prévisibles et les mesures correctives immédiates mises en œuvre.
- Assistance Réglementaire : Boundry coopère activement avec le Client afin de lui permettre de documenter l'incident et de satisfaire à ses obligations de notification auprès de la CNIL ou des autorités de contrôle compétentes.
8. Droit d'Audit et Assistance à la Conformité
Conformément à l'Article 28 §3(h) du RGPD :
- Boundry met à disposition du Client toute la documentation technique requise démontrant le respect de l'ensemble de ses obligations (attestations de sécurité des sous-traitants d'infrastructure, preuves techniques de journalisation signée SHA-256 et rapports d'analyse de vulnérabilités).
- Le Client (ou un auditeur indépendant qualifié non concurrent de Boundry, soumis au secret professionnel) peut procéder, sur notification écrite préalable d'au moins 30 jours ouvrés, à un audit sur pièces ou sur site une fois par an civil.
- Boundry assiste le Client dans la réalisation de ses analyses d'impact relatives à la protection des données (AIPD / DPIA) et consultations préalables auprès des autorités de régulation pour les cas d'usage impliquant des systèmes d'IA à haut risque selon l'EU AI Act.
9. Formalisation, Validité et Signature Électronique
Le présent DPA entre en vigueur dès la création d'un compte organisationnel par le Client sur la plateforme Boundry ou lors de sa validation par signature électronique au sein de la console. Il demeure en vigueur pour toute la durée de prestation des services SaaS.
Représenté par la Direction Technique & DPO
Contact légal : [email protected]
Représenté par l'Administrateur habilité du compte
Validation en ligne via la console