Accord de sous-traitance des données (DPA)

Le présent accord (l’« Accord ») complète les conditions générales et s’applique dès qu’une organisation (le « Client », responsable de traitement) confie des données personnelles à Releo Cloud. WYATT GROUP (l’« Éditeur ») agit comme sous-traitant au sens de l’article 28 du Règlement (UE) 2016/679 (RGPD). En cas de contradiction, l’Accord prévaut sur les conditions générales pour ce qui touche aux données personnelles.

1. Objet et durée

L’Éditeur traite les données du Client pour fournir le Service : envoi des builds vers les stores, promotion, notes de version, pages publiques, gestion des membres. L’Accord dure aussi longtemps que le Client utilise le Service, puis jusqu’à la suppression de ses données.

2. Description du traitement

• Personnes concernées : membres de l’organisation, personnes invitées, testeurs qui enregistrent un appareil sur une page publique, auteurs des commits.
• Données : nom, email, rôle ; adresse IP et navigateur des sessions ; UDID, nom, modèle et version d’iOS des appareils de test ; auteurs et messages des commits ; journal d’audit.
• Opérations : stockage, consultation, transmission à Apple, Google, au fournisseur Git et au fournisseur LLM configurés par le Client, suppression.
• Le Service n’a pas vocation à traiter des données sensibles au sens de l’article 9 du RGPD. Le Client s’abstient d’en placer dans les notes ou les métadonnées.

3. Obligations de l’Éditeur

L’Éditeur s’engage à :

1. ne traiter les données que sur instruction documentée du Client : les Conditions, la configuration de l’organisation et les actions de ses membres valent instructions. Il informe le Client si une instruction lui paraît contraire au RGPD ;
2. garantir la confidentialité des données : les personnes autorisées à y accéder sont tenues au secret ;
3. mettre en œuvre les mesures de sécurité décrites en annexe ;
4. n’engager un sous-traitant ultérieur qu’aux conditions de l’article 4 ;
5. aider le Client, dans la mesure du possible, à répondre aux demandes d’exercice des droits des personnes concernées ;
6. aider le Client à garantir la sécurité du traitement, à notifier les violations de données et à mener une analyse d’impact si elle est requise ;
7. notifier au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles ;
8. à la fin du Service, supprimer les données du Client sous 30 jours, sauf obligation légale de conservation ; les sauvegardes sont effacées au fil de leur rotation (14 jours) ;
9. mettre à la disposition du Client les informations nécessaires pour démontrer le respect de l’Accord, et permettre un audit, à la charge du Client, avec un préavis raisonnable et dans le respect de la confidentialité des autres clients.

4. Sous-traitants ultérieurs

Le Client autorise l’Éditeur à recourir aux sous-traitants suivants :

Sous-traitant	Finalité	Localisation
OVH SAS	Hébergement de l'application, de sa base de données et des builds envoyées	France
Stripe Payments Europe, Ltd.	Paiement des abonnements et facturation	Ireland (transfers to the United States under the EU-US Data Privacy Framework)
Resend, Inc.	Emails transactionnels (confirmation, réinitialisation du mot de passe, invitations)	United States

L’Éditeur informe le Client par email au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s’y opposer pour un motif légitime en résiliant le Service avant la date du changement. L’Éditeur impose à chaque sous-traitant ultérieur des obligations équivalentes à celles de l’Accord.

Apple, Google, le fournisseur Git et le fournisseur LLM ne sont pas des sous-traitants de l’Éditeur : le Client les choisit, les configure avec ses propres comptes et contracte directement avec eux.

5. Transferts

Les données sont hébergées dans le pays indiqué pour l’hébergeur ci-dessus. Tout transfert hors de l’Union européenne s’appuie sur une décision d’adéquation ou sur les clauses contractuelles types de la Commission européenne.

6. Obligations du Client

Le Client :

• dispose d’une base légale pour les traitements qu’il confie au Service et informe les personnes concernées, en particulier les testeurs qui enregistrent un appareil ;
• choisit les services tiers qu’il connecte (Apple, Google, Git, LLM) et vérifie qu’ils conviennent aux données transmises ;
• gère les accès de ses membres et la confidentialité de ses identifiants.

Annexe : mesures de sécurité

• Connexions chiffrées (HTTPS) entre les navigateurs, la CI et le Service, et entre le Service et les API des stores.
• Mots de passe hachés ; sessions révocables ; authentification unique (OIDC, SAML) disponible selon l’offre.
• Secrets (clés .p8, certificats, comptes de service, jetons Git, clés LLM, keystores) chiffrés au repos en AES-256-GCM, jamais renvoyés par l’API.
• Appels aux stores exécutés avec un répertoire temporaire propre à chaque appel, dont les fichiers d’identifiants ne sont lisibles que par le processus du Service, supprimé à la fin de l’appel.
• Cloisonnement par organisation ; rôles par organisation et par app ; clés d’API avec portées et restriction par app, jamais plus de droits que leur propriétaire.
• Limitation des tentatives de connexion et des emails ; journal d’audit des actions et des connexions.
• Sauvegardes régulières de la base de données, conservées 14 jours.
• Pages publiques accessibles uniquement par un lien secret, révocable, avec date d’expiration optionnelle.