Accord de Traitement des Données

Introduction

Cet Accord de Traitement des Données (« ATD ») fait partie des Conditions d'Utilisation entre diffray, Inc. (« Sous-traitant », « nous », « notre ») et le client (« Responsable du Traitement », « vous ») pour la fourniture de services de révision de code alimentés par l'IA (le « Service »).

Cet ATD s'applique lorsque et uniquement dans la mesure où nous traitons des Données Personnelles en votre nom dans le cadre de la fourniture du Service, et que ces Données Personnelles sont soumises aux Lois sur la Protection des Données.

1. Définitions

• "Données Personnelles" désigne toute information relative à une personne physique identifiée ou identifiable traitée par nous en votre nom.
• "Lois sur la Protection des Données" désigne toutes les lois applicables relatives à la protection des données et à la vie privée, y compris le RGPD (UE), le RGPD du Royaume-Uni, le CCPA (Californie), la LGPD (Brésil) et d'autres réglementations applicables.
• "Sous-traitant Ultérieur" désigne tout tiers engagé par nous pour traiter des Données Personnelles en votre nom.
• "Personne Concernée" désigne l'individu auquel les Données Personnelles se rapportent.
• "Incident de Sécurité" désigne toute violation de sécurité non autorisée ou illégale qui entraîne la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illégal aux Données Personnelles.

2. Portée du Traitement

2.1 Objet

Traitement de Données Personnelles dans le cadre de services de révision de code alimentés par l'IA pour les dépôts GitHub.

2.2 Nature et Finalité

• Fourniture de services de révision et d'analyse de code
• Traitement des pull requests et des données de dépôt
• Authentification des utilisateurs et gestion de compte
• Analytique et amélioration du service

2.3 Catégories de Personnes Concernées

• Vos employés et sous-traitants
• Vos utilisateurs finaux qui interagissent avec les dépôts de code
• Contributeurs aux dépôts que vous autorisez pour révision

2.4 Types de Données Personnelles

• Noms d'utilisateur et adresses email GitHub
• Informations de profil (noms, avatars)
• Métadonnées de dépôt et informations de commit
• Adresses IP et données d'utilisation

2.5 Durée

Le traitement continue pendant la durée de l'accord de Service, plus toute période de conservation requise par la loi ou comme spécifié dans notre Politique de Confidentialité.

3. Obligations du Sous-traitant

Nous devons :

• Traiter les Données Personnelles uniquement sur vos instructions documentées, sauf si requis par la loi
• S'assurer que les personnes autorisées à traiter les Données Personnelles sont liées par des obligations de confidentialité
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées
• Ne pas engager de Sous-traitants Ultérieurs sans votre autorisation préalable (générale ou spécifique)
• Vous aider à répondre aux demandes des Personnes Concernées
• Vous aider à assurer la conformité avec les obligations de sécurité, de notification de violation et d'évaluation d'impact
• Supprimer ou retourner toutes les Données Personnelles à la résiliation, sauf si la conservation est requise par la loi
• Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre les audits

4. Obligations du Responsable du Traitement

Vous devez :

• Vous assurer que vous avez une base légale pour le traitement des Données Personnelles
• Fournir des instructions claires pour le traitement des Données Personnelles
• Vous assurer que les Personnes Concernées ont été informées du traitement
• Être responsable de l'exactitude des Données Personnelles qui nous sont fournies
• Se conformer aux Lois sur la Protection des Données applicables

5. Sous-traitants Ultérieurs

Vous nous autorisez à engager les Sous-traitants Ultérieurs suivants :

Nous vous informerons de tout changement prévu concernant les Sous-traitants Ultérieurs, vous donnant la possibilité de vous y opposer. Tous les Sous-traitants Ultérieurs sont liés par des accords de traitement des données avec des protections équivalentes.

6. Mesures de Sécurité

Nous mettons en œuvre et maintenons des mesures techniques et organisationnelles appropriées, notamment :

• Chiffrement: TLS 1.2+ pour les données en transit ; AES-256 pour les données au repos
• Contrôle d'Accès: Accès basé sur les rôles, authentification multifacteur, principe du moindre privilège
• Infrastructure: AWS avec certification SOC 2 Type II, VPC isolés, groupes de sécurité
• Surveillance: Journalisation 24h/24 et 7j/7, détection d'intrusion, alertes automatisées
• Sécurité du Code: Environnements de traitement éphémères détruits après chaque révision
• Personnel: Vérifications des antécédents, formation à la sécurité, accords de confidentialité
• Réponse aux Incidents: Procédures documentées, tests réguliers, voies d'escalade définies

7. Droits des Personnes Concernées

Nous vous aiderons à répondre aux demandes des Personnes Concernées exerçant leurs droits en vertu des Lois sur la Protection des Données, notamment :

• Droit d'accès
• Droit de rectification
• Droit à l'effacement
• Droit à la limitation du traitement
• Droit à la portabilité des données
• Droit d'opposition

Si nous recevons une demande directement d'une Personne Concernée, nous vous en informerons rapidement, sauf si cela est interdit par la loi.

8. Notification d'Incident de Sécurité

En prenant connaissance d'un Incident de Sécurité affectant vos Données Personnelles, nous devons :

• Vous informer sans délai indu (dans les 72 heures lorsque cela est possible)
• Fournir des informations sur la nature de l'incident, les catégories de données affectées, le nombre approximatif de Personnes Concernées, les conséquences probables et les mesures prises
• Coopérer avec vos efforts d'enquête et d'atténuation
• Documenter l'incident et les mesures de remédiation

9. Suppression et Retour des Données

À la résiliation du Service ou sur votre demande :

• Nous supprimerons ou retournerons toutes les Données Personnelles dans les 30 jours
• Nous fournirons une confirmation écrite de la suppression sur demande
• Conservation au-delà de cette période uniquement si requis par la loi applicable

Remarque : Le code source n'est jamais stocké de façon permanente. Chaque révision s'exécute dans un environnement éphémère qui est complètement détruit après achèvement.

10. Audits

Moyennant un préavis raisonnable et sous réserve d'obligations de confidentialité :

• Nous mettrons à disposition les informations nécessaires pour démontrer la conformité avec cet ATD
• Nous permettrons et contribuerons aux audits menés par vous ou un auditeur indépendant
• Les audits seront effectués pendant les heures normales de bureau, pas plus d'une fois par an
• Vous supporterez les coûts de tout audit sauf s'il révèle une non-conformité matérielle

Nous maintenons également des certifications tierces et des rapports d'audit (disponibles sur demande sous NDA).

11. Transferts Internationaux

Pour les transferts de Données Personnelles en dehors de l'EEE, du Royaume-Uni ou de la Suisse :

• Nous nous appuyons sur les Clauses Contractuelles Standard (CCS) de l'UE telles qu'approuvées par la Commission européenne
• Pour les transferts au Royaume-Uni, nous utilisons l'Accord de Transfert de Données International du Royaume-Uni ou l'Addendum du Royaume-Uni aux CCS
• Nous mettons en œuvre des mesures supplémentaires lorsque cela est requis par les orientations applicables

Les CCS sont incorporées par référence et disponibles sur demande.

12. Responsabilité

La responsabilité en vertu de cet ATD est soumise aux limitations énoncées dans les Conditions d'Utilisation. Chaque partie sera responsable des dommages causés par un traitement qui enfreint les Lois sur la Protection des Données ou cet ATD.

13. Durée et Résiliation

Cet ATD restera en vigueur pendant la durée de notre traitement de Données Personnelles en votre nom. À la résiliation du Service, les obligations relatives à la suppression des données, à la confidentialité et aux droits d'audit survivront.

14. Loi Applicable

Cet ATD sera régi par les lois spécifiées dans les Conditions d'Utilisation (État du Delaware, États-Unis), sauf lorsque les Lois sur la Protection des Données exigent autrement.

15. Contact

Pour toute question concernant cet ATD ou pour demander une copie signée :