Contrat de sous-traitance des données (DPA)

Version : 1.2 Date d’entrée en vigueur : 9 septembre 2026 Dernière mise à jour : 9 septembre 2026

1. Objet et identification des parties

1.1 Identification du Sous-traitant

MSPLR, éditrice de la marque déposée PersoIA (ci-après « le Sous-traitant » ou « PersoIA »)

• Raison sociale : MSPLR
• Marque commerciale : PersoIA (marque déposée)
• Forme juridique : Société par actions simplifiée (SAS)
• Siège social : 127 Rue Marcel Sembat, 33130 Bègles
• RCS : Bordeaux 105 591 986 (immatriculée le 04/06/2026)
• TVA intracommunautaire : FR63105591986
• Capital social : 1 000 €
• Représentée par : Pierre MERLE, Président
• Contact protection des données : dpo@persoia.com

1.2 Identification du Responsable de traitement

Le Client (ci-après « le Responsable de traitement »)

• Tel que désigné dans le contrat principal (Conditions Générales de Vente ou contrat de service signé entre les parties)
• Représenté par la personne dûment habilitée à signer le contrat principal

1.3 Articulation contractuelle

Le présent contrat de sous-traitance des données (ci-après « DPA ») fait partie intégrante du contrat principal (Conditions Générales de Vente — CGV, ou contrat de service spécifique) conclu entre le Responsable de traitement et le Sous-traitant. En cas de contradiction sur les sujets liés à la protection des données à caractère personnel, les stipulations du présent DPA prévalent sur celles du contrat principal.

Conformément à l’article 20.2 des CGV, le présent DPA prévaut sur les CGV pour ce qui concerne le traitement des métadonnées techniques d’usage et de consommation décrites au §3.3.

Le présent DPA a pour objet d’encadrer le traitement des données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable de traitement, conformément à l’article 28 du RGPD.

2. Définitions

Les termes utilisés dans le présent DPA ont le sens qui leur est donné à l’article 4 du RGPD. À titre indicatif et non limitatif :

• Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
• Traitement : toute opération ou ensemble d’opérations effectuées sur des données à caractère personnel (collecte, enregistrement, organisation, conservation, modification, extraction, consultation, utilisation, communication, diffusion, rapprochement, limitation, effacement ou destruction).
• Responsable de traitement : la personne physique ou morale qui détermine les finalités et les moyens du traitement.
• Sous-traitant : la personne physique ou morale qui traite des données à caractère personnel pour le compte du Responsable de traitement.
• Sous-traitant ultérieur : tiers engagé par le Sous-traitant pour exécuter tout ou partie des activités de traitement pour le compte du Responsable.
• Personne concernée : la personne physique à laquelle se rapportent les données.
• Violation de données à caractère personnel : violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données.
• Instructions documentées : instructions écrites du Responsable de traitement, le contrat principal et le présent DPA valant instructions initiales.
• RGPD : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.
• Métadonnées techniques d’usage et de consommation : données techniques relatives à l’utilisation des ressources de calcul, à l’exclusion de tout contenu des Données Client (voir §3.3). Sont notamment visées les unités de calcul consommées et la distinction entre usage interactif et usage automatisé.

3. Description du traitement

3.1 Finalité du traitement

Le Sous-traitant traite les données à caractère personnel exclusivement aux fins de fourniture du service PersoIA, à savoir :

• la mise à disposition d’une instance d’intelligence artificielle privée (dédiée ou mutualisée selon l’offre souscrite),
• l’hébergement et le traitement des contenus que le Responsable et ses utilisateurs autorisés soumettent à l’instance,
• l’indexation documentaire (RAG — Retrieval-Augmented Generation) lorsque cette fonctionnalité est activée par le Responsable,
• la gestion des comptes utilisateurs, de l’authentification et du contrôle d’accès,
• la facturation et la gestion administrative du contrat,
• la mesure de la consommation technique, la facturation des dépassements (enveloppe de calcul / Compute Units, option visioconférence) et le maintien de la qualité de service et de l’usage équitable du pool mutualisé. Ce traitement porte exclusivement sur des métadonnées techniques (§3.3) et n’implique aucune consultation du contenu des Données Client.

3.2 Nature des opérations de traitement

Les opérations effectuées par le Sous-traitant comprennent notamment :

• le stockage des données (base SQLite dédiée par tenant, chiffrée au repos),
• la transmission des données entre le terminal utilisateur, l’API et l’instance d’inférence (chiffrement en transit),
• le traitement par modèle de langage open-source exécuté sur l’instance,
• l’indexation vectorielle des contenus RAG le cas échéant,
• la conservation de journaux techniques et de sécurité,
• la sauvegarde chiffrée des données vers un stockage objet souverain,
• la mesure, l’agrégation et la conservation de métadonnées techniques d’usage (comptage de Compute Units, durées d’usage GPU et de visioconférence, comptage de requêtes) aux fins de facturation des dépassements et de régulation de la qualité de service.

3.3 Catégories de données traitées

Les catégories de données traitées sont celles que le Responsable de traitement et ses utilisateurs autorisés soumettent à l’instance PersoIA. À titre indicatif :

• données d’identification des utilisateurs (nom, prénom, adresse e-mail professionnelle),
• données de connexion (adresses IP, horodatages, identifiants de session),
• contenus soumis aux conversations IA (texte libre, documents importés pour analyse, prompts),
• données de facturation et de contrat,
• métadonnées techniques d’usage et de consommation : horodatages de démarrage/arrêt des ressources de calcul, volume de Compute Units consommées, durée d’usage de la visioconférence, nombre et type de requêtes (interactif/automatisé), identifiant technique de l’Utilisateur ou de la clé d’accès programmatique. À l’exclusion de tout contenu des Données Client.

Le Responsable de traitement reste seul juge des catégories de données effectivement injectées dans l’instance. Il s’engage à ne pas soumettre à l’instance de données dont le traitement par PersoIA n’aurait pas été préalablement encadré juridiquement (notamment données de santé, données pénales, données de mineurs, sauf accord écrit préalable des parties).

3.4 Catégories de personnes concernées

Typiquement :

• les utilisateurs internes du Responsable de traitement (salariés, prestataires, sous-traitants disposant d’un accès),
• les tiers dont les données sont susceptibles d’être incluses dans les contenus soumis à l’instance par le Responsable (clients, partenaires, etc.) — sous la responsabilité du Responsable.

3.5 Durée du traitement

Le traitement est effectué pendant toute la durée du contrat principal. À l’issue du contrat, et conformément à l’article 10 du présent DPA, les données sont restituées ou supprimées dans un délai de 60 jours suivant la résiliation, sous réserve des obligations légales de conservation incombant au Sous-traitant (notamment obligations comptables et fiscales).

Les métadonnées techniques d’usage et de consommation (§3.3) sont conservées sous forme opérationnelle détaillée pendant 60 jours (notamment pour permettre au Client de contester la consommation facturée), puis sous forme agrégée pour les besoins comptables et statistiques, pour la durée requise par les obligations légales applicables.

4. Obligations du Sous-traitant

Conformément à l’article 28-3 du RGPD, le Sous-traitant s’engage à :

4.1 (a) Agir uniquement sur instruction documentée du Responsable

Le Sous-traitant traite les données à caractère personnel uniquement sur instructions documentées du Responsable de traitement. Le contrat principal et le présent DPA constituent les instructions initiales.

Si le Sous-traitant est tenu, en vertu du droit de l’Union européenne ou du droit français, de procéder à un traitement non couvert par les instructions du Responsable, il informe le Responsable de cette obligation juridique avant le traitement, sauf si le droit applicable interdit une telle information pour des motifs importants d’intérêt public.

Si le Sous-traitant estime qu’une instruction du Responsable constitue une violation du RGPD ou de toute autre disposition du droit de l’Union ou du droit national relative à la protection des données, il en informe immédiatement le Responsable.

4.2 (b) Confidentialité des personnes autorisées à traiter les données

Le Sous-traitant garantit que les personnes autorisées à traiter les données à caractère personnel sous son autorité :

• s’engagent à respecter la confidentialité par contrat de travail, accord de non-divulgation (NDA) ou clause spécifique,
• reçoivent la formation nécessaire à la protection des données,
• accèdent aux données uniquement sur le principe du « need-to-know ».

4.3 (c) Sécurité du traitement (art. 32 RGPD)

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en Annexe 3 du présent DPA, dont notamment :

• chiffrement au repos des données tenant par AES-256-GCM, avec une clé de chiffrement (DEK) unique par tenant, elle-même protégée par un service de gestion de clés (KMS),
• isolation cryptographique des tenants (une base SQLite chiffrée par tenant),
• chiffrement en transit par TLS 1.2 minimum (TLS 1.3 recommandé),
• hébergement exclusif sur datacenters situés en France (OVH et Scaleway),
• authentification forte (JWT à durée limitée + MFA TOTP optionnel pour les comptes administrateurs),
• journalisation des accès et événements sensibles,
• plan de continuité d’activité reposant sur une réplication continue des bases de données tenant (de type Litestream) vers stockage objet souverain chiffré ; le déploiement effectif de ce dispositif est en cours de finalisation à la date des présentes, le détail figurant à l’Annexe 3.

Ces mesures sont décrites de façon détaillée à l’Annexe 3 et peuvent évoluer pour maintenir un niveau de sécurité approprié au regard de l’état de l’art, sans toutefois diminuer le niveau de protection.

4.4 (d) Sous-traitance ultérieure

Le Responsable de traitement autorise généralement le Sous-traitant à recourir aux sous-traitants ultérieurs listés en Annexe 2 pour les finalités décrites.

Le Sous-traitant s’engage à :

• conclure avec chaque sous-traitant ultérieur un contrat écrit imposant des obligations équivalentes à celles du présent DPA en matière de protection des données,

• demeurer pleinement responsable, vis-à-vis du Responsable, de l’exécution par le sous-traitant ultérieur de ses obligations,

• notifier au Responsable, au moins 30 jours à l’avance, tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur, par publication sur la page https://www.persoia.com/legal/sous-traitants et notification e-mail aux contacts désignés par le Responsable,

• permettre au Responsable de s’opposer à l’ajout ou au remplacement d’un sous-traitant ultérieur, pour des motifs légitimes liés à la protection des données, par notification écrite adressée au Sous-traitant pendant le préavis de 30 jours. Les Parties recherchent alors une solution pendant la durée restante du préavis.

  Si l’opposition est maintenue à l’expiration du préavis, le Responsable peut résilier le contrat sans pénalité ni indemnité, par simple notification écrite ou depuis son espace d’administration. La résiliation prend effet au plus tard à la date d’entrée en vigueur du changement, ou au terme du Mois de facturation en cours (au sens de l’article 2 des CGV) si celui-ci est antérieur.

  Jusqu’à la prise d’effet de la résiliation ou, si le Responsable n’exerce pas cette faculté, jusqu’au terme du Mois de facturation suivant l’expiration du préavis, le Sous-traitant s’interdit de recourir au sous-traitant ultérieur contesté pour le traitement des données du Responsable qui s’y est opposé. Passé ce terme sans résiliation, le changement s’applique au Responsable comme aux autres clients. Le Sous-traitant n’est en revanche pas tenu de maintenir durablement une configuration technique distincte pour ce seul Responsable au-delà de cette date.

4.5 (e) Assistance pour répondre aux droits des personnes concernées

Le Sous-traitant aide le Responsable, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes des personnes concernées exerçant leurs droits (accès, rectification, effacement, limitation, opposition, portabilité — articles 15 à 22 du RGPD).

À cette fin, le Sous-traitant met à disposition du Responsable :

• une fonctionnalité d’export des données utilisateur (format JSON ou équivalent),
• une procédure d’effacement définitif via crypto-shredding (destruction de la clé de chiffrement de la base SQLite du tenant et suppression du fichier de base correspondant — voir Annexe 3),
• un point de contact pour les demandes ne pouvant être traitées via l’interface (contact@persoia.com).

Les demandes émanant directement des personnes concernées sont systématiquement réorientées vers le Responsable de traitement.

4.6 (f) Assistance pour la sécurité, la notification de violation, l’AIPD et la consultation préalable

Le Sous-traitant aide le Responsable, compte tenu de la nature du traitement et des informations à sa disposition, à se conformer à ses obligations au titre des articles 32 à 36 du RGPD :

• mise en place et maintien des mesures de sécurité (article 32),
• notification au Responsable de toute violation de données dans les conditions de l’article 5 ci-dessous (article 33),
• communication d’informations utiles à la réalisation d’une analyse d’impact relative à la protection des données (AIPD — article 35),
• assistance à la consultation préalable de l’autorité de contrôle si nécessaire (article 36).

4.7 (g) Sort des données à la fin du contrat

Au choix du Responsable de traitement et selon les modalités décrites à l’article 10 du présent DPA, le Sous-traitant supprime ou restitue toutes les données à caractère personnel à l’issue du contrat, et détruit les copies existantes, sauf obligation légale de conservation.

5. Notification de violation de données

5.1 Délai de notification

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, afin de permettre au Responsable de respecter son obligation de notification à la CNIL dans les 72 heures (article 33 RGPD).

5.2 Contenu de la notification

La notification précise au minimum, dans la mesure des informations disponibles :

• la nature de la violation (catégories et nombre approximatif de personnes et d’enregistrements concernés),
• les conséquences probables de la violation,
• les mesures prises ou envisagées pour remédier à la violation et atténuer ses effets,
• les coordonnées du point de contact PersoIA pour obtenir des informations complémentaires.

Si toutes ces informations ne peuvent être fournies immédiatement, elles le sont de manière échelonnée et sans retard injustifié.

5.3 Canal de notification

La notification est adressée par e-mail au(x) contact(s) désigné(s) par le Responsable lors de la souscription, avec accusé de réception. Le Sous-traitant maintient un registre interne des violations.

6. Sous-traitance ultérieure et localisation des traitements

6.1 Liste des sous-traitants ultérieurs autorisés

Les sous-traitants ultérieurs autorisés à la date d’effet du présent DPA sont listés en Annexe 2. La liste à jour est publiée publiquement à l’adresse https://www.persoia.com/legal/sous-traitants.

6.2 Localisation des traitements

L’ensemble des sous-traitants ultérieurs autorisés sont établis dans l’Union européenne, et les traitements qu’ils opèrent pour le compte de PersoIA ont lieu exclusivement dans des datacenters situés en France (ou dans l’Union européenne pour les services accessoires).

6.3 Transferts hors UE

Aucun transfert de données à caractère personnel hors de l’Union européenne n’est effectué dans le cadre du service PersoIA, sauf demande explicite et documentée du Responsable.

Si une telle demande devait être satisfaite, elle ne pourrait l’être que sur le fondement d’un mécanisme conforme au chapitre V du RGPD (décision d’adéquation, clauses contractuelles types — CCT — adoptées par la Commission européenne, règles d’entreprise contraignantes, etc.) et ferait l’objet d’un avenant écrit au présent DPA.

Si le Responsable décide d’activer une intégration optionnelle vers un modèle d’IA propriétaire hébergé hors UE (par exemple Anthropic, OpenAI, Mistral cloud, etc., non activé par défaut), il en assume la responsabilité au regard de la conformité RGPD et conclut le cas échéant les contrats de sous-traitance complémentaires nécessaires directement avec lesdits fournisseurs.

7. Audit et inspection

7.1 Droit d’audit

Le Sous-traitant met à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et permet la réalisation d’audits.

7.2 Modalités

Le Responsable peut, à ses frais et au maximum une fois par an (sauf incident de sécurité avéré), procéder à un audit ou mandater un tiers indépendant soumis à un engagement de confidentialité, sur préavis écrit de 30 jours.

L’audit ne peut perturber le fonctionnement normal du service ni la confidentialité des données d’autres clients. Le Responsable et son auditeur s’engagent à respecter la confidentialité de toutes les informations obtenues.

7.3 Documentation alternative

Le Sous-traitant met à disposition, sur demande, toute documentation pertinente attestant de la conformité (rapports d’audit interne, certifications, attestations de sous-traitants ultérieurs, et le cas échéant, rapports SOC 2 ou ISO 27001 lorsque ces certifications seront acquises).

8. Responsabilité et indemnisation

Conformément à l’article 82 du RGPD, chaque partie répond des dommages causés par le traitement à raison de ses propres manquements à ses obligations légales et contractuelles.

Les limitations et exclusions de responsabilité prévues au contrat principal s’appliquent au présent DPA, sous réserve des cas où le RGPD ou toute autre disposition d’ordre public les écarte.

9. Convention de preuve

Les parties conviennent que les éléments suivants, conservés par le Sous-traitant, constituent des moyens de preuve de l’exécution du présent DPA :

• les journaux applicatifs (authentification, accès, opérations administratives),
• les enregistrements de consentement (consent_log),
• les rapports de violation éventuels,
• les notifications de changement de sous-traitants ultérieurs,
• les attestations de suppression / crypto-shredding émises en fin de contrat,
• les enregistrements de mesure de consommation (Compute Units, durées GPU et visioconférence, comptage de requêtes) servant de base à la facturation des dépassements.

10. Durée, fin du contrat et sort des données

10.1 Durée

Le présent DPA prend effet à la même date que le contrat principal et reste en vigueur pendant toute la durée d’exécution de celui-ci.

10.2 Restitution ou suppression

Au choix du Responsable de traitement notifié par écrit dans les 60 jours suivant la fin du contrat :

• Option A — Restitution : le Sous-traitant met à disposition du Responsable un export complet des données dans un format structuré et couramment utilisé (JSON ou équivalent), pendant une fenêtre de récupération de 60 jours suivant la résiliation. Au-delà, suppression sécurisée selon l’option B.
• Option B — Suppression : le Sous-traitant procède à la suppression sécurisée des données via crypto-shredding (destruction de la clé de chiffrement de la base SQLite du tenant rendant les données chiffrées définitivement inintelligibles, puis suppression du fichier de base — voir Annexe 3 §6). Une attestation de suppression est délivrée au Responsable.

À défaut d’instruction du Responsable dans le délai de 60 jours, l’option B (suppression) s’applique par défaut.

10.3 Obligations légales de conservation

Sont exclues de la suppression les données soumises à une obligation légale de conservation pesant sur le Sous-traitant (par exemple, données de facturation et pièces comptables conservées 10 ans conformément à l’article L123-22 du Code de commerce). Ces données sont conservées de manière isolée, avec un accès strictement limité, jusqu’à expiration de l’obligation légale, puis détruites. Les métadonnées d’usage agrégées à des fins comptables (§3.5) relèvent de ce régime.

11. Loi applicable et juridiction

Le présent DPA est soumis au droit français et au droit de l’Union européenne, en particulier au RGPD (UE 2016/679) et à la loi française n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.

En cas de litige, les tribunaux compétents sont ceux désignés au contrat principal. À défaut de stipulation, les tribunaux du ressort du siège social du Sous-traitant sont compétents, sous réserve des règles d’ordre public.

Annexe 1 — Description du traitement (à compléter par le Client)

Le Responsable de traitement complète les informations suivantes pour les besoins de sa propre cartographie des traitements :

Annexe 2 — Liste des sous-traitants ultérieurs autorisés

Liste à jour : https://www.persoia.com/legal/sous-traitants (consultable en permanence).

Sous-traitants explicitement non utilisés par défaut : Anthropic, OpenAI, Mistral cloud (API hébergée hors UE pour OpenAI / Anthropic) et tout autre fournisseur d’IA propriétaire externe à l’instance PersoIA. PersoIA exécute des modèles open-source sur ses propres GPU ; aucune donnée client n’est transmise à un tiers d’inférence externe sans activation explicite par le Responsable.

Si le Responsable choisit d’activer une intégration optionnelle vers un de ces fournisseurs (cf. §4.6 ci-dessus), ce fournisseur devient un sous-traitant ultérieur additionnel pour ce Client uniquement, à inscrire à l’Annexe 2 du DPA bilatéral signé entre les parties. La présente Annexe 2 publique ne le liste pas tant que l’activation reste optionnelle et au cas par cas.

Si le Responsable active une intégration optionnelle vers un service tiers d’IA, celui-ci devient un sous-traitant supplémentaire et un avenant au présent DPA est requis.

Toute modification de la liste est notifiée au Responsable au moins 30 jours à l’avance, avec faculté d’opposition motivée (voir article 4.4).

Annexe 3 — Mesures techniques et organisationnelles (TOM)

1. Chiffrement au repos

• Toutes les données applicatives d’un tenant sont stockées dans une base SQLite dédiée au tenant.
• Cette base est chiffrée par un mécanisme AEAD AES-256-GCM au niveau applicatif.
• Une clé de chiffrement de données (DEK) unique est générée par tenant. Cette DEK est elle-même protégée (« wrappée ») par une clé maîtresse gérée via un service de gestion de clés (KMS).
• KMS de production cible : OVH KMS (souveraineté française, conforme aux exigences FIPS 140-3 — mise en place finalisée post-immatriculation de la SAS). Pendant la phase de bootstrap initial, la fonction LocalMasterKeyKMSClient (clé maîtresse opérateur stockée hors application, accès strictement limité aux administrateurs PersoIA) assure la même séparation logique entre DEK applicatives et clé maîtresse.
• Aucune donnée client n’est stockée en clair sur disque persistant.

2. Chiffrement en transit

• Connexions entre le client et l’API, et entre l’API et l’instance d’inférence, chiffrées par TLS 1.2 minimum (TLS 1.3 recommandé).
• Certificats émis et renouvelés automatiquement par Let’s Encrypt (acme-companion).

3. Isolation des tenants

• Une base SQLite distincte par tenant (offres dédiée et mutualisée bénéficient du même schéma cryptographique).
• DEK distincte par tenant : une compromission théorique d’une DEK n’expose qu’un seul tenant.
• Niveau plateforme : PostgreSQL contient uniquement les métadonnées techniques (utilisateurs, abonnements, facturation), pas les contenus métier des tenants.

4. Authentification, autorisation, contrôle d’accès

• Authentification par JWT signé (access token courte durée, refresh token à durée limitée).
• Principe de session unique : une nouvelle connexion invalide la précédente.
• MFA TOTP optionnel, recommandé pour tous les comptes à privilèges administratifs.
• Rôles : admin_persoia (opérateurs internes), admin_client (administrateurs côté Responsable), user (utilisateurs finaux). Principe du moindre privilège.
• Mots de passe stockés sous forme hachée (algorithme à coût ajustable : bcrypt ou Argon2id).
• Limitation du taux de tentatives de connexion (verrouillage temporaire après échecs répétés).

5. Journalisation et audit

• Journaux applicatifs : connexions, opérations administratives, modifications de configuration sensible.
• Journal de consentement (consent_log) horodaté.
• Enregistrements de mesure de consommation (Compute Units, durées GPU et visioconférence, comptage de requêtes interactif/automatisé), métadonnées techniques uniquement, sans contenu des Données Client.
• Conservation des journaux : durée alignée avec les obligations légales (typiquement 6 à 12 mois pour les journaux techniques, plus longue pour les journaux liés à la facturation). Métadonnées d’usage : 60 jours sous forme détaillée, puis agrégées (cf. §3.5).
• Accès aux journaux strictement limité au personnel autorisé.

6. Suppression sécurisée et crypto-shredding

• Procédure de fin de vie d’un tenant : ShredDEK(tenant) détruit la DEK protégeant la base SQLite du tenant (la clé n’existe plus ni dans le KMS ni dans aucun cache applicatif), puis rm <tenant_uuid>.db supprime le fichier chiffré.
• Conséquence cryptographique : les données chiffrées par AES-256-GCM sans DEK sont définitivement inintelligibles, y compris sur d’éventuelles sauvegardes ultérieurement retrouvées.
• Une attestation de suppression est émise au Responsable.

7. Sauvegardes

• Réplication continue de chaque base SQLite chiffrée vers un stockage objet S3 chez Scaleway (souveraineté France) via Litestream ; le déploiement effectif de ce dispositif est en cours de finalisation à la date des présentes (cf. article 4.3).
• Les sauvegardes restent chiffrées au niveau applicatif (le contenu copié est déjà du ciphertext).
• Politique de rétention configurable, alignée par défaut sur la durée du contrat + fenêtre de récupération.
• Les sauvegardes d’un tenant supprimé deviennent inintelligibles après crypto-shredding (la DEK détruite n’existe plus pour les déchiffrer).

8. Gestion des secrets

• Aucun secret n’est codé en dur dans le code source.
• Les secrets de production (clés API, identifiants base de données, etc.) sont injectés par variables d’environnement et stockés hors du dépôt de code source.
• Rotation possible des secrets sensibles.

9. Personnel

• Accès aux environnements de production restreint aux opérateurs PersoIA habilités, sur principe du moindre privilège et du « need-to-know ».
• Engagement de confidentialité signé par toute personne ayant accès aux données ou systèmes de production.
• Sensibilisation à la protection des données et à la sécurité.

10. Réponse aux incidents

• Procédure interne de gestion des violations de données documentée.
• Notification au Responsable dans un délai maximal de 48 heures après prise de connaissance (voir article 5).
• Notification à la CNIL dans les 72 heures par le Responsable, avec assistance technique du Sous-traitant.
• Revue post-incident et plan de remédiation.

11. Plan de continuité d’activité

• Réplication continue Litestream pour la durabilité des données (déploiement en cours de finalisation, cf. article 4.3).
• Capacité de redémarrage d’une instance compromise sur une infrastructure de secours en France.
• Tests de restauration périodiques.

12. Souveraineté

• Hébergement exclusif sur infrastructures françaises (OVH, Scaleway).
• Aucune dépendance technique à un fournisseur cloud hyperscaler non européen pour le traitement des contenus client.
• Modèles d’IA exécutés en local sur GPU PersoIA (pas d’appel à une API d’inférence tierce hors UE par défaut).

Version 1.2, en vigueur depuis le 9 septembre 2026. Reprend le DPA v1.0-draft (05/06/2026), y intègre le traitement des métadonnées techniques d’usage et de consommation (v1.1-draft, 28/07/2026), puis le sort de l’opposition à un sous-traitant ultérieur prévu à l’article 4.4 (d) (v1.2 : corrections de la relecture du 05/09/2026, publiée et en vigueur le 09/09/2026).