Accord de traitement des données (article 28 RGPD)
1. Parties
Responsable de traitement : Votre société, client de Squadlog.
Sous-traitant : Kadiaak OÜ, Tallinn, Estonie, éditeur de Squadlog (squadlog.app).
2. Objet et durée
Le sous-traitant traite, pour le compte du responsable, les données nécessaires au service Squadlog : présentation de l'activité GitHub d'équipes internes. Cet accord dure autant que l'abonnement, puis jusqu'à la suppression des données.
3. Description du traitement
| Finalité | Suivi de l'activité de développement par équipe (commits, pull requests, reviews, issues), alertes et synthèses destinées aux responsables d'équipe. Aucun score ni classement individuel, aucune décision automatisée. |
|---|---|
| Personnes concernées | Développeurs suivis (membres) ; utilisateurs du service (propriétaire, administrateurs, managers). |
| Données | Nom d'affichage, email professionnel, logins GitHub, métadonnées d'activité (dates, dépôts, titres et tailles de pull requests, reviews). Pas de contenu de code stocké. |
| Durée de conservation | Selon le plan : 30 jours, 90 jours ou 12 mois d'historique, puis suppression glissante. Charges utiles brutes : 90 jours. Journal d'audit : 12 mois. |
| Localisation | Union européenne : Laravel Cloud, région Francfort (AWS eu-central-1). |
4. Obligations du sous-traitant
- Traiter les données uniquement sur instruction documentée du responsable, y compris le présent accord et les réglages du service.
- Garantir la confidentialité des personnes autorisées à traiter les données.
- Mettre en œuvre les mesures de sécurité de l'annexe (chiffrement, contrôle d'accès, journalisation, sauvegardes chiffrées).
- Aider le responsable à répondre aux demandes d'exercice des droits (export JSON et suppression d'un membre disponibles dans le service).
- Notifier toute violation de données dans les 48 heures après en avoir pris connaissance.
- Supprimer les données au plus tard 30 jours après la suppression de l'espace de travail.
- Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits raisonnables.
5. Sous-traitants ultérieurs
| Laravel Cloud (Laravel Holdings Inc.) | Hébergement, région Francfort. Clauses contractuelles types et DPA Laravel Cloud annexés. |
|---|---|
| Amazon Web Services EMEA | Infrastructure sous-jacente, eu-central-1. |
| Stripe Payments Europe | Facturation (données de l'acheteur uniquement). |
| Postmark ou Resend | Envoi des emails transactionnels. |
Le responsable est informé 30 jours avant tout nouveau sous-traitant et peut s'y opposer en résiliant.
6. Annexe : mesures de sécurité
Chiffrement TLS en transit ; clés et secrets chiffrés au repos ; tokens GitHub jamais persistés au-delà d'une heure ; accès en lecture seule aux organisations ; vérification HMAC des webhooks ; isolation stricte entre espaces de travail testée à chaque livraison ; 2FA disponible ; journal d'audit en ajout seul ; sauvegardes chiffrées quotidiennes conservées 30 jours, restauration testée chaque trimestre.
Signature
Pour le responsable : Fonction :
Pour Kadiaak OÜ : accepté électroniquement par la mise à disposition du service.