Annexe aux Conditions Particulières VPS Cloud : accord de traitement des données à caractère personnel

La présente annexe fait partie intégrante des Conditions Particulières VPS Cloud de SAS PulseHeberg, société par actions simplifiée au capital de 1 000 euros, dont le siège est situé 9, boulevard de Strasbourg, 83000 Toulon, immatriculée au RCS de Toulon sous le numéro 824 070 619 (« PulseHeberg »). Elle s'applique à tout client ayant souscrit une offre VPS Cloud (le « Client »).

Article 1. Objet et champ d'application

1.1 La présente annexe (le « DPA ») définit, conformément à l'article 28 du règlement (UE) 2016/679 (le « RGPD »), les conditions dans lesquelles PulseHeberg traite, en qualité de sous-traitant, des données à caractère personnel pour le compte du Client dans le cadre des offres décrites en Annexe A (le « Service »).

1.2 Le DPA ne s'applique pas aux traitements que PulseHeberg réalise en qualité de responsable du traitement, notamment la gestion du compte client, la facturation, le support, la vérification d'identité, la prévention de la fraude et la sécurité de ses réseaux et infrastructures, y compris la protection contre les attaques par déni de service. Ces traitements relèvent de l'article 11 des CGU/CGV et de la politique de confidentialité de PulseHeberg.

1.3 Le DPA s'applique de plein droit dès la souscription du Service. En cas de contradiction avec les CGU/CGV ou avec le reste des Conditions Particulières sur le traitement des Données, le DPA prévaut.

1.4 Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le RGPD. Les « Données » désignent les données à caractère personnel traitées par PulseHeberg pour le compte du Client dans le cadre du Service. Le « Contrat » désigne les CGU/CGV et les Conditions Particulières dont le DPA fait partie.

Article 2. Qualité des parties

2.1 Le Client est réputé agir en qualité de responsable du traitement.

2.2 Lorsque le Client agit en qualité de sous-traitant pour le compte d'un tiers responsable du traitement, il garantit :

• avoir obtenu de ce dernier l'autorisation de recourir à PulseHeberg en qualité de sous-traitant ultérieur ;
• avoir conclu avec lui un contrat conforme à l'article 28 du RGPD et compatible avec le DPA ;
• que ses instructions sont conformes à celles du responsable du traitement ;
• transmettre à ce dernier, lorsque cela est requis, les informations communiquées par PulseHeberg.

2.3 Dans ce cas, PulseHeberg ne reçoit d'instructions que du Client, sauf si celui-ci a disparu ou cessé d'exister juridiquement sans successeur. Le Client garantit PulseHeberg contre toute réclamation du responsable du traitement relative au DPA ou aux instructions transmises.

Article 3. Description du traitement

3.1 L'objet, la nature et les modalités du traitement sont décrits en Annexe A.

3.2 La finalité du traitement est déterminée par le Client. PulseHeberg ne traite les Données que pour fournir le Service.

3.3 Les types de Données et les catégories de personnes concernées sont déterminés par le Client seul, selon l'usage qu'il fait du Service. PulseHeberg n'en a pas connaissance.

3.4 Le traitement dure aussi longtemps que le Service, puis jusqu'à la suppression des Données dans les conditions de l'article 13.

Article 4. Choix du Service

4.1 Le Client est seul responsable du choix du Service. Il vérifie que celui-ci présente les caractéristiques et garanties adaptées à ses traitements, notamment lorsque ceux-ci sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes concernées ou relèvent d'une réglementation spécifique.

4.2 Le Service n'est pas certifié pour l'hébergement de données de santé au sens de l'article L.1111-8 du Code de la santé publique. Le Client s'interdit d'y héberger des données relevant de cette obligation.

4.3 Sauf mention contraire en Annexe C, le Service ne fait l'objet d'aucune certification ni qualification.

Article 5. Instructions

5.1 Le Contrat et l'utilisation du Service par le Client, notamment au moyen de son espace client, du panel de gestion du VPS et de la console, constituent ses instructions documentées.

5.2 Toute autre instruction est adressée par écrit au moyen d'un ticket. PulseHeberg peut la refuser ou en subordonner l'exécution à l'acceptation d'un devis.

5.3 PulseHeberg informe le Client si, selon elle, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou d'un État membre relatives à la protection des données. Elle peut en suspendre l'exécution jusqu'à sa confirmation ou sa modification.

5.4 Si PulseHeberg est tenue de procéder à un traitement en vertu du droit de l'Union ou d'un État membre, elle en informe le Client avant le traitement, sauf si ce droit l'interdit.

5.5 Le Client demeure seul responsable de la licéité de ses traitements, notamment de leur base légale, de l'information des personnes concernées, des analyses d'impact et des formalités applicables.

Article 6. Obligations de PulseHeberg

PulseHeberg s'engage à :

• traiter les Données uniquement dans la mesure nécessaire à la fourniture du Service ;
• ne pas accéder aux Données, sauf dans les cas prévus en Annexe A ou en exécution d'une obligation légale ;
• veiller à ce que les personnes autorisées à traiter les Données sous son autorité soient soumises à une obligation de confidentialité et sensibilisées à la protection des données ;
• tenir le registre prévu à l'article 30.2 du RGPD, le Client lui communiquant sur demande les informations nécessaires.

Article 7. Sécurité

7.1 PulseHeberg met en œuvre, sur le périmètre dont elle a la charge tel que défini en Annexe A, les mesures techniques et organisationnelles décrites en Annexe C.

7.2 Le Client est responsable de la sécurité de tout ce qui ne relève pas de ce périmètre, notamment du système d'exploitation, des logiciels, applications, comptes, clés d'accès et contenus qu'il installe ou administre, ainsi que, s'il l'estime nécessaire, du chiffrement de ses Données.

7.3 PulseHeberg peut faire évoluer ces mesures sans diminuer le niveau global de sécurité du Service.

Article 8. Violation de Données

8.1 PulseHeberg notifie au Client toute violation de Données dont elle a connaissance, dans les meilleurs délais après en avoir pris connaissance, par email à l'adresse associée au compte client et par ticket.

8.2 La notification décrit, dans la mesure où ces informations sont disponibles, la nature de la violation, ses conséquences probables, les mesures prises ou envisagées et le point de contact chez PulseHeberg. Ces informations peuvent être communiquées de manière échelonnée.

8.3 Il appartient au Client, en qualité de responsable du traitement, de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

8.4 Le présent article ne vise pas les incidents affectant exclusivement le système d'exploitation, les logiciels ou les comptes du VPS administrés par le Client, dont la détection et le traitement lui incombent.

8.5 La notification d'une violation ne vaut pas reconnaissance de responsabilité.

Article 9. Localisation et transferts

9.1 Les Données sont hébergées dans le pays indiqué sur la fiche produit de l'offre et dans le récapitulatif de commande. Les localisations de PulseHeberg sont situées en France et en Suisse ; la Suisse fait l'objet d'une décision d'adéquation de la Commission européenne au sens de l'article 45 du RGPD.

9.2 Lorsque l'offre permet au Client de choisir son datacenter, le Service est hébergé dans la ville choisie. PulseHeberg peut déplacer l'hébergement vers une autre ville du même pays en informant le Client au moins trente (30) jours à l'avance, sauf urgence liée à la sécurité ou à la continuité du Service. Dans les autres cas, PulseHeberg peut déplacer l'hébergement du Service vers un autre site situé dans le même pays.

9.3 Lorsque PulseHeberg réalise des sauvegardes du Service, elles sont stockées en Allemagne.

9.4 PulseHeberg et ses sous-traitants ultérieurs peuvent accéder à distance aux infrastructures pour leur exploitation, leur maintenance et leur sécurité, depuis l'Union européenne, l'Espace économique européen ou un pays faisant l'objet d'une décision d'adéquation.

9.5 Aucun transfert de Données vers un autre pays n'est réalisé sans information préalable du Client et sans les garanties appropriées prévues au chapitre V du RGPD.

Article 10. Sous-traitants ultérieurs

10.1 Le Client donne à PulseHeberg une autorisation générale de recourir à des sous-traitants ultérieurs. Leur liste figure en Annexe B, que PulseHeberg tient à jour dans les conditions du présent article.

10.2 PulseHeberg informe le Client de tout ajout ou remplacement de sous-traitant ultérieur, par email ou dans l'espace client, au moins trente (30) jours avant sa prise d'effet.

10.3 Le Client peut s'y opposer par ticket, de manière motivée, dans les quinze (15) jours suivant cette information. PulseHeberg n'est pas tenue de renoncer au changement ; dans ce cas, le Client peut résilier le Service avant la prise d'effet du changement, sans pénalité ni indemnité de part et d'autre. Faute d'objection dans ce délai, le changement est réputé accepté.

10.4 PulseHeberg impose à ses sous-traitants ultérieurs, par contrat, des obligations de protection des données substantiellement équivalentes à celles du DPA. Elle demeure responsable envers le Client de leur exécution.

10.5 Ne sont pas des sous-traitants ultérieurs les fournisseurs qui n'ont pas accès aux Données, notamment les opérateurs de datacenters, d'énergie et de réseau, ainsi que les fournisseurs de matériel, de logiciels et de transport.

Article 11. Droits des personnes concernées

11.1 Le Client répond seul aux demandes d'exercice de droits des personnes concernées.

11.2 PulseHeberg transmet au Client, dans les meilleurs délais, toute demande qu'elle reçoit directement, sans y répondre.

11.3 Le Client traite ces demandes au moyen des fonctionnalités du Service. Toute assistance supplémentaire de PulseHeberg fait l'objet d'un devis préalable accepté par le Client.

Article 12. Assistance

12.1 PulseHeberg aide le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD en mettant à sa disposition les informations relatives aux mesures de sécurité du Service (Annexe C) et, sur demande écrite, les informations utiles dont elle dispose sur les traitements qu'elle réalise.

12.2 Toute assistance allant au-delà, notamment pour une analyse d'impact ou une consultation de l'autorité de contrôle, fait l'objet d'un devis préalable accepté par le Client.

Article 13. Fin du Service

13.1 À la fin du Service, quelle qu'en soit la cause, PulseHeberg supprime les Données dans les conditions prévues à l'article 13.4 des Conditions Particulières VPS Cloud. Les copies présentes dans les sauvegardes sont supprimées au terme de leur durée de conservation indiquée en Annexe A.

13.2 Il appartient au Client de récupérer ses Données avant la fin du Service. Cette récupération, réalisée par le Client au moyen des fonctionnalités du Service, tient lieu de restitution. PulseHeberg n'est pas tenue de restituer des Données après la fin du Service.

13.3 La résiliation, le non-renouvellement, la réinstallation du système ou certaines opérations réalisées par le Client peuvent entraîner la suppression irréversible des Données, y compris de leurs sauvegardes et snapshots.

13.4 Le présent article s'applique sous réserve de toute conservation imposée par le droit de l'Union ou d'un État membre.

Article 14. Documentation et audits

14.1 PulseHeberg met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD : le DPA, ses annexes et, sur demande écrite, les informations complémentaires utiles dont elle dispose.

14.2 Si ces informations sont insuffisantes, le Client peut faire réaliser un audit, au plus une fois par période de douze (12) mois, sauf demande d'une autorité de contrôle. Il en informe PulseHeberg par écrit au moins trente (30) jours à l'avance.

14.3 L'audit est réalisé par le Client ou par un auditeur indépendant, non concurrent de PulseHeberg et tenu à la confidentialité. Les parties conviennent préalablement de son périmètre, de sa date, de sa durée et de ses modalités. Il se déroule en jours ouvrés, sans perturber l'exploitation ni porter atteinte à la sécurité ou à la confidentialité des autres clients.

14.4 Les frais de l'audit sont à la charge du Client, y compris le temps consacré par PulseHeberg, facturé au tarif horaire des interventions techniques publié sur le site de PulseHeberg.

14.5 Les informations communiquées et le rapport d'audit sont confidentiels ; PulseHeberg peut exiger la signature préalable d'un accord de confidentialité. Le rapport est remis à PulseHeberg.

Article 15. Demandes des autorités

15.1 Lorsqu'une autorité demande communication de Données, PulseHeberg vérifie sa compétence et la validité de la demande, limite la communication aux Données strictement requises et en informe préalablement le Client, sauf interdiction légale.

15.2 Conformément à l'article 48 du RGPD, PulseHeberg ne donne suite à une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant la communication de Données que si elle est fondée sur un accord international en vigueur entre ce pays et l'Union européenne ou la France.

Article 16. Responsabilité

16.1 PulseHeberg n'est responsable que du dommage causé par un traitement pour lequel elle n'a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants, ou a agi en dehors des instructions licites du Client ou contrairement à celles-ci.

16.2 Les limitations de responsabilité prévues au Contrat s'appliquent aux obligations résultant du DPA. Le plafond prévu à l'article 9.2 des CGU/CGV est un plafond global et unique, commun au Contrat et au DPA : les sommes dues au titre de l'un et de l'autre s'imputent sur ce même plafond et ne se cumulent pas.

16.3 Lorsque le Client et PulseHeberg sont impliqués dans un même traitement ayant causé un dommage à une personne concernée, le Client prend en charge la réparation due à celle-ci, puis peut réclamer à PulseHeberg la part correspondant à sa responsabilité, dans les limites de l'article 16.2.

16.4 Lorsque le Client agit à des fins professionnelles, toute action en responsabilité contre PulseHeberg au titre du DPA doit être engagée dans un délai d'un (1) an à compter du jour où le Client a connu ou aurait dû connaître les faits lui permettant de l'exercer, conformément à l'article 2254 du Code civil.

Article 17. Durée et modification

17.1 Le DPA s'applique pendant toute la durée du Service et jusqu'à la suppression des Données conformément à l'article 13.

17.2 PulseHeberg peut modifier le DPA dans les conditions prévues à l'article 15 des CGU/CGV. Les modifications imposées par une évolution légale ou réglementaire, ou par une autorité, s'appliquent dès leur entrée en vigueur. La mise à jour de l'Annexe B suit la procédure de l'article 10.

Article 18. Contact

Pour toute question relative au DPA ou aux Données, le Client peut contacter PulseHeberg :

• par ticket depuis son espace client ;
• par email au délégué à la protection des données, à l'adresse indiquée dans les mentions légales de PulseHeberg ;
• par courrier : SAS PulseHeberg, Délégué à la protection des données, 9, boulevard de Strasbourg, 83000 Toulon.

Annexe A. Description du traitement

Répartition des responsabilités

Références : Conditions Particulières VPS Cloud, articles 5, 7.3, 8 et 10.

Annexe B. Sous-traitants ultérieurs

Les opérateurs des datacenters, y compris celui qui héberge les sauvegardes en Allemagne, n'ont pas accès aux Données et ne sont pas des sous-traitants ultérieurs (article 10.5). La connectivité IP et la protection anti-DDoS sont assurées par SERVERD SAS (Netrix) pour son propre compte (article 1.2).

Annexe C. Mesures techniques et organisationnelles

• Sécurité physique : serveurs hébergés dans des datacenters d'opérateurs spécialisés, disposant de contrôles d'accès et d'une alimentation redondante.
• Isolation : machines virtuelles KVM isolées les unes des autres ; mémoire et espace disque dédiés.
• Infrastructure : correctifs de sécurité des hyperviseurs appliqués selon leur criticité.
• Agent invité : utilisation limitée aux cas décrits en Annexe A.
• Protection : protection contre les attaques par déni de service, pare-feu activable depuis l'espace client, supervision de la disponibilité.
• Accès : administration réservée aux personnes habilitées des équipes de PulseHeberg et de SERVERD, accès retirés à leur départ.
• Sauvegardes : chiffrées en transit et au repos, stockées en Allemagne sur des serveurs exploités par PulseHeberg, clés détenues par PulseHeberg ; conservation de six mois au plus.
• Organisation : personnes autorisées soumises à une obligation de confidentialité ; procédure de traitement des incidents et de notification des violations.
• Certifications : aucune à la date de la présente version.