Accueil Fonctionnalités Sécurité Comment ça marche Tarifs
Se connecter Lancer mon diagnostic gratuit

Accord de Traitement des Données (DPA)

Conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD) (source : gdpr-info.eu/art-28-gdpr)

Service concerné : SYAGA Audit -- mesure de la sécurité Microsoft 365 ; le service ne fait que lire

Version : 1.6 -- Date : 19 octobre 2026 -- Date d'entrée en vigueur : 19 octobre 2026

Référence du texte affiché : Accord de Traitement des Données (DPA) · fr · SHA-256 d5f91aeb97dd4908
Cette empreinte numérique identifie le texte ci-dessous à un caractère près : elle change dès qu'une clause change. Enregistrez ou imprimez cette page si vous voulez pouvoir établir plus tard quel texte vous avez lu.

Identification des Parties

Le Sous-traitant :

SYAGA CONSULTING, société à responsabilité limitée (EURL) au capital de 20 000 euros, immatriculée au RCS d'Aix-en-Provence sous le SIREN 518 489 471, immatriculée le 08/12/2009, représentée par son gérant Sébastien Questier, dont le siège social est situé à 2 Impasse Paul Langevin, 13110 Port-de-Bouc, éditrice du service SYAGA Audit, ci-après dénommée le Sous-traitant.

ET

Le Responsable de traitement : le Client ayant souscrit au service SYAGA Audit dans les conditions des CGV disponibles à l'adresse cgv.html, dont les coordonnées sont celles renseignées lors de la souscription, ci-après dénommé le Responsable de traitement.

Ci-après désignées ensemble les Parties.

Préambule

Le présent Accord de Traitement des Données (DPA) est conclu en application de l'article 28 du RGPD, qui impose qu'un traitement réalisé par un sous-traitant pour le compte d'un responsable de traitement soit régi par un contrat définissant l'objet, la durée, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées, ainsi que les obligations et droits du responsable de traitement.

Le présent DPA est accessoire aux Conditions Générales de Vente et de Service SYAGA Audit (les « CGV », disponibles à l'adresse cgv.html), qui constituent le Contrat principal. En cas de contradiction entre le présent DPA et toute autre pièce contractuelle, y compris les Conditions Générales d'Utilisation, sur une question relative à la protection des données personnelles, le présent DPA prévaut.

Le Client accepte le présent DPA avant le lancement de l'audit, en cochant une case dédiée, jamais pré-cochée ; la page ne lance l'audit qu'une fois cette acceptation enregistrée, avec la version et l'empreinte numérique du texte accepté. L'acceptation électronique vaut acceptation du DPA conformément aux dispositions applicables à la conclusion de contrats par voie électronique.

Article 1 -- Objet et doctrine du service

Le présent DPA définit les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte et sur instruction documentée du Responsable de traitement, les opérations de traitement de données à caractère personnel nécessaires à la fourniture du service SYAGA Audit.

SYAGA Audit mesure la sécurité de l'environnement Microsoft 365 du Responsable de traitement. Le Service ne fait que lire : zéro écriture effectuée dans le tenant audité. L'extension enregistre sur le poste du Client la liste des opérations qu'elle a exécutées.

Le Sous-traitant applique une doctrine zero-knowledge : la collecte et la pseudonymisation s'exécutent dans le navigateur du Client (extension). Le Sous-traitant ne reçoit jamais les données brutes du tenant ni le token d'accès Microsoft du Client : uniquement des empreintes pseudonymisées. Les résultats d'audit jetonisés ne sont conservés côté serveur que pendant les délais de l'article 2.3, le temps que le Client récupère ses fichiers ; ils ne sont recontextualisés en clair que sur le poste du Client, qui en conserve seul l'exemplaire durable. Cette architecture ne constitue pas une anonymisation : les jetons restent des données à caractère personnel pseudonymisées (art. 4, point 5, et considérant 26 du RGPD), et un risque résiduel de ré-identification par recoupement, notamment dans les petites organisations, ne peut être exclu. Le terme « zero-knowledge » désigne cette architecture ; il n'implique aucune preuve cryptographique à divulgation nulle de connaissance.

Article 2 -- Nature, finalité et durée du traitement

2.1 Nature des opérations. Les opérations consistent en : collecte (lecture, moindre privilège) via les API Microsoft, effectuée par une extension navigateur exécutée sur le poste du Client ; pseudonymisation locale ; analyse par le Sous-traitant des seules empreintes pseudonymisées au regard de référentiels de sécurité (ANSSI, recommandations Microsoft, RGPD, NIS2) ; restitution sous forme de rapports recontextualisés sur le poste du Client.

2.2 Finalité exclusive. La finalité est la mesure de la sécurité du tenant Microsoft 365 du Responsable de traitement et la production des rapports d'audit associés. Aucune autre finalité (prospection, profilage, réutilisation à des fins propres du Sous-traitant) n'est autorisée.

2.3 Durée. Le traitement est effectué pendant la durée d'exécution du Contrat principal. Les données d'audit pseudonymisées et les données que le Responsable de traitement transmet lui-même (profil d'entreprise, réponses au questionnaire déclaratif) sont supprimées dès que le Responsable de traitement coche la case par laquelle il reconnaît avoir enregistré son rapport, et au plus tard deux (2) heures après la fin du scan. Dans le parcours de l'extension, seul parcours proposé au Responsable de traitement, son jeton d'accès Microsoft reste dans son navigateur. Les autres conservations portent sur les données de SYAGA et non sur les données d'audit du Responsable de traitement ; elles sont listées avec leurs durées dans la politique de confidentialité. La preuve de l'acceptation des conditions et du contrat de traitement est conservée cinq (5) ans à compter de l'acceptation. Les données de facturation sont conservées dix (10) ans, durée imposée par la législation comptable française. La fiche d'un litige de paiement est conservée cent quatre-vingts (180) jours. Les copies de sauvegarde sont gardées de huit (8) à vingt-neuf (29) jours sur le serveur et trente et un (31) jours à compter de leur tirage sur la copie hors site, la copie la plus récente de chaque série étant toujours conservée ; un effacement leur est répercuté à leur expiration.

Article 3 -- Catégories de données à caractère personnel traitées

Le Sous-traitant traite les catégories de données suivantes :

Exclusions expresses. Le Sous-traitant ne traite pas le corps des e-mails, ni le contenu des fichiers ou des documents. Sont traités des métadonnées de configuration et des métadonnées de messagerie (objets, expéditeurs, destinataires, messages en quarantaine).

Catégories particulières. Le traitement n'a pas pour objet le traitement de catégories particulières de données au sens de l'article 9 du RGPD. Le Responsable de traitement s'engage à ne pas configurer le service d'une manière conduisant à un tel traitement.

Article 4 -- Catégories de personnes concernées

Les personnes concernées sont les titulaires de comptes et identités au sein du tenant Microsoft 365 du Responsable de traitement : salariés, dirigeants, administrateurs, prestataires et invités disposant d'un compte dans l'annuaire audité.

Article 5 -- Instructions documentées du Responsable de traitement

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement (art. 28.3.a RGPD), y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation légale impérative (auquel cas il en informe le Responsable de traitement avant le traitement, sauf interdiction légale).

Le présent DPA, ses annexes et les CGV constituent les instructions documentées initiales. Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD (art. 28.3, dernier alinéa RGPD).

Article 6 -- Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité (art. 28.3.b RGPD), et reçoivent la formation nécessaire en matière de protection des données. Cet engagement survit à la cessation des fonctions et à la fin du présent DPA.

Article 7 -- Mesures de sécurité (art. 32 RGPD) et alignement référentiels

Le Sous-traitant met en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque (art. 32 RGPD). Les mesures en place comprennent notamment :

Alignement avec les cadres de sécurité reconnus

Les mesures ci-dessus reprennent les thèmes des référentiels suivants. SYAGA n'a fait l'objet d'aucun audit par un organisme tiers sur ces référentiels :

RéférentielPertinence pour SYAGA AuditSource officielle
RGPD (UE) 2016/679 Base réglementaire directement applicable. Art. 32 : mesures techniques et organisationnelles. L'architecture éphémère est une mesure de minimisation au sens de l'art. 5.1.e. eur-lex.europa.eu CELEX:32016R0679
Directive NIS2 (UE) 2022/2555 Mesures de gestion des risques de cybersécurité (art. 21 NIS2) : continuité d'activité, gestion des incidents, sécurité des réseaux, chiffrement. SYAGA Audit aide les clients à mesurer leur environnement Microsoft 365 au regard des contrôles de ce référentiel. eur-lex.europa.eu CELEX:32022L2555
Règlement DORA (UE) 2022/2554 Résilience opérationnelle numérique pour les entités financières régulées. SYAGA Audit peut aider les clients financiers à documenter la mesure de leur environnement Microsoft 365 au regard des contrôles de ce référentiel. eur-lex.europa.eu CELEX:32022R2554
ISO/IEC 27001 Cadre SMSI : politique de sécurité, gestion des risques, contrôles d'accès, chiffrement, journalisation. Les mesures SYAGA Audit reprennent les thèmes des contrôles de la norme ISO/IEC 27002. SYAGA n'a fait l'objet d'aucun audit par un organisme tiers sur ces normes. iso.org/standard/27001
Recommandations ANSSI Guide d'hygiène informatique, recommandations sécurité des systèmes d'information. Mesures inspirées des recommandations ANSSI sur la gestion des comptes, le chiffrement et la journalisation. SYAGA Audit évalue les configurations M365 au regard des recommandations ANSSI. ssi.gouv.fr

Le détail complet des mesures techniques et organisationnelles figure à l'Annexe 1.

Article 8 -- Recours à des sous-traitants ultérieurs

Le Responsable de traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs listés à l'Annexe 2. Pour tout nouveau sous-traitant ou remplacement, le Sous-traitant informe le Responsable de traitement par écrit au moins trente (30) jours avant la prise d'effet. Le Responsable de traitement peut s'y opposer pour des motifs raisonnables liés à la protection des données ; il peut alors résilier la commande non exécutée et en obtenir le remboursement.

Le Sous-traitant impose aux sous-traitants ultérieurs, par contrat, les mêmes obligations de protection des données que celles prévues au présent DPA (art. 28.4 RGPD) et demeure pleinement responsable à l'égard du Responsable de traitement de leur exécution.

Article 9 -- Assistance au Responsable de traitement

9.1 Droits des personnes concernées (art. 12 à 22 et 28.3.e RGPD). Le Sous-traitant transmet sans délai au Responsable de traitement toute demande d'exercice de droits reçue directement d'une personne concernée et l'assiste pour y répondre.

9.2 Sécurité et AIPD (art. 32 à 36 et 28.3.f RGPD). Le Sous-traitant assiste le Responsable de traitement pour la sécurité du traitement, la réalisation d'une analyse d'impact (AIPD) si nécessaire, et une consultation préalable de la CNIL le cas échéant.

9.3 Violations de données (art. 33 et 34 RGPD). Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel au plus tard quarante-huit (48) heures après en avoir pris connaissance. Il transmet les éléments dont il dispose : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou proposées. Le Sous-traitant ne saisit pas lui-même l'autorité de contrôle : cette notification appartient au Responsable de traitement, qui la transmet « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » (art. 33.1 du RGPD). La présente clause a pour objet de lui en donner les moyens.

Article 10 -- Sort des données en fin de contrat

Au terme du présent DPA, les données d'audit pseudonymisées ont déjà été supprimées dans le délai de l'article 2.3. Le Sous-traitant n'effectue aucune restitution et ne conserve aucune donnée d'audit ; il supprime, dans un délai de trente (30) jours suivant la fin du contrat, toute copie restante, sauf obligation légale de conservation (art. 28.3.g RGPD).

Note : les données d'audit pseudonymisées sont supprimées au plus tard deux (2) heures après la fin du scan ; aucune donnée d'audit n'est conservée ensuite. Le Sous-traitant ne restitue ni ne conserve rien au-delà. Les données de facturation relèvent de SYAGA CONSULTING en qualité de responsable de traitement.

Conformément à l'architecture éphémère du service, les données d'audit pseudonymisées sont supprimées dès que le Responsable de traitement en donne le signal depuis son rapport (décharge de récupération), et à défaut par expiration automatique dans les délais de l'article 2.3. Le Sous-traitant fournit, sur demande, une confirmation de suppression.

Article 11 -- Audits et contrôles

Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 RGPD et permet la réalisation d'audits, y compris des inspections (art. 28.3.h RGPD).

Les audits sont soumis aux conditions suivantes : préavis écrit d'au moins quinze (15) jours ouvrés, réalisation pendant les heures ouvrables, fréquence maximale d'un (1) audit par période de douze (12) mois sauf incident de sécurité avéré, confidentialité des informations recueillies. Les frais de l'audit sont à la charge du Responsable de traitement, sauf manquement constaté du Sous-traitant, auquel cas ils sont à la charge de ce dernier.

Article 12 -- Transferts hors Union européenne

12.1 Localisation principale. Les données d'audit pseudonymisées sont traitées et hébergées en France. SYAGA CONSULTING est une entité de droit français. Une exposition indirecte au CLOUD Act via des fournisseurs tiers ne peut être totalement exclue ; SYAGA la limite par l'hébergement en France (OVH SAS) et par la pseudonymisation : le service ne reçoit pas en clair le contenu de l'environnement Microsoft 365 du Client. Deux flux partent du poste du Client vers des prestataires établis aux États-Unis : Microsoft (API du tenant du Client) et Google (requête DNS publique).

12.2 Recours à Microsoft. Le Responsable de traitement reconnaît que l'API Microsoft Graph est opérée par Microsoft Corporation (Etats-Unis). Les transferts impliquant Microsoft sont encadrés par les clauses contractuelles types approuvées par la Commission européenne et, le cas échéant, le cadre EU-U.S. Data Privacy Framework. Les données auditées sont celles du propre tenant Microsoft 365 du Client, consultées pour son compte via Microsoft Graph, en lecture seule dans la limite des droits que Microsoft permet d'accorder en lecture pure (même quand un droit permettrait d'agir, SYAGA ne fait que lire). Microsoft agit comme fournisseur du Client ; SYAGA n'en est pas le sous-traitant ultérieur.

12.3 Garanties générales. Tout transfert hors UE réalisé par le Sous-traitant ou un sous-traitant ultérieur est subordonné à la mise en oeuvre d'un mécanisme valide au sens du chapitre V du RGPD (décision d'adéquation, clauses contractuelles types ou autre garantie appropriée).

Article 13 -- Contact protection des données

Sous-traitant (SYAGA CONSULTING) : point de contact protection des données -- dpo@syaga.eu. La désignation d'un délégué à la protection des données n'est pas obligatoire au sens de l'article 37 du RGPD ; le responsable de la protection des données est le gérant, Sébastien Questier, point de contact pour toute question relative aux données personnelles.

Responsable de traitement : contact RGPD désigné par le Client selon ses propres obligations.

Article 14 -- Durée, modification et droit applicable

Le présent DPA prend effet lors de la souscription au service SYAGA Audit et demeure en vigueur pendant toute la durée du traitement réalisé pour le compte du Responsable de traitement.

Toute modification substantielle fait l'objet d'une notification préalable au Responsable de traitement. Elle s'applique aux seules commandes passées après son entrée en vigueur ; la version applicable est celle acceptée à la commande.

Le présent DPA est soumis au droit français. La juridiction compétente est celle que fixent les CGV, sous réserve des règles d'ordre public applicables aux litiges transfrontaliers.

Annexe 1 -- Description détaillée du traitement et mesures de sécurité (art. 32 RGPD)

ParamètreDescription
FinalitésMesure de la sécurité M365 -- production de rapports
Catégories de donnéesMétadonnées de configuration, métadonnées d'identité (UPN, noms), métadonnées de messagerie (objets, expéditeurs, destinataires, messages en quarantaine), journaux de sécurité
Catégories particulières (art. 9)Aucune
Personnes concernéesComptes et identités du tenant Microsoft 365 du Client
Conservation côté serveurDonnées brutes du tenant : jamais transmises (pseudonymisation dans le navigateur). Résultats jetonisés : conservés côté serveur jusqu'à la décharge du Client, et au plus tard 2 heures après la fin du scan. Données transmises par le Client lui-même (profil, réponses au questionnaire) : au plus tard 2 heures après la fin du scan. Données de facturation : 10 ans à compter de la clôture de l'exercice, durée imposée au Sous-traitant par la législation comptable française dont il relève.
Lieu de traitementFrance (infrastructure SYAGA CONSULTING)
Chiffrement en transitTLS 1.2/1.3 -- toutes communications ; SPF/DKIM/DMARC
Token MicrosoftNe quitte jamais le navigateur du Client ; jamais reçu par le Sous-traitant
ArchitectureCollecte et pseudonymisation par une extension dans le navigateur du Client ; le Sous-traitant n'analyse que des empreintes
Gestion des accèsPrincipe du moindre privilège ; habilitations nominatives
Anti-abusPlafonds techniques par adresse et par locataire ; anti-DDoS
JournalisationJournaux techniques minimaux d'exploitation et de sécurité, sans données d'audit personnelles, conservés environ douze (12) mois et effacés plus tôt sur demande.
Alignement référentiels sécuritéMesures prises au titre de l'article 32 du RGPD, qui reprennent les thèmes de la norme ISO/IEC 27001 ; recommandations ANSSI.

Annexe 2 -- Liste des sous-traitants ultérieurs autorisés

Sous-traitant ultérieurPrestationLocalisationGaranties de transfert
Microsoft Corporation API Microsoft Graph -- accès en lecture aux données de configuration du tenant UE + Etats-Unis (infrastructure Microsoft) Microsoft agit comme fournisseur du Client (pas sous-traitant ultérieur de SYAGA). Transferts encadrés par les clauses contractuelles types CE et la participation de Microsoft au cadre EU-U.S. Data Privacy Framework.
OVH SAS (hébergement, Roubaix, France) Hébergement plateforme SYAGA Audit France Sans objet (UE)
Stripe (l'entité Stripe désignée dans le contrat de services Stripe conclu par SYAGA ; son identité et son adresse sont communiquées au Client sur demande à contact@syaga.eu) Paiement : encaissement des prestations et gestion des remboursements. Données de facturation et de paiement du Client uniquement (identité du payeur, montant, référence de transaction ; données de carte traitées par Stripe, non conservées par SYAGA), hors données du tenant. Lorsque le Client choisit le paiement différé de Billie, les informations de son entreprise recueillies par Billie relèvent du propre traitement de Billie, qui n'est pas un sous-traitant de SYAGA France (UE) Stripe, sous-traitant ultérieur pour l'exécution des paiements, agit aussi comme responsable de traitement pour la prévention de la fraude et la lutte contre le blanchiment de capitaux. Des transferts de données vers les États-Unis sont possibles et encadrés par le DPA de Stripe (https://stripe.com/legal/dpa).

Références légales