# Accord de sous-traitance (DPA) — Kimios

> **BROUILLON DE TRAVAIL.** Modèle de départ, non relu juridiquement. Aucune
> valeur contractuelle. À faire relire avant toute signature.

## 1. Parties

- **Responsable de traitement** : le client. *À compléter.*
- **Sous-traitant** : Kimios — Fabien Alin. *À compléter.*

S'applique uniquement aux instances hébergées par l'éditeur (essai ou pilote).
Une installation auto-hébergée ne relève pas de ce document : l'éditeur n'y
traite aucune donnée.

## 2. Objet et durée

Hébergement et exploitation d'une instance Kimios pour le compte du client,
pour la durée du contrat principal (14 jours pour un essai ; durée contractuelle
pour un pilote).

## 3. Nature et finalité du traitement

Stockage, indexation, conversion et restitution des documents déposés par le
client dans l'instance, ainsi que des comptes utilisateurs associés.

## 4. Catégories de données et de personnes concernées

*À compléter par le client selon son corpus.* Par défaut, pour un essai : aucune
donnée réelle ne doit être déposée — le corpus fourni est synthétique.

## 5. Obligations du sous-traitant

- Traiter les données uniquement sur instruction documentée du client.
- Garantir la confidentialité des personnes autorisées à traiter les données.
- Mettre en œuvre les mesures techniques et organisationnelles de l'annexe 1.
- Ne pas recourir à un sous-traitant ultérieur sans autorisation écrite, hors
  fournisseur d'infrastructure listé à l'annexe 2.
- Assister le client pour les demandes d'exercice des droits et les violations.
- À la fin du contrat : supprimer l'instance et ses volumes, ou restituer un
  export, au choix du client.

## 6. Annexe 1 — Mesures techniques et organisationnelles (état actuel)

| Mesure | État |
|---|---|
| Isolation par espace de noms, base non partagée | En place |
| Realm d'authentification distinct par instance | En place |
| Filtrage réseau entre espaces de noms | En place |
| Chiffrement en transit (TLS) | En place |
| Sauvegardes nocturnes (pilote) | En place, avec une restauration testée avant mise en service |
| Sauvegardes (essai) | **Aucune** — un essai n'est pas un environnement de production |
| Chiffrement au repos des volumes | *À confirmer avec le fournisseur retenu* |
| Journalisation des accès administrateurs | *À compléter* |
| Supervision et alertes | *En cours de construction* |

## 7. Annexe 2 — Sous-traitants ultérieurs

| Sous-traitant | Rôle | Localisation |
|---|---|---|
| *À arrêter au premier contrat de pilote* (OVHcloud par défaut, Scaleway en alternative) | Infrastructure Kubernetes managée | France |

## 8. Ce qui manque dans ce brouillon

- Coordonnées légales des deux parties.
- Catégories de données précises, remplies par le client.
- Clause de responsabilité alignée sur le contrat principal.
- Preuve d'assurance responsabilité civile professionnelle pour le service hébergé.