Contrat de traitement des données

#1. Parties et champ d'application

Responsable du traitement : l’organisation qui a ouvert le compte Ojava (le « Client »). Sous-traitant : Ojava, Dhanush Kalyan Guntaka, entreprise individuelle (inscription en cours), c/o Antonin Ayewubo, Rue de Lausanne 26, 1201 Genève, Suisse (« Ojava ») ; e-mail dhanush@ojava.ch, protection des données privacy@ojava.ch ; IDE en cours.

Le présent contrat de traitement des données (« Contrat ») fait partie des Conditions générales d’utilisation d’Ojava et est accepté lors de l’inscription du Client. Il régit le traitement de données personnelles par Ojava pour le compte du Client au sens, dans la mesure où chacune s’applique au Client : de la loi fédérale suisse sur la protection des données (LPD, art. 9), du Règlement général sur la protection des données de l’UE/EEE (RGPD, art. 28) et des lois des États américains sur la vie privée, comme le California Consumer Privacy Act (CCPA), au sens desquelles Ojava agit comme « service provider » ou « processor ». Il s’applique tant qu’Ojava traite des données du Client.

#2. Données traitées

Finalité : détecter et expliquer les menaces de sécurité visant les comptes et ordinateurs connectés du Client (Microsoft 365, Google Workspace et, en accès anticipé, les PC Windows via l’agent Ojava), produire des alertes, des incidents et des rapports, compter les comptes actifs pour la limite de la formule, et gérer le compte Ojava et la facturation du Client.

Personnes concernées et données : les utilisateurs des comptes connectés du Client (adresse e-mail, nom affiché, événements de connexion avec heure, adresse IP, lieu approximatif, opérateur du réseau et appareil ; changements de méthodes de connexion sans numéro de téléphone ; règles et délégations de boîte mail, les mots-clés des règles n’étant conservés que dans l’alerte ; autorisations accordées à des applications ; actions d’administration ; événements de partage et de téléchargement de fichiers sans contenu ni nom de fichier, sauf au plus 20 noms dans une alerte de partage massif ; avis de voyage) ; et les utilisateurs Ojava et contacts d’alerte du Client (e-mail, nom, empreinte du mot de passe, rôle, connexions, préférences, journal d’audit, et numéros de mobile des propriétaires et administrateurs qui choisissent les alertes SMS).

PC Windows (accès anticipé) : les utilisateurs des PC sur lesquels le Client installe l’agent Ojava (noms de comptes dans les événements de sécurité Windows, nom, chemin et ligne de commande des programmes qui démarrent avec le dossier de l’utilisateur indiqué par %USERPROFILE%, type de dossier et extension des fichiers modifiés dans les dossiers des utilisateurs, un exemple de chemin lorsque beaucoup de fichiers changent en même temps, adresses des connexions réseau, programmes lancés au démarrage, réglages de sécurité Windows, nom du PC et version de Windows). Dans une alerte, Ojava conserve les détails sur lesquels elle repose, comme la ligne de commande d’un programme ou d’une commande PowerShell (500 caractères au plus, le dossier de l’utilisateur étant masqué) ou l’adresse distante d’une connexion, aussi longtemps que l’alerte est conservée.

Domaines e-mail : pour les domaines que le Client a vérifiés dans Microsoft 365 ou Google Workspace (5 au plus), les enregistrements DNS publics (SPF, DMARC, DKIM, fournisseur de messagerie) sont vérifiés chaque semaine par le résolveur DNS public de Quad9 Foundation (Zurich). Seul le dernier résultat par domaine est conservé, jusqu’à la suppression du compte.

Non traités : le contenu des e-mails, pièces jointes, fichiers ou messages de chat. Aucune catégorie particulière de données personnelles (comme des données de santé) n’est censée être traitée.

#3. Obligations d'Ojava

• Instructions (art. 28, par. 3, let. a RGPD, art. 9, al. 1 LPD). Ojava ne traite les données du Client que pour fournir le service et selon les instructions documentées du Client : les présentes conditions et les réglages du Client. Ojava informe le Client si elle estime qu’une instruction viole le droit de la protection des données.
• Confidentialité (art. 28, par. 3, let. b RGPD). Toute personne chez Ojava ayant accès aux données du Client est tenue à la confidentialité.
• Sécurité (art. 28, par. 3, let. c et art. 32 RGPD, art. 8 et 9, al. 2 LPD). Ojava applique les mesures de l’annexe et les tient à jour.
• Sous-traitants ultérieurs (art. 28, par. 2 et 4 RGPD, art. 9, al. 3 LPD). Voir la section 4.
• Demandes des personnes concernées (art. 28, par. 3, let. e RGPD). Ojava aide le Client, dans la mesure du raisonnable, à répondre aux demandes des personnes concernées. Les propriétaires peuvent exporter eux-mêmes toutes les données de l’organisation sous Paramètres → Sécurité.
• Violations et analyses d’impact (art. 28, par. 3, let. f et art. 33, par. 2 RGPD, art. 24, al. 3 LPD). Ojava informe le Client sans retard injustifié, et au plus tard dans les 48 heures après avoir eu connaissance d’une violation touchant les données du Client, afin que le Client puisse remplir ses propres obligations (annoncer la violation au PFPDT dans les meilleurs délais selon l’art. 24, al. 1 LPD, ou à une autorité de contrôle de l’UE dans les 72 heures selon l’art. 33, par. 1 RGPD). Ojava aide, dans la mesure du raisonnable, aux analyses d’impact relatives à la protection des données (art. 35 RGPD, art. 22 LPD).
• Suppression et restitution (art. 28, par. 3, let. g RGPD). Les événements de connexion et d’activité sont supprimés après 90 jours (événements bruts des PC Windows après 30 jours) ; les alertes et incidents fermés après 24 mois (3 mois sur la formule Starter payante, 5 ans sur la formule Business payante) ; les journaux d’audit après 24 mois ; les avis de voyage 30 jours après le voyage. Après une résiliation, toutes les données du Client sont définitivement supprimées après 30 jours, sauf les factures, que le droit comptable suisse impose à Ojava de conserver 10 ans (art. 958f CO). Les sauvegardes sont écrasées dans les 14 jours. Jusqu’à la suppression, le propriétaire du Client peut télécharger à tout moment toutes les données du Client (Paramètres → Sécurité → export, JSON lisible par machine) ; sur demande à l’adresse de protection des données, Ojava envoie l’export.

  Données	Conservées
  Événements de connexion et d’activité (Microsoft 365, Google Workspace)	90 jours
  Événements bruts des PC Windows	30 jours
  Alertes et incidents fermés	Starter 3 mois · Professional 2 ans · Business 5 ans (ouverts : jusqu’à leur clôture)
  Journal d’audit de votre compte (y c. l’adresse IP des actions sur le compte)	24 mois
  Noms de fichiers (20 au plus, alertes de partage massif uniquement), mots-clés des règles de boîte, lignes de commande (500 caractères au plus) et adresses de connexion sur lesquels une alerte repose	uniquement dans l’alerte, supprimés avec elle
  Avis de voyage (« Je suis en voyage »)	30 jours après la fin du voyage
  Numéro de mobile pour les alertes SMS (propriétaires et administrateurs)	jusqu’à ce que vous le retiriez ou que le compte soit supprimé
  Journal des SMS envoyés (date, type, coût ; sans numéro ni texte)	24 mois
  Chez ASPSMS : le numéro et l’heure d’envoi	6 mois au plus, lorsque le droit suisse sur la surveillance des télécommunications l’exige
  Demandes d’accès depuis l’étranger	12 mois
  Journaux du serveur (y c. adresses IP des requêtes)	30 jours
  Résultats de la vérification des domaines e-mail : dernier résultat par domaine	jusqu’à la suppression du compte
  Vérification du domaine e-mail (site web) : adresse IP	24 heures
  Liste des comptes d’utilisateurs (pour compter les comptes actifs de la formule)	remplacée chaque jour ; supprimée avec la connexion ou le compte
  Appareils approuvés (validation en deux étapes)	30 jours
  Sauvegardes	jusqu’à 14 jours, puis écrasées
  Tout, après résiliation ou demande de suppression	30 jours (pour revenir ou exporter), puis supprimé
  Factures	10 ans (droit comptable suisse)

• Informations et audits (art. 28, par. 3, let. h RGPD). Ojava fournit sur demande les informations nécessaires pour démontrer le respect du présent Contrat. Les audits sur place requièrent un préavis de 30 jours et sont à la charge du Client.
• Surveillance de vos collaborateurs (obligations du Client). Le Client est responsable du traitement des données des personnes dont il connecte les comptes et les ordinateurs à Ojava. Avant de connecter une source ou d’installer l’agent Ojava, le Client (a) informe ces personnes de la surveillance, de sa finalité de sécurité et de ce qui est collecté, y compris du fait que Windows tient un registre d’audit local indiquant quel programme modifie des fichiers dans leurs dossiers d’utilisateur ; (b) consulte la commission du personnel ou les représentants des travailleurs, ou obtient leur accord, lorsque le droit applicable l’exige ; et (c) s’assure qu’il dispose d’une base juridique pour la surveillance. Ojava met à disposition un modèle d’information aux collaborateurs (Paramètres → Sécurité). Le Client indemnise Ojava de toute prétention résultant d’une violation de la présente clause.
• Secret professionnel. Lorsque le Client est soumis au secret professionnel (par exemple en vertu de l’art. 321 du Code pénal suisse), Ojava agit comme son auxiliaire : il garde secrètes toutes les données du Client, ne les utilise que pour fournir le Service et soumet son personnel et ses sous-traitants ultérieurs au même secret.

#4. Sous-traitants ultérieurs

Le Client autorise les sous-traitants ultérieurs ci-dessous (art. 28, par. 2 RGPD, art. 9, al. 3 LPD). Ojava donne un préavis d’au moins 30 jours par e-mail avant d’en ajouter ou d’en remplacer un ; le Client peut s’y opposer et résilier. Ojava impose à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que le présent Contrat (art. 28, par. 4 RGPD).

• Infomaniak Network SA (Suisse) : hébergement, base de données et sauvegardes (centre de données de Genève, Swiss Backup), nom de domaine et DNS ; toutes les données du Client.
• Anthropic PBC (États-Unis) : explications d’alertes et réponses de l’assistant par IA ; détails des alertes avec noms, adresses e-mail, adresses IP et noms de PC remplacés par des substituts ; jamais de contenu d’e-mail ou de fichier, de noms de fichiers, de mots-clés de règles, de destinations de voyage ni de numéros de téléphone.
• Resend, Inc. (États-Unis) : envoie les e-mails d’Ojava (alertes, codes de connexion, invitations, factures, rappels) ; adresse du destinataire et contenu de l’e-mail.
• VADIAN.NET AG (ASPSMS), Saint-Gall, Suisse : SMS d’alertes critiques aux propriétaires et administrateurs qui ont ajouté un numéro de mobile ; le numéro et le texte du message (nom de l’organisation uniquement).
• Microsoft Ireland Operations Ltd (UE), avec Microsoft Corporation (États-Unis) : les boîtes mail d’Ojava ; correspondance avec le Client.
• Stripe Payments Europe, Ltd. (Irlande), avec Stripe, LLC (États-Unis) : paiements par carte pour les clients hors de Suisse ; données de facturation uniquement.

#5. Transferts internationaux

Les données du Client sont hébergées en Suisse (Genève) ; l’UE reconnaît à la Suisse un niveau de protection adéquat (art. 45 RGPD). La communication à l’étranger respecte l’art. 16 LPD et les art. 44 à 46 RGPD : l’UE/EEE est reconnue par la Suisse comme adéquate (annexe 1 de l’ordonnance sur la protection des données) ; les sous-traitants ultérieurs aux États-Unis sont certifiés au titre du Data Privacy Framework Suisse–États-Unis et UE–États-Unis, ou le transfert repose sur les clauses contractuelles types de l’UE figurant dans leurs conditions de traitement, avec les adaptations reconnues par le PFPDT (art. 16, al. 2, let. d LPD, art. 46, par. 2, let. c RGPD). Resend n’est certifiée qu’au titre du volet UE–États-Unis (vérifié le 6 novembre 2026) : les données suisses envoyées à Resend reposent donc sur les clauses contractuelles types ; Anthropic repose sur les clauses contractuelles types.

#6. États-Unis : engagements de « service provider »

Lorsque les lois des États américains sur la vie privée s’appliquent, Ojava : ne vend ni ne partage d’informations personnelles ; ne les conserve, n’utilise ni ne divulgue à aucune autre fin que la fourniture du service au Client, ni en dehors de la relation d’affaires directe avec le Client ; ne les combine pas avec des informations personnelles d’autres sources, sauf dans la mesure permise par ces lois ; respecte les obligations applicables aux « service providers » et offre le même niveau de protection ; et informe le Client s’il ne peut plus remplir ces obligations. Le Client peut prendre des mesures raisonnables pour faire cesser et corriger toute utilisation non autorisée.

#7. Responsabilité, droit applicable et primauté

La responsabilité suit les Conditions générales d’utilisation d’Ojava. Le présent Contrat est régi par le droit suisse ; les tribunaux de Genève, en Suisse, sont compétents. Les dispositions impératives du RGPD ou d’autres lois applicables sur la protection des données restent réservées. En cas de contradiction avec les Conditions en matière de protection des données, le présent Contrat prévaut. Un exemplaire signé est disponible sur demande à privacy@ojava.ch.

#Annexe : mesures techniques et organisationnelles

• Chiffrement en transit : HTTPS en TLS 1.3 uniquement, HSTS.
• Identifiants : jetons d'accès Microsoft et Google chiffrés au niveau applicatif ; mots de passe hachés avec bcrypt ; secrets de double authentification chiffrés.
• Sauvegardes : exports quotidiens de la base de données chiffrés en AES-256 et conservés 14 jours au plus, sur le serveur et chez Infomaniak Swiss Backup (copies dans deux centres de données Infomaniak en Suisse). Données au repos : la base de données et toutes les données du serveur sont sur un disque chiffré (LUKS2, AES-256).
• Séparation : chaque requête à la base de données est limitée à l'organisation du Client.
• Contrôle d'accès : rôles (propriétaire, administrateur, employé de confiance, employé) ; validation en deux étapes obligatoire pour chaque utilisateur (propriétaires et administrateurs : clé d'accès ou application d'authentification) ; sessions révoquées lors d'une réinitialisation de mot de passe ou d'un changement de rôle.
• Protection contre les abus : limites de fréquence sur la connexion, l'inscription, la réinitialisation du mot de passe et les autres actions sensibles.
• Réseau : pare-feu n'autorisant que le trafic web et SSH ; base de données et services internes inaccessibles depuis Internet ; SSH par clé uniquement ; mises à jour de sécurité automatiques.
• Journalisation : journal d'audit des connexions, échecs de connexion, changements de double authentification, exports et actions d'administration par organisation.
• Surveillance : contrôles automatiques toutes les 5 minutes du site, de l'API, des services, du disque, des sauvegardes et des certificats, avec alertes à l'exploitant.
• Moindre privilège à la source : autorisations Microsoft en lecture seule sur les journaux d'audit et d'annuaire et deux autorisations Google en lecture seule (rapports d'audit ; liste des utilisateurs) ; aucune autorisation de lire les e-mails. L'agent Windows envoie les événements de sécurité, les chemins et lignes de commande des programmes avec le dossier de l'utilisateur masqué (%USERPROFILE%), et pour les fichiers modifiés uniquement le type de dossier et l'extension, jamais le contenu des documents.
• Minimisation des données : suppression automatique après les durées de la section 3 ; aucun nom ni chemin de fichier et aucun numéro de téléphone conservés avec les événements (20 noms de fichiers au plus, uniquement dans une alerte de partage massif) ; mots-clés des règles de boîte mail conservés uniquement dans l'alerte ; aucun nom de fichier, mot-clé de règle, destination de voyage ni numéro de téléphone envoyé au prestataire d'IA, qui reçoit des données pseudonymisées.
• Mises à jour logicielles : dépendances vérifiées dans les bases de vulnérabilités connues avant chaque mise en production.