Entente de traitement des données

Rôles : qui décide, qui exécute

Vous êtes le responsable du traitement des renseignements personnels contenus dans votre compte : vous décidez pourquoi ils sont traités, et jusqu'où. [À COMPLÉTER — raison sociale] est le sous-traitant : nous les traitons pour votre compte, sur vos instructions documentées, et pour rien d'autre.

Les instructions documentées, ce sont Conditions d'utilisation, le présent document, et l'usage que vous faites des fonctions du produit. Déposer un backup est une instruction de l'analyser ; supprimer un contrôleur est une instruction de l'effacer. Nous n'allons pas au-delà.

Si une instruction nous paraît contrevenir à la loi applicable, nous vous le disons avant de l'exécuter, plutôt que de l'exécuter en silence.

Le traitement dure le temps de votre abonnement, plus les délais de la section sur la conservation et la suppression. En cas de contradiction entre Conditions d'utilisation et le présent document sur le traitement des renseignements personnels, c'est le présent document qui l'emporte.

Ce qui est traité : deux catégories, pas une

La distinction compte, parce que les deux catégories n'ont ni le même volume, ni la même sensibilité, ni le même usage.

Données de compte : adresse courriel, nom, nom de l'organisation, empreinte du mot de passe — jamais le mot de passe lui-même — et un identifiant de session opaque, conservé côté serveur et dépourvu de sens hors de nos systèmes. C'est peu, et c'est délibéré. Le témoin qui porte cette session est décrit dans Cookies.

Contenu client : les archives de sauvegarde de contrôleurs FANUC que vous déposez, et tout ce qui en dérive — le modèle de cellule structuré, les constats, les comparaisons, les rapports.

C'est de la donnée industrielle : topologie de cellule, programmes, affectation des entrées/sorties, repères, paramètres de sécurité machine (DCS). C'est de la propriété intellectuelle commercialement sensible, souvent celle de votre propre client. Nous la traitons comme telle, et non comme un fichier parmi d'autres.

Ce contenu n'est pas fait de renseignements personnels, mais il peut en contenir de façon incidente : un nom d'auteur de programme, une initiale dans un commentaire, un nom de fichier. Nous ne cherchons pas ces identifiants et nous n'en extrayons aucun index, mais nous ne prétendons pas qu'ils n'existent pas — le contenu client est protégé au même niveau que s'il n'était que personnel.

Les personnes concernées sont donc vos employés, vos sous-traitants et les utilisateurs que vous invitez, et, à la marge, les auteurs des programmes présents dans les fichiers.

Sous-traitants ultérieurs, nommés

Trois fournisseurs touchent à vos données. Ils sont nommés, avec leur rôle et leur région, parce qu'une liste évasive dans un tel document se lit comme une liste qu'on n'a pas.

Render Services Inc. — hébergement de l'application et exécution des traitements (analyse, comparaison) — Oregon, États-Unis.

Cloudflare, Inc. — stockage objet des archives déposées et des artefacts dérivés — États-Unis.

Vercel Inc. — hébergement de l'interface web — États-Unis.

Aucun autre sous-traitant ne touche au contenu client. [À COMPLÉTER — raison sociale] demeure responsable envers vous des actes de ces trois fournisseurs comme des siens propres, et leur impose par contrat des obligations au moins équivalentes à celles du présent document.

Avant d'ajouter ou de remplacer un sous-traitant, nous vous prévenons — nom, rôle, région — avec un préavis raisonnable, et avant que le nouveau fournisseur ne reçoive quoi que ce soit. Si le changement ne vous convient pas, vous pouvez résilier pour ce motif.

Où vont les données, et ce que cela implique

Les trois fournisseurs hébergent aux États-Unis. Vos données quittent donc le Québec et le Canada : elles y sont stockées et traitées, et elles y sont soumises au droit américain, y compris aux demandes d'accès des autorités de ce pays. Nous préférons l'écrire que vous laisser le découvrir.

La loi québécoise vous demande d'évaluer les risques avant de communiquer des renseignements personnels hors du Québec. Cette évaluation vous appartient ; nous fournissons ce qu'il faut pour la mener — la liste ci-dessus, les mesures de la section suivante, et une réponse écrite à vos questions.

Une région d'hébergement canadienne n'est pas offerte aujourd'hui. Si votre contrat l'exige, dites-le avant de signer plutôt qu'après : ce n'est pas un réglage, c'est un déménagement.

Mesures de sécurité

Le détail, mesure par mesure et avec ce que chacune protège, figure dans Sécurité et confiance. Le résumé opposable est ici.

En transit : TLS sur tous les accès au service — interface web, API, stockage objet. Au repos : le stockage objet et la base de données sont chiffrés par les plateformes qui les hébergent.

L'isolation entre organisations est imposée à deux niveaux indépendants : par l'application, qui rattache chaque requête à une organisation et une seule, et par la base de données elle-même, au moyen des politiques de sécurité au niveau des lignes (Row-Level Security) de PostgreSQL. Deux niveaux plutôt qu'un, parce qu'un seul suffit tant que le code est parfait.

Le rôle applicatif qui sert le trafic n'est ni superutilisateur, ni propriétaire des tables : sous PostgreSQL, ces situations permettent de contourner les politiques de lignes. Le service refuse de démarrer s'il détecte l'une d'elles, plutôt que de démarrer avec une isolation silencieusement désactivée.

Les archives sont dans des espaces de stockage privés, sans aucun accès public, sous des clés non devinables qui ne dérivent jamais du nom de votre fichier. Elles ne sont atteignables que par un lien signé à durée courte, délivré pour un objet précis à un membre de l'organisation qui le possède, et vérifié à ce double titre avant d'être émis. Le lien expire en quelques minutes.

Aucune archive client n'entre dans les environnements de développement, de test ou de démonstration. Jamais — y compris pour reproduire un incident ou préparer une démonstration. Les jeux d'essai sont fabriqués pour l'occasion, ou dérivés d'une archive réelle uniquement selon la règle d'autorisation écrite de la section suivante. Ces contextes sont précisément ceux où la vigilance se relâche, donc la règle y est plus stricte plutôt qu'assouplie.

L'accès au contenu client est limité aux personnes qui en ont besoin pour exploiter le service, et ces personnes sont tenues à la confidentialité par un engagement écrit qui survit à la fin de leur mandat.

Ce que le traitement ne peut pas faire

Maatron lit des fichiers. Le produit ne se connecte à aucun contrôleur, n'écrit sur aucun robot, ne téléverse aucun programme et ne déclenche aucun mouvement. Ce n'est pas une fonction manquante : c'est ce qui fait qu'une erreur de notre part ne peut pas atteindre une installation en production. Les archives sont lues, jamais exécutées.

L'analyse est déterministe : mêmes octets en entrée, mêmes constats en sortie pour une version donnée du moteur, et cette version est inscrite sur chaque résultat. Aucun jugement probabiliste n'intervient dans le chemin qui produit vos rapports.

Votre contenu ne sert à entraîner aucun modèle, ni le nôtre ni celui d'un tiers, et n'est jamais mis en commun avec celui d'un autre client. Un fichier client ne devient un cas de test qu'après une autorisation écrite distincte et une anonymisation complète ; sans cette autorisation, rien n'en dérive.

Les constats sont une aide à l'ingénierie, pas une certification de conformité ni une validation de sécurité machine. Les limites sont posées dans Limitation de responsabilité.

Conservation et suppression : trois paliers

Trois délais plutôt qu'un seul chiffre, parce qu'un chiffre unique serait faux dans les deux sens : la perte d'accès est immédiate, alors qu'aucun système de sauvegarde sérieux ne se réécrit à la demande. Ces délais sont publiés, donc ils engagent.

Révocation d'accès : immédiate, sur demande. La donnée cesse d'être joignable par quiconque, y compris par vous.

Effacement des systèmes vivants — stockage objet et base de données : trente jours au plus.

Destruction des copies de sauvegarde et de reprise après sinistre : soixante jours au plus, par expiration de leur propre cycle de rétention.

À la fin du contrat, et selon votre choix, votre contenu vous est restitué dans un format exploitable ou détruit. Sans instruction de votre part dans les trente jours, il est détruit selon les paliers ci-dessus. Nous ne gardons rien en réserve.

Une seule exception : une obligation légale de conservation. Le cas échéant, nous vous disons laquelle et ce qu'elle couvre, et la donnée reste isolée et inutilisée jusqu'à ce que l'obligation tombe.

Votre assistance, et la nôtre

Demandes des personnes concernées : si quelqu'un nous demande directement l'accès, la rectification ou la suppression de ses renseignements, nous ne répondons pas à votre place. Nous vous transmettons la demande sans délai et nous vous aidons à y répondre, y compris par les fonctions d'export et de suppression du produit.

Incident de confidentialité : nous vous avisons sans délai injustifié après en avoir pris connaissance, avec ce que nous savons — nature de l'incident, données touchées, organisations touchées, mesures prises — et en disant clairement ce que nous ne savons pas encore. Un premier avis incomplet vaut mieux qu'un avis tardif et complet.

Nous vous assistons aussi dans vos évaluations des facteurs relatifs à la vie privée et dans vos échanges avec une autorité de contrôle, dans la mesure où cela concerne le traitement décrit ici.

Démontrer la conformité

Vous avez droit aux informations raisonnablement nécessaires pour vérifier que nous respectons le présent document.

En pratique : des réponses écrites à votre questionnaire de sécurité, la documentation d'architecture pertinente et Sécurité et confiance, dans un délai raisonnable. Ces réponses viennent de l'équipe qui a construit le système, pas d'un service commercial qui la relaie.

Un audit sur pièces reste possible, une fois par an, avec préavis raisonnable, sans accès aux données d'un autre client, et à vos frais — sauf s'il révèle un manquement de notre part, auquel cas les frais sont les nôtres.

Ce qui n'existe pas encore

Trois choses qu'un acheteur cherche dans un document comme celui-ci et qu'il n'y trouvera pas : il n'y a pas d'entente de niveau de service contractuelle, pas de page d'état publique, et aucune certification de sécurité délivrée par un tiers — ni SOC 2, ni ISO 27001.

Nous l'écrivons plutôt que de le contourner. Un tel document coûte plus cher à démentir plus tard qu'à lire aujourd'hui.

Ce qui en tient lieu, en attendant : des délais de suppression publiés et datés, donc opposables ; des mesures décrites au niveau du mécanisme plutôt qu'en slogans, dont les deux principales — l'isolation entre organisations et l'absence de toute capacité réseau dans le moteur d'analyse — sont vérifiées par des tests automatisés qui bloquent la mise en production quand ils échouent ; un engagement d'avis d'incident sans délai injustifié ; et une limite d'architecture qui ne repose sur aucune promesse — le produit ne se connecte pas à vos machines, donc il ne peut pas les toucher.

Le jour où l'un des trois existera, il sera écrit ici, avec une date de révision visible.

Contact, révisions et rang de ce document

Pour une question sur le présent document, une demande d'exercice de droits ou le signalement d'un incident : info@maatron.dev. L'identification complète de l'exploitant — [À COMPLÉTER — raison sociale], [À COMPLÉTER — adresse], NEQ [À COMPLÉTER — NEQ] — figure dans Mentions légales.

Ce document se lit avec Conditions d'utilisation, Politique de confidentialité et Sécurité et confiance. Politique de confidentialité s'adresse aux personnes dont les renseignements sont traités ; celui-ci s'adresse à l'organisation qui nous les confie.

Toute modification est publiée ici avec une nouvelle date de révision. Une modification qui réduit vos droits ou nos obligations vous est signalée avant de prendre effet, et non constatée après coup.