Accord de traitement des données à caractère personnel

Article 1 — Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « analyse d’impact relative à la protection des données » ont le sens que leur donne le Règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD »). Dans l’Accord, les termes suivants, employés avec une majuscule, ont le sens ci-dessous :

• « Réglementation applicable » : le RGPD, la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, et tout texte qui les complète ou les remplace.
• « Service » : la plateforme Finozio, ses rapports, alertes et exports, l’assistant Aurora et, pour l’Offre Custom, les règles d’automatisation, dans les limites de l’Offre souscrite.
• « Offre » : chacune des formules Free, Audit Spring, Pilot, Scale Up et Custom décrites sur finozio.com/offres.
• « Environnement Microsoft » : le ou les tenants Microsoft Entra ID, souscriptions Azure et locataires Microsoft 365 que le Client connecte au Service.
• « Identifiants de connexion » : les éléments que le Client confie à Finozio pour accéder à son Environnement Microsoft, à savoir l’identifiant et le secret d’une inscription d’application (Service Principal), ou le jeton d’actualisation obtenu lorsqu’un utilisateur du Client connecte son compte Microsoft (OAuth).
• « Données personnelles du Client » : les données à caractère personnel que Finozio traite pour le compte du Client dans le cadre du Service, décrites à l’Annexe 1.
• « Relevé Microsoft 365 » : l’état enregistré à l’issue de chaque analyse Microsoft 365 (licences, comptes et, selon l’Offre, usage), conservé pour l’affichage, la comparaison dans le temps et l’export.
• « Sous-traitant ultérieur » : tout prestataire auquel Finozio confie tout ou partie d’un traitement de Données personnelles du Client.

Article 2 — Objet et champ d’application

2.1 L’Accord s’applique à tous les traitements de Données personnelles du Client que Finozio réalise pour fournir le Service, quelle que soit l’Offre, et pendant toute la durée où Finozio détient ces données.

2.2 L’Accord ne s’applique pas aux traitements pour lesquels Finozio agit en qualité de responsable du traitement, décrits dans sa politique de confidentialité (finozio.com/politique-confidentialite) : gestion des comptes des utilisateurs de la plateforme (nom, adresse e-mail professionnelle, rôle, facteurs de double authentification), facturation, sécurité de la plateforme et journal d’audit, prospection et demandes de devis, scans gratuits réalisés sans compte, mesure d’audience du site.

2.3 Lorsque le Client agit lui-même en qualité de sous-traitant pour le compte d’un tiers, par exemple un intégrateur ou un partenaire qui connecte au Service l’Environnement Microsoft de ses propres clients (notamment avec l’Offre Scale Up, qui permet l’analyse de plusieurs tenants), le Client garantit qu’il y est autorisé par écrit par ce tiers et que les obligations de l’Accord sont au moins équivalentes à celles qui le lient à ce tiers ; Finozio agit alors en qualité de sous-traitant ultérieur.

Article 3 — Description des traitements

3.1 L’objet, la durée, la nature et la finalité des traitements, le type de données à caractère personnel et les catégories de personnes concernées sont décrits à l’Annexe 1, Offre par Offre. Le périmètre des données lues croît avec l’Offre : aucune donnée Microsoft 365 pour l’Offre Free, les comptes titulaires d’une licence pour Audit Spring, l’ensemble de l’annuaire et l’usage des applications à partir de Pilot.

3.2 Finozio accède à l’Environnement Microsoft au moyen des Identifiants de connexion. Dans Microsoft 365, le Service ne fait que lire : aucune écriture n’y est réalisée, quelle que soit l’Offre. Dans Azure, seules les règles d’automatisation de l’Offre Custom, définies par les administrateurs du Client, arrêtent, redimensionnent ou suppriment des ressources ; la suppression d’un disque efface les données qu’il contient, sur instruction du Client. Le Service n’accède jamais au contenu des ressources, des fichiers ou des boîtes aux lettres : il n’en lit que les métadonnées, les coûts et les métriques d’utilisation.

3.3 Finozio ne traite pas les Données personnelles du Client pour ses propres finalités. Il ne les utilise ni pour sa prospection, ni pour entraîner des modèles d’intelligence artificielle, ni pour évaluer les personnes concernées. Finozio peut établir des statistiques agrégées à partir des montants, volumes et taux déjà calculés pour chaque client (par exemple la part moyenne de licences inutilisées), à condition qu’elles ne permettent d’identifier ni le Client, ni aucune personne concernée ; aucune donnée nominative n’y entre.

3.4 Le Service n’a pas vocation à traiter des catégories particulières de données (article 9 du RGPD) ni des données relatives aux condamnations pénales et aux infractions (article 10). Le Client s’abstient d’en faire figurer dans les noms et étiquettes (tags) de ses ressources Azure et dans les questions qu’il pose à Aurora.

Article 4 — Instructions documentées du Client

4.1 Finozio ne traite les Données personnelles du Client que sur instruction documentée du Client. Constituent ces instructions : l’Accord et ses annexes, les CGU, les CGV, l’Offre souscrite, ainsi que les connexions, analyses, exports, réglages, règles et suppressions que le Client effectue dans le Service ou qu’il demande par écrit à contact@finozio.com.

4.2 Toute instruction supplémentaire ou différente est donnée par écrit. Lorsqu’elle étend le périmètre du Service, elle peut faire l’objet d’un devis.

4.3 Finozio informe immédiatement le Client si, selon lui, une instruction constitue une violation de la Réglementation applicable. Finozio peut alors suspendre l’exécution de l’instruction concernée jusqu’à ce que le Client la confirme par écrit ou la modifie.

4.4 Si Finozio est tenu, en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis, de procéder à un traitement non prévu par les instructions, y compris un transfert vers un pays tiers ou une organisation internationale, il en informe le Client avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public.

Article 5 — Obligations du Client

5.1 Le Client détermine les finalités et les moyens essentiels du traitement. Il choisit l’Offre, les tenants et souscriptions qu’il connecte, et les autorisations qu’il accorde au Service : pour Microsoft 365, les permissions Microsoft Graph de type « Application » Organization.Read.All, Reports.Read.All et Directory.Read.All, et, facultativement, AuditLog.Read.All ; ou, s’il connecte le Service avec son compte Microsoft (OAuth), les droits délégués de l’utilisateur qui se connecte.

5.2 Le Client garantit disposer d’une base légale pour les traitements qu’il confie à Finozio et avoir fourni aux personnes concernées l’information prévue aux articles 13 et 14 du RGPD. Lorsque les données concernent ses salariés, il appartient au Client d’apprécier la nécessité d’une analyse d’impact (article 35 du RGPD), de les informer préalablement (article L. 1222-4 du Code du travail) et, le cas échéant, d’informer et de consulter son comité social et économique (article L. 2312-38 du même code), l’analyse de l’usage des applications et de Copilot par utilisateur pouvant être regardée comme un moyen de contrôle de leur activité. Le Client s’interdit d’utiliser le Service pour évaluer la performance individuelle des personnes concernées.

5.3 Le Client peut réduire les données transmises à Finozio : en n’accordant pas la permission AuditLog.Read.All, la date de dernière connexion n’est pas lue ; en conservant l’option du centre d’administration Microsoft 365 qui masque les noms d’utilisateur dans les rapports d’usage (réglage par défaut de Microsoft), aucune donnée d’usage par application ni de taille de boîte aux lettres n’est enregistrée, et les sièges Copilot ne le sont que sous l’identifiant opaque fourni par Microsoft.

5.4 Le Client documente par écrit toute instruction relative au traitement, reste seul juge de l’opportunité des recommandations qu’il met en œuvre dans son Environnement Microsoft, et garde la maîtrise de l’accès du Service, qu’il peut restreindre ou révoquer à tout moment dans son portail Microsoft ou en supprimant les Identifiants de connexion dans le Service.

Article 6 — Confidentialité

6.1 Finozio veille à ce que les personnes autorisées à traiter les Données personnelles du Client s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Chaque personne habilitée signe, avant tout accès, un engagement individuel de confidentialité.

6.2 L’accès aux Données personnelles du Client est réservé : d’une part aux utilisateurs que le Client habilite dans son compte, dans la limite de leur rôle ; d’autre part, au sein de Finozio, aux seules personnes disposant du rôle de super-administrateur, désignées nominativement dans la configuration de la plateforme, pour le support, la maintenance et les prestations d’accompagnement prévues par l’Offre. Tout accès d’un super-administrateur à un tenant autre que le sien est enregistré dans le journal d’audit. La liste des fonctions des personnes habilitées est communiquée au Client sur demande écrite.

6.3 Les obligations du présent article survivent à la fin de l’Accord pendant cinq (5) ans et, en tout état de cause, tant que Finozio détient des Données personnelles du Client.

Article 7 — Sécurité des traitements

7.1 Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes, Finozio met en œuvre les mesures techniques et organisationnelles décrites à l’Annexe 3, conformément à l’article 32 du RGPD.

7.2 Finozio peut faire évoluer ces mesures, à condition de ne pas diminuer le niveau global de sécurité. L’Annexe 3 décrit les mesures effectivement en place à la date de l’Accord ; Finozio ne détient à ce jour aucune certification ni aucun rapport d’audit de sécurité établi par un tiers (notamment SOC 2 ou ISO/IEC 27001).

Article 8 — Sous-traitants ultérieurs

8.1 Le Client accorde à Finozio une autorisation écrite générale de recourir aux Sous-traitants ultérieurs listés à l’Annexe 2.

8.2 Finozio informe le Client de tout ajout ou remplacement d’un Sous-traitant ultérieur, par e-mail adressé à l’administrateur du compte, au moins trente (30) jours avant qu’il ne prenne effet. Pendant ce délai, le Client peut s’y opposer par écrit pour un motif légitime tenant à la protection des données. À défaut de solution convenue entre les Parties, le Client peut résilier l’Offre concernée sans pénalité, avec remboursement, au prorata, des sommes payées d’avance pour la période non courue.

8.3 Finozio impose à chaque Sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des données que celles de l’Accord, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

8.4 Finozio demeure pleinement responsable envers le Client de l’exécution, par ses Sous-traitants ultérieurs, de leurs obligations.

8.5 Ne sont pas des Sous-traitants ultérieurs les services tiers que le Client choisit lui-même de connecter au Service (webhooks Slack, Microsoft Teams ou PagerDuty ; intégrations Jira ou ServiceNow) : les données y sont envoyées sur instruction du Client, qui répond de ces services.

Article 9 — Localisation et transferts hors de l’Union européenne

9.1 La plateforme est hébergée sur des serveurs situés dans l’Union européenne (Amsterdam, Pays-Bas), la base de données est située dans l’Union européenne (Paris, France) et les sauvegardes de la base sont conservées en France (Annexe 1, section E).

9.2 Certains Sous-traitants ultérieurs sont établis aux États-Unis ou y traitent des données (Annexe 2). Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914) ou, pour les prestataires certifiés, par le cadre de protection des données UE–États-Unis. La base retenue pour chaque prestataire figure à l’Annexe 2. Finozio tient son évaluation de ces transferts à la disposition du Client.

9.3 Finozio ne transfère pas les Données personnelles du Client hors de l’Union européenne en dehors de ces conditions, sauf instruction documentée du Client ou obligation prévue à l’article 4.4.

Article 10 — Assistance au Client

10.1 Droits des personnes concernées

Finozio transmet au Client, dans un délai de cinq (5) jours ouvrés, toute demande d’exercice de droits qu’il reçoit directement d’une personne concernée au sujet des Données personnelles du Client ; il n’y répond pas lui-même, sauf instruction du Client.

Le Client dispose dans le Service des moyens suivants : export CSV des relevés et analyses ; suppression de l’ensemble des Relevés Microsoft 365 d’un client (fonction de réinitialisation réservée aux administrateurs, disponible avec les Offres qui incluent Microsoft 365, et inscrite au journal d’audit) ; suppression des Identifiants de connexion ; suppression du compte. Les données lues dans Microsoft 365 reflétant l’annuaire du Client, leur rectification s’opère à la source, dans Microsoft Entra ID, et est prise en compte à l’analyse suivante.

Lorsque ces moyens ne permettent pas de répondre à une demande (par exemple l’effacement des données d’une seule personne dans les relevés conservés, qu’aucune fonction du Service ne permet aujourd’hui), Finozio y procède sur demande écrite du Client dans un délai de quinze (15) jours.

10.2 Sécurité, analyse d’impact et consultation préalable

Compte tenu de la nature du traitement et des informations à sa disposition, Finozio aide le Client à respecter ses obligations prévues aux articles 32 à 36 du RGPD. Il lui fournit notamment la description des traitements (Annexe 1) et des mesures de sécurité (Annexe 3) utiles à une analyse d’impact. Toute assistance allant au-delà de ces documents est facturée au temps passé, sur devis accepté par le Client, sauf si elle est rendue nécessaire par un manquement de Finozio.

Article 11 — Violations de données à caractère personnel

11.1 Finozio notifie au Client toute violation de données à caractère personnel concernant les Données personnelles du Client dans les meilleurs délais après en avoir pris connaissance, et au plus tard quarante-huit (48) heures après, par e-mail adressé à l’administrateur du compte et, si le Client en a désigné un par écrit à contact@finozio.com, à son contact protection des données.

11.2 La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés ; le nom et les coordonnées du point de contact de Finozio ; les conséquences probables de la violation ; les mesures prises ou proposées pour y remédier et en atténuer les effets. Lorsque toutes ces informations ne peuvent être fournies en même temps, elles le sont de manière échelonnée, sans retard indu.

11.3 Il appartient au Client, en sa qualité de responsable du traitement, de notifier la violation à l’autorité de contrôle compétente et, le cas échéant, de la communiquer aux personnes concernées. Finozio ne procède à ces notifications au nom et pour le compte du Client que sur instruction écrite de celui-ci.

11.4 Finozio documente toute violation, qu’elle soit notifiée ou non : faits, effets et mesures prises. Finozio applique une procédure interne écrite de gestion des violations (détection, qualification, notification au Client, registre).

Article 12 — Durées de conservation

12.1 Pendant l’exécution de l’Offre, Finozio conserve les Données personnelles du Client pendant les durées fixées à l’Annexe 1 (section D), puis les efface automatiquement.

12.2 Les Relevés Microsoft 365 sont conservés treize (13) mois glissants à compter de leur date, puis supprimés automatiquement chaque nuit ; le relevé le plus récent de chaque client est toutefois conservé tant que le compte existe, afin que le Client garde un état des lieux à jour, sous réserve de l’article 13.1. Cette règle est appliquée depuis le 29 septembre 2026.

Article 13 — Sort des données au terme de l’Offre

13.1 Au terme d’une Offre payante, le compte du Client n’est pas supprimé automatiquement : il repasse sur l’Offre Free et aucune nouvelle donnée Microsoft 365 n’est collectée. L’Offre Free n’incluant pas Microsoft 365, les Relevés Microsoft 365 ne sont plus consultables dans le Service ; le Client peut en demander l’export à contact@finozio.com (article 13.2). Finozio les supprime quatre-vingt-dix (90) jours après la fin de l’accès, sauf si le Client rachète entre-temps une Offre qui inclut Microsoft 365. Les autres données déjà collectées sont conservées dans la limite des durées de l’Annexe 1.

13.2 À tout moment, et au plus tard au terme de l’Accord, le Client choisit entre :

• la restitution : le Client exporte ses données depuis le Service (exports CSV et rapports PDF) tant que son Offre le permet, ou demande un export à contact@finozio.com mis à disposition dans un délai de quinze (15) jours, au format CSV ;
• la suppression : le Client supprime son compte depuis la page « Mon compte » (chacun de ses utilisateurs), ou en fait la demande écrite à contact@finozio.com exécutée dans un délai de quinze (15) jours, sursis de sept (7) jours compris. La suppression prend effet à l’issue d’un sursis de sept (7) jours, pendant lequel elle peut être annulée. À son terme, lorsque le dernier utilisateur du compte est supprimé, Finozio efface les Relevés Microsoft 365, les données Azure, les Identifiants de connexion, les conversations avec Aurora, les règles d’automatisation et les clés d’API du Client.

13.3 Une donnée effacée disparaît des sauvegardes, copie locale comme copie distante, à l’expiration de leur durée de conservation (trente (30) jours, et un (1) an pour la copie mensuelle). Subsistent seulement les données que Finozio doit conserver en vertu du droit de l’Union ou du droit français (données de facturation : dix (10) ans) et le journal d’audit, dont chaque entrée est conservée deux (2) ans et dont l’adresse e-mail, le nom et l’adresse IP des utilisateurs supprimés sont retirés.

13.4 Il appartient au Client de révoquer, dans son portail Microsoft, l’inscription d’application ou le consentement qu’il avait accordés au Service.

Article 14 — Documentation et audits

14.1 Finozio met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations de l’article 28 du RGPD : l’Accord et ses annexes, la liste à jour des Sous-traitants ultérieurs et, sur demande, un extrait du journal d’audit concernant le compte du Client.

14.2 Le Client peut réaliser, ou faire réaliser par un auditeur indépendant tenu au secret professionnel et non concurrent de Finozio, un audit du respect de l’Accord, au plus une fois par an, sauf violation de données ou demande d’une autorité de contrôle, moyennant un préavis écrit de trente (30) jours, d’abord sur pièces (questionnaire et documents) puis, si cela ne suffit pas, par une inspection pendant les heures ouvrées, aux frais du Client. Finozio ne dispose d’aucune certification ni d’aucun rapport d’audit tiers susceptible de s’y substituer.

14.3 Finozio informe le Client de toute demande d’une autorité de contrôle portant sur les Données personnelles du Client, sauf si la loi le lui interdit.

Article 15 — Responsabilité

15.1 Chaque Partie répond envers les personnes concernées dans les conditions de l’article 82 du RGPD.

15.2 Entre les Parties, la responsabilité de Finozio au titre de l’Accord entre dans le plafond unique prévu à l’article 13 des CGV (montant hors taxes payé par le Client au cours des douze (12) mois précédant le fait générateur) : ce plafond couvre ensemble l’Accord, les CGV et les CGU, sans cumul ; il ne s’applique ni en cas de faute lourde ou dolosive, ni dans les cas où la loi interdit de limiter la responsabilité.

Article 16 — Durée

L’Accord prend effet à la date de son acceptation par le Client, selon le mode prévu au préambule, et reste en vigueur tant que Finozio traite des Données personnelles du Client, y compris après la fin de l’Offre dans les conditions de l’article 13.

Article 17 — Dispositions diverses

• Ordre de priorité — En cas de contradiction entre l’Accord et les CGU ou les CGV sur la protection des données à caractère personnel, l’Accord prévaut, sauf stipulation expresse contraire d’un devis accepté ou de conditions particulières signées.
• Modification — Finozio peut modifier l’Accord pour tenir compte d’une évolution de la Réglementation applicable ou du Service, en informant le Client par e-mail trente (30) jours avant son entrée en vigueur ; le Client qui refuse une modification réduisant la protection des données peut résilier l’Offre concernée dans les conditions de l’article 8.2.
• Droit applicable et juridiction — L’Accord est régi par le droit français. Les litiges relatifs à l’Accord sont réglés selon l’article 17 des CGV : recherche d’une solution amiable pendant trente (30) jours, puis compétence exclusive des tribunaux de Paris.
• Langue — L’Accord est rédigé en français. En cas de divergence avec une traduction, la version française prévaut.
• Contacts — Pour Finozio : contact@finozio.com ; Finozio n’a pas désigné de délégué à la protection des données. Pour le Client : l’administrateur du compte ou le contact protection des données que le Client désigne par écrit à contact@finozio.com.

Annexe 1 — Description des traitements

A. Objet, nature, finalités et durée

• Objet : fourniture au Client du Service FinOps de Finozio, c’est-à-dire l’analyse de ses dépenses Azure et de ses licences Microsoft 365.
• Nature : lecture par interface de programmation (Azure Resource Manager, Cost Management, Microsoft Graph) au moyen des Identifiants de connexion ; enregistrement ; structuration ; rapprochement des licences et de l’usage ; calcul d’indicateurs et de recommandations ; conservation ; consultation par les utilisateurs habilités du Client ; export (CSV, PDF) ; transmission aux Sous-traitants ultérieurs de l’Annexe 2 ; effacement.
• Finalités : repérer les licences Microsoft 365 inutilisées, surdimensionnées, en doublon ou attribuées à des comptes désactivés ; mesurer l’adoption de Copilot ; repérer les boîtes aux lettres partagées licenciées sans nécessité ; ventiler les coûts de licences par service ; inventorier et optimiser les dépenses Azure ; produire les rapports, alertes et réponses de l’assistant Aurora ; pour l’Offre Custom, exécuter les règles d’automatisation définies par le Client.
• Fréquence : à chaque analyse Microsoft 365 lancée depuis le Service ; les coûts Azure sont relevés chaque nuit.
• Durée : la durée de l’Offre, puis jusqu’à l’effacement prévu à l’article 13 et à la section D ci-dessous.

B. Catégories de personnes concernées

• Personnes disposant d’un compte dans l’annuaire Microsoft Entra ID du Client : salariés, dirigeants, stagiaires, intérimaires, prestataires et, à partir de l’Offre Pilot, invités extérieurs (comptes « Guest ») ; pour l’Offre Audit Spring, seulement les comptes titulaires d’au moins une licence.
• Personnes dont le nom ou l’adresse figure dans le nom ou les étiquettes (tags) d’une ressource Azure, ou dans le nom d’une boîte aux lettres partagée.
• Utilisateurs de la plateforme habilités par le Client, pour le contenu de leurs échanges avec Aurora.
• Destinataires des alertes et rapports désignés par le Client.

C. Données à caractère personnel traitées

C.1 Données Microsoft 365, lues par Microsoft Graph. Seuls les champs listés ci-dessous sont demandés à Microsoft ; ils sont enregistrés dans le Relevé Microsoft 365 avec les indicateurs calculés.

Lorsque le Client conserve l’option de Microsoft 365 qui masque les noms dans les rapports d’usage, aucune donnée d’usage par application ni de taille de boîte aux lettres n’est enregistrée, et les sièges Copilot ne le sont que sous l’identifiant opaque fourni par Microsoft (article 5.3).

C.2 Données Azure (toutes Offres, périmètre selon l’Offre) : identifiants de tenant et de souscription, inventaire des ressources (noms, identifiants, types, régions, configuration, étiquettes), coûts, métriques d’utilisation, recommandations Azure Advisor et réservations. Ces données ne sont pas, par nature, des données à caractère personnel ; elles en contiennent lorsque le Client nomme une ressource ou rédige une étiquette avec le nom ou l’adresse e-mail d’une personne (par exemple le responsable d’une ressource).

C.3 Données fournies par le Client dans le Service : questions posées à Aurora et réponses (à partir de l’Offre Pilot) ; destinataires des alertes et rapports ; paramètres, budgets et, pour l’Offre Custom, règles d’automatisation.

C.4 Identifiants de connexion : identifiant de tenant, identifiant d’application et secret du Service Principal, ou jeton d’actualisation OAuth de l’utilisateur Microsoft qui a connecté son compte ; chiffrés en base (Annexe 3).

D. Durées de conservation

Pour mémoire, hors du champ de l’Accord (Finozio responsable du traitement) : scans gratuits Azure et Microsoft 365 — nom, adresse e-mail, société, fonction, identifiants de tenant et de souscription et résultats conservés 90 jours ; les secrets saisis ne sont jamais enregistrés, sauf demande du rapport mensuel gratuit (case décochée par défaut) : le secret est alors conservé chiffré tant que le rapport est actif (12 rapports au plus) et supprimé dès son arrêt ; l’adresse e-mail est conservée 2 ans dans les statistiques de conversion. Comptes des utilisateurs de la plateforme : tant que le compte existe, effacés 7 jours après une demande de suppression. Données de facturation : 10 ans.

E. Localisation

• Serveurs applicatifs, cache compris : Amsterdam (Pays-Bas, Union européenne).
• Base de données : Paris (France, Union européenne).
• Sauvegardes : une copie locale sur un ordinateur portable administré par Finozio, situé en France, qui reste dans l’Union européenne et dont le disque est intégralement chiffré (FileVault) ; une copie distante, chiffrée avant envoi, déposée chaque nuit dans un stockage Microsoft Azure situé en France (région France Centre) et répliqué dans la région jumelée France Sud.
• Suivi des erreurs : Union européenne (Francfort, Allemagne).
• Transferts hors de l’Union européenne : voir l’Annexe 2.

Annexe 2 — Sous-traitants ultérieurs autorisés

Liste au 27 octobre 2026, établie à partir des services réellement utilisés par la plateforme et des accords de traitement publiés par chaque prestataire. CCT : clauses contractuelles types de la Commission européenne. Cadre de protection des données UE–États-Unis : décision d’adéquation de la Commission du 10 juillet 2023.

A. Prestataires qui traitent des Données personnelles du Client

Microsoft, fournisseur du Client et source des données, n’est pas un sous-traitant ultérieur de Finozio pour les données que le Service lit par les interfaces Azure Resource Manager, Cost Management et Microsoft Graph : il les traite pour le compte du Client, en vertu du contrat qui les lie.

B. Prestataires cités dans la politique de confidentialité qui ne reçoivent pas de Données personnelles du Client

Annexe 3 — Mesures techniques et organisationnelles

Figurent ici les mesures mises en œuvre dans la plateforme, vérifiées dans son code au 8 octobre 2026 et dans la configuration de ses prestataires au 14 octobre 2026, et les mesures d’organisation que Finozio applique.

1. Contrôle de l’accès à la plateforme

• Comptes nominatifs, réservés aux adresses e-mail professionnelles (contrôle côté serveur à l’inscription) ; mot de passe d’au moins 8 caractères comprenant une majuscule, une minuscule et un chiffre ; authentification gérée par Supabase Auth.
• Double authentification par application TOTP, proposée à chaque utilisateur (facultative pour les utilisateurs du Client) et obligatoire pour les super-administrateurs de Finozio ; dix codes de secours à usage unique, stockés sous forme hachée ; réinitialisation possible uniquement par un super-administrateur de Finozio, avec motif, inscription au journal d’audit et e-mail au titulaire.
• Limitation du nombre de tentatives d’authentification par compte et limitation du débit des API.
• Session portée par des cookies httpOnly, Secure et SameSite=Lax, d’une durée de 2 heures ; protection contre la falsification de requêtes (CSRF) par double jeton ; révocation de la session à la déconnexion.
• Rôles applicatifs distinguant les administrateurs du Client des autres utilisateurs ; les actions sensibles (suppression de données, réinitialisation des relevés, gestion des Identifiants de connexion) sont réservées aux administrateurs.
• Clés d’API stockées sous forme hachée avec un secret distinct, limitées par portée (lecture, écriture, suppression), avec date d’expiration facultative.
• Point d’entrée unique : le site et la plateforme ne sont joignables qu’à travers le proxy Cloudflare ; depuis le 14 octobre 2026, les serveurs de l’hébergeur refusent les requêtes qui ne sont pas passées par Cloudflare, à la seule exception du contrôle de disponibilité. Le domaine est signé par DNSSEC.

2. Cloisonnement entre clients

• Base de données commune, cloisonnée par tenant : chaque requête est filtrée côté serveur sur le tenant de l’utilisateur authentifié, et toute demande portant sur un autre tenant est refusée.
• Seule exception : les super-administrateurs de Finozio (article 6.2), dont chaque accès à un autre tenant est enregistré dans le journal d’audit.

3. Chiffrement

• En transit : HTTPS ; sur le site et l’application, HSTS d’une durée d’un an, sous-domaines compris, politique de sécurité du contenu (CSP) à nonce et en-têtes X-Frame-Options (DENY) et X-Content-Type-Options (nosniff).
• Identifiants de connexion (secret du Service Principal, jeton OAuth) : chiffrés champ par champ avant leur écriture en base avec Fernet (AES-128 en mode CBC, authentifié par HMAC-SHA256) ; une clé unique, conservée hors de la base dans la configuration de l’hébergeur ; rotation manuelle, avec prise en charge de la clé précédente pendant la bascule et re-chiffrement des secrets existants.
• Autres données, dont les données Microsoft 365 : pas de chiffrement applicatif propre ; le fournisseur de la base de données chiffre ses disques et ses sauvegardes au repos, selon les mesures de sécurité annexées à son accord de traitement.
• Les secrets saisis lors d’un scan gratuit ne sont jamais enregistrés, sauf si le prospect demande le rapport mensuel gratuit : le secret est alors chiffré comme les identifiants de connexion ci-dessus, puis supprimé dès l’arrêt du rapport.
• Copie distante des sauvegardes : chiffrée sur la machine qui la produit, avant tout envoi (format CMS, AES-256-GCM) ; la clé privée qui permet de la déchiffrer est conservée hors de cette machine, par le Président de Finozio, et Microsoft ne la détient pas.

4. Minimisation

• Lecture seule dans Microsoft 365 : permissions Microsoft Graph de lecture, aucun appel d’écriture.
• Seuls les champs listés à l’Annexe 1 sont demandés à Microsoft Graph ; le périmètre croît avec l’Offre.
• L’option de masquage des noms de Microsoft 365 est respectée (Annexe 1, C.1).
• Le suivi des erreurs est expurgé avant envoi : ni corps de requête, ni variables locales, ni secrets, ni adresses e-mail, ni cookies, ni adresses IP ; l’organisation Sentry, hébergée dans l’Union européenne, est en outre réglée pour ne pas enregistrer les adresses IP.
• L’assistant Aurora ne reçoit aucune donnée Microsoft 365 par utilisateur.
• Les sauvegardes de la base excluent les jetons de session.

5. Journalisation

• Journal d’audit des actions sensibles, y compris chaque accès d’un super-administrateur à un autre tenant : auteur, action, objet, horodatage et, selon l’action, adresse IP ; conservé 2 ans ; réservé à l’équipe Finozio, qui en fournit un extrait au Client sur demande.
• Journaux techniques de l’hébergeur, conservés selon l’Annexe 1, section D.

6. Disponibilité et sauvegarde

• Surveillance externe et continue de la disponibilité ; contrôle de santé à chaque déploiement.
• Sauvegarde logique quotidienne de la base de production, conservée 30 jours, plus une copie mensuelle conservée 1 an ; chaque sauvegarde est relue après écriture, et une restauration complète a été testée le 24 septembre 2026.
• Copie locale : sur un ordinateur portable administré par Finozio, situé en France, dont le disque est intégralement chiffré (FileVault) et dont le dossier de sauvegarde n’est accessible qu’au compte de son administrateur.
• Copie distante, depuis le 14 octobre 2026 : déposée chaque nuit dans un compte de stockage Microsoft Azure situé en France (région France Centre), à redondance géographique vers la région jumelée France Sud ; chiffrée avant envoi (§ 3) ; déposée avec un jeton qui ne permet que l’écriture (ni lecture, ni suppression) ; supprimée automatiquement par Azure, à 30 jours pour les copies quotidiennes et à 1 an pour les copies mensuelles, qui passent en stockage froid à 30 jours puis en archive à 90 jours.

7. Effacement

• Purge automatique quotidienne selon les durées de l’Annexe 1, section D.
• Suppression de compte avec sursis de 7 jours ; purge des données du Client à la suppression de son dernier utilisateur (article 13).

8. Organisation

• Aucun délégué à la protection des données n’est désigné ; contact : contact@finozio.com.
• Aucune certification (SOC 2, ISO/IEC 27001) ni aucun rapport d’audit de sécurité tiers.
• Accès super-administrateur limité aux personnes désignées nominativement (article 6.2) ; engagement de confidentialité du personnel (article 6.1).
• Double authentification exigée sur les comptes d’administration : organisation GitHub (code source), organisation Sentry, Stripe et super-administrateurs de la plateforme.
• Rotation régulière des clés et secrets de production (dernière rotation complète : 14 octobre 2026).
• Gestion des violations : procédure interne écrite (article 11).