Sous-traitance et RGPD

1. Pourquoi la question se pose

Un service d’informatique en nuage traite couramment les données de ses clients pour leur compte ; il est alors leur sous-traitant et doit signer un contrat au titre de l’article 28 du RGPD. Un service achats applique donc la même grille à tout fournisseur logiciel. La grille est bonne ; le résultat, ici, est différent — et il vaut mieux dire pourquoi que signer un document qui décrirait un traitement qui n’existe pas.

2. Ce que fait réellement le logiciel

Mountit est un client de système de fichiers. Il tourne sur votre Mac, votre iPad ou votre Vision Pro, ouvre une connexion vers le serveur ou le service de stockage que vous désignez, et présente le résultat au Finder. Le chemin des données est : votre appareil → votre stockage. Il ne comporte aucune étape chez nous. Le rôle joué est celui d’un client SFTP, d’un navigateur ou d’un client de messagerie : un outil, pas un intermédiaire.

Les identifiants (mots de passe, clés SSH, jetons OAuth, clés d’accès S3) sont conservés dans un coffre local scellé en AES-256-GCM, dont la clé réside dans le Trousseau du système avec l’attribut ThisDeviceOnly : elle n’est pas synchronisée vers le Trousseau iCloud et ne quitte pas l’appareil. Le contenu des fichiers mis en cache est chiffré au repos par une clé propre à chaque connexion, dérivée d’un secret lui aussi conservé dans le Trousseau ; l’index de métadonnées local (noms, tailles, dates) ne l’est pas, et le dossier de cache est exclu de Time Machine pour cette raison — le détail est exposé au paragraphe 3.2 de la politique de confidentialité. Rien de tout cela ne quitte la machine.

3. Les serveurs que nous exploitons

À ce jour, aucun. L’application publiée n’adresse aucune requête à un serveur exploité par nous : ni pour la licence — le droit d’usage vient de StoreKit, donc d’Apple —, ni pour les annonces, qui sont filtrées localement à partir d’un catalogue signé déjà installé, ni pour les mises à jour, l’application n’embarquant aucun mécanisme de vérification automatique. Il n’existe pas non plus dans le code de télémétrie, de SDK de mesure d’audience ni d’outil de rapport de plantage ; le manifeste de confidentialité livré avec l’application déclare en conséquence l’absence de suivi et une liste vide de données collectées.

Un serveur de contrôle existe côté infrastructure et sera activé lorsque la boutique ouvrira. Sa forme est déjà arrêtée et elle est étroite : six routes qui servent des fichiers statiques (catalogue, journal de transparence, manifestes de version, binaires), et une seule route dynamique dont le corps de requête comporte trois champs — un jeton de licence opaque, la version installée et le nom de la plateforme. Aucune route n’accepte de paramètre d’URL ni de cookie : une requête qui en comporte est rejetée avant d’atteindre le moindre gestionnaire, pour qu’aucune route future ne puisse se doter discrètement d’un paramètre de suivi. Le serveur n’écrit ni adresse IP ni chemin demandé dans ses journaux applicatifs, et ne conserve rien de la requête.

Même sous cette forme, il ne verrait jamais un nom de fichier, un nom d’hôte, un compartiment ou un identifiant : aucun de ces éléments ne figure dans le corps de requête, et la conception l’interdit explicitement. Cette page sera mise à jour et redatée le jour de la mise en service.

4. Qui est responsable de quoi

Vos fichiers et leurs métadonnées

Vous êtes responsable de traitement. Le rôle de votre fournisseur de stockage dépend des faits — il sera le plus souvent votre sous-traitant, parfois un responsable de traitement distinct pour certaines opérations, et il n’y a aucun tiers du tout si vous montez votre propre serveur. Là où un acte de l’article 28 est requis, c’est avec lui qu’il se conclut, et non avec nous. ASKLERA — société en cours d’immatriculation n’est ni responsable de traitement ni sous-traitant pour ces données : nous ne les traitons pas, à aucun titre.

Licence, activation, facturation, assistance

Nous sommes responsable de traitement, et non sous-traitant : nous en déterminons seuls les finalités et les moyens. Le régime applicable est décrit dans la politique de confidentialité. Un acte de sous-traitance serait ici le mauvais instrument.

Vos salariés, si vous déployez Mountit en entreprise

Vous restez responsable de traitement pour l’usage qu’ils en font. Nous n’avons aucune visibilité sur cet usage : pas de console d’administration, pas de journal d’activité côté serveur, rien à vous restituer et rien à vous réclamer.

5. Nos propres sous-traitants

Pour nos traitements à nous — site, messagerie, noms de domaine — la liste complète figure au paragraphe 6 de la politique de confidentialité. Elle compte deux entrées, toutes deux dans l’Union européenne, et aucun transfert hors UE n’est effectué.

6. Ce que nous signons volontiers

Si votre procédure d’achat exige un document, nous confirmons par écrit, sur papier à en-tête et avec la référence de version du logiciel : le chemin des données décrit au paragraphe 2, l’absence de télémétrie, la liste exhaustive des hôtes contactés par l’application, et l’engagement de vous notifier avant toute évolution qui rendrait ce document inexact. Écrivez à privacy@mountit.app.

Nous signerons également un acte de sous-traitance en bonne et due forme le jour où il aura un objet. Aujourd’hui il n’en a pas, et un contrat qui décrit un traitement inexistant ne protège personne : il donne seulement à un dossier de conformité l’apparence d’être complet.

7. Ce qui changerait cette page

Un service qui toucherait à vos contenus — relais hébergé, index côté serveur, sauvegarde gérée, partage de liens depuis nos serveurs — ferait de nous votre sous-traitant. Nous n’en exploitons aucun. Si cela devait changer, cette page serait remplacée par un véritable acte de sous-traitance, publié avant la mise en service, et l’ajout serait visible dans le journal des modifications de l’application.

8. Sécurité et notification

Les mesures techniques et organisationnelles applicables à nos traitements (article 32 du RGPD) sont décrites au paragraphe 8 de la politique de confidentialité. Une violation susceptible d’engendrer un risque est notifiée à la CNIL dans les 72 heures (art. 33) ; lorsque le risque est élevé, les personnes concernées en sont informées dans les meilleurs délais (art. 34).

Un défaut de sécurité à signaler : security@mountit.app.