Accord de traitement des données

Version 2026-11-10. Cet accord s’applique entre le client (responsable du traitement) et GoTrust BV, Belgique, qui exploite monsys.ai (sous-traitant). Il est accepté dans le tableau de bord sous Équipe, avec la date, la version, l’utilisateur et l’adresse IP dans le journal d’audit.

1. Objet et durée

GoTrust BV traite des données à caractère personnel uniquement pour fournir le service monsys : surveiller des systèmes, signaler des problèmes, produire rapports et preuves. L’accord court tant que le client a un compte et prend fin avec la suppression des données (point 9).

2. Quelles données, de qui

Catégorie	Exemples	Personnes concernées
Données de compte	nom, adresse e-mail, rôle, moments de connexion	utilisateurs du client
Données des systèmes	noms d’hôtes, adresses IP, logiciels installés, services, certificats	pas de données personnelles, sauf si un nom est identifiable
Événements de connexion	nom d’utilisateur, IP source, pays, moment	collaborateurs et utilisateurs des systèmes du client
Sites et plateformes	noms de domaine, versions d’extensions, événements	administrateurs de ces sites

L’agent envoie des signaux agrégés, jamais de lignes de log brutes. Aucune catégorie particulière de données n’est traitée sciemment.

3. Instructions

GoTrust BV ne traite que sur instruction écrite du client. Les réglages du tableau de bord et cet accord constituent cette instruction. Si une instruction paraît contraire au RGPD, GoTrust BV le signale immédiatement.

4. Confidentialité

Toute personne ayant accès aux données des clients chez GoTrust BV est tenue au secret. L’accès est limité à ceux qui en ont besoin pour fournir le service ou résoudre une panne.

5. Sécurité

• Chaque tenant est séparé : chaque requête filtre sur le tenant et la base de données l’impose en plus (row level security).
• Les connexions sont chiffrées (TLS) ; les agents utilisent un certificat propre par système.
• Les actions sensibles sur les systèmes exigent un jeton signé, à courte durée de vie et à usage unique (Ed25519).
• Les modifications dans le tableau de bord sont consignées dans un journal d’audit.
• La vérification en deux étapes est disponible pour chaque utilisateur.

6. Sous-traitants ultérieurs

Les données de surveillance se trouvent sur des serveurs dans un datacenter de l’Union européenne, loués par GoTrust BV. Les notifications (push, e-mail) passent par des services propres, auto-hébergés. Il n’y a pas d’autre sous-traitant pour les données de surveillance et aucune donnée n’est transmise à des modèles de langage de tiers. Les paiements passent par Stripe ou PayPal ; ce sont des traitements dont GoTrust BV est elle-même responsable. Un nouveau sous-traitant est annoncé au moins 30 jours à l’avance ; le client peut s’y opposer et résilier.

7. Droits des personnes concernées

GoTrust BV aide le client à traiter les demandes des personnes concernées (accès, rectification, effacement) dans les 10 jours ouvrables suivant la demande du client.

8. Violations de données

GoTrust BV notifie toute violation de données à caractère personnel sans retard injustifié et au plus tard 48 heures après sa constatation aux propriétaires du tenant, avec ce qui est connu sur la nature, l’ampleur, les conséquences et les mesures prises.

9. Fin

Après résiliation, GoTrust BV supprime les données du tenant dans les 30 jours, y compris dans les sauvegardes, sauf obligation légale de conservation plus longue. Sur demande, le client reçoit un export au préalable.

10. Contrôle

Le client peut demander les informations nécessaires pour démontrer la conformité. Un audit sur place est possible sur rendez-vous, au maximum une fois par an, aux frais du client.

Questions : info@gotrust.be.