Accord de traitement des données (DPA/AVV)

conformément à l’Art. 28 al. 3 GDPR

Basé sur le modèle fourni par l’Autorité bavaroise de protection des données (BayLDA). Adapté pour le service SaaS Tuurio ID.

Responsable du traitement (Data Controller) : Le client exploitant un compte de service Tuurio ID (ci-après « Responsable du traitement »).

Sous-traitant (Data Processor) : Tuurio GmbH, Muehlenstr. 8a, 14167 Berlin. Gérants : Marcus Jueptner, Daniel Kraus. HRB 180639, Amtsgericht Berlin-Charlottenburg. USt-IdNr. : DE305850010 (ci-après « Sous-traitant »).

1. Objet et durée

Fourniture de la solution SaaS « Tuurio ID » (id.tuurio.com) pour la gestion des identités et l’authentification, comprenant : l’authentification et l’autorisation OAuth 2.0/OIDC des utilisateurs finaux du responsable du traitement, le stockage et la gestion des identités des utilisateurs, la fourniture de points de terminaison de jetons (Authorize, Token, UserInfo, JWKS), la journalisation des événements d’authentification (journaux d’audit), la fourniture du module coffre-fort (stockage de données chiffrées) et la fourniture du tableau de bord d’administration pour la gestion des tenants.

Le service est fourni exclusivement au sein d'un Etat membre de l'Union europeenne (Hebergement : STACKIT, Allemagne). Tout transfert du service ou de parties de celui-ci vers un pays tiers necessite le consentement prealable du responsable du traitement et ne peut avoir lieu que si les conditions des Art. 44 et suivants GDPR sont remplies.

L’accord est conclu pour une durée indéterminée et s’applique pendant toute la durée d’utilisation du service Tuurio ID par le responsable du traitement. Il prend fin automatiquement lors de la résiliation du contrat de service.

2. Type et finalité, catégories de données, personnes concernées

Finalité du traitement : Authentification, vérification d’identité et gestion des utilisateurs au sein de la plateforme Tuurio ID pour les applications du responsable du traitement.

Catégories de données

Catégorie Exemples Conservation
Données de base Nom, adresse e-mail, photo de profil, champs de profil personnalisés Durée du contrat + 30 jours
Données d’authentification Hash de mots de passe (Argon2id), seeds MFA, identifiants passkey Durée du contrat
Données de session/jeton Jetons d’accès, jetons de rafraîchissement, identifiants de session Max. 30 jours (durée de vie du jeton)
Données de journalisation Horodatages de connexion, adresses IP, chaînes user agent, événements d’authentification échoués 90 jours
Données du coffre-fort Données arbitraires chiffrées en AES-256 stockées par le responsable du traitement Durée du contrat + 30 jours
Données OAuth Client IDs, URIs de redirection, scopes, permissions, rôles Durée du contrat

Passkey-only : finalité, conservation et retour au mot de passe

Complément préparé à la politique opérationnelle, 8 octobre 2026. Ce texte décrit le contrat prévu pour le déploiement approuvé ; il ne confirme pas la disponibilité des fonctions restantes et ne constitue pas une approbation juridique, de mise en production ou d'activation.

Avec Passkey-only, les vérificateurs de mot de passe natifs et importés existants sont bloqués et conservés uniquement pour un éventuel retour au mot de passe. Ils restent dans leur stockage d'origine ; aucune archive supplémentaire n'est créée. Cette conservation ne constitue pas une autre méthode de récupération ni un contournement par mot de passe seul.

L'activation initiale enregistrée ouvre une période de 30 jours, exactement 720 heures. Un processus automatique limité supprime les anciens vérificateurs du stockage actif à partir de l'échéance uniquement si la même activation reste active. Enregistrer ou réessayer une politique active ne prolonge pas cette période. Sans preuve du début d'une ancienne activation, son âge reste inconnu ; la date du déploiement ne crée pas une échéance fictive.

Désactiver Passkey-only avant la suppression rend les vérificateurs d'origine encore présents utilisables selon les contrôles normaux du compte et de l'authentification. Une nouvelle activation réelle ouvre une nouvelle période. La désactivation ne restaure jamais les données de mot de passe supprimées ni les sessions et jetons révoqués. La suppression met fin au retour à l'ancien mot de passe ; les passkeys et la récupération configurée restent disponibles.

Avec un passkey actuellement utilisable et une récupération configurée, la personne concernée peut demander à tout moment la suppression de son ancien mot de passe dans le cadre de cette conservation. Après la désactivation de la politique, il faut prouver que les preuves inchangées existaient avant l’activation initiale ; les nouveaux mots de passe créés après la désactivation et les historiques non prouvés sont refusés. Un administrateur autorisé du tenant peut supprimer volontairement les preuves conservées plus tôt lorsque passkey-only est actif, avec une trace d’audit. L’effet irréversible sur le retour à la connexion par mot de passe est expliqué à l’avance et nécessite une confirmation explicite. Ce processus ne supprime pas silencieusement le seul facteur de connexion actuel hors de ce cadre.

Les nouveaux comptes créés par un parcours Passkey-only ne reçoivent aucun mot de passe. Les nouveaux tenants commencent toujours avec Passkey-only désactivé ; son activation reste une décision explicite après vérification de la préparation des comptes.

Des enregistrements de suppression distincts et à accès restreint contiennent les identifiants du compte et du tenant, des identifiants de comparaison des preuves supprimées et les métadonnées initiales d’activation et de suppression, mais aucune preuve de mot de passe réutilisable. Ils empêchent de réaccepter des éléments supprimés, même après la suppression du compte. Il s’agit de données personnelles de sécurité, pas de données anonymes. La mise en œuvre technique préparée ne prévoit ni expiration automatique ni processus de suppression de ces enregistrements. Le délai de 720 heures des anciennes preuves de mot de passe ne promet pas leur suppression simultanée ; leur finalité et leur conservation doivent être évaluées séparément avant la mise en production.

Supprimer les lignes actives ne supprime pas immédiatement les copies des sauvegardes chiffrées existantes ; celles-ci suivent la politique réelle de conservation des sauvegardes. Une restauration reste isolée de l'authentification et des écritures jusqu'au rapprochement des registres de suppression, de l'activation et des révocations. Le processus de nettoyage seul ne sécurise pas une ancienne sauvegarde complète qui élimine l'historique des suppressions. Elle ne doit pas réactiver silencieusement les vérificateurs, sessions ou jetons de renouvellement supprimés ou révoqués.

Les règles prévues terminent toutes les autres sessions et tous les autres jetons de renouvellement de l'utilisateur après la configuration de récupération, ainsi que toutes les sessions et tous les jetons non passkey du tenant lors de l'activation. La désactivation ne les rétablit pas. Seul Tuurio effectue un retour de version : valider la désactivation, arrêter les écritures concernées, terminer les sessions ciblées, puis rétablir l'image applicative précédente enregistrée. Une restauration de sauvegarde et un retour d'image applicative sont différents.

Personnes concernées

3. Droits du responsable du traitement

Le responsable du traitement a le droit de donner des instructions concernant le traitement des données à tout moment, d’auditer la conformité du sous-traitant avec le présent accord (y compris des inspections sur site avec un préavis raisonnable) et de demander des informations sur les activités de traitement. Le sous-traitant doit informer immédiatement le responsable du traitement si une instruction, selon l’avis du sous-traitant, enfreint les réglementations en matière de protection des données.

4. Obligations du sous-traitant

Le sous-traitant traite les données personnelles uniquement sur la base d’instructions documentées du responsable du traitement, s’assure que toutes les personnes autorisées à traiter des données personnelles se sont engagées à la confidentialité, met en œuvre et maintient les mesures techniques et organisationnelles conformément à l’Art. 32 GDPR, assiste le responsable du traitement dans l’exécution des demandes des personnes concernées (Art. 12-22 GDPR), assiste dans les analyses d’impact relatives à la protection des données (Art. 35 GDPR) et les consultations préalables (Art. 36 GDPR) le cas échéant, et met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer la conformité.

5. Obligations de notification

Le sous-traitant notifie le responsable du traitement sans délai injustifié (et en tout état de cause dans les 24 heures) de toute violation de données personnelles conformément à l’Art. 33 GDPR. La notification comprend la nature de la violation, les catégories de données concernées et le nombre approximatif de personnes affectées, les conséquences probables et les mesures prises ou proposées. Contact : security@tuurio.com.

6. Sous-traitants ultérieurs

La liste actuelle des sous-traitants ultérieurs est disponible sur /public/legal/sub-processors. Le responsable du traitement accepte les sous-traitants ultérieurs qui y sont listés. Les modifications sont notifiées au moins 30 jours à l’avance par e-mail. Le responsable du traitement peut s’opposer dans les 14 jours pour des raisons importantes liées à la protection des données.

7. Mesures techniques et organisationnelles

Le sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées conformément à l’Art. 32 GDPR. Les détails sont décrits sur notre page sécurité. Les mesures clés comprennent : chiffrement AES-256 au repos, TLS 1.3 en transit, hachage de mots de passe Argon2id (dureté mémoire 64 Mo), isolation des tenants par séparation au niveau de la base de données (filtres Hibernate avec cadrage tenant_id), sauvegardes quotidiennes chiffrées automatisées (conservation 30 jours), signature JWT RS256 avec rotation des clés spécifique au tenant, journalisation complète des accès et pistes d’audit.

8. Obligations à la fin du contrat

Après la résiliation du contrat, le responsable du traitement peut exporter toutes les données dans les 30 jours via le tableau de bord dans un format courant et lisible par machine (JSON, CSV). Après la période d’exportation de 30 jours, toutes les données personnelles sont supprimées de manière irréversible dans les 30 jours supplémentaires, sauf si des obligations légales de conservation s’appliquent (par ex. documents fiscaux conformément aux GoBD : 10 ans). Le sous-traitant confirme la suppression par écrit sur demande.

Version 1.0, 9 mars 2026