Analyse des lois extraterritoriales

Journal des modifications

1. Entité et structure sociétaire

1.1. Xeneural Technologies E.I.R.L. est une entreprise individuelle à responsabilité limitée constituée au Pérou (RUC 20606521261), dont le domicile fiscal et le bureau se trouvent à Arequipa. Son titulaire est une personne physique. Elle n'a pas de société mère.

1.2. Xeneural n'a ni filiales, ni succursales, ni établissements aux États-Unis, en Chine ou en Russie.

1.3. La loi qui régit le traitement des données personnelles par Xeneural est la loi péruvienne : loi 29733 sur la protection des données personnelles et son règlement, approuvé par le D.S. 016-2024-JUS. Pour les clients de l'Espace économique européen s'appliquent en outre les clauses contractuelles types de l'Accord de traitement des données.

2. Lois analysées

3. Exposition par l'intermédiaire des sous-traitants ultérieurs

3.1. Les sous-traitants ultérieurs qui hébergent le contenu des clients sont des entreprises américaines et, à ce titre, sont soumis au CLOUD Act et à la section 702 de FISA. C'est la seule voie par laquelle ces lois peuvent atteindre les données d'un client de Xeneural.

3.2. Chaque sous-traitant ultérieur assume contractuellement les engagements suivants face à une demande d'une autorité :

4. Mesures de Xeneural

4.1. Chiffrement. Les données sont chiffrées en transit avec TLS 1.2 ou supérieur et au repos avec AES-256 dans la base de données, dans le stockage de fichiers et dans les sauvegardes. Les secrets d'intégration du client sont en outre chiffrés avec AES-256-GCM et des clés dédiées.

4.2. Ségrégation et accès minimal. Les données de chaque client sont logiquement séparées et chaque opération est limitée, côté serveur, à l'organisation de l'utilisateur authentifié.

4.3. Transferts. Pour les clients de l'Espace économique européen, du Royaume-Uni ou de la Suisse, l'Accord de traitement des données intègre les clauses contractuelles types de la Commission européenne (Décision 2021/914), y compris l'évaluation des lois du pays de destination (clause 14) et les obligations en cas de demandes d'autorités (clause 15). Pour les clients au Pérou, le flux transfrontalier est régi par l'article 15 de la loi 29733 et les articles 18 à 21 de son règlement.

4.4. Engagement propre face à une demande. Si Xeneural reçoit une demande d'une autorité, péruvienne ou étrangère, elle vérifie sa compétence et sa base légale, la renvoie au client lorsque la loi le permet, informe le client avant de remettre des données sauf interdiction légale, ne remet que ce qui est strictement exigé et conteste les demandes excessives. Chaque demande est enregistrée et publiée dans le Rapport de transparence.

4.5. Historique. Xeneural n'a reçu aucune demande d'une autorité, péruvienne ou étrangère, visant à accéder aux données de ses clients (Rapport de transparence).

4.6. Révision. Cette analyse est révisée chaque année et chaque fois qu'un sous-traitant ultérieur est ajouté ou que la réglementation analysée change.

5. Conclusion

Xeneural est une entreprise péruvienne sans société mère ni présence aux États-Unis, en Chine ou en Russie, et elle n'est pas directement soumise aux lois étrangères d'accès aux données. L'exposition indirecte, par l'intermédiaire de ses sous-traitants ultérieurs américains, est atténuée par leurs engagements contractuels, par le chiffrement et la ségrégation des données, par les clauses contractuelles types pour les clients européens et par l'engagement propre de Xeneural d'informer le client et de contester les demandes excessives.

6. Sources