Accord de traitement des données à caractère personnel

Article 1 — Objet

Le Sous-traitant traite pour le compte du Responsable les données à caractère personnel nécessaires à la fourniture du service Qualiomatic : gestion des sessions de formation, des stagiaires et des formateurs, émargement numérique, évaluation des acquis et de la satisfaction, production des documents réglementaires et suivi des indicateurs du Référentiel National Qualité (Qualiopi).

Le Responsable demeure seul responsable de la licéité des traitements qu’il met en œuvre au moyen du service, notamment de l’information des personnes concernées et du recueil des bases légales requises.

Article 2 — Durée

Le présent accord prend effet à la date indiquée en préambule et demeure en vigueur pendant toute la durée de l’abonnement au service, ainsi que pendant la période de restitution ou de suppression des données prévue à l’article 11.

Article 3 — Nature et finalité du traitement

Les opérations réalisées sur les données comprennent la collecte, l’enregistrement, l’organisation, la structuration, la conservation, la consultation, l’utilisation, la communication aux personnes habilitées par le Responsable, l’effacement et la destruction.

Ces opérations poursuivent exclusivement les finalités de fourniture du service décrites à l’article 1. Le Sous-traitant n’exploite les données à aucune autre fin : ni prospection, ni profilage commercial, ni entraînement de modèles, ni revente à des tiers.

Article 4 — Catégories de données et de personnes concernées

Les traitements portent sur les catégories suivantes :

• Personnes concernées : stagiaires, formateurs, administrateurs et auditeurs désignés par le Responsable, ainsi que les représentants des clients de celui-ci.
• Données d’identification : nom, prénom, adresse électronique, numéro de téléphone, entreprise et fonction.
• Données de compte : identifiant de connexion, empreinte du mot de passe, rôles, journaux de connexion.
• Données de formation : inscriptions, émargements et signatures manuscrites numérisées, temps de présence, réponses aux questionnaires, notes de positionnement, d’acquis et de satisfaction, attestations.
• Données techniques associées aux preuves d’émargement : adresse IP et empreinte de l’appareil.
• Le service ne prévoit aucun traitement de données relevant de l’article 9 du RGPD (données sensibles). Le Responsable s’interdit d’en saisir dans les champs de texte libre de l’application.

Article 5 — Instructions du Responsable

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable. Les présentes, les conditions générales et l’usage du service par le Responsable constituent ses instructions initiales.

Le Sous-traitant informe immédiatement le Responsable s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition du droit de l’Union ou d’un État membre.

Article 6 — Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité, par un engagement contractuel ou une obligation légale appropriée, y compris après la fin de leurs fonctions.

L’accès aux données de production est limité aux personnes dont les fonctions le rendent strictement nécessaire, et fait l’objet d’une journalisation.

Article 7 — Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD, notamment :

• chiffrement des échanges entre le navigateur et le service ;
• conservation des mots de passe sous forme d’empreinte irréversible à sel aléatoire ;
• cloisonnement strict des données entre organismes, vérifié à chaque lecture et à chaque écriture ;
• contrôle du rôle de l’utilisateur à l’accès de chaque document déposé ;
• liens d’invitation, de vérification d’adresse et de réinitialisation à usage unique, expirants et conservés sous forme d’empreinte ;
• journalisation des accès administrateur et des actions sensibles ;
• sauvegarde quotidienne de la base de données et des documents déposés, conservée quatorze jours et restaurable par le Sous-traitant ;
• le service ne relève pas de l’hébergement de données de santé (HDS). Le Sous-traitant ne revendique, à ce jour, aucune certification de sécurité en propre ; il s’appuie sur les garanties de ses sous-traitants ultérieurs énumérés à l’article 8.

Article 8 — Sous-traitants ultérieurs

Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants :

• OVH SAS (France) — hébergement des serveurs et des bases de données au sein de l’Union européenne ;
• Stripe Payments Europe, Limited (Irlande) — encaissement des abonnements. Les données de carte bancaire sont collectées directement par ce prestataire, auxquelles le Sous-traitant n’a jamais accès.

Article 8 bis — Changement de sous-traitant ultérieur

Le Sous-traitant informe le Responsable de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur avec un préavis de trente (30) jours, laissant au Responsable la possibilité d’émettre des objections. En cas d’objection non levée, le Responsable peut résilier l’abonnement sans pénalité.

Le Sous-traitant impose à tout sous-traitant ultérieur les mêmes obligations que celles prévues aux présentes et demeure pleinement responsable de leur exécution devant le Responsable.

Article 9 — Transferts hors Union européenne

L’hébergement des données et l’envoi des e-mails ont lieu au sein de l’Union européenne. Le traitement des paiements peut impliquer un transfert vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne et les garanties complémentaires publiées par ce prestataire.

Aucun autre transfert hors Union européenne n’est réalisé sans information préalable du Responsable et mise en place d’un mécanisme de transfert conforme au chapitre V du RGPD.

Article 10 — Assistance au Responsable

Le Sous-traitant assiste le Responsable, compte tenu de la nature du traitement :

• en mettant à disposition, dans le service, les fonctions permettant de répondre aux demandes d’exercice des droits : export des données d’une personne au format structuré et lisible par machine (droits d’accès et de portabilité), rectification depuis les fiches, et anonymisation d’un stagiaire (droit à l’effacement) préservant les pièces à conservation obligatoire ;
• en notifiant au Responsable, sans délai injustifié après en avoir pris connaissance et au plus tard dans les quarante-huit (48) heures, toute violation de données à caractère personnel, avec les éléments requis par l’article 33.3 du RGPD — ce délai laissant au Responsable le temps de respecter les soixante-douze (72) heures qui lui incombent envers l’autorité de contrôle ;
• en fournissant les informations nécessaires à la réalisation d’une analyse d’impact (art. 35) et à la consultation préalable de l’autorité de contrôle (art. 36) ;
• en transmettant sans délai au Responsable toute demande d’exercice de droits qu’il recevrait directement d’une personne concernée, sans y répondre lui-même.

Article 11 — Sort des données en fin de contrat

Au terme de la prestation, le Responsable peut demander la restitution de l’ensemble des données dans un format structuré et couramment utilisé. Cette demande doit intervenir dans un délai de trente (30) jours suivant la fin de l’abonnement.

À l’expiration de ce délai, et au plus tard soixante (60) jours après la fin de l’abonnement, le Sous-traitant supprime les données et les copies existantes, sauf obligation légale de conservation qui lui serait propre. Il en justifie par écrit sur demande.

Il appartient au Responsable, avant cette échéance, de récupérer les pièces qu’il doit lui-même conserver au titre de ses obligations d’organisme de formation.

Article 12 — Registre et documentation

Le Sous-traitant tient un registre des catégories d’activités de traitement effectuées pour le compte du Responsable, conformément à l’article 30.2 du RGPD. Sa version publique est consultable à l’adresse /registre-des-traitements.

Il met à la disposition du Responsable la documentation nécessaire pour démontrer le respect des obligations du présent accord.

Article 13 — Audit

Le Responsable peut, à ses frais et après un préavis raisonnable, faire réaliser un audit du respect des présentes, au plus une fois par période de douze mois, sauf incident de sécurité avéré. L’audit ne doit pas perturber l’exploitation du service ni porter atteinte à la confidentialité des données des autres clients du Sous-traitant.

Article 14 — Contacts

Contact du Responsable pour la protection des données : l’adresse électronique renseignée par le Responsable dans les paramètres de son espace et, à défaut, celle de l’administrateur du compte.

Contact du Sous-traitant : contact@fi-data.fr — FI-DATA, 80 rue Jean Jaurès, 32500 Fleurance. Le Sous-traitant n’est pas tenu de désigner un délégué à la protection des données au sens de l’article 37 du RGPD ; cette adresse traite les demandes relevant du présent accord.

Article 15 — Acceptation, preuve et révision

Conformément à l’article 28.9 du RGPD, le présent accord est conclu par écrit sous forme électronique. Son acceptation résulte de la validation expresse des conditions générales, dont il est l’annexe 1, lors de la création du compte de l’organisme par son administrateur.

La preuve de l’acceptation est constituée par l’enregistrement conservé par le Sous-traitant : version acceptée, date et heure, identité du compte ayant accepté et adresse IP d’origine. Cet enregistrement est restitué au Responsable dans son espace et conservé pendant toute la durée du contrat, puis trois ans après son terme.

Toute révision substantielle du présent accord est notifiée au Responsable au moins trente (30) jours avant son entrée en vigueur. Le Responsable qui la refuse peut résilier son abonnement sans pénalité avant cette date ; à défaut, la poursuite de l’utilisation du service vaut acceptation.

Le Responsable dont les procédures internes ou les marchés exigent un exemplaire contresigné peut en demander un à contact@fi-data.fr. Cette formalité est sans effet sur l’entrée en vigueur de l’accord, déjà acquise par l’acceptation des conditions générales.