Accord relatif au traitement des données personnelles

ARTICLE 1 – OBJET ET CHAMP D'APPLICATION

Le présent DPA s'applique à l'ensemble des traitements de données à caractère personnel réalisés par le Sous-traitant pour le compte du Responsable de traitement dans le cadre de la mise à disposition de la Plateforme Floreal en mode SaaS, des prestations de mise en service et des services récurrents décrits dans les Conditions (ensemble, les « Services »).

En cas de contradiction entre le présent DPA et les Conditions, le présent DPA prévaut pour tout ce qui concerne le traitement des données à caractère personnel. Pour le surplus, les Conditions s'appliquent.

Le présent DPA prend effet à la date d'acceptation des Conditions et demeure applicable tant que le Sous-traitant traite des données à caractère personnel pour le compte du Responsable de traitement.

ARTICLE 2 – DÉFINITIONS

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens qui leur est donné par le RGPD.

Les termes suivants ont, en outre, le sens défini ci-après :

• « Données du Client » : toute donnée à caractère personnel fournie à la Plateforme par le Responsable de traitement ou ses Utilisateurs, ou générée par leur utilisation de la Plateforme, et traitée par le Sous-traitant pour le compte du Responsable de traitement.
• « Utilisateurs » : les administrateurs, formateurs et apprenants autorisés par le Responsable de traitement à utiliser la Plateforme.
• « Agents IA » : les agents reposant sur des technologies d'intelligence artificielle mis à disposition par le Sous-traitant dans le cadre des Services, tels que décrits à l'article 2.2 des Conditions.
• « Sous-traitant ultérieur » : tout tiers engagé par le Sous-traitant pour traiter des Données du Client dans le cadre des Services.
• « Mesures de sécurité » : les mesures techniques et organisationnelles décrites en Annexe B.
• « Législation applicable » : le RGPD, la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés » et toute réglementation applicable en matière de protection des données.

ARTICLE 3 – RÔLES DES PARTIES

Le Responsable de traitement demeure seul responsable de la licéité des traitements qu'il met en œuvre au moyen de la Plateforme, des informations communiquées aux personnes concernées, des bases légales applicables et des instructions qu'il adresse au Sous-traitant.

Le Sous-traitant peut, par ailleurs, agir en qualité de responsable de traitement pour ses propres finalités (gestion de la relation contractuelle, facturation, sécurité de la Plateforme, amélioration des Services sur la base de données agrégées ou anonymisées). Ces traitements ne relèvent pas du présent DPA.

ARTICLE 4 – DESCRIPTION DU TRAITEMENT

L'objet, la durée, la nature et les finalités du traitement, les catégories de données à caractère personnel et les catégories de personnes concernées sont décrits en Annexe A.

Le Responsable de traitement s'engage à ne pas transmettre au Sous-traitant, ni à faire traiter par la Plateforme, de catégories particulières de données au sens de l'article 9 du RGPD (données de santé, origine ethnique, opinions politiques, convictions religieuses, données biométriques, etc.) ni de données relatives à des condamnations pénales, sauf accord écrit préalable du Sous-traitant.

ARTICLE 5 – OBLIGATIONS DU SOUS-TRAITANT

Le Sous-traitant s'engage à :

5.1 Instructions

Traiter les Données du Client uniquement sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts de données vers un pays tiers, sauf obligation légale contraire. Dans ce cas, le Sous-traitant informe le Responsable de traitement de cette obligation avant le traitement, sauf si la loi l'interdit.

Les Conditions, le présent DPA et l'utilisation de la Plateforme par le Responsable de traitement et ses Utilisateurs (paramétrage des parcours, activation des Agents IA, configuration des notifications) constituent les instructions documentées du Responsable de traitement.

Le Sous-traitant informe le Responsable de traitement si, selon lui, une instruction constitue une violation de la Législation applicable.

5.2 Confidentialité

Veiller à ce que les personnes autorisées à traiter les Données du Client s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et n'accèdent aux Données du Client que dans la mesure nécessaire à la fourniture des Services.

5.3 Sécurité

Mettre en œuvre les Mesures de sécurité décrites en Annexe B, conformément à l'article 32 du RGPD.

5.4 Assistance

Aider le Responsable de traitement, dans une mesure raisonnable et compte tenu de la nature du traitement, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (article 11) et à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact, consultation préalable), compte tenu des informations à sa disposition.

5.5 Violations de données

Notifier au Responsable de traitement toute violation de données à caractère personnel dans les conditions de l'article 10.

5.6 Restitution et suppression

Au terme des Services, restituer ou supprimer les Données du Client dans les conditions de l'article 13.

5.7 Documentation

Mettre à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et tenir un registre des catégories d'activités de traitement effectuées pour le compte du Responsable de traitement.

ARTICLE 6 – OBLIGATIONS DU RESPONSABLE DE TRAITEMENT

Le Responsable de traitement s'engage à :

• disposer d'une base légale valable pour chaque traitement mis en œuvre au moyen de la Plateforme, notamment pour l'inscription des apprenants et le suivi de leur progression ;
• fournir aux personnes concernées (administrateurs, formateurs, apprenants) l'information requise par les articles 13 et 14 du RGPD, y compris sur le recours à des Agents IA dans le cadre de la formation ;
• s'assurer de l'exactitude, de la qualité et de la licéité des Données du Client ;
• ne transmettre que les données strictement nécessaires aux finalités de la formation (minimisation) ;
• administrer les comptes Utilisateurs, attribuer les rôles et droits d'accès et préserver la confidentialité des identifiants ;
• donner au Sous-traitant des instructions conformes à la Législation applicable ;
• répondre aux demandes des personnes concernées et aux demandes des autorités de contrôle qui lui sont adressées.

ARTICLE 7 – SOUS-TRAITANTS ULTÉRIEURS

7.1 Autorisation générale

Le Responsable de traitement autorise de manière générale le Sous-traitant à recourir à des Sous-traitants ultérieurs pour la fourniture des Services, notamment pour l'hébergement, les communications électroniques et les technologies d'intelligence artificielle. La liste des Sous-traitants ultérieurs en vigueur figure en Annexe C.

7.2 Modification de la liste

Le Sous-traitant peut, à tout moment et sans préavis, ajouter, remplacer ou retirer un Sous-traitant ultérieur lorsqu'il l'estime nécessaire au fonctionnement, à la sécurité ou à l'évolution des Services. La liste à jour est publiée sur la présente page, qui fait foi ; il appartient au Responsable de traitement de la consulter régulièrement.

Le Responsable de traitement peut s'opposer à un nouveau Sous-traitant ultérieur, pour des motifs légitimes et documentés liés à la protection des données, dans un délai de trente (30) jours suivant sa publication. En cas d'objection, les parties se rapprochent de bonne foi pour trouver une solution raisonnable. À défaut d'accord, chacune des parties peut résilier les Services affectés moyennant un préavis de trente (30) jours, sans indemnité.

7.3 Obligations du Sous-traitant

Le Sous-traitant impose à chaque Sous-traitant ultérieur, par contrat écrit, des obligations en matière de protection des données substantiellement équivalentes à celles du présent DPA. Il demeure pleinement responsable envers le Responsable de traitement de l'exécution par le Sous-traitant ultérieur de ses obligations.

ARTICLE 8 – TRANSFERTS HORS DE L'UNION EUROPÉENNE

8.1 Localisation des données

Les Données du Client sont hébergées et stockées au sein de l'Union européenne, dans la région AWS Paris (eu-west-3). Les sauvegardes sont conservées dans l'Union européenne.

8.2 Transferts vers des pays tiers

Certains Sous-traitants ultérieurs listés en Annexe C sont établis en dehors de l'Espace économique européen (notamment aux États-Unis). Lorsqu'un traitement implique un transfert de Données du Client vers un pays tiers ne bénéficiant pas d'une décision d'adéquation, le Sous-traitant s'assure que ce transfert est encadré par un mécanisme approprié au sens du chapitre V du RGPD, notamment :

• les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), complétées le cas échéant de mesures supplémentaires ;
• la certification du destinataire au titre du Cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), lorsqu'elle est applicable ;
• tout autre mécanisme reconnu par la Législation applicable.

Le Sous-traitant peut remplacer un mécanisme de transfert par un autre mécanisme valide, sous réserve d'en informer le Responsable de traitement.

ARTICLE 9 – SÉCURITÉ DU TRAITEMENT

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes concernées, le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en Annexe B afin de garantir un niveau de sécurité adapté au risque.

Le Sous-traitant peut faire évoluer ces mesures, sous réserve que leur niveau global de protection ne soit pas substantiellement réduit.

Le Responsable de traitement demeure responsable de la sécurité de ses propres équipements, réseaux et comptes Utilisateurs, notamment de la robustesse des mots de passe, de l'attribution des rôles et de la révocation des accès des Utilisateurs ayant quitté son organisation.

ARTICLE 10 – VIOLATIONS DE DONNÉES

10.1 Notification

La notification décrit, dans la mesure des informations disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées pour y remédier. Les informations peuvent être communiquées de manière échelonnée.

10.2 Remédiation et coopération

Le Sous-traitant prend sans délai les mesures raisonnables pour contenir la violation, en limiter les effets et en prévenir la répétition. Il coopère avec le Responsable de traitement pour l'aider à documenter la violation et, le cas échéant, à informer l'autorité de contrôle et les personnes concernées.

La notification d'une violation ne vaut pas reconnaissance d'une faute ou d'une responsabilité du Sous-traitant.

ARTICLE 11 – DROITS DES PERSONNES CONCERNÉES

La Plateforme permet au Responsable de traitement, via ses fonctions d'administration, de répondre lui-même à la plupart des demandes d'exercice des droits des Utilisateurs (accès, rectification, suppression d'un compte, export des données de progression).

Si une personne concernée adresse directement une demande au Sous-traitant, celui-ci la transmet au Responsable de traitement dans un délai de cinq (5) jours ouvrés et n'y répond pas lui-même, sauf instruction contraire du Responsable de traitement ou obligation légale.

Lorsque le Responsable de traitement ne peut pas traiter une demande au moyen de la Plateforme, le Sous-traitant lui apporte une assistance raisonnable. Une assistance excessive, répétée ou manifestement disproportionnée pourra faire l'objet d'une facturation complémentaire, après accord préalable du Responsable de traitement.

ARTICLE 12 – AUDITS ET DOCUMENTATION

12.1 Documentation

Le Sous-traitant met à disposition du Responsable de traitement, sur demande écrite raisonnable et au plus une fois par an, la documentation nécessaire pour démontrer le respect du présent DPA : description des Mesures de sécurité, liste des Sous-traitants ultérieurs, rapports ou attestations de conformité disponibles.

12.2 Audit

Si cette documentation ne suffit pas à démontrer le respect du présent DPA, ou en cas de demande d'une autorité de contrôle, le Responsable de traitement peut faire réaliser un audit, dans les conditions suivantes :

• préavis écrit d'au moins trente (30) jours, précisant le périmètre de l'audit ;
• au plus un audit par période de douze (12) mois ;
• réalisation pendant les heures ouvrées, sans perturber l'exploitation de la Plateforme ni compromettre la sécurité ou la confidentialité des données d'autres clients ;
• auditeur indépendant soumis à une obligation de confidentialité, non concurrent du Sous-traitant ;
• coûts de l'audit à la charge du Responsable de traitement.

Les infrastructures des Sous-traitants ultérieurs (hébergement notamment) ne peuvent faire l'objet d'un audit sur site ; le Sous-traitant communique en lieu et place les certifications et rapports d'audit mis à disposition par ces prestataires.

ARTICLE 13 – DURÉE, RESTITUTION ET SUPPRESSION

Le présent DPA s'applique pendant toute la durée des Services et tant que le Sous-traitant conserve des Données du Client.

Conformément à l'article 12 des Conditions, à la cessation des Services :

• le Responsable de traitement peut demander, dans un délai de trente (30) jours, un export standard des Données du Client dans un format structuré couramment utilisé, fourni sans frais supplémentaires ;
• à défaut de demande dans ce délai, ou à l'expiration d'un délai de soixante (60) jours suivant la cessation des Services, le Sous-traitant supprime les Données du Client de ses environnements actifs ;
• les copies contenues dans les sauvegardes sont supprimées selon le cycle normal de purge des sauvegardes (voir Annexe B), et demeurent jusque-là soumises aux Mesures de sécurité ;
• le Sous-traitant peut conserver les données dont la conservation est imposée par une obligation légale, pendant la durée requise et aux seules fins de cette obligation.

Sur demande écrite, le Sous-traitant confirme par écrit la suppression des Données du Client.

ARTICLE 14 – RESPONSABILITÉ

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues à l'article 15 des Conditions, qui s'appliquent de manière globale et cumulée au présent DPA et aux Conditions.

Le Responsable de traitement garantit le Sous-traitant contre toute réclamation, sanction ou dommage résultant d'un manquement du Responsable de traitement à la Législation applicable, notamment en cas d'absence de base légale, d'information insuffisante des personnes concernées ou d'instructions illicites.

ARTICLE 15 – DISPOSITIONS GÉNÉRALES

Le Sous-traitant peut mettre à jour le présent DPA pour tenir compte de l'évolution de la Législation applicable, des Services ou des Sous-traitants ultérieurs, dans les conditions prévues à l'article 18.2 des Conditions. La version en vigueur est publiée sur la présente page.

Le présent DPA est régi par le droit français. Tout différend relatif à sa validité, son interprétation ou son exécution relève de la compétence exclusive du Tribunal de commerce de Paris, conformément à l'article 19 des Conditions.

ANNEXE A – DESCRIPTION DU TRAITEMENT

A.1 Objet et nature du traitement

Mise à disposition, hébergement, exploitation, maintenance et support d'une plateforme d'apprentissage en ligne (LMS) permettant au Responsable de traitement de créer et déployer des parcours de formation, de mettre à disposition des Agents IA auprès des apprenants et de suivre leur progression. Opérations de traitement : collecte, enregistrement, organisation, conservation, consultation, utilisation, communication aux Sous-traitants ultérieurs, effacement.

A.2 Finalités

• création et gestion des comptes Utilisateurs et de leurs rôles ;
• mise à disposition des parcours de formation, des leçons et des exercices ;
• fonctionnement des Agents IA (réponses aux questions des apprenants, accompagnement, corrections, synthèses) ;
• suivi de la progression, de l'engagement et des résultats des apprenants, et restitution de ces informations au Responsable de traitement ;
• envoi de notifications et de communications liées à la formation (invitations, rappels, relances) ;
• support technique et fonctionnel ;
• sécurité, journalisation et prévention des abus.

A.3 Catégories de personnes concernées

• administrateurs et formateurs du Responsable de traitement (salariés, prestataires) ;
• apprenants / élèves inscrits par le Responsable de traitement (salariés, étudiants, membres, clients du Responsable de traitement) ;
• le cas échéant, contacts du Responsable de traitement destinataires de communications envoyées via la Plateforme.

A.4 Catégories de données à caractère personnel

Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est requise par la Plateforme. Le Responsable de traitement s'engage à ne pas en transmettre (article 4).

A.5 Durée du traitement

Pendant la durée des Services, puis jusqu'à la suppression des Données du Client dans les conditions de l'article 13 (au plus tard soixante (60) jours après la cessation des Services, hors sauvegardes et obligations légales de conservation).

ANNEXE B – MESURES TECHNIQUES ET ORGANISATIONNELLES

Agents IA

• les Données du Client transmises aux fournisseurs de modèles d'IA le sont sous contrat interdisant leur utilisation pour l'entraînement des modèles ;
• seules les données nécessaires à la génération d'une réponse sont transmises, pour la durée de la requête ;
• les résultats générés sont conservés sur l'infrastructure européenne du Sous-traitant.

ANNEXE C – LISTE DES SOUS-TRAITANTS ULTÉRIEURS

Liste en vigueur à la date de publication de la présente version. Elle peut être modifiée à tout moment, sans préavis, dans les conditions de l'article 7.2 ; la version publiée sur cette page fait foi.