Annexe RGPD — sous-traitance

1. Objet

La présente annexe définit les conditions dans lesquelles Robot et Dragon (le « Sous-traitant »), éditeur du service Wazadō, traite des données à caractère personnel pour le compte de l’établissement souscripteur (le « Responsable de traitement »), dans le cadre de l’exécution du contrat de fourniture du service.

Le Responsable de traitement demeure seul décisionnaire quant aux finalités et aux moyens du traitement des données de ses apprenants et formateurs. Le Sous-traitant agit uniquement sur instruction documentée du Responsable de traitement.

2. Description du traitement

• Nature des opérations : hébergement, stockage, affichage et sauvegarde des données de comptes, de progression pédagogique et de contenu créé par les formateurs.
• Finalité : fourniture du service de suivi de progression pédagogique Wazadō.
• Catégories de données : identité (nom, prénom, email), mot de passe chiffré, données de progression (compétences en cours/acquises, badges), contenu pédagogique créé par les formateurs.
• Catégories de personnes concernées : formateurs, apprenants (y compris mineurs), administrateurs de l’organisation cliente.
• Durée du traitement : durée du contrat, puis 12 mois après suppression du compte ou fin du contrat, sauf obligation légale de conservation plus longue (factures : 10 ans).

3. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

1. traiter les données uniquement sur instruction documentée du Responsable de traitement, y compris pour les transferts vers un pays tiers, sauf obligation légale contraire ;
2. garantir la confidentialité des personnes autorisées à traiter les données ;
3. mettre en œuvre les mesures de sécurité prévues à l'article 32 du RGPD (voir article 6 ci-dessous) ;
4. respecter les conditions de recours à un sous-traitant ultérieur prévues à l’article 4 ;
5. aider le Responsable de traitement, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées ;
6. notifier le Responsable de traitement de toute violation de données dans un délai de 72 heures après en avoir pris connaissance ;
7. aider le Responsable de traitement à assurer le respect des obligations relatives à la sécurité, aux analyses d'impact et à la consultation de l'autorité de contrôle ;
8. supprimer ou restituer, au choix du Responsable de traitement, l'ensemble des données à caractère personnel à la fin de la relation contractuelle, et détruire les copies existantes, sauf obligation légale de conservation ;
9. mettre à disposition du Responsable de traitement toute information nécessaire pour démontrer le respect des obligations prévues par le RGPD, et permettre la réalisation d’audits.

4. Sous-traitants ultérieurs

Le Responsable de traitement est informé et accepte que le Sous-traitant fasse appel aux sous-traitants ultérieurs suivants :

• IONOS SARL (France) — hébergement.
• Mollie (Pays-Bas) — traitement des paiements des offres payantes.

Le Sous-traitant informera le Responsable de traitement de tout changement prévu concernant l’ajout ou le remplacement d’un sous-traitant, lui donnant ainsi la possibilité d’émettre des objections.

5. Transferts hors UE

À la date de publication de cette annexe, l'ensemble des traitements et sous-traitants ultérieurs mentionnés à l'article 4 sont localisés dans l'Union européenne. En cas d'évolution nécessitant un transfert hors UE, le Sous-traitant s'engage à en informer préalablement le Responsable de traitement et à mettre en place les garanties appropriées (clauses contractuelles types de la Commission européenne ou équivalent).

6. Mesures de sécurité

• Chiffrement des mots de passe.
• Connexion chiffrée (HTTPS) pour l'ensemble des échanges entre l'utilisateur et le service.
• Sauvegardes régulières des données.
• Isolation logique des données entre organisations clientes (architecture multi-tenant avec cloisonnement par organisation).
• Accès interne restreint aux seules personnes habilitées.

7. Sort des données en fin de contrat

À la fin du contrat, quelle qu’en soit la cause, le Sous-traitant s’engage à :

• restituer au Responsable de traitement, dans un format exploitable, l'ensemble des données lui appartenant, dans un délai de 30 jours ;
• procéder à la suppression définitive des données dans un délai de 12 mois après la restitution, sauf obligation légale de conservation contraire.

8. Responsabilité

Chaque partie est responsable des dommages causés par un manquement à ses propres obligations au titre du RGPD et de la présente annexe.