Accord de traitement des données

1. Objet et parties

Le présent accord (l'« Accord ») précise les conditions dans lesquelles Studeva, société par actions simplifiée au capital de 1 000,00 €, 173 rue de Courcelles, 75017 Paris, RCS Paris 131 961 583, traite des données personnelles pour le compte du Client, en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »).

Pour ces données, le Client est responsable de traitement et Studeva est sous-traitant. L'Accord fait partie des conditions générales de vente (« CGV ») et est accepté avec elles ; les termes définis dans les CGV y ont le même sens. En cas de contradiction, l'Accord prévaut sur les CGV pour ce qui concerne la protection des données personnelles.

2. Description du traitement

Objet: Fourniture de la Plateforme : hébergement des Espaces, diffusion des modules de formation, organisation des sessions, suivi des apprenants, attestations, suivi qualité.
Durée: La durée du contrat, puis le délai de suppression prévu à l'article 11.
Nature: Collecte, enregistrement, hébergement, organisation, consultation, calcul de statistiques, génération de documents, envoi de courriels, export, effacement.
Finalités: Celles que détermine le Client, notamment : gestion des formations et des inscriptions, suivi pédagogique, preuves de réalisation et d'assiduité (Qualiopi), enquêtes de satisfaction, traitement des réclamations, aménagements pour les personnes en situation de handicap.
Personnes concernées: Les Utilisateurs de l'Espace du Client : apprenants, formateurs, administrateurs.
Catégories de données: Identification : nom, prénom, adresse e-mail ou identifiant, société, service, rôle.
Connexion : dates de connexion, journal des connexions.
Suivi pédagogique : inscriptions, progression, temps passé, tentatives, scores, réponses aux questions et aux évaluations, positionnement, attestations, relevés d'assiduité, accusés de lecture de documents.
Qualité : réponses aux enquêtes, réclamations.
Contenus déposés par le Client et ses Utilisateurs.
Données sensibles: Les besoins d'aménagement déclarés par un apprenant peuvent révéler des données de santé (article 9 du RGPD). La Plateforme ne les recueille qu'avec le consentement explicite de l'apprenant, enregistré et daté, et les efface lorsqu'il retire sa demande ou lorsque son compte est anonymisé.

3. Obligations du Client

Le Client :

dispose d'une base légale pour chaque traitement qu'il réalise au moyen de la Plateforme et informe les personnes concernées ;
ne donne à Studeva que des instructions conformes au RGPD ;
ne dépose sur la Plateforme que les données nécessaires à ses finalités ;
répond des données qu'il choisit de transmettre hors de la Plateforme, notamment par les webhooks, les exports ou l'authentification unique (SSO) qu'il configure.

4. Instructions

Studeva ne traite les données que sur instruction documentée du Client. Constituent ces instructions : les CGV, le présent Accord, et les choix que le Client exprime dans les réglages et l'usage de la Plateforme. Studeva informe immédiatement le Client si une instruction lui paraît contraire au RGPD ou à une autre disposition du droit de l'Union ou d'un État membre.

Si le droit de l'Union ou d'un État membre impose à Studeva un traitement non prévu par ces instructions, elle en informe le Client avant de le réaliser, sauf si la loi l'interdit.

5. Confidentialité

Les personnes autorisées par Studeva à traiter les données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à l'exécution du contrat.

6. Sécurité

Studeva met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, qui garantissent un niveau de sécurité adapté au risque (article 32 du RGPD). Elle peut les faire évoluer, à condition de ne pas réduire le niveau de protection.

7. Sous-traitants ultérieurs

Le Client autorise de manière générale Studeva à recourir aux sous-traitants ultérieurs listés en annexe 1.

Studeva informe les Administrateurs par courriel de tout ajout ou remplacement au moins trente (30) jours à l'avance. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données, par courriel à contact@studeva.fr, avant l'expiration de ce délai. À défaut de solution, il peut résilier son Abonnement sans pénalité, avec remboursement de la part payée d'avance et non consommée.

Studeva impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles de l'Accord, et reste responsable envers le Client de leur respect.

8. Localisation et transferts

Les données sont hébergées dans l'Union européenne. Studeva ne les transfère pas hors de l'Union européenne. Tout transfert futur serait notifié au Client dans les conditions de l'article 7 et encadré par l'une des garanties prévues au chapitre V du RGPD.

9. Assistance au Client

Droits des personnes : la Plateforme permet au Client de consulter, rectifier, exporter et supprimer les données de ses Utilisateurs. Studeva transmet au Client, sans délai, toute demande d'exercice de droits qu'elle reçoit directement, sans y répondre elle-même sauf instruction du Client.
Sécurité, analyse d'impact et consultation préalable : Studeva fournit au Client, sur demande, les informations dont elle dispose pour l'aider à remplir ces obligations.

10. Violations de données

Studeva notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par courriel aux Administrateurs. La notification décrit, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables, les mesures prises ou envisagées, et un point de contact. Les informations non disponibles sont communiquées dès qu'elles le sont.

Il appartient au Client, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées.

11. Conservation et fin du traitement

Pendant le contrat

Les données sont conservées selon l'usage qu'en fait le Client. La Plateforme applique en outre à tous les Espaces les règles automatiques suivantes, que le Client accepte comme instructions :

un compte resté sans connexion pendant cinquante-six (56) semaines est anonymisé, après deux relances par courriel à cinquante-deux (52) et cinquante-cinq (55) semaines ;
les entrées du journal des connexions sont effacées au bout de douze (12) mois.

Il appartient au Client d'exporter, avant ces échéances, les éléments qu'il est tenu de conserver plus longtemps, notamment au titre de la certification Qualiopi.

À la fin du contrat

La fin d'un Abonnement n'entraîne aucune suppression : l'Espace repasse en mode démo (CGV, article 21). À la fermeture de l'Espace, Studeva supprime les données du Client dans un délai de trente (30) jours ; les copies présentes dans les sauvegardes disparaissent au terme de leur rotation, au plus tard six (6) semaines après la suppression. Avant la fermeture, le Client peut exporter ses données ou en obtenir une copie dans un format standard. Studeva confirme la suppression par écrit sur demande.

12. Documentation et audit

Studeva met à la disposition du Client les informations nécessaires pour démontrer le respect de l'Accord. Le Client peut faire réaliser un audit, au plus une fois par période de douze (12) mois sauf violation de données, moyennant un préavis de trente (30) jours, par un auditeur indépendant tenu au secret et non concurrent de Studeva. L'audit est à la charge du Client, se déroule pendant les heures ouvrées sans perturber le service ni compromettre les données des autres clients, et son rapport est communiqué à Studeva.

13. Registre

Studeva tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).

14. Durée et responsabilité

L'Accord s'applique tant que Studeva traite des données pour le compte du Client. La responsabilité des parties est régie par l'article 18 des CGV, sans préjudice de l'article 82 du RGPD.

Annexe 1 — Sous-traitants ultérieurs

Scaleway SAS: 8 rue de la Ville-l'Évêque, 75008 Paris, France. Hébergement des serveurs et de la base de données, stockage des fichiers, sauvegardes, envoi des courriels transactionnels. Localisation : Union européenne ; sauvegardes en France (région Paris).

La mesure d'audience du site et la surveillance technique de la Plateforme sont opérées par Studeva elle-même, sur ses propres serveurs. Le prestataire de paiement (Stripe) ne reçoit aucune donnée des Utilisateurs de l'Espace : il ne traite que les données de facturation du Client, pour le compte de Studeva.

Annexe 2 — Mesures de sécurité

Cloisonnement : les données de chaque Espace sont isolées de celles des autres clients ; les lectures et écritures en base sont filtrées automatiquement sur l'organisation de l'utilisateur connecté, au niveau de la couche d'accès aux données.
Contrôle d'accès : rôles et permissions par Espace ; accès aux serveurs et aux données réservé aux personnes habilitées de Studeva.
Authentification : mots de passe hachés avec Argon2 ; authentification unique (SAML, OpenID Connect) au choix du Client ; liens de connexion à usage unique et limités dans le temps ; limitation du nombre de requêtes contre les attaques par force brute.
Chiffrement : communications chiffrées (HTTPS) ; secrets de configuration (dont ceux de l'authentification unique) chiffrés au repos en AES-256-GCM.
Sauvegardes : base de données sauvegardée chaque nuit (complète chaque semaine, différentielle les autres jours), chiffrée en AES-256 et conservée environ cinq (5) semaines ; fichiers sauvegardés toutes les heures, conservés quarante-huit (48) heures puis une copie par jour pendant trente (30) jours. Les sauvegardes sont stockées hors du serveur de production, dans un stockage objet dédié.
Journalisation et surveillance : journaux techniques conservés trente (30) jours, journal des connexions douze (12) mois, supervision continue et alertes.
Minimisation : anonymisation automatique des comptes inactifs (article 11) ; aucune donnée des Utilisateurs utilisée à d'autres fins que la fourniture du service.