Accord de traitement des données

1. Objet et durée

Le sous-traitant héberge et traite les données de l'organisme pour lui fournir PRIME, pendant toute la durée de l'utilisation, puis pendant la période de restitution prévue à l'article 10.

2. Finalités du traitement

• Gestion administrative et pédagogique des formations : inscriptions, conventions, convocations, présence et émargement, attestations et certificats.
• Suivi de la qualité et préparation des audits Qualiopi : preuves, indicateurs, non-conformités, réclamations, enquêtes de satisfaction.
• Signature électronique des documents.
• Communication avec les utilisateurs : notifications, e-mails, codes de vérification.
• Sécurité du service : journaux de connexion et d'activité, détection des intrusions, sauvegardes.

3. Personnes et données concernées

Personnes : stagiaires et apprenants, candidats, formateurs, salariés de l'organisme, contacts des entreprises et financeurs, auditeurs invités.

Données : identité, coordonnées, parcours et résultats de formation, présence, évaluations, documents déposés, signatures et leurs preuves (date, heure, adresse IP), réclamations et signalements, journaux de connexion.

Certaines informations peuvent être sensibles (adaptations liées à un handicap, signalements de harcèlement, de violences ou de discriminations). L'organisme s'engage à n'enregistrer que ce qui est nécessaire, sur une base légale valable. PRIME en limite l'accès aux rôles habilités et anonymise automatiquement les signalements après la durée de conservation choisie.

4. Instructions de l'organisme

Le sous-traitant ne traite les données que sur instruction documentée de l'organisme : les présentes conditions et les réglages que l'organisme fait dans PRIME (droits des utilisateurs, durées de conservation, envois en signature…). Si une instruction lui paraît contraire au RGPD, il en informe immédiatement l'organisme.

5. Confidentialité

Les personnes qui travaillent pour le sous-traitant sont tenues à la confidentialité. Elles ne consultent jamais le contenu de l'espace d'un organisme, sauf lorsque l'organisme ouvre lui-même un accès d'assistance : cet accès est temporaire, en lecture seule, et chaque page consultée est enregistrée dans le journal de l'organisme.

6. Mesures de sécurité

• Hébergement sur un serveur situé en France, chez OVH SAS.
• Connexions chiffrées (HTTPS) ; documents chiffrés au repos (AES-256) avec des clés propres à la plateforme.
• Cloisonnement strict entre organismes, vérifié par des tests automatiques.
• Double authentification obligatoire pour les rôles sensibles ; verrouillage après plusieurs échecs ; détection des mots de passe compromis ; déconnexion des appareils à distance.
• Droits d'accès par rôle, confidentialité renforcée de certains documents, liens de téléchargement temporaires.
• Antivirus et contrôle des fichiers déposés ; mise en quarantaine des fichiers suspects.
• Journal d'activité infalsifiable (chaîne d'empreintes) et alertes de sécurité.
• Sauvegardes chiffrées chaque nuit, dont une copie hors du serveur, avec test régulier de restauration.
• Mises à jour de sécurité régulières du système et des composants.

7. Sous-traitants ultérieurs

L'organisme autorise le sous-traitant à faire appel aux prestataires suivants, tenus aux mêmes obligations :

• OVH SAS (2 rue Kellermann, 59100 Roubaix, France) : hébergement du serveur et des sauvegardes, en France.
• Le prestataire d'envoi des e-mails de la plateforme (adresse d'expédition dédiée) : acheminement des notifications et des codes de vérification.
• Uniquement si l'organisme active l'assistant IA : Anthropic PBC (États-Unis), fournisseur du modèle d'intelligence artificielle. Les données personnelles sont masquées avant envoi et les documents marqués comme personnels ne sont jamais transmis. Le transfert est encadré par les clauses contractuelles types de la Commission européenne.

Le sous-traitant informe l'organisme de tout ajout ou remplacement au moins 30 jours à l'avance ; l'organisme peut s'y opposer et, à défaut d'accord, cesser d'utiliser PRIME.

8. Droits des personnes et assistance

PRIME permet à l'organisme de répondre aux demandes des personnes : consultation, correction, export et suppression des dossiers. Si une personne s'adresse directement au sous-traitant, celui-ci transmet la demande à l'organisme sans y répondre lui-même. Le sous-traitant aide l'organisme, sur demande, pour ses analyses d'impact et ses échanges avec la CNIL.

9. Violation de données

Le sous-traitant informe l'organisme de toute violation de données le concernant sans délai et au plus tard 48 heures après en avoir eu connaissance, avec les informations disponibles (nature, données et personnes concernées, conséquences probables, mesures prises). Il revient à l'organisme de notifier la CNIL et, si nécessaire, les personnes concernées.

10. Fin du contrat : restitution et suppression

À la fin de l'utilisation, l'organisme dispose de 30 jours pour exporter ses données depuis PRIME. Elles sont ensuite supprimées du service. Les copies présentes dans les sauvegardes chiffrées disparaissent au fil de leur renouvellement, au plus tard 12 mois après. Pendant l'utilisation, PRIME supprime ou anonymise automatiquement les données qui ont dépassé les durées de conservation réglées par l'organisme.

11. Contrôle

Le sous-traitant met à disposition de l'organisme la documentation démontrant le respect du présent accord. L'organisme peut faire réaliser un audit à ses frais, par un auditeur tenu au secret, avec un préavis d'au moins 30 jours et sans perturber le service ni accéder aux données des autres organismes.

12. Contact

Pour toute question sur la protection des données : contactprime.formation@gmail.com.