Contrat de sous-traitance des données personnelles

Ce contrat, conclu conformément à l’article 28 du règlement (UE) 2016/679 (RGPD), fait partie des conditions générales et s’accepte à l’inscription sur ClaseAlDía.

1. Parties

• Responsable de traitement : le client, professeur ou structure qui s’inscrit au Service.
• Sous-traitant : l’éditeur de ClaseAlDía, identifié dans les mentions légales.

2. Objet

Le sous-traitant traite des données personnelles pour le compte du responsable de traitement exclusivement pour fournir le Service : héberger et traiter les données des élèves et des familles saisies par le responsable, gérer horaires, présences, messages et paiements, et envoyer des e-mails en son nom.

3. Durée

Le contrat dure tant que le responsable de traitement détient un compte sur le Service et jusqu’à la restitution ou la suppression des données conformément à l’article 11.

4. Nature et finalité du traitement

Hébergement, conservation, consultation, organisation, communication par e-mail, export et suppression de données, selon les fonctionnalités du Service et les instructions du responsable de traitement.

5. Types de données et catégories de personnes concernées

• Types de données : données d’identification et de contact des élèves et des familles (nom, prénom, année de naissance, e-mail, téléphone) ; données d’inscription et d’horaires ; relevés de présence et observations associées ; données de cotisations et de paiements (montant, intitulé, statut, date, moyen) ; messages envoyés et notes saisies par le responsable.
• Personnes concernées : les élèves, y compris les mineurs, et leurs proches ou tuteurs. Également les professeurs ou utilisateurs que le responsable ajoute.
• Le responsable s’engage à ne pas saisir de catégories particulières de données (santé, religion, etc.) sauf nécessité absolue et sous sa responsabilité, en l’évitant dans les champs de notes.

6. Obligations du sous-traitant

• Traiter les données uniquement sur instruction documentée du responsable, c’est-à-dire celles du présent contrat et de l’usage que celui-ci fait du Service. S’il estime qu’une instruction enfreint la réglementation, il en informe le responsable.
• Ne pas utiliser les données pour ses propres besoins ni les communiquer à des tiers, sauf aux sous-traitants ultérieurs autorisés ou en vertu d’une obligation légale.
• Veiller à ce que les personnes ayant accès aux données soient tenues à la confidentialité.
• Appliquer les mesures de sécurité de l’article 8.
• Mettre à la disposition du responsable les informations nécessaires pour démontrer le respect du présent contrat et permettre des audits raisonnables, sur préavis et sans perturber le Service.

7. Sous-traitants ultérieurs

Le responsable donne une autorisation générale pour le recours aux sous-traitants ultérieurs suivants :

Stripe n’intervient que dans l’encaissement de l’abonnement du responsable et ne reçoit aucune donnée d’élèves ni de familles. Le sous-traitant informera le responsable de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis raisonnable, afin qu’il puisse s’y opposer ; si l’opposition est fondée et qu’il n’existe pas d’alternative, le responsable pourra résilier le Service. Le sous-traitant imposera aux sous-traitants ultérieurs des obligations équivalentes et répondra devant le responsable de leur exécution. Les transferts internationaux reposent sur les clauses contractuelles types ou sur le cadre de protection des données UE–États-Unis.

8. Mesures de sécurité

• Chiffrement des communications (HTTPS).
• Mots de passe conservés avec hachage salé, sans possibilité de les récupérer.
• Contrôle d’accès par rôle : les professeurs n’accèdent qu’à leurs groupes et ne voient pas les paiements.
• Liens du portail des familles à identifiants aléatoires que le responsable peut régénérer.
• Limitation des tentatives de connexion et des envois.
• Possibilité pour le responsable d’exporter et de supprimer lui-même les données.

9. Assistance au responsable

Compte tenu de la nature du traitement, le sous-traitant aidera le responsable à répondre aux demandes d’exercice des droits des personnes (accès, rectification, effacement, opposition, limitation et portabilité). Le Service permet au responsable d’effectuer la plupart de ces actions lui-même (modifier, exporter, désactiver ou supprimer définitivement). Si le sous-traitant reçoit une demande d’une personne concernée, il la transmet sans délai au responsable. Il l’aidera aussi, dans la mesure du raisonnable, pour les analyses d’impact et consultations préalables qui s’imposent.

10. Violations de données

Le sous-traitant notifiera au responsable, dans les meilleurs délais et au plus tard sous 72 heures après en avoir pris connaissance, toute violation de données personnelles, avec les informations disponibles : nature, données et personnes concernées, conséquences probables et mesures prises ou proposées. La notification à l’autorité de contrôle (l’AEPD, la CNIL, l’APD belge ou une autre, selon le cas) et aux personnes concernées, lorsqu’elle est requise, incombe au responsable.

11. Restitution et suppression des données

À la fin du contrat, le responsable peut exporter ses données depuis l’application, y compris en lecture seule. Il peut supprimer sa structure à tout moment, ce qui efface définitivement les données. À défaut, le sous-traitant pourra supprimer les données après un délai raisonnable suivant la fin du Service, sur préavis, sauf obligation légale de conservation.

12. Obligations du responsable de traitement

• Disposer d’une base légale pour traiter les données et avoir informé les personnes concernées.
• Recueillir l’autorisation des parents ou tuteurs des mineurs lorsque le droit qui lui est applicable l’exige.
• Ne saisir que les données nécessaires et les tenir à jour.
• Gérer les accès de ses utilisateurs et protéger les liens du portail des familles.

13. Droit applicable et langue

Ce contrat est régi par le RGPD, la loi organique espagnole 3/2018 (LOPDGDD) et les autres dispositions espagnoles applicables. Cette traduction est fournie pour votre commodité ; en cas de divergence, la version espagnole prévaut.