1. Parties et rôles
Le présent accord lie :
1. le client identifié dans le devis, la commande ou le compte EuduGrade, ci-après le « Responsable du traitement » ;
2. Jimmy FELIX, entrepreneur individuel exerçant sous le nom commercial EUDUC, SIREN 984 787 549, 142 rue de Rivoli, 75001 Paris, France, ci-après le « Sous-traitant ».
Lorsqu’un enseignant intervient sous l’autorité d’un établissement, l’établissement demeure normalement le responsable du traitement et l’enseignant est un utilisateur autorisé. L’enseignant garantit ne pas engager l’établissement sans pouvoir ou autorisation.
2. Objet et durée
Le Sous-traitant traite les données nécessaires à la fourniture d’EuduGrade, notamment pour créer les espaces pédagogiques, organiser les rendus, recevoir des fichiers ou liens, permettre leur consultation, enregistrer les évaluations et fournir l’assistance.
Le traitement dure pendant la relation contractuelle, puis pendant le délai nécessaire à la restitution ou à la suppression sécurisée des données, sous réserve des obligations légales.
3. Description du traitement
Nature des opérations
Collecte, enregistrement, organisation, structuration, hébergement, consultation, affichage, transmission contrôlée, sauvegarde, export, limitation et suppression.
Finalités
- gestion des listes et groupes d’étudiants ;
- programmation et réception des rendus ;
- consultation et correction ;
- notation, appréciation et retour pédagogique ;
- gestion des tentatives ou versions autorisées ;
- assistance, maintenance et sécurité.
Personnes concernées
Étudiants, apprenants, candidats, enseignants, formateurs, correcteurs, administrateurs et représentants du client.
Catégories de données
- identité et coordonnées pédagogiques ;
- groupe, classe, promotion ou identifiant interne ;
- consignes et métadonnées des rendus ;
- fichiers, productions et liens externes ;
- notes, critères, statuts, appréciations et commentaires ;
- dates et heures de dépôt, consultation ou correction ;
- données de connexion, journaux techniques et événements de sécurité ;
- échanges d’assistance liés au service.
Le service n’est pas destiné à traiter des catégories particulières de données au sens de l’article 9 du RGPD, sauf accord écrit et mesures spécifiques préalables.
4. Instructions
Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable du traitement. Les présentes conditions, la configuration du compte, les actions des utilisateurs autorisés et les demandes écrites constituent des instructions documentées.
Si une instruction paraît contraire au RGPD ou au droit applicable, le Sous-traitant en informe le Responsable du traitement et peut suspendre son exécution dans l’attente d’une clarification.
5. Obligations du Responsable du traitement
Le Responsable du traitement :
- garantit la licéité du traitement et des instructions ;
- détermine les finalités et la base juridique ;
- informe les personnes concernées ;
- collecte uniquement les données nécessaires ;
- définit les habilitations et durées de conservation ;
- répond aux demandes et contestations pédagogiques ;
- veille à ce que ses utilisateurs respectent la confidentialité ;
- réalise, lorsque nécessaire, une analyse d’impact ;
- n’utilise pas le service pour des données sensibles sans encadrement spécifique.
6. Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à leurs fonctions.
7. Sécurité
Le Sous-traitant met en œuvre des mesures proportionnées aux risques, pouvant notamment comprendre :
- chiffrement des communications ;
- hachage sécurisé des mots de passe ;
- contrôle et limitation des accès ;
- séparation logique des espaces clients ;
- journalisation des événements de sécurité ;
- sauvegardes et procédures de restauration ;
- maintenance et mises à jour ;
- procédures de gestion des incidents ;
- mesures encadrant les prestataires techniques.
Le Responsable du traitement reconnaît que la sécurité dépend également de la configuration des comptes, des habilitations et des services externes qu’il autorise.
8. Liens vidéo externes
Pour un rendu transmis par lien, EuduGrade conserve l’URL et les métadonnées nécessaires mais n’importe pas automatiquement le fichier vidéo. La vidéo reste hébergée auprès du fournisseur choisi par l’étudiant.
Le Responsable du traitement détermine les fournisseurs autorisés, informe les étudiants des risques liés au partage et fixe la date jusqu’à laquelle le lien doit rester actif.
YouTube, Google Drive ou un autre fournisseur externe peut traiter des données sous sa propre responsabilité lorsque son service est utilisé. Ces fournisseurs ne deviennent pas, du seul fait du dépôt d’un lien par l’étudiant, des sous-traitants d’EUDUC pour l’hébergement de la vidéo.
9. Sous-traitants ultérieurs
Le Responsable du traitement autorise de manière générale le recours aux sous-traitants ultérieurs nécessaires à l’hébergement, l’authentification, l’envoi de messages, la maintenance, la sauvegarde et la sécurité.
Le Sous-traitant tient à disposition une liste actualisée. Il informe le Responsable du traitement d’un ajout ou remplacement significatif, afin de lui permettre d’émettre une objection motivée fondée sur la protection des données.
Hostinger International Limited, établi à Chypre, assure l’hébergement principal.
Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection substantiellement équivalentes à celles du présent accord.
10. Transferts hors Espace économique européen
Le Sous-traitant privilégie des traitements dans l’Espace économique européen. Tout transfert relevant de sa responsabilité est fondé sur un mécanisme reconnu par le RGPD et, lorsque nécessaire, sur des mesures supplémentaires.
Le Responsable du traitement reste responsable du choix d’un service externe vers lequel il demande ou autorise l’envoi de données en dehors du fonctionnement propre d’EuduGrade.
11. Droits des personnes
Le Sous-traitant transmet au Responsable du traitement toute demande reçue concernant les données traitées pour son compte et lui apporte, compte tenu de la nature du traitement, une assistance raisonnable pour rechercher, rectifier, exporter, limiter ou supprimer les données.
Le Responsable du traitement demeure chargé de répondre à la personne concernée, sauf accord écrit contraire.
12. Violation de données
Le Sous-traitant informe le Responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation concernant les données traitées pour son compte.
Dans la mesure des informations disponibles, la notification précise :
- la nature de l’incident ;
- les catégories de données et personnes concernées ;
- les conséquences probables ;
- les mesures prises ou proposées ;
- le point de contact pour le suivi.
Le Responsable du traitement décide des notifications à l’autorité et aux personnes concernées. Le Sous-traitant lui fournit l’assistance nécessaire.
13. Assistance à la conformité
Compte tenu des informations dont il dispose, le Sous-traitant assiste le Responsable du traitement concernant la sécurité, les violations, les analyses d’impact et les consultations préalables. Les prestations dépassant l’assistance standard peuvent faire l’objet d’un devis lorsqu’elles nécessitent un travail spécifique important.
14. Sort des données
À la fin du contrat, le Responsable du traitement peut demander l’export des données dans un format raisonnablement disponible.
À l’issue de la période annoncée, le Sous-traitant supprime ou anonymise les données, sauf obligation légale de conservation. Les copies résiduelles présentes dans les sauvegardes sont supprimées selon le cycle sécurisé applicable et restent protégées jusqu’à leur effacement.
La suppression d’un lien dans EuduGrade ne supprime pas la vidéo ou le document du compte externe de l’étudiant.
15. Documentation et audit
Le Sous-traitant met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord.
En cas de doute sérieux et documenté, le Responsable du traitement peut demander un audit, en priorité documentaire, moyennant un préavis raisonnable, pendant les heures ouvrées et sans compromettre la sécurité, la confidentialité des autres clients ou les secrets protégés.
Sauf manquement constaté imputable au Sous-traitant, les coûts d’un audit spécifique demandé par le Responsable du traitement sont à sa charge.
16. Contact et ordre de priorité
Contact protection des données : infos@euduc.com.
Le présent accord complète les CGV, les CGU, le devis ou le contrat principal. En cas de contradiction concernant la protection des données traitées pour le compte du client, le présent accord prévaut.