1. Objet, parties et durée
Cette annexe accompagne les conditions d’abonnement et le devis accepté pour les services de la marque DIDATEC Campus. DIDATEC, SAS, ZAC du Parc, 42490 Fraisses, RCS Saint-Étienne 444 784 953, intervient comme sous-traitant pour les opérations pédagogiques définies ci-dessous. Le client identifié dans le devis détermine les finalités de ces opérations et intervient comme responsable de traitement. S’il agit lui-même pour un autre responsable, il communique cette qualité et les instructions applicables avant tout traitement.
Le devis et ses pièces acceptées précisent les machines, modules, utilisateurs autorisés, dates et interlocuteurs du client. L’annexe entre en vigueur avec le contrat, avant tout traitement pour le compte du client, et s’applique jusqu’à restitution ou suppression des données. Les obligations de confidentialité perdurent après la fin de l’accès.
Pour les données confiées au titre du service, cette annexe prévaut sur une clause générale contradictoire. Elle ne transforme pas les traitements propres à DIDATEC, notamment la facturation ou l’audience facultative du site, en traitements réalisés sur instruction du client : ceux-ci relèvent de la politique de confidentialité.
2. Traitements confiés
| Finalités | Fournir les espaces formateurs et apprenants ; organiser les groupes et activités ; produire, distribuer, corriger et suivre les travaux ; préparer les parcours et dossiers pédagogiques, dont F-GAS III lorsque le module est utilisé ; assurer l’assistance, la sécurité et la restitution. |
|---|---|
| Personnes concernées | Administrateurs de l’établissement, formateurs, intervenants, apprenants et candidats désignés par le client. |
| Données | Identifiants de compte, coordonnées nécessaires, appartenance à l’établissement et aux groupes, habilitations, travaux et pièces importées, réponses, résultats, corrections, progression, éléments de dossiers pédagogiques et traces techniques nécessaires. Pour les fonctions d’IA utilisées : consignes, extraits de documents et contexte envoyés au service. |
| Opérations | Collecte et importation, organisation, hébergement, consultation, calcul et génération à la demande, partage entre utilisateurs habilités, exportation, sauvegarde, assistance et effacement. |
| Durée | Pendant le contrat et, après sa fin, uniquement pour la restitution, la suppression et les exceptions légales précisées à l’article 8. |
Le client limite les données aux besoins de la formation. Le service n’a pas pour objet de recueillir des données de santé, données biométriques, opinions, condamnations ou autres données particulièrement protégées. Un besoin de cette nature exige un examen préalable et des conditions écrites adaptées ; il ne doit pas être introduit dans un document ou une consigne d’IA par défaut.
3. Instructions et responsabilités
Le contrat, les réglages et actions des utilisateurs habilités, ainsi que les demandes écrites de l’interlocuteur autorisé, constituent les instructions du client. DIDATEC traite les données dans ce seul périmètre, sans les vendre, les utiliser pour sa prospection ni constituer une base d’apprentissage d’IA pour son propre compte. Toute utilisation supplémentaire requiert un cadre juridique et des instructions appropriés.
DIDATEC signale sans délai une instruction qu’elle estime contraire au droit applicable et sollicite sa clarification avant de l’exécuter. Si une disposition légale impose un traitement ou un transfert, DIDATEC en informe le client avant l’opération, sauf interdiction légale.
Le client détermine les bases légales, informe les personnes, administre les habilitations, fournit des données pertinentes et définit les durées pédagogiques nécessaires. Il indique les obligations propres à ses dossiers, notamment d’examen ou F-GAS III : Campus ne constitue pas par défaut un service d’archivage légal. Les décisions d’évaluation et les validations pédagogiques restent sous le contrôle des personnes habilitées par le client.
4. Confidentialité et sécurité
DIDATEC s’engage à adapter la sécurité aux risques et à réserver l’accès aux personnes habilitées, soumises à une obligation de confidentialité et informées de leurs responsabilités. Les mesures couvertes par cet engagement comprennent :
- la protection des échanges par HTTPS et des restitutions par un canal protégé, avec contrôle de l’identité et de l’habilitation du destinataire ;
- des accès nominatifs, la limitation des droits au besoin d’en connaître, la séparation logique des espaces clients et la révocation des accès devenus inutiles ;
- la protection des secrets techniques et des accès d’administration, la mise à jour des composants et le traitement des vulnérabilités selon leur gravité ;
- la surveillance des incidents, des journaux limités au nécessaire, des sauvegardes protégées et des procédures de restauration et de suppression ;
- une revue documentée des habilitations, des mesures et de la restauration au moins annuelle, et après un changement significatif ou un incident.
Le client protège les postes et identifiants qu’il administre, retire les comptes des personnes qui quittent son organisation et signale les anomalies. Aucun engagement de certification, de disponibilité chiffrée ou de chiffrement intégral au repos ne découle de cette annexe ; un engagement particulier doit figurer dans les documents acceptés.
5. Sous-traitants ultérieurs et transferts
Le client autorise les intervenants ci-dessous pour les fonctions concernées, ainsi que le recours à leurs propres sous-traitants encadrés contractuellement. DIDATEC demeure responsable à son égard du respect des obligations de sous-traitance.
| Intervenant | Fonction et données concernées | Localisation et encadrement |
|---|---|---|
| OVH SAS / OVHcloud 2 rue Kellermann, 59100 Roubaix, France | Infrastructure d’hébergement des espaces, fichiers, bases et sauvegardes confiés à DIDATEC. | Infrastructure principale exploitée par DIDATEC en France. Conditions de protection des données d’OVHcloud ; accès d’administration réservés aux personnes habilitées. |
| OpenAI Ireland Limited Prestataire de l’API OpenAI pour les clients de l’EEE | Assistance et génération lorsque les fonctions d’IA sont utilisées. Consignes, contexte et extraits nécessaires à la requête ; pas une transmission systématique de la base de l’établissement. | Traitements pouvant impliquer des entités et infrastructures hors EEE, notamment aux États-Unis. Accord de traitement des données et liste des sous-traitants OpenAI. |
DIDATEC informe par écrit l’interlocuteur du client au moins 30 jours avant l’ajout ou le remplacement envisagé d’un sous-traitant direct, en indiquant sa fonction, les pays concernés et les garanties. Le client peut formuler une objection motivée par la protection des données pendant ce délai. Les parties recherchent une solution ; à défaut, DIDATEC n’impose pas le nouveau traitement contesté et organise l’arrêt de la fonction concernée et la restitution utile.
Un transfert hors EEE n’est réalisé qu’avec un mécanisme du chapitre V du RGPD : décision d’adéquation applicable au destinataire ou clauses contractuelles types de transfert, accompagnées de l’évaluation et des mesures supplémentaires nécessaires. Les clauses de la présente annexe ne constituent pas à elles seules ces garanties de transfert. DIDATEC communique sur demande les informations et garanties applicables, sous réserve de la protection légitime des secrets et des autres clients.
Le client et ses utilisateurs limitent les données personnelles introduites dans les fonctions d’IA. Aucune absence totale de conservation chez le fournisseur ni localisation exclusivement européenne de l’IA n’est promise. Les fonctions facultatives de mesure d’audience et la messagerie commerciale sont décrites séparément dans la politique de confidentialité.
6. Droits des personnes et incidents
DIDATEC transmet sans délai au contact habilité du client les demandes portant sur ses données pédagogiques et l’aide à les traiter dans les délais légaux. Elle n’y répond à la place du client que sur instruction ou obligation légale. Elle fournit les informations nécessaires aux analyses d’impact, consultations de l’autorité et vérifications de sécurité, compte tenu de la nature du service et des éléments dont elle dispose.
DIDATEC informe le client d’une violation de données le concernant sans délai injustifié après en avoir pris connaissance. Une première alerte est adressée au contact contractuel et, si nécessaire, complétée par téléphone ; DIDATEC s’engage à l’adresser au plus tard sous 48 heures, sans attendre la fin de l’enquête. Elle précise les faits connus, les données et personnes susceptibles d’être concernées, les conséquences possibles, les premières mesures et le point de contact. Les informations manquantes sont complétées au fil de l’investigation.
Le client apprécie les notifications à effectuer auprès de l’autorité de contrôle et des personnes. L’assistance de DIDATEC ne suspend pas ses délais légaux. Contact DIDATEC pour les instructions et signalements : service_commercial@didatec-technologie.com, +33 (0)4 77 10 10 10, objet « Données personnelles — Campus ».
7. Documentation et contrôle
DIDATEC tient les informations nécessaires au registre de ses activités de sous-traitance et met à disposition du client la documentation permettant d’apprécier le respect de cette annexe. Le client peut demander un audit documentaire ou une inspection utile, par lui-même ou un auditeur indépendant soumis à confidentialité.
Les parties conviennent d’un périmètre et d’un calendrier proportionnés, protégeant la continuité du service et les données des autres clients. Un préavis de 15 jours est recherché pour une inspection ordinaire ; il n’est pas opposable à une urgence justifiée, à une violation ou à une demande d’autorité. Aucun plafond d’audits ne fait obstacle à un contrôle nécessaire. Une prestation additionnelle facultative peut être chiffrée à l’avance, sans conditionner l’exercice des droits de contrôle prévus par le RGPD.
8. Restitution, suppression et sauvegardes
Le client choisit par instruction écrite la restitution suivie de la suppression, ou la suppression sans restitution. La procédure, les formats et les délais de demande et de remise sont détaillés à l’article 10 des conditions d’abonnement. Les données du client sont restituées au client ou au destinataire qu’il désigne, dans le respect des droits des personnes et des titulaires de contenus.
À défaut d’instruction à l’échéance, DIDATEC réserve les données à la préparation d’une éventuelle restitution ; elles ne sont plus utilisées pour une activité pédagogique. Une instruction licite d’effacement est traitée sans retard injustifié. Après restitution, DIDATEC laisse au moins 30 jours pour récupérer et vérifier les éléments, sauf suppression anticipée demandée par le client.
DIDATEC s’engage à supprimer les données des systèmes actifs à la fin de cette période et au plus tard 90 jours après la fin du service, sauf délai de réversibilité légalement prolongé, instruction écrite licite ou obligation de conservation. La suppression concerne les comptes, travaux, résultats, fichiers et copies opérationnelles du client dans le périmètre concerné.
Les copies de sauvegarde résiduelles sont isolées de l’usage courant et supprimées ou rendues définitivement inaccessibles au plus tard 90 jours après la suppression des systèmes actifs. En cas de restauration pendant ce délai, les suppressions sont réappliquées avant toute remise en usage. DIDATEC répercute les instructions de fin de traitement à ses sous-traitants et vérifie leur exécution dans le périmètre qui leur est confié.
Une conservation imposée par la loi est limitée aux seules données nécessaires, avec accès restreint, finalité et durée documentées ; elle est indiquée au client lorsque la loi le permet. Les factures et preuves contractuelles propres à DIDATEC suivent la politique de confidentialité et ne justifient pas la conservation générale des travaux d’apprenants.
DIDATEC confirme par écrit la restitution ou la suppression réalisée et, le cas échéant, la date limite d’élimination des sauvegardes et les exceptions légales. Ces délais sont des engagements de traitement, exécutables par des opérations techniques ou manuelles ; ils ne supposent pas une purge automatique ou un export universel dans l’interface.