Accord de traitement des données de Nexier School
1. Parties, instructions et applicabilité
Le présent accord de traitement s'applique seulement lorsque le client/responsable du traitement identifié dans un ENT-02 signé charge SMARTEDTECH SL comme sous-traitant pour Nexier School. Pour le compte propre de l'opérateur, la facturation, la sécurité ou des finalités légales, il peut en revanche être responsable du traitement. Les prestataires et institutions indépendants demeurent responsables de leur propre traitement. L'annexe A doit identifier l'objet, la durée, la nature, la finalité, les catégories de données, les personnes concernées, les instructions du responsable du traitement et les lieux autorisés avant le début du traitement. Aucune annexe laissée en blanc n'autorise un traitement sans restriction.
2. Finalité documentée et confidentialité
Le sous-traitant n'agit que sur instructions documentées, y compris pour les transferts, sauf si une loi contraignante en dispose autrement ; il informe le responsable du traitement de cette exigence lorsque la loi le permet. Il signale sans délai une instruction qu'il estime raisonnablement illicite. Seul le personnel qui a besoin d'un accès est autorisé, formé et tenu à la confidentialité. Aucune publicité, revente ultérieure, entraînement de modèle sans lien, enrichissement interplateformes ni publication de données privées ne découle du présent accord de traitement.
3. Sécurité et accès autorisé
Utilisez des mesures proportionnées au risque au titre de l'article 32, documentées à l'annexe B : isolation des locataires/RLS, moindre privilège et MFA pour les accès privilégiés, chiffrement et gestion des clés lorsqu'ils sont réellement mis en œuvre, masquage des secrets, traitement des correctifs et des vulnérabilités, restauration et reprise testées, intégrations délimitées, contrôles des téléversements, escalade des incidents et intégrité des preuves. Ce sont des exigences contractuelles à démontrer, et non une certification que chaque mesure a déjà été validée. Expliquez et corrigez les écarts substantiels avant tout traitement en production. Aucun contenu privé n'est inscrit dans des journaux de consentement immuables ; utilisez des références minimisées et une conservation licite.
4. Sous-traitants ultérieurs et transferts
L'annexe C identifie chaque sous-traitant ultérieur réel, sa finalité, son lieu, son accès aux données et le fondement de l'approbation. Dans le cadre d'une autorisation écrite générale, notifiez les ajouts ou remplacements envisagés et permettez une procédure d'opposition raisonnable convenue ; réglez la question ou arrêtez le traitement concerné si des garanties licites ne peuvent pas être convenues. Imposez des obligations de traitement équivalentes et demeurez responsable comme l'exige l'article 28. Les transferts restreints exigent l'instrument valide réel et l'évaluation de DAT-02. Un logo de fournisseur ou un paramètre d'API n'est ni un accord de traitement signé ni une garantie de transfert.
5. Droits et incidents
Aidez le responsable du traitement pour les demandes des personnes concernées, au moyen d'une authentification proportionnée et d'une recherche, d'un export, d'une rectification ou d'un effacement délimités. Ne décidez pas seul de la réponse, sauf autorisation ou obligation légale. Notifiez au responsable du traitement une violation de données personnelles sans retard injustifié après en avoir pris connaissance, avec les faits disponibles, les catégories et les nombres approximatifs, les effets probables, les mesures d'atténuation et le contact. Fournissez des mises à jour successives et conservez les preuves pertinentes ; n'attendez pas un rapport parfait. L'obligation du responsable du traitement de notifier l'autorité de contrôle dans un délai de 72 heures est distincte de la notification du sous-traitant et ne s'attache pas automatiquement à chaque alerte de sécurité. Les parties coordonnent les notifications aux personnes concernées sans bloquer les délais légaux.
6. Évaluations, audit et autorités
Fournissez les informations raisonnablement nécessaires à la conformité à l'article 28, les preuves de sécurité pertinentes, l'assistance aux DPIA et à la consultation préalable, ainsi que des audits et inspections proportionnés, sous réserve de la confidentialité, de la sécurité et des droits des tiers. Limitez l'accès aux données pertinentes ; n'exigez jamais des secrets bruts ni les dossiers de locataires sans lien. L'accès légal du régulateur est préservé. Ne refusez pas une coopération d'audit essentielle au seul motif qu'un certificat n'est pas disponible.
7. Fin du service et conservation
Au choix du responsable du traitement, restituez ou effacez les données personnelles et les copies existantes à la fin du service instruit, sauf si une loi contraignante impose une conservation particulière. Convenez dans l'annexe D du format d'export réel, du calendrier, de l'expiration des sauvegardes et de la vérification de l'effacement. Limitez tout document légalement conservé à la finalité et à la durée précises. L'exigence de preuve à ajout uniquement n'autorise pas à conserver indéfiniment un contenu identifiable ; minimisez ou séparez cryptographiquement les charges utiles, conformément au droit approuvé et à la conception technique.
8. Annexes d'exécution
L'annexe A utilise les champs service, objet et finalité d'ENT-02 ; l'annexe B est la liste des TOMs étayée par des preuves ; l'annexe C est le registre réel des destinataires, des lieux et des avis de changement ; l'annexe D indique la conservation, l'export, l'effacement et les contacts d'incident. Ils demeurent des faits manquants tant qu'ils ne sont pas complétés à partir de la configuration du locataire et du service. La signature est celle du responsable du traitement réel et du sous-traitant réel. Les obligations légales de traitement et les droits impératifs priment sur les stipulations commerciales incompatibles.
Conditions propres à la plateforme
Rôles en matière de données
1. Données de la plateforme. L'Opérateur est le responsable du traitement des données personnelles traitées pour exploiter la plateforme : compte, vérification d'identité, registres d'acceptation, paiements, sécurité, assistance, communications et analyses.
2. Données de fourniture du prestataire. Lorsqu'un prestataire fournit des services à un client par la plateforme, le prestataire est un responsable du traitement indépendant des données dont il a besoin pour cette fourniture (réservation, commande, dossiers cliniques, éducatifs ou professionnels), et l'Opérateur est le responsable du traitement de l'enregistrement de la transaction au niveau de la plateforme. Chaque partie respecte ses propres obligations ; aucune n'agit pour l'autre.
3. Services de sous-traitance. Lorsque l'Opérateur traite des données personnelles pour le compte d'un client professionnel selon les instructions de celui-ci (par exemple les données des salariés d'un locataire d'entreprise), l'accord de traitement des données (DAT-01) s'applique et régit le traitement ; il est signé dans le cadre de la commande.
4. Partage entre plateformes SET. Les données personnelles ne sont pas partagées avec une autre plateforme exploitée par l'Opérateur ou son groupe, sauf si vous activez la destination précise dans vos paramètres. L'activation d'une destination n'active pas les autres, et vous pouvez la désactiver à tout moment.
5. Transferts internationaux. Les données personnelles sont stockées dans l'Espace économique européen (ou, pour wellbridge.uk, au Royaume-Uni). Lorsqu'un sous-traitant situé hors de ces zones est utilisé, le transfert est couvert par des clauses contractuelles types ou par le UK Addendum/IDTA, indiqués dans l'annexe des sous-traitants ultérieurs.
---