Accord de traitement des données (DPA)

1. Parties et acceptation

Le présent accord est conclu entre l’académie qui crée un compte sur Acatudy (« l’Académie », responsable du traitement) et Fragua Labs LLC, dont l’adresse est 30 N Gould St Ste N, Sheridan, WY 82801, USA (« Acatudy », sous-traitant).

Il fait partie des Conditions générales et est accepté lors de la création de l’académie, dans la même case que les conditions. Si l’Académie a besoin d’un exemplaire signé, elle peut le demander à legal@acatudy.com.

2. Objet et détails du traitement

• Objet et finalité : fournir à l’Académie la plateforme Acatudy (cours, examens, devoirs, messages, site public, encaissements auprès des élèves et assistants d’IA) et l’assistance associée.
• Durée : tant que l’Académie utilise le service et jusqu’à la suppression des données conformément à la section 9.
• Nature du traitement : hébergement, stockage, organisation, consultation, envoi de communications, sauvegarde et suppression.
• Personnes concernées : élèves et, s’ils sont mineurs, leurs parents ou tuteurs ; enseignants et personnel de l’Académie ; visiteurs et contacts de son site.
• Types de données : données d’identification et de contact ; données scolaires (inscriptions, progression, notes, rendus, certificats) ; messages ; journaux d’accès et IP ; données des encaissements auprès des élèves (gérés par Stripe) et toute autre donnée que l’Académie décide de téléverser. Le service n’est pas conçu pour les catégories particulières de données : l’Académie ne doit pas en téléverser sans base juridique.

3. Instructions de l’Académie

Acatudy traite les données uniquement sur instruction documentée de l’Académie, à savoir le présent accord, les conditions et les réglages que l’Académie configure sur la plateforme, y compris en ce qui concerne les transferts internationaux, sauf si une loi applicable l’y oblige autrement ; dans ce cas, il en informera l’Académie au préalable, si la loi le permet. Si une instruction lui semble contraire à la loi, il en avertira l’Académie.

4. Confidentialité et sécurité

Les personnes d’Acatudy autorisées à traiter les données sont tenues à la confidentialité. Acatudy applique les mesures techniques et organisationnelles de l’annexe de sécurité, adaptées au risque conformément à l’article 32 du RGPD, et peut les mettre à jour à condition de ne pas réduire le niveau de protection.

5. Sous-traitants ultérieurs

L’Académie accorde à Acatudy une autorisation générale de faire appel aux sous-traitants ultérieurs figurant dans ce document. Acatudy informera au moins 30 jours à l’avance de tout ajout ou remplacement (par email au propriétaire ou dans le tableau de bord), et l’Académie pourra s’y opposer pour des motifs raisonnables liés à la protection des données ; à défaut de solution, elle pourra résilier l’abonnement sans pénalité. Acatudy impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et répond de leur respect.

6. Droits des personnes concernées et assistance

La plateforme permet à l’Académie d’accéder aux données de ses élèves, de les corriger, de les exporter et de les supprimer. Si une personne concernée s’adresse directement à Acatudy, nous la renverrons vers l’Académie ou lui transmettrons sa demande sans y répondre nous-mêmes. Acatudy aidera raisonnablement l’Académie à respecter ses obligations en matière de sécurité, d’analyses d’impact et de consultations préalables (articles 32 à 36 du RGPD).

7. Violations de données

Acatudy notifiera à l’Académie, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, toute violation de sécurité affectant ses données, avec les informations disponibles pour que l’Académie puisse la notifier à l’autorité et aux personnes concernées le cas échéant.

8. Transferts internationaux

Acatudy est établi aux États-Unis. Dans la mesure où le traitement implique des transferts de données personnelles soumises au RGPD depuis l’Espace économique européen vers un pays sans décision d’adéquation, les parties intègrent par référence les clauses contractuelles types de la décision d’exécution (UE) 2021/914 de la Commission : le module 2 (responsable à sous-traitant) entre l’Académie et Acatudy et le module 3 (sous-traitant à sous-traitant) avec les sous-traitants ultérieurs, avec la clause 7 d’adhésion, l’option 2 de la clause 9 (autorisation générale), sans la clause facultative 11, et avec le droit et les juridictions d’Irlande pour les clauses 17 et 18. Pour le Royaume-Uni s’applique l’Addendum de transfert international de données de l’ICO et, pour la Suisse, les mêmes clauses avec les adaptations exigées par sa loi. Avec les sous-traitants ultérieurs certifiés au titre du EU-US Data Privacy Framework, ce mécanisme peut également être utilisé. En cas de contradiction, les clauses contractuelles types prévalent.

9. Fin de l’accord : restitution et suppression

Tant que le compte est ouvert, l’Académie peut exporter ses données depuis le tableau de bord. À la fermeture de l’académie, Acatudy supprime ses données personnelles ; les sauvegardes et la corbeille de fichiers sont écrasées dans un délai maximal de 31 jours. Seul est conservé ce qu’une loi impose de conserver, ainsi que le registre minimal des certificats émis décrit dans la politique de confidentialité.

Factures : si ce n’est pas le propriétaire qui ferme l’académie depuis son tableau de bord (par exemple, si elle est fermée pour inactivité, impayé ou manquement), Acatudy conserve pendant 7 ans à compter de la date de chaque facture les données de ses factures à l’Académie et des paiements des élèves à l’Académie (montants, taxes, dates, libellé et références Stripe, sans le nom ni l’e-mail des élèves), dans une archive séparée à laquelle seule Acatudy a accès, puis les supprime. Si le propriétaire la ferme depuis son tableau de bord, elles sont aussi supprimées ; Stripe garde sa propre copie.

10. Information et audits

Acatudy mettra à la disposition de l’Académie les informations nécessaires pour démontrer le respect du présent accord et permettra des audits raisonnables, réalisés par l’Académie ou par un auditeur indépendant tenu à la confidentialité, avec un préavis de 30 jours, au maximum une fois par an sauf violation ou demande d’une autorité, et sans accès aux données d’autres clients. Les parties chercheront d’abord à répondre au besoin avec la documentation et les questionnaires fournis par Acatudy.

11. Obligations de l’Académie

L’Académie garantit qu’elle dispose d’une base juridique pour les données qu’elle téléverse, qu’elle informe ses élèves au moyen de sa propre politique de confidentialité et que, lorsqu’elle inscrit des mineurs, elle obtient le consentement de leur parent ou tuteur lorsque la loi l’exige (par exemple, COPPA pour les moins de 13 ans aux États-Unis).

12. Lois américaines sur la vie privée

Pour les données soumises au CCPA/CPRA et aux lois similaires des États, Acatudy agit en tant que « service provider » ou « processor » : il ne vend ni ne partage ces données, ne les conserve, n’utilise ni ne les communique en dehors de la relation directe avec l’Académie ni à d’autres fins que la fourniture du service, et ne les combine pas avec des données d’autres sources sauf dans la mesure permise par la loi. Si l’Académie est soumise à FERPA, Acatudy agit en tant que « school official » ayant un intérêt éducatif légitime, sous son contrôle direct. Acatudy préviendra l’Académie s’il n’est plus en mesure de respecter ces obligations.

13. Responsabilité et primauté

La responsabilité de chaque partie est régie par les conditions, sans préjudice des dispositions impératives de la loi applicable en matière de protection des données. En ce qui concerne les données personnelles, le présent accord prévaut sur les conditions.

Annexe : mesures de sécurité

• Chiffrement des communications (HTTPS/TLS) et des mots de passe ; fichiers dans un stockage chiffré, servis via des liens signés et temporaires.
• Séparation logique des données de chaque académie et contrôles d’accès par rôle.
• Accès de l’équipe d’Acatudy limité au nécessaire, avec vérification en deux étapes obligatoire et journalisation de son activité.
• Sauvegardes quotidiennes hors du serveur et procédures de restauration testées.
• Protection périmétrique (WAF et vérification anti-robots), limites de requêtes et mises à jour de sécurité régulières.

Annexe : sous-traitants ultérieurs

Contact

Questions sur le présent accord et la protection des données : legal@acatudy.com

Politique de confidentialité · Conditions générales