Article 28 du règlement (UE) 2016/679 (RGPD).

Préambule et parties

Le présent accord (« DPA ») complète les CGV entre :

• le Client, organisme de formation utilisateur du Service, responsable de traitement ;
• l'Éditeur, Daphné Derkaoui, entrepreneur individuel, nom commercial Groupe Philodème, SIRET 802 432 336 00039, 6 rue de la Commune de Paris, 54110 Varangéville, sous-traitant.

Il s'applique dès l'ouverture de l'espace du Client, y compris pendant l'essai, et est réputé accepté avec les CGV.

Article 1 — Objet, nature et finalité

L'Éditeur traite, pour le compte du Client et sur ses instructions documentées, les données personnelles saisies, importées ou générées dans le Service, aux seules fins de fournir le Service décrit aux CGV : hébergement, stockage, génération de documents, gestion de sessions, émargement électronique, envoi d'emails, restitution, support et maintenance. La nature des opérations est le stockage, la consultation, la génération de documents, la transmission et la suppression.

Article 2 — Durée

Le DPA dure tant que l'Éditeur traite des données pour le Client, y compris pendant la période de conservation prévue à l'article 10 des CGV (en principe trois mois à compter du passage en lecture seule), puis jusqu'à la suppression ou la restitution.

Article 3 — Données et personnes concernées (Annexe 1)

• Personnes concernées : stagiaires, personnels et clients (entreprises et particuliers) du Client, intervenants et formateurs, utilisateurs du Service.
• Catégories de données : identité et coordonnées (civilité, nom, prénom, email, téléphone, adresse), date et lieu de naissance, nom de naissance et numéro d'inscription au répertoire national d'identification des personnes physiques (NIR, numéro de sécurité sociale) des stagiaires lorsque le Client les renseigne (champs facultatifs, voir ci-dessous), statut professionnel, entreprise et poste, données de formation (sessions, présences, résultats, évaluations, documents), signatures manuscrites numérisées et horodatage d'émargement, adresse IP et navigateur associés à un émargement, données financières de formation (prix, financeur), contenus des emails envoyés depuis le Service, informations d'accessibilité ou d'adaptation de la formation saisies par le Client.
• Nom de naissance et NIR (Passeport de prévention) : le Service propose, sur la fiche du stagiaire, un champ facultatif « nom de naissance » et un champ facultatif « NIR », dont la finalité est de permettre au Client de disposer des informations nécessaires à l'alimentation du Passeport de prévention lorsque la formation est concernée. L'usage du NIR par les organismes de formation à cette fin est prévu par le décret n° 2023-1073 du 20 novembre 2023 modifiant le décret n° 2019-341 du 19 avril 2019 ; il appartient au Client de s'assurer que l'usage qu'il en fait entre dans ce cadre. Le Client demeure responsable de traitement de ces données, l'Éditeur (Groupe Philodème, éditeur de PhiloGest) n'intervenant qu'en qualité de sous-traitant : il ne les utilise pour aucune autre finalité. La déclaration au Passeport de prévention reste effectuée par le Client.
• Données sensibles : non requises par le Service. Leur éventuelle saisie (informations strictement nécessaires à l'accessibilité) relève de la responsabilité exclusive du Client (CGU, art. 4). Les données relatives aux condamnations ou infractions sont interdites sauf fondement légal approprié.

Article 4 — Obligations de l'Éditeur

L'Éditeur s'engage à :

1. traiter les données uniquement sur instructions documentées du Client, constituées par le contrat, le paramétrage et l'usage du Service et les demandes écrites du Client ; il informe le Client s'il estime qu'une instruction viole le RGPD ;
2. garantir la confidentialité : les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
3. mettre en œuvre les mesures de sécurité de l'Annexe 2 ;
4. n'accéder aux données du Client que lorsque cela est nécessaire au support, à la maintenance, à la sécurité ou au traitement d'un incident, dans la seule mesure nécessaire, y compris sans demande préalable du Client lorsque la sécurité ou la continuité du Service l'exige, et ne pas les utiliser à d'autres fins, notamment commerciales ;
5. assister le Client, par des mesures techniques et organisationnelles appropriées et compte tenu de la nature du traitement, pour répondre aux demandes d'exercice des droits des personnes ; toute demande reçue directement lui est transmise sans délai injustifié ;
6. assister le Client pour la sécurité, la notification des violations, les analyses d'impact et les consultations préalables, dans la mesure de ses informations ;
7. notifier au Client toute violation de données personnelles le concernant, dans les meilleurs délais après en avoir pris connaissance, avec les informations dont il dispose ;
8. tenir le registre de ses activités de traitement pour compte de tiers ;
9. mettre à disposition les informations nécessaires pour démontrer le respect du présent article et permettre des audits (article 8).

Article 5 — Sous-traitants ultérieurs

5.1 Le Client donne une autorisation générale à l'Éditeur de recourir à des sous-traitants ultérieurs, dont la liste actuelle figure à l'Annexe 3.

5.2 L'Éditeur informe le Client de tout ajout ou remplacement par email ou dans le Service au moins 30 jours avant sa prise d'effet. Le Client peut s'y opposer pour des motifs légitimes liés à la protection des données dans ce délai ; à défaut d'accord, il peut résilier sans pénalité la partie du Service concernée.

5.3 L'Éditeur impose à chaque sous-traitant ultérieur des obligations de protection équivalentes à celles du DPA et reste responsable à l'égard du Client de leur exécution.

Article 6 — Transferts hors Union européenne

L'hébergement est situé en France. L'Éditeur ne transfère pas les données du Client hors de l'Union européenne, sauf lorsque cela résulte de l'intervention d'un sous-traitant ultérieur listé à l'Annexe 3 dans le cadre des garanties prévues au chapitre V du RGPD, ou sur instruction du Client. Le Client reconnaît que les ressources techniques de tiers chargées par le navigateur des utilisateurs (Politique de confidentialité, §4) ne constituent pas une opération de sous-traitance des données des stagiaires.

Article 7 — Restitution et suppression

7.1 Au terme de la prestation, l'Éditeur restitue ou supprime, au choix du Client, les données, dans les conditions des articles 6 et 10 des CGV.

7.2 À défaut de choix exprimé, l'Éditeur supprime ou anonymise les données à l'issue de la période de conservation prévue à l'article 10 des CGV (en principe trois mois à compter du passage en lecture seule), dans un délai raisonnable, sous réserve des obligations légales de conservation, de la défense de droits en justice et des sauvegardes expirant selon leur cycle normal. Le Client peut aussi demander une suppression anticipée par écrit.

7.3 La restitution ne comprend pas les éléments exclus par l'article 6.5 des CGV.

Article 8 — Audit

Le Client peut, une fois par an et sur préavis raisonnable de trente (30) jours, demander à l'Éditeur les informations nécessaires pour vérifier le respect du présent DPA (réponse écrite à un questionnaire raisonnable). Un audit sur site ou technique n'est possible qu'en cas de violation avérée, d'exigence d'une autorité ou d'incident grave, aux frais du Client, sans compromettre la sécurité ou la confidentialité des autres clients.

Article 9 — Responsabilités du Client

Le Client est responsable de traitement. Il garantit disposer d'un fondement juridique pour ses traitements, informer les personnes concernées (notamment les stagiaires qui émargent), respecter le principe de minimisation, fixer les durées de conservation applicables à son activité, et donner des instructions licites. Les limitations de responsabilité des CGV (article 13) s'appliquent au présent DPA, sous réserve des règles impératives (notamment l'article 82 du RGPD).

Article 10 — Droit applicable, ordre de priorité

Le DPA est soumis au droit français. En cas de contradiction entre le DPA et les CGV ou CGU sur le traitement des données personnelles, le DPA prévaut.

Annexe 2 — Mesures de sécurité

Établies d'après l'état actuel du Service :

• accès au Service exclusivement en HTTPS, avec politique HSTS ;
• mots de passe stockés sous forme hachée (algorithme bcrypt), jamais en clair ;
• cookie de session configuré avec les attributs Secure, HttpOnly et SameSite=Lax, et régénération de l'identifiant de session à la connexion ;
• protection contre les requêtes intersites (jeton CSRF) sur les formulaires ;
• cloisonnement logique des données par organisme (filtre systématique par identifiant d'organisme) ;
• fichiers stockés hors accès direct : l'accès aux documents générés et aux fichiers téléversés nécessite une session authentifiée, à l'exception des logos et tampons de l'organisme, qui figurent sur les documents transmis à des tiers et sont accessibles sans authentification ;
• liens d'émargement basés sur des jetons aléatoires à durée limitée ;
• réinitialisation de mot de passe par jeton à usage unique et durée limitée, stocké sous forme d'empreinte ;
• chiffrement du transport des emails avec validation stricte des certificats TLS ;
• journal d'audit des actions sensibles ;
• NIR des stagiaires : stocké chiffré en base (AES-256-GCM), avec une clé de chiffrement distincte, conservée hors du code versionné et hors de la base de données ; non repris dans les journaux techniques, dans le journal d'audit (seul un indicateur d'action est consigné) ni dans les documents générés, les emails et les exports courants ; gestion du NIR (saisie, remplacement, effacement, affichage partiellement masqué) réservée à l'administrateur de l'organisme, le numéro complet n'étant jamais inclus dans la page lors de son chargement initial et n'étant communiqué à l'administrateur qu'à sa demande explicite et après confirmation, chaque consultation étant consignée dans le journal d'audit sans la valeur du NIR ;
• séparation des rôles administrateur/utilisateur ; quota de comptes contrôlé côté serveur ;
• secrets (clés de paiement, identifiants techniques) conservés hors du code versionné ;
• vérification de la signature cryptographique des notifications de paiement.

L'Éditeur fait évoluer ces mesures selon l'état de l'art et la nature des risques.

Annexe 3 — Sous-traitants ultérieurs

Sous-traitant	Rôle	Localisation / garanties
OVHcloud	Hébergement du Service, des fichiers et de la base de données MySQL	Infrastructure à Gravelines (France)
Brevo	Relais d'envoi d'emails de secours (lorsque le serveur SMTP du Client n'est pas configuré ou indisponible) ; traitement du contenu des emails et pièces jointes transmis via ce relais. Pour l'usage transactionnel (SMTP/API), Brevo traite et conserve les données d'usage correspondantes.	Brevo recourt à des sous-traitants, notamment OVH (France) et Google Cloud Platform (serveurs en Belgique), ainsi qu'à des entités et sous-traitants de son groupe, dont certains traitements peuvent intervenir hors de l'Espace économique européen. Garanties prévues par Brevo selon les cas : clauses contractuelles types, mesures supplémentaires et/ou EU-US Data Privacy Framework. La liste complète de ses sous-traitants est disponible auprès de Brevo.

Stripe traite les données de paiement et de souscription du Client pour l'abonnement ; il n'intervient pas sur les données des stagiaires et n'est donc pas listé comme sous-traitant ultérieur au titre du présent DPA (voir Politique de confidentialité).