Accord de sous-traitance des données

Cet accord fixe les conditions dans lesquelles SAORA, société par actions simplifiée unipersonnelle, 894 886 977 R.C.S. Paris, dont le siège est situé 1 rue Edgar Faure, 75015 Paris, qui édite Inskri (le « sous-traitant »), traite des données personnelles pour le compte du centre qui utilise Inskri (le « centre », responsable du traitement), en application de l'article 28 du règlement (UE) 2016/679 (RGPD).

Il fait partie des conditions générales d'utilisation. Le centre l'accepte par la personne qui ouvre son espace, ou par un de ses administrateurs depuis les réglages du centre ; le sous-traitant enregistre la date de cette acceptation, le compte qui l'a donnée et la version du texte acceptée (la date en tête de cette page). En cas de contradiction sur la protection des données, cet accord l'emporte sur les conditions générales. Une version signée peut être remise sur demande.

L'accord s'applique dès que le centre utilise Inskri et tant que le sous-traitant traite des données pour son compte, y compris le temps de restituer puis de supprimer ces données à la fin du service (article 12).

Le sous-traitant fournit au centre un service en ligne d'inscription et de paiement. Pour cela, il collecte, enregistre, conserve, affiche, transmet et supprime des données, aux seules fins suivantes :

• publier les offres du centre et recevoir les inscriptions des familles ;
• enregistrer et suivre les paiements, en ligne par Stripe ou reçus par le centre, les échéanciers, les remboursements et les litiges ;
• envoyer au nom du centre les emails du service : confirmations, reçus, relances, avis d'échéance, décisions d'annulation, remboursements, les messages qu'il écrit à ses inscrits, et ses annonces à ses propres clients, sans jamais les envoyer à qui les a refusées ;
• permettre au centre de suivre ses inscrits, d'exporter leurs données et de gérer les adultes rattachés, les demandes d'annulation, les doublons de fiches et son équipe ;
• assurer le support et la sécurité du service rendu au centre.

Quand un membre de l'équipe du centre ou une famille signale un bug ou propose une idée depuis le service, la capture d'écran que cette personne choisit d'y joindre montre la page telle qu'elle la voit : prise dans l'espace du centre, elle peut montrer des données traitées pour son compte (noms, inscriptions, paiements, demandes d'annulation et leur motif, notes). Le sous-traitant ne s'en sert que pour le support, c'est-à-dire pour comprendre et corriger ce qui est signalé ; seule son équipe la lit, et la capture est supprimée avec le signalement, 1 an après son traitement et au plus tard 2 ans après son dépôt, ou avec le compte qui l'a déposé.

Le sous-traitant traite par ailleurs, comme responsable et pour son propre compte, les données des comptes, de la connexion et de la sécurité du service, de l'ouverture et de la vérification des centres, ainsi que celles de la perception des frais de service et de la facturation des centres, comme le décrit la politique de confidentialité.

• Adultes clients du centre (titulaires des inscriptions, adultes rattachés)

  Données

  Adresse email, prénom, nom, téléphone s'il est donné ; inscriptions, paiements, échéances, relances, demandes d'annulation et leur motif, reçus ; marque et quatre derniers chiffres de la carte enregistrée pour un échéancier, ou quatre derniers caractères de l'IBAN et état du mandat de prélèvement SEPA.

• Participants, dont des mineurs

  Données

  Prénom, nom, date de naissance quand elle est renseignée ; inscriptions et sessions choisies ; adultes rattachés.

• Membres de l'équipe du centre

  Données

  Adresse email, nom, rôle, actions faites dans le service (paiements saisis, remboursements, relances, décisions).

• Personnes invitées

  Données

  Adresse email, date et auteur de l'invitation, empreinte du lien personnel que porte l'email d'invitation, accord ou refus de la famille.

Le sous-traitant ne traite les données que sur instruction documentée du centre. Constituent ces instructions : les conditions générales d'utilisation, cet accord, et les choix que le centre fait dans le service (offres, réglages, gestes sur ses inscriptions).

Si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données, le sous-traitant en informe aussitôt le centre. S'il est tenu par la loi de traiter des données autrement, il l'en informe avant le traitement, sauf si la loi l'interdit.

Le sous-traitant s'engage à :

• traiter les données pour les seules finalités de l'article 3 ;
• ne les vendre à personne, ne pas les utiliser pour sa propre prospection ni pour aucune publicité, et ne pas les croiser avec les données d'un autre centre ;
• garantir la confidentialité des données : les personnes autorisées à les traiter s'y engagent et n'y accèdent que dans la mesure nécessaire au service, au support et à la sécurité ;
• prendre en compte la protection des données dès la conception du service et par défaut, notamment en ne demandant sur les participants que le strict nécessaire ;
• tenir le registre des traitements qu'il effectue pour le compte de ses clients ;
• aider le centre, dans la mesure de ce qu'il sait du service, à réaliser une analyse d'impact et, le cas échéant, à consulter la CNIL.

Le centre autorise le sous-traitant à faire appel aux prestataires ci-dessous. Chacun est lié au sous-traitant par un contrat qui lui impose des obligations de protection des données au moins équivalentes à celles de cet accord ; le sous-traitant reste responsable envers le centre de leur exécution.

• VercelVercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis

  Traitement

  Hébergement et exécution de l'application, diffusion des pages, tâches planifiées (relances, échéances).

  Lieu et garanties

  Traitements de l'application exécutés dans la région de Paris ; diffusion des pages par un réseau mondial. Cadre de protection des données UE-États-Unis (Data Privacy Framework) et clauses contractuelles types de la Commission européenne.

• SupabaseSupabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513

  Traitement

  Base de données, comptes et connexion, stockage des logos et images des centres et des captures d'écran jointes aux signalements.

  Lieu et garanties

  Données hébergées dans la région de Paris, sur l'infrastructure d'Amazon Web Services ; accès possible depuis l'étranger pour la maintenance et le support. Clauses contractuelles types de la Commission européenne.

• StripeStripe Payments Europe, Limited, Irlande, et les sociétés du groupe Stripe

  Traitement

  Paiements en ligne par carte, par prélèvement SEPA ou par virement, fiche client de chaque famille chez un centre, enregistrement des cartes et des mandats de prélèvement des échéanciers, remboursements, suivi des litiges, facturation des frais aux centres et enregistrement de leur mandat de prélèvement SEPA.

  Lieu et garanties

  Union européenne et États-Unis. Cadre de protection des données UE-États-Unis (Data Privacy Framework) et clauses contractuelles types de la Commission européenne.

• ScalewayScaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, France

  Traitement

  Envoi principal des emails du service, y compris les liens et codes de connexion, par Transactional Email (TEM). Seconde copie chiffrée de la base et des images des centres dans Object Storage.

  Lieu et garanties

  Transactional Email : hébergement et traitement dans l'Union européenne, région Paris. Aucun sous-traitant de TEM hors de l'Union selon la FAQ du service. Object Storage : région Paris (fr-par), classe Standard Multi-AZ ; la garantie propre à TEM ne s’étend pas à ce stockage.

• ResendPlus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, États-Unis

  Traitement

  Secours automatique des emails du service : liens et codes de connexion, confirmations, reçus, relances, alertes.

  Lieu et garanties

  Envoi depuis la région d'Irlande ; contenu et journaux des emails, société et outils d'administration aux États-Unis. Cadre de protection des données UE-États-Unis (Data Privacy Framework) et clauses contractuelles types de la Commission européenne.

• CloudflareCloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, États-Unis

  Traitement

  Contrôle anti-robot (Turnstile) sur la demande de lien de connexion : analyse de l'adresse IP et de caractéristiques techniques du navigateur, pour écarter les demandes automatisées.

  Lieu et garanties

  Réseau mondial de Cloudflare. Cadre de protection des données UE-États-Unis (Data Privacy Framework) et clauses contractuelles types de la Commission européenne.

• IONOSIONOS SARL, 7 place de la Gare, 57200 Sarreguemines, France

  Traitement

  Nom de domaine inskri.com et boîte de messagerie qui reçoit et conserve les messages adressés à nos adresses de contact.

  Lieu et garanties

  Union européenne.

• GoogleGoogle LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis

  Traitement

  Messagerie de notre dirigeant, qui reçoit une copie des messages adressés à notre adresse de contact.

  Lieu et garanties

  Lieu de traitement en cours de vérification. Garanties applicables en cours de vérification.

• CalendlyCalendly LLC, 115 E Main St, Ste A1B, Buford, GA 30518, États-Unis

  Traitement

  Prise de rendez-vous pour les démonstrations que demandent les centres : reçoit ce que la personne saisit en réservant (nom, adresse email, téléphone s'il est donné) et le créneau choisi. Ne reçoit aucune donnée des inscriptions ni des familles.

  Lieu et garanties

  États-Unis. Cadre de protection des données UE-États-Unis (Data Privacy Framework) et clauses contractuelles types de la Commission européenne.

• AnthropicAnthropic Ireland, Limited, Irlande

  Traitement

  Assistant de code Claude, avec lequel notre équipe développe et exploite le service. N'héberge pas la base du service ; peut lire des données personnelles du service quand une tâche le demande (contrôle, diagnostic, recherche de panne, demande d'exercice de droits), y compris des données des familles, comme le nom et la date de naissance d'un participant ou l'adresse email d'un adulte, sous notre contrôle. Ne prend aucune décision sur une famille.

  Lieu et garanties

  États-Unis, où sont stockés les échanges avec l'assistant, y compris ce qu'il a lu ; requêtes traitées aux États-Unis, en Europe, en Asie ou en Australie. Clauses contractuelles types de la Commission européenne, que prévoit la politique de confidentialité d'Anthropic pour ses transferts hors de l'Union.

• OpenAIOpenAI, San Francisco (Californie), États-Unis

  Traitement

  Assistant de code, avec lequel notre équipe développe et exploite le service. N'héberge pas la base du service ; peut lire des données personnelles du service quand une tâche le demande (contrôle, diagnostic, recherche de panne, demande d'exercice de droits), y compris des données des familles, sous notre contrôle. Ne prend aucune décision sur une famille.

  Lieu et garanties

  États-Unis. Garanties applicables en cours de vérification.

• GitHubGitHub, Inc., 88 Colin P Kelly Jr Street, San Francisco, CA 94107, États-Unis

  Traitement

  Hébergement du code source du service et intégration continue. Aucune donnée personnelle d'un utilisateur du service n'y est déposée.

  Lieu et garanties

  États-Unis. Cadre de protection des données UE-États-Unis (Data Privacy Framework) et clauses contractuelles types de la Commission européenne.

Les paiements en ligne passent par le compte Stripe du centre, ouvert sous son propre contrat avec Stripe : pour ces paiements, Stripe agit en vertu de ce contrat, et le sous-traitant ne lui transmet que ce qui sert à chaque paiement (montant, offre, sessions choisies, nom du participant, adresse email de la personne qui paie, identifiants techniques) et, pour la fiche client d'une famille chez le centre, le nom et l'adresse email du titulaire. Cette fiche, une par famille et par centre, est créée sur le compte Stripe du centre la première fois qu'elle sert (carte ou mandat de prélèvement SEPA enregistré pour un échéancier, paiement d'un panier, virement proposé) ; elle porte ensuite les moyens de paiement enregistrés de la famille et ses virements.

Le sous-traitant informe le centre par email de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 8 jours avant qu'il n'intervienne. Le centre peut s'y opposer dans ce délai, pour un motif légitime tenant à la protection des données ; si aucune solution n'est trouvée avant l'intervention du nouveau sous-traitant, le centre peut mettre fin au service sans frais, et l'article 12 s'applique.

Les données sont hébergées dans l'Union européenne, dans la région de Paris ; les emails passent principalement par Scaleway Transactional Email dans cette région. Scaleway supprime les messages après leur envoi ; la durée de conservation de ses journaux n'est pas précisée. Les emails repris automatiquement par le secours Resend ont leur contenu et leurs journaux conservés aux États-Unis. Un transfert hors de l'Union, ou un accès depuis un pays tiers pour la maintenance, le support ou l'exploitation du service, n'a lieu que vers les prestataires listés à l'article 7 et avec les garanties qui y sont indiquées : décision d'adéquation (cadre de protection des données UE-États-Unis) ou clauses contractuelles types de la Commission européenne. Quand le tableau les dit en cours de vérification, le sous-traitant les indique au centre dès qu'elles sont établies.

Le sous-traitant met en œuvre des mesures techniques et d'organisation adaptées au risque, et notamment :

• Cloisonnement : chaque table de la base est protégée par des règles d'accès ligne à ligne ; un centre n'accède qu'à ses propres offres et inscriptions, une famille qu'à ses propres données, et des tests automatiques vérifient ce cloisonnement à chaque évolution.
• Connexion : sans mot de passe, par lien ou code à usage unique valable une heure ; limites du nombre de demandes par adresse et par adresse IP ; appareils validés, révocables, dont la révocation ferme la session ; code à 4 chiffres facultatif pour une famille, obligatoire pour l'équipe d'un centre, demandé avant les gestes sensibles après 15 minutes sans activité, bloqué après trois essais manqués jusqu'au prochain lien de connexion.
• Paiements : aucun numéro de carte ni IBAN chez le sous-traitant, les cartes et les IBAN étant saisis et conservés par Stripe ; chaque résultat de paiement reçu de Stripe est vérifié (compte, montant, devise) avant d'être enregistré.
• Échanges : chiffrés (HTTPS, avec HSTS), et pages protégées contre l'affichage dans un cadre tiers.
• Secrets : clés et secrets du service hors du code et jamais envoyés au navigateur.
• Journaux : sans adresse email, nom ni prénom ; évènements de Stripe conservés sans les coordonnées du payeur.
• Hébergement : base de données dans la région de Paris ; chiffrement au repos assuré par l'hébergeur de la base.
• Contrôle : revues régulières de la sécurité du code et de la configuration, et correction suivie de chaque point relevé.

Sauvegardes et restauration. La base de données est sauvegardée chaque jour par son hébergeur ; chaque sauvegarde est conservée 7 jours. Le sous-traitant garde en plus des copies chiffrées de la base et des images des centres hors de l'hébergeur, sur ses propres machines, chacune 35 jours au plus. Une seconde copie chiffrée est conservée chez Scaleway Object Storage à Paris, dans cette même limite de 35 jours. En cas d'incident, le sous-traitant restaure la base à partir de la dernière sauvegarde utilisable et en informe les centres concernés. Une donnée supprimée disparaît des sauvegardes au plus tard 35 jours après sa suppression.

Le service permet au centre de consulter les données de ses inscrits et de les exporter ; les familles corrigent elles-mêmes leurs informations et celles des participants depuis leur espace. Le sous-traitant aide en outre le centre à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition) : il lui transmet sans tarder, et au plus tard sous 5 jours ouvrés, toute demande qu'il reçoit directement, sans y répondre lui-même sauf instruction du centre.

Il aide aussi le centre, en lui fournissant les informations dont il dispose, à remplir ses obligations de sécurité, de notification des violations et d'analyse d'impact.

Le sous-traitant notifie au centre toute violation de données personnelles qui le concerne sans délai excessif, et au plus tard 48 heures après en avoir pris connaissance, par email à l'adresse de contact du centre et à ses administrateurs.

La notification précise, autant que possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables, les mesures prises ou envisagées, et un contact. Les informations qui ne sont pas encore connues sont transmises dès qu'elles le sont. Il revient au centre, responsable du traitement, de notifier la CNIL et d'informer les personnes concernées quand la loi l'exige ; le sous-traitant l'y aide.

Le centre peut cesser d'utiliser le service à tout moment, en l'écrivant au sous-traitant ; le sous-traitant peut y mettre fin pour un centre en le prévenant au moins 3 mois à l'avance, comme le prévoient les conditions générales. Pendant les 30 jours qui suivent la fin du service, le centre exporte lui-même les données de ses inscrits et de ses paiements, ou en demande la restitution au sous-traitant, qui la lui remet dans ce même délai, dans un format courant et lisible. À l'issue de ces 30 jours, le sous-traitant supprime les données traitées pour le compte du centre, y compris leurs copies, et le lui confirme par écrit sur demande.

Font exception les données que le sous-traitant doit conserver pour respecter une obligation légale, notamment comptable (paiements, frais de service, factures), le journal d'activité du centre, gardé 3 ans, les captures d'écran jointes aux signalements, supprimées dans les délais de l'article 3, et les données des comptes des familles, qui leur appartiennent et peuvent servir à leurs inscriptions dans d'autres centres. Les sauvegardes sont effacées au fil de leur rotation, au plus tard 35 jours après la suppression (article 9).

Le sous-traitant met à la disposition du centre les informations nécessaires pour démontrer le respect de cet accord. Le centre peut faire réaliser un audit, une fois par an au plus, sauf violation de données, par lui-même ou par un auditeur tenu au secret professionnel qui ne soit pas un concurrent du sous-traitant, en le prévenant au moins 30 jours à l'avance. L'audit porte d'abord sur la documentation ; il ne donne accès ni aux données des autres centres ni aux secrets du service. Chaque partie supporte ses propres frais.

Le centre, responsable du traitement :

• informe les familles du traitement de leurs données, notamment dans ses propres mentions d'information, et s'assure d'avoir une base légale pour chaque usage ;
• ne demande que les informations nécessaires à ses activités, ne saisit aucune donnée de santé ni autre donnée sensible dans les notes et n'en demande aucune par les questions qu'il pose aux familles (les champs qu'il crée pour la fiche du participant ne servent qu'à l'organisation de ses activités ; le certificat médical se note par une case et sa date, jamais par le dépôt du document) ;
• garde à jour les accès de son équipe, n'y admet que des personnes habilitées, et veille à ce qu'elle utilise le service conformément à cet accord ;
• n'utilise les exports de données que pour ses activités, et les protège comme le service le fait.

Pour toute question sur cet accord ou sur la protection des données : contact@inskri.com. Une demande d'exercice des droits d'une famille, une question de sécurité ou un soupçon de violation peuvent nous être signalés à la même adresse.