Accord de traitement des données (RGPD, article 28)
1. Parties et objet
Le présent accord encadre les traitements de données personnelles réalisés par IMMERGENCE STUDIO (le « Sous-traitant ») pour le compte du Client (le « Responsable de traitement ») dans le cadre du Service Altum XR, conformément à l’article 28 du règlement (UE) 2016/679 (RGPD).
2. Description du traitement
| Objet et finalité | Faire suivre aux stagiaires des missions de formation en réalité virtuelle, les suivre en direct, produire et conserver leurs bilans, inviter des participants à une session. |
|---|---|
| Nature des opérations | Collecte, enregistrement, hébergement, consultation, relais en temps réel entre casques et tableau de bord, export, suppression. |
| Personnes concernées | Stagiaires et participants invités par le Client. |
| Données | Prénom ou pseudonyme saisi dans le casque ; résultats de mission (scores, étoiles, durée, erreurs, réussite) ; position et gestes dans la simulation pendant la session (relayés en direct, non conservés) ; voix du formateur et des stagiaires lorsqu’elle est activée (transmise en direct, jamais enregistrée) ; adresse e-mail des participants invités par e-mail. |
| Données exclues | Aucune donnée de santé, biométrique ou sensible n’est demandée. Le Client ne saisit pas de nom de famille, de numéro d’identification ni d’information sensible dans les champs libres (prénom, groupe, messages). |
| Durée | Durée de la relation contractuelle, puis suppression selon l’article 9. |
3. Instructions
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement ; les Conditions générales et l’utilisation des fonctions du Service par le Client valent instructions. S’il estime qu’une instruction viole la réglementation, il en informe immédiatement le Client. Il n’utilise pas les données à ses propres fins, ne les vend pas et ne les utilise pas pour entraîner des modèles d’intelligence artificielle.
4. Confidentialité
Les personnes autorisées à traiter les données sont tenues à la confidentialité et n’y accèdent que pour les besoins du Service (assistance, maintenance).
5. Sécurité
- chiffrement des échanges (HTTPS/TLS, WebSocket sécurisé) ;
- mots de passe stockés sous forme dérivée (PBKDF2 avec sel), liens d’activation à usage unique stockés sous forme hachée ;
- cloisonnement des données par centre, contrôle d’accès par rôle, limitation des tentatives de connexion ;
- contenus protégés par un accès signé, sessions de connexion de 12 heures ;
- hébergement chez un prestataire disposant de certifications de sécurité reconnues (voir article 6).
6. Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants ultérieurs suivants :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, États-Unis) | Hébergement de l’application et de la base de données, réseau, relais des sessions | Réseau mondial ; transferts encadrés (voir ci-dessous) |
| Google (service Gmail) | Acheminement des e-mails d’invitation | Union européenne et États-Unis |
Les transferts hors de l’Union européenne sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) auquel ces prestataires adhèrent et, à défaut, par les clauses contractuelles types de la Commission européenne. Le Sous-traitant informe le Client de tout changement de sous-traitant ultérieur par e-mail au moins 30 jours à l’avance ; le Client peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier sans frais.
7. Droits des personnes
Le Client informe les stagiaires du traitement (un modèle d’information est disponible sur demande). Le Client peut lui-même consulter, exporter et supprimer les résultats depuis le tableau de bord. Le Sous-traitant l’aide à répondre aux autres demandes et lui transmet sans délai toute demande reçue directement.
8. Violation de données
Le Sous-traitant notifie au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et volume approximatif, conséquences probables, mesures prises), afin que le Client puisse notifier la CNIL et informer les personnes si nécessaire.
9. Fin du traitement
À la fin de la relation, le Client peut exporter ses résultats (CSV). Sur sa demande, ou au plus tard 12 mois après la fin de la dernière licence sans renouvellement, le Sous-traitant supprime les données du Client (comptes, sessions, résultats) ; les sauvegardes techniques sont écrasées dans leur cycle normal.
10. Assistance et audit
Le Sous-traitant aide le Client à réaliser ses analyses d’impact si nécessaire, tient un registre des traitements effectués pour le compte de ses clients, et met à disposition les informations nécessaires pour démontrer le respect du présent accord. Un audit sur place, aux frais du Client, est possible une fois par an, avec un préavis de 30 jours et un engagement de confidentialité.
11. Obligations du Client
Le Client détermine une base légale adaptée (en principe l’exécution de la formation ou l’intérêt légitime), informe les personnes, ne collecte que les données nécessaires et respecte les durées de conservation qu’il fixe.