Accord de traitement des données (DPA)

Prestataire / Sous-traitant : OLBONEXT
Service : Starplace

1. Objet

La présente annexe encadre les traitements de données à caractère personnel réalisés par OLBONEXT pour le compte du Client dans le cadre de la fourniture du service SaaS Starplace.

Elle fait partie intégrante du contrat conclu entre OLBONEXT et le Client.

2. Rôles des parties

Pour les données personnelles introduites dans Starplace par le Client, ses administrateurs ou ses utilisateurs :

le Client agit comme responsable du traitement, ou sous-traitant pour le compte d’un tiers ;
OLBONEXT agit comme sous-traitant, ou sous-traitant ultérieur lorsque le Client agit lui-même comme sous-traitant.

Le Client détermine les finalités et bases légales des traitements concernés.

OLBONEXT traite les données uniquement pour fournir, sécuriser, maintenir et administrer le Service selon les instructions documentées du Client et les stipulations contractuelles applicables.

3. Description des traitements

Objet et durée

Les traitements ont pour objet la fourniture d’une plateforme de création, organisation, diffusion et consultation de contenus destinés au partage des connaissances et savoir-faire.

Ils sont réalisés pendant la durée du contrat puis, lorsque cela est nécessaire, pendant les périodes requises pour la réversibilité, la suppression, les sauvegardes, la sécurité ou le respect d’obligations légales.

Opérations

Les opérations réalisées peuvent notamment comprendre :

création et administration de comptes ;
création, stockage, consultation, transmission, modification et suppression de contenus ;
hébergement et traitement de médias ;
authentification ;
gestion des droits et groupes ;
notifications ;
suivi de consultation et de progression ;
résultats de quiz et examens ;
commentaires et réactions ;
statistiques ;
sauvegardes ;
journalisation ;
sécurité ;
support ;
résolution d’incidents.

Personnes concernées

Les personnes concernées peuvent notamment être :

salariés ;
apprentis ;
collaborateurs ;
prestataires ;
administrateurs ;
responsables d’équipe ;
auteurs ;
et autres utilisateurs autorisés par le Client.

Données

Les données traitées peuvent notamment comprendre :

prénom ;
nom ;
adresse électronique ;
photo facultative ;
identifiant interne ;
langue ;
rôle ;
groupes ;
dernière connexion ;
données d’authentification et de sécurité ;
progression ;
consultations ;
résultats de quiz ou examens ;
commentaires ;
réactions ;
statistiques ;
journaux techniques ;
documents ;
textes ;
procédures ;
présentations ;
images ;
voix ;
vidéos ;
captures ;
métadonnées techniques.

4. Données sensibles et contenus interdits

Sauf accord écrit préalable d’OLBONEXT et garanties adaptées, le Client s’engage à ne pas utiliser Starplace pour traiter de manière structurée :

des données de santé détaillées ;
des données génétiques ou biométriques utilisées à des fins d’identification ;
des opinions politiques ;
des convictions religieuses ou philosophiques ;
l’appartenance syndicale ;
des données relatives à des condamnations pénales ou infractions ;
des secrets de défense ou données classifiées ;
ou des secrets industriels critiques nécessitant des garanties particulières non prévues par le Service.

Le Client s’interdit également tout contenu illicite.

5. Instructions du Client

Les instructions du Client résultent notamment :

des CGV, de l’Offre souscrite et, le cas échéant, des autres documents contractuels applicables ;
du présent DPA ;
de la configuration du Service ;
des actions réalisées par les administrateurs ou utilisateurs autorisés ;
et des demandes écrites adressées à OLBONEXT.

OLBONEXT traite les données à caractère personnel uniquement sur instruction documentée du Client, sauf lorsqu’un traitement est exigé par le droit de l’Union européenne ou par le droit français applicable à OLBONEXT.

Lorsque la réglementation impose à OLBONEXT un traitement ou un transfert de données sans instruction du Client, OLBONEXT en informe préalablement le Client, sauf si le droit applicable interdit une telle information pour des motifs importants d’intérêt public.

Si OLBONEXT estime qu’une instruction du Client enfreint la réglementation applicable en matière de protection des données, OLBONEXT en informe le Client et peut suspendre son exécution jusqu’à clarification ou modification de l’instruction.

OLBONEXT ne transfère les données vers un pays tiers ou une organisation internationale que dans les conditions prévues au présent DPA, sur instruction documentée du Client ou lorsque ce transfert est nécessaire à la fourniture du Service conformément au contrat, sauf obligation légale contraire.

6. Confidentialité

OLBONEXT veille à ce que les personnes autorisées à traiter les données à caractère personnel :

soient soumises à une obligation de confidentialité appropriée ;
n’accèdent aux données que lorsque cela est nécessaire à l’exécution de leurs missions ;
et ne les traitent que dans le cadre des instructions applicables.

L’accès humain aux contenus Clients est limité aux situations dans lesquelles il est nécessaire, notamment :

au support ;
à la maintenance ;
à la résolution d’un incident ;
à la sécurité ;
ou à une demande documentée du Client.

7. Sécurité

OLBONEXT met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques afin de protéger les données à caractère personnel traitées dans Starplace.

Ces mesures visent notamment à assurer, selon les besoins et les risques :

la confidentialité des données ;
leur intégrité ;
la disponibilité et la résilience des systèmes et services de traitement ;
la capacité à restaurer la disponibilité et l’accès aux données dans des délais appropriés en cas d’incident physique ou technique ;
et un niveau de sécurité adapté au risque.

OLBONEXT met notamment en œuvre, selon les composants concernés :

chiffrement des communications via TLS ;
hachage des mots de passe ;
cookies d’authentification sécurisés ;
contrôles d’accès ;
isolation logique des Clients ;
stockage privé des médias ;
mécanismes d’autorisation d’accès aux médias ;
journalisation de sécurité ;
sauvegardes ;
chiffrement des sauvegardes de base avant stockage ;
restrictions d’accès administratif.

Les mesures de sécurité sont susceptibles d’évoluer afin de tenir compte de l’état de l’art, des risques, des évolutions techniques et du Service, sous réserve de ne pas diminuer de manière substantielle le niveau global de protection applicable.

8. Sous-traitants ultérieurs

Le Client accorde à OLBONEXT une autorisation générale écrite de recourir à des sous-traitants ultérieurs pour les besoins de la fourniture du Service.

La liste actualisée des sous-traitants ultérieurs utilisés dans le cadre de Starplace est disponible sur la page Liste des sous-traitants.

OLBONEXT informe le Client de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur au moins trente (30) jours avant le début du traitement concerné, sauf circonstance exceptionnelle ne permettant raisonnablement pas de respecter ce délai.

Cette information peut notamment être adressée par courrier électronique au contact administratif déclaré par le Client.

Le Client peut, pendant ce délai, formuler une objection motivée fondée sur des considérations relatives à la protection des données à caractère personnel.

En cas d’objection, OLBONEXT et le Client recherchent de bonne foi une solution raisonnable.

Lorsqu’aucune solution raisonnable ne peut être trouvée et que le recours au sous-traitant concerné est nécessaire à la fourniture du Service, les parties peuvent mettre fin aux services concernés dans les conditions contractuelles applicables avant le commencement du traitement par ce sous-traitant.

OLBONEXT impose à ses sous-traitants ultérieurs des obligations de protection des données au moins équivalentes à celles qui lui incombent au titre du présent DPA, dans la mesure applicable aux prestations qui leur sont confiées.

OLBONEXT demeure responsable vis-à-vis du Client de l’exécution des obligations de protection des données de ses sous-traitants ultérieurs dans les conditions prévues par la réglementation applicable.

9. Localisation et transferts internationaux

Les bases principales Starplace sont hébergées en Allemagne.

Les médias et principales sauvegardes sont stockés sur Amazon S3 dans la région Europe (Paris), eu-west-3, France.

Les interfaces, contenus et certains flux peuvent transiter par l’infrastructure Cloudflare.

Certains prestataires internationaux peuvent traiter certaines données ou métadonnées, ou permettre des accès depuis des pays situés hors de l’Espace économique européen.

Lorsqu’un transfert de données à caractère personnel vers un pays tiers est nécessaire, OLBONEXT veille à ce qu’il repose sur un mécanisme reconnu par la réglementation applicable, notamment :

une décision d’adéquation ;
le Data Privacy Framework lorsqu’il est applicable ;
des clauses contractuelles types ;
ou tout autre mécanisme juridique approprié.

Lorsque cela est nécessaire au regard du risque, OLBONEXT met en œuvre ou s’assure de la mise en œuvre de mesures complémentaires appropriées.

10. Droits des personnes concernées

Le Client demeure responsable de la gestion des demandes d’exercice de droits concernant les traitements réalisés sous sa responsabilité.

OLBONEXT apporte au Client une assistance raisonnable, compte tenu de la nature du traitement et des informations à sa disposition, pour lui permettre de répondre notamment aux demandes portant sur :

l’accès ;
la rectification ;
l’effacement ;
la limitation ;
l’opposition ;
et la portabilité, lorsqu’elle est applicable.

Lorsqu’OLBONEXT reçoit directement une demande concernant un traitement réalisé pour le compte du Client, elle la transmet au Client dans les meilleurs délais, sauf obligation légale contraire.

11. Violations de données à caractère personnel

OLBONEXT informe le Client sans délai injustifié après avoir pris connaissance d’une violation de données à caractère personnel affectant des données traitées pour son compte.

OLBONEXT communique, selon les informations disponibles, les éléments nécessaires pour permettre au Client de respecter ses propres obligations, notamment :

la nature de la violation ;
les catégories de données concernées ;
les catégories de personnes concernées ;
les conséquences probables ;
les mesures prises ou proposées afin de remédier à la violation ou d’en limiter les conséquences.

Lorsque toutes les informations ne sont pas immédiatement disponibles, elles peuvent être communiquées progressivement sans retard indu.

12. Analyses d’impact et autorités

Compte tenu de la nature du traitement et des informations dont elle dispose, OLBONEXT apporte une assistance raisonnable au Client pour lui permettre de respecter ses obligations relatives notamment :

aux analyses d’impact relatives à la protection des données ;
à la consultation préalable d’une autorité de contrôle lorsqu’elle est requise ;
aux demandes ou contrôles d’une autorité compétente ;
et à la documentation des mesures techniques et organisationnelles applicables.

13. Fin du contrat, restitution et suppression

À la cessation du Service, et selon le choix du Client, OLBONEXT :

restitue les données à caractère personnel concernées selon les modalités de réversibilité prévues dans les documents contractuels applicables ;
ou procède à leur suppression,

sauf obligation légale imposant leur conservation.

Le Client doit demander la restitution des données pendant la période de réversibilité prévue contractuellement.

Sauf disposition particulière ou obligation légale contraire, cette période est de trente (30) jours à compter de la fin effective du contrat.

À défaut de demande de restitution pendant cette période, OLBONEXT peut procéder à la suppression des données actives du Client.

Les données actives sont supprimées dans un délai maximal de soixante (60) jours après la fin effective du Service, sous réserve des opérations de réversibilité demandées par le Client et des obligations légales de conservation applicables.

Les données éventuellement présentes dans les sauvegardes sont conservées uniquement pendant leur cycle normal de rétention, d’une durée maximale de douze (12) mois, et restent soumises aux mesures de sécurité applicables.

Elles ne sont utilisées qu’aux fins de restauration, de continuité, de sécurité ou de respect des obligations applicables.

Lorsqu’une sauvegarde contenant les données d’un environnement Client précédemment supprimé est restaurée, OLBONEXT réapplique la procédure de suppression correspondante.

Lorsque la réglementation impose la conservation de certaines données au-delà de la fin du contrat, OLBONEXT les conserve uniquement pour la durée et les finalités imposées par cette obligation.

14. Audit et démonstration de conformité

OLBONEXT met à disposition du Client, sur demande raisonnable, les informations nécessaires pour démontrer le respect de ses obligations prévues par le présent DPA et par la réglementation applicable.

Le Client peut demander la réalisation d’un audit portant sur les traitements effectués pour son compte.

Afin de limiter les perturbations et risques de sécurité, les parties privilégient dans un premier temps la fourniture :

de documents existants ;
de rapports ;
de politiques ;
de descriptions de mesures techniques et organisationnelles ;
ou de réponses à des questionnaires raisonnables.

Lorsqu’un audit spécifique demeure nécessaire, ses modalités sont convenues entre les parties et respectent notamment :

un préavis raisonnable, sauf urgence justifiée ;
la confidentialité ;
la protection des informations concernant les autres Clients ;
les impératifs de sécurité ;
et l’absence de perturbation disproportionnée du Service.

15. Responsabilités du Client

Le Client est notamment responsable :

de la licéité des traitements qu’il réalise au moyen de Starplace ;
de la détermination des finalités et bases légales ;
de l’information des utilisateurs et autres personnes concernées ;
de la gestion des demandes d’exercice de droits ;
de la définition et gestion des droits d’accès internes ;
des Contenus introduits dans le Service ;
du respect des règles applicables au suivi des salariés et collaborateurs ;
de l’obtention des autorisations nécessaires relatives notamment à l’image et à la voix ;
et de la limitation des données sensibles ou particulières introduites dans Starplace.

Lorsque le Client agit lui-même en qualité de sous-traitant pour le compte d’un tiers, il lui appartient de s’assurer qu’il dispose des autorisations et instructions nécessaires pour recourir à OLBONEXT comme sous-traitant ultérieur.

16. Contact

OLBONEXT - Protection des données
12 B impasse du Clos Jargot
87000 Limoges - France

privacy@starplace.io