Accord de traitement des données

1. Objet, nature et finalité

Nous traitons des données personnelles uniquement pour fournir le Service au Client : gestion des comptes et des places, dispense des formations à la maîtrise de l'IA, correction des tests et évaluations, délivrance et vérification des certificats, envoi d'e-mails, tenue des preuves de formation et de la piste d'audit, ainsi que mise à disposition de rapports et d'exports. Le traitement comprend la collecte, la conservation, l'organisation, l'utilisation, la transmission aux sous-traitants ultérieurs listés ci-dessous, l'effacement et les autres opérations nécessaires à ces finalités.

2. Durée

Le présent DPA s'applique aussi longtemps que nous traitons des données personnelles pour le Client : pendant la durée de l'abonnement et la période suivante jusqu'à la suppression décrite à la section 11.

3. Personnes concernées et catégories de données

• Personnes concernées : collaborateurs du Client auxquels une place est attribuée et administrateurs du Client.
• Données d'identification et de contact : nom, e-mail, service, rôle et langue préférée.
• Données de compte : empreinte du mot de passe (Argon2id), données de vérification en deux étapes si elle est utilisée, heures de connexion et adresses IP.
• Données de formation : cours attribués, progression et temps passé dans les leçons, réponses aux tests et évaluations, résultats et tentatives, certificats, validations de la politique d'IA du Client.
• Enregistrements saisis par le Client : l'inventaire des outils d'IA et les autres données saisies par les administrateurs.
• Journal d'audit des actions importantes avec l'heure et l'auteur.

Le Service n'est pas conçu pour les catégories particulières de données personnelles (art. 9 du RGPD) et le Client ne les saisira pas.

4. Instructions du Client

Nous traitons les données uniquement sur les instructions documentées du Client. Le présent DPA, les Conditions générales ainsi que les paramètres et actions des administrateurs du Client dans le Service constituent l'ensemble des instructions du Client. Nous informerons le Client si nous estimons qu'une instruction enfreint le droit de la protection des données, et nous ne pouvons traiter les données autrement que si le droit de l'Union ou d'un État membre l'exige ; dans ce cas, nous en informerons le Client au préalable, sauf si la loi l'interdit.

5. Confidentialité

Seules les personnes qui ont besoin d'un accès pour exploiter ou assister le Service ont accès aux données, et elles sont tenues à la confidentialité.

6. Mesures de sécurité

• Le Service et toutes les données fonctionnent sur un serveur dans un centre de données en Allemagne (UE).
• Connexions chiffrées (HTTPS) ; mots de passe stockés uniquement sous forme d'empreintes Argon2id ; cookies de session signés et HTTP-only.
• Séparation stricte des clients : chaque requête est vérifiée par rapport à l'utilisateur connecté et à son entreprise.
• Vérification en deux étapes pour les administrateurs, obligatoire pour nos propres comptes d'assistance et disponible pour chaque administrateur du Client.
• Limitation du nombre de tentatives de connexion, de réinitialisation du mot de passe et de vérification des certificats.
• Les secrets stockés, comme les identifiants de l'expéditeur des e-mails et les clés de vérification en deux étapes, sont chiffrés (AES-256-GCM).
• Les réponses aux tests sont corrigées sur le serveur ; les bonnes réponses n'atteignent jamais le navigateur.
• Journal d'audit des actions importantes et journal des événements de sécurité conservé 30 jours.
• Sauvegardes conservées jusqu'à 30 jours et procédure documentée pour les incidents de sécurité.

7. Accès de l'assistance

Le personnel d'assistance autorisé de MadHoney peut se connecter au compte administrateur du Client pour configurer le compte ou résoudre un problème à la demande du Client, ou lorsque cela est nécessaire pour protéger le Service. Cet accès est limité au panneau d'administration (jamais les leçons, tests ou certificats au nom des collaborateurs), limité dans le temps et enregistré dans le journal d'audit du Client.

8. Sous-traitants ultérieurs

• Hostinger International Ltd. (Chypre) - location du serveur privé virtuel qui fait fonctionner le Service ; centre de données en Allemagne (UE).
• ZONER a.s. (République tchèque) - serveur SMTP pour l'envoi des e-mails (invitations, rappels, notifications) ; centres de données à Brno.

Le Client donne une autorisation générale de recourir à des sous-traitants ultérieurs. Nous imposons à chacun d'eux des obligations de protection des données équivalentes au présent DPA. Nous informerons les administrateurs du Client par e-mail au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur ; le Client peut s'y opposer pour un motif justifié et, si nous ne pouvons pas résoudre l'objection, résilier l'abonnement avant l'entrée en vigueur du changement.

Paddle.com Market Ltd traite les données de paiement et de facturation en tant que responsable du traitement indépendant (Merchant of Record) et ne reçoit aucune donnée sur les collaborateurs du Client.

9. Assistance au Client

Les administrateurs peuvent consulter, rectifier, exporter et supprimer directement dans le Service les données de leurs collaborateurs. Compte tenu de la nature du traitement, nous aiderons également le Client à répondre aux demandes des personnes concernées et à respecter ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact et consultation préalable). Les demandes de collaborateurs qui nous parviennent sont transmises au Client.

10. Violations de données personnelles

Nous notifierons aux administrateurs du Client toute violation de données personnelles sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles au titre de l'article 33, paragraphe 3, du RGPD, et nous les compléterons à mesure que d'autres faits seront connus. Nous prendrons des mesures pour contenir la violation et en atténuer les conséquences.

11. Suppression et restitution des données

Pendant l'abonnement, le Client peut exporter à tout moment ses rapports, ses preuves de formation et sa piste d'audit. Après la fin de l'abonnement, les administrateurs peuvent encore se connecter pendant 90 jours, uniquement pour exporter les données ; ensuite, l'entreprise et toutes ses données sont supprimées automatiquement, sauf si le Client demande une suppression plus rapide. Les copies dans les sauvegardes sont écrasées dans un délai de 30 jours. Les données que nous devons conserver en vertu de la loi (p. ex. les factures) ne sont pas concernées par la présente section.

12. Audits

Nous mettrons à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA et permettrons des audits, y compris des inspections, par le Client ou par un auditeur tenu à la confidentialité. Les audits ont lieu moyennant un préavis écrit raisonnable, pendant les heures ouvrables, au maximum une fois par an (sauf après une violation de données personnelles) et aux frais du Client, sans perturber le Service ni donner accès aux données d'autres clients.

13. Obligations du Client

Le Client est responsable de disposer d'une base légale pour le traitement, d'informer ses collaborateurs et de la licéité des données et instructions qu'il nous fournit.

14. Responsabilité et droit applicable

La responsabilité au titre du présent DPA suit les Conditions générales, sauf disposition contraire du RGPD. Le présent DPA est régi par le droit de la République tchèque ; les litiges qui en découlent seront tranchés par les juridictions compétentes de la République tchèque, territorialement compétentes selon notre siège. Contact pour les questions de protection des données : sales@guard-ai.eu.