Accord de traitement des données

Cet accord de traitement des données s'applique entre :

Désignés conjointement comme les « Parties ».

• RGPD : Règlement (UE) 2016/679, le Règlement général sur la protection des données.
• Données personnelles : toute information concernant une personne physique identifiée ou identifiable, au sens de l'article 4, paragraphe 1, du RGPD.
• Traitement : toute opération relative à des données personnelles, telle que la collecte, l'enregistrement, le stockage, la modification, la consultation, la communication ou l'effacement.
• Personne concernée : la personne physique à laquelle se rapportent les données personnelles — principalement les enseignants et les participants.
• Violation de données : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à celles-ci.
• Sous-traitant ultérieur : un tiers mandaté par le Sous-traitant pour traiter des données personnelles pour le compte du Responsable du traitement.

Cet accord régit le traitement des données personnelles par Lectame dans le cadre de la fourniture de la plateforme Lectame — une plateforme de présentation et d'interaction assistée par IA pour l'enseignement et la formation.

L'accord prend effet au moment où le Client commence à utiliser Lectame (par la création d'un compte ou l'organisation d'une session dans laquelle des données de participants sont traitées) et reste en vigueur tant que Lectame traite des données personnelles pour le compte du Client.

L'accord prend fin automatiquement lorsque Lectame ne traite plus de données personnelles pour le Client, ou sur résiliation écrite par l'une des Parties dans le respect du délai prévu dans l'accord principal.

• Client est le responsable du traitement pour les traitements effectués dans le cadre de ses activités d'enseignement ou de formation avec Lectame.
• Lectame est le sous-traitant pour les traitements effectués pour le compte du Client.
• Pour les traitements que Lectame effectue à ses propres fins commerciales (gestion de comptes, sécurité, facturation, marketing propre), Lectame est lui-même responsable du traitement. Cet accord ne couvre pas ces traitements ; voir à ce sujet la politique de confidentialité.

Lectame traite les données personnelles uniquement sur la base d'instructions documentées du Client. Cet accord, les conditions générales et la politique de confidentialité constituent ensemble ces instructions, ainsi que les paramètres que le Client configure dans l'application (par exemple, le choix d'activer ou de désactiver les fonctions d'IA ou les analyses).

Lectame informe le Client s'il estime qu'une instruction enfreint le RGPD.

• La création et la modification de présentations, y compris tout contenu généré par l'IA à la demande de l'enseignant.
• L'organisation et la facilitation de sessions en direct auxquelles les participants se joignent via un code de session ou un QR code.
• L'enregistrement et la présentation à l'enseignant des réponses et réactions des participants, à des fins formatives.
• La gestion et l'authentification des comptes du Client et de ses collaborateurs.
• La journalisation et la surveillance à des fins de sécurité et de stabilité.

• Enseignants et administrateurs du Client qui disposent d'un compte.
• Participants (généralement des étudiants ou des apprenants) qui rejoignent une session en direct via un code de session.
• Invités qui créent des présentations sans compte sous la responsabilité du Client.

Lectame n'est pas conçu pour le traitement structurel de données personnelles sensibles (article 9 du RGPD) ou de données pénales (article 10 du RGPD). Le Client veille à ce que les utilisateurs au sein de sa propre organisation ne saisissent pas de données médicales, de diagnostics, de convictions religieuses, d'origine ethnique, d'orientation sexuelle ou de données similaires dans le contenu des présentations, les invites d'IA ou les données de session, sauf si une base légale et des mesures appropriées ont été mises en place au préalable.

Le cas échéant, Lectame affiche dans l'interface des avertissements invitant les utilisateurs à ne pas inclure de données personnelles, de données de patients ou d'informations confidentielles dans les invites d'IA.

Tous les collaborateurs de Lectame et toutes les personnes externes intervenant pour Lectame susceptibles d'accéder à des données personnelles sont tenus à la confidentialité en vertu de leur contrat de travail ou de prestation ou d'une déclaration de confidentialité complémentaire.

Lectame prend des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Dans les grandes lignes, il s'agit de :

• Gestion des accès, authentification et autorisation basée sur les rôles.
• Chiffrement des connexions et chiffrement du stockage au niveau de la plateforme.
• Journalisation et surveillance des événements pertinents pour la sécurité.
• Dispositifs de sauvegarde et de restauration.
• Mises à jour régulières et application de correctifs aux composants.
• Procédures de réponse aux incidents.
• Évaluation des fournisseurs et des sous-traitants ultérieurs.
• Minimisation des données et limitation des finalités dans la conception des fonctionnalités.
• Évaluation périodique des mesures.

Une explication des grandes lignes est disponible sur la page sécurité. Des détails supplémentaires peuvent être communiqués sous accord de confidentialité aux écoles et organisations qui en ont besoin pour leur propre évaluation.

Le Client donne par la présente une autorisation écrite générale pour le recours aux sous-traitants ultérieurs énumérés ci-dessous. La procédure de l'article 14 s'applique aux modifications.

Lectame informe le Client au moins 30 jours avant toute modification envisagée des sous-traitants ultérieurs (ajout, remplacement ou changement de localisation). Dans ce délai, le Client peut formuler une objection motivée. En cas d'objection fondée, les Parties recherchent une solution raisonnable ; à défaut, le Client peut résilier l'accord.

Le stockage principal a lieu au sein de l'EEE. Pour les sous-traitants ultérieurs dont le traitement peut (en partie) avoir lieu hors de l'EEE, nous appliquons des garanties telles que le cadre de protection des données UE-États-Unis et/ou les clauses contractuelles types. La garantie applicable par sous-traitant ultérieur figure dans le tableau ci-dessus.

Lectame assiste le Client dans le traitement des demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) en rendant, dans la mesure du possible, les données nécessaires accessibles ou exportables via les fonctions de gestion de la plateforme.

Pour les demandes que le Client ne peut pas traiter lui-même, Lectame apporte une assistance raisonnable concernant les informations demandées.

Lectame assiste le Client dans la réalisation d'une analyse d'impact relative à la protection des données (AIPD) et dans une éventuelle consultation préalable de l'autorité de contrôle, dans la mesure où cela peut raisonnablement être attendu de Lectame.

Lectame signale une éventuelle violation de données au Client sans retard injustifié après en avoir pris connaissance. Le Client évalue ensuite, en tant que responsable du traitement, la nécessité d'une notification à l'autorité de contrôle (en principe dans les 72 heures après que le Client en a pris connaissance) et aux personnes concernées.

Lectame documente toutes les violations de données et les mesures prises en conséquence.

Sur demande, Lectame fournit au Client les informations raisonnablement disponibles permettant à celui-ci de vérifier le respect du présent accord. Un audit réalisé par le Client ou en son nom est possible sur la base d'une notification écrite, dans le respect d'un délai de préparation raisonnable et de la continuité des activités, et sous réserve d'accords de confidentialité. Les éventuels frais d'un audit sont à la charge du Client, sauf si l'audit révèle un manquement substantiel.

Après la fin du service, Lectame supprime les données personnelles des systèmes actifs dans un délai de 30 jours, sauf obligation légale de conservation contraire. À la demande du Client, un export est mis à disposition dans un format courant avant la suppression.

Les sauvegardes rotatives encore persistantes au moment de la suppression disparaissent selon le calendrier de sauvegarde de notre hébergeur ; pendant cette période, les données qui y sont stockées restent chiffrées et inaccessibles pour une utilisation en production.

La responsabilité de Lectame au titre du présent accord s'aligne sur le régime de responsabilité prévu dans nos conditions générales, sauf dans la mesure où le droit impératif en dispose autrement (comme l'article 82 du RGPD).

En cas de contradiction entre le présent accord de traitement des données, les conditions générales et la politique de confidentialité, la hiérarchie suivante s'applique :

1. Le présent accord de traitement des données (pour les questions de traitement).
2. Les conditions générales.
3. La politique de confidentialité (en tant qu'explication du traitement).

Des questions sur cet accord de traitement des données ? Écrivez à [email protected] ou [email protected]. En cas de réclamation concernant le traitement des données personnelles, vous pouvez également vous adresser à l' Autoriteit Persoonsgegevens.