Contrat de Sous-Traitance des Données (DPA)

Article 1 — Objet & Champ d'application

Le présent Contrat de Sous-traitance des Données (ci-après « DPA ») régit le traitement des données à caractère personnel effectué par PrestEdu pour le compte de l'Établissement dans le cadre de l'utilisation de la plateforme de gestion des présences et d'émargement électronique.

Article 2 — Rôles et Responsabilités (Art. 28 RGPD)

• L'Établissement agit en tant que Responsable du Traitement. Il détermine les finalités et la légitimité de la collecte des données d'assiduité de ses apprenants et formateurs.
• PrestEdu agit exclusivement en qualité de Sous-Traitant. Il ne traite les données que sur instructions documentées de l'Établissement et pour les seuls besoins du service.

Article 3 — Nature des Données & Minimisation Géographique

Les catégories de données traitées comprennent : noms, prénoms, adresses e-mail professionnelles/étudiantes, identifiants de session, horodatages d'émargement et motifs d'absence avec pièces justificatives associées.

Principe de minimisation stricte de localisation : Le système ne conserve à aucun moment les coordonnées GPS exactes (latitude / longitude). Seuls le statut relatif (« dans le périmètre » / « hors zone ») et la distance euclidienne relative sont transitoirement analysés comme indicateur d'aide à la décision.

Article 4 — Localisation & Hébergement dans l'Union Européenne

PrestEdu s'engage formellement à ce que l'ensemble des données personnelles, métadonnées et fichiers d'émargement soient exclusivement hébergés dans des centres de données situés sur le territoire de l'Union Européenne (Région Europe de l'Ouest / Francfort / Paris), sans transfert hors UE.

Article 5 — Mesures de Sécurité & Défense en Profondeur

PrestEdu met en œuvre des mesures techniques et organisationnelles renforcées :

• Chiffrement de bout en bout des flux (TLS 1.3, HSTS strict, CSP défensive).
• Isolation multi-tenant au niveau de la base de données via Row Level Security (RLS) hermétique.
• Journaux d'audit immuables pour toute intervention administrative ou modification de présence.
• Sauvegardes quotidiennes chiffrées avec rétention redondante.

Article 6 — Durée de Conservation & Purge Automatisée

Les données d'émargement sont conservées pour la durée strictement nécessaire à la justification des actions de formation auprès des organismes financeurs (OPCO, Régions, Caisse des Dépôts), par défaut fixée à 3 ans. À l'issue de ce délai, les données nominatives sont automatiquement purgées ou anonymisées de manière irréversible.

Article 7 — Exercice des Droits des Personnes (Art. 15 à 22 RGPD)

PrestEdu met à disposition des outils d'export structuré (droit d'accès et portabilité) et des modules d'anonymisation (droit à l'effacement) pour permettre au Responsable du Traitement de répondre aux demandes d'exercice de droits sous 30 jours calendaires.

Article 8 — Notification des Violations de Données

En cas d'incident de sécurité affectant l'intégrité ou la confidentialité des données, PrestEdu s'engage à en informer le Responsable du Traitement dans un délai maximal de 48 heures à compter de sa découverte, accompagné des éléments nécessaires à la notification auprès de la CNIL.