Accord de sous-traitance de données personnelles
Annexe aux conditions générales de service Tevna — article 28 du RGPD — version 1.1 du 4 novembre 2026
1. Objet
Le présent accord fixe les conditions dans lesquelles l'Éditeur (Liliad), sous-traitant, traite des données personnelles pour le compte du Client, responsable de traitement, dans le cadre du service Tevna. Il fait partie du Contrat ; en cas de contradiction sur la protection des données, il prévaut sur les CGS.
2. Description des traitements
| Finalité | Fourniture du Service : gestion administrative et pédagogique des candidats, apprenants, entreprises, maîtres d'apprentissage et formateurs ; contrats et financements ; assiduité ; qualité ; communications avec ces personnes ; hébergement, sauvegarde, sécurité et assistance. |
|---|---|
| Personnes concernées | Candidats, apprenants et anciens apprenants, représentants légaux, contacts des entreprises, maîtres d'apprentissage, formateurs, membres de l'équipe du Client, prospects du Client. |
| Catégories de données | Identité, coordonnées, parcours scolaire et professionnel, CV, données de contrat et de financement, présences et absences, évaluations et notes, échanges et documents, données de connexion. Le cas échéant, données sensibles que le Client choisit de traiter (par exemple aménagements liés à un handicap), sous sa responsabilité. |
| Durée | Durée du Contrat, puis 30 jours de réversibilité (article 12 des CGS), puis effacement ; les sauvegardes s'effacent au plus tard 30 jours après. |
3. Obligations de l'Éditeur
L'Éditeur s'engage à :
- ne traiter les données que sur instruction documentée du Client, constituée par le Contrat, le paramétrage du Service et les demandes écrites du Client, et l'informer si une instruction lui paraît contraire à la réglementation ;
- garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter y soient tenues ;
- mettre en œuvre les mesures de sécurité décrites à l'article 6 ;
- ne recourir à un sous-traitant ultérieur que dans les conditions de l'article 4 ;
- tenir un registre des catégories d'activités de traitement effectuées pour le compte du Client (article 30.2 du RGPD) ;
- aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, limitation, portabilité, opposition), notamment au moyen des fonctions d'export et de suppression du Service ;
- aider le Client à garantir la sécurité, à notifier les violations de données et, le cas échéant, à réaliser une analyse d'impact et, le cas échéant, la consultation préalable de la CNIL (articles 32 à 36 du RGPD) ;
- au terme du Contrat, restituer puis supprimer les données conformément à l'article 12 des CGS, y compris chez ses sous-traitants ultérieurs, et en justifier sur demande ;
- mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permettre des audits, dans les conditions de l'article 7.
4. Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants ultérieurs ci-dessous. L'Éditeur informe le Client par écrit de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime lié à la protection des données, et, à défaut d'accord, résilier le Contrat sans frais. L'Éditeur impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent accord.
| Sous-traitant | Service | Localisation des données | Garanties |
|---|---|---|---|
| Supabase, Inc. | Base de données, authentification, stockage des fichiers, fonctions serveur | Union européenne (région choisie : Paris, Irlande ou Francfort) ; accès support possible depuis les États-Unis | Clauses contractuelles types de la Commission européenne |
| Vercel, Inc. | Hébergement et diffusion des interfaces web (pas de stockage de la base de données) | Réseau mondial ; les requêtes peuvent transiter hors de l'UE | Clauses contractuelles types ; cadre UE–États-Unis de protection des données |
| GitHub, Inc. (Microsoft) | Conservation des sauvegardes quotidiennes, chiffrées par l'Éditeur avant envoi (30 jours) | États-Unis ; données illisibles sans la clé de chiffrement, gérée par l'Éditeur et conservée séparément | Clauses contractuelles types ; cadre UE–États-Unis |
| Anthropic, PBC (modèles Claude) — uniquement si le Client souscrit les fonctions d'IA ; sinon aucun accès n'est configuré | Analyse et amélioration de CV, aide à la rédaction (comptes rendus, livrets, documents qualité), génération de contenus pédagogiques, veille réglementaire Qualiopi par recherche web (sans donnée personnelle). Les données de santé ou relatives au handicap ne sont jamais transmises. | États-Unis | Clauses contractuelles types ; données non utilisées pour l'entraînement des modèles (offre API) [vérifier l'entité contractante et l'accord de traitement des données Anthropic signés par l'Éditeur] |
| OpenAI (OpenAI Ireland Ltd pour l'Espace économique européen) — uniquement si le Client le demande, comme secours du précédent ; sinon aucun accès n'est configuré | Mêmes traitements, seulement quand Anthropic est indisponible. Les données de santé ou relatives au handicap ne sont jamais transmises. | États-Unis | Clauses contractuelles types ; données non utilisées pour l'entraînement des modèles (offre API) |
| Brevo (Sendinblue SAS) ou Amazon Web Services EMEA — selon le canal d'envoi choisi par le Client | Envoi et suivi des e-mails automatiques (enquêtes, relances) | Union européenne (Amazon : région configurée dans l'UE) | Accord de sous-traitance du prestataire |
| Google Ireland Ltd (Firebase Cloud Messaging) | Notifications sur téléphone et navigateur des Utilisateurs qui les activent (titre et court message) | Union européenne / États-Unis | Clauses contractuelles types ; cadre UE–États-Unis |
| Google Ireland Ltd (Google Maps Platform) | Recherche d'informations publiques sur les entreprises (adresse, coordonnées) pour compléter leurs fiches | Union européenne / États-Unis | Clauses contractuelles types ; cadre UE–États-Unis |
Les services que le Client connecte lui-même avec ses propres comptes (messagerie Google ou Microsoft, régies publicitaires Meta et Google, téléphonie, visioconférence, signature électronique, logiciels comptables, etc.) sont des prestataires du Client et non des sous-traitants ultérieurs de l'Éditeur (article 9 des CGS).
5. Transferts hors de l'Union européenne
La base de données et les fichiers du Client sont stockés dans l'Union européenne. Les seuls transferts hors de l'Union sont ceux indiqués à l'article 4 — dont les sauvegardes, chiffrées avant leur envoi — et sont encadrés par les garanties mentionnées. L'Éditeur n'effectue aucun autre transfert sans l'accord écrit préalable du Client.
6. Mesures de sécurité
- environnement dédié par client : base de données, stockage et adresses propres, sans partage avec d'autres clients ;
- chiffrement des communications (HTTPS) et des données au repos chez l'hébergeur ;
- contrôle d'accès par rôle et par droit, appliqué au niveau de la base de données ; double authentification obligatoire pour l'équipe du Client ; accès des comptes externes limités à leurs propres données ;
- sauvegarde quotidienne chiffrée, conservée 30 jours hors de l'hébergeur principal, relue chaque semaine ;
- surveillance automatique horaire et alertes ; journal des actions sensibles ;
- secrets techniques stockés dans des coffres dédiés, jamais dans le code ; accès d'administration de l'Éditeur limités et nominatifs.
7. Audits
Le Client peut demander par écrit, une fois par an au plus (et en outre après une violation de données), les informations nécessaires pour vérifier le respect du présent accord. Un audit sur place ou technique peut être réalisé à ses frais, par un auditeur tenu au secret et non concurrent de l'Éditeur, moyennant un préavis de 30 jours et sans perturber le Service ni compromettre la sécurité des autres clients.
8. Violations de données
L'Éditeur notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées. Il appartient au Client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.
9. Point de contact
Pour toute question relative au présent accord : [adresse e-mail du point de contact données personnelles de l'Éditeur].
10. Responsabilité du Client
Le Client garantit la licéité des traitements qu'il réalise avec le Service (base légale, information des personnes, durées de conservation, registre des traitements) et répond de l'usage qu'en font ses Utilisateurs.