Accord de sous-traitance des données — EduRegie

Modèle. Il s'agit d'un accord de base rédigé de manière professionnelle sur la base de la structure standard d'un accord de sous-traitance RGPD (art. 28 RGPD). Faites-le valider par un juriste avant de le signer réellement avec une école — en particulier, la clause de responsabilité (article 9) mérite un regard adapté à chaque client.

Entre :

[Nom de l'école], dont le siège est établi à [lieu], ci-après : le « Responsable du traitement »

et

Elhoucine Automation, établi à Almere, KVK 70739862, ci-après : le « Sous-traitant »

ensemble également : les « Parties ».

1. Objet et durée

1.1 Le présent accord de sous-traitance est une annexe à l'accord entre les Parties pour l'utilisation d'EduRegie (ci-après : le « Service ») et régit le traitement des données à caractère personnel que le Sous-traitant effectue pour le compte du Responsable du traitement.

1.2 Le présent accord s'applique pendant la durée de l'accord sous-jacent et prend fin de plein droit à la résiliation de celui-ci, sans préjudice des obligations qui, de par leur nature, perdurent (dont la confidentialité et l'obligation de suppression/restitution de l'article 8).

2. Objet, nature et finalité du traitement

2.1 Le Sous-traitant traite les données à caractère personnel uniquement aux fins suivantes : l'enregistrement de l'absentéisme du personnel, la détermination de l'impact sur l'emploi du temps, le conseil et l'enregistrement des choix de remplacement, l'information des responsables de planning et des chefs d'équipe, et la génération de statistiques de gestion — le tout pour le compte du Responsable du traitement.

2.2 Catégories de personnes concernées : le personnel (enseignants, personnel de soutien éducatif) et, indirectement et uniquement à des fins opérationnelles (jamais quant au motif de l'absence), les élèves dans la mesure où des modifications d'emploi du temps leur sont montrées.

2.3 Catégories de données à caractère personnel : nom, coordonnées (adresse e-mail professionnelle, numéro de téléphone), fonction/équipe, statut et période d'absence, canal de signalement, impact sur l'emploi du temps, actions de remplacement, et notes opérationnelles de transmission.

2.4 Explicitement exclues du traitement : le diagnostic, le motif de la maladie, les plaintes, le traitement médical ou la médication, les documents médicaux, ou toute autre catégorie particulière de données à caractère personnel au sens de l'art. 9 RGPD. Le Responsable du traitement veille à ce que de telles données ne soient jamais saisies dans les champs de texte libre du Service ; le Sous-traitant ne propose aucune possibilité de saisie à cet effet dans le portail utilisateur habituel.

3. Instructions

3.1 Le Sous-traitant traite les données à caractère personnel uniquement sur la base d'instructions écrites (y compris électroniques) du Responsable du traitement, telles que consignées dans l'accord sous-jacent, sauf si une obligation légale impose au Sous-traitant de procéder au traitement.

3.2 Le Sous-traitant informe sans délai le Responsable du traitement si, à son avis, une instruction est contraire au RGPD ou à toute autre législation applicable en matière de protection de la vie privée.

4. Confidentialité

4.1 Le Sous-traitant impose à toute personne ayant accès aux données à caractère personnel sous son autorité une obligation de confidentialité, sauf si cette personne est déjà tenue par une obligation légale de confidentialité.

5. Sécurité

5.1 Le Sous-traitant prend des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Voir l'Annexe Sécurité (beveiligingsbijlage.md) pour les mesures concrètes.

5.2 Le Responsable du traitement évalue si les mesures décrites dans l'Annexe Sécurité offrent un niveau approprié compte tenu de la nature des données traitées, et informe le Sous-traitant par écrit si des mesures supplémentaires sont jugées nécessaires.

6. Recours à des sous-traitants ultérieurs

6.1 Le Responsable du traitement donne au Sous-traitant une autorisation générale de recourir à des sous-traitants ultérieurs, à condition qu'ils figurent sur la Liste des sous-traitants ultérieurs (subverwerkerslijst.md).

6.2 Le Sous-traitant informe le Responsable du traitement au moins [30] jours avant qu'un nouveau sous-traitant ultérieur ne soit engagé ou remplacé, afin que le Responsable du traitement puisse s'y opposer pour des motifs raisonnables liés au RGPD.

6.3 Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations que celles prévues dans le présent accord, et reste pleinement responsable envers le Responsable du traitement des actes et omissions du sous-traitant ultérieur.

7. Obligation de notification des violations de données

7.1 Le Sous-traitant notifie au Responsable du traitement toute violation (suspectée) de données à caractère personnel qu'il traite sans retard injustifié, et en tout état de cause dans les 48 heures suivant le moment où il en a eu connaissance — afin que le Responsable du traitement puisse lui-même respecter à temps (dans les 72 heures suivant sa propre prise de connaissance) l'obligation légale de notification à l'autorité de contrôle.

7.2 La notification contient au moins : la nature de la violation de données, les catégories (présumées) et le nombre de personnes concernées et de données, les mesures prises et proposées, et les coordonnées pour toute question complémentaire. Voir aussi la Procédure d'incident (incidentprocedure.md).

8. Assistance, suppression et restitution

8.1 Le Sous-traitant apporte au Responsable du traitement une assistance raisonnable pour répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition), pour la réalisation d'une AIPD, et pour la concertation avec l'autorité de contrôle.

8.2 À la résiliation de l'accord, le Sous-traitant supprime ou restitue — au choix du Responsable du traitement — toutes les données à caractère personnel dans un délai de [30] jours, sauf si une obligation légale de conservation en dispose autrement. Voir aussi la Politique de conservation des données (dataretentiebeleid.md).

9. Responsabilité

9.1 La responsabilité entre les Parties pour les dommages découlant du présent accord de sous-traitance est régie conformément à la clause de responsabilité de l'accord-cadre sous-jacent.

Remarque du modèle : insérez ici la clause de responsabilité réelle des conditions générales/du contrat pilote, ou formulez une disposition spécifique en concertation avec un juriste.

10. Audit

10.1 Le Sous-traitant fournit au Responsable du traitement, sur demande, les informations raisonnablement nécessaires pour démontrer le respect des obligations du présent accord, et autorise les audits effectués par ou pour le compte du Responsable du traitement, moyennant un délai de préavis raisonnable et pas plus d'une fois par an (sauf en cas de soupçon concret de violation de données).

Signature