Accord de sous-traitance des données

Cet accord complète les conditions générales et répond à l'article 28 du Règlement général sur la protection des données (RGPD). Il s'applique dès qu'un Client utilise Oghamix, sans signature séparée. Le Client qui souhaite une version signée peut la demander à contact@oghamix.com.

1. Rôles

Le Client est responsable du traitement des données personnelles présentes dans ses démos et dans les statistiques de lecture. E-learning Touch', éditeur d'Oghamix, agit comme sous-traitant : il ne traite ces données que pour fournir le service, sur instruction documentée du Client. Les présentes conditions et les réglages de l'espace constituent ces instructions.

2. Données et personnes concernées

• Utilisateurs du Client (éditeurs, administrateurs) : nom, adresse e-mail, rôle, journal des actions dans l'espace.
• Personnes visibles sur les captures, dans les textes ou les voix enregistrés par le Client, quand il ne les a pas floutées.
• Lecteurs des démos : progression, temps passé, réponses aux quiz ; nom de l'apprenant et ses identifiants dans le LMS seulement quand la démo est lancée depuis un LMS (Moodle, LTI).

Oghamix n'a pas vocation à traiter des données sensibles au sens de l'article 9 du RGPD. Il revient au Client de ne pas en enregistrer, ou de les flouter avant le partage.

3. Engagements du sous-traitant

• Ne traiter les données que pour fournir Oghamix, jamais pour son propre compte, ni pour de la publicité, ni pour entraîner un modèle d'IA.
• Faire signer un engagement de confidentialité à toute personne qui y a accès, et limiter cet accès au strict nécessaire (support, maintenance).
• Prendre les mesures de sécurité décrites à l'article 5.
• Aider le Client à répondre aux demandes d'exercice des droits des personnes et, si besoin, à réaliser une analyse d'impact.
• Informer le Client si une instruction lui paraît contraire au RGPD.
• Tenir un registre des traitements effectués pour le compte du Client.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants suivants. Chacun est lié par des obligations de protection des données équivalentes à celles du présent accord.

Un espace Team qui utilise sa propre clé d'IA traite directement avec le fournisseur de son choix ; ce fournisseur n'est alors pas un sous-traitant d'E-learning Touch'. Le Client peut aussi couper l'IA.

Tout ajout ou remplacement de sous-traitant est annoncé au Client par e-mail au moins trente (30) jours à l'avance. Le Client peut s'y opposer pour un motif légitime ; à défaut d'accord, il peut résilier sans frais.

5. Sécurité

Les mesures en place sont détaillées sur la page Sécurité et RGPD. Elles comprennent notamment le chiffrement des échanges, l'hébergement et les sauvegardes quotidiennes en France, le cloisonnement des espaces de travail, des droits par rôle, la double authentification, le contrôle d'accès à chaque fichier et le floutage automatique des données repérées sur les captures.

Les membres de l'équipe Oghamix qui peuvent intervenir dans les espaces des Clients se connectent obligatoirement avec une double authentification. Les jetons de l'extension d'un utilisateur sont révoqués dès qu'il change de mot de passe. Quand une démo est lancée depuis un LMS, le nom de l'apprenant ne figure pas dans les adresses des fichiers chargés par le lecteur, qui n'utilisent qu'un identifiant sans signification.

6. Violation de données

E-learning Touch' notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir eu connaissance. La notification décrit la nature de la violation, les données et personnes concernées, ses conséquences probables et les mesures prises, pour permettre au Client de prévenir la CNIL dans le délai de 72 heures.

7. Durée de conservation et fin du contrat

• Les démos et leurs statistiques sont conservées tant que l'espace existe. Une démo supprimée reste trente (30) jours dans la corbeille, puis est effacée.
• Quand une démo est lancée depuis Moodle ou LTI, le nom de l'apprenant, ses identifiants dans le LMS et ses réponses au quiz sont conservés treize (13) mois après sa dernière lecture, puis effacés. Les statistiques de la lecture (progression, temps passé, score, achèvement) restent, sans lien avec la personne. Le score et l'achèvement déjà transmis au LMS y restent, selon les règles du Client.
• Quand le Client délie une plateforme Moodle ou LTI de son espace, les lectures qui en viennent sont anonymisées immédiatement, de la même façon.
• Un utilisateur peut supprimer son compte depuis son profil, sauf s'il est le seul administrateur d'un espace : il doit alors nommer un autre administrateur. Les démos qu'il a créées restent à l'organisation.
• Un espace gratuit sans activité pendant trois (3) mois est supprimé après deux rappels, selon l'article 3.1 des conditions générales.
• À la fin du contrat, le Client peut exporter ses démos ou demander une copie de ses données. La suppression d'un espace complet, avec ses démos et ses fichiers, est faite par l'équipe Oghamix à la demande d'un administrateur de l'espace. Les données sont alors effacées des serveurs ; elles disparaissent des sauvegardes au fil de leur rotation.

8. Audit

E-learning Touch' met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, par un auditeur tenu au secret, avec un préavis de trente (30) jours et au plus une fois par an, sauf violation de données avérée.