Protection des données

Annexe RGPD — accord de sous-traitance (article 28)

Cette annexe fait partie intégrante des CGU/CGV conclues entre gerermaformation.fr et chaque organisme de formation client.

Objet

La présente annexe précise les obligations respectives des parties concernant le traitement, par gerermaformation.fr (le sous-traitant), des données à caractère personnel des stagiaires, formateurs et personnel du centre client (le responsable de traitement), dans le cadre de l'exécution du contrat CGU/CGV, conformément à l'article 28 du RGPD.

Cette annexe s'applique pendant toute la durée du contrat CGU/CGV et jusqu'à la suppression complète des données conformément à la clause de réversibilité.

Hébergement, mise à disposition et fonctionnement de la plateforme de gestion administrative et pédagogique (sessions, émargement, documents, formulaires, contrats), pour la durée du contrat.

Stagiaires, formateurs et personnel du centre client.
Données d'identification et de contact, données de suivi pédagogique, documents et émargements, et le cas échéant des données relatives à des besoins d'aménagement particulier renseignées volontairement par le stagiaire (catégorie particulière de données au sens de l'article 9 du RGPD lorsqu'elles révèlent un handicap ou un état de santé).
Ces données ne sont collectées que si le stagiaire les renseigne lui-même dans le formulaire prévu à cet effet, et le centre client est seul responsable de la base légale de cette collecte auprès de ses stagiaires.

Traiter les données uniquement sur instruction documentée du client et pour les seules finalités du contrat.
Garantir que les personnes habilitées à traiter les données sont soumises à une obligation de confidentialité.
Mettre en œuvre les mesures de sécurité technique et organisationnelle appropriées (chiffrement des mots de passe, cloisonnement des données par centre via des règles d'accès en base, journalisation).
Ne recourir à un sous-traitant ultérieur qu'avec l'autorisation générale préalable du client, celui-ci étant informé de tout changement via la présente annexe.
Aider le client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées.
Notifier le client dans les meilleurs délais après avoir pris connaissance d'une violation de données.
Supprimer ou restituer, au choix du client, l'ensemble des données à caractère personnel à la fin de la relation contractuelle (selon les modalités prévues aux CGU/CGV : export possible pendant 30 jours).
Mettre à disposition du client les informations nécessaires pour démontrer le respect de ces obligations.

Supabase (hébergement base de données, authentification, stockage — Union européenne, région Frankfurt).
Lovable Labs Incorporated (hébergement applicatif et infrastructure d'envoi d'emails transactionnels).
OVH (gestion du nom de domaine).

Chiffrement des mots de passe, cloisonnement strict des données entre centres clients au niveau de la base de données, accès restreint selon le rôle de l'utilisateur (responsable, formateur, stagiaire), sauvegardes régulières assurées par l'hébergeur de la base de données.

Conformément à la clause « Résiliation et réversibilité des données » des CGU/CGV : export possible pendant 30 jours après résiliation, puis suppression définitive.