Annexe RGPD formateur — projet
Cadre de sous-traitance des données de l’école : projet à compléter et à contractualiser.
Version du document : 15 octobre 2026. Coordonnées mises à jour le 15/10/2026.
1. Statut du document
PROJET À COMPLÉTER ET À CONTRACTUALISER. Cette annexe n’atteste pas à elle seule la conformité RGPD. L’identité des parties, les mesures techniques effectives, les prestataires, les transferts et les durées doivent être vérifiés et annexés avant signature.
2. Parties et rôles
Le formateur détermine les finalités des traitements pédagogiques qu’il organise pour son école. Atelier Trading traite les données nécessaires pour son compte uniquement dans ce périmètre et sur ses instructions documentées. Atelier Trading peut être responsable distinct pour sa propre facturation, ses obligations légales et certaines finalités de sécurité. Toute finalité partagée doit être qualifiée séparément.
3. Objet, opérations et personnes
Le périmètre couvre l’hébergement des comptes d’école, l’attribution des accès, le stockage de la progression, des devoirs, des résultats et des échanges nécessaires à la formation. Les personnes concernées sont les formateurs et élèves autorisés. Les catégories incluent identité et coordonnées, identifiants techniques, données pédagogiques, travaux et messages. Les champs libres ne doivent pas recevoir de catégories sensibles non nécessaires.
4. Instructions, confidentialité et sécurité
Le traitement est limité aux instructions documentées compatibles avec la loi. Les personnes autorisées sont soumises à une obligation de confidentialité. Les mesures à documenter incluent contrôle des rôles et des écoles, authentification, protection des secrets, limitation des tentatives, sauvegarde, restauration, journalisation adaptée et gestion des incidents. Les tests réalisés ne constituent pas une certification de sécurité.
5. Sous-traitants ultérieurs et transferts
Les prestataires identifiés par la configuration sont Sites d’OpenAI et Cloudflare pour l’hébergement et le stockage, Resend pour les e-mails transactionnels, et Stripe pour les paiements selon ses propres rôles. Les entités contractuelles, pays, fonctions, garanties et mécanismes de transfert hors EEE doivent être vérifiés et inscrits dans la liste contractuelle. L’autorisation des sous-traitants ultérieurs et les modalités d’information et d’objection doivent être convenues.
6. Droits, assistance et violations
Atelier Trading assiste le formateur dans la réponse aux droits des personnes et, selon son périmètre, dans ses obligations de sécurité et d’analyse d’impact. Toute violation concernant les données sous-traitées est portée à sa connaissance sans retard injustifié, avec les informations disponibles et les mises à jour utiles. La procédure et les contacts d’incident doivent être finalisés ; aucune absence de risque n’est garantie.
7. Durée, restitution et suppression
Le traitement lié au service dure pendant la relation contractuelle et selon les instructions licites du formateur. Le choix entre restitution et suppression, les formats, délais d’exécution, sauvegardes et exceptions légales doivent être renseignés avant signature. La fin d’un abonnement désactive l’accès mais ne démontre pas une suppression des données. Les obligations d’archivage propres au prestataire sont distinguées des données pédagogiques.
8. Justification et audits
Le prestataire met à disposition les informations nécessaires pour démontrer le respect de ses obligations de sous-traitant et permet les audits prévus par l’article 28, selon des modalités proportionnées convenues entre les parties. Il informe le formateur lorsqu’une instruction lui paraît contraire au RGPD. L’annexe est complétée par les instructions, la liste des prestataires et les mesures et durées effectivement applicables.
Informations contractuelles à compléter
La liste vérifiée des prestataires, les transferts et les durées figurent dans la politique de confidentialité. Ces éléments doivent être complétés et validés, avec les instructions et mesures de sécurité, avant signature de l’annexe.
Référence CNIL : contrat de sous-traitance et article 28