Accord de traitement des données

Entre les parties

• L’établissement : [à compléter], représenté par [à compléter], en qualité de [à compléter], adresse [à compléter], ci-après le « Responsable du traitement ».
• Le Prestataire : Aymen Amri, Entrepreneur individuel (personne physique), assujetti à la TVA (régime réel), [Matricule fiscal : à compléter], [Adresse professionnelle : à compléter], Tunisie, ci-après le « Sous-traitant ».

1. Objet

Le Sous-traitant fournit la plateforme Raqim au Responsable du traitement, selon les conditions générales. Il traite les données personnelles uniquement pour fournir ce service, dans le respect de la loi organique n° 2004-63 du 27 juillet 2004 et de ses textes d’application.

2. Description du traitement

3. Obligations du Responsable du traitement

• Déterminer les données collectées et leur finalité, et disposer d’une base légale pour chaque traitement.
• Informer les personnes concernées et recueillir les consentements nécessaires, notamment celui du tuteur légal pour les mineurs.
• Accomplir les formalités qui lui incombent auprès de l’Instance nationale de protection des données personnelles (INPDP), y compris pour le transfert de données hors de Tunisie décrit à l’article 7.
• Ne saisir des données de santé ou d’autres données sensibles que si c’est nécessaire et autorisé.
• Gérer les accès de ses utilisateurs et retirer ceux des personnes qui quittent l’établissement.

4. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Responsable du traitement : le contrat, les réglages de la plateforme et les demandes écrites. Il l’informe si une instruction lui paraît contraire à la loi.
• Ne jamais vendre, louer ni utiliser les données à ses propres fins, notamment publicitaires.
• Garantir la confidentialité : seules les personnes habilitées par le Sous-traitant accèdent aux données, et uniquement pour le support, la maintenance ou la sécurité.
• Aider le Responsable du traitement à répondre aux demandes d’accès, de rectification et d’opposition des personnes concernées.
• Tenir à sa disposition les informations nécessaires pour démontrer le respect de cet accord.

5. Sécurité

• Chiffrement des échanges (HTTPS) et des données stockées.
• Cloisonnement entre établissements et contrôle des accès par rôle, appliqués dans la base de données elle-même.
• Accès des parents aux dossiers d’un enfant uniquement après vérification de l’autorité parentale par l’établissement.
• Pièces justificatives stockées dans un espace privé, sans lien public.
• Mots de passe robustes obligatoires ; clés d’administration réservées aux serveurs.
• Historique non effaçable des opérations sensibles : paiements, caisse, présences, paie.
• Sauvegardes quotidiennes de la base de données.

6. Sous-traitants ultérieurs

Le Responsable du traitement autorise le recours aux prestataires suivants :

Le Sous-traitant informe le Responsable du traitement au moins 30 jours avant tout ajout ou remplacement de prestataire. Le Responsable du traitement peut s’y opposer pour un motif légitime ; à défaut d’accord, il peut résilier sans pénalité. Le Sous-traitant impose à ses prestataires des obligations de protection équivalentes.

7. Transferts hors de Tunisie

Les prestataires ci-dessus sont établis ou disposent de serveurs hors de Tunisie. Les données de la plateforme sont stockées dans l’Union européenne. Le Sous-traitant fournit au Responsable du traitement les informations nécessaires à ses formalités auprès de l’INPDP.

8. Violation de données

En cas de violation de données personnelles (accès non autorisé, perte, divulgation), le Sous-traitant prévient le Responsable du traitement dans les 48 heures après en avoir eu connaissance. Il décrit la nature de l’incident, les données et personnes concernées, les conséquences probables et les mesures prises, puis l’aide à gérer l’incident et à informer les personnes et autorités si nécessaire.

9. Fin du contrat

À la fin du contrat, le Responsable du traitement peut exporter ses données pendant 90 jours. Ensuite, le Sous-traitant supprime les données de la plateforme ; les copies de sauvegarde disparaissent au terme de leur cycle de conservation normal. Sur demande, il confirme la suppression par écrit.

10. Audit

Le Responsable du traitement peut, une fois par an et avec un préavis de 30 jours, demander les documents décrivant les mesures de sécurité ou faire réaliser un audit par une personne tenue au secret, à ses frais et sans perturber le service.

Signatures