SkorUpArticle 1 — Objet et rôles
Le présent accord fait partie intégrante des conditions générales de vente de SkorUp. Il est accepté en même temps qu'elles, par case à cocher ; la date et la version acceptées sont conservées.
L'organisme client est responsable de traitement pour les données qu'il saisit ou fait saisir dans la plateforme. VB Formation agit pour son compte en qualité de sous-traitant.
En cas de contradiction entre le présent accord et les conditions générales de vente sur la protection des données, le présent accord prévaut.
Article 2 — Description du traitement
Nature des opérations : hébergement, stockage, consultation, mise en forme, génération et signature électronique de documents, envoi de courriers électroniques, suppression.
Finalité : fournir à l'organisme le service SkorUp, c'est-à-dire la gestion administrative et pédagogique de ses parcours de formation et d'accompagnement.
Personnes concernées : bénéficiaires et stagiaires, prospects, formateurs et intervenants, utilisateurs de l'organisme.
Catégories de données : identité, coordonnées, données du parcours (séances, émargements, documents, questionnaires, exercices), signatures électroniques, pièces déposées par les bénéficiaires (y compris, le cas échéant, des pièces d'identité), données de connexion.
L'organisme ne saisit des données sensibles au sens de l'article 9 du RGPD que si son activité l'exige, sous sa responsabilité.
Durée : celle de l'abonnement, augmentée du délai de restitution prévu à l'article 11.
Article 3 — Instructions
VB Formation traite les données uniquement sur instruction documentée de l'organisme. Constituent ces instructions : le présent accord, les conditions générales et les paramétrages et actions réalisés par l'organisme dans la plateforme.
VB Formation n'utilise pas ces données pour son propre compte : ni prospection, ni revente, ni constitution de fichiers, ni entraînement de modèles d'intelligence artificielle.
Si une instruction lui paraît contraire à la réglementation, VB Formation en informe immédiatement l'organisme.
Article 4 — Confidentialité
Les personnes autorisées à accéder aux données pour le compte de VB Formation sont soumises à une obligation de confidentialité.
Cet accès est limité à ce qui est nécessaire : assistance demandée par l'organisme, maintenance, sécurité du service.
Article 5 — Sécurité
VB Formation met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :
— chiffrement des échanges (HTTPS) et des données stockées chez l'hébergeur ;
— cloisonnement des données de chaque organisme directement dans la base de données ;
— profils d'accès distincts (administrateur, formateur, bénéficiaire), chaque utilisateur ne voyant que ce qui le concerne ;
— conservation des documents signés, qui ne peuvent pas être supprimés depuis l'application ;
— aucune clé d'administration exposée dans le navigateur, et mises à jour régulières du service.
Article 6 — Sous-traitants ultérieurs
L'organisme autorise VB Formation à recourir aux sous-traitants suivants :
— Supabase : hébergement de la base de données et des fichiers, infrastructure Amazon Web Services eu-west-1 (Irlande, Union européenne) ;
— Vercel (États-Unis) : hébergement de l'application et de ses fonctions serveur ;
— Resend (États-Unis) : envoi des courriers électroniques ;
— CloudConvert (Allemagne) et, en secours, ConvertAPI (Lituanie) : conversion de documents Word en PDF ;
— Microsoft : affichage de certains documents Word (visionneuse Office en ligne) ;
— Google : synchronisation des séances avec Google Agenda, uniquement pour les utilisateurs qui connectent leur agenda.
VB Formation impose à chacun des obligations de protection des données équivalentes et reste responsable envers l'organisme de leur respect.
Tout ajout ou remplacement est annoncé par courrier électronique à l'administrateur de l'organisme au moins trente jours à l'avance. L'organisme peut s'y opposer ; à défaut d'accord, il peut résilier son abonnement sans frais.
Article 7 — Localisation et transferts
La base de données et les fichiers de la plateforme sont hébergés dans l'Union européenne, dans la région AWS eu-west-1 (Irlande, Union européenne).
Certains sous-traitants sont établis aux États-Unis. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis lorsque le prestataire y adhère, et à défaut par les clauses contractuelles types de la Commission européenne.
Article 8 — Droits des personnes
La plateforme permet à l'organisme de consulter, corriger, exporter et supprimer les données de ses bénéficiaires.
Si une personne s'adresse directement à VB Formation, sa demande est transmise sans délai à l'organisme, qui y répond. VB Formation l'aide si nécessaire.
Article 9 — Violation de données
VB Formation informe l'organisme de toute violation de données personnelles dans un délai maximal de 48 heures après en avoir eu connaissance, par courrier électronique à son administrateur.
Cette information précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou envisagées. Elle est complétée au fur et à mesure.
Il appartient à l'organisme, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.
Article 10 — Assistance
VB Formation fournit à l'organisme les informations utiles pour réaliser une analyse d'impact ou consulter la CNIL lorsque cela est nécessaire.
Article 11 — Fin du contrat
Pendant l'abonnement, l'organisme peut exporter ses données à tout moment.
Après la résiliation, les données restent récupérables pendant soixante jours (trente jours pour un essai non poursuivi). Elles sont ensuite supprimées de manière irréversible, copies comprises, sous réserve des sauvegardes techniques de l'hébergeur, effacées selon leur propre cycle.
Article 12 — Documentation et audit
VB Formation tient à la disposition de l'organisme les informations nécessaires pour démontrer le respect du présent accord.
L'organisme peut faire réaliser un audit, une fois par an, moyennant un préavis de trente jours, à ses frais, par un auditeur tenu au secret, sans accès aux données des autres clients.
Article 13 — Obligations de l'organisme
L'organisme s'assure de la licéité des données qu'il saisit, informe les personnes concernées de leur traitement, définit les durées de conservation applicables à son activité et répond aux demandes d'exercice de droits.
Article 14 — Contact
Pour toute question relative au présent accord : contact@skorup.fr.