Accord de traitement des données — EduKit

Version : 1.0.0

Date : 20 avril 2026

Statut : En vigueur

Historique des versions

Version	Date	Description
1.0.0	20/04/2026	Création

Préambule

Le présent Accord de traitement des données (ci-après « DPA ») est conclu entre :

EduKit ([Raison sociale], [Adresse]), ci-après « le Sous-traitant »

L’établissement client ayant souscrit un contrat de service avec EduKit, représenté par l’Administrateur d’établissement ayant accepté le présent DPA lors de la création de son compte, ci-après « le Responsable de traitement ».

Le présent DPA complète les Conditions Générales d’Utilisation et la Politique de confidentialité d’EduKit. En cas de contradiction, les stipulations du présent DPA prévalent sur les CGU pour tout ce qui concerne le traitement des données personnelles des utilisateurs finaux.

Il est conclu conformément à l’article 28 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD).

1. Définitions

Terme	Définition
Données personnelles	Toute information se rapportant à une personne physique identifiée ou identifiable au sens de l’article 4 du RGPD
Traitement	Toute opération appliquée à des données personnelles au sens de l’article 4 du RGPD
Responsable de traitement	L’établissement client qui détermine les finalités et les moyens du traitement
Sous-traitant	EduKit, qui traite les données pour le compte du Responsable de traitement
Utilisateurs finaux	Les élèves et enseignants dont les comptes sont créés par l’Administrateur d’établissement
Violation de données	Toute violation de la sécurité entraînant la destruction, la perte, l’altération ou la divulgation non autorisée de données personnelles

2. Objet et durée du traitement

2.1 Objet

Le présent DPA définit les conditions dans lesquelles EduKit est autorisée à traiter des données personnelles pour le compte de l’établissement dans le cadre de la fourniture de la Plateforme EduKit.

2.2 Durée

Le présent DPA prend effet à la date d’acceptation par l’Administrateur d’établissement et reste en vigueur pendant toute la durée du contrat de service. Il prend fin automatiquement à la résiliation du contrat, sous réserve des obligations de conservation prévues à l’article 5.

3. Nature et finalités du traitement

EduKit traite les données personnelles des utilisateurs finaux aux seules fins suivantes :

Finalité	Description
Gestion des comptes utilisateurs	Création, modification et suppression des comptes des élèves et enseignants
Contrôle d’accès	Attribution et vérification des droits d’accès aux environnements provisionnés
Authentification	Vérification de l’identité des utilisateurs lors de la connexion
Provisioning des environnements	Association des utilisateurs aux ressources virtuelles qui leur sont allouées
Audit et traçabilité	Journalisation des actions effectuées sur la Plateforme à des fins de sécurité
Support technique	Résolution d’incidents signalés par le Responsable de traitement

Tout traitement à d’autres fins est strictement interdit, sauf instruction écrite préalable du Responsable de traitement.

4. Catégories de données et de personnes concernées

4.1 Personnes concernées

Élèves et apprenants de l’établissement
Enseignants et formateurs de l’établissement

4.2 Catégories de données traitées

Catégorie	Données
Données d’identification	Nom, prénom, identifiant de compte
Données de contact	Adresse email
Données de rôle	Profil (élève / enseignant), groupe, promotion
Données de connexion	Date et heure de connexion, adresse IP
Données d’usage	Actions effectuées sur la Plateforme, ressources consommées

EduKit ne traite aucune donnée sensible au sens de l’article 9 du RGPD (données de santé, opinions politiques, etc.) dans le cadre du service.

5. Obligations du Sous-traitant (EduKit)

5.1 Traitement sur instruction

EduKit s’engage à traiter les données personnelles uniquement sur instruction documentée du Responsable de traitement, sauf obligation légale contraire. En cas d’obligation légale, EduKit en informera l’établissement dans les meilleurs délais, sauf interdiction légale.

5.2 Confidentialité

EduKit s’engage à garantir que les personnes autorisées à traiter les données personnelles sont soumises à une obligation de confidentialité appropriée.

5.3 Sécurité

EduKit met en œuvre les mesures techniques et organisationnelles suivantes pour protéger les données :

Chiffrement des données en transit (TLS 1.2 minimum) et au repos
Contrôle d’accès basé sur les rôles (RBAC) avec principe du moindre privilège
Authentification centralisée via Keycloak
Isolation des environnements par tenant (segmentation réseau)
Journalisation des accès aux données
Sauvegardes régulières avec procédure de restauration testée
Plan de reprise d’activité documenté

5.4 Sous-traitance ultérieure

EduKit peut faire appel à des sous-traitants ultérieurs pour la fourniture du service. La liste des sous-traitants ultérieurs actuels est disponible à l’adresse [URL] et sera mise à jour en cas de changement.

EduKit informera le Responsable de traitement de tout changement de sous-traitant ultérieur avec un préavis de 30 jours, lui permettant de s’y opposer. Tout sous-traitant ultérieur est soumis aux mêmes obligations que celles du présent DPA.

5.5 Assistance au Responsable de traitement

EduKit s’engage à assister le Responsable de traitement dans le respect de ses obligations RGPD, notamment pour :

Répondre aux demandes d’exercice de droits des personnes concernées (accès, rectification, effacement, etc.) dans un délai de 5 jours ouvrés suivant la réception de la demande
La réalisation d’analyses d’impact (AIPD) si nécessaire
La notification des violations de données aux autorités compétentes

5.6 Notification des violations de données

En cas de violation de données personnelles, EduKit s’engage à en informer le Responsable de traitement dans les 48 heures suivant sa prise de connaissance, par email à l’adresse de l’Administrateur d’établissement. La notification contiendra :

La nature de la violation et les catégories de données concernées
Le nombre approximatif de personnes concernées
Les conséquences probables de la violation
Les mesures prises ou envisagées pour y remédier

5.7 Conservation et suppression des données

À l’expiration du présent DPA ou sur instruction du Responsable de traitement, EduKit s’engage à :

Supprimer l’ensemble des données personnelles des utilisateurs finaux dans un délai de 30 jours
Fournir une attestation de suppression sur demande

Les données de facturation et les logs d’audit peuvent être conservés au-delà de ce délai dans les limites prévues par la réglementation applicable.

5.8 Audit et documentation

EduKit met à disposition du Responsable de traitement toute information nécessaire pour démontrer le respect des obligations du présent DPA, et permet la réalisation d’audits ou d’inspections, directement ou via un tiers mandaté, avec un préavis de 30 jours.

6. Obligations du Responsable de traitement (Établissement)

Le Responsable de traitement s’engage à :

Fournir à EduKit des instructions documentées et licites relatives au traitement des données
S’assurer que les personnes concernées (élèves, enseignants) ont été informées du traitement de leurs données et, le cas échéant, ont donné leur consentement
Vérifier que les données transmises à EduKit sont exactes et à jour
Notifier EduKit de toute modification susceptible d’affecter le traitement (changement de périmètre, nouveaux types de données, etc.)
Ne pas transmettre à EduKit de données sensibles au sens de l’article 9 du RGPD sans accord préalable écrit

7. Transferts de données hors UE

EduKit s’engage à ne pas transférer les données personnelles des utilisateurs finaux en dehors de l’Espace Économique Européen (EEE) sans :

L’accord préalable écrit du Responsable de traitement
La mise en place de garanties appropriées (clauses contractuelles types, décision d’adéquation, etc.) conformément aux articles 44 à 49 du RGPD

8. Responsabilité

Chaque partie est responsable du respect de ses propres obligations au titre du RGPD. En cas de manquement d’EduKit à ses obligations de sous-traitant ayant causé un dommage au Responsable de traitement ou aux personnes concernées, la responsabilité d’EduKit est engagée dans les limites prévues par les CGU.

9. Modifications du DPA

EduKit se réserve le droit de modifier le présent DPA pour tenir compte de l’évolution de la réglementation ou des services fournis. Le Responsable de traitement sera notifié par email avec un préavis de 30 jours. En cas de désaccord, il peut résilier le contrat de service conformément aux CGU.

10. Droit applicable

Le présent DPA est soumis au droit français et aux dispositions du RGPD. En cas de litige, les parties s’efforceront de trouver une solution amiable avant tout recours judiciaire.

Annexe — Liste des sous-traitants ultérieurs

Sous-traitant	Rôle	Pays
[Hébergeur]	Infrastructure serveur et stockage	[Pays UE]
[Monitoring]	Supervision et alerting	[Pays UE]
[Emailing]	Notifications transactionnelles	[Pays UE]

Cette liste est susceptible d’évoluer conformément à l’article 5.4 du présent DPA.

Document établi conformément à l’article 28 du Règlement (UE) 2016/679 (RGPD).