Accord de traitement des données

1. Introduction

1.1 Le présent Accord de traitement des données (« DPA ») régit le traitement des données personnelles par Scholé Sàrl, EPFL IC IINFCOM ML4ED — INF 231 (Bâtiment INF) — Station 14, 1015 Lausanne, Suisse (« Prestataire ») pour le compte de toute organisation ou personne utilisant la plateforme Scholé et les services associés (« Client »). Le présent DPA fait partie intégrante de l'accord entre le Client et le Prestataire et reflète l'engagement des parties concernant le traitement et la sécurité des Données Personnelles du Client.

1.2 Les termes « personne concernée », « traitement », « responsable du traitement » (respectivement « maître du fichier ») et « sous-traitant » utilisés dans le présent DPA ont la signification qui leur est attribuée par la Législation suisse sur la protection des données ou le RGPD, selon leur champ d'application respectif. Les termes en majuscules sont définis à la Section 12.

2. Législations sur la protection des données

2.1 Les législations suivantes sur la protection des données peuvent, selon les circonstances, s'appliquer au traitement des Données Personnelles du Client :

La Législation suisse sur la protection des données
Le Règlement général sur la protection des données de l'UE (RGPD)
Toute autre Législation applicable sur la protection des données

2.2 Sauf indication contraire, les dispositions du présent DPA s'appliquent quelle que soit la législation applicable au traitement des Données Personnelles du Client.

3. Traitement des données

3.1 Rôles et conformité

3.1.1 Si la Législation suisse sur la protection des données ou le RGPD s'appliquent : (a) le Client est responsable du traitement, ou sous-traitant pour un tiers, des Données Personnelles du Client ; (b) le Prestataire est sous-traitant des Données Personnelles du Client, sauf lorsqu'il traite les données pour se conformer à des obligations légales ou pour ses opérations internes liées à la fourniture des services (auquel cas il agit en tant que responsable du traitement indépendant) ; et (c) chaque partie doit respecter ses obligations en vertu de la législation applicable.

3.1.2 Si le Client est sous-traitant pour un tiers, le Client garantit avoir obtenu l'autorisation expresse préalable du responsable du traitement concerné concernant les instructions du Client et la désignation du Prestataire comme autre sous-traitant.

3.2 Étendue du traitement

3.2.1 Le Prestataire traite les Données Personnelles du Client conformément au présent DPA. En tant que sous-traitant, le Prestataire s'engage à ne traiter les Données Personnelles du Client que sur instructions documentées du Client, sauf si une législation applicable au Prestataire exige un autre traitement, auquel cas le Prestataire en informe le Client avant le traitement.

3.2.2 En acceptant le présent DPA, le Client donne instruction au Prestataire de ne traiter les Données Personnelles du Client que pour fournir et améliorer les Services, conformément au présent DPA et à l'Accord applicable. Toute instruction supplémentaire ou alternative doit être convenue par écrit.

3.3 Obligations du Client

Le Client est responsable de la qualité, de la licéité et de la pertinence des Données du Client traitées dans le cadre des Services et est responsable envers les tiers affectés par le traitement. En particulier, le Client doit :

Fournir aux personnes concernées des informations suffisantes sur la collecte et le traitement de leurs données personnelles
Obtenir le consentement valide des personnes concernées lorsque la Législation applicable sur la protection des données l'exige
Assurer le respect de tous les droits des personnes concernées (ex. droit d'accès et de rectification, droit d'opposition) et des obligations envers les autorités compétentes
Ne déléguer au Prestataire que les opérations de traitement que le Client serait lui-même autorisé à effectuer

3.4 Responsabilité

Le Client assume l'entière responsabilité du traitement des Données Personnelles du Client dans le cadre des Services. Le Client reconnaît et accepte que le Prestataire considère tout traitement des Données Personnelles du Client dans le cadre des Services, tel qu'autorisé par l'Accord, comme conforme à toutes les lois applicables.

4. Suppression des données

À la fin de la relation, le Client peut demander au Prestataire de transférer toutes les Données Personnelles du Client (y compris les copies existantes) au Client ou à un tiers désigné par le Client. Le Prestataire s'y conforme dès que possible, sauf s'il doit conserver tout ou partie des données pour des raisons techniques ou juridiques, auquel cas il stocke et traite ces données uniquement à ces fins et est en mesure de démontrer avoir pris les mesures techniques et organisationnelles appropriées.

5. Sécurité des données

5.1 Mesures de sécurité

5.1.1 Le Prestataire met en œuvre et maintient des mesures techniques et organisationnelles appropriées pour protéger les Données Personnelles du Client contre les Incidents de sécurité. Les données des clients sont :

Stockées en Suisse sur l'infrastructure Microsoft Azure
Chiffrées au repos et en transit
Logiquement séparées des données des autres clients
Protégées selon les meilleures pratiques de sécurité de l'industrie

5.1.2 Le Prestataire prend les mesures appropriées pour assurer le respect des mesures de sécurité par ses employés et sous-traitants, en veillant notamment à ce que toute personne autorisée à traiter les Données Personnelles du Client soit contractuellement tenue à la confidentialité ou soumise à une obligation légale de confidentialité appropriée.

5.2 Incidents de sécurité

5.2.1 Si le Prestataire prend connaissance d'un Incident de sécurité, il en informe le Client dès que possible par tout moyen utile, en décrivant la nature de l'incident, les mesures prises pour atténuer les risques potentiels et les mesures recommandées pour le Client.

5.2.2 Le Prestataire n'examine pas le contenu des Données du Client pour identifier le type de données concerné. Le Client est seul responsable du respect des obligations de notification applicables envers les autorités compétentes et/ou les personnes concernées. Le Prestataire fournit au Client une assistance raisonnable à cet égard.

5.3 Audits

5.3.1 Lorsque le RGPD s'applique, le Prestataire met à la disposition du Client tous les documents et informations raisonnablement nécessaires pour démontrer le respect de ses obligations au titre du présent DPA.

5.3.2 Lorsque le RGPD s'applique, le Prestataire permet au Client ou à un auditeur indépendant désigné par le Client de réaliser des audits (y compris des inspections) pour vérifier la conformité. Sauf circonstances exceptionnelles, le Client ne peut formuler plus d'une demande par an. Les demandes d'audit doivent être communiquées par écrit, en précisant les données concernées, les raisons, les obligations spécifiques à auditer, et l'engagement que les informations collectées ne seront utilisées que pour vérifier la conformité.

6. Assistance du Prestataire

6.1 Le Prestataire fournit, à la demande du Client, l'assistance raisonnablement nécessaire pour permettre au Client de respecter ses obligations en vertu de la Législation suisse sur la protection des données ou du RGPD.

6.2 Si le Prestataire reçoit une demande d'une personne concernée relative aux Données Personnelles du Client, il oriente la personne concernée vers le Client. Il incombe au Client seul de répondre à ces demandes.

6.3 Le Prestataire aide le Client à respecter ses obligations envers les personnes concernées, dans la mesure du raisonnable et compatible avec la fonctionnalité des Services, couvrant tous les droits prévus par la Législation applicable (accès, rectification, limitation, opposition, effacement et portabilité).

6.4 Lorsque le RGPD s'applique, le Prestataire s'engage à aider le Client à assurer le respect de ses obligations en matière d'analyse d'impact et de consultation préalable conformément aux articles 35 et 36 du RGPD ou à la Législation suisse sur la protection des données, dans la mesure où cela peut raisonnablement être attendu.

7. Transferts internationaux de données

7.1 Sauf disposition contraire, le Prestataire conserve et traite les Données Personnelles du Client en Suisse et dans l'Union européenne, ou dans un pays reconnu par la Commission européenne et la Suisse comme assurant un niveau adéquat de protection des données personnelles.

7.2 Le Prestataire informe le Client avant tout transfert vers un pays non mentionné ci-dessus et le Client s'engage à autoriser ce transfert à condition que le Prestataire puisse garantir un niveau de protection adéquat par tout moyen utile.

7.3 Lorsque le Prestataire fait appel à un sous-traitant ultérieur dans un pays tiers non reconnu comme assurant un niveau de protection adéquat, le Prestataire peut utiliser les Clauses contractuelles types de la Commission européenne, ou un autre mécanisme légal, pour se conformer au RGPD ou à la Législation suisse sur la protection des données.

8. Sous-traitance ultérieure

8.1 Le Client autorise le Prestataire à recourir à des sous-traitants ultérieurs, qui peuvent être des entités affiliées ou des tiers. Le Prestataire informe le Client à l'avance et par écrit de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, afin de permettre au Client de formuler des objections.

8.2 Le Prestataire s'assure que : (a) les sous-traitants ultérieurs n'accèdent aux Données Personnelles du Client et ne les traitent que dans la mesure nécessaire à l'exécution de leurs obligations ; (b) les sous-traitants ultérieurs ont des obligations contractuelles au moins équivalentes à celles du présent DPA ; et (c) lorsque le RGPD s'applique, les obligations prévues à l'article 28(3) du RGPD ont été imposées au sous-traitant ultérieur.

8.3 Le Client dispose de 30 jours après avoir été informé d'un ajout ou remplacement prévu pour formuler ses objections. Si le Prestataire confirme la désignation, le Client peut résilier l'Accord applicable avec effet immédiat par notification écrite dans les 14 jours. L'absence de réaction dans ces délais vaut acceptation.

La liste actuelle des sous-traitants ultérieurs, avec pour chacun le pays, la région de traitement, la finalité et la base de transfert, est publiée à l'adresse app.schole.ai/sub-processors.

9. Registre des activités de traitement

Le Client reconnaît que le Prestataire peut être tenu de collecter et conserver certaines informations (notamment le nom et les coordonnées de chaque sous-traitant et/ou responsable du traitement, et les catégories de traitement effectuées) et de mettre ces informations à la disposition de toute autorité compétente. Le Client s'engage à fournir au Prestataire toutes les informations raisonnablement nécessaires pour remplir ces obligations.

10. Contact pour les questions de protection des données

Si le RGPD exige que le Client désigne un délégué à la protection des données, le Client doit fournir les coordonnées de cette personne au Prestataire.

Toute communication au Prestataire relative au présent DPA et/ou à la protection des données doit être adressée à : Équipe Protection des données, privacy@schole.ai

11. Dispositions diverses

11.1 Les termes de tout Accord applicable s'appliquent à tous les aspects non couverts par le présent DPA.

11.2 En cas de conflit entre le présent DPA et les termes d'un Accord applicable, les termes du présent DPA prévalent, sous réserve des dérogations expressément prévues dans l'Accord.

11.3 Le présent DPA est en vigueur tant que le Client utilise les Services. Il reste en vigueur jusqu'à l'expiration ou la résiliation de l'Accord applicable, y compris toute période pendant laquelle le Prestataire continue à stocker les Données Personnelles du Client. Chaque partie peut résilier le présent DPA avec un préavis écrit de 6 mois.

11.4 Si une disposition du présent DPA est jugée invalide ou inapplicable, les parties la remplaceront par une disposition de substitution atteignant les mêmes objectifs juridiques et économiques. Le reste du DPA restera pleinement en vigueur.

11.5 Le présent DPA est régi par le droit suisse (sans référence à ses dispositions en matière de conflit de lois). Tout litige sera soumis à la compétence exclusive des tribunaux du siège du Prestataire, sous réserve du droit de recours au Tribunal fédéral suisse.

12. Définitions

« Accord » désigne tout accord entre le Client et le Prestataire concernant la fourniture des Services, y compris les Conditions générales d'utilisation.
« Législation applicable sur la protection des données » désigne la Législation suisse sur la protection des données, le RGPD et toute autre Législation applicable.
« Données du Client » désigne les données transmises par le Client au Prestataire, collectées par le Prestataire pour le compte du Client, ou générées par le Prestataire dans le cadre des Services.
« Données Personnelles du Client » désigne toute information relative à une personne physique identifiée ou identifiable contenue dans les Données du Client, conformément à la Législation applicable.
« RGPD » désigne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
« Incident de sécurité » désigne une violation de sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illicite aux Données Personnelles du Client.
« Services » désigne tous les services fournis par le Prestataire au Client, y compris la plateforme Scholé et les services associés.
« Législation suisse sur la protection des données » désigne la Loi fédérale sur la protection des données et ses ordonnances d'application, telles que modifiées de temps à autre.