Contrat de sous-traitance (RGPD)

Ce contrat est obligatoire : l'article 28 du RGPD impose un écrit entre le responsable de traitement et son sous-traitant.

Qui est qui

Le formateur est responsable de traitement : ce sont ses apprenants, il décide de ce qu'on en fait.

La plateforme est sous-traitant : elle n'agit que sur instruction du formateur, et n'utilise ses données pour rien d'autre.

1. Objet et durée

La plateforme traite des données pour le compte du formateur, aux seules fins de fournir le service : hébergement et diffusion des formations ; gestion des accès (codes, invitations, ventes) ; suivi de progression, devoirs, quiz et attestations ; collecte des prospects de ses pages de vente ; emails du service envoyés en son nom (dont la relance d'inactivité, s'il l'active) ; protection des contenus.

Ce contrat s'applique dès la création de l'espace, quelle que soit sa formule, y compris Découverte, et tant que l'espace existe.

2. Données et personnes concernées

Catégorie de personnes	Données traitées
Apprenants	Email, nom, téléphone (facultatif), progression, temps de visionnage, devoirs rendus, réponses et notes aux quiz, attestations, adresses IP, appareils reconnus, consultations de documents, emails reçus du service
Acheteurs (paiement sur la plateforme)	Email, identifiant de la session de paiement Stripe, preuve de la demande d'accès immédiat et de la renonciation au droit de rétractation
Prospects (formulaire d'une page de vente)	Nom, email, téléphone, message, preuve du consentement (date, adresse IP)
Membres de l'équipe	Email, nom, rôle, actions inscrites au journal

Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée par la plateforme. Si le formateur en introduit dans ses contenus ou ses champs libres — par exemple des informations de santé — il en est seul responsable et doit s'assurer d'en avoir le droit.

3. Engagements de la plateforme

La plateforme s'engage à :

1. ne traiter les données que sur instruction documentée du formateur — l'usage du service valant instruction ;
2. garantir la confidentialité, et n'y donner accès qu'aux personnes qui en ont besoin, tenues au secret ; l'accès de l'exploitant à l'espace du formateur, pour l'assistance, la maintenance ou la sécurité, se fait depuis un compte d'administration distinct, protégé par une double authentification et fermé automatiquement après trente minutes sans activité ; chaque visite de l'espace depuis ce compte est enregistrée dans le journal de l'espace (une ligne par heure de visite), consultable par le formateur. Les opérations techniques faites directement sur la base de données (maintenance, mise à jour, correction d'un incident) n'y laissent pas de trace ; elles obéissent aux mêmes limites ;
3. mettre en œuvre les mesures de sécurité décrites à l'annexe 1 ;
4. ne recourir à un sous-traitant ultérieur que parmi ceux listés à l'annexe 2, et informer le formateur de tout changement avec un préavis lui permettant de s'y opposer ;
5. aider le formateur à répondre aux demandes des personnes (accès, rectification, effacement, portabilité) : chaque apprenant dispose dans son profil d'un export et d'une suppression de son compte, et la plateforme traite sur demande ce que ces outils ne couvrent pas ;
6. notifier le formateur sans délai injustifié, et au plus tard sous 48 heures, de toute violation de données le concernant, avec les éléments dont elle dispose ;
7. l'assister pour l'analyse d'impact si elle est nécessaire ;
8. supprimer ou restituer les données à la fin du contrat, au choix du formateur, dans les 30 jours ;
9. mettre à disposition les informations nécessaires pour démontrer sa conformité et permettre un audit, dans des conditions raisonnables.

La plateforme s'interdit expressément : de vendre ou louer les données, de les utiliser à des fins publicitaires, de s'en servir pour entraîner un modèle d'intelligence artificielle, ou de les exploiter pour son propre compte de quelque manière que ce soit.

4. Engagements du formateur

Le formateur s'engage à :

1. n'inscrire que des personnes qu'il a le droit d'inscrire, et les informer du traitement de leurs données ;
2. disposer d'une base légale pour ces traitements ;
3. tenir son propre registre des traitements ;
4. relayer les demandes d'exercice de droits qu'il reçoit ;
5. ne pas introduire dans la plateforme de données sensibles sans base légale appropriée.

⚠️ Le formateur est seul vendeur de ses formations, qu'il les vende ailleurs, par son propre lien de paiement, ou sur la plateforme par son compte Stripe relié. Il lui appartient d'avoir ses conditions de vente et son information précontractuelle et, s'il vend à des consommateurs, de respecter leur droit de rétractation. Lorsque l'apprenant paie sur la plateforme, celle-ci recueille pour le compte du formateur, avant le paiement, la demande d'accès immédiat et la renonciation expresse au droit de rétractation (article L.221-28, 13° du code de la consommation), en conserve la preuve et la confirme dans l'email d'accès (conditions générales de vente, article 7 bis). Elle n'intervient pas autrement dans la vente.

5. Localisation et transferts

Les données sont stockées dans l'Union européenne : base et fichiers en Irlande, vidéos dans l'Union européenne.

Le traitement a lieu dans l'Union européenne. Le code du service s'exécute à Dublin depuis le 2 octobre 2026 (à Francfort du 28 septembre au 2 octobre 2026). Il s'exécutait auparavant en Ohio, aux États-Unis : toute donnée présente dans une requête y transitait le temps de la réponse — adresse email, identifiant de session, contenu d'un formulaire, nom d'un apprenant affiché à l'écran. Ce n'est plus le cas.

Prestataires américains, à ne pas passer sous silence : Netlify, Supabase, Stripe, Cloudflare et Anthropic sont des sociétés américaines ou rattachées à un groupe américain. Leurs équipes de support et de supervision peuvent accéder depuis les États-Unis à des données hébergées en Europe. Stripe traite en outre aux États-Unis les données de paiement, Cloudflare peut y traiter l'adresse IP le temps de la vérification anti-robot, et Anthropic y reçoit les extraits de données transmis lors d'une intervention de maintenance. Ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis pour les sociétés qui y adhèrent, et par les clauses contractuelles types de la Commission européenne.

Annexe 1 — Mesures de sécurité

• Cloisonnement des données par organisation, imposé au niveau de la base de données elle-même et non seulement par le code
• Chiffrement des échanges (HTTPS obligatoire) et des données au repos
• Mots de passe vérifiés contre les fuites connues ; double authentification obligatoire pour le propriétaire d'un espace et disponible pour tous
• Vidéos servies par liens signés qui expirent au bout de quatre heures, avec filigrane (adresse email de l'apprenant et référence) et suivi côté serveur
• Documents PDF filigranés nominativement à chaque téléchargement
• Journaux d'audit et d'incidents en ajout seul, qu'aucun utilisateur — formateur compris — ne peut modifier ni effacer
• Limitation du nombre d'appareils par apprenant, paramétrable
• Sauvegardes : la base de données (comptes, formations, accès, progression) est sauvegardée automatiquement chaque nuit par l'hébergeur de base de données, et chaque sauvegarde est conservée sept jours. La restauration à un instant précis n'est pas disponible. Les fichiers déposés (documents, images) et les vidéos ne sont pas inclus dans ces sauvegardes.

Le détail à jour est communiqué au formateur sur simple demande.

Annexe 2 — Sous-traitants ultérieurs

Sous-traitant	Rôle	Localisation
Supabase	Base de données, comptes, fichiers	🇮🇪 Irlande (Dublin)
Netlify	Hébergement de l'application	🇮🇪 Irlande (Dublin)
Bunny.net	Diffusion vidéo	Stockage dans l'Union européenne ; diffusion par le réseau de Bunny depuis le point le plus proche de l'apprenant
Brevo	Emails du service	🇫🇷 France (UE)
OVHcloud	Boîte de réception bonjour@privateach.com	🇫🇷 France
Cloudflare (Turnstile)	Vérification anti-robot des pages de connexion, d'inscription et de mot de passe oublié	Réseau mondial ; Cloudflare, Inc. (États-Unis, Data Privacy Framework)
Stripe	Abonnement du formateur ; paiement d'une formation par l'apprenant sur la plateforme (email de l'apprenant ; données de carte saisies directement chez Stripe)	🇮🇪 Irlande (Stripe Payments Europe) ; données également traitées aux États-Unis par Stripe, Inc. (Data Privacy Framework, clauses contractuelles types)
Anthropic (Claude)	Outil d'intelligence artificielle utilisé pour développer et maintenir la plateforme ; reçoit ponctuellement un extrait de données lors d'une intervention	🇺🇸 États-Unis (clauses contractuelles types de la Commission européenne)