Accord de traitement des données (DPA)

1.Parties et objet

Le présent accord de traitement des données (« l’Accord ») est conclu entre l’organisme de formation abonné au service Sessia (le « Client »), responsable de traitement, et BLOCK-GPT SAS, société par actions simplifiée, 158 boulevard Malesherbes, 75017 Paris, RCS Paris 931 029 888 (« BLOCK-GPT SAS »), sous-traitant au sens de l’article 28 du règlement (UE) 2016/679 (« RGPD »).

Il fait partie intégrante des conditions générales de vente (CGV) et s’applique aux données personnelles que le Client enregistre, importe ou fait traiter dans son espace Sessia. Il est accepté lors de l’inscription, en même temps que les CGV ; la version acceptée et sa date sont conservées. En cas de contradiction, l’Accord prévaut sur les CGV pour ce qui concerne la protection des données.

Les traitements que BLOCK-GPT SAS réalise pour son propre compte (compte client, facturation, demandes de contact, sécurité du site) ne relèvent pas de l’Accord : ils sont décrits dans la politique de confidentialité.

2.Description du traitement

Nature et finalités

Fourniture du logiciel en ligne Sessia de gestion d’un organisme de formation : hébergement et stockage des données, gestion des clients, stagiaires et formateurs, préparation des documents (devis, conventions, programmes, convocations, attestations, certificats de réalisation, factures), émargement, questionnaires et évaluations, envoi des e-mails demandés par le Client, fonctions d’intelligence artificielle décrites sur la page IA et transparence, sauvegardes, support et maintenance. BLOCK-GPT SAS ne traite pas ces données pour ses propres finalités et ne les vend ni ne les loue.

Personnes concernées

• Stagiaires et apprenants du Client, et leurs représentants le cas échéant ;
• contacts des entreprises clientes, des financeurs (OPCO, pouvoirs publics) et des prospects du Client ;
• formateurs, intervenants et sous-traitants du Client ;
• utilisateurs de l’espace (personnel du Client).

Catégories de données

• Identité et coordonnées : nom, prénom, e-mail, téléphone, fonction, entreprise, adresse ;
• vie professionnelle et formation : poste, besoins de formation, réponses au questionnaire de positionnement, inscriptions, convocations ;
• suivi de la formation : émargements (signatures électroniques, horodatage, heures d’arrivée et de départ, absences), résultats aux quiz et évaluations, réponses aux questionnaires de satisfaction, attestations et certificats ;
• données de financement et de facturation : prise en charge, numéros de dossier, montants ;
• documents et fichiers déposés par le Client ou reçus par lui, e-mails envoyés depuis l’espace ;
• données de connexion des utilisateurs de l’espace (journaux techniques) ;
• si le Client active les modules facultatifs : commandes vocales (transcrites sur nos serveurs) et documents ou messages déposés par ses prospects dans le module de diagnostic.

Données sensibles. Le questionnaire de positionnement comporte un champ facultatif dans lequel le stagiaire peut indiquer un besoin d’aménagement (situation de handicap, santé). Ces informations peuvent relever de l’article 9 du RGPD : le Client en définit l’usage, en informe les stagiaires et en limite l’accès ; Sessia ne les transmet jamais aux fournisseurs d’IA. Le Client s’engage à ne pas enregistrer d’autres catégories particulières de données ni de numéro de sécurité sociale, sauf nécessité qu’il aura lui-même appréciée.

Durée

Pendant toute la durée de l’abonnement, puis pendant la période de conservation prévue à l’article « Fin du contrat » ci-dessous.

3.Instructions du Client

BLOCK-GPT SAS ne traite les données que sur instruction documentée du Client. Constituent ces instructions : les CGV et l’Accord, les fonctions utilisées et les paramètres choisis par le Client dans son espace (modules activés, envoi des e-mails, usage de l’IA), et toute instruction écrite complémentaire acceptée par BLOCK-GPT SAS. Si BLOCK-GPT SAS estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition applicable, il en informe immédiatement le Client.

Si le droit de l’Union ou d’un État membre impose à BLOCK-GPT SAS un traitement non prévu par ces instructions (par exemple une réquisition judiciaire), BLOCK-GPT SAS en informe le Client avant le traitement, sauf si ce droit l’interdit.

4.Confidentialité

Seules les personnes de BLOCK-GPT SAS qui en ont besoin pour l’exploitation, la sécurité ou le support accèdent aux données ; elles sont soumises à une obligation de confidentialité. L’accès du support à un espace se fait par une connexion dédiée, tracée dans un journal d’audit, pour répondre à une demande du Client ou pour un incident.

5.Mesures de sécurité

BLOCK-GPT SAS met en œuvre les mesures techniques et organisationnelles suivantes (article 32 du RGPD) :

• Isolation par client : chaque espace dispose de sa propre base de données PostgreSQL avec son propre identifiant, de son propre processus applicatif et de son propre utilisateur système, exécuté dans un environnement restreint (accès en écriture limité à son répertoire, aucun accès aux autres espaces, au réseau interne du serveur ni aux autres services hébergés) ;
• chiffrement des échanges : accès au site et aux espaces uniquement en HTTPS (TLS) ;
• authentification : mots de passe enregistrés sous forme hachée, sessions limitées dans le temps, limitation des tentatives ; les secrets techniques de chaque espace sont chiffrés dans la base de la plateforme ;
• traçabilité : journal d’audit des actions d’administration et des accès du support ;
• sauvegardes : sauvegarde quotidienne de la base et des fichiers de chaque espace, conservée 14 jours, avec un contrôle de l’espace disque disponible ;
• hébergement : serveur situé en France, administré par BLOCK-GPT SAS ;
• minimisation vers l’IA : seules les informations nécessaires à la tâche lancée sont transmises (page IA et transparence) ;
• maintenance : application des correctifs de sécurité et revues de sécurité du code.

Ces mesures peuvent évoluer pour suivre l’état de l’art, sans réduire le niveau global de protection. Le Client reste responsable de la sécurité de ses propres accès (mots de passe de ses utilisateurs, serveur d’envoi d’e-mails qu’il configure, postes de travail).

6.Sous-traitants ultérieurs

Le Client autorise de manière générale BLOCK-GPT SAS à recourir aux sous-traitants ultérieurs ci-dessous (liste tenue à jour sur la page Sous-traitants). BLOCK-GPT SAS leur impose par contrat des obligations de protection des données équivalentes à celles de l’Accord et reste responsable envers le Client de leur respect.

BLOCK-GPT SAS informe le Client par e-mail, au moins 30 jours à l’avance, de tout ajout ou remplacement d’un sous-traitant ultérieur. Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données en écrivant à info@blockgpt.ai ; à défaut de solution, il peut résilier son abonnement sans frais avant l’entrée en vigueur du changement.

Transferts hors de l’Union européenne. Les fonctions d’IA font appel à des fournisseurs qui traitent les données aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, intégrées aux conditions de traitement des données de ces fournisseurs, et, pour les fournisseurs certifiés, par le cadre de protection des données UE–États-Unis. Le Client qui ne souhaite pas de tels transferts peut ne pas utiliser les fonctions d’IA concernées.

7.Droits des personnes

Le Client répond aux demandes des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). Sessia l’y aide par ses fonctions : consultation et modification des fiches, export complet des données de l’espace (« Mes données »), suppression des enregistrements.

Si BLOCK-GPT SAS reçoit directement une demande portant sur des données d’un espace, il la transmet au Client sans délai et n’y répond pas lui-même, sauf instruction du Client. Sur demande, BLOCK-GPT SAS fournit l’assistance raisonnable nécessaire lorsque les fonctions du logiciel ne suffisent pas.

8.Assistance au Client

BLOCK-GPT SAS aide le Client, compte tenu de la nature du traitement et des informations dont il dispose, à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact relative à la protection des données (AIPD) et de consultation préalable de la CNIL. Il met à sa disposition la description des mesures de sécurité ci-dessus, la liste des sous-traitants, la page IA et transparence et répond à ses questions documentées dans un délai raisonnable.

9.Violations de données

BLOCK-GPT SAS notifie au Client toute violation de données personnelles concernant son espace dans les meilleurs délais après en avoir pris connaissance, avec pour objectif 48 heures au plus, par e-mail à l’adresse du titulaire du compte. La notification précise, dans la mesure où ces informations sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Les informations non disponibles immédiatement sont communiquées dès que possible.

Il appartient au Client, responsable de traitement, de notifier la violation à la CNIL dans les 72 heures et, le cas échéant, d’en informer les personnes concernées ; BLOCK-GPT SAS l’y assiste. BLOCK-GPT SAS tient un registre des incidents.

10.Fin du contrat : restitution et suppression

Le Client peut exporter à tout moment l’ensemble des données de son espace (« Exporter mes données »). À la fin de l’abonnement, l’espace est suspendu et les données sont conservées 30 jours, pendant lesquels le Client peut encore les exporter depuis son compte Sessia. Elles sont ensuite supprimées : base de données, fichiers et processus de l’espace.

Les sauvegardes quotidiennes de l’espace sont effacées au plus tard 14 jours après leur création. Une archive finale (copie de la base et des fichiers) est réalisée au moment de la suppression, conservée 90 jours pour permettre une restauration en cas d’erreur, puis effacée. Seules les données que la loi impose à BLOCK-GPT SAS de conserver pour son propre compte (notamment la facturation de l’abonnement) sont gardées au-delà.

11.Documentation et audits

BLOCK-GPT SAS met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD (le présent Accord, la description des mesures de sécurité, la liste des sous-traitants, le registre des traitements en tant que sous-traitant) et répond à ses questionnaires. Le Client peut faire réaliser un audit, au plus une fois par an sauf violation de données, par un auditeur tenu au secret et non concurrent de BLOCK-GPT SAS, avec un préavis de 30 jours, à ses frais et sans perturber l’exploitation du service ni compromettre la sécurité et la confidentialité des données des autres clients.

12.Contact et modification

Toute question relative à l’Accord : info@blockgpt.ai.

BLOCK-GPT SAS peut modifier l’Accord pour tenir compte d’une évolution légale ou du service. La nouvelle version est publiée sur cette page, notifiée par e-mail et proposée à l’acceptation dans le compte Sessia du Client ; une modification réduisant le niveau de protection des données ne peut intervenir sans l’accord du Client.