Accord de sous-traitance des données
Article 28 du RGPD. Cet accord fait partie intégrante de toute licence établissement : il s'applique dès la commande, sans signature séparée. Une version signée peut être fournie sur demande.
Dernière mise à jour : 21 octobre 2026
1. Parties et objet
Responsable de traitement : l'établissement ou l'organisme titulaire de la licence (l'« Établissement »).
Sous-traitant : Maxime MOYAUX (Finvesta), Entrepreneur individuel (EI), SIREN 107 573 461, [à compléter] (« Finvesta »).
Le présent accord fixe les conditions dans lesquelles Finvesta traite des données personnelles pour le compte de l'Établissement, dans le cadre de la licence (partie B des CGV).
2. Description du traitement
| Finalité | Permettre aux enseignants d'organiser des activités pédagogiques d'éducation financière (Salle de Marché, quiz pré/post, débrief) et de donner à leurs élèves un accès au jeu via des codes classe. |
| Nature des opérations | Collecte, enregistrement, consultation, calcul de résultats, affichage en classe, export à la demande de l'enseignant, effacement. |
| Personnes concernées | Élèves participant aux activités. Enseignants et personnels utilisant la licence. |
| Données | Élèves : pseudo choisi librement, jeton de participation aléatoire, identifiant aléatoire d'appareil (cookie fv_did, pour les codes classe), décisions et résultats de jeu, réponses au quiz pré/post, données techniques de connexion (adresse IP, traitée de façon transitoire pour la sécurité). Enseignants : nom d'utilisateur, adresse e-mail, nom de l'établissement, codes classe créés. |
| Données exclues | Ni nom réel, ni adresse e-mail, ni date de naissance, ni photo d'élève ne sont demandés. Aucune donnée sensible (article 9 du RGPD) n'est traitée. |
| Durée | Celle de la licence. Les données d'une salle sont effacées automatiquement 90 jours après sa dernière activité. Les pass élèves sont effacés après 13 mois sans activité. |
| Lieu | Hébergement : BRUME CLOUD (SAS au capital de 1 000 €, RCS Tours 109 079 350, SIRET 109 079 350 00012, TVA FR26109079350), France (Union européenne). |
3. Obligations de Finvesta
Finvesta s'engage à :
- ne traiter les données que sur instruction documentée de l'Établissement, constituée par le présent accord et par l'usage des fonctions du service par ses enseignants, et l'informer immédiatement si une instruction lui paraît contraire au RGPD ;
- ne jamais utiliser ces données à d'autres fins, notamment publicitaires ou commerciales, et ne jamais les vendre. Aucun outil de mesure d'audience n'est chargé sur les pages élèves ;
- garantir la confidentialité des données et veiller à ce que toute personne autorisée à les traiter soit soumise à une obligation de confidentialité ;
- mettre en œuvre les mesures de sécurité prévues à l'article 32 du RGPD (voir § 5) ;
- aider l'Établissement à répondre aux demandes d'exercice des droits des personnes. Si une demande est adressée à Finvesta, elle est transmise à l'Établissement sans délai ;
- aider l'Établissement, le cas échéant, à réaliser une analyse d'impact et à consulter la CNIL ;
- notifier à l'Établissement toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les données et personnes concernées, ses conséquences probables et les mesures prises ;
- tenir un registre des traitements effectués pour le compte de l'Établissement ;
- mettre à la disposition de l'Établissement les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables, sur préavis de 30 jours, au plus une fois par an sauf violation avérée.
4. Sous-traitants ultérieurs
L'Établissement autorise Finvesta à recourir aux sous-traitants ultérieurs suivants :
| Sous-traitant | Activité | Localisation |
|---|---|---|
| BRUME CLOUD (SAS au capital de 1 000 €, RCS Tours 109 079 350, SIRET 109 079 350 00012, TVA FR26109079350) | Hébergement de l'application et de la base de données | France (Union européenne) |
| Sweego (France) | Envoi des e-mails aux comptes enseignants (confirmation, mot de passe). Aucune donnée d'élève. | Union européenne |
| Functional Software Inc. (Sentry), si activé | Rapports d'erreurs techniques, sans adresse IP | États-Unis (Data Privacy Framework) |
Finvesta informe l'Établissement de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail au contact de la licence. L'Établissement peut s'y opposer pour un motif légitime et, à défaut de solution, résilier la licence avec remboursement de la période restante. Finvesta impose à ses sous-traitants des obligations de protection équivalentes à celles du présent accord.
5. Mesures de sécurité
- Chiffrement des échanges (HTTPS, HSTS). Hébergement chez un prestataire professionnel.
- Élèves identifiés par un jeton aléatoire, sans compte. Pseudonymes libres, avec la recommandation de ne pas utiliser de nom réel.
- Contrôles d'accès : seul l'enseignant détenteur du jeton d'animation d'une salle peut la piloter et exporter ses résultats. Accès administrateur restreint.
- Limitation des tentatives (création de salles, saisie des codes classe). Journalisation technique limitée.
- Effacement automatique aux durées indiquées au § 2.
- Polices et bibliothèques auto-hébergées, aucun traceur publicitaire.
6. Obligations de l'Établissement
- Informer les élèves et leurs représentants légaux du traitement, par exemple en relayant la politique de confidentialité.
- Inviter les élèves à choisir un pseudo qui ne permet pas de les identifier.
- Inscrire le traitement à son registre et consulter son délégué à la protection des données s'il en a un.
- Assurer la sécurité des exports (fichiers CSV) qu'il télécharge, qui relèvent ensuite de sa seule responsabilité.
7. Fin du traitement
À l'échéance de la licence, les données des élèves sont effacées dans les délais indiqués au § 2, sauf si l'Établissement demande auparavant leur restitution sous forme d'export. Les codes classe cessent de donner accès au jeu. Sur demande, Finvesta confirme l'effacement par écrit.
8. Contact
Pour toute question relative au présent accord ou pour obtenir une version signée : finvestaprojet@gmail.com.
Finvesta