Préambule

Le présent Data Processing Agreement (ci-après « DPA » ou « Accord ») est conclu entre :

• Le Client — organisme de formation souscripteur d'un abonnement MIBsoft, agissant en qualité de responsable de traitement au sens de l'article 4 (7) du RGPD ;
• MIBsoft — éditeur de la plateforme SaaS du même nom, agissant en qualité de sous-traitant au sens de l'article 4 (8) du RGPD.

Le présent DPA complète et fait partie intégrante du contrat principal (CGV + bon de commande, ci-après le « Contrat principal »). En cas de contradiction entre les présentes et le Contrat principal sur des sujets relatifs à la protection des données personnelles, le présent DPA prévaut.

Article 1 — Objet

Le présent Accord a pour objet de définir les conditions dans lesquelles MIBsoft s'engage à effectuer pour le compte du Client, sur instruction documentée de celui-ci, les opérations de traitement de données à caractère personnel décrites en Annexe A.

L'Accord s'inscrit dans le respect des dispositions du Règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée.

Article 2 — Durée

Le présent Accord prend effet à la date de souscription du Contrat principal et reste en vigueur pendant toute sa durée. Il cesse à l'expiration ou à la résiliation du Contrat principal, sous réserve des obligations survivantes (confidentialité, restitution / suppression des données).

Article 3 — Description du traitement

La nature, l'objet, la finalité, les catégories de données et de personnes concernées sont décrits en Annexe A. Le Client peut compléter ces éléments par instructions documentées spécifiques.

Article 4 — Obligations du sous-traitant (MIBsoft)

4.1 Confidentialité et habilitation

MIBsoft s'engage à :

• Traiter les données uniquement pour les finalités convenues et sur instruction documentée du Client ;
• Garantir que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité (engagement contractuel ou statutaire) ;
• Limiter l'accès aux données aux strictes nécessités de la mission (principe du « need to know »).

4.2 Sécurité

MIBsoft met en œuvre les mesures techniques et organisationnelles décrites en Annexe B, conformément à l'article 32 du RGPD, pour assurer un niveau de sécurité adapté au risque.

4.3 Sous-traitance ultérieure

Le Client autorise par avance MIBsoft à recourir aux sous-traitants ultérieurs listés en Annexe C (renvoi vers la page sous-traitants.html). MIBsoft :

• Informe préalablement le Client de tout changement (ajout, remplacement) de sous-traitant ultérieur avec un préavis de 30 jours, par email à l'administrateur centre et publication mise à jour sur la page sous-traitants ;
• Permet au Client de s'opposer dans ce délai, étant entendu qu'en cas d'opposition fondée et impossible à concilier avec l'exécution du service, chacune des parties pourra résilier le Contrat principal sans pénalité ;
• Impose aux sous-traitants ultérieurs les mêmes obligations contractuelles que celles prévues au présent DPA.

4.4 Assistance au responsable de traitement

MIBsoft apporte au Client une assistance raisonnable pour :

• Répondre aux demandes des personnes concernées au titre de leurs droits (accès, rectification, effacement, portabilité, opposition, limitation). MIBsoft transmettra dans les 5 jours ouvrés au Client toute demande reçue directement ;
• Notifier les violations de données (article 33 et 34 RGPD) ;
• Réaliser les analyses d'impact relatives à la protection des données (AIPD) ;
• Consulter l'autorité de contrôle lorsque cela est nécessaire (article 36 RGPD).

4.5 Notification des violations de données

En cas de violation de données à caractère personnel, MIBsoft en informe le Client dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance, par email à l'administrateur centre, en précisant :

• La nature de la violation ;
• Les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• Les conséquences probables ;
• Les mesures prises ou envisagées pour limiter les effets négatifs ;
• Les coordonnées du DPO ou du point de contact à joindre pour plus d'information.

Il appartient au Client, en sa qualité de responsable de traitement, de décider de la notification à la CNIL (sous 72 h) et, le cas échéant, aux personnes concernées.

4.6 Restitution et suppression à l'issue du contrat

À l'issue du Contrat principal et au choix exprès du Client formulé par écrit dans les 30 jours :

• Soit MIBsoft restitue les données dans un format ouvert et structuré (CSV / JSON) ;
• Soit MIBsoft les supprime, ainsi que toutes leurs copies, en confirmant par écrit la suppression.

La restitution n'attend pas de demande. Dès la résiliation, MIBsoft produit automatiquement un export complet des données du Client, au format JSON ouvert, et lui adresse un lien de téléchargement personnel. Le Client n'a aucune démarche à faire pour obtenir ses données : elles lui sont remises.

La suppression n'intervient qu'ensuite, trente jours après la résiliation et à condition que cette restitution ait effectivement été remise. Si le message ne parvient pas au Client — adresse erronée, boîte saturée, refus du serveur destinataire — la suppression n'a pas lieu et MIBsoft traite l'incident.

Le Client conserve la faculté de demander par écrit, dans les trente jours, une suppression immédiate ou un export dans un autre format.

Les sauvegardes techniques (PITR Supabase, sauvegarde hors-site chiffrée) sont purgées dans un délai maximum de 90 jours suivant la suppression principale. Les données conservées pour obligation légale (factures comptables) ne sont pas concernées par cette suppression.

Attention particulière au document unique (DUERP). Ses versions successives doivent être conservées par l'employeur au titre de l'article L.4121-3-1 du Code du travail. Elles figurent dans l'export restitué : il appartient au Client de les archiver de son côté avant la suppression.

4.7 Documentation et audit

MIBsoft met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent DPA et permet la réalisation d'audits, dans les conditions suivantes :

• Audit annuel sur pièces (questionnaire de conformité, rapports de tests, certifications éventuelles) ;
• Audit sur site sur préavis raisonnable de 30 jours, à la charge financière du Client, hors cas d'incident majeur ;
• L'audit ne doit pas perturber les opérations normales et est encadré par un engagement de confidentialité ;
• Possibilité de mandater un auditeur tiers indépendant, soumis à confidentialité.

Article 5 — Obligations du responsable de traitement (Client)

Le Client s'engage à :

• Documenter par écrit toute instruction au sous-traitant ;
• S'assurer, avant et pendant tout traitement, du respect des obligations du RGPD lui incombant (information des personnes, base légale, AIPD si nécessaire) ;
• Veiller à la licéité de la collecte des données importées dans la plateforme ;
• Tenir un registre des activités de traitement comme l'exige l'article 30 du RGPD ;
• Superviser le traitement, y compris en réalisant des audits et inspections ;
• Recueillir les consentements lorsqu'ils sont requis (notamment pour les contenus optionnels comme photos de profil).

Article 6 — Transferts hors UE

Les données traitées sont hébergées en Union européenne (Supabase Frankfurt). Toutefois, certains sous-traitants ultérieurs ont leur siège hors UE ; les transferts éventuels associés sont encadrés par :

• Les Clauses Contractuelles Types de la Commission européenne (décision UE 2021/914) ;
• L'adhésion, le cas échéant, au EU-US Data Privacy Framework ;
• Des mesures supplémentaires de chiffrement et de pseudonymisation lorsque pertinent.

La liste des transferts est tenue à jour sur la page sous-traitants.html.

Article 7 — Responsabilité

Chaque partie est responsable des dommages résultant d'un manquement à ses obligations RGPD, dans les conditions de l'article 82 du RGPD. La responsabilité du sous-traitant est notamment engagée s'il a agi en dehors des instructions licites du responsable de traitement ou s'il n'a pas respecté ses obligations spécifiques d'article 28.

Article 8 — Coordonnées

Point de contact MIBsoft pour toute question relative au présent DPA :

• DPO / Référent RGPD : Juliette Boyer
• Email : dpo@mibsoft.fr
• Adresse : 173 rue de Courcelles, 75017 Paris

Annexe A — Description du traitement

Nature et objet du traitement

Hébergement, stockage, traitement et restitution de données personnelles dans le cadre de la fourniture du service SaaS MIBsoft, selon celles de ses deux branches que le Client a souscrites : la gestion pédagogique de formations SSIAP, et la sécurité en établissement (registre de sécurité incendie, permis et plans de prévention, main courante, rondes, clés et badges, module CSE et HSE).

Chaque traitement est décrit en détail, rubrique par rubrique, dans le registre des activités de traitement : fiches 2 et 3 pour la branche formation, fiches 8 à 13 pour la branche entreprise. La présente annexe en donne la synthèse contractuelle ; en cas d'écart, les deux documents sont à lire ensemble, et ils sont tenus à jour par la même revue.

Finalités

Branche formation

• Gestion des sessions de formation (création, planification, suivi) ;
• Évaluation des stagiaires (QCM, scores, présences) ;
• Production de statistiques pédagogiques anonymisées ;
• Animation de quiz et challenges en présentiel ou à distance ;
• Traçabilité des activités pour audit Qualiopi.

Branche entreprise

• Tenue du registre de sécurité incendie de l'établissement (art. R. 143-44 CCH) : vérifications, travaux, visites de commission, visas ;
• Établissement, signature, suivi et clôture des permis de feu, permis de travail et plans de prévention (art. R. 4512-6 et s. C. trav.), y compris les rondes de surveillance après travaux ;
• Tenue de la main courante du poste de sécurité, enregistrement des prises et fins de poste, traçabilité des rondes et de leurs anomalies ;
• Suivi de la détention et de la restitution des clés et badges ;
• Rédaction et conservation des analyses d'accident, comptes rendus de visite, document unique (DUERP) et comptes rendus de réunion du module CSE et HSE ;
• Transcription des réunions enregistrées (réunion CSE, quart d'heure sécurité) en vue du compte rendu, avec distinction des intervenants. Fonction facultative, déclenchée séance par séance.

Catégories de données

• Données d'identification : nom, prénom, email, photo de profil (optionnelle) ;
• Données de connexion : identifiant, mot de passe haché, logs de session. Pour la branche entreprise, le code d'accès personnel d'un utilisateur est conservé sous forme hachée et en clair, afin que son responsable puisse le lui redonner ; sa lecture est refusée au niveau de la colonne, y compris aux rôles connectés ;
• Données pédagogiques : scores QCM, temps de réponse, présences, certifications ;
• Données d'organisation : rôle, centre ou établissement de rattachement, sites autorisés, niveau d'habilitation ;
• Données techniques limitées : adresse IP, user-agent (sécurité) ;
• Données du registre et des permis : nom et société des intervenants extérieurs, nature et dates des interventions, constats, conformité, habilitations déclarées, nom et fonction du donneur d'ordre, de l'exécutant et du surveillant ;
• Signatures manuscrites : l'image de la signature, son empreinte, le nom, la fonction et le rôle du signataire, et l'horodatage ;
• Données de suivi d'activité (main courante, prises de poste, rondes) : heures de prise et de fin de poste, poste tenu, pauses et leurs motifs, dérogations, points de contrôle horodatés, état constaté, photographies d'anomalies, texte libre de la main courante et nom de son auteur ;
• Détention de clés et badges : nom, fonction et société du détenteur, dates de remise et de restitution, signature de la remise ;
• Contenus rédigés librement dans le module CSE et HSE : ils peuvent nommer un salarié et décrire les circonstances d'un accident du travail, et comporter alors des éléments relatifs à sa santé, relevant de l'article 9 du RGPD ;
• Enregistrement sonore d'une réunion, lorsque cette fonction est utilisée : voix des participants, propos tenus, noms cités, et la transcription écrite qui en découle.

Catégories de personnes concernées

• Administrateurs des centres de formation ;
• Formateurs salariés ou indépendants des centres ;
• Stagiaires inscrits aux formations SSIAP 1, 2 ou 3 ;
• Salariés du Client utilisant le service : agents de sécurité et de sûreté, chefs de poste, responsables sécurité et HSE, membres du comité social et économique ;
• Tiers à l'organisation du Client : intervenants des sociétés de vérification et de maintenance, entreprises extérieures et leurs exécutants, visiteurs inscrits au registre, membres des commissions de sécurité, détenteurs de clés ou de badges — c'est-à-dire des personnes qui ne sont ni clientes ni utilisatrices du service, et dont l'information relève du Client ;
• Salariés nommés dans une analyse d'accident ou d'incident, et témoins ;
• Participants à une réunion enregistrée par le Client, lorsque cette fonction est utilisée.

Durée du traitement

Pendant toute la durée du Contrat principal, plus 30 jours de réversibilité après résiliation.

Exception — l'enregistrement sonore d'une réunion n'est pas conservé pour la durée du Contrat : il est effacé dès la validation du compte rendu et, en tout état de cause, au plus tard sept jours après son dépôt, par une purge automatique. Chez le sous-traitant chargé de la transcription, son effacement est demandé par MIBsoft dès le texte récupéré, sans attendre le délai de conservation par défaut du service ; le résultat de cette demande est consigné avec la séance.

La durée de conservation des données de suivi d'activité (main courante, prises de poste, pauses, rondes) suit par défaut celle du Contrat. Le Client est invité à en fixer une plus courte par instruction documentée : conserver ces données au-delà de ce qui est utile à la traçabilité n'est ni nécessaire, ni défendable devant l'autorité de contrôle. MIBsoft applique la durée que le Client lui indique.

Annexe B — Mesures techniques et organisationnelles

Les mesures détaillées figurent dans la Politique de Sécurité du Système d'Information (PSSI). Synthèse :

• Chiffrement : TLS 1.3 en transit, AES-256 au repos ;
• Authentification : mots de passe hachés (bcrypt / argon2), MFA recommandé pour les administrateurs ;
• Cloisonnement : Row Level Security (RLS) PostgreSQL par centre ;
• Sauvegardes : Point-In-Time Recovery 7 jours, et sauvegarde hors-site quotidienne chiffrée en AES-256 avant envoi chez un fournisseur distinct (région UE), relue à chaque exécution et conservée 30 jours ;
• Journalisation : logs d'accès et de modification ;
• Habilitation : accès personnel limité, traçabilité des actions admin ;
• Mise à jour : suivi des CVE des dépendances, patches sécurité prioritaires ;
• Sensibilisation : formation RGPD et sécurité des collaborateurs ;
• Tests : test d'intrusion par un prestataire externe, déclenché à la demande d'un Client (référencement, revue de sécurité fournisseur) ; aucun test mené à ce jour.

Annexe C — Liste des sous-traitants ultérieurs

La liste à jour des sous-traitants ultérieurs autorisés et des garanties associées est publiée sur la page dédiée : sous-traitants.html. Le Client est notifié de toute modification dans les conditions de l'article 4.3.

Au jour de la présente version, ceux qui accèdent à des données personnelles traitées pour le compte du Client sont : Supabase (hébergement de la base, du stockage et de l'authentification), Vercel (hébergement du frontend), Stripe Payments Europe (paiements), Mailgun (courriels transactionnels), Backblaze B2 (sauvegardes chiffrées hors site), Anthropic PBC (aides facultatives à la rédaction) et Gladia (transcription facultative des réunions enregistrées).

Cette énumération est donnée pour la lisibilité du présent Accord ; en cas d'écart, la page dédiée fait foi, puisque c'est elle qui est tenue à jour et dont les modifications sont notifiées.

Signatures

Le présent DPA est conclu en deux exemplaires originaux, chaque partie en conservant un.