Accord de traitement des données personnelles (DPA)
Contrat de sous-traitance au sens de l'article 28 du RGPD. Dernière mise à jour : 31 juillet 2026
Le présent accord (ci-après « l'Accord ») encadre le traitement des données personnelles effectué par IRONFORMA pour le compte de l'organisme abonné à la Plateforme, dans le cadre et pour la durée du contrat d'abonnement. Il complète les Conditions Générales d'Abonnement et prévaut sur elles en cas de contradiction relative à la protection des données.
1. Parties et qualifications
Le Responsable de traitement : l'organisme de formation abonné à la Plateforme (ci-après « le Responsable »), qui détermine les finalités et les moyens du traitement des données de ses stagiaires.
Le Sous-traitant : IRONFORMA — Bertrand LAURET, 381 rue Michel Montaigne, 97440 Saint-André, SIRET 103 917 811 00012 (ci-après « le Sous-traitant »), qui traite ces données pour le compte du Responsable, conformément à ses instructions documentées.
2. Objet, nature et finalité du traitement
Le traitement consiste en l'hébergement, le stockage, la structuration, la consultation et la restitution des données saisies par le Responsable sur la Plateforme, aux seules fins de lui fournir le service de gestion administrative et pédagogique de son activité de formation (gestion des sessions, stagiaires, documents, émargements, facturation, e-learning, suivi qualité).
3. Durée
L'Accord s'applique pendant toute la durée du contrat d'abonnement et prend fin avec celui-ci, sous réserve des obligations de restitution et de suppression prévues à l'article 9.
4. Catégories de personnes et de données
Catégories de personnes concernées : les stagiaires du Responsable, ses formateurs, ses clients et contacts.
Catégories de données traitées : données d'identité (nom, prénom, e-mail, téléphone, adresse, date et lieu de naissance), données professionnelles (employeur, poste), données de suivi de formation (progression, temps de connexion, résultats), données de facturation. Le cas échéant, données facultatives : numéro de sécurité sociale (pour le Passeport de Prévention) et information relative à une situation de handicap. Ces dernières relèvent de catégories particulières ou sensibles et ne sont traitées que sur instruction et base légale relevant du Responsable.
5. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- traiter les données uniquement pour les finalités décrites et conformément aux instructions documentées du Responsable ; s'il considère qu'une instruction viole le RGPD, il en informe le Responsable ;
- garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter s'y engagent ;
- mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 6 ;
- respecter les conditions de recours à un sous-traitant ultérieur (article 7) ;
- aider le Responsable à répondre aux demandes d'exercice des droits des personnes concernées ;
- aider le Responsable à garantir le respect de ses obligations (sécurité, notification de violations, analyses d'impact) ;
- mettre à disposition du Responsable les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits raisonnables ;
- notifier au Responsable toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.
6. Sécurité
Le Sous-traitant met en œuvre des mesures appropriées, notamment : chiffrement des communications (HTTPS/TLS), cloisonnement logique des données par organisation (isolation au niveau de la base de données empêchant un abonné d'accéder aux données d'un autre), authentification des utilisateurs, gestion des habilitations, hébergement de la base de données au sein de l'Union européenne, et journalisation des accès sensibles. Ces mesures sont réévaluées régulièrement.
7. Sous-traitants ultérieurs
Le Responsable autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs suivants pour l'exécution du service :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase (AWS) | Hébergement base de données | Union européenne |
| Vercel | Hébergement de l'application | USA (garanties : CCT) |
| Stripe | Traitement des paiements | UE / USA (garanties : CCT) |
| Resend | Envoi d'e-mails transactionnels | USA (garanties : CCT) |
Le Sous-traitant informe le Responsable de tout changement envisagé concernant l'ajout ou le remplacement de sous-traitants ultérieurs, laissant au Responsable la possibilité d'émettre des objections. Il impose à ces sous-traitants ultérieurs les mêmes obligations de protection des données que celles du présent Accord.
8. Transferts hors Union européenne
La base de données est hébergée dans l'Union européenne. Certains sous-traitants ultérieurs (article 7) peuvent impliquer des traitements hors UE ; ces transferts sont alors encadrés par les clauses contractuelles types de la Commission européenne ou tout autre mécanisme de garantie approprié au sens du chapitre V du RGPD.
9. Sort des données en fin de contrat
Au terme de la prestation, le Sous-traitant permet au Responsable d'exporter ses données. Il les conserve ensuite pendant trente (30) jours à des fins de récupération, puis procède à leur suppression définitive, sauf obligation légale de conservation. Sur demande, il atteste par écrit de cette suppression.
10. Registre et documentation
Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte du Responsable, conformément à l'article 30.2 du RGPD, et le met à disposition sur demande.
11. Délégué à la protection des données / Contact
Pour toute question relative au présent Accord ou à la protection des données : contact@ironforma.re.
En souscrivant à la Plateforme et en acceptant les Conditions Générales d'Abonnement, le Responsable accepte le présent Accord de traitement des données, qui en fait partie intégrante.