Accord de sous-traitance

Article 28 du RGPD · Version applicable à compter du 4 septembre 2026

Ce document complète mes Conditions Générales de Vente. Il s’applique dès lors que tu utilises Quali’Cocktail, parce que tu y enregistres des données sur des personnes : tes apprenants, tes formateurs, les membres de ton équipe. Sur ces données-là, c’est toi qui décides et c’est moi qui exécute.

1. Qui fait quoi

Toi, l’organisme de formation, tu es responsable du traitement. Tu décides quelles données tu enregistres, pourquoi, et combien de temps. Tu es tenu·e d’informer les personnes concernées, de disposer d’une base légale, et de ne me transmettre que ce qui est nécessaire.

Moi, Julie Schmitt EI – Assistance Sans Pépins, je suis sous-traitante. Je traite ces données uniquement pour te fournir Quali’Cocktail, sur tes instructions, et jamais pour mon propre compte. Je ne les vends pas, je ne les loue pas, je ne les utilise ni pour de la prospection, ni pour entraîner un modèle.

Une seule réserve, et elle est encadrée. Je peux produire des statistiques agrégées et anonymisées à partir de l’usage de l’outil, par exemple le nombre moyen de non-conformités selon la taille des organismes. Ces statistiques ne contiennent aucune donnée permettant d’identifier une personne, ni de reconnaître un organisme, et les données individuelles n’en sortent jamais. Elles ne portent jamais sur des données de santé.

Attention à ne pas confondre : les données de ton compte client (ton nom, ton adresse, ta facturation, tes connexions) relèvent de ma Politique de confidentialité, où je suis responsable de traitement. Le présent accord ne concerne que les données de tes apprenants, formateurs et collaborateurs.

2. Objet, nature, finalité et durée

Objet : l’hébergement et le traitement des données que tu saisis ou déposes dans Quali’Cocktail. Nature : collecte, enregistrement, structuration, conservation, consultation, extraction et suppression, par des moyens automatisés. Finalité : te permettre de piloter ta démarche qualité et ta certification Qualiopi, de constituer et conserver tes preuves, et de suivre ton catalogue, tes sessions et tes audits. Durée : toute la durée de ton abonnement, puis la période de conservation prévue à l’article 8.

3. Personnes concernées et données traitées

Données sensibles. Les informations de handicap et d’accessibilité sont des données de santé au sens de l’article 9 du RGPD. Elles font l’objet du régime particulier décrit à l’article 5. Tu restes libre de ne pas les enregistrer : l’outil fonctionne sans.

Ne dépose dans Quali’Cocktail aucune donnée sensible autre que celles-ci (origine, opinions, orientation, condamnations). L’outil n’est pas conçu pour en recevoir.

4. Mes engagements

Je n’agis que sur tes instructions. Tes instructions sont constituées par le présent accord, par les CGV et par l’usage que tu fais de l’outil. Si une instruction me paraît contraire au RGPD, je t’en informe. Si une obligation légale m’impose un traitement, je t’en informe avant, sauf interdiction légale.

Confidentialité. Je suis seule à accéder à l’administration technique, et je suis tenue à la confidentialité. Toute personne que j’autoriserais à intervenir y serait tenue par écrit.

Je t’aide à répondre. Si une personne exerce ses droits auprès de toi (accès, rectification, effacement, limitation, opposition, portabilité), je te fournis dans un délai raisonnable les moyens ou les extractions nécessaires. Je te renvoie vers toi toute demande qui me serait adressée directement.

Je t’aide sur la sécurité. Je t’assiste pour tes obligations des articles 32 à 36 du RGPD, notamment en te fournissant les informations utiles à une analyse d’impact si tu en conduis une.

5. Le régime particulier des données de handicap

Le champ handicap n’est pas une donnée comme les autres, et l’outil le traite comme telle.

Accès restreint. Il n’est visible que par les comptes auxquels tu as attribué la fonction de référent handicap. Les autres membres de ton équipe ne le voient pas, quel que soit leur rôle.

Chaque consultation est journalisée. Toute lecture de ce champ est enregistrée avec le nom de la personne qui l’a consulté et la date, dans un journal distinct de celui des modifications. Ce journal reste lisible même après la suppression du compte concerné.

Il ne sort jamais. Ce champ n’est exposé par aucune interface d’administration, ni par aucune API accessible depuis l’extérieur de ton organisme.

6. Sous-traitants ultérieurs

Tu m’autorises à recourir aux prestataires ci-dessous, qui hébergent ou acheminent les données pour mon compte. Chacun est lié par des engagements équivalents à ceux du présent accord.

Si je souhaite ajouter ou remplacer un de ces prestataires, je t’en informe au moins 30 jours à l’avance. Tu peux t’y opposer par écrit dans ce délai ; à défaut d’accord, tu peux résilier ton abonnement sans frais et récupérer tes données.

7. Sécurité

Les mesures suivantes sont en place, et je m’engage à les maintenir à un niveau au moins équivalent.

Cloisonnement. Chaque organisme dispose de son propre espace. Toute lecture est filtrée par l’identifiant de l’organisme : une cliente ne peut pas atteindre les données d’une autre, y compris en manipulant une adresse.

Fichiers. Les documents que tu déposes sont stockés dans un espace privé, jamais accessible par une adresse publique. Ils ne sont servis que par une route authentifiée, après vérification que le fichier demandé appartient bien à ton organisme.

Mots de passe. Ils ne sont jamais conservés en clair, mais sous forme d’empreinte non réversible (bcrypt).

Transport. Tous les échanges sont chiffrés en HTTPS.

Traçabilité. Les modifications sont journalisées, et les consultations de données de santé le sont séparément (cf. article 5).

Droits d’accès. Tu définis, membre par membre, le rôle, les fonctions et les écrans accessibles. Une assistante administrative peut n’avoir accès qu’au catalogue, sans voir les audits ni les non-conformités.

8. Fin du contrat, restitution et suppression

À l’expiration de ton abonnement, ton accès passe en lecture seule : tu peux consulter et exporter tes données. Elles sont conservées 12 mois après l’expiration, puis supprimées, sauvegardes comprises dans les délais de rotation de mes prestataires. Un réabonnement pendant ce délai restaure l’accès complet.

Tu peux à tout moment demander la suppression anticipée et complète de tes données ; je m’y conforme sous 30 jours, sauf obligation légale de conservation qui pèserait sur moi.

9. Violation de données

Si j’ai connaissance d’une violation affectant tes données, je t’en informe sans délai injustifié et au plus tard 48 heures après en avoir eu connaissance, avec ce que je sais de sa nature, des personnes et des données concernées, des conséquences probables et des mesures prises. C’est ensuite à toi, responsable de traitement, de notifier la CNIL et, s’il y a lieu, les personnes concernées.

10. Audit

Tu peux me demander, une fois par an, les informations nécessaires pour démontrer le respect du présent accord. Un audit sur pièces se fait par échange écrit. Un audit plus poussé suppose un préavis de 30 jours, un motif documenté, un périmètre convenu, et reste à ta charge ; il ne doit pas exposer les données des autres clientes.

11. Durée, modification et contact

Le présent accord s’applique tant que tu utilises Quali’Cocktail. Je peux le modifier pour l’avenir, notamment pour tenir compte d’un changement de prestataire ou de réglementation ; tu en es informé·e, et l’article 6 s’applique en cas de changement de sous-traitant.

Julie Schmitt EI – Assistance Sans Pépins, 4 impasse Farman, 36130 Coings. SIRET 989 743 331 00013. Contact : contact@assistancesanspepins.fr.