Accord de sous-traitance des données des classes (article 28 du RGPD)

Parties

Cet accord est conclu entre l’établissement ou la structure qui utilise une classe Équilibre Ninja, représenté par son chef d’établissement ou son représentant légal (le « responsable du traitement »), et Ghost World Society, 2810 N Church St STE 89870, Wilmington, DE 19802, États-Unis (le « sous-traitant »).

Pour un collège ou un lycée public, le représentant du responsable est le chef d’établissement ; pour une école primaire publique, l’autorité académique (directeur académique des services de l’Éducation nationale), avec le délégué à la protection des données académique. L’enseignant qui crée une classe coche la case « Je déclare agir avec l’accord du chef d’établissement (ou du représentant de ma structure) et lui transmettre cet accord » ; la date et la version sont enregistrées. Il remet cet accord, imprimé ou en PDF, au représentant du responsable pour visa.

Visa du responsable du traitement — nom, qualité, date et signature : …………………………………………

1. Objet et durée

Le sous-traitant traite des données personnelles pour le compte du responsable du traitement, dans le seul but de permettre à l’enseignant de suivre l’avancement de ses élèves dans les contenus pédagogiques d’Équilibre Ninja (parcours Comprendre, exploration, simulateur du budget).

L’accord s’applique pendant toute la durée de la classe (12 mois au plus), puis jusqu’à la suppression des données, 30 jours après sa fermeture.

2. Nature des données et personnes concernées

Les données du compte de l’enseignant (adresse e-mail, pseudonyme, abonnement, points) ne relèvent pas du présent accord : Ghost World Society les traite en tant que responsable, comme indiqué dans sa politique de confidentialité. Seules les données de la classe (nom, établissement, réglages, mission) sont traitées pour le compte du responsable.

Ne sont jamais collectés : nom, prénom, adresse e-mail ou téléphone des élèves (les pseudonymes qui y ressemblent sont refusés), choix budgétaires, code ou titre d’une partie, réponses aux questions et au « match candidats ». Aucune donnée sensible au sens de l’article 9 du RGPD n’est traitée.

3. Obligations du sous-traitant

• Traiter les données uniquement sur instruction documentée du responsable (le présent accord et les réglages de la classe), y compris en ce qui concerne les transferts vers un pays tiers : le responsable autorise les seuls transferts liés aux sous-traitants ultérieurs de l’article 4, encadrés par les garanties qui y sont indiquées. Si le droit de l’Union ou d’un État membre impose un autre traitement, le sous-traitant en informe le responsable avant le traitement, sauf interdiction légale. Il informe le responsable si une instruction lui paraît contraire au RGPD.
• N’utiliser les données à aucune autre fin : ni points, ni statistiques commerciales, ni publicité, ni profilage, ni revente.
• Garantir la confidentialité : seules les personnes habilitées de Ghost World Society, tenues au secret, accèdent aux données, et uniquement pour la maintenance du service.
• Mettre en œuvre les mesures de sécurité décrites à l’article 5 (article 32 du RGPD).
• Aider le responsable à répondre aux demandes d’exercice des droits des personnes, sous 30 jours ; l’élève peut aussi tout supprimer lui-même (« Quitter »).
• Aider le responsable à respecter ses obligations des articles 32 à 36 du RGPD : sécurité, notification et communication des violations, analyse d’impact (un résumé est fourni à l’annexe B) et, le cas échéant, consultation préalable de la CNIL.
• Notifier au responsable toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL.
• Au choix du responsable, lui renvoyer les données (export du bilan de la classe, disponible pendant la classe et jusqu’à sa suppression) puis les supprimer, ou les supprimer directement : toutes les données de la classe sont supprimées 30 jours après sa fermeture ou son expiration (ou immédiatement en cas de suppression du compte de l’enseignant), sans copie conservée, sous réserve des sauvegardes techniques effacées sous 7 jours.
• Tenir un registre des traitements effectués pour le compte du responsable (article 30.2 du RGPD) et mettre à sa disposition toutes les informations nécessaires pour démontrer le respect du présent accord.
• Permettre la réalisation d’audits, y compris d’inspections, par le responsable ou par un auditeur qu’il mandate, et y contribuer : audit sur pièces (questionnaire, documentation des mesures), sur demande écrite adressée à rgpd@equilibre.ninja avec un préavis de 30 jours, une fois par an au plus, sauf violation de données ou demande d’une autorité de contrôle ; l’auditeur est tenu à la confidentialité.

4. Sous-traitants ultérieurs

Le responsable autorise le recours aux sous-traitants ultérieurs suivants, liés par des obligations équivalentes :

Tout ajout ou remplacement est annoncé à l’enseignant par e-mail au moins 30 jours à l’avance ; le responsable peut s’y opposer en fermant la classe, ce qui entraîne la suppression des données.

5. Mesures de sécurité

• Chiffrement des échanges (HTTPS) ; cookie d’appareil HttpOnly, Secure, expirant au plus tard avec la classe.
• Cookies d’appareil et codes de reprise conservés uniquement hachés ; aucune adresse IP enregistrée par l’application (les journaux techniques de l’hébergeur peuvent la conserver pour une durée limitée).
• Pseudonymisation : anonymisation de l’affichage (« Élève n ») activée par défaut ; budgets désactivés par défaut.
• Cloisonnement : un enseignant n’accède qu’à ses classes ; un élève ne voit jamais les autres élèves.
• Hébergement dans l’Union européenne ; sauvegardes quotidiennes conservées 7 jours ; accès d’administration restreints.
• Limites de débit et vérification anti-robots à l’inscription dans une classe.

6. Obligations du responsable du traitement

• Déterminer la base légale du traitement (pour un établissement public : mission d’intérêt public, article 6.1.e du RGPD).
• Informer les élèves et leurs familles avant la première séance (un modèle de note d’information est fourni) et leur indiquer comment exercer leurs droits.
• Consigner aux élèves de choisir un pseudonyme qui ne permet pas de les identifier ; garder l’anonymisation de l’affichage activée sauf besoin pédagogique.
• Inscrire le traitement à son registre et consulter son délégué à la protection des données (DPO), le cas échéant le DPO académique.
• Viser le présent accord (section « Parties ») par son chef d’établissement ou son représentant légal.
• Fermer la classe lorsqu’elle n’est plus utile.

7. Fin de l’accord, droit applicable

L’accord prend fin avec la suppression des données de la classe. Il est soumis au droit français et au RGPD. Contact du sous-traitant pour toute question ou notification : rgpd@equilibre.ninja.

Annexe A : bonnes pratiques pour l’enseignant

• Obtenir l’accord du chef d’établissement (ou du représentant de la structure) et lui faire viser cet accord ; pour une école primaire, passer par l’autorité académique.
• Consulter le délégué à la protection des données de l’établissement ou de l’académie, et faire inscrire le traitement au registre de l’établissement.
• Distribuer la note d’information aux familles avant la première séance.
• Rappeler aux élèves : « N’écris pas ton vrai nom », ni celui d’un camarade.
• Garder l’anonymisation activée ; n’activer les budgets que si l’exercice le demande.
• Sur les ordinateurs partagés, demander à chaque élève de cliquer sur « Ce n’est pas moi » ou « Quitter cet appareil » en fin de séance, et de noter son code de reprise.
• Verrouiller les inscriptions une fois la classe constituée ; fermer la classe en fin d’année.
• Ne pas exporter le bilan de la classe vers des outils non validés par l’établissement.

Annexe B : résumé de l’analyse d’impact

Les élèves sont mineurs, ce qui relève du critère « personnes vulnérables » des lignes directrices européennes. Ghost World Society a donc réalisé une analyse d’impact légère, que l’établissement peut reprendre dans la sienne :

• Données : pseudonyme et avancement pédagogique ; aucune donnée d’identité, de contact, ni d’opinion (les choix de jeu, qui pourraient révéler une orientation politique, ne sont jamais transmis).
• Risques identifiés : ré-identification par un pseudonyme trop explicite ; usurpation sur un ordinateur partagé ; accès d’un tiers à la classe.
• Mesures : consigne et filtre des pseudonymes (adresse e-mail, téléphone refusés), anonymisation par défaut, bandeau « Ce n’est pas moi », code de reprise personnel, cloisonnement entre élèves, code de classe verrouillable, suppression automatique après la fermeture.
• Risque résiduel jugé faible ; analyse revue à chaque évolution des fonctions de classe.