Contrat de sous-traitance des données

Ce contrat répond à l'article 28 du règlement général sur la protection des données (RGPD). Il lie chaque établissement qui utilise la plateforme Arpète à Fabian Ansart. Un responsable de l'établissement l'accepte dans l'espace prof, au nom de l'établissement ; la date, la version et la personne qui l'a accepté sont enregistrées.

1. Les parties

• Le responsable du traitement : l'établissement (école, ASBL ou groupe privé) qui inscrit ses membres et ses élèves sur la plateforme. C'est lui qui décide d'utiliser Arpète avec ses élèves.
• Le sous-traitant : Fabian Ansart, Rue de Claminforge 75, 5070 Le Roux, Belgique, qui édite la plateforme (mentions légales).

Pour les données des profs eux-mêmes (leur compte), Fabian Ansart est responsable du traitement : voir la politique de confidentialité.

2. Objet et durée

Le sous-traitant héberge et traite les données de l'établissement pour lui fournir la plateforme : gérer ses groupes et ses élèves, permettre aux élèves de se connecter depuis un robot, garder leurs programmes d'une séance à l'autre, gérer les robots de l'établissement.

Le contrat dure tant que l'établissement utilise la plateforme.

3. Données et personnes concernées

Personnes	Données
Élèves	Pseudo, mot de passe en images (chiffré), groupe, programmes et leurs versions, connexions depuis un robot (robot, date), tentatives de connexion ratées
Membres de l'établissement	Nom affiché, adresse e-mail, rôle, groupes et robots dont ils s'occupent, journal d'activité de l'établissement

Aucun nom, e-mail, date de naissance ni photo d'élève n'est demandé. L'établissement s'engage à ne pas en saisir (pseudos, noms de groupes, cours, programmes).

Robots : identifiant, adresse sur le réseau local de l'atelier, version du logiciel, dernière connexion. Ce ne sont pas des données sur des personnes, mais elles sont traitées de la même façon.

4. Engagements du sous-traitant

Le sous-traitant :

1. traite les données uniquement pour fournir la plateforme, selon les instructions de l'établissement ; l'usage de la plateforme par ses responsables vaut instruction. Il le prévient si une instruction lui semble contraire au RGPD ;
2. ne les vend pas, ne les utilise pas pour de la publicité, ni pour entraîner des modèles d'intelligence artificielle ;
3. veille à ce que les personnes qui y ont accès soient tenues à la confidentialité et n'y accèdent que pour le service (support demandé par l'établissement, sécurité, maintenance) ;
4. prend les mesures de sécurité décrites en annexe ;
5. aide l'établissement à répondre aux demandes des personnes (accès, rectification, effacement) : la plateforme permet déjà d'exporter les données de l'établissement et de supprimer un élève ; le reste se fait sur simple demande ;
6. aide l'établissement, sur demande, pour une analyse d'impact ou une consultation de l'autorité de contrôle ;
7. prévient l'établissement d'une violation de données sans retard injustifié, et au plus tard 48 heures après l'avoir constatée, avec ce qu'il en sait : nature, données et personnes touchées, conséquences probables, mesures prises ;
8. tient un registre des traitements qu'il effectue pour le compte des établissements.

5. Sous-traitants ultérieurs

L'établissement autorise le sous-traitant à faire appel à :

Prestataire	Rôle	Lieu
OVH SAS (Roubaix, France)	Hébergement des serveurs et des sauvegardes	Union européenne
Prestataire d'envoi d'e-mails, à préciser avant la mise en ligne	Invitations, récupération de mot de passe (adresses des membres uniquement, jamais de données d'élèves)	Union européenne

Le sous-traitant leur impose les mêmes obligations de protection. Il prévient les établissements au moins 30 jours avant d'ajouter ou de remplacer un prestataire ; un établissement qui s'y oppose peut arrêter d'utiliser la plateforme et faire supprimer ses données.

Aucune donnée ne quitte l'Union européenne.

6. Obligations de l'établissement

L'établissement :

• s'assure d'avoir une base légale pour inscrire ses élèves et informe les élèves et leurs parents de l'usage de la plateforme (un modèle de texte peut être fourni sur demande) ;
• choisit des pseudos qui ne permettent pas de reconnaître les élèves en dehors du groupe ;
• donne les accès à ses seuls membres et retire ceux qui partent ;
• garde les cartes de connexion des élèves en lieu sûr.

7. Fin du traitement

Les responsables de l'établissement peuvent à tout moment exporter ses données et supprimer des élèves depuis l'espace prof. Sur demande à contact@arpete.org, le sous-traitant supprime l'établissement et ses données dans les 30 jours. Les sauvegardes qui les contiennent encore sont effacées au fil de leur rotation, au plus tard 30 jours après.

8. Contrôle

Le sous-traitant fournit, sur demande, les informations nécessaires pour vérifier qu'il respecte ce contrat. Un audit sur place peut être organisé une fois par an, avec un préavis raisonnable et aux frais de l'établissement, sans accès aux données des autres établissements.

9. Droit applicable

Ce contrat complète les conditions d'utilisation. Il est soumis au droit belge ; les tribunaux de l'arrondissement judiciaire de Namur sont compétents.

Annexe : mesures de sécurité

• Hébergement dans l'Union européenne ; connexions chiffrées (HTTPS) entre les navigateurs et la plateforme.
• Peu de données : pas d'identité des élèves ; ce qui n'est pas nécessaire n'est pas demandé.
• Secrets protégés : mots de passe des profs hachés (Argon2) ; liens d'invitation, de récupération et jetons des robots conservés seulement sous forme d'empreinte ; mots de passe en images des élèves chiffrés (AES-256-GCM).
• Accès limités : chaque prof ne voit que ses établissements ; un élève se bloque 5 minutes après 5 essais ratés ; les comptes de l'équipe Arpète sont séparés et protégés par une double authentification.
• Traçabilité : les actions importantes (membres, élèves, robots, exports) sont inscrites au journal de l'établissement, que ses responsables peuvent consulter.
• Isolation : la compilation des programmes tourne dans des conteneurs isolés, sans accès au réseau.
• Sauvegardes régulières de la base, chiffrées et conservées dans l'Union européenne.
• Mises à jour de sécurité appliquées régulièrement aux serveurs et aux logiciels.