Xam4AllRetour à l’accueil

Accord de traitement des données

Accord de sous-traitance au sens de l’article 28 du règlement (UE) 2016/679 (RGPD), établi sur la base des clauses contractuelles types adoptées par la Commission européenne pour les relations entre responsables du traitement et sous-traitants (décision d’exécution (UE) 2021/915 du 4 juin 2021). Version 1.1, en vigueur au 28 octobre 2026.

1. Parties et acceptation

Le responsable du traitement est l’organisation cliente qui acquiert des licences Xam4All pour former ses membres. Le sous-traitant est BarroTech, SASU (société par actions simplifiée unipersonnelle) au capital de 1 €, 47 rue Vivienne, 75002 Paris, RCS Paris 105 973 119. Le présent accord fait partie intégrante des conditions générales de vente : il est accepté par le client lors de l’achat de licences ou de l’acceptation d’une offre entreprise, et s’applique pendant toute la durée des licences, puis jusqu’à la suppression des données. En cas de contradiction avec un autre document contractuel, le présent accord prévaut pour tout ce qui concerne la protection des données personnelles.

2. Objet, périmètre et instructions

BarroTech traite les données décrites en annexe 1 uniquement pour permettre au client d’inviter ses membres, d’organiser leur formation et de la suivre, et sur instruction documentée du client. Ces instructions sont constituées des conditions générales, du présent accord et des actions effectuées par les administrateurs du client dans le service (invitations, profils d’apprentissage, exceptions, objectifs, suspensions, retraits, réinitialisation des appareils, exports). Si BarroTech estime qu’une instruction enfreint la réglementation, il en informe immédiatement le client. Les données ne sont jamais utilisées à d’autres fins, notamment commerciales, statistiques ou d’entraînement de modèles.

Restent hors du présent accord, sous la responsabilité de BarroTech : le compte de chaque personne et son authentification, la sécurité du service (appareils, session unique, journal d’audit) et l’historique de formation, qui reste attaché au compte de la personne si elle quitte l’organisation. Ces traitements sont décrits dans la politique de confidentialité.

3. Confidentialité

Seules les personnes habilitées par BarroTech peuvent accéder aux données, dans la limite de ce qui est strictement nécessaire à l’exécution, à la maintenance et au support du service. Elles sont soumises à une obligation de confidentialité.

4. Sécurité

BarroTech met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, adaptées au risque. Il peut les faire évoluer, à condition de ne jamais réduire le niveau global de protection.

5. Données sensibles

Le service n’est pas conçu pour traiter des données de santé ou d’autres catégories particulières de données (article 9 du RGPD). Le client s’engage à ne pas en saisir, notamment dans les noms de profils, d’objectifs ou d’organisation.

6. Sous-traitants ultérieurs

Le client donne une autorisation générale de recours aux sous-traitants ultérieurs listés en annexe 3. BarroTech informe les administrateurs de l’organisation par email au moins 30 jours avant tout ajout ou remplacement. Le client peut s’y opposer pour un motif légitime lié à la protection des données ; à défaut d’accord, il peut résilier l’abonnement avant l’entrée en vigueur du changement, sans pénalité. BarroTech impose à chaque sous-traitant ultérieur des obligations de protection au moins équivalentes à celles du présent accord et reste responsable de leur respect.

7. Transferts hors de l’Union européenne

La base de données est hébergée en France (Paris) et l’application est exécutée en région Paris par Vercel Inc., société américaine : des données peuvent être traitées aux États-Unis. Lors de la lecture d’une vidéo, le navigateur du membre se connecte directement à Cloudflare, société américaine, qui reçoit son adresse IP. Ces transferts sont encadrés par la certification de ces prestataires au cadre de protection des données UE-États-Unis (Data Privacy Framework) et par les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914) intégrées à leurs accords de traitement. Aucun autre transfert n’est effectué sans information préalable du client conformément à l’article 6.

8. Assistance au client

BarroTech aide le client à répondre aux demandes d’exercice des droits des personnes (accès, rectification, effacement, limitation, portabilité, opposition). Le service permet au client d’agir lui-même : consultation de la progression, export CSV, retrait d’un membre, réinitialisation de ses appareils. Toute demande reçue directement par BarroTech et relevant du présent accord est transmise au client sans retard injustifié. BarroTech aide également le client, dans la mesure des informations dont il dispose, à réaliser une analyse d’impact et à consulter l’autorité de contrôle si nécessaire.

9. Violation de données

BarroTech notifie au client toute violation de données personnelles le concernant sans retard injustifié après en avoir pris connaissance, et dans la mesure du possible dans les 48 heures, par email aux administrateurs de l’organisation. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées. Les informations qui ne sont pas disponibles immédiatement sont transmises dès que possible. Le client reste responsable de la notification à la CNIL et, le cas échéant, aux personnes concernées.

10. Documentation et audits

BarroTech met à disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut faire réaliser un audit, à ses frais, par lui-même ou par un auditeur indépendant soumis à la confidentialité, au plus une fois par an sauf violation de données, avec un préavis de 30 jours. L’audit porte sur des documents et ne peut porter atteinte à la sécurité du service ni aux données des autres clients.

11. Fin des licences : restitution et suppression

À la fin des licences, par résiliation, défaut de paiement ou échéance d’une offre entreprise, les administrateurs disposent de 90 jours pour exporter la liste des membres au format CSV ou pour renouveler les licences. Un préavis leur est adressé par email 15 jours avant la suppression. Passé ce délai, BarroTech supprime les données de suivi de l’organisation : rattachement des membres, profils d’apprentissage propres à l’organisation, exceptions, objectifs, invitations et alertes de sécurité liées à l’organisation. Les comptes des membres ne sont pas supprimés : ils appartiennent aux personnes, qui conservent la découverte gratuite et leur historique de formation. Les sauvegardes techniques sont écrasées dans leur cycle normal de rotation. Seules les données de facturation du client sont conservées par BarroTech, pour son propre compte, au titre de ses obligations comptables.

12. Responsabilités

Chaque partie répond des manquements qui lui sont imputables dans les conditions et limites prévues par les conditions générales de vente. Le client reste responsable de la licéité des traitements qu’il décide, de l’information de ses membres sur le suivi de leur formation et des données saisies par ses administrateurs.

Annexe 1. Description du traitement

Annexe 2. Mesures de sécurité

Annexe 3. Sous-traitants ultérieurs autorisés

Le prestataire de paiement (Stripe) n’a accès à aucune donnée des membres : il traite uniquement les données de facturation du client, pour le compte de BarroTech. La liste à jour figure sur la page sous-traitants.

Contact

Pour toute question relative au présent accord : contact@xam4all.com.