Accord de sous-traitance (article 28 du RGPD)

Le présent accord (ci-après l'« Accord ») encadre le traitement de données à caractère personnel réalisé par Azur Vision pour le compte du Client dans le cadre de l'utilisation du service Presencia. Il est conclu en application de l'article 28 du Règlement (UE) 2016/679 (ci-après le « RGPD ») et complète les Conditions générales d'utilisation, les Conditions générales de vente et la Politique de confidentialité. En cas de contradiction sur un point relevant de la protection des données, le présent Accord prévaut.

1. Les parties et leur qualification

• Le Client — responsable de traitement. L'école, l'établissement scolaire ou périscolaire, la crèche, l'association, la collectivité ou la mairie qui souscrit un abonnement à Presencia. Il détermine les finalités et les moyens du traitement : il décide quelles personnes sont inscrites, quelles informations sont saisies, qui y accède et pendant combien de temps le service est utilisé.
• Azur Vision — sous-traitant. Micro-entreprise (Entreprise individuelle), SIRET 934 559 667 00019, siège 42 rue des Mouettes, La Saline les Bains, 97434 La Réunion, représentée par Kezhia Colombel, éditrice du service Presencia. Azur Vision traite les données pour le compte du Client et selon ses instructions.

Contact pour toute question relative au présent Accord, y compris les demandes d'exercice de droits et les notifications de violation : kezhia.colombel@azur-vision.io (Kezhia Colombel, également désignée déléguée à la protection des données).

2. Objet de l'Accord

L'Accord a pour objet de définir les conditions dans lesquelles Azur Vision effectue, pour le compte du Client, les opérations de traitement de données à caractère personnel nécessaires à la fourniture du service Presencia, ainsi que les obligations respectives des parties au regard du RGPD.

3. Durée

L'Accord entre en vigueur à la date de son acceptation par le Client et demeure applicable pendant toute la durée de l'abonnement au Service. Il prend fin avec celui-ci, sous réserve des stipulations de l'article 12 (sort des données) et des obligations légales de conservation, qui survivent à la fin de l'abonnement.

4. Nature et finalité du traitement

Les opérations réalisées par Azur Vision sur les données du Client sont la collecte, l'enregistrement, l'organisation, la structuration, la conservation, la consultation, l'utilisation, la modification, l'extraction (exports PDF, Excel, CSV, ZIP), la limitation et l'effacement.

Ces opérations sont réalisées aux seules finalités suivantes, qui sont celles du Service :

• Gestion des présences : enregistrer et suivre la présence des enfants ou des personnes pointées dans les structures du Client
• Recueil de signatures : conserver la signature manuscrite numérisée du responsable qui dépose ou récupère l'enfant, comme preuve de la remise
• Rapports et statistiques : produire des états de fréquentation et des exports
• Gestion des comptes et des accès : créer, administrer et habiliter les comptes du personnel du Client
• Sécurité et traçabilité : journaliser les actions sensibles
• Support et maintenance : répondre aux demandes d'assistance et corriger les anomalies

Azur Vision n'utilise en aucun cas les données du Client pour ses propres finalités : ni prospection, ni publicité, ni revente, ni cession à des tiers, ni entraînement de systèmes d'intelligence artificielle.

5. Catégories de personnes concernées

• Des enfants mineurs inscrits dans les structures du Client. Le RGPD les considère comme des personnes vulnérables, ce qui appelle une vigilance renforcée du Client comme d'Azur Vision (voir l'article 15).
• Les responsables légaux et personnes autorisées à déposer ou récupérer l'enfant (parents, tuteurs, tiers désignés).
• Le personnel du Client disposant d'un accès au Service (direction, administrateurs, employés).

6. Types de données traitées

Les catégories ci-dessous correspondent exactement aux informations que le Service enregistre. Aucune autre catégorie n'est collectée par Presencia pour le compte du Client.

6.1 Fiche enfant

• Nom, prénom
• Date de naissance
• Catégorie (maternelle ou élémentaire)
• Établissement de rattachement
• Date d'inscription et statut actif ou inactif
• Allergies et notes médicales — champs de texte libre
• Autorisation de photographier (oui / non)

6.2 Données de santé — catégorie particulière (article 9 du RGPD)

Les champs allergies et notes médicales de la fiche enfant constituent des données concernant la santé. Elles relèvent des catégories particulières de données au sens de l'article 9 du RGPD, dont le traitement est interdit par principe et n'est possible que dans les cas limitativement énumérés par cet article.

• Ces champs sont facultatifs : le Service fonctionne intégralement sans qu'ils soient renseignés.
• Il appartient au Client, en sa qualité de responsable de traitement, d'identifier la base légale applicable (article 9.2 du RGPD — notamment consentement explicite des titulaires de l'autorité parentale, sauvegarde des intérêts vitaux, ou motif d'intérêt public important) et de n'y inscrire que ce qui est strictement nécessaire à la sécurité et au bon accueil de l'enfant.
• Azur Vision ne consulte ces champs que si une demande de support l'exige et que le Client l'y invite, et ne les communique à aucun tiers.

6.3 Responsables légaux et personnes autorisées

• Nom, prénom
• Téléphone
• Adresse e-mail
• Lien avec l'enfant (père, mère, tuteur, autre — avec précision libre le cas échéant)
• Autorisation de récupérer l'enfant (oui / non)
• Existence d'une restriction et détail de cette restriction — champ de texte libre

Le champ de restriction mérite une mention distincte. Il sert à consigner qu'une personne ne doit pas se voir remettre l'enfant, et le détail saisi révèle en pratique une situation judiciaire ou familiale : mesure de justice, décision relative à l'autorité parentale, séparation conflictuelle. Ce n'est pas une donnée de santé, mais c'est une donnée hautement sensible, qui touche à la vie privée et familiale d'adultes comme d'enfants, et dont la divulgation causerait un préjudice sérieux. Elle est traitée avec le même soin que les données de l'article 9 : accès restreint aux utilisateurs habilités par le Client, aucune communication à un tiers, et journalisation des actions.

6.4 Pointages et signatures

• Date, créneau horaire et libellé du créneau
• Durée de présence
• Nom du responsable qui signe
• Horodatage de la signature
• Image de la signature manuscrite, enregistrée sous forme d'image encodée

Précision utile : l'image d'une signature manuscrite tracée à l'écran n'est pas une donnée biométrique au sens de l'article 9 du RGPD. Une donnée biométrique suppose un traitement technique spécifique visant à identifier une personne de manière unique (empreinte, reconnaissance faciale, gabarit de signature dynamique analysé). Ici, l'image est conservée comme une preuve visuelle de la remise de l'enfant, jamais comparée ni utilisée pour reconnaître automatiquement une personne. Elle relève donc du régime ordinaire de l'article 6, et n'ajoute pas aux obligations du Client au titre de l'article 9.

6.5 Personnel du Client

• Nom, prénom
• Adresse e-mail professionnelle
• Numéro de téléphone
• Rôle et permissions dans l'application
• Mot de passe, conservé uniquement sous forme hachée
• Adresse IP et date de connexion, journal des actions sensibles

7. (a) Traiter les données uniquement sur instruction documentée du Client

Azur Vision s'engage à ne traiter les données du Client que sur instruction documentée de celui-ci, y compris en ce qui concerne les transferts de données vers un pays tiers ou une organisation internationale.

Constituent les instructions documentées du Client :

• le présent Accord, les CGU et les CGV ;
• le paramétrage et les actions réalisés par le Client et ses utilisateurs dans l'application (création d'écoles, de créneaux, de fiches, attribution des permissions, exports, suppressions) ;
• toute demande écrite adressée à kezhia.colombel@azur-vision.io, notamment en matière de support, de restitution ou d'effacement.

Aucun transfert de données hors de l'Union européenne n'est effectué au titre de l'hébergement et du fonctionnement du Service. Le seul flux sortant est celui de l'envoi des e-mails transactionnels, encadré par les garanties décrites à l'article 10.

Conformément au dernier alinéa de l'article 28.3 du RGPD, si Azur Vision estime qu'une instruction du Client constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, elle en informe immédiatement le Client par écrit et peut suspendre l'exécution de l'instruction concernée jusqu'à confirmation ou modification de celle-ci.

8. (b) Confidentialité des personnes autorisées à accéder aux données

Azur Vision garantit que les personnes autorisées à traiter les données du Client sont soumises à une obligation de confidentialité.

• Azur Vision est une micro-entreprise sans salarié : à la date du présent Accord, la seule personne physique susceptible d'accéder aux données pour la maintenance et le support est Kezhia Colombel, tenue à la confidentialité au titre du présent Accord.
• Tout intervenant qui viendrait à être associé à l'exploitation du Service — salarié, prestataire ou stagiaire — sera préalablement soumis à un engagement de confidentialité écrit, et son accès limité à ce que sa mission exige.
• L'accès d'Azur Vision aux données du Client est limité au strict nécessaire : correction d'une anomalie, réponse à une demande de support, opération de maintenance. Il ne s'agit ni d'un accès permanent, ni d'un accès de lecture systématique.
• Les actions sensibles réalisées dans l'application sont tracées dans le journal d'audit (auteur, action, horodatage, adresse IP), consultable par le Client selon ses permissions.
• Cette obligation de confidentialité survit à la fin de l'Accord.

9. (c) Mesures de sécurité (article 32 du RGPD)

Azur Vision met en œuvre les mesures techniques et organisationnelles suivantes. Cette liste est exhaustive et volontairement dépourvue de toute affirmation invérifiable : elle décrit ce qui est réellement en place, et rien d'autre.

• Chiffrement des communications : l'intégralité des échanges entre le navigateur et le Service circule en HTTPS/TLS, imposé par l'en-tête HSTS.
• Mots de passe : jamais stockés en clair, hachés avec l'algorithme bcrypt ; longueur minimale de 12 caractères.
• Double authentification : l'authentification à deux facteurs (TOTP) est disponible sur le portail d'administration.
• Cloisonnement : les données de chaque Client sont isolées par instance, et l'accès des utilisateurs est filtré par un système de permissions appliqué à la fois côté navigateur et côté serveur.
• Traçabilité : journal d'audit des actions sensibles (création, modification, suppression, export), horodaté et associé à un auteur et à une adresse IP.
• Résistance aux attaques par force brute : limitation du nombre de tentatives et blocage temporaire des connexions.
• En-têtes de sécurité HTTP : Content-Security-Policy, X-Frame-Options DENY, X-Content-Type-Options nosniff.
• Intégrité des flux de paiement : vérification HMAC SHA-256 des notifications du prestataire de paiement.
• Sauvegardes : sauvegardes quotidiennes assurées par l'hébergeur ; les fichiers de sauvegarde générés par l'application sont écrits hors de la racine web, donc non accessibles publiquement.
• Localisation : hébergement et traitement dans l'Union européenne.
• Suppression : effacement automatique et tracé des données à l'échéance des durées de conservation, par traitement quotidien planifié.

Ce qu'Azur Vision ne prétend pas faire. Le Service ne met pas en œuvre de chiffrement applicatif des données au repos : les données sont stockées en base dans une infrastructure située dans l'Union européenne, et les mesures de chiffrement du stockage relèvent de l'hébergeur, dans les conditions de son propre accord de sous-traitance public (article 10). Azur Vision ne fait état d'aucune certification, d'aucun agrément « hébergeur de données de santé » (HDS) et d'aucun audit de sécurité réalisé par un tiers. Le Client est invité à en tenir compte dans sa propre analyse de risques.

10. (d) Recours à des sous-traitants ultérieurs

Le Client autorise Azur Vision à faire appel aux sous-traitants ultérieurs listés ci-dessous, chacun lié par un accord de traitement conforme à l'article 28 du RGPD. Cette autorisation est une autorisation générale écrite au sens de l'article 28.2.

10.1 Liste des sous-traitants ultérieurs

• Hostinger International Ltd (Chypre, Union européenne) — hébergement des serveurs, de la base de données et des sauvegardes. Reçoit à ce titre l'ensemble des données confiées par le Client.
  Accord : hostinger.fr/legal/data-processing-agreement
• Stripe Payments Europe Ltd (Irlande, Union européenne) — traitement des paiements de l'abonnement. Reçoit les données de facturation du Client. Aucune donnée d'enfant, de responsable légal, de présence ou de signature. Presencia ne stocke aucune donnée bancaire.
  Accord : stripe.com/legal/dpa
• Resend (États-Unis, encadré par le cadre de protection des données UE–États-Unis et des clauses contractuelles types) — envoi des e-mails transactionnels (vérification d'adresse, notifications, factures, alertes de fin d'essai). Reçoit l'adresse e-mail du destinataire et le contenu du message envoyé.
  Accord : resend.com/docs/legal/dpa
• Sentry (flux d'ingestion configuré sur la région Union européenne) — suivi technique des erreurs. Reçoit, lorsqu'une erreur survient, un rapport technique : type et message de l'erreur, pile d'appels, page concernée, navigateur. Un filtre retire avant l'envoi l'identité de l'utilisateur, masque les adresses e-mail et supprime le contenu des formulaires, les cookies, les jetons d'authentification et les paramètres présents dans les adresses. L'enregistrement vidéo de session est désactivé. Aucune fiche enfant, signature ou donnée de santé n'y est transmise.
• Telegram — alertes internes d'exploitation destinées à Azur Vision (inscription, demande de devis, conversion, résiliation). Le message reprend les informations professionnelles communiquées par le représentant de la structure : raison sociale, nom, e-mail, téléphone, ville, SIRET le cas échéant. Aucune donnée d'enfant, de responsable légal, de présence ou de signature n'y figure.

Les ressources d'affichage tierces chargées sur le site public (polices de caractères, drapeaux du sélecteur de pays) et le bouton de connexion Google ne reçoivent aucune donnée confiée par le Client : ils sont décrits à l'article 10.1 de la Politique de confidentialité.

10.2 Information du Client et droit d'opposition

• Azur Vision informe le Client par e-mail de tout ajout ou remplacement de sous-traitant ultérieur, au moins 30 jours avant l'entrée en fonction de ce dernier. La présente page est mise à jour à la même occasion : elle fait foi de la liste en vigueur.
• Le Client dispose de ce délai pour émettre des objections motivées. En cas d'objection qui ne peut être levée, le Client peut résilier son abonnement sans pénalité, avec remboursement au prorata de la période payée d'avance et non consommée.
• Azur Vision impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent Accord, et demeure pleinement responsable envers le Client de l'exécution par ces sous-traitants de leurs obligations.

11. (e) Aide du Client face aux demandes des personnes concernées

Les demandes d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition) émanant des parents, des responsables légaux ou du personnel doivent être adressées au Client, qui en est le destinataire en sa qualité de responsable de traitement.

• Le Service est conçu pour que le Client puisse traiter lui-même et immédiatement la plupart de ces demandes : les fiches enfants, responsables légaux et utilisateurs sont consultables, modifiables et supprimables depuis l'application, et les données sont exportables (PDF, Excel, CSV, ZIP) depuis le Centre de téléchargement — ce qui satisfait les droits d'accès, de rectification, d'effacement et de portabilité.
• Lorsqu'une demande ne peut pas être satisfaite par les fonctions de l'application, Azur Vision assiste le Client par des mesures techniques appropriées : extraction ciblée, suppression ou anonymisation d'un enregistrement précis. Cette assistance est incluse dans l'abonnement et n'est pas facturée.
• Azur Vision répond à toute demande d'assistance de ce type dans un délai de 5 jours ouvrés, afin que le Client puisse tenir son propre délai d'un mois (article 12.3 du RGPD).
• Si une personne concernée s'adresse directement à Azur Vision, celle-ci ne traite pas la demande : elle la transmet au Client sans délai et en informe l'auteur de la demande.

12. (f) Aide du Client au titre des articles 32 à 36 du RGPD

12.1 Sécurité (article 32)

Azur Vision maintient les mesures décrites à l'article 9 du présent Accord et communique au Client, sur demande écrite, les éléments nécessaires pour qu'il évalue le niveau de sécurité au regard de ses propres risques.

12.2 Notification des violations de données (articles 33 et 34)

En cas de violation de données à caractère personnel affectant les données du Client — destruction, perte, altération, divulgation ou accès non autorisés —, Azur Vision s'engage à :

• informer le Client par e-mail dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance ;
• lui communiquer, dans la mesure de ce qui est alors connu : la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables, et les mesures prises ou envisagées pour y remédier ;
• compléter cette information au fur et à mesure de l'avancement des constatations, lorsque tout n'est pas connu dans le délai de 48 heures ;
• coopérer avec le Client et documenter la violation, afin que celui-ci puisse procéder à sa propre notification à la CNIL et, le cas échéant, à l'information des personnes concernées.

Pourquoi 48 heures, et pas moins. Le RGPD accorde au responsable de traitement 72 heures pour notifier la CNIL. Un délai de 48 heures laisse au Client une marge réelle pour décider et notifier, tout en restant tenable par une structure d'une seule personne — un engagement plus court serait invérifiable, donc sans valeur. La notification à la CNIL et l'information des personnes concernées incombent au Client, responsable de traitement ; Azur Vision ne s'y substitue pas.

12.3 Analyse d'impact et consultation préalable (articles 35 et 36)

Azur Vision fournit au Client, sur demande, les informations techniques dont elle dispose et qui sont nécessaires à la réalisation de son analyse d'impact : description des traitements, des données, des mesures de sécurité, des sous-traitants ultérieurs et des durées de conservation. Le présent document en rassemble déjà l'essentiel. La réalisation de l'analyse d'impact et, s'il y a lieu, la consultation préalable de la CNIL relèvent du Client.

13. (g) Sort des données à la fin de l'Accord

Au terme de la prestation, le Client choisit entre la restitution et la suppression de ses données. À défaut de choix exprimé, les données sont supprimées à l'échéance des délais ci-dessous.

• Restitution : le Client exporte l'intégralité de ses données depuis le Centre de téléchargement, aux formats ZIP, CSV et PDF (fiches, présences, signatures comprises). Ces formats sont structurés et lisibles par machine, conformément à l'article 20 du RGPD.
• Fenêtre d'export après résiliation volontaire : 90 jours, pendant lesquels le Client conserve un accès en lecture au Centre de téléchargement. Au 91^e jour, suppression définitive.
• Après expiration d'un essai gratuit non converti : 30 jours de délai de grâce, avec avertissements par e-mail à J-30, J-7 et J-1. Au 31^e jour, suppression définitive.
• Après suspension pour défaut de paiement : 60 jours de délai de grâce, avec les mêmes avertissements. Au 61^e jour, suppression définitive.
• Suppression anticipée : le Client peut demander par écrit la suppression de ses données avant l'échéance de ces délais. Azur Vision y procède et confirme l'exécution par écrit.
• Copies : les suppressions sont propagées aux sauvegardes selon le cycle de rotation de l'hébergeur ; aucune copie n'est conservée par Azur Vision au-delà de ce cycle.

Exception : les conservations légales obligatoires. Conformément à l'article 28.3.g du RGPD, qui réserve le cas où le droit de l'Union ou d'un État membre impose la conservation, subsistent après la suppression : les signatures numériques pendant 5 ans (valeur probante), les données de facturation pendant 10 ans (article L.123-22 du Code de commerce), et le journal d'audit pendant 1 an, les traces relatives aux suppressions et aux exports étant conservées au-delà à des fins de preuve de conformité. Ces éléments sont conservés en accès restreint et ne servent à aucune autre finalité.

Le détail des durées figure à l'article 7 de la Politique de confidentialité, dont les stipulations sont identiques.

14. (h) Informations mises à disposition et audit

• Azur Vision met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28. Le présent document, la Politique de confidentialité et les accords des sous-traitants ultérieurs cités à l'article 10 en constituent le socle documentaire, accessible en permanence.
• Azur Vision tient à jour le registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD) et en communique un extrait au Client sur demande écrite.
• Réponse écrite : Azur Vision répond aux questionnaires de conformité et demandes documentaires du Client dans un délai de 30 jours à compter de leur réception.
• Audit : le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant qu'il mandate et qui n'est pas concurrent d'Azur Vision, une fois par période de douze mois, sous réserve d'un préavis écrit de 30 jours. L'audit se déroule pendant les heures ouvrées, ne porte que sur les traitements réalisés pour le compte du Client, ne doit pas compromettre la sécurité ni la confidentialité des données des autres clients, et l'auditeur est tenu à la confidentialité. Les frais d'audit sont à la charge du Client, sauf si l'audit révèle un manquement substantiel d'Azur Vision à ses obligations.
• Alternative documentaire : lorsque les informations écrites déjà fournies permettent de répondre à l'objet de l'audit, les parties peuvent convenir d'y substituer un échange documentaire — ce qui reste, pour une structure de cette taille, la voie la plus efficace pour le Client.

15. Analyse d'impact : un point d'attention pour le Client

Ce paragraphe n'est pas une obligation contractuelle : c'est une information que le Client mérite d'avoir, parce qu'elle découle directement de ce que le Service permet d'enregistrer.

L'article 35 du RGPD impose au responsable de traitement de réaliser une analyse d'impact relative à la protection des données (AIPD) lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Pour apprécier ce risque, la CNIL et le Comité européen de la protection des données s'appuient sur une liste de critères ; réunir deux critères ou plus conduit en général à considérer l'AIPD comme nécessaire.

Or l'usage courant de Presencia en réunit au moins deux :

• le traitement de données sensibles — les allergies et notes médicales sont des données de santé (article 9) ;
• le traitement de données concernant des personnes vulnérables — des enfants mineurs.

En conséquence, une AIPD est probablement requise pour le traitement mis en œuvre par le Client, et cela reste à vérifier au regard de sa situation propre : le volume de données, la nature exacte des informations saisies, le public accueilli et le contexte de la structure peuvent modifier l'appréciation. Un Client qui laisse vides les champs de santé n'est pas dans la même situation qu'un accueil de loisirs qui les renseigne systématiquement.

Le Client est invité à consulter la liste publiée par la CNIL des types de traitements pour lesquels une analyse d'impact est requise, ainsi que la liste de ceux qui en sont dispensés, sur www.cnil.fr, et à se rapprocher de son délégué à la protection des données ou de son conseil. Azur Vision fournit sur demande, au titre de l'article 12.3 ci-dessus, les éléments techniques nécessaires à cette analyse.

16. Responsabilité

• Chaque partie répond des dommages causés par le traitement lorsqu'elle a manqué aux obligations du RGPD qui lui incombent, dans les conditions de l'article 82 du Règlement.
• Le Client garantit la licéité des données qu'il saisit, l'existence d'une base légale appropriée — y compris pour les données de santé de l'article 9 —, et l'information des personnes concernées, notamment des titulaires de l'autorité parentale.
• Les limitations de responsabilité prévues par les CGU et les CGV s'appliquent au présent Accord, sans pouvoir faire échec aux dispositions impératives du RGPD.

17. Acceptation, version et modifications

• L'acceptation du présent Accord par le Client est enregistrée avec sa date et le numéro de version acceptée, ce qui permet à chaque partie de savoir quel texte lui est opposable.
• La version en vigueur est celle affichée en tête de la présente page.
• En cas de modification substantielle, le Client en est informé par e-mail. Les modifications rendues nécessaires par une évolution de la réglementation ou par l'ajout d'un sous-traitant ultérieur suivent le régime d'information prévu à l'article 10.2.

18. Droit applicable et juridiction

Le présent Accord est soumis au droit français et au RGPD. En cas de litige, les parties s'efforceront de trouver une solution amiable. À défaut, les tribunaux du ressort du siège social d'Azur Vision seront seuls compétents.

19. Contact

Pour toute question relative au présent Accord, pour demander sa signature sous forme d'un document distinct, ou pour soumettre l'accord de sous-traitance de votre propre structure : kezhia.colombel@azur-vision.io — Kezhia Colombel, Azur Vision, 42 rue des Mouettes, La Saline les Bains, 97434 La Réunion.