Accord de traitement des données

Dernière mise à jour : 18 août 2026

1. OBJET ET NATURE DE L'ACCORD

Le présent Accord de traitement des données (ci-après « l'Accord ») régit le traitement des données personnelles qu'Edena Software S.L. (CIF : B27627462 ; ci-après « Edena ») effectue pour le compte de l'organisation cliente dans le cadre de la prestation du service, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD). L'Accord fait partie intégrante des Conditions générales du service.

Aux fins du présent Accord, l'organisation cliente (l'établissement scolaire) est la Responsable du traitement et Edena agit en qualité de Sous-traitant.

2. NATURE, FINALITÉ ET DURÉE DU TRAITEMENT

Edena traitera les données personnelles fournies ou générées par le responsable uniquement pour fournir les services de la plateforme (gestion des personnes et des dossiers, facturation, communications et fonctionnalités associées), pendant la durée de la relation contractuelle.

3. PERSONNES CONCERNÉES ET CATÉGORIES DE DONNÉES

- Personnes concernées : élèves, familles et tuteurs, personnel de l'établissement et autres utilisateurs gérés par le responsable dans la plateforme.

- Catégories de données : données d'identification et de contact, données académiques, données de facturation et, le cas échéant, données de santé essentielles (allergies ou besoins particuliers) saisies sous la responsabilité de l'établissement.

4. INSTRUCTIONS DU RESPONSABLE

Edena traitera les données en suivant exclusivement les instructions documentées du responsable, y compris la configuration et l'utilisation qu'il fait de la plateforme, sauf si une norme de l'Union européenne ou d'un État membre l'y oblige autrement ; dans ce cas, Edena informera le responsable avant le traitement, sauf si cette norme l'interdit.

5. CONFIDENTIALITÉ

Edena garantit que les personnes autorisées à traiter les données personnelles se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité.

6. SÉCURITÉ DU TRAITEMENT

Edena applique des mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD, notamment le chiffrement des données en transit et au repos, le contrôle d'accès basé sur les rôles (moindre privilège), l'isolement des données entre organisations, des sauvegardes périodiques et la journalisation de l'activité.

7. SOUS-TRAITANTS ULTÉRIEURS

Le responsable autorise Edena à recourir aux sous-traitants ultérieurs énumérés ci-dessous. Tous sont liés par un contrat leur imposant des obligations de protection des données équivalentes à celles du présent Accord, et Edena demeure responsable de leur exécution devant le responsable.

7.1 Infrastructure

- Supabase — base de données et authentification. Allemagne (AWS eu-central-1, Francfort).

- Google Cloud (Cloud Run) — hébergement de l'application. Belgique (europe-west1).

- Cloudflare R2 — stockage de fichiers et de documents. Emplacement configuré en Europe de l'Ouest ; voir la section 13.

- Upstash — file de tâches en arrière-plan et cache. Belgique (europe-west1).

7.2 Communications

- Resend — envoi d'e-mails transactionnels (factures, invitations et avis). États-Unis.

- Expo — remise des notifications push aux appareils mobiles. États-Unis. Reçoit l'identifiant de l'appareil et le texte de la notification.

7.3 Paiements

- Stripe — traitement des encaissements et des prélèvements. Irlande et États-Unis.

7.4 Intelligence artificielle

- Scaleway — modèles de langage. France (Paris). Seul fournisseur pouvant traiter les données de l'organisation, et ses conditions excluent l'entraînement sur ces données.

- Mistral AI — traduction des noms de la structure organisationnelle. France.

- Groq — solution de repli pour la fonction précédente. États-Unis. Ne reçoit que des noms de niveaux organisationnels (par exemple « Cycle », « Niveau » ou « Groupe »), jamais de données personnelles.

Edena n'utilise aucun autre fournisseur d'intelligence artificielle. Cette restriction est implémentée dans le code lui-même et ne dépend pas de la configuration de l'environnement ; elle ne peut donc être élargie sans une modification revue du logiciel.

7.5 Services connectés par le responsable lui-même

Lorsque le responsable connecte volontairement un service externe (par exemple Google Calendar ou Microsoft), les données synchronisées avec celui-ci quittent la plateforme sur instruction du responsable lui-même et vers un compte qu'il contrôle. Ces services ne sont pas des sous-traitants ultérieurs d'Edena, et leur traitement est régi par la relation entre le responsable et ce fournisseur.

7.6 Communications exigées par la réglementation

Lorsque le responsable a activé la facturation conforme au système VeriFactu, la plateforme transmet à l'Agence fiscale espagnole (Agencia Estatal de Administración Tributaria) les registres de facturation, qui incluent les données d'identification et fiscales du destinataire de la facture. Cette communication satisfait à une obligation légale du responsable lui-même ; l'Agence fiscale n'agit donc pas comme sous-traitant ultérieur d'Edena, mais comme destinataire prévu par la loi.

Edena informera le responsable de tout changement prévu dans cette liste avec un préavis d'au moins 30 jours, en lui donnant la possibilité de s'y opposer. Si le responsable s'y oppose de manière motivée et qu'aucune alternative raisonnable n'est possible, il pourra résilier le contrat sans pénalité.

8. ASSISTANCE AU RESPONSABLE

Edena assistera le responsable, compte tenu de la nature du traitement, pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition, limitation et portabilité), ainsi que pour respecter les obligations de sécurité, de notification des violations de données et d'analyses d'impact.

La plateforme intègre des outils pour exporter et anonymiser les données d'une personne concernée, permettant au responsable de répondre aux droits d'accès, de portabilité et d'effacement.

9. DONNÉES DES MINEURS

Il appartient au responsable, en sa qualité d'établissement scolaire, d'obtenir les consentements des parents ou tuteurs légaux nécessaires avant de saisir des données de mineurs dans la plateforme. Edena n'utilise pas les données des mineurs à d'autres fins que la prestation du service au responsable.

10. NOTIFICATION DES VIOLATIONS DE DONNÉES

Edena notifiera au responsable, dans les meilleurs délais après en avoir pris connaissance, toute violation de la sécurité des données personnelles, en fournissant les informations pertinentes disponibles afin que le responsable puisse remplir ses obligations de notification auprès de l'autorité de contrôle et des personnes concernées.

11. SUPPRESSION OU RESTITUTION DES DONNÉES

À la fin de la prestation du service, Edena supprimera ou restituera au responsable, selon son choix, les données personnelles et les copies existantes, sauf obligation légale de conservation (par exemple, les registres de facturation soumis à des obligations fiscales), auquel cas elles resteront bloquées pendant les délais légaux.

12. AUDIT

Edena mettra à la disposition du responsable les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permettra et contribuera à la réalisation d'audits raisonnables, y compris des inspections, selon une procédure convenue entre les parties.

13. TRANSFERTS INTERNATIONAUX

La base de données, l'hébergement de l'application, la file de tâches en arrière-plan et les fournisseurs d'intelligence artificielle susceptibles de traiter les données de l'organisation (section 7.4) sont situés dans l'Union européenne.

Les sous-traitants ultérieurs identifiés à la section 7 comme établis aux États-Unis (Resend, Expo, Stripe et Groq) impliquent un transfert international de données. Ces transferts s'appuient sur les Clauses Contractuelles Types approuvées par la Commission européenne ou, lorsque le fournisseur est certifié, sur le cadre de protection des données UE-États-Unis, ainsi que sur les mesures complémentaires nécessaires à l'issue de l'analyse d'impact du transfert correspondante.

Le stockage de fichiers (Cloudflare R2) est configuré avec un emplacement en Europe de l'Ouest. S'agissant d'une préférence d'emplacement et non d'une restriction juridictionnelle contraignante, et le fournisseur étant une entité américaine, cette relation s'appuie sur les mêmes garanties que celles indiquées au paragraphe précédent.

Si un sous-traitant ultérieur modifiait le lieu depuis lequel il traite les données, Edena en informera le responsable conformément à la section 7.

14. CONTACT

Pour toute question relative au présent Accord, vous pouvez nous écrire à [email protected].