Accord de traitement des données

Accord de traitement des données pour les écoles

Entre l’école, le conseil scolaire ou le district scolaire qui utilise Mindomo, ou l’enseignant qui utilise Mindomo avec une classe (l’« école »), et Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Roumanie (« Mindomo », « nous »).

1. Parties et champ d’application

• L’école est le responsable du traitement. Mindomo est le sous-traitant.
• Le présent DPA couvre les données à caractère personnel figurant dans les comptes et le contenu des élèves, des enseignants et du personnel de l’école, ainsi que des élèves de la classe d’un enseignant, aussi longtemps que nous les traitons pour l’école.
• L’annexe 1 décrit les données. Lorsque le présent DPA et les Conditions d’utilisation diffèrent au sujet des données à caractère personnel, le présent DPA prévaut.

2. Instructions

Nous traitons les données uniquement pour fournir Mindomo à l’école, à ses élèves et à son personnel, tel que ses administrateurs et ses enseignants le configurent, et sur ses autres instructions documentées, à moins que la loi n’exige autre chose ; dans ce cas, nous en informons l’école au préalable, sauf si la loi l’interdit. Nous informons l’école si nous estimons qu’une instruction enfreint le droit de la protection des données. Nous ne vendons jamais les données, ne les utilisons jamais à des fins publicitaires, et ne les utilisons jamais pour entraîner des modèles d’IA.

3. Confidentialité

Toute personne chez Mindomo qui peut accéder aux données est tenue à la confidentialité, et n’y accède que lorsque cela est nécessaire pour fournir le service ou le support.

4. Sécurité

Nous protégeons les données par les mesures techniques et organisationnelles décrites sur notre page Sécurité. Mindomo est certifié ISO/IEC 27001 et ISO/IEC 27701.

5. Sous-traitants ultérieurs

• L’école autorise les sous-traitants ultérieurs figurant à l’annexe 2. Chacun est lié par un contrat comportant les mêmes obligations en matière de protection des données que le présent DPA.
• Nous annonçons tout nouveau sous-traitant ultérieur au moins 30 jours à l’avance, sur cette page et par e-mail aux administrateurs de l’école. L’école peut s’y opposer pour un motif raisonnable lié à la protection des données ; si nous ne pouvons pas y remédier, l’école peut mettre fin à sa licence et se faire rembourser la partie non utilisée du prix payé.
• Les transferts hors de l’UE reposent sur le cadre de protection des données UE-États-Unis ou sur les clauses contractuelles types de la Commission européenne.

6. Aide

Nous aidons l’école à répondre aux demandes des élèves, des parents et du personnel (accès, rectification, effacement, export), principalement au moyen des outils de Mindomo et de sa console d’administration, ainsi que pour ses propres analyses, telles qu’une analyse d’impact relative à la protection des données. Nous transmettons à l’école toute demande que nous recevons au sujet de ses données, y compris celle d’un parent.

7. Violations de données

Nous notifions à l’école toute violation de données à caractère personnel qui touche ses données dans les meilleurs délais après en avoir pris connaissance, avec ce que nous savons et ce que nous faisons pour y remédier, et nous la tenons informée à mesure que nous en apprenons davantage.

8. Quand la licence prend fin

L’école décide de ce qu’il advient de ses données. Elle peut demander à tout moment un export ou une suppression, par l’intermédiaire du support ou de la console d’administration. Si elle ne donne aucune instruction lorsque sa licence prend fin, ce qui suit s’applique, et l’école le choisit en acceptant le présent DPA :

• Les comptes dont les utilisateurs ont eux-mêmes accepté nos Conditions d’utilisation (enseignants, personnel, et élèves qui se sont inscrits eux-mêmes) continuent comme comptes propres de ces utilisateurs, avec leur contenu. À compter de la fin de la licence, Mindomo en est le responsable du traitement, conformément à sa Politique de confidentialité.
• Les comptes créés par l’école (avec un code PIN, un import CSV ou une liste de classe, ou par l’intermédiaire de Clever, de Skolon ou de LTI) restent des données de l’école, sans changement, de sorte qu’un renouvellement reprend là où la licence s’était arrêtée. Nous pouvons supprimer un tel compte si personne ne s’y est connecté pendant les 12 mois suivant la fin de la licence, après en avoir informé les administrateurs de l’école. Nous ne transformons jamais de nous-mêmes un tel compte en compte personnel : un élève qui souhaite continuer à l’utiliser doit d’abord accepter lui-même nos Conditions.
• L’école peut demander à la place la suppression de tous ses comptes, ou seulement des comptes qu’elle a créés.

9. Audits

Nous démontrons le respect du présent DPA par nos certificats ISO/IEC 27001 et 27701 et leurs rapports d’audit, et en répondant aux questions raisonnables de l’école. Les audits sur place n’ont lieu que lorsque la loi les exige, moyennant un préavis raisonnable, aux frais de l’école.

Annexe 1. Ce que nous traitons

• Personnes concernées : les élèves, les enseignants et le personnel de l’école ; les parents, lorsqu’un élève en désigne un pour l’approbation ; les autres personnes que l’école invite.
• Données : les données de compte (nom, adresse e-mail ou nom d’utilisateur, rôle, tranche d’âge, appartenance à une classe et à des groupes) ; le contenu qu’ils créent, importent et partagent ; les commentaires, devoirs, retours et notes ; les demandes adressées à Mindomo IA et les conversations avec l’assistant, lorsque l’école autorise Mindomo IA ; les journaux de sécurité (adresse IP, navigateur, connexions).
• Finalité : fournir Mindomo à l’école, à ses élèves et à son personnel, à des fins d’enseignement.
• Durée : tant que l’école utilise Mindomo, puis comme le décrit le §8.
• Lieu : hébergement en Allemagne, avec des sauvegardes en Allemagne.

Annexe 2. Sous-traitants ultérieurs

Les services que l’école connecte elle-même, tels que Clever, Skolon, Yilan, sa plateforme d’apprentissage (LTI), son authentification unique (SAML) ou Google Classroom, sont les services propres de l’école, et non nos sous-traitants ultérieurs.

Lorsqu’une fonctionnalité effectue, via Microsoft, une recherche sur le web ou une recherche d’images, la requête de recherche est envoyée au service de recherche de Microsoft, qui peut la traiter hors de l’UE. Pour ces recherches, Microsoft n’est pas notre sous-traitant ultérieur : Microsoft traite la requête sous sa propre responsabilité, conformément à la déclaration de confidentialité de Microsoft (Microsoft Privacy Statement).

Annexe 3. Conditions par pays pour les écoles

États-Unis

• Mindomo agit en qualité de « school official » (agent de l’école) ayant un intérêt éducatif légitime au titre de la loi FERPA, sous le contrôle direct de l’école quant à l’utilisation et à la conservation des dossiers scolaires.
• L’école autorise les comptes de ses élèves au titre de la loi COPPA, pour un usage éducatif uniquement, et à aucune autre fin commerciale.
• Pas de publicité auprès des élèves, pas de vente des données des élèves, et pas de profilage des élèves.
• Avec une licence payante, nous signons sur demande l’accord de protection des données propre à un district scolaire ou à un État.

Canada

• Le conseil scolaire conserve la garde et le contrôle des renseignements personnels de ses élèves, en vertu de la Loi sur l’accès à l’information municipale et la protection de la vie privée de l’Ontario (MFIPPA) et des lois équivalentes des autres provinces, telles que la FOIPPA de la Colombie-Britannique, la Loi 25 du Québec et les lois de l’Alberta sur la protection de la vie privée.
• Les données sont stockées en Allemagne.
• À la fin du contrat, nous restituons ou supprimons les données selon les instructions du conseil (§8).
• Avec une licence payante, nous signons sur demande l’accord propre à un conseil scolaire.

Royaume-Uni

• Le RGPD du Royaume-Uni (UK GDPR) et le Data Protection Act 2018 s’appliquent, à la place du RGPD lorsqu’il y a lieu.
• Notre représentant au Royaume-Uni : Silvana Carpineanu, dpo@mindomo.com.
• Les transferts depuis le Royaume-Uni suivent les règles britanniques : l’extension au Royaume-Uni du cadre de protection des données UE-États-Unis (UK Extension), ou l’addendum britannique aux clauses contractuelles types.

Comment les écoles acceptent le présent DPA

• Toute école et tout enseignant, quelle que soit la formule, gratuite ou payante : le présent DPA s’applique lorsqu’un administrateur accepte les Conditions d’utilisation pour l’école, ou lorsqu’un enseignant utilise Mindomo avec une classe. Rien n’est à signer.
• Avec une licence payante, nous fournissons aussi un exemplaire contresigné du présent DPA, ou nous signons l’accord propre à l’école, au district scolaire ou au conseil scolaire. Adressez-vous à support@mindomo.com.

Accord de traitement des données pour les entreprises

Entre l’entreprise, l’équipe ou toute autre organisation qui utilise Mindomo pour ses membres (l’« organisation »), et Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Roumanie (« Mindomo », « nous »). Les écoles utilisent la version pour les écoles.

1. Parties et champ d’application

• L’organisation est le responsable du traitement. Mindomo est le sous-traitant.
• Le présent DPA couvre les données à caractère personnel figurant dans les comptes et le contenu des membres de l’organisation (salariés, prestataires et autres personnes qu’elle ajoute à son équipe), aussi longtemps que nous les traitons pour l’organisation.
• L’annexe 1 décrit les données. Lorsque le présent DPA et les Conditions d’utilisation diffèrent au sujet des données à caractère personnel, le présent DPA prévaut.
• Pour les achats et les factures de l’organisation, et pour les coordonnées de ses administrateurs en tant que client, Mindomo est un responsable du traitement, conformément à sa Politique de confidentialité.

2. Instructions

Nous traitons les données uniquement pour fournir Mindomo à l’organisation et à ses membres, tel que ses administrateurs le configurent, et sur ses autres instructions documentées, à moins que la loi n’exige autre chose ; dans ce cas, nous en informons l’organisation au préalable, sauf si la loi l’interdit. Nous informons l’organisation si nous estimons qu’une instruction enfreint le droit de la protection des données. Nous ne vendons jamais les données, ne les utilisons jamais à des fins publicitaires, et ne les utilisons jamais pour entraîner des modèles d’IA.

3. Confidentialité

Toute personne chez Mindomo qui peut accéder aux données est tenue à la confidentialité, et n’y accède que lorsque cela est nécessaire pour fournir le service ou le support.

4. Sécurité

Nous protégeons les données par les mesures techniques et organisationnelles décrites sur notre page Sécurité. Mindomo est certifié ISO/IEC 27001 et ISO/IEC 27701.

5. Sous-traitants ultérieurs

• L’organisation autorise les sous-traitants ultérieurs figurant à l’annexe 2. Chacun est lié par un contrat comportant les mêmes obligations en matière de protection des données que le présent DPA.
• Nous annonçons tout nouveau sous-traitant ultérieur au moins 30 jours à l’avance, sur cette page et par e-mail aux administrateurs de l’organisation. L’organisation peut s’y opposer pour un motif raisonnable lié à la protection des données ; si nous ne pouvons pas y remédier, l’organisation peut mettre fin à sa licence et se faire rembourser la partie non utilisée du prix payé.
• Les transferts hors de l’UE reposent sur le cadre de protection des données UE-États-Unis ou sur les clauses contractuelles types de la Commission européenne.

6. Aide

Nous aidons l’organisation à répondre aux demandes de ses membres (accès, rectification, effacement, export), principalement au moyen des outils de Mindomo et de sa console d’administration, ainsi que pour ses propres analyses, telles qu’une analyse d’impact relative à la protection des données. Nous transmettons à l’organisation toute demande que nous recevons au sujet de ses données.

7. Violations de données

Nous notifions à l’organisation toute violation de données à caractère personnel qui touche ses données dans les meilleurs délais après en avoir pris connaissance, avec ce que nous savons et ce que nous faisons pour y remédier, et nous la tenons informée à mesure que nous en apprenons davantage.

8. Quand la licence prend fin, ou qu’un membre part

L’organisation décide de ce qu’il advient de ses données. Elle peut demander à tout moment un export ou une suppression, par l’intermédiaire du support ou de la console d’administration. Si elle ne donne aucune instruction lorsque sa licence prend fin, ce qui suit s’applique, et l’organisation le choisit en acceptant le présent DPA :

• Les comptes dont les utilisateurs ont eux-mêmes accepté nos Conditions d’utilisation continuent comme comptes propres de ces utilisateurs, avec leur contenu situé en dehors des dossiers partagés de l’équipe. À compter de la fin de la licence, Mindomo en est le responsable du traitement, conformément à sa Politique de confidentialité.
• Tout compte que l’organisation a créé elle-même reste une donnée de l’organisation, sans changement, de sorte qu’un renouvellement reprend là où la licence s’était arrêtée. Nous pouvons supprimer un tel compte si personne ne s’y est connecté pendant les 12 mois suivant la fin de la licence, après en avoir informé les administrateurs de l’organisation.
• L’organisation peut demander à la place la suppression de tous ses comptes, ou seulement des comptes qu’elle a créés.

Lorsqu’un membre quitte l’équipe pendant que la licence est en cours, le contenu qu’il a créé dans les dossiers partagés de l’équipe reste à l’équipe si un administrateur le retire ; un membre qui part de lui-même peut l’emporter s’il continue avec sa propre formule payante, et sinon ce contenu reste à l’équipe. La règle complète figure dans la partie B des Conditions d’utilisation.

9. Audits

Nous démontrons le respect du présent DPA par nos certificats ISO/IEC 27001 et 27701 et leurs rapports d’audit, et en répondant aux questions raisonnables de l’organisation. Les audits sur place n’ont lieu que lorsque la loi les exige, moyennant un préavis raisonnable, aux frais de l’organisation.

Annexe 1. Ce que nous traitons

• Personnes concernées : les salariés, les prestataires et les autres membres de l’organisation, ainsi que les personnes qu’elle invite à travailler avec eux.
• Données : les données de compte (nom, adresse e-mail, rôle, appartenance à des groupes) ; le contenu qu’ils créent, importent et partagent ; les commentaires et les tâches ; les demandes adressées à Mindomo IA et les conversations avec l’assistant, lorsque l’organisation autorise Mindomo IA ; les journaux de sécurité (adresse IP, navigateur, connexions).
• Finalité : fournir Mindomo à l’organisation et à ses membres.
• Durée : tant que l’organisation utilise Mindomo, puis comme le décrit le §8.
• Lieu : hébergement en Allemagne, avec des sauvegardes en Allemagne.

Annexe 2. Sous-traitants ultérieurs

Les services que l’organisation connecte elle-même, tels que son authentification unique (SAML), sont les services propres de l’organisation, et non nos sous-traitants ultérieurs.

Lorsqu’une fonctionnalité effectue, via Microsoft, une recherche sur le web ou une recherche d’images, la requête de recherche est envoyée au service de recherche de Microsoft, qui peut la traiter hors de l’UE. Pour ces recherches, Microsoft n’est pas notre sous-traitant ultérieur : Microsoft traite la requête sous sa propre responsabilité, conformément à la déclaration de confidentialité de Microsoft (Microsoft Privacy Statement).

Annexe 3. Conditions par pays pour les entreprises

Royaume-Uni

• Le RGPD du Royaume-Uni (UK GDPR) et le Data Protection Act 2018 s’appliquent, à la place du RGPD lorsqu’il y a lieu.
• Notre représentant au Royaume-Uni : Silvana Carpineanu, dpo@mindomo.com.
• Les transferts depuis le Royaume-Uni suivent les règles britanniques : l’extension au Royaume-Uni du cadre de protection des données UE-États-Unis (UK Extension), ou l’addendum britannique aux clauses contractuelles types.

États-Unis

• Lorsqu’une loi d’un État américain sur la protection de la vie privée, telle que le California Consumer Privacy Act, s’applique à l’organisation, Mindomo agit en qualité de « service provider » (prestataire de services) ou de « processor » (sous-traitant) de celle-ci : nous utilisons les données uniquement pour fournir Mindomo à l’organisation, et nous ne les vendons pas, ne les partageons pas et ne les combinons pas avec des données provenant d’autres sources pour nos propres finalités.

Comment les organisations acceptent le présent DPA

• Toute organisation, quelle que soit la formule, gratuite ou payante : le présent DPA s’applique lorsqu’un administrateur accepte les Conditions d’utilisation pour l’organisation. Rien n’est à signer.
• Avec une licence payante, nous fournissons aussi un exemplaire contresigné du présent DPA, ou nous signons l’accord de traitement des données propre à l’organisation. Adressez-vous à support@mindomo.com.