RGPD & sous-traitants

Cette page s'adresse aux organismes de formation qui utilisent Papermooc pour dispenser leurs cours : centres de formation, écoles, associations, entreprises. Elle décrit la répartition des rôles au sens du RGPD, nos engagements en tant que sous-traitant, et la liste complète de nos sous-traitants ultérieurs.

Pour les traitements dont Papermooc est lui-même responsable — visiteurs du site, comptes — consultez la politique de confidentialité.

1. Les rôles au sens du RGPD

Un organisme de formation ouvre un campus sur Papermooc, y monte ses cours, y inscrit ses étudiants, corrige leurs copies et les note. Deux rôles distincts s'appliquent :

• L'organisme de formation est responsable de traitement. C'est lui qui décide qui sont ses étudiants, quels cours leur sont proposés, quels travaux leur sont demandés, comment ils sont évalués, et combien de temps leurs copies sont conservées.
• Papermooc est sous-traitant, au sens de l'article 28 du RGPD. Le service, édité par Vincent BOURGEOIS, entrepreneur individuel (micro-entreprise), traite ces données uniquement pour le compte de l'organisme et sur ses instructions.

Les données concernées

Pour le compte de l'organisme, Papermooc traite :

• l'identité et l'adresse e-mail des étudiants et des formateurs rattachés au campus ;
• leur rattachement aux groupes et aux cours ;
• les copies remises et les pièces qui les accompagnent ;
• les notes, les barèmes et les appréciations des formateurs ;
• les messages échangés dans le fil de discussion d'un groupe ;
• le registre d'activité du campus — qui a consulté, noté ou supprimé quoi, et quand.

En revanche, pour les données des visiteurs du site et pour les comptes eux-mêmes (identité, adresse e-mail, mot de passe), Papermooc agit en qualité de responsable de traitement. Ces traitements sont décrits dans la politique de confidentialité.

2. Nos engagements de sous-traitant

Conformément à l'article 28 du RGPD, Papermooc s'engage envers chaque organisme client à :

• Traiter sur instructions uniquement. Les données ne sont traitées que pour fournir le service à l'organisme. Elles ne sont jamais utilisées pour notre propre compte : pas de revente, pas de publicité, aucune exploitation du contenu des cours ni des copies.
• Garantir la confidentialité. L'accès à l'environnement de production est restreint aux seules personnes habilitées, tenues à une obligation de confidentialité.
• Sécuriser les données. Connexions en HTTPS forcé avec HSTS ; copies des étudiants chiffrées au repos ; isolation stricte des données par campus ; analyse antivirus de chaque fichier déposé, avec refus du dépôt si l'analyse ne peut pas aboutir ; adresses IP conservées uniquement sous forme hachée ; sauvegarde quotidienne chiffrée et vérifiée automatiquement, en plus des sauvegardes de notre hébergeur.
• Purger automatiquement. Les copies des étudiants sont supprimées à l'échéance fixée par l'organisme, dans la limite permise par son offre : 1 an, 2 ans ou 5 ans. Un organisme peut choisir une durée plus courte, jamais plus longue. La purge tourne toute seule ; aucune intervention n'est nécessaire.
  Une exception, connue de l'organisme : la copie personnelle que l'étudiant conserve dans son espace — avec la note et l'appréciation reçues — n'est pas effacée par cette purge. Elle appartient à l'étudiant, n'est visible que de lui, et disparaît s'il supprime son espace. L'organisme, lui, n'y a plus accès dès la purge du devoir.
• Assister l'organisme pour les demandes de droits exercées par ses étudiants ou ses formateurs (voir la section 5).
• Notifier les violations de données. En cas de violation, nous en informons l'organisme dans les meilleurs délais, avec les éléments utiles pour lui permettre de remplir ses propres obligations, notamment vis-à-vis de la CNIL.
• Restituer ou supprimer en fin de contrat. Au terme de la relation contractuelle, les données sont, au choix de l'organisme, restituées puis supprimées, ou directement supprimées de nos systèmes.

3. Où sont hébergées les données

L'ensemble des données du service est hébergé par Infomaniak Network SA, rue Eugène-Marziano 25, 1227 Genève, Suisse. Les données restent en Suisse, pays qui bénéficie d'une décision d'adéquation de la Commission européenne : le transfert vers la Suisse offre un niveau de protection reconnu équivalent à celui de l'Union européenne, sans formalité supplémentaire.

Infomaniak Network SA est une société de droit suisse.

4. Sous-traitants ultérieurs

Papermooc fait appel à un nombre volontairement réduit de sous-traitants ultérieurs — deux, et deux seulement. Cette liste est tenue à jour sur cette page :

Sous-traitant	Rôle	Localisation
Infomaniak Network SA	Hébergement de l'application, des données et des sauvegardes	Suisse (Genève) — décision d'adéquation UE
Resend Inc.	Acheminement des e-mails transactionnels et de support	Société de droit américain — envoi depuis la région UE (Irlande)

Concernant Resend : ce prestataire n'intervient que pour l'acheminement des e-mails. Ceux-ci ne contiennent jamais de copie d'étudiant, de note ni d'appréciation — au plus un nom, une adresse, un objet et un lien vers le service. Font exception les messages qu'une personne adresse elle-même au support : leur texte voyage par e-mail, donc par ce prestataire.

Aucun outil d'analyse d'audience tiers n'est utilisé, et aucun traceur publicitaire n'est déposé.

5. Droits des étudiants et des formateurs

Toute personne dispose des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur ses données.

Pour tout ce qui relève de la formation — copies remises, notes, appréciations, rattachement à un groupe — ces droits s'exercent auprès de l'organisme de formation, qui en est le responsable de traitement. Papermooc l'assiste ; si une demande nous parvient directement, nous la transmettons à l'organisme concerné.

Pour le compte lui-même — identité, adresse e-mail, mot de passe — la demande s'adresse à Papermooc : contact@papermooc.com. Un étudiant peut demander la suppression de son espace personnel depuis son compte ; elle devient définitive après un délai de rétractation de 30 jours.

Toute personne peut également introduire une réclamation auprès de la CNIL (cnil.fr).

6. Accord de traitement et contact

Un accord de traitement des données (DPA) conforme à l'article 28 du RGPD peut être établi avec chaque organisme client. Pour en faire la demande : contact@papermooc.com ou le support.

Aucun délégué à la protection des données n'est désigné à ce jour, la taille de l'activité ne l'exigeant pas. Pour toute question relative aux données personnelles : contact@papermooc.com.

Le droit applicable est le droit français. Voir également nos conditions générales d'utilisation et notre politique de confidentialité.