Accord de traitement des données (DPA)
Open Badge Factory

Version 2.0 — publiée le 20 Octobre 2026
Entrée en vigueur le 24 Novembre 2026.

1. Introduction et objet

Le présent accord de traitement des données à caractère personnel (le « DPA ») régit le traitement des données à caractère personnel effectué par Open Badge Factory Oy (le « Fournisseur ») pour le compte de son client (le « Client ») au titre du contrat relatif à la prestation des services d’Open Badge Factory (le « Contrat »). Dans les présentes, le Client désigne l’entité ayant conclu le contrat portant sur la prestation des services d’Open Badge Factory. Le présent DPA fait partie intégrante du Contrat. Dans les présentes, le Client et le Fournisseur sont désignés conjointement comme les « Parties » et individuellement comme une « Partie ».

Dans le présent DPA, le Fournisseur agit en qualité de sous-traitant pour le compte du Client, qui agit en qualité de responsable du traitement. Le Fournisseur traite les Données à caractère personnel en tant que sous-traitant, pour le compte du Client, dans le cadre de la prestation des services.

Le traitement des Données à caractère personnel fait l’objet d’une description plus détaillées en Annexe 1 (Description et détails relatifs au traitement des Données à caractère personnel) du présent DPA.

En cas de divergence entre ce qui est énoncé dans le corps du présent DPA ou de l’une de ses Annexes, le Contrat ou la Législation en matière de protection des données, l’ordre de priorité suivant s’applique :

Législation en matière de protection des données
Les Annexes au présent DPA ; la priorité entre les Annexes est déterminée par ordre numérique croissant, ainsi, une annexe avec un chiffre moins élevé prévaut sur une annexe avec un chiffre plus élevé.
Le présent DPA
Le Contrat

2. Coordonnées

L’entité du Fournisseur est Open Badge Factory Oy.

L’adresse du siège social du Fournisseur est : Kalasuolantie 11, 90220 Oulu, Finlande.

Tous les envois de rapports et d’avis au Fournisseur au titre des présentes doivent être effectués par voie électronique à : contact@openbadgefactory.com. La personne chargée des questions de protection des données chez le Fournisseur est le Directeur général d’Open Badge Factory Oy.

3. Définitions

TERME

Mécanisme de transfert approprié

DÉFINITION

désigne un mécanisme permettant le transfert licite de données à caractère personnel conformément à la législation applicable en matière de protection des données, y compris les garanties appropriées prévues à l’article 46 du RGPD.

Législation en matière de protection des données

désigne l’ensemble des lois applicables relatives à la protection des données à caractère personnel, ce qui inclut, sans que cette liste soit exhaustive, le RGPD et toute modification de celui-ci, ainsi que toute autre loi et réglementation applicable de l’UE ou nationale en matière de protection de la vie privée et des données, et toute modification de celles-ci. Lorsque le Client est domicilié au Royaume-Uni, la Législation en matière de protection des données inclut également le règlement UK GDPR et la loi relative à la protection des données Data Protection Act 2018, ainsi que toute modification de ceux-ci

Personne concernée

désigne une personne physique dont les Données à caractère personnel sont traitées par le Fournisseur au titre du Contrat et du présent DPA.

Description et détails relatifs au traitement des données à caractère personnel

désigne une Annexe au présent DPA, qui décrit le traitement des Données à caractère personnel effectué en vertu des présentes.

EEE

désigne l’Espace économique européen, qui se compose des états membres de l’Union européenne ainsi que de l’Islande, du Liechtenstein et de la Norvège.

RGPD

désigne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), et toute modification de celui-ci.

Données à caractère personnel

désigne toute information se rapportant à une personne physique identifiée ou identifiable, que le Fournisseur traite au titre du Contrat ou à un autre titre, et dont le Client est le responsable du traitement. À cet égard, le traitement désigne toute opération ou tout ensemble d’opérations effectuées par le Fournisseur sur des Données à caractère personnel, par quelque moyen que ce soit, par exemple la collecte, l’organisation, la conservation, la modification, l’extraction, l’utilisation, la communication, la transmission, le rapprochement, la limitation, l’effacement ou la destruction de Données à caractère personnel.

Violation de données à caractère personnel

désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données.

Sous-traitant ultérieur

désigne un sous-traitant agissant pour le compte du Fournisseur.

Pays tiers

désigne tout pays ou territoire situé hors de l’Union européenne (UE) et de l’Espace Économique Européen (EEE) qui ne fait pas l’objet d’une décision d’adéquation valide adoptée, par la Commission européenne en vertu de l’application de l’article 45 du RGPD.

UK GDPR

désigne le RGPD tel qu’il fait partie du droit de l’Angleterre, du Pays de Galles, de l’Écosse et de l’Irlande du Nord en vertu de la section 3 de la loi European Union (Withdrawal) Act 2018, telle que modifiée par les règlements Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019, et telle que modifiée ultérieurement. N’est applicable que lorsque le Client est établi au Royaume-Uni.

Les termes définis dans la Législation en matière de protection des données et qui ne sont pas définis dans les présentes ont la signification qui leur est donnée dans la Législation en matière de protection des données.

4. Droits et responsabilités du Client

Le Client doit traiter les Données à caractère personnel conformément à la Législation en matière de protection des données et aux bonnes pratiques en matière de traitement des données.

Le présent DPA prend automatiquement effet entre les Parties lorsque le Client accepte les Conditions générales de service et crée un compte. Le présent DPA type s’applique à tous les niveaux de licence (Basic, Premium, Pro et Enterprise). Seuls les titulaires de licences Enterprise sont en mesure de demander une exception visant à conclure une version signée séparément du présent DPA. Si les Parties concluent un DPA signé séparément, cette version signée prévaut sur le présent DPA automatique. Les instructions écrites fournies au Fournisseur par le Client sont incluses dans le présent DPA et ses Annexes. L’ajout ou la modification d’une instruction documentée émanant du Client nécessite un accord écrit entre les Parties. Le Fournisseur est en droit de facturer au Client les frais supplémentaires engagés afin de se conformer à ces instructions documentées, nouvelles ou modifiées, du Client, ainsi que tout autre coût ou dépense imprévu découlant de tâches n’étant pas prévues dans le
présent DPA et ses Annexes.

En outre, le Client s’engage à :

s’assurer de l’existence d’un fondement juridique pour le traitement des Données à caractère personnel visé par les présentes et que les accords de traitement de données nécessaires conformément à la Législation en matière de protection des données sont en vigueur ;
s’assurer que les Personnes concernées ont, conformément aux exigences de la Législation en matière de protection des données, reçu des informations suffisantes concernant le traitement, y compris le fait que le Fournisseur est susceptible de traiter les Données à caractère personnel pour le compte du Client ;
informer immédiatement le Fournisseur, dès que le Client en prend connaissance, de toute Donnée Personnelle erronée, rectifiée, mise à jour ou supprimée, qui fait l’objet d’un traitement par le Fournisseur ; et à
donner au Fournisseur, dans les meilleurs délais, des instructions légales et documentées en ce qui concerne le traitement des Données à caractère personnel par le Fournisseur.

5. Responsabilités du Fournisseur

5.1 Principes généraux applicables au traitement des Données à caractère personnel

Le Fournisseur doit :

5.1.1 traiter les Données à caractère personnel conformément au présent DPA, à la Législation en matière de protection des données et aux bonnes pratiques en matière de traitement des données ;

5.1.2 traiter les Données à caractère personnel en suivant les instructions documentées fournies par le Client, sauf s’il existe une disposition contraire dans la Législation en matière de protection des données applicable au Fournisseur. Dans un tel cas, le Fournisseur doit communiquer cette information le Client dans un délai raisonnable avant le début du traitement des Données à caractère personnel conformément aux instructions, sauf si la divulgation de cette information contrevient à la Législation en matière de protection des données. Si le Fournisseur estime que les instructions du Client sont contraires à la Législation en matière de protection des données, il doit en informer le Client sans retard injustifié ;

5.1.3 s’assurer que les personnes travaillant pour son compte et ayant accès aux Données à caractère personnel se sont engagées à respecter les obligations de confidentialité appropriées ;

5.1.4 mettre en œuvre les mesures prescrites à la Section 5.2 (Sécurité des données) du présent DPA ;

5.1.5 respecter les conditions relatives au recours à des Sous-traitants ultérieurs stipulées à la Section 8 (Sous-traitants ultérieurs) des présentes ;

5.1.6 en tenant compte des informations dont il dispose, apporter son assistance au Client pour répondre aux demandes d’exercice des droits des Personnes concernées lorsque le Client ne dispose pas des informations requises. Le Fournisseur est en droit de facturer au Client les coûts et dépenses engagés en vue de se conformer à la présente Section 5.1.6 ;

5.1.7 en tenant compte des informations dont il dispose, apporter son assistance au Client afin qu’il se conforme aux obligations qu’énoncées par la Législation en matière de protection des données et relatives à la sécurité des données, aux Violations de données à caractère personnel (telles que définies plus en détails à la Section 6 du présent DPA), aux études d’impact concernant la protection des données et aux obligations de consultation préalable. Le Fournisseur est en droit de facturer au Client les coûts et dépenses engagés en vue de se conformer à la présente Section 5.1.7 ;

5.1.8 selon le choix du Client, supprimer ou restituer les Données à caractère personnel à ce dernier, comme stipulé à la Section 11.2 du présent DPA ;

5.1.9 mettre à la disposition du Client toutes les informations nécessaires afin de prouver le respect des obligations énoncées dans les présentes et dans la Législation en matière de protection des données. Le Client est tenu de préserver le caractère confidentiel de toutes ces informations. Le Fournisseur est en droit de facturer au Client les coûts et dépenses engagés en vue de se conformer à la présente Section 5.1.9 ;

5.1.10 autoriser le Client de réaliser des audits, tel que stipulé à la Section 9 (Audits) des présentes.

5.2 Sécurité des données

Le Fournisseur doit mettre en œuvre des mesures techniques et organisationnelles permettant de garantir un niveau de sécurité approprié pour la protection des Données à caractère personnel face aux accès non autorisés et à la perte, la destruction, la dégradation, l’altération ou la divulgation accidentelles ou illicites, ou face à tout autre traitement illicite. Ces mesures techniques et organisationnelles sont documentées à l’Annexe 3 (Liste des mesures techniques et organisationnelles).

6. Notification de violation de données à caractère personnel

6.1 Le Fournisseur doit, après avoir pris connaissance d’une suspicion de Violation de données à caractère personnel, en aviser le Client dans les meilleurs délais. La notification de Violation de données à caractère personnel doit comporter les éléments suivants :

une description de la nature de la Violation de données à caractère personnel, ce qui inclut les catégories et le nombre approximatif de Personnes concernées, ainsi que les catégories et le nombre approximatif d’enregistrements de données concernés ;
le nom et les coordonnées de la personne de contact du Fournisseur qui gère les Violations de données à caractère personnel ;
une description des conséquences probables et/ou avérées de la Violation de données à caractère personnel ; et
une description des mesures prises par le Fournisseur pour remédier à la Violation de données à caractère personnel et en atténuer les effets négatifs.

6.2 S’il est impossible de fournir l’ensemble des informations répertoriées simultanément, celles-ci peuvent être communiquées de manière échelonnée.

6.3 Le Fournisseur doit documenter les Violations de données à caractère personnel et communiquer cette documentation au Client lorsque ce dernier en fait la demande.

6.4 Après avoir été informé de la Violation de données à caractère personnel, le Fournisseur doit assurer la sécurité des Données à caractère personnel et prendre les mesures appropriées pour garantir leur protection, en collaboration avec le Client.

7. Transferts de données à caractère personnel

7.1 Le Fournisseur ne doit pas transférer des Données à caractère personnel vers un Pays tiers, ni vers un Sous-traitant ultérieur traitant des données à caractère personnel dans un Pays Tiers, sauf dans le cas où le Client a donné son autorisation écrite préalable à ce transfert et où le Fournisseur s’assure qu’un Mécanisme de transfert approprié soit en place avant tout transfert de Données à caractère personnel vers un Pays tiers.

8. Sous-traitants ultérieurs

8.1 Le Fournisseur est en droit de faire appel à des Sous-traitants ultérieurs pour le traitement des Données à caractère personnel lorsque le Client a approuvé ces Sous-traitants ultérieurs. À la date à laquelle le Client conclut le Contrat et accepte les modalités et conditions du présent DPA, le Client accepte simultanément le recours aux Sous-traitants ultérieurs qui figurent, à cette date, en Annexe 2 (Liste des Sous-traitants ultérieurs autorisés).

8.2 Le Fournisseur est en droit de réduire le nombre de Sous-traitants ultérieurs sans devoir remettre un avis séparé à cet effet.

8.3 Le Fournisseur doit aviser le Client de tout ajout d’un Sous-traitant ultérieur qui traite des Données à caractère personnel au titre du présent DPA au moins trente (30) jours avant que ce Sous-traitant ultérieur ne commence le traitement des Données à caractère personnel. Si le refus par le Client du recours au nouveau Sous-traitant Ultérieur mène à des frais ou dépenses supplémentaires pour le Fournisseur, ce dernier doit être indemnisé par le Client au titre de
ces frais et dépenses supplémentaires et/ou majorés. Si le Fournisseur et le Client ne sont pas en mesure de parvenir à un accord concernant le recours à un nouveau Sous-traitant ultérieur, le Fournisseur a le droit de résilier le Contrat moyennant un préavis de quatorze (14) jours suite à ce refus, en totalité et/ou uniquement en ce qui concerne les services que le Fournisseur estime ne pas pouvoir raisonnablement fournir au titre du Contrat, en raison du refus par le Client du Sous-traitant ultérieur proposé.

8.4 Le Fournisseur doit s’assurer que les Sous-traitants ultérieurs respectent des obligations équivalentes à celles prévues par le présent DPA, y compris les exigences en matière de sécurité et de confidentialité. Le Fournisseur demeure responsable de ses Sous-traitants ultérieurs et des prestations réalisées par ceux-ci comme s’il s’agissait de ses propres prestations.

9. Audits

9.1 Le Client ou un tiers (qui n’est pas un concurrent du Fournisseur) désigné par le Client a le droit de procéder à un audit du respect par le Fournisseur des obligations prévues dans le présent DPA et dans la Législation en matière de protection des données, afin de s’assurer que le Fournisseur a rempli ses obligations au titre des présentes.

9.2 Le Client doit prendre en charge les frais et dépenses engagés par le Fournisseur et par le Client dans le cadre de cet audit. Le Client doit prendre en charge les honoraires et frais du tiers et est responsable de l’ensemble des coûts associés à l’audit.

9.3 Le Client est tenu d’aviser le fournisseur de l’audit moyennant un préavis d’au moins trente (30) jours ouvrés. Le Fournisseur doit assister le Client et le tiers dans la réalisation de l’audit pendant les heures normales d’ouverture, par des mesures raisonnables. L’audit doit être réalisé dans les meilleurs délais et ne doit pas entraîner de perturbation du fonctionnement normal de l’activité du Fournisseur. L’auditeur est tenu de se conformer au règlement intérieur, aux exigences et aux normes de sécurité du Fournisseur lors de ses visites sur site. Avant le début de tout audit, le Client ou l’auditeur indépendant (ce qui inclut toute partie ou personne concernée participant à l’audit) doit signer le ou les accords de confidentialité fournis ou approuvés par le Fournisseur.

9.4 Si l’audit révèle des manquements, le Fournisseur doit y remédier sans délai, ou au plus tard dans un délai de trente (30) jours à compter de l’avis écrit du Client, sauf accord contraire entre les Parties. Tout manquement substantiel posant un risque manifeste pour la sécurité des données doit être corrigé sans délai.

10. Limitation de responsabilité

10.1 Si un dommage matériel ou immatériel est causé à une personne en raison d’une violation de la Législation en matière de protection des données ou du présent DPA, le Fournisseur ne peut être tenu responsable de ce dommage que dans la mesure où il a manqué aux obligations imposées aux sous-traitants de données à caractère personnel par la Législation en matière de protection des données ou par le présent DPA.

10.2 Chacune des Parties n’est tenue de ne payer que la part des dommages-intérêts ou de l’amende administrative correspondant à sa propre responsabilité, telle que confirmée par la décision définitive d’une autorité de protection des données ou d’un tribunal. Toutefois, le Fournisseur ne peut être tenu responsable pour des dommages ou amendes administratives dans la mesure où ceux-ci résultent, directement ou indirectement, d’un acte ou d’une omission du Client. Le Fournisseur ne peut être tenu responsable des
pertes de bénéfices, ni d’aucun dommage indirect. Par souci de clarté, toute amende administrative infligée au Client et payée par celui-ci est réputée constituer un dommage indirect.

10.3 Autrement, la responsabilité des Parties doit être déterminée conformément au Contrat. Les stipulations énoncées à la présente Section 10 ne limitent pas le caractère applicable des dispositions relatives à la limitation de responsabilité prévues dans le Contrat.

11. Durée et résiliation

11.1 Le présent DPA prend effet à compter de la conclusion du Contrat par les Parties et demeure en vigueur jusqu’à la résiliation ou l’expiration de ce dernier, étant entendu que les parties n’aient plus aucune autre obligation l’une envers l’autre en ce qui concerne les activités de traitement de Données à caractère personnel.

11.2 À l’expiration de la licence du Client, le compte du Client et l’ensemble du contenu de ce dernier sont conservés pendant une durée de six (6) mois. Pendant cette période de conservation, le Client conserve l’accès à son compte et peut exporter ses données à tout moment. Un (1) mois avant l’échéance de la période de conservation de six (6) mois, le Fournisseur doit adresser un rappel écrit au Client l’avisant de la suppression à venir de son compte et de ses données. À l’expiration de la période de conservation de six (6) mois,
l’intégralité des Données à caractère personnel et du contenu du compte doit être supprimée de manière définitive par le Fournisseur, à l’exception des Données à caractère personnel nécessaires à l’hébergement des badges émis en vertu du Contrat, telles que décrites à la Section 11.5. Une fois la période de conservation expirée et les données supprimées, le Fournisseur n’est plus en mesure de restituer ces données au Client, ni de les restaurer.

11.3 Le Client peut supprimer à tout moment son compte et l’ensemble du contenu associé. Avant de procéder à cette suppression, le Client peut exporter les données de son compte directement depuis le Service. Étant donné que le Client dispose des moyens d’exporter lui-même ses données, le Fournisseur n’est pas tenu de lui remettre ses données lors de la suppression du compte. Par défaut, la suppression du compte n’a aucun impact sur les Données à caractère personnel nécessaires à l’hébergement des badges préalablement émis au titre du Contrat. Le Client peut toutefois choisir de révoquer l’ensemble des badges émis, dans ce cas, les Données à caractère personnel concernées, utilisées uniquement à des fins d’hébergement, seront également supprimées. Le Client reconnaît que la révocation des badges émis entraîne leur invalidation définitive, de sorte que les bénéficiaires de ces badges ne pourront plus y accéder, les afficher ni les vérifier.

11.4 Lorsque le Client a créé un compte d’essai et n’a souscrit à aucune licence au cours de la période d’essai de soixante (60) jours, le compte d’essai et l’ensemble du contenu associé, ce qui inclut l’ensemble des badges émis, sont conservés pendant une durée de six (6) mois à compter de la fin de la période d’essai. Pendant cette période de conservation, le Client conserve l’accès à son compte et peut exporter ses données à tout moment. Un (1) mois avant l’échéance de la période de conservation de six (6) mois, le Fournisseur doit adresser un rappel écrit au Client l’avisant de la suppression à venir de son compte et de ses données. À l’expiration de la période de conservation de six (6) mois, l’ensemble des Données à caractère personnel, du contenu du compte et des badges émis sont définitivement supprimés et automatiquement révoqués par le Fournisseur, sans autre préavis. Le Client reconnaît que la révocation automatique des badges entraîne leur invalidation définitive, de sorte que les bénéficiaires de ces badges ne pourront plus y accéder, les afficher ni les vérifier.

Étant donné que les badges émis dans le cadre d’un compte d’essai n’ont pas été créés dans le cadre d’une licence commerciale, le Fournisseur n’est pas tenu de conserver de Données à caractère personnel à des fins d’hébergement à la suite de la suppression du compte d’essai. Une fois la période de conservation expirée et les données supprimées, le Fournisseur ne peut plus restituer ces données au Client, ni les restaurer.

11.5 Afin de lever toute ambiguïté, un défaut ou un retard d’envoi ou de réception du rappel écrit mentionné aux Sections 11.2 ou 11.4, quelqu’en soit le motif, n’a pas d’impact sur la période de conservation de six (6) mois stipulée dans les sections 11.2 ou 11.4, ni sur la suppression du compte du Client, de son contenu, de ses Données à caractère personnel ou des badges émis à la fin de la période de conservation.

11.6 Sans tenir compte de ce qui précède, à la suite de la résiliation ou de l’expiration du présent DPA, le Fournisseur peut, à son entière discrétion, conserver les données à caractère personnel nécessaires pour lui permettre d’héberger les badges émis au titre d’une licence commerciale. Le Fournisseur traite ces Données à caractère personnel en qualité de responsable du traitement, aux seules fins d’hébergement des badges et de permettre aux Personnes concernées d’utiliser, d’afficher leurs badges et d’y accéder. Le présent DPA ne s’applique plus à ce traitement que le Fournisseur effectue en qualité de responsable de traitement.

12. Dispositions supplémentaires concernant les Clients établis au Royaume-Uni

12.1 La présente Section 12 s’applique exclusivement aux Clients établis au Royaume-Uni et complète en conséquence les dispositions du présent DPA. En cas de conflit entre la présente Section 12 et le reste du présent DPA, la présente Section 12 prévaut en ce qui concerne les Clients établis au Royaume-Uni.

12.2 Législation applicable En ce qui concerne les Clients établis au Royaume-Uni, la Législation en matière de protection des données inclut le UK GDPR et le Data Protection Act 2018, en plus du RGPD de l’UE. Toute référence au RGPD dans le présent DPA doit être interprétée comme incluant, le cas échéant, une référence équivalente au UK GDPR.

12.3 Autorité de contrôle compétente En ce qui concerne les clients établis au Royaume-Uni, l’autorité de contrôle compétente est l’Information Commissioner’s Office (ICO), situé à Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF, Royaume-Uni (www.ico.org.uk).

12.4 Transferts de données Aux fins de la Section 7.1 du présent DPA, les transferts de Données à caractère personnel depuis le Royaume-Uni sont régis par le UK GDPR et par les mécanismes de transfert reconnus dans le droit britannique, y compris l’accord relatif au transfert international de donnée International Data Transfer Agreement (IDTA) du Royaume-Uni ou tout mécanisme équivalent approuvé par l’ICO, en complément des mécanismes prévus à la Section 7.1.

Annexe 1— Description et détails relatifs au traitement des données à caractère personnel

Nature et finalités du traitement des Données à caractère personnel
Le traitement consiste en la collecte, la diffusion ou toute autre forme de mise à disposition, la conservation et la structuration des données. Le Fournisseur traite les Données à caractère personnel exclusivement aux fins de la prestation du service d’Open Badge Factory, afin de permettre au Client de renseigner les informations relatives aux bénéficiaires de badges en vue de la création de badges individuels pour chaque bénéficiaire et de transfert des badges à leurs bénéficiaires. En outre, le Fournisseur traite les données à caractère personnel aux fins d’hébergement du badge et pour en permettre l’accès, l’utilisation et l’affichage par la Personne concernée. Le Fournisseur traite également les données à caractère personnel afin de fournir l’accès au compte utilisateur Open Badge Factory du Client, d’assurer la gestion des comptes, ainsi que de permettre la consultation des badges émis et des autres informations relatives au compte. Le Fournisseur peut également, sans consultation préalable du Client, prendre les mesures nécessaires pour donner suite aux demandes des Personnes concernées exerçant leurs droits au titre du RGPD ou du UK GDPR, notamment par exemple en leur donnant accès à leurs Données à caractère personnel ou en supprimant celles-ci, si elles en font la demande expresse.

Catégories de Personnes concernées et de Données à caractère personnel
Les catégories de Personnes concernées dont les Données à caractère personnel sont traitées sont les représentants, les salariés, les étudiants, partenaires commerciaux ou autres collaborateurs, membres ou clients du Client, ainsi que toute Personne concernée ayant reçu un badge de la part d’un Client.

Le Fournisseur ne traite que les catégories suivantes de Données à caractère personnel :

Données d’identification et coordonnées des utilisateurs du compte du Client : nom, mot de passe du compte, adresse électronique

Données techniques des utilisateurs du compte du Client et des bénéficiaires : adresse IP, autres informations techniques relatives à l’utilisation du service, nom du compte, mot de passe du compte, données de connexion, heures de connexion, informations relatives aux incidents de sécurité ;

Informations de badge des titulaires communiquées par le Client ou par le titulaire du badge, aux fins d’émission de celui-ci : prénom, nom, adresse électronique, compétences, formations et études suivies et autres réalisations du titulaire, travaux du demandeur de badge tels que textes, images ou vidéos susceptibles de contenir des informations à caractère personnel, partages sur les réseaux sociaux (LinkedIn et autres services).

Durée du traitement des Données à caractère personnel
Les Données à caractère personnel sont traitées pendant la durée nécessaire à la fourniture des services au titre du Contrat.

Annexe 2 — Liste des Sous-traitants ultérieurs autorisés

Finalité du Sous-traitant ultérieur pour le traitement des Données à caractère personnel

Localisation des données à caractère personnel

AWS – Système de messagerie électronique — envoi des courriers électroniques d’Open Badge Factory – Stockage des sauvegardes des données d’Open Badge Factory

Irlande (UE)

Mailjet – Système de messagerie électronique — envoi des courriers électroniques d’Open Badge Factory

France (UE)

UpCloud – Prestataire de service cloud — hébergement du service – Stockage des sauvegardes des données d’Open Badge Factory

Allemagne (UE)

Annexe 3 — Liste des mesures techniques et organisationnelles

Dernière révision le : 21.08.2026

Le Fournisseur a mis en œuvre les mesures techniques et organisationnelles suivantes afin d’assurer un niveau de sécurité adapté au traitement des Données à caractère personnel au titre du présent DPA, conformément à l’article 32 du RGPD et, le cas échéant, aux dispositions équivalentes du UK GDPR.

1. Contrôle d’accès

Contrôle des accès physiques

Les services du Fournisseur sont hébergés dans l’UE par un fournisseur de services de cloud, dont les centres de données sont équipés des mesures de sécurité physique suivantes :
systèmes d’accès par carte magnétique ou à puce, systèmes d’ouverture de porte électroniques, services de sécurité du site, personnel de sécurité à l’entrée, systèmes d’alarme et vidéosurveillance (CCTV). Le prestataire de services de cloud dispose des certifications suivantes : ISO 22301 (Sécurité et résilience), ISO 27001 (Management de la sécurité de l’information), SOC 2 Type II (Sécurité et confidentialité des données) et PCI-DSS (Sécurité de l’information).

Contrôle des accès électroniques

Le service du Fournisseur est protégé par des pares-feux et un chiffrement TLS. L’accès aux systèmes de traitement et de stockage des données est réservé aux seuls administrateurs système autorisés et désignés. L’accès des administrateurs système s’effectue par le biais d’une authentification à deux facteurs et de connexions chiffrées. Toutes les actions des administrateurs système sont consignées dans un journal à des fins de suivi de la sécurité.

Contrôle de cloisonnement

Le Fournisseur exploite une architecture multi client (multi-tenant) au sein de laquelle l’ensemble des organisations clientes sont hébergées sur un déploiement mutualisé unique. Le cloisonnement logique est assuré au niveau applicatif : chaque organisation cliente ne peut accéder qu’à ses propres données, et l’architecture empêche tout accès non autorisé aux données d’un client par un autre client, ainsi que toute divulgation de ces données. Les droits d’accès sont circonscrits à l’organisation cliente concernée et mis en œuvre à chaque requête. Le Fournisseur ne propose pas d’environnements dédiés ou physiquement distincts par client.

2. Chiffrement des données

Toutes les données stockées dans les systèmes du Fournisseur sont chiffrées selon des protocoles de chiffrement conformes aux normes du secteur. L’ensemble des données transmises entre les systèmes ou les terminaux est sécurisé par un chiffrement TLS afin de prévenir tout accès non autorisé ou toute interception. Lorsque des données à caractère personnel sont effacées, une anonymisation est appliquée dès lors qu’il n’est pas possible de supprimer intégralement des identifiants.

3. Sécurité physique

Le Fournisseur s’appuie sur l’infrastructure sécurisée des centres de données de son prestataire de services cloud, laquelle comprend des mesures de protection physique avancées telles que des contrôles d’accès, une vidéosurveillance, ainsi que les certifications répertoriées à la Section 1 ci-dessus.

4. Conservation et suppression des données

Des sauvegardes complètes du contenu du service sont effectuées quotidiennement, afin d’assurer la disponibilité des données et la continuité du service. Les sauvegardes sont exclusivement destinées à la restauration du contenu du service en cas d’incident technique et ne permettent pas de restaurer les données d’un utilisateur final ayant été délibérément supprimées. Les procédures de suppression des données sont conformes à la Législation en matière de protection des données applicable, y compris l’anonymisation des identifiants lors de l’effacement de données à caractère personnel.

5. Violation de données à caractère personnel

En cas de Violation de données à caractère personnel, le Fournisseur applique les procédures décrites à la Section 6 du présent DPA, conformément à l’article 33 du RGPD et, le cas échéant, aux dispositions équivalentes du UK GDPR. La procédure de gestion des incidents comprend la documentation de la nature de la violation, de ses conséquences probables, des mesures prises pour y remédier, ainsi que la notification au Client dans les meilleurs délais, afin de permettre à ce dernier de respecter ses propres obligations de notification auprès de l’autorité de contrôle compétente dans le délai imposé par la loi.

6. Personnel et confidentialité

L’ensemble du personnel et des administrateurs système du Fournisseur ayant accès aux données à caractère personnel est soumis à des protocoles stricts de contrôle d’accès, ainsi qu’à des obligations de confidentialité appropriées. Des procédures internes garantissent le respect de la Législation en matière de protection des données applicable et des obligations prévues dans le présent DPA.

7. Sauvegardes et plan de reprise d’activité

Des sauvegardes complètes du contenu du service sont effectuées quotidiennement. Les sauvegardes sont chiffrées tant en transit qu’au repos, puis répliquées sur deux sites de stockage distincts, gérés par deux prestataires d’infrastructure différents, chacun accessible au moyen d’identifiants d’administration distincts protégés par une authentification à deux facteurs, de sorte que la compromission ou l’indisponibilité de l’un des prestataires n’a pas d’impact sur les sauvegardes détenues par l’autre. Les sauvegardes sont conservées pendant une fenêtre glissante de trente (30) jours, à l’issue de laquelle les sauvegardes les plus anciennes sont automatiquement et définitivement supprimées. La procédure de restauration est documentée et testée au moins une fois par an, y compris par la vérification de l’intégrité et du caractère utilisable des données restaurées. Les centres de données sont équipés de systèmes d’alimentation électrique. sans coupure (UPS), de générateurs électriques, de pares-feux et de logiciels antivirus. Une surveillance régulière garantit la résilience et la disponibilité des services du Fournisseur.

8. Gestion des Sous-traitants ultérieurs et du Fournisseur

Le Fournisseur recourt aux sous-traitants ultérieurs répertoriés à l’Annexe 2 du présent DPA pour le traitement des Données à caractère personnel. L’ensemble des sous-traitants ultérieurs sont soumis à des obligations contractuelles équivalentes à celles prévues par le présent DPA, y compris en matière de sécurité et de confidentialité. Le Fournisseur demeure responsable de ses sous-traitants ultérieurs comme s’il s’agissait de ses propres actes.

9. Pseudonymisation et anonymisation

Le Fournisseur applique une pseudonymisation au moyen d’identifiants utilisateurs et de hachages d’identité. Une anonymisation est appliquée lors de l’effacement des données à caractère personnel, garantissant qu’elles ne peuvent plus être identifiées de nouveau.

10. Audits et suivi
Le Fournisseur procède à des tests, évaluations et contrôles réguliers de ses mesures techniques et organisationnelles, afin de garantir la continuité de la confidentialité, l’intégrité, la disponibilité et la résilience de ses systèmes et services de traitement. La sécurité et la conformité font l’objet d’un examen au cours des phases de développement comme de production. Des journaux d’audit sont tenus afin de surveiller l’ensemble des transactions et des actions des administrateurs système.

Accord de traitement des données (DPA) Open Badge Factory