Contrat de sous-traitance des données

Le présent contrat de sous-traitance des données (« DPA ») fait partie des Conditions générales d'utilisation et de la Politique de confidentialité conclues entre les parties et régit le traitement des données à caractère personnel effectué par le sous-traitant pour le compte du responsable du traitement dans le cadre de la plateforme Mektebi. Il est conclu conformément à la loi sur la protection des données à caractère personnel de la République de Macédoine du Nord (Journal officiel de la RMN n° 42/2020, telle que modifiée) (la « LPDP »), qui est harmonisée avec le règlement général sur la protection des données de l'UE (RGPD). Lorsque le responsable du traitement est établi en Suisse, c'est la variante suisse du présent DPA qui s'applique.

1. Parties

• Sous-traitant : FETOSOFT DOOEL, Goce Delchev 2/32, 1300 Kumanovo, Macédoine du Nord — support@fetosoft.com
• Responsable du traitement : l'école / la mosquée qui accepte le présent DPA, identifiée par son compte sur la plateforme et par la personne qui l'accepte en son nom.

Le présent DPA prend effet à la date à laquelle le responsable du traitement l'accepte sur la plateforme (enregistrée électroniquement).

2. Définitions

Les termes tels que « données à caractère personnel », « catégories particulières de données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « sous-traitant ultérieur », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens qui leur est donné dans la LPDP. L'« Agence » désigne l'Agence pour la protection des données personnelles de la République de Macédoine du Nord (AZLP), Skopje.

3. Rôles des parties

3.1 Le responsable du traitement détermine les finalités et les moyens du traitement des données à caractère personnel de ses élèves, parents et enseignants et est responsable de la licéité de ce traitement — y compris tout consentement requis, en particulier le consentement explicite pour les données de catégorie particulière (contexte religieux) et le consentement des parents/tuteurs pour les enfants lorsque le droit applicable au responsable du traitement l'exige.

3.2 Le sous-traitant ne traite ces données à caractère personnel que sur les instructions documentées du responsable du traitement, telles qu'énoncées dans le présent DPA et à l'Annexe 1.

3.3 FETOSOFT agit en qualité de responsable du traitement indépendant uniquement pour les données limitées d'administration des comptes, de journaux de sécurité et de visiteurs du site décrites dans sa Politique de confidentialité ; ce traitement n'entre pas dans le champ d'application du présent DPA.

4. Objet et instructions

4.1 La nature, la finalité, les types de données et les personnes concernées sont décrits à l'Annexe 1.

4.2 Le sous-traitant ne traite les données à caractère personnel que sur les instructions documentées du responsable du traitement — y compris l'exploitation des fonctionnalités de la plateforme telles que configurées par le responsable du traitement — sauf s'il est tenu d'agir autrement par la loi ; dans ce cas, il en informe le responsable du traitement au préalable, à moins que la loi ne l'interdise.

4.3 Le sous-traitant informe le responsable du traitement si, à son avis, une instruction enfreint la LPDP ou un autre droit applicable en matière de protection des données.

4.4 Le sous-traitant ne doit pas utiliser les données à caractère personnel à ses propres fins, ne doit pas les vendre ni les mettre à disposition à des fins commerciales, et ne doit pas les utiliser à des fins de publicité, de profilage ou d'analyse. Cela ne couvre pas les statistiques propres du sous-traitant sur les visiteurs du site web public (clause 3.3) : Google Analytics fonctionne uniquement sur le site web public, pour les visiteurs non connectés et uniquement avec leur consentement aux cookies, et jamais au sein de la plateforme ni des applications.

5. Obligations du sous-traitant

• Confidentialité — les personnes autorisées à traiter les données sont tenues à la confidentialité et ne les traitent que sur instruction.
• Sécurité — des mesures techniques et organisationnelles appropriées exigées par la LPDP, décrites à l'Annexe 2.
• Sous-traitants ultérieurs — uniquement ceux figurant à l'Annexe 3 ou d'autres autorisés au titre de la clause 6.
• Droits des personnes concernées — aider le responsable du traitement, dans la mesure du possible, à répondre aux personnes concernées qui exercent leurs droits au titre de la LPDP.
• Assistance — apporter son aide en matière de sécurité, de notification des violations, d'analyses d'impact et de consultation préalable de l'Agence, en tenant compte des informations dont dispose le sous-traitant.
• Notification des violations — notifier le responsable du traitement sans retard injustifié après avoir pris connaissance d'une violation de données à caractère personnel, avec les informations dont le responsable du traitement a besoin pour satisfaire à ses propres obligations de notification.
• Suppression ou restitution — au choix du responsable du traitement, supprimer ou restituer toutes les données à caractère personnel à la fin des services et supprimer les copies existantes, sauf si la loi impose leur conservation.
• Registres et audits — mettre à disposition les informations nécessaires pour démontrer la conformité, et permettre des audits et y contribuer moyennant un préavis raisonnable, sous réserve de confidentialité.

6. Sous-traitants ultérieurs

6.1 Le responsable du traitement donne une autorisation générale de recourir aux sous-traitants ultérieurs figurant à l'Annexe 3.

6.2 Le sous-traitant impose par contrat des obligations équivalentes en matière de protection des données à chaque sous-traitant ultérieur et reste pleinement responsable de son exécution.

6.3 Le sous-traitant donne un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, période pendant laquelle le responsable du traitement peut s'y opposer pour des motifs raisonnables de protection des données ; à défaut de résolution, le responsable du traitement peut résilier le service concerné.

7. Transferts internationaux

7.1 L'application, la base de données et les fichiers téléversés sont hébergés au sein de l'Espace économique européen (Annexe 3).

7.2 Le sous-traitant et son personnel accèdent aux données à caractère personnel depuis la Macédoine du Nord afin d'exploiter et de prendre en charge la plateforme. Lorsque le droit applicable au responsable du traitement considère la Macédoine du Nord comme un pays n'offrant pas un niveau de protection adéquat (par exemple au titre du RGPD de l'UE), cet accès est couvert par des garanties appropriées — les clauses contractuelles types de l'UE (Module Deux, responsable du traitement à sous-traitant) figurant à l'Annexe 4, que les parties concluent.

7.3 Certains sous-traitants ultérieurs (Annexe 3) traitent des données limitées aux États-Unis, au titre du Data Privacy Framework UE–États-Unis lorsque le destinataire est certifié, ou à défaut au titre des clauses de l'Annexe 4.

7.4 En cas de conflit entre le présent DPA et les clauses de l'Annexe 4 concernant la protection des données transférées, les clauses prévalent.

8. Obligations du responsable du traitement

Le responsable du traitement garantit qu'il dispose d'une base légale valable au regard du droit applicable pour le traitement qu'il ordonne, qu'il a fourni les informations requises aux personnes concernées et qu'il a obtenu tout consentement requis (y compris pour les données de catégorie particulière et les données des enfants). Il est responsable de l'exactitude des données qu'il saisit et de la gestion des droits d'accès de ses administrateurs, enseignants et parents.

9. Responsabilité

Chaque partie est responsable des dommages causés par un traitement qui enfreint le droit applicable en matière de protection des données.

10. Durée et résiliation

Le présent DPA reste en vigueur tant que le sous-traitant traite des données à caractère personnel pour le compte du responsable du traitement. Les clauses qui, par leur nature, doivent survivre (confidentialité, suppression/restitution, les clauses de l'Annexe 4, responsabilité) survivent à la résiliation.

11. Droit applicable et juridiction

Le présent DPA est régi par le droit de la République de Macédoine du Nord, et les tribunaux de Skopje sont compétents, sans préjudice des règles impératives de protection des données ou de protection des consommateurs applicables au responsable du traitement ou aux personnes concernées dans leur pays de résidence. Les clauses de l'Annexe 4 conservent leurs propres dispositions de droit applicable et de for pour les matières qu'elles couvrent.

12. Acceptation

Le présent DPA est conclu par voie électronique lorsqu'un représentant autorisé du responsable du traitement l'accepte sur la plateforme ; la plateforme enregistre la personne qui l'accepte, son rôle, l'école, la version du document ainsi que la date et l'heure.

---

Annexe 1 — Description du traitement

• Objet : fourniture de la plateforme Mektebi pour l'enseignement islamique et la gestion scolaire.
• Durée : tant que le responsable du traitement conserve un compte.
• Catégories de personnes concernées : les élèves du responsable du traitement (y compris les mineurs), les parents/tuteurs, les enseignants et les administrateurs, les autres personnes qu'ils mentionnent dans des messages ou des remarques, ainsi que les autres personnes dont la voix est audible dans un enregistrement.
• Types de données à caractère personnel : identification & contact (nom, courriel, téléphone, condensé du mot de passe, langue) ; profil (civilité/titre islamique, sexe, date de naissance, niveau, liens de mentorat) ; adresse (chiffrée) ; dossiers scolaires (inscriptions, notes, progression dans les leçons, présences, liens de tutelle) ; contenus (photos, supports pédagogiques — texte, images, audio) ; sécurité (secrets à deux facteurs).
• Fonctions pour les familles : signalements d'absence envoyés par les familles (dates et une remarque facultative pouvant mentionner un motif de santé ; chiffrés, supprimés 12 mois après la fin de l'année scolaire) ; données de distribution des annonces (qui a reçu et ouvert une annonce de la mosquée, et quel représentant légal l'a confirmée pour quel enfant ; supprimées 12 mois après l'expiration de l'annonce).
• Messages : discussions au sein de la mosquée du responsable du traitement entre ses apprenants, parents, enseignants et administrateurs : texte des messages (chiffré), enregistrements vocaux, photos, fichiers PDF et liens vers des leçons, des cours et des devoirs ; statut de lecture ; blocages entre utilisateurs ; signalements de messages, transmis aux administrateurs du responsable du traitement et à la boîte de modération du sous-traitant, qui les examine dans un délai de 24 heures. Conservés jusqu'à ce que l'auteur supprime un message dans les 15 minutes, ou supprimés avec le cours, avec la personne dont traite la discussion ou avec le compte du responsable du traitement.
• Motifs d'absence et progression : le motif facultatif indiqué dans un signalement d'absence (malade, famille, voyage ou autre) ; enregistrements de récitations (ce qui a été récité, le résultat et une remarque facultative chiffrée) ; remarques des enseignants et bilans de progression publiés (instantanés chiffrés), avec l'indication qu'un parent les a vus ; la position atteinte dans l'audio d'une leçon.
• Enregistrements des récitations : enregistrements audio facultatifs de la récitation d'un apprenant, réalisés par un enseignant lorsqu'il consigne une récitation, uniquement si le responsable du traitement a activé les enregistrements et pas pour les apprenants qu'il en a exclus ; conservés avec l'entrée de cette récitation ; ne pouvant être écoutés que par le personnel du responsable du traitement, l'apprenant et les parents approuvés d'un apprenant de moins de 18 ans (ou dont la date de naissance n'est pas enregistrée), au moyen de liens qui expirent après cinq minutes ; jamais publiés, jamais transmis à d'autres mosquées et pas envoyés par courriel ni par notification push ; pas traités pour identifier une personne à sa voix et pas analysés automatiquement. Supprimés immédiatement lorsque le personnel du responsable du traitement supprime l'enregistrement ou l'entrée de la récitation, lorsque l'apprenant est retiré de la mosquée ou supprime son propre compte, ainsi qu'avec le compte du responsable du traitement.
• Exercices des leçons : les réponses d'un apprenant aux exercices des leçons, qui peuvent comprendre des dessins ou de l'écriture manuscrite, des photos d'une page du cahier d'exercices et, aux mêmes conditions que les enregistrements des récitations, des enregistrements de l'apprenant en train de lire ; ainsi que la note vocale facultative d'un enseignant sur un devoir corrigé. Visibles par les mêmes personnes que les enregistrements des récitations, au moyen de liens qui expirent après cinq minutes. Les fichiers sont supprimés lorsque l'apprenant est retiré de la mosquée ou supprime son propre compte, ainsi qu'avec le compte du responsable du traitement.
• Suivi d'un apprenant : quel membre du personnel du responsable du traitement suit quel apprenant, et les notifications qui en résultent pour ce membre du personnel (une remarque, une récitation ou une absence consignées par une autre personne, ou un devoir rendu par l'apprenant). Accessible uniquement au personnel du responsable du traitement et limité à la mosquée du responsable du traitement.
• Données techniques : enregistrements de session (un hash de la clé de session et les dates de création et de dernière utilisation ; pas d'adresse IP) ; le jeton du lien d'agenda privé d'un apprenant ou d'un parent ; jetons de notification push.
• Catégories particulières : données révélant des convictions religieuses (inhérentes à l'inscription auprès d'une mosquée/d'un mekteb, aux titres islamiques et aux enregistrements d'un apprenant récitant le Coran), traitées sur la base du consentement explicite fourni par le responsable du traitement. Elles comprennent aussi des données de santé lorsqu'un signalement d'absence indique le motif « malade » ou que sa remarque mentionne une maladie ; ces données servent uniquement à permettre au responsable du traitement d'organiser ses cours et d'excuser les absences. Les enregistrements des récitations et les lectures des exercices ne sont pas des données biométriques : ils ne font pas l'objet d'un traitement technique spécifique visant à identifier une personne par sa voix (art. 4, point 14, RGPD).

Annexe 2 — Mesures techniques et organisationnelles

• Chiffrement en transit (HTTPS/TLS) pour tout le trafic.
• Chiffrement au repos pour les données personnelles sensibles : adresses, numéros de téléphone, dates de naissance, genre, titres religieux, informations sur les liens de tutelle, notes des enseignants, notes scolaires et remarques sur les notes et la présence, secrets à deux facteurs et jetons d'accès.
• Mots de passe conservés uniquement sous forme de condensés salés (bcrypt) ; cookies de session chiffrés ; authentification à deux facteurs en option.
• Également chiffrés au repos : texte des messages des discussions, remarques des signalements d'absence, remarques sur les récitations, remarques des bilans de progression et bilans publiés. Les fichiers des discussions, des devoirs rendus, des annonces et des exercices des leçons, ainsi que les enregistrements des récitations, ne sont fournis qu'aux utilisateurs autorisés, au moyen de liens qui expirent après cinq minutes. Les sessions côté serveur ne conservent qu'un hash de la clé de session et prennent fin à la déconnexion ou après deux semaines sans utilisation.
• Isolation stricte des tenants — les enregistrements de chaque école sont cloisonnés, et la plateforme fait respecter ce cloisonnement ; une personne rattachée à plusieurs écoles dispose d'un profil distinct dans chaque école, et aucune école ne peut voir les enregistrements d'une autre école concernant cette personne. Ses données de connexion (nom, adresse e-mail, photo de profil et mot de passe) forment un seul compte qu'elle gère elle-même ; le nom, l'adresse e-mail et la photo de profil sont visibles par toutes les écoles auxquelles elle appartient, et une école ne peut pas modifier le compte de connexion d'une personne qui appartient aussi à une autre école.
• Accès au moindre privilège, basé sur les rôles (administrateur / enseignant / parent / élève).
• Aucune extraction ni importation en masse des données à caractère personnel des membres n'est offerte aux utilisateurs des écoles — les enregistrements sont créés et tenus à jour individuellement.
• Aucune analyse, publicité, aucun suivi ni profilage au sein de la plateforme ou des applications (Google Analytics fonctionne uniquement sur le site web public, pour les visiteurs non connectés et uniquement avec leur consentement aux cookies), et aucune vente ni partage commercial de données à caractère personnel.
• Hébergement au sein de l'Espace économique européen ; surveillance des erreurs/de la disponibilité ; journalisation de sécurité ; sauvegardes régulières avec conservation contrôlée.

Annexe 3 — Sous-traitants ultérieurs approuvés

Annexe 4 — Clauses contractuelles types

Pour les transferts qui les requièrent, les parties concluent les clauses contractuelles types de l'UE (Module Deux : responsable du traitement à sous-traitant), décision d'exécution (UE) 2021/914 de la Commission. L'appendice des clauses est complété à partir des Annexes 1 à 3 ci-dessus.

---

Ce document est fourni à des fins de transparence et ne constitue pas un avis juridique. Il est examiné au regard du droit applicable en vigueur avant toute utilisation.