Avis : Cette page est une traduction fournie uniquement pour votre commodité. La version anglaise est la seule version juridiquement contraignante et prévaut en cas de divergence.

Le présent Avenant relatif au traitement des données (le « DPA ») fait partie des Conditions d'utilisation de DidactLabs (les « Conditions ») conclues entre le Client et DidactLabs BV, une société à responsabilité limitée belge dont le siège social est situé Tabakvest 87 / bus 4610, Anvers 2000, Belgique, immatriculée sous le numéro d'entreprise 1026.185.467 (« DidactLabs »). Il s'applique chaque fois que DidactLabs traite des Données personnelles du Client dans le cadre de la fourniture du Service.

Si le Client ou son Institution a signé avec DidactLabs un accord de traitement des données distinct, y compris l'accord type flamand de sous-traitance pour l'enseignement (modelverwerkersovereenkomst), cet accord régit le traitement qu'il couvre, et le présent DPA ne s'applique pas à ce traitement.

1. Définitions

Les termes commençant par une majuscule utilisés mais non définis dans le présent DPA ont le sens qui leur est donné dans les Conditions, la Politique de confidentialité ou le RGPD. Aux fins du présent DPA :

  1. « Client » désigne l'Enseignant qui accepte les Conditions ou, lorsque l'Enseignant utilise le Service pour une Institution comme décrit à la Section 3, cette Institution, représentée par l'Enseignant.
  2. « Données personnelles du Client » désigne toutes les données personnelles traitées dans le Service pour le compte du Client. Cela comprend les identifiants des Étudiants (un pseudonyme choisi par eux-mêmes ou, lorsque les Étudiants arrivent par l'intermédiaire d'un système de gestion de l'apprentissage, leur nom, leur identifiant d'utilisateur institutionnel et leur cours), le Contenu utilisateur, les Données de processus d'écriture, les conversations avec l'assistant IA et les analyses qui en sont tirées, les notes et les commentaires, les données techniques relatives à l'utilisation du Service par les Étudiants, ainsi que toute donnée personnelle contenue dans le Contenu de l'enseignant.
  3. « Données de compte » désigne les données de compte, de facturation et de communication propres à l'Enseignant, que DidactLabs traite en tant que responsable du traitement conformément à la Politique de confidentialité et qui ne sont pas des Données personnelles du Client.
  4. « Législation sur la protection des données » désigne le RGPD, la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, toute règle flamande applicable à l'enseignement et, le cas échéant, le RGPD du Royaume-Uni.
  5. « Institution » désigne une école, un pouvoir organisateur, une université ou toute autre organisation pour laquelle un Enseignant enseigne ou travaille.
  6. « Sous-traitant ultérieur » désigne tout tiers engagé par DidactLabs qui traite des Données personnelles du Client.
  7. « Violation de données personnelles », « responsable du traitement », « sous-traitant », « personne concernée » et « traitement » ont le sens qui leur est donné dans le RGPD.

2. Rôles et instructions

Pour les Données personnelles du Client, le Client est le responsable du traitement et DidactLabs est le sous-traitant.

DidactLabs ne traite les Données personnelles du Client que sur instructions documentées du Client, à moins que le droit de l'Union ou d'un État membre n'exige le contraire, auquel cas DidactLabs informera le Client avant le traitement, sauf si ce droit l'interdit. Les instructions du Client sont énoncées dans les Conditions, le présent DPA et l'Annexe 1, et sont données par l'utilisation et la configuration du Service par le Client, par exemple en créant un devoir, en configurant l'assistant IA, en connectant un système de gestion de l'apprentissage ou en supprimant une soumission.

DidactLabs ne traite pas les Données personnelles du Client à ses propres fins. Elle ne les vendra pas, ne les utilisera pas à des fins publicitaires, ne les utilisera pas pour entraîner, affiner ou évaluer des modèles d'intelligence artificielle, et ne les utilisera pas à des fins de recherche ou de développement de produits, sauf sous forme de statistiques anonymisées de telle sorte qu'aucun Étudiant ni aucune autre personne ne puisse être identifié à partir de celles-ci, et elle ne les combinera pas avec les données d'autres clients, sauf dans la mesure où l'infrastructure partagée du Service l'exige techniquement. Si DidactLabs estime qu'une instruction enfreint la Législation sur la protection des données, elle en informera le Client sans délai et pourra suspendre cette instruction jusqu'à ce que le Client la confirme ou la modifie.

Le Client est responsable de la licéité du traitement qu'il ordonne. Cela comprend le fait de disposer d'une base juridique pour celui-ci, d'informer les Étudiants et, lorsque cela est requis, leurs parents ou tuteurs légaux, d'obtenir tout consentement requis, et de ne pas demander aux Étudiants de fournir des catégories particulières de données personnelles dont le devoir n'a pas besoin.

Les Données de compte ne relèvent pas du présent DPA et sont régies par la Politique de confidentialité.

3. Enseignants utilisant le Service pour une Institution

Un Enseignant qui utilise le Service avec des Étudiants d'une école ou d'une autre Institution, dans le cadre de son travail pour cette Institution, le fait pour le compte de cette Institution. Dans ce cas, l'Institution est le responsable du traitement des Données personnelles du Client concernant ses Étudiants.

Avant d'utiliser le Service avec ces Étudiants, l'Enseignant déclare et garantit que :

  1. l'Institution a autorisé l'utilisation du Service, y compris le traitement décrit dans le présent DPA, ou les politiques de l'Institution permettent aux Enseignants de choisir eux-mêmes de tels outils ;
  2. l'Enseignant est autorisé à accepter le présent DPA au nom de l'Institution ; et
  3. l'utilisation est conforme aux politiques de l'Institution en matière de confidentialité, de sécurité de l'information et d'intelligence artificielle, y compris toute obligation d'informer les Étudiants et leurs parents.

Si l'une de ces déclarations n'est pas exacte, l'Enseignant ne doit pas utiliser le Service avec ces Étudiants tant qu'elle ne l'est pas. Si l'Enseignant le fait néanmoins, c'est l'Enseignant, et non l'Institution, qui est le responsable du traitement des Données personnelles du Client concernant ces Étudiants, en son nom propre, jusqu'à ce que l'Institution confirme son autorisation. Une déclaration inexacte au titre de la présente Section 3 constitue une violation des Conditions, et la Section 9 des Conditions (Indemnisation) s'applique à ses conséquences, dans la mesure permise par la loi. DidactLabs se fie aux déclarations de l'Enseignant et n'est pas tenue de les vérifier. L'absence d'autorisation ne modifie pas le rôle de DidactLabs : DidactLabs continue d'agir uniquement en tant que sous-traitant, sur les instructions décrites à la Section 2.

Une Institution peut à tout moment confirmer son autorisation par écrit ou signer un accord de traitement des données distinct avec DidactLabs.

Un Enseignant qui utilise le Service indépendamment de toute Institution, par exemple en tant que tuteur privé, est le Client et le responsable du traitement.

4. Confidentialité

DidactLabs veille à ce que toutes les personnes qu'elle autorise à traiter des Données personnelles du Client soient soumises à une obligation de confidentialité, et à ce que l'accès ne soit accordé qu'à celles qui en ont besoin pour fournir le Service.

5. Sécurité des données

DidactLabs mettra en œuvre et maintiendra les mesures techniques et organisationnelles décrites à l'Annexe 2, qui sont conçues pour garantir un niveau de sécurité adapté aux risques du traitement, conformément à l'article 32 du RGPD. DidactLabs peut mettre à jour ces mesures de temps à autre, à condition que le niveau global de protection des Données personnelles du Client ne soit pas réduit.

6. Sous-traitants ultérieurs

Le Client accorde à DidactLabs une autorisation générale de faire appel à des Sous-traitants ultérieurs. La liste actuelle des Sous-traitants ultérieurs, avec la tâche que chacun accomplit, les données qu'il traite et sa localisation, est publiée sur la page Sous-traitants DidactLabs.

DidactLabs conclura avec chaque Sous-traitant ultérieur un accord écrit imposant des obligations en matière de protection des données substantiellement équivalentes à celles du présent DPA, et demeure responsable envers le Client des actes et omissions de ses Sous-traitants ultérieurs.

DidactLabs donnera un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un Sous-traitant ultérieur, ou de modifier le lieu où un Sous-traitant ultérieur stocke ou traite des Données personnelles du Client, en publiant la modification sur la page Sous-traitants et en affichant une notification dans le Service, de la même manière que pour une modification des Conditions. La notification indiquera le nom du Sous-traitant ultérieur ainsi que la tâche qu'il accomplira, les catégories de données qu'il traitera, le lieu où il les traitera et, pour tout transfert en dehors de l'Espace économique européen, le mécanisme de transfert invoqué.

Le Client peut s'opposer à la modification par écrit dans les 30 jours suivant la mise à jour, en invoquant des motifs liés à la protection des données. Les parties examineront l'opposition de bonne foi. Si elle ne peut être résolue, DidactLabs soit n'utilisera pas ce Sous-traitant ultérieur pour le Client, soit permettra au Client de résilier les Conditions et de clôturer son compte, avec un remboursement au prorata de tous frais payés d'avance pour la période non utilisée.

7. Transferts de données

Les Données personnelles du Client sont stockées au sein de l'Espace économique européen. DidactLabs ne transférera pas de Données personnelles du Client en dehors de l'Espace économique européen, sauf en vertu d'un mécanisme de transfert reconnu par le chapitre V du RGPD.

Le Client autorise les transferts effectués par les Sous-traitants ultérieurs tels qu'ils sont répertoriés, avec leur mécanisme de transfert, sur la page Sous-traitants, ainsi que l'administration et l'assistance à distance du Service par des membres du personnel de DidactLabs situés dans des pays pour lesquels la Commission européenne a adopté une décision d'adéquation.

8. Violation de données personnelles

Dès qu'elle a connaissance d'une Violation de données personnelles affectant des Données personnelles du Client, DidactLabs en informera le Client dans les meilleurs délais et, si possible, dans un délai de 48 heures. La notification sera envoyée à l'adresse e-mail du compte de l'Enseignant et, lorsque DidactLabs dispose de ses coordonnées, à l'Institution.

La notification décrira, dans la mesure où ces éléments sont alors connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées, ainsi qu'un point de contact auprès duquel des informations supplémentaires peuvent être obtenues. Lorsque toutes les informations ne sont pas disponibles en même temps, DidactLabs les fournira de manière échelonnée dans les meilleurs délais. DidactLabs prendra rapidement des mesures raisonnables pour contenir la violation et enquêter sur celle-ci, et aidera le Client à respecter ses obligations au titre des articles 33 et 34 du RGPD.

La notification d'une Violation de données personnelles par DidactLabs ou sa réponse à celle-ci au titre de la présente Section 8 ne sauraient être interprétées comme une reconnaissance par DidactLabs d'une quelconque faute ou responsabilité à cet égard.

9. Droits des personnes concernées et assistance

Le Service permet au Client de consulter, d'exporter et de supprimer les Données personnelles du Client. Si DidactLabs reçoit directement une demande d'une personne concernée, elle n'y répondra pas, si ce n'est pour orienter la personne vers son Enseignant ou son Institution, et elle en informera rapidement le Client lorsqu'elle peut l'identifier.

Compte tenu de la nature du traitement et des informations dont elle dispose, DidactLabs fournira une assistance raisonnable au Client pour garantir la sécurité du traitement et pour réaliser des analyses d'impact relatives à la protection des données et des consultations préalables auprès des autorités de contrôle, conformément aux articles 32 à 36 du RGPD.

L'assistance allant au-delà des outils en libre-service du Service et des informations publiées par DidactLabs peut être facturée à un coût raisonnable convenu à l'avance, sauf si elle est rendue nécessaire par une violation du présent DPA par DidactLabs.

10. Restitution ou suppression des Données personnelles du Client

Tant que le Client utilise le Service, il peut à tout moment exporter et supprimer les Données personnelles du Client à l'aide des outils du Service.

Lorsque le compte du Client est clôturé ou que les Conditions prennent fin, une Période de grâce de 60 jours s'applique, pendant laquelle le Client peut encore exporter ses données. À la fin de la Période de grâce, DidactLabs supprime définitivement les Données personnelles du Client de ses systèmes de production, et les sauvegardes les contenant sont supprimées dans un délai supplémentaire de 30 jours. Il en va de même lorsqu'une Institution connectée au Service par l'intermédiaire de son système de gestion de l'apprentissage cesse d'utiliser le Service.

Après la suppression, DidactLabs conserve uniquement un registre de la suppression, contenant le nom du Client ou l'adresse e-mail de l'Enseignant, les dates et le nombre d'enregistrements supprimés, mais aucun contenu, comme preuve que la suppression a eu lieu, ainsi que des registres de l'utilisation de l'IA, contenant le modèle, la quantité utilisée, son coût et la date, mais aucun contenu ni aucun identifiant d'une personne, d'un devoir ou d'une soumission, à des fins comptables. DidactLabs conservera également toute donnée que le droit de l'Union ou d'un État membre lui impose de conserver, aussi longtemps que ce droit l'exige. Sur demande, DidactLabs confirmera la suppression par écrit.

11. Audits et examen de conformité

Sur demande, DidactLabs mettra à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, y compris le présent DPA, la partie pertinente de son registre des activités de traitement, une description de ses mesures de sécurité et, lorsque leurs conditions le permettent, les certifications et accords de ses Sous-traitants ultérieurs. DidactLabs répondra également à un questionnaire de sécurité raisonnable une fois par an.

Lorsque ces informations ne sont pas suffisantes, le Client, ou un auditeur indépendant tenu à la confidentialité, peut auditer le respect du présent DPA par DidactLabs. Le Client donnera un préavis d'au moins 30 jours, l'audit aura lieu pendant les heures ouvrables de manière à causer le moins de perturbations possible, et il ne pourra être procédé à plus d'un audit par période de 12 mois, sauf si une Violation de données personnelles ou une autorité de contrôle l'exige. Chaque partie supporte ses propres frais d'audit, sauf si l'audit révèle un manquement substantiel de DidactLabs au présent DPA.

12. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise à la limitation de responsabilité prévue dans les Conditions, sauf dans la mesure où la Législation sur la protection des données ne permet pas de limiter la responsabilité. Aucune disposition du présent DPA ne limite les droits des personnes concernées au titre de l'article 82 du RGPD.

13. Durée et ordre de priorité

Le présent DPA s'applique aussi longtemps que DidactLabs traite des Données personnelles du Client et survit à la résiliation des Conditions jusqu'à ce que la suppression prévue à la Section 10 soit achevée.

En cas de conflit concernant les Données personnelles du Client, le présent DPA prévaut sur les Conditions et la Politique de confidentialité, et un accord de traitement des données distinct et signé prévaut sur le présent DPA. DidactLabs peut mettre à jour le présent DPA de la même manière que les Conditions le prévoient pour les modifications des Conditions.

Annexe 1 : Détails du traitement des données

Objet et durée. DidactLabs fournit un environnement d'écriture dans lequel les Étudiants rédigent des devoirs avec un assistant IA configuré par l'Enseignant, et l'Enseignant voit le processus d'écriture, la conversation avec l'IA et une analyse de l'utilisation de l'IA. Le traitement dure aussi longtemps que le Client utilise le Service, suivi des délais de suppression prévus à la Section 10.

Nature et finalités du traitement. DidactLabs traite les Données personnelles du Client uniquement pour fournir les fonctionnalités du Service que le Client utilise, y compris les devoirs, l'environnement d'écriture, la capture du processus d'écriture, l'assistant IA, les analyses et rapports, les notes et commentaires, ainsi que l'intégration avec les systèmes de gestion de l'apprentissage, y compris la remontée des notes ; pour stocker, sauvegarder et restaurer ces données ; pour sécuriser le Service au moyen de l'authentification, du contrôle d'accès, de la journalisation et de la prévention des abus ; pour maintenir le Service et en assurer l'assistance en corrigeant les erreurs, en examinant les problèmes et en répondant aux demandes d'assistance du Client ; pour mesurer l'utilisation et le coût du traitement par l'IA afin d'appliquer les limites des formules et les plafonds de dépenses et de facturer ; et pour exporter et supprimer les données et prouver leur suppression. La suppression des données d'une Institution avant la fin d'une Période de grâce n'a lieu que sur demande écrite vérifiée de l'Institution. Le Service ne prend aucune décision concernant un Étudiant : chaque note, évaluation et commentaire relève de l'Enseignant, et les analyses produites par le Service constituent des informations destinées à l'Enseignant.

Catégories de personnes concernées. Les Étudiants, et toute autre personne dont les données personnelles figurent dans le Contenu utilisateur ou le Contenu de l'enseignant.

Catégories de données personnelles. Les catégories énoncées dans la définition des Données personnelles du Client à la Section 1. DidactLabs ne conserve jamais l'adresse e-mail d'un Étudiant, même lorsqu'un système de gestion de l'apprentissage en transmet une.

Catégories particulières de données personnelles. Aucune des parties n'a l'intention que DidactLabs traite des catégories particulières de données personnelles. Étant donné que les Étudiants rédigent du texte libre, le Client devrait leur donner pour instruction de ne pas inclure de telles données lorsque le devoir ne l'exige pas.

Conservation. Les Données personnelles du Client sont conservées aussi longtemps que le Client les conserve dans le Service et sont supprimées comme décrit à la Section 10. Les journaux de sécurité sont conservés pendant 30 jours et les journaux d'audit pendant 400 jours au maximum.

Localisation et Sous-traitants ultérieurs. Les Données personnelles du Client sont traitées au sein de l'Espace économique européen, sous réserve des exceptions et par les Sous-traitants ultérieurs répertoriés sur la page Sous-traitants DidactLabs.

Annexe 2 : Mesures de sécurité techniques et organisationnelles

L'infrastructure côté serveur du Service est hébergée sur Google Cloud Platform en Belgique, au moyen de services gérés pour le calcul, la base de données et le stockage de fichiers. L'environnement de production est séparé des environnements de développement, chacun disposant de sa propre base de données.

Toutes les données transférées entre les navigateurs des utilisateurs et le Service sont chiffrées à l'aide de TLS 1.2 ou d'une version supérieure. Les Données personnelles du Client sont chiffrées au repos à l'aide d'AES-256, y compris dans la base de données, le stockage de fichiers et les sauvegardes. La base de données est sauvegardée quotidiennement avec restauration à un instant donné, et l'infrastructure peut être redéployée à partir du code source.

L'accès aux systèmes et aux données de production suit le principe du moindre privilège et est limité au personnel autorisé qui en a besoin pour exercer ses fonctions, au moyen de comptes personnels protégés par une authentification multifacteur. Les secrets utilisés par le Service sont conservés dans un gestionnaire de secrets, jamais dans le code source. L'ensemble du personnel de DidactLabs est soumis à des obligations de confidentialité.

Au sein du Service, l'accès est fondé sur les rôles : les Enseignants ne peuvent accéder qu'aux données des devoirs qu'ils ont créés, et les Étudiants uniquement à leurs propres soumissions. Les lancements depuis des systèmes de gestion de l'apprentissage sont signés et validés de manière cryptographique, et les identifiants de soumission ne peuvent pas être devinés. Le Service est conçu pour minimiser la collecte de données des Étudiants : les Étudiants ne créent pas de comptes, ne sont identifiés sur les liens partagés que par un pseudonyme choisi par eux-mêmes, et leurs adresses e-mail ne sont jamais conservées. La surveillance des erreurs fonctionne avec la collecte de données personnelles désactivée et le texte masqué.

DidactLabs surveille le Service au moyen d'une journalisation centralisée avec alertes, d'une surveillance des erreurs, d'une protection contre les attaques par force brute visant les comptes et d'alertes automatisées sur les dépendances vulnérables. Elle maintient une procédure écrite de réponse aux incidents et un registre des incidents. Les Données personnelles du Client sont supprimées automatiquement à la fin de la Période de grâce, et chaque suppression est consignée. Les Données personnelles du Client ne sont jamais utilisées pour entraîner des modèles d'IA, et le fournisseur d'IA ne conserve pas les conversations pour le Service, à l'exception des contenus que sa surveillance des abus signale comme potentiellement abusifs, qu'il peut conserver au sein de l'Union européenne pendant une période limitée à des fins d'examen, comme décrit sur la page Sous-traitants.

Si vous avez des questions concernant le présent DPA, veuillez nous contacter à [email protected] ou contacter notre Délégué à la protection des données à [email protected].