Accord de traitement des données

Dernière mise à jour : 22 octobre 2026

Imprimer ou enregistrer en PDF

Accord de traitement des données à caractère personnel au sens de l'art. 28 du règlement (UE) 2016/679 (RGPD). Il fait partie intégrante des Conditions d'utilisation de Quizhat et s'applique automatiquement, sans qu'une signature soit nécessaire, à tout compte qui utilise Quizhat avec les données des participants. Pour obtenir une copie signée ou pour toute question, écrivez à festalaurea.info@gmail.com.

1. Parties et objet

• Responsable du traitement (le « Responsable du traitement ») : le client titulaire du compte Quizhat, ou l'organisation (organisme de formation, entreprise, école, organisateur d'événements) pour le compte de laquelle il agit, qui organise les sessions.
• Sous-traitant (le « Sous-traitant ») : FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padoue (PD), Italie, n° TVA (P.IVA) 05743150285, PEC festalaurea@pec.it, qui fournit Quizhat.
• Objet : le traitement, par le Sous-traitant et pour le compte du Responsable du traitement, des données à caractère personnel des participants aux sessions et des inscrits, nécessaire à la fourniture du service Quizhat. Les données du compte du Responsable du traitement sont en revanche traitées par FESTALAUREA SRLS en tant que responsable du traitement indépendant, conformément à la Politique de confidentialité.

2. Description du traitement

• Nature et finalité : collecte, enregistrement, conservation, consultation, traitement, communication au Responsable du traitement et effacement des données afin de réaliser des quiz et des évaluations en direct ou à distance, de calculer les scores et les résultats, de produire des rapports, procès-verbaux, attestations et exports, et d'envoyer par e-mail les liens vers les tests et les questionnaires de suivi demandés par le Responsable du traitement.
• Catégories de personnes concernées : participants aux sessions (par exemple travailleurs en formation, élèves, invités d'un événement) et inscrits chargés par le Responsable du traitement.
• Types de données : pseudonyme, avatar et équipe ; nom et prénom ; entreprise et les autres champs que le Responsable du traitement choisit de demander ; adresse e-mail des inscrits, si le Responsable du traitement la saisit ; réponses, temps, scores, résultats et tentatives ; événements de la session (entrée, sortie, remise, sorties de la page pendant l'évaluation) ; données des attestations (nom, cours, date, résultat, code de vérification) ; réponses aux questionnaires de suivi ; données techniques de connexion nécessaires au fonctionnement en temps réel.
• Catégories particulières de données et données judiciaires : le service n'est pas conçu pour traiter des catégories particulières de données (art. 9 RGPD) ni des données relatives aux condamnations pénales et aux infractions (art. 10). Le Responsable du traitement s'engage à ne pas les collecter au moyen des champs supplémentaires ou des questions.
• Durée : pendant la durée du contrat, sous réserve des dispositions du point 11.

3. Obligations du Responsable du traitement

• Le Responsable du traitement détermine les finalités et les moyens du traitement et garantit disposer d'une base juridique valable, avoir fourni aux personnes concernées les informations requises (art. 13 et 14 RGPD), y compris sur l'utilisation de Quizhat, l'envoi des e-mails et les suivis, et ne collecter que les données nécessaires (minimisation).
• Pour les participants mineurs, le Responsable du traitement respecte les règles applicables à l'école ou à l'organisme et privilégie l'utilisation de pseudonymes non identifiants.
• Le Responsable du traitement protège les identifiants de son compte et gère avec soin les rapports, procès-verbaux et exports qu'il télécharge, dont il répond une fois sortis du service.

4. Instructions

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement (art. 28.3.a RGPD). Les instructions sont constituées par le présent accord, les Conditions d'utilisation et les paramètres et actions que le Responsable du traitement effectue dans le service (par exemple les champs à demander, l'envoi des liens, la programmation des suivis, la suppression d'une session ou du compte). Toute instruction supplémentaire doit être donnée par écrit, y compris par e-mail, et si elle entraîne des coûts ou des activités non prévus par le service, elle peut faire l'objet d'un accord distinct. Le Sous-traitant informe sans délai le Responsable du traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données. Si le droit de l'Union ou le droit italien impose un traitement différent, le Sous-traitant en informe le Responsable du traitement avant le traitement, sauf si la loi l'interdit.

5. Confidentialité

Le Sous-traitant n'autorise à traiter les données que les personnes qui en ont besoin pour fournir, maintenir et assister le service, leur donne des instructions et veille à ce qu'elles se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité (art. 28.3.b). Le Sous-traitant n'accède aux contenus des sessions que pour fournir le service, pour l'assistance demandée par le Responsable du traitement, pour la sécurité ou pour des obligations légales.

6. Mesures de sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles adaptées au risque (art. 32 RGPD), notamment :

• des connexions toujours chiffrées (HTTPS/TLS), y compris pour la liaison en temps réel des téléphones ;
• un contrôle des accès : chaque compte ne voit que ses propres sessions et ses propres rapports ; mots de passe conservés uniquement sous forme de hachage Argon2 ; connexion avec Google ou Microsoft via OpenID Connect ;
• des serveurs dans un centre de données en Italie, avec pare-feu, accès administrateur uniquement par clé cryptographique et protection contre les tentatives de connexion répétées ;
• une limitation des tentatives de connexion et des inscriptions, des contrôles sur les fichiers téléchargés ;
• une sauvegarde quotidienne de la base de données et des images, avec vérification de l'intégrité de la copie, et une procédure de restauration ;
• la mise à jour du logiciel et des tests automatisés des contrôles d'accès.

Le Sous-traitant peut faire évoluer ces mesures dans le temps, à condition que le niveau de sécurité global ne diminue pas.

7. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale de recourir à d'autres sous-traitants (sous-traitants ultérieurs, art. 28.2 et 28.4 RGPD). Le Sous-traitant impose à chacun d'eux, par contrat, des obligations de protection des données substantiellement équivalentes à celles du présent accord et demeure responsable envers le Responsable du traitement de leurs actes. Les sous-traitants ultérieurs actuels sont :

Le Sous-traitant informe le Responsable du traitement par e-mail, au moins 15 jours à l'avance, de l'ajout ou du remplacement d'un sous-traitant ultérieur et met à jour cette page. Le Responsable du traitement peut s'y opposer pour des motifs raisonnables liés à la protection des données dans le même délai ; si aucune solution n'est trouvée, le Responsable du traitement peut résilier le contrat avec le remboursement de la partie de l'abonnement non utilisée.

Ne sont pas des sous-traitants ultérieurs, car ils agissent en tant que responsables du traitement indépendants et ne reçoivent pas du Sous-traitant les données des participants pour son compte : Stripe (paiements du Responsable du traitement), Google et Microsoft (connexion au compte du Responsable du traitement). Dans les quiz contenant des vidéos YouTube insérées par le Responsable du traitement, l'appareil du participant charge le lecteur directement depuis YouTube (Google), qui reçoit l'adresse IP en tant que responsable du traitement indépendant : le Responsable du traitement en tient compte dans sa propre information ou utilise des quiz sans vidéo.

8. Transferts hors de l'UE

La base de données, les images et les sauvegardes sont conservées en Italie. Un transfert de données vers des pays situés hors de l'Espace économique européen, y compris par l'intermédiaire d'un sous-traitant ultérieur, n'a lieu que si une garantie prévue au chapitre V du RGPD est assurée : une décision d'adéquation (comme le cadre de protection des données UE-États-Unis, EU-US Data Privacy Framework, pour les fournisseurs certifiés) ou les clauses contractuelles types approuvées par la Commission européenne.

9. Assistance au Responsable du traitement

• Droits des personnes concernées (art. 28.3.e) : le service permet au Responsable du traitement de consulter et d'exporter les données des sessions et de les effacer en supprimant la session concernée de son rapport. Le Sous-traitant transmet au Responsable du traitement, sans délai et en règle générale dans un délai de 5 jours ouvrables, les demandes qu'il reçoit directement des personnes concernées, sans y répondre sur le fond sauf instruction du Responsable du traitement, et l'aide à donner suite aux demandes que le Responsable du traitement ne peut pas satisfaire seul avec les fonctionnalités du service (par exemple en effaçant, à sa demande, un participant déterminé).
• Sécurité, analyses d'impact et consultation préalable (art. 28.3.f) : le Sous-traitant fournit au Responsable du traitement les informations raisonnablement nécessaires au respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont il dispose.

10. Violations de données

Le Sous-traitant informe le Responsable du traitement dans les meilleurs délais, et en tout état de cause dans les 48 heures après en avoir pris connaissance, de toute violation de données à caractère personnel concernant les données traitées pour son compte (art. 33.2 RGPD). La notification est envoyée à l'adresse e-mail du compte et contient, dans la mesure où elles sont disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et de données concernées, les conséquences probables, les mesures prises ou proposées et un point de contact ; les informations qui ne sont pas immédiatement disponibles sont fournies dès que possible. Le Sous-traitant prend sans délai les mesures nécessaires pour circonscrire la violation et assiste le Responsable du traitement dans les notifications au Garante per la protezione dei dati personali (autorité italienne de protection des données) et aux personnes concernées.

11. Effacement et restitution des données

• Pendant la durée du contrat, le Responsable du traitement peut télécharger à tout moment les rapports, procès-verbaux, attestations et l'export complet des données du compte (format JSON) depuis la page Compte.
• Le Responsable du traitement peut supprimer à tout moment une session de son rapport (« Supprimer la session ») : le Sous-traitant efface immédiatement les participants, réponses, scores, sorties de la page, inscrits et liens personnels, attestations (leur page de vérification ne les affiche plus comme valides) et suivis de la session. Les copies figurant dans les sauvegardes sont écrasées dans un délai de 14 jours.
• Lorsque le Responsable du traitement supprime son compte, le Sous-traitant efface immédiatement les données traitées pour son compte (art. 28.3.g). Les copies figurant dans les sauvegardes sont écrasées dans un délai de 14 jours ; d'ici là, elles ne sont utilisées que pour une restauration en cas de panne.
• Si le contrat prend fin pour d'autres raisons, le Sous-traitant conserve les données pendant 30 jours pour permettre au Responsable du traitement de les télécharger, puis les efface, sauf si le droit de l'Union ou le droit italien en impose la conservation.
• À la demande du Responsable du traitement, le Sous-traitant confirme par écrit que l'effacement a été effectué.

12. Informations et audits

Le Sous-traitant met à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect de l'art. 28 RGPD et permet la réalisation d'audits, y compris des inspections, par le Responsable du traitement ou un auditeur qu'il a mandaté et qui est tenu à la confidentialité, et contribue à ces audits (art. 28.3.h). Sauf violation de données ou demande d'une autorité, les audits ont lieu en règle générale une fois par an, moyennant un préavis écrit d'au moins 30 jours, pendant les heures ouvrables, sans accès aux données d'autres clients et sans compromettre la sécurité du service ; ils sont réalisés en priorité sur la base de la documentation et des réponses écrites du Sous-traitant. Les coûts de l'audit sont à la charge du Responsable du traitement, sauf s'il révèle des manquements importants du Sous-traitant.

13. Durée et dispositions finales

• Le présent accord s'applique tant que le Sous-traitant traite des données pour le compte du Responsable du traitement et prend fin avec l'effacement prévu au point 11.
• Chaque partie répond envers les personnes concernées et envers l'autre partie conformément à l'art. 82 RGPD. Dans les relations entre les parties, les limitations de responsabilité des Conditions d'utilisation s'appliquent, dans les limites autorisées par la loi.
• En cas de contradiction entre le présent accord et les Conditions d'utilisation en matière de protection des données, le présent accord prévaut.
• Le droit italien et la juridiction indiquée dans les Conditions d'utilisation s'appliquent. Le Sous-traitant peut mettre à jour l'accord selon les modalités prévues par les Conditions d'utilisation, sans réduire les garanties offertes aux personnes concernées.