Version du 1er octobre 2026
Article 1 – Statut du document et parties
Ce modèle est destiné aux entreprises clientes de TEED UP. Il constitue une base à compléter avec les annexes, à vérifier et à accepter par les représentants habilités des deux parties. Sa publication sur la plateforme ne vaut ni signature, ni preuve d'un accord déjà conclu, ni certification de conformité. Les contrats déjà conclus continuent à régir les prestations concernées.
Le Client est l'entreprise identifiée dans le contrat de service, responsable des traitements de formation qu'elle détermine. TEED UP, SAS, RCS Marseille 899 646 186, 550 rue Paradis, 13008 Marseille, intervient comme sous-traitant pour les opérations décrites ci-dessous. Les traitements propres de TEED UP, tels que sa facturation, sont décrits séparément dans la politique de confidentialité.
Article 2 – Objet, nature et durée
Le traitement couvre l'ouverture et l'administration des comptes, l'import des collaborateurs, la constitution des groupes, l'affectation des formations, l'hébergement des parcours, le suivi de progression, les évaluations, les attestations, les notifications de service et l'assistance autorisée. Les opérations comprennent la collecte, l'enregistrement, l'organisation, la consultation, la transmission autorisée, la restitution et la suppression.
Les personnes concernées sont les collaborateurs, apprenants, administrateurs et interlocuteurs du Client. Les catégories de données sont l'identité et le contact professionnel, les rôles et groupes, les attributions, échéances, progression, résultats et réponses pédagogiques, attestations, préférences et traces de sécurité nécessaires. Les données sensibles et pénales ne sont pas requises par le service standard ; leur traitement nécessite une analyse et des instructions spécifiques préalables.
La durée du traitement correspond à la prestation et aux opérations de restitution et de suppression convenues dans l'annexe 1. Le Client indique ses finalités, sa base légale, les catégories réellement utilisées et ses exigences de conservation ; les parties évitent toute conservation indéfinie par défaut.
Article 3 – Instructions et confidentialité
TEED UP traite les données uniquement sur instruction documentée du Client, y compris pour les transferts internationaux, sauf obligation imposée par le droit de l'Union ou d'un État membre. Dans ce dernier cas, TEED UP informe préalablement le Client, sauf interdiction légale pour des motifs importants d'intérêt public. TEED UP signale immédiatement une instruction qui lui paraît contraire aux règles applicables de protection des données.
Les personnes autorisées sont soumises à une obligation appropriée de confidentialité. Leurs accès sont limités aux besoins de leur mission. Les données confiées ne sont pas réutilisées pour une finalité propre incompatible avec les instructions du Client.
Article 4 – Sécurité
Les parties définissent et documentent des mesures adaptées aux risques, conformément à l'article 32 du RGPD. L'annexe 2 décrit les mesures applicables et leurs preuves : contrôle des accès, séparation des entreprises, chiffrement des communications et secrets, journalisation, gestion des vulnérabilités, sauvegardes et restauration, suppression et gestion des incidents.
Une mesure déclarée n'est pas réputée vérifiée par la seule signature du présent modèle. Les engagements de disponibilité, lieux de sauvegarde, durées, objectifs de reprise et fréquence des exercices doivent être renseignés à partir des moyens effectivement déployés.
Article 5 – Sous-traitants ultérieurs et transferts
Le Client choisit dans l'annexe 3 une autorisation spécifique ou générale écrite des sous-traitants ultérieurs. En cas d'autorisation générale, TEED UP informe le Client des ajouts ou remplacements avant leur intervention, dans le délai convenu, afin qu'il puisse formuler une objection motivée relative à la protection des données. Les parties déterminent une solution ou les conséquences sur le service avant la mise en œuvre contestée.
TEED UP impose à ces intervenants des obligations de protection équivalentes pour les prestations confiées et demeure responsable à l'égard du Client de l'exécution de leurs obligations. L'annexe précise l'entité, le service, les données, les lieux de stockage et d'accès, les garanties de transfert et les modalités de notification des changements.
Tout transfert hors Espace économique européen doit respecter le chapitre V du RGPD et les instructions du Client. Le présent accord au titre de l'article 28 ne remplace pas les instruments spécifiques de transfert. Les parties documentent, selon le cas, la décision d'adéquation, les clauses contractuelles types, l'analyse du transfert et les mesures complémentaires nécessaires.
Article 6 – Assistance et droits
TEED UP assiste le Client par des mesures techniques et organisationnelles appropriées pour répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Une demande reçue directement est transmise sans délai indu au contact désigné du Client, sauf instruction documentée autorisant une réponse directe.
TEED UP assiste également le Client, compte tenu de la nature du traitement et des informations disponibles, pour la sécurité, la notification des violations, les analyses d'impact et les consultations préalables. Les modalités pratiques et contacts sont définis dans l'annexe 4 sans restreindre les obligations légales.
Article 7 – Violations de données
TEED UP notifie au Client toute violation de données personnelles sans délai indu après en avoir pris connaissance. L'information indique, dans la mesure disponible, la nature de l'incident, les catégories et volumes de personnes et d'enregistrements, les conséquences probables, les mesures prises ou proposées et un contact de suivi. Les informations manquantes sont communiquées progressivement sans retarder l'alerte initiale.
Le Client décide des notifications à l'autorité et aux personnes qui lui incombent. TEED UP préserve les éléments utiles, coopère à l'analyse et à la réduction du risque, et tient une chronologie. Un éventuel délai contractuel plus précis et les canaux d'urgence sont complétés dans l'annexe 4.
Article 8 – Fin de prestation et effacement
À la fin de la prestation, TEED UP restitue ou supprime les données au choix documenté du Client, et supprime les copies, sauf obligation légale de conservation. Le format, le délai, le périmètre, le sort des preuves de formation et la confirmation d'exécution figurent dans l'annexe 1.
Les sauvegardes résiduelles sont isolées des usages courants jusqu'à leur expiration selon le cycle convenu. En cas de restauration, les suppressions et restrictions doivent être réappliquées avant remise en service. Une désactivation ou une pseudonymisation ne remplace pas une suppression demandée, sauf justification et instruction documentées.
Article 9 – Preuves, audits et coopération
TEED UP met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations de l'article 28 et permet les audits, y compris les inspections, du Client ou d'un auditeur mandaté, et y contribue. Les modalités protègent les autres clients et la sécurité du service sans priver le Client de ce droit. Les demandes de l'autorité de contrôle et les incidents urgents ne sont pas soumis à un préavis qui empêcherait de respecter la loi.
Les parties tiennent les registres requis pour leurs rôles respectifs et conservent les instructions, décisions et preuves de manière proportionnée. Les écarts constatés font l'objet d'un plan de correction suivi.
Article 10 – Annexes à compléter et acceptation
Annexe 1 – Prestation et conservation : identité du Client et signataires ; contrat et dates ; finalités et bases légales ; personnes et données ; début et fin du traitement ; durées par catégorie et justification ; format et délai de restitution ; suppression active et cycle des sauvegardes ; exceptions légales et preuve d'exécution.
Annexe 2 – Sécurité : habilitations et revue ; mesures de cloisonnement ; chiffrement et gestion des clés ; journaux et durées ; sauvegardes, lieux, objectifs de reprise et exercice de restauration ; correctifs et contrôles ; gestion des accès opérateurs ; preuves datées et limites connues.
Annexe 3 – Prestataires et transferts : entité juridique, service, données confiées, stockage et accès distants, durée et suppression, contrat applicable, mécanisme de transfert et analyse ; régime d'autorisation ; délai et canal de notification ; traitement des objections. La liste doit couvrir l'infrastructure, le stockage, le réseau, les emails, le support, les sauvegardes et les intégrations réellement activées.
Annexe 4 – Contacts et procédures : contacts opérationnels et protection des données des deux parties ; réception des instructions et demandes de droits ; canal d'urgence et suppléant ; modalités de notification des violations ; audits et suivi des corrections.
Les annexes complétées, la version du présent texte et l'acceptation écrite ou électronique des deux parties sont conservées avec le contrat. Le contact TEED UP pour préparer cet accord est [email protected].