Parties
Le présent accord est conclu entre l'entreprise cliente identifiée lors de la commande de The Climb (le « Responsable de traitement ») et The Tech Nation S.L., NIF B19412451, Passeig de Gràcia 2, 08007 Barcelona, España (le « Sous-traitant »).
Il fait partie des conditions générales et est accepté avec elles lors de la commande. Il répond à l'article 28 du règlement (UE) 2016/679 (RGPD).
1. Objet
Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement afin de fournir The Climb, plateforme de formation à l'IA pour les équipes. Le détail du traitement figure en annexe 1. Pour tout ce qui touche à la protection des données, le présent accord prévaut sur les conditions générales.
2. Durée
L'accord s'applique pendant toute la durée du contrat, puis jusqu'à la suppression des données prévue à l'article 10.
3. Instructions
3.1. Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Les conditions générales, le présent accord, le paramétrage de l'entreprise dans l'application (invitations, rôles, équipes, départs) et les demandes écrites du Responsable de traitement constituent ces instructions.
3.2. Si une instruction lui paraît contraire au RGPD ou au droit applicable, le Sous-traitant en informe immédiatement le Responsable de traitement.
3.3. Le Sous-traitant n'utilise pas les données des collaborateurs pour ses propres finalités.
4. Confidentialité
Les personnes autorisées à traiter les données chez le Sous-traitant sont tenues à la confidentialité. Elles n'y accèdent que dans la mesure nécessaire au service, au support et à la sécurité.
5. Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles de l'annexe 2 (article 32 du RGPD). Il peut les faire évoluer, sans en réduire le niveau.
6. Sous-traitants ultérieurs
6.1. Le Responsable de traitement donne une autorisation générale au recours aux sous-traitants ultérieurs listés en annexe 3.
6.2. Tout ajout ou remplacement est annoncé par e-mail au moins 30 jours à l'avance. Le Responsable de traitement peut s'y opposer pour un motif raisonnable lié à la protection des données. Faute de solution, il peut résilier sans frais la partie du service concernée.
6.3. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection équivalentes et reste responsable de leur respect.
7. Transferts hors de l'Espace économique européen
7.1. L'application est hébergée aux États-Unis (annexe 3). Le Responsable de traitement en est informé et l'accepte.
7.2. Chaque transfert est encadré selon les garanties proposées par le prestataire (Data Privacy Framework ou clauses contractuelles types), au sens du chapitre V du RGPD : décision d'adéquation (UE) 2023/1795 pour les sociétés certifiées, ou clauses contractuelles types de la décision (UE) 2021/914, complétées si nécessaire de mesures supplémentaires.
8. Assistance
Le Sous-traitant aide le Responsable de traitement, dans la mesure du possible et selon la nature du traitement :
- à répondre aux demandes d'exercice des droits des personnes ; toute demande reçue directement lui est transmise sous 5 jours ouvrés ;
- à réaliser une analyse d'impact (article 35 du RGPD), en lui fournissant la description du service et des mesures de sécurité ;
- à consulter l'autorité de contrôle si nécessaire.
9. Violation de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. Il fournit les informations de l'article 33.3 du RGPD dont il dispose, puis les complète.
10. Fin du traitement
10.1. Départ d'un collaborateur. Quand l'administrateur du Responsable de traitement déclare un départ, l'accès de la personne est coupé immédiatement. Ses données sont pseudonymisées automatiquement 30 jours plus tard : nom, e-mail et équipe remplacés, nom effacé de ses certificats (qui restent vérifiables sans nom), notes libres de ses blocages et mots de relecture effacés, compte de connexion supprimé s'il ne sert à aucune autre entreprise. Les données de progression restent rattachées à un profil sans nom ni e-mail. L'administrateur peut annuler le départ avant la fin du délai.
10.2. Fin du contrat. Les données sont conservées 6 mois pour permettre une réactivation ou un export, puis supprimées. Les copies de sauvegarde disparaissent à la fin de leur cycle de rotation chez l'hébergeur. Pendant ces 6 mois, le Responsable de traitement peut demander l'export de ses données dans un format structuré, ou leur suppression anticipée.
10.3. Sur demande, le Sous-traitant confirme la suppression par écrit. Seules restent les données que la loi l'oblige à conserver.
10.4. Certificats. L'empreinte cryptographique d'un certificat, ancrée dans la blockchain Bitcoin pour prouver sa date, ne peut pas être effacée. Elle ne contient aucun nom et ne permet de retrouver personne une fois le certificat supprimé.
11. Documentation et audit
11.1. Le Sous-traitant tient le registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD). Il met à disposition les informations nécessaires pour démontrer le respect de l'article 28.
11.2. Le Responsable de traitement peut faire réaliser un audit au plus une fois par an, sauf violation de données, avec un préavis de 30 jours, à ses frais, par un auditeur tenu au secret et sans accès aux données des autres clients. Le Sous-traitant peut d'abord répondre par un questionnaire et ses documents de sécurité.
12. Responsabilité
La responsabilité de chaque partie suit l'article 82 du RGPD et les conditions générales.
13. Droit applicable
Droit espagnol, tribunaux de Barcelone, comme les conditions générales.
Annexe 1. Description du traitement
| Élément | Description |
|---|---|
| Personnes concernées | collaborateurs du Responsable de traitement invités dans The Climb (salariés, stagiaires, prestataires), y compris ses administrateurs, People et Sherpas |
| Identité et compte | nom, e-mail professionnel, rôle (grimpeur, Sherpa, administrateur, People), équipe, statut, dates d'invitation, d'arrivée et de départ, identifiant de connexion, date de dernière visite |
| Apprentissage | réponses au questionnaire d'entrée et de suivi question par question (dont rôle et taille d'entreprise), niveau, six scores d'auto-positionnement, badges, points d'expérience, série, étapes et points de passage, dernière activité, avatar, outil d'IA déclaré, temps actif (total et par étape) |
| Exercices | statut, score, tentatives et détails courts par exercice (outil, mode, cases cochées, relecture par un Sherpa, validation accompagnée), nombre de preuves refusées, relecture humaine (verdict, date, mot du relecteur, effacé avec la pseudonymisation) ; le texte des réponses n'est pas conservé |
| Révisions | réussites et erreurs par notion |
| Signaux | blocages signalés avec note libre facultative ; réponses à la météo d'équipe, y compris un champ libre |
| Certificats | nom complet, nom de l'entreprise, programme, niveau, compétences, dates, statut, signature électronique, empreinte ancrée dans Bitcoin |
| Réglages de l'entreprise | logo, nom du programme |
| Support et audit | sessions de support (qui l'a demandée, motif), journal des actions d'administration sans adresse e-mail |
| Données techniques | adresse IP, navigateur, pages demandées, dans les journaux des hébergeurs |
| Données sensibles | aucune attendue ; les utilisateurs sont invités à ne pas en saisir |
| Nature des opérations | hébergement, stockage, consultation, calcul des niveaux et de la progression, affichage aux rôles autorisés, calcul de totaux par équipe, émission et vérification publique des certificats, envoi des invitations et des e-mails de connexion, sessions de support, pseudonymisation et suppression |
| Finalités | formation des collaborateurs à l'IA, suivi de progression, animation des équipes, certificats, tableaux de bord pour les responsables ; en totaux et sans nom, amélioration des contenus de The Climb (temps et preuves refusées par étape) |
| Visibilité | l'administrateur et People voient la progression de chaque personne nommément ; chaque membre voit ses coéquipiers et les Sherpas nommément, les autres collègues sans nom ; météo d'équipe et blocages en totaux seulement, à partir de 5 réponses ; le certificat est visible de toute personne qui a son lien ou son numéro |
| Exclusions | aucune décision automatisée produisant des effets juridiques ou importants ; aucune évaluation par une IA ; aucun appel à un modèle d'IA par l'application ; aucune publicité |
| Durée | durée du contrat, puis article 10 |
Annexe 2. Mesures de sécurité
- Authentification : comptes et connexions gérés par Clerk ; mot de passe, code ou lien envoyé par e-mail, double authentification disponible.
- Contrôle d'accès : chaque fonction serveur (Convex) vérifie le rôle de la personne et son entreprise avant de renvoyer une donnée ; chaque entreprise ne voit que ses propres données.
- Chiffrement en transit : tous les échanges passent en HTTPS.
- Départs : accès coupé dès qu'un départ est déclaré ; pseudonymisation automatique à 30 jours (article 10.1).
- Journal d'audit : actions d'administration et modifications faites par MCP enregistrées (auteur, action, cible, date, assistant connecté), sans adresse e-mail.
- Support : une session de support dans le compte d'un membre n'est ouverte qu'à la demande du Responsable de traitement ou de la personne, ou pour traiter un incident ; elle est enregistrée avec la personne qui l'a ouverte et son motif.
- Accès MCP : réservé aux Yetis et à l'équipe du Sous-traitant, aucun outil pour les collaborateurs du client ; autorisation OAuth avec PKCE, droits limités par périmètre, rôle revérifié à chaque appel, sessions d'usurpation d'identité refusées.
- Minimisation : le texte des réponses aux exercices n'est pas conservé ; météo d'équipe et blocages montrés aux responsables en totaux à partir de 5 réponses, sans les notes libres.
- Formulaires publics : limites contre les abus, adresses IP conservées sous forme d'empreinte.
- Intégrité des certificats : signature électronique Ed25519 et horodatage par ancrage public.
- Organisation : accès du personnel du Sous-traitant limité au nécessaire et tenu à la confidentialité ; procédure de notification des violations (article 9).
Annexe 3. Sous-traitants ultérieurs
La liste des sous-traitants ultérieurs autorisés, avec leur service, les données concernées, leur localisation et les garanties de transfert, est publiée sur la page Sous-traitants ultérieurs. Elle fait partie du présent accord.