📄 Ce document est le DPA standard que Roche Development signe avec chaque école cliente. Il est conforme à l'article 28 du RGPD et complète notre politique de confidentialité. Pour signer la version officielle, écris à contact@rochedevelopment.fr.
1. Parties
- Responsable de traitement— l'établissement scolaire / l'organisation cliente
- Sous-traitant — Roche Development (Bahoui)
2. Objet du traitement
Bahoui traite des données personnelles d'élèves, de professeurs et d'administrateurs au nom de l'établissement, exclusivement aux fins suivantes :
- Fournir l'accès au service d'apprentissage du FLE
- Permettre le suivi pédagogique par les professeurs de l'établissement
- Générer des rapports anonymisés pour l'établissement
3. Catégories de données
- Identité : nom d'utilisateur, e-mail
- Données pédagogiques : progression, scores, conversations IA
- Données techniques : IP, user-agent, timestamps
4. Catégories de personnes concernées
- Élèves majeurs et mineurs (à partir de 11 ans)
- Professeurs et personnel pédagogique
- Administrateurs d'établissement
5. Durée et localisation
Les données sont hébergées dans l'Union européenne (Supabase eu-west-1, Vercel régions EU). Aucun transfert hors-EU n'est réalisé sans clauses contractuelles types.
Conservation : pendant la durée du contrat + 30 jours après résiliation. Restitution sur demande dans un format structuré (JSON), puis suppression certifiée.
6. Sécurité
- Chiffrement TLS 1.2+ pour toutes les communications
- Chiffrement at-rest des bases de données (Supabase)
- Authentification 2FA disponible
- Row Level Security activé sur toutes les tables sensibles
- Audit trail immuable des actions sensibles
- Accès aux données limité au strict nécessaire (least privilege)
- Sauvegardes chiffrées quotidiennes avec rétention 7 jours (Point-in-Time Recovery via Supabase)
7. Sous-traitants ultérieurs
La liste à jour est disponible sur la page confidentialité, section 5. Toute modification substantielle de cette liste est notifiée à l'établissement avec 30 jours de préavis.
8. Notification des violations
En cas de violation de données affectant l'établissement, Roche Development notifie le responsable de traitement dans un délai maximum de 72 heures, conformément à l'article 33 du RGPD.
9. Droits des personnes concernées
L'établissement reste le point de contact principal pour les demandes d'accès, rectification, effacement, portabilité et opposition. Roche Development assiste l'établissement avec les outils nécessaires (export self-service, API d'effacement en masse).
10. Audit
L'établissement peut à tout moment demander un rapport d'audit technique (rapports SOC 2 Supabase + Vercel disponibles). Un audit sur site peut être organisé une fois par an avec préavis de 30 jours.
11. Fin du contrat
À la fin du contrat, Roche Development restitue toutes les données dans un format structuré (JSON) et supprime ses copies dans un délai de 30 jours, certificat de destruction fourni sur demande.