Contrat de sous-traitance des données (écoles)

Modèle version du 17/10/2026 — conforme à l’article 28 du règlement (UE) 2016/679 (RGPD).

Entre les parties

L’école : [nom de l’école], [forme juridique], [adresse], représentée par [nom, fonction], ci-après « le Responsable de traitement » ;
[à compléter], [à compléter], SIRET [à compléter], [à compléter], éditeur de Aupetio, représenté par Alan Beugre, ci-après « le Sous-traitant ».

Ce contrat complète le contrat de licence (ou la convention de pilote) conclu entre les parties, ci-après « le Contrat principal ».

1. Objet

Le présent accord fixe les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles des étudiants et des conseillers de l’école, dans le cadre du service Aupetio.

Le traitement par lequel Aupetio envoie les candidatures d’un étudiant aux recruteurs, sur mandat de cet étudiant, relève de la responsabilité propre de [à compléter], décrite dans la politique de confidentialité. Il n’est pas couvert par le présent accord.

2. Description du traitement

Finalité : permettre à l’école d’accompagner ses étudiants dans leur recherche de stage, d’alternance ou d’emploi : rattachement des étudiants, tableau de bord des conseillers, suivi des candidatures et des entretiens, recommandations d’annonces, statistiques de la promotion.
Personnes concernées : étudiants rattachés à l’école ; conseillers carrière de l’école.
Données : identité et coordonnées, photo facultative, CV (compétences, secteurs, postes visés), critères de recherche, candidatures et leurs statuts, retours d’entretien, recommandations, données de connexion.
Données sensibles : aucune n’est demandée ; les étudiants sont invités à n’en faire figurer aucune dans leur CV.
Durée : celle du Contrat principal, augmentée de la période de restitution prévue à l’article 10.

3. Instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, constituée par le Contrat principal, le présent accord et le paramétrage de l’école dans Aupetio. S’il estime qu’une instruction viole la réglementation, il en informe immédiatement le Responsable de traitement.

4. Confidentialité

Le Sous-traitant garantit que les personnes autorisées à traiter les données s’engagent à la confidentialité et reçoivent la formation nécessaire en matière de protection des données.

5. Sécurité

Le Sous-traitant met en œuvre les mesures décrites en annexe 1 et les maintient à un niveau adapté au risque tout au long du contrat.

6. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants listés en annexe 2. Le Sous-traitant informe l’école par écrit de tout ajout ou remplacement au moins 30 jours à l’avance ; l’école peut s’y opposer pour un motif lié à la protection des données, et à défaut d’accord, résilier la partie concernée du Contrat principal sans pénalité. Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations que celles du présent accord et reste responsable de leur exécution.

7. Droits des personnes

Les étudiants exercent directement leurs droits d’accès, d’export et de suppression dans l’application. Le Sous-traitant aide le Responsable de traitement à répondre à toute autre demande, et lui transmet sous 5 jours ouvrés toute demande qui lui est adressée et qui relève de l’école.

8. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations prévues à l’article 33.3 du RGPD dont il dispose, afin de permettre à l’école de notifier la CNIL dans le délai de 72 heures.

9. Assistance

Le Sous-traitant aide le Responsable de traitement à réaliser une analyse d’impact (AIPD) et, le cas échéant, la consultation préalable de la CNIL. Il fournit la documentation technique utile, notamment sur le fonctionnement du calcul de compatibilité et le contrôle humain prévu.

10. Fin du contrat

À la fin du Contrat principal, au choix de l’école exprimé dans les 30 jours : le Sous-traitant lui restitue les données de suivi dans un format lisible, puis les supprime ; ou les supprime directement. Les comptes des étudiants restent actifs, sous la seule responsabilité de [à compléter], uniquement pour les étudiants qui choisissent de continuer à utiliser le service ; leur rattachement à l’école est supprimé. Les sauvegardes sont effacées au plus tard 30 jours après.

11. Documentation et audit

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet un audit, sur préavis de 30 jours, au plus une fois par an sauf violation avérée, par l’école ou un auditeur tenu au secret qu’elle mandate. Les frais d’audit sont à la charge de l’école.

12. Transferts hors de l’Union européenne

Les données sont hébergées dans l’Union européenne. Les seuls transferts hors UE sont ceux des sous-traitants d’intelligence artificielle listés en annexe 2, limités au texte des CV après masquage des coordonnées, et encadrés par les clauses contractuelles types de la Commission européenne ou le Data Privacy Framework.

13. Obligations de l’école

L’école informe ses étudiants du traitement, fournit des instructions licites, désigne un interlocuteur pour la protection des données et veille à ce que ses conseillers n’utilisent les données que pour accompagner les étudiants.

Annexe 1 — Mesures de sécurité

Chiffrement des échanges (HTTPS, HSTS) ; hébergement dans l’Union européenne.
Mots de passe hachés (scrypt) ; jetons de session et de vérification stockés hachés ; sessions expirant après 12 heures.
Double authentification (TOTP) disponible pour tous les comptes ; codes de secours hachés.
Protection anti-robot à l’inscription et limitation des tentatives de connexion.
Cloisonnement : un conseiller ne voit que les étudiants de son école ; un recruteur ne voit ni l’email, ni le téléphone, ni la photo des candidats.
Minimisation : coordonnées masquées avant toute analyse par IA ; fichiers de CV non conservés.
Journal des actions sensibles (consentements, rattachements, administration).
Jetons d’accès aux agendas chiffrés ; aucune synchronisation externe sans action de l’utilisateur.
Sauvegardes quotidiennes de la base, conservées 30 jours.
Export et suppression des données à la demande, directement depuis l’application.

Annexe 2 — Sous-traitants ultérieurs autorisés

[à compléter] — hébergement de l’application et de la base de données — Union européenne.
[à compléter] — envoi des emails du service — Union européenne.
Anthropic — analyse des CV et calcul de compatibilité par IA — États-Unis (clauses contractuelles types / Data Privacy Framework).
OpenAI — second avis facultatif sur la compatibilité, uniquement s’il est activé — États-Unis (clauses contractuelles types / Data Privacy Framework).

Signatures

Fait en deux exemplaires, le [date].

Pour l’école : [nom, fonction, signature]
Pour [à compléter] : Alan Beugre, [signature]