Accord de traitement des données

« RGPD » désigne le règlement (UE) 2016/679 ; « RGPD britannique » désigne le RGPD tel qu'il s'applique au Royaume-Uni ; « droit de la protection des données » désigne le RGPD, le RGPD britannique et toute autre loi sur la protection des données qui s'applique au traitement. « Données personnelles », « responsable du traitement », « sous-traitant », « traitement », « personne concernée » et « violation de données personnelles » ont le sens que leur donne le RGPD.

darji traite des données personnelles pour le compte de l'entreprise afin de fournir les places qu'elle achète : inviter les personnes qu'elle choisit, donner à chacune darji Pro pour la durée de sa place, et rendre compte de leurs progrès à l'entreprise sur sa page équipe, dans son rapport CSV et dans un rapport de progression mensuel. Pour ce traitement, l'entreprise est responsable du traitement et darji est son sous-traitant (article 28 du RGPD).

Chaque personne invitée a aussi son propre compte darji, que darji lui fournit selon ses Conditions d'utilisation et sa Politique de confidentialité. Ce que ce compte contient au-delà des données de l'article 4, comme ses réponses, ses enregistrements et ce qu'elle écrit à Wissal, darji le traite en tant que responsable du traitement, pour cette personne, et l'entreprise ne le voit pas.

Cet accord s'applique dès la première commande de l'entreprise, aussi longtemps que darji traite des données personnelles pour elle, jusqu'à la suppression décrite à l'article 10.

Personnes concernées : les personnes que l'entreprise invite (ses salariés, des membres de leur famille, des personnes qu'elle installe au Maroc ou y envoie étudier) et les administrateurs de l'entreprise.

Données personnelles :

• le nom et l'adresse e-mail avec lesquels chaque personne est invitée ;
• une fois qu'elle a rejoint l'équipe, le nom et l'adresse e-mail du compte darji avec lequel elle l'a rejointe, qui peuvent différer de l'adresse invitée ;
• l'état de son invitation et de sa place : invitée, inscrite ou retirée, et depuis quand ;
• ses données d'apprentissage montrées à l'entreprise : sa dernière activité, les leçons faites, l'étape atteinte, les mots retenus et les certificats obtenus ;
• pour les administrateurs de l'entreprise : leur nom, leur adresse e-mail et ce qu'ils font sur la page équipe.

Aucune catégorie particulière de données personnelles (article 9 du RGPD) n'est traitée pour l'entreprise.

Nature et finalité : conserver ces données, les montrer aux administrateurs de l'entreprise et les envoyer dans leurs rapports, pour fournir les places et en rendre compte. Fréquence : continue, tant qu'une commande dure.

darji :

• ne traite les données personnelles que sur instruction documentée de l'entreprise : ces conditions, chaque commande et ce que font ses administrateurs sur la page équipe, sauf si une loi à laquelle darji est soumis l'exige autrement ; darji en informe alors l'entreprise au préalable, sauf si cette loi l'interdit ;
• informe immédiatement l'entreprise s'il estime qu'une instruction enfreint le droit de la protection des données ;
• veille à ce que toute personne qui peut accéder aux données soit tenue à la confidentialité ;
• protège les données par les mesures décrites sur sa page Sécurité, qu'il peut améliorer mais pas affaiblir ;
• aide l'entreprise, autant que le traitement le permet, à répondre aux personnes qui exercent leurs droits : accès, rectification, effacement, limitation, portabilité et opposition ;
• aide l'entreprise à respecter ses obligations de sécurité, de notification des violations de données, d'analyse d'impact et de consultation préalable (articles 32 à 36 du RGPD) ;
• informe l'entreprise dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles touchant ses données, avec les informations que liste l'article 33(3) du RGPD, au fur et à mesure qu'elles sont connues ;
• ne vend jamais les données et ne les utilise jamais pour de la publicité ;
• met à la disposition de l'entreprise les informations nécessaires pour démontrer le respect de ces obligations, et permet les audits prévus à l'article 11.

• L'entreprise a une base légale pour donner à darji le nom et l'adresse e-mail de chaque personne qu'elle invite, et pour recevoir ses progrès.
• Avant d'inviter quelqu'un, elle lui dit ce qu'elle verra (article 4).
• Ses instructions respectent le droit de la protection des données.

L'entreprise autorise darji à faire appel à ces sous-traitants ultérieurs :

• Vercel héberge le site, fait tourner son code serveur à Londres (Royaume-Uni) et stocke ses fichiers audio.
• Neon héberge la base de données, à Londres (Royaume-Uni).
• Resend envoie les e-mails de darji, invitations comprises.
• PostHog mesure l'utilisation de darji (mesure d'audience), hébergé dans l'Union européenne.
• Sentry reçoit les rapports d'erreurs, pour que nous corrigions ce qui casse.

Paddle vend les places en tant que revendeur officiel et reçoit les coordonnées de facturation de l'entreprise ; il ne reçoit pas les données d'apprentissage des personnes invitées.

darji impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données qui protègent les données au moins aussi bien que cet accord, et reste responsable envers l'entreprise de leur travail.

Avant d'ajouter ou de remplacer un sous-traitant ultérieur, darji en informe l'administrateur de l'entreprise par e-mail et met à jour sa page Sécurité, assez tôt pour que l'entreprise puisse s'y opposer pour des motifs raisonnables liés à la protection des données. Si les parties ne règlent pas l'objection, l'entreprise peut mettre fin aux commandes concernées.

L'exploitant de darji est établi aux Émirats arabes unis, qui n'ont pas de décision d'adéquation de la Commission européenne. Les données sont hébergées à Londres, au Royaume-Uni, et darji y accède depuis là où il travaille. Ainsi :

• Pour les données personnelles que l'entreprise transfère depuis l'Espace économique européen, les parties conviennent des clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission, module deux (de responsable du traitement à sous-traitant), intégrées à cet accord par référence. L'entreprise est l'exportateur de données et darji l'importateur. La clause 7 (clause d'adhésion) s'applique. Clause 9 : option 2, autorisation écrite générale, avec le préavis de l'article 7 de cet accord. Clause 11 : la mention facultative ne s'applique pas. Clause 13 : l'autorité de contrôle compétente est celle que désigne la clause 13, point a), pour la situation de l'entreprise ; si l'entreprise est établie dans un État membre de l'UE, celle de cet État. Clause 17 : option 2, le droit de l'État membre de l'UE où l'entreprise est établie, ou, si ce droit ne reconnaît pas les droits des tiers bénéficiaires, le droit irlandais. Clause 18 : les juridictions de cet État membre. L'annexe I est complétée par les articles 2 à 4 et 7 de cet accord, l'annexe II par les mesures de notre page Sécurité, et l'annexe III par la liste de l'article 7.
• Pour les données personnelles transférées depuis le Royaume-Uni, les parties conviennent aussi de l'avenant relatif aux transferts internationaux de données (International Data Transfer Addendum) aux clauses contractuelles types de la Commission européenne, publié par l'Information Commissioner britannique (l'avenant britannique), complété par les informations ci-dessus.
• Quand un sous-traitant ultérieur traite les données hors du Royaume-Uni et de l'Espace économique européen, darji s'appuie sur un mécanisme de transfert reconnu par le droit de la protection des données, comme une décision d'adéquation, le cadre de protection des données UE-États-Unis (Data Privacy Framework) ou des clauses contractuelles types.

darji applique les mesures techniques et organisationnelles décrites sur sa page Sécurité. Elles forment l'annexe II des clauses contractuelles types.

Quand la dernière commande de l'entreprise prend fin, darji cesse de traiter des données pour elle.

Si l'entreprise le demande avant la fin, darji lui envoie d'abord un dernier rapport CSV de son équipe : c'est la restitution de ses données.

Ensuite, darji supprime dans les meilleurs délais les données personnelles traitées pour l'entreprise : son équipe, l'accès de ses administrateurs, ses places et ses invitations, et le lien entre chaque personne invitée et l'entreprise. Il ne garde que ce qu'une loi l'oblige à garder, comme les traces des paiements, aussi longtemps que les règles comptables et fiscales le demandent.

Chaque personne invitée garde son propre compte darji, sans le Pro de sa place, sauf si elle le supprime, ce qu'elle peut faire à tout moment dans l'appli.

darji met à disposition les informations nécessaires pour démontrer qu'il respecte cet accord. L'entreprise l'audite en lui envoyant un questionnaire écrit, auquel darji répond dans un délai raisonnable.

Si une autorité de contrôle exige davantage, ou si les réponses ne démontrent pas le respect de l'accord, les parties conviennent d'une autre forme d'audit : avec un préavis raisonnable, aux frais de l'entreprise, et sans accès aux données d'autres clients.

La responsabilité de chaque partie au titre de cet accord est soumise aux limites des Conditions entreprises, sauf là où le droit de la protection des données ou les clauses contractuelles types ne le permettent pas.

Si cet accord contredit les Conditions entreprises, cet accord l'emporte pour la protection des données personnelles. S'il contredit les clauses contractuelles types, les clauses l'emportent.

Hormis les clauses, régies comme le dit l'article 8, cet accord est régi par le même droit que les Conditions entreprises.

Une question, une demande d'exemplaire signé ou une demande liée à la protection des données ? Écrivez à hello@darji.ma.