Version rédigée sans relecture juridique. Un professionnel la relira ; toute correction sera publiée comme une nouvelle version, datée, que cette page conserve.
Ce contrat est conclu entre l'établissement ou le coach qui souscrit un abonnement (le « responsable de traitement ») et ekyde, l'éditeur du site identifié dans les mentions légales (le « sous-traitant »). Il complète les conditions des établissements ou les conditions des coachs, qui l'annexent, et fixe les engagements que l'article 28 du règlement général sur la protection des données (RGPD) impose entre un responsable de traitement et son sous-traitant.
1. Objet
ekyde héberge et traite, pour le compte du responsable de traitement, les données de ses élèves et de leurs parents que celui-ci saisit ou reçoit dans l'outil de gestion : fiches d'élèves, inscriptions, cartes de cours, présences, absences et rattrapages, montoir, autorisations parentales, pièces reçues, notes, consignes du cheval confié.
Pour tout autre traitement (le compte de l'établissement, sa fiche publique, les demandes et inscriptions reçues depuis une page publique, l'abonnement), ekyde est lui-même responsable de traitement, dans les conditions de la politique de confidentialité. Ce contrat ne les concerne pas.
2. Durée
Ce contrat prend effet à son acceptation, lors de la souscription, et dure autant que l'abonnement et la conservation décrite à l'article 11.
3. Nature et finalité du traitement
Hébergement, stockage, consultation, mise à jour et suppression des données, pour permettre au responsable de traitement de gérer ses élèves, leurs inscriptions et leurs séances. ekyde n'en fait aucun autre usage : pas de statistique nominative, pas de suggestion, pas de courriel d'ekyde, pas de prospection, pas de revente, pas de croisement avec d'autres données.
4. Données et personnes concernées
- Données : identité, date de naissance, coordonnées de l'élève, de son parent ou de son titulaire, niveau, groupe, inscriptions, soldes de cartes (sans montant), présences, autorisations parentales (textes, versions, dates), contact d'urgence, personnes autorisées à venir chercher un enfant, notes de longueur limitée.
- Aucune donnée de santé : l'outil n'a pas de champ pour elles et le responsable de traitement s'engage à ne pas en saisir dans les champs libres.
- Personnes : élèves majeurs et mineurs, parents ou titulaires, contacts d'urgence et personnes autorisées.
5. Instructions
ekyde traite les données uniquement sur instruction documentée du responsable de traitement. Ses instructions sont les fonctions et les réglages qu'il utilise dans l'outil ; toute autre instruction se donne par écrit à contact@ekyde.com. ekyde l'informe sans délai s'il estime qu'une instruction enfreint la réglementation sur la protection des données.
6. Confidentialité
Les personnes d'ekyde autorisées à traiter ces données sont tenues à la confidentialité. Le personnel d'ekyde n'accède à une fiche d'élève que sur demande documentée du responsable de traitement ou par obligation légale, dans le cadre d'une mission précise, et cet accès est journalisé.
7. Sécurité
ekyde met en œuvre des mesures techniques et d'organisation adaptées au risque : un identifiant par personne, des mots de passe chiffrés, une double authentification déployée pour les rôles qui gèrent un établissement, le chiffrement des échanges et des données au repos par ses hébergeurs, le cloisonnement des données de chaque établissement (une fiche d'élève n'est lisible qu'avec un lien actif et un rôle actif sur l'établissement concerné), un journal des accès, et des sauvegardes.
Le responsable de traitement garde ses accès pour lui, n'utilise que des comptes personnels et retire sans délai l'accès d'une personne qui quitte son équipe.
8. Sous-traitants ultérieurs
Le responsable de traitement autorise ekyde à recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants ultérieurs. ekyde leur impose les mêmes obligations de protection que celles de ce contrat et reste responsable de leur exécution. Il annonce tout ajout ou remplacement 30 jours avant son entrée en vigueur, par courriel ; le responsable de traitement peut s'y opposer en résiliant son abonnement avant cette date, sans frais.
9. Droits des personnes
ekyde aide le responsable de traitement à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Une demande reçue par ekyde au sujet de ces données est transmise au responsable de traitement sous cinq jours ouvrés, avec copie à la personne ; ekyde ne répond pas lui-même sur le fond. Les outils d'export et de suppression de l'outil de gestion sont à la disposition du responsable de traitement.
10. Violation de données et analyses d'impact
ekyde alerte le responsable de traitement sans retard indu, avec une cible de 48 heures après en avoir eu connaissance, en lui communiquant ce qui est connu : nature de la violation, catégories et nombre approximatif de personnes et de données, conséquences probables, mesures prises. Le responsable de traitement décide de notifier l'autorité de contrôle et les personnes concernées ; ekyde l'y aide.
ekyde met à sa disposition, sur demande, les informations dont il a besoin pour ses analyses d'impact et ses consultations préalables, y compris l'analyse d'impact de l'espace des élèves et des familles.
11. Fin du contrat, restitution et suppression
À tout moment, le responsable de traitement peut demander l'export de ses données dans un format courant lisible par machine. Les données sont supprimées selon ces durées : la fiche d'un élève, ses cartes, présences, rattrapages et pièces reçues, 3 ans après sa dernière séance ou la fin du lien ; les consignes d'un cheval, 12 mois après le séjour ; un compte revenu en brouillon, 12 mois sans connexion, après rappels. Le responsable de traitement peut demander une suppression plus rapide. ekyde supprime les copies restantes de ses sauvegardes dans leur cycle normal. Une conservation imposée par la loi reste possible, dans la seule mesure où elle l'est.
12. Audits
ekyde met à la disposition du responsable de traitement les informations qui démontrent le respect de ce contrat, en répondant par écrit à un questionnaire raisonnable. Un audit sur place, mené par le responsable de traitement ou par un auditeur qu'il mandate, est possible sur demande écrite, avec un préavis raisonnable, dans des conditions qui préservent la sécurité et la confidentialité des données des autres établissements.
13. Modification
Toute modification de ce contrat suit la règle de préavis des conditions qui l'annexent : au moins 15 jours, avec droit de résilier. Les versions successives sont conservées et consultables à la fin de cette page.