1. Objet et qualification des parties
Le présent accord encadre le traitement des données à caractère personnel que le Créateur (le « Responsable de traitement ») collecte auprès de ses Répondants au moyen des formulaires qu’il publie sur Meliform, et que Kassim MONDOHA (le « Sous-traitant ») traite pour son compte.
Il ne s’applique pas aux données du compte du Créateur lui-même, pour lesquelles le Sous-traitant agit en qualité de responsable de traitement : celles-ci relèvent de la politique de confidentialité.
2. Description du traitement (art. 28 § 3 du RGPD)
| Élément | Description |
|---|---|
| Objet | Hébergement et mise à disposition d’un service de création, de diffusion et d’analyse de formulaires en ligne |
| Nature des opérations | Collecte, enregistrement, organisation, structuration, conservation, consultation, mise à disposition, effacement |
| Finalité | Permettre au Responsable de traitement de collecter et d’exploiter les réponses à ses formulaires |
| Durée | Durée du compte du Responsable de traitement, ou jusqu’à la suppression des formulaires et des réponses concernés |
| Types de données | Réponses aux questions posées, score et avancement, horodatage, durée de participation, identité et adresse e-mail du Répondant lorsque le formulaire les demande ou que le Répondant est connecté |
| Catégories de personnes | Répondants aux formulaires du Responsable de traitement (élèves, candidats, clients, membres, visiteurs…) |
Le Responsable de traitement détermine seul les questions posées et, par conséquent, les catégories de données réellement collectées.
3. Vos obligations en tant que responsable de traitement
Vous vous engagez à :
- disposer d’une base légale valable pour chaque collecte que vous réalisez (consentement, contrat, obligation légale, intérêt légitime…) ;
- informer vos Répondants, avant qu’ils ne répondent, de l’identité du responsable, des finalités, des destinataires, des durées de conservation et de leurs droits — la description ou la page d’introduction de votre formulaire est l’endroit approprié ;
- ne collecter que les données strictement nécessaires à votre finalité (principe de minimisation) ;
- ne pas collecter de données sensibles (article 9 du RGPD) ni d’infractions (article 10) sans respecter les conditions spécifiques qui s’y attachent ;
- répondre aux demandes d’exercice de droits de vos Répondants, dans les délais légaux ;
- documenter vos instructions et n’utiliser le Service que conformément aux conditions d’utilisation ;
- tenir votre registre des activités de traitement lorsque vous y êtes tenu ;
- supprimer les réponses dont vous n’avez plus besoin.
4. Nos obligations en tant que sous-traitant
Nous nous engageons à :
- ne traiter les données que sur vos instructions documentées — l’usage que vous faites du Service et le présent accord valant instructions — sauf obligation légale, auquel cas nous vous en informerons préalablement, sauf interdiction légale ;
- vous alerter si une instruction nous paraît constituer une violation du RGPD ;
- ne pas utiliser les réponses collectées à nos propres fins : elles ne sont ni exploitées commercialement, ni cédées, ni utilisées pour entraîner des modèles d’intelligence artificielle ;
- veiller à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité ;
- mettre en œuvre les mesures de sécurité décrites à l’article 5 ;
- respecter les conditions applicables au recours à un sous-traitant ultérieur (article 6) ;
- vous assister dans le respect de vos obligations (article 7) ;
- restituer ou supprimer les données au terme du service (article 9) ;
- mettre à votre disposition les informations nécessaires pour démontrer le respect de l’article 28 (article 10).
5. Mesures techniques et organisationnelles (art. 32)
- chiffrement des communications en transit (HTTPS/TLS) ;
- cloisonnement des données par compte et par organisation, avec contrôle d’accès systématique à chaque consultation ou modification ;
- authentification par mot de passe stocké sous forme de condensat à sens unique, limitation des tentatives de connexion ;
- gestion fine des droits au sein d’une organisation (rôles, permissions par ressource) ;
- journalisation des actions sensibles ;
- hébergement dans des centres de données situés dans l’Union européenne, sauvegardes régulières ;
- maintien à jour des composants logiciels et application des correctifs de sécurité.
6. Sous-traitants ultérieurs
Vous autorisez de façon générale le recours aux sous-traitants ultérieurs suivants, dont la liste est tenue à jour sur cette page :
| Prestataire | Rôle | Localisation des données |
|---|---|---|
| OVH SAS | Hébergement du site et de la base de données | France (Union européenne) |
| OVH SAS | Envoi des e-mails du service | France (Union européenne) |
| Mistral AI SAS | Fonctions d'assistance par IA et correction automatique des réponses libres | France (Union européenne) |
| Umami | Mesure d'audience anonyme, sans cookie | France (Union européenne) - auto-hébergé |
Si vous activez la correction automatique des réponses libres sur l’un de vos formulaires, les réponses concernées sont transmises au sous-traitant d’intelligence artificielle listé ci-dessus, aux seules fins de les comparer aux réponses de référence que vous avez rédigées. Sont alors transmis : l’énoncé de la question, vos réponses de référence et le texte saisi par le répondant — à l’exclusion de son identité, de son adresse e-mail et de toute autre donnée de son compte. Cette fonction est facultative et sous votre contrôle : tant qu’elle n’est pas activée, aucune réponse n’est transmise.
En cas d’ajout ou de remplacement d’un sous-traitant ultérieur, nous vous en informerons au moins trente jours à l’avance par e-mail ou par une notification dans le Service. Vous disposerez de ce délai pour formuler des objections motivées ; à défaut de solution, vous pourrez résilier en supprimant les formulaires concernés ou votre compte. Chaque sous-traitant ultérieur est tenu par des obligations de protection des données équivalentes à celles du présent accord.
7. Assistance, droits des personnes et violations de données
- Droits des Répondants : le Service vous donne accès aux réponses et vous permet de les consulter, de les exporter et de les supprimer, afin que vous puissiez répondre vous-même aux demandes d’accès, de rectification, d’effacement ou de portabilité. Si une demande nous est adressée directement, nous la transmettrons sans y répondre à votre place.
- Violation de données : nous vous notifierons toute violation de données personnelles concernant vos Répondants dans les quarante-huit heures suivant sa constatation, en vous communiquant les éléments dont nous disposons (nature, catégories et volume approximatif de données concernées, conséquences probables, mesures prises). Il vous appartient de procéder, le cas échéant, à la notification à l’autorité de contrôle (article 33) et à l’information des personnes concernées (article 34).
- Analyse d’impact : nous vous fournirons, sur demande, les informations techniques nécessaires à la réalisation d’une analyse d’impact relative à la protection des données et à une éventuelle consultation préalable de l’autorité de contrôle.
8. Transferts hors de l’Union européenne
L’hébergement et le stockage des réponses ont lieu dans l’Union européenne. Aucun transfert des réponses hors de l’Union n’est réalisé, y compris par les sous-traitants ultérieurs listés à l’article 6.
9. Sort des données au terme du service
À la suppression d’un formulaire, les réponses associées sont supprimées. À la suppression de votre compte, l’ensemble des formulaires et des réponses dont vous êtes responsable est supprimé ou anonymisé. Vous êtes invité à exporter les données que vous souhaitez conserver avant toute suppression : celle-ci est définitive et nous ne conservons pas de copie, sous réserve des sauvegardes techniques temporaires, dont la durée de rétention n’excède pas trente jours.
10. Documentation et audit
Nous mettons à votre disposition, sur demande adressée à contact@meliform.com, les informations nécessaires pour démontrer le respect des obligations du présent accord. Vous pouvez réaliser un audit, au maximum une fois par an et sous réserve d’un préavis de trente jours, dans des conditions convenues entre les parties et n’affectant pas la sécurité des autres utilisateurs du Service. Les frais d’audit sont à votre charge, le Service étant fourni à titre gratuit.
11. Responsabilité
Chaque partie répond des dommages causés par un traitement qui viole le RGPD, dans les conditions de son article 82. Le Sous-traitant n’est notamment pas responsable du caractère licite de la collecte décidée par le Responsable de traitement, du contenu des questions posées, ni de l’information des Répondants.