Accord de traitement des données

Entre la crèche et 4V3D OÜ, pour le service de groupe Minute Mission. Version 1.0, 23 septembre 2026.

Ceci est la traduction française de l'accord. L'accord est également publié en anglais et en estonien, et c'est le texte estonien que signent les clients estoniens. Les textes qui font foi sont l'anglais et l'estonien; si cette traduction s'en écarte, c'est le texte anglais qui compte.

Comment conclure cet accord

Deux voies, avec le même effet.

• Au moment du paiement. Cochez la case indiquant que vous acceptez cet accord, version 1.0. La version et la date sont enregistrées au dossier de votre compte, une copie du texte exact que vous avez accepté vous est envoyée par courriel, et elle reste disponible dans votre compte.
• Sur papier, si votre organisation a besoin d'une signature. Demandez-nous à info@4v3d.ee et nous vous envoyons le même texte sous forme de document, avec un tableau pour vos coordonnées. Signez-le électroniquement (une signature qualifiée eIDAS, DocuSign, Adobe Sign ou votre propre dispositif national) et renvoyez-le. 4V3D OÜ signe le même fichier et vous le retourne. L'accord prend effet à la plus tardive des deux signatures.

Sous-traitant: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonie. Représentant: Oskar Viil, membre du directoire. Contact: info@4v3d.ee.

1. Ce que couvre cet accord

La crèche (le responsable du traitement) utilise Minute Mission, une application web exploitée par 4V3D OÜ (le sous-traitant), dans laquelle une éducatrice tient un tableau des missions et des récompenses d'un groupe. Pour cela, 4V3D OÜ traite les données à caractère personnel décrites à l'annexe II pour le compte de la crèche et sur ses instructions.

Cet accord contient tout ce que Article 28(3) du RGPD, et du UK GDPR, exige de convenir par écrit entre un responsable du traitement et un sous-traitant. Il s'applique que la crèche soit établie ou non dans l'EEE ou au Royaume-Uni.

2. Quel droit s'applique à vous

• Une crèche dans l'EEE. Le RGPD s'applique. La section 3 s'applique aussi.
• Une crèche au Royaume-Uni. Le UK GDPR et le Data Protection Act 2018 s'appliquent. Les références au RGPD ci-dessous se lisent comme des références au UK GDPR, les références à une autorité de contrôle se lisent comme l'Information Commissioner, et la section 3 ne s'applique pas.
• Une crèche ailleurs. Votre propre droit de la protection des données s'applique à vous, et ces clauses lient 4V3D OÜ contractuellement. 4V3D OÜ est établi dans l'Union européenne et reste donc soumis au RGPD pour ce traitement en tout état de cause. Rien ici ne réduit un droit que votre propre législation vous accorde.

3. Les clauses contractuelles types de la Commission européenne

Lorsque la crèche est établie dans l'EEE, les parties appliquent les clauses contractuelles types entre responsables du traitement et sous-traitants figurant à l'annexe de la décision d'exécution de la Commission Decision (EU) 2021/915, dans leur rédaction officielle anglaise. Ces clauses font partie du présent accord et les annexes ci-dessous en sont les annexes. La Clause 5 (adhésion) ne s'applique pas. À la Clause 7.7, l'option 2 s'applique: autorisation écrite générale des sous-traitants ultérieurs, avec un préavis de 30 jours pour tout changement. En cas de contradiction entre les clauses et le présent accord, les clauses l'emportent.

4. Ce que chaque partie s'engage à faire

4V3D OÜ s'engage à:

• Traiter les données à caractère personnel uniquement pour fournir le service et uniquement sur instructions documentées de la crèche, y compris pour les transferts vers un pays tiers. Le présent accord et l'utilisation du service par la crèche constituent ces instructions. Si le droit de l'Union ou d'un État membre oblige 4V3D OÜ à traiter les données autrement, il en informe la crèche au préalable, sauf si ce droit l'interdit.
• Ne jamais utiliser les données à ses propres fins, ne jamais les vendre, ne jamais s'en servir pour entraîner quoi que ce soit, et ne jamais les montrer à quiconque en dehors des sous-traitants ultérieurs nommés à l'annexe IV.
• Veiller à ce que toute personne ayant accès aux données soit tenue à la confidentialité.
• Maintenir les mesures de sécurité de l'annexe III et ne pas les affaiblir.
• N'utiliser que les sous-traitants ultérieurs de l'annexe IV. 4V3D OÜ peut en ajouter un ou en remplacer un, et en informe au préalable la personne de contact de la crèche par écrit avec un préavis de 30 jours. La crèche peut s'y opposer dans ce délai de 30 jours; si l'objection ne peut être levée, la crèche peut mettre fin au service et se voit rembourser la partie non utilisée du mois.
• Aider la crèche à répondre à une demande d'un parent ou d'un membre du personnel. Les éducatrices et la directrice peuvent déjà consulter, corriger, exporter et supprimer ces données elles-mêmes dans le service. Si une demande parvient à 4V3D OÜ, elle est transmise à la personne de contact de la crèche dans les cinq jours ouvrables et n'est pas traitée directement.
• Aider la crèche à remplir ses obligations au titre des Articles 32 to 36 (sécurité, notification des violations, analyses d'impact, consultation préalable), compte tenu de ce que 4V3D OÜ sait réellement.
• Informer la personne de contact de la crèche d'une violation de données à caractère personnel dans les 24 heures après en avoir pris connaissance, avec ce qui est connu à ce moment-là et le reste au fur et à mesure qu'il est établi.
• À la fin du service, supprimer les données dans les 30 jours, ou les restituer d'abord si la crèche le demande. Elles disparaissent des sauvegardes chiffrées dans les 90 jours. 4V3D OÜ confirme par écrit lorsqu'elles ont disparu.
• Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre un audit. En pratique, cela signifie des réponses écrites et de la documentation sur demande. Un audit sur place ou par un tiers peut être organisé avec un préavis de 30 jours, aux frais de la crèche, au plus une fois par an sauf s'il y a eu une violation.
• Prévenir immédiatement la crèche si une instruction semble contraire au droit de la protection des données.

La crèche s'engage à:

• S'assurer qu'elle dispose d'une base légale pour ce traitement et que les parents ont été informés. 4V3D OÜ ne voit pas les parents et ne peut pas le faire à votre place.
• Limiter les données saisies dans le service à ce que décrit l'annexe II. En particulier, ne pas taper dans un champ de texte libre le nom de famille d'un enfant, des informations de santé, une appréciation d'un enfant ou quoi que ce soit sur la situation d'une famille.
• Tenir à jour les informations de son compte et prévenir 4V3D OÜ lorsque la personne de contact change.
• Gérer ses propres comptes de personnel: retirer l'accès d'une éducatrice lorsqu'elle quitte la structure.

5. Deux choses qui ne sont pas un traitement pour votre compte

Dit clairement ici pour que personne n'ait à deviner plus tard.

• Les comptes du personnel. Le nom, l'adresse électronique et le mot de passe d'une éducatrice ou d'une directrice sont nécessaires au fonctionnement même du service, et c'est 4V3D OÜ qui décide comment le faire fonctionner. Pour cette finalité étroite, 4V3D OÜ est responsable du traitement et non sous-traitant, et sa propre politique de confidentialité s'applique. Tout ce qui concerne les enfants est un traitement pour le compte de la crèche et relève du présent accord.
• Le paiement. Si la crèche paie par carte, le paiement est traité par Stripe Payments Europe Ltd. Stripe reçoit le nom de facturation, l'adresse, le numéro de TVA, l'adresse électronique et les données de carte de la crèche, et aucune donnée concernant un enfant. 4V3D OÜ est responsable du traitement de ces données de facturation. Stripe n'est donc pas un sous-traitant ultérieur au sens du présent accord et ne figure pas à l'annexe IV.

6. Durée, droit applicable et responsabilité

Le présent accord court aussi longtemps que 4V3D OÜ traite les données de la crèche, et survit à la fin du service jusqu'à la suppression des données.

Le droit estonien s'applique et les tribunaux du comté de Harju sont compétents, sauf si la crèche est un organisme public dont les propres règles imposent son droit et ses tribunaux nationaux, auquel cas les parties en conviennent autrement avant la signature.

La responsabilité est réglée par les conditions d'utilisation de Minute Mission, que le présent accord complète et ne remplace pas.

Annexe I. Les parties

Responsable du traitement: la crèche, identifiée par les informations qu'elle donne au moment du paiement ou qu'elle inscrit dans l'exemplaire signé. Rôle: responsable du traitement des données des enfants figurant sur le tableau du groupe.

Sous-traitant: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonie. Contact: Oskar Viil, membre du directoire, info@4v3d.ee. Aucun délégué à la protection des données n'est désigné, car le RGPD n'en exige pas ici.

Chaque partie peut changer sa personne de contact en écrivant à l'autre.

Annexe II. Description du traitement

Annexe III. Mesures de sécurité

• Les données sont dans l'Union européenne. L'application et ses sauvegardes fonctionnent dans le centre de données de Hetzner Online GmbH à Helsinki, en Finlande (certifié ISO/IEC 27001). Les courriels de service partent de Scaleway SAS en France. Il n'y a aucun transfert vers un pays tiers.
• Tout est chiffré en transit (HTTPS, avec une Content Security Policy en vigueur). Les mots de passe ne sont jamais conservés, seulement leur empreinte, et les jetons de session sont eux aussi conservés sous forme d'empreinte, de sorte qu'une copie de la base de données n'est pas un jeu de clés fonctionnelles.
• Chaque groupe est un compte distinct. Une éducatrice ne voit que les enfants de son propre groupe. La directrice a un seul accès pour ses propres groupes et aucun accès à ceux des autres.
• Les photographies ne peuvent pas être téléversées dans un compte de groupe, les notifications push sont désactivées, et les images des enfants sont limitées à un jeu de dessins.
• Sauvegardes chiffrées quotidiennes, conservées 14 jours sur le serveur et 90 jours hors site. Elles sont chiffrées avec une clé publique que le serveur lui-même ne détient pas, de sorte que le serveur ne peut pas lire ses propres sauvegardes. La restauration à partir d'une sauvegarde a été testée.
• L'accès au serveur est limité au membre du directoire de 4V3D OÜ. Aucun salarié, aucun prestataire et aucun agent d'assistance n'y a accès.
• Aucune mesure d'audience, aucun outil publicitaire et aucun pistage d'aucune sorte. Le seul suivi régulier est un décompte quotidien des inscriptions, des comptes actifs et des erreurs, qui ne contient aucun nom.
• Limitation du nombre de tentatives à la connexion et à l'inscription, et une limite de 30 jours sur l'ancienneté d'une mission que l'on peut encore cocher, pour qu'une erreur ou un abus ne puisse pas réécrire des mois d'historique.
• Une revue de sécurité écrite de l'ensemble du code source a été menée deux fois par un modèle extérieur, la dernière fois le 20 septembre 2026, et ses constats ont été corrigés.

Annexe IV. Sous-traitants ultérieurs

Les deux sont dans l'Union européenne. Il n'y a aucun sous-traitant ultérieur hors de l'UE, et aucun transfert international à évaluer.