Data Processing Agreement

Accord de Traitement des Données · Version 1.0 · Juillet 2026
Conformément au RGPD (Article 28) · COPPA 2026 · FERPA · PIPEDA Canada

ENTRE LES PARTIES

Le Responsable du traitement (ci-après "l'Établissement") :

• Nom de l'établissement : ___________________________
• Adresse : ___________________________
• Pays : ___________________________
• Représentant légal : ___________________________
• Email : ___________________________

Le Sous-traitant (ci-après "Nunya Academy") :

• Nunya Academy, Libreville, Gabon
• Email : support@nunya.academy
• Site : https://nunya.academy

1. Objet et durée

Le présent accord définit les conditions dans lesquelles Nunya Academy traite les données personnelles des élèves de l'Établissement dans le cadre de la fourniture de services éducatifs numériques.

La durée du présent accord correspond à la durée du contrat de service entre les parties.

2. Nature et finalité du traitement

2.1 Données traitées

• Prénom et nom des élèves
• Adresse email
• Date de naissance
• Niveau scolaire et classe
• Données de progression pédagogique (scores, leçons complétées)
• Interactions avec le tuteur IA Kodjo

2.2 Finalités autorisées

• Fourniture du service éducatif numérique
• Personnalisation du parcours d'apprentissage
• Génération de rapports de progression pour l'Établissement
• Support technique et assistance

2.3 Finalités strictement interdites

• Publicité ciblée ou marketing commercial
• Vente ou partage des données avec des tiers à des fins commerciales
• Création de profils comportementaux à des fins non éducatives
• Entraînement de modèles d'IA avec les données des élèves
• Toute utilisation non prévue dans le présent accord

3. Obligations de Nunya Academy

• Traiter les données uniquement sur instruction documentée de l'Établissement
• Garantir la confidentialité des données traitées
• Mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées
• Ne pas recruter de sous-traitants sans autorisation préalable de l'Établissement
• Notifier l'Établissement dans les 72 heures en cas de violation de données
• Supprimer ou restituer toutes les données à la fin du contrat
• Fournir toute information nécessaire pour démontrer le respect du présent accord
• Ne jamais utiliser les données des élèves pour entraîner des modèles d'IA

4. Obligations de l'Établissement

• S'assurer d'avoir les bases légales appropriées pour partager les données avec Nunya Academy
• Informer les élèves et leurs parents de l'utilisation de Nunya Academy
• Obtenir les consentements nécessaires conformément aux lois applicables
• Notifier Nunya Academy de toute modification affectant le traitement des données

5. Sous-traitants de Nunya Academy

Nunya Academy fait appel aux sous-traitants suivants, tous soumis à des obligations de confidentialité équivalentes :

• Supabase Inc. (USA/AWS Paris) — Hébergement base de données — conforme RGPD
• Vercel Inc. (USA) — Hébergement application — conforme RGPD
• Groq Inc. (USA) — Moteur IA Kodjo — données anonymisées, non utilisées pour entraînement
• Resend Inc. (USA) — Envoi d'emails transactionnels
• Cloudflare Inc. (USA) — Sécurité et performance — conforme RGPD

6. Transferts internationaux

Les données peuvent être transférées vers des pays tiers (USA notamment) via nos sous-traitants. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission Européenne et les mécanismes équivalents dans les autres pays.

7. Sécurité des données

Nunya Academy met en œuvre les mesures de sécurité suivantes :

• Chiffrement SSL/TLS de toutes les communications
• Chiffrement des données au repos
• Row Level Security (RLS) sur toutes les tables
• Authentification à deux facteurs (2FA) pour les administrateurs
• Mots de passe chiffrés avec bcrypt
• Headers de sécurité HTTP (CSP, HSTS, X-Frame-Options)
• Protection DDoS via Cloudflare
• Audit Logs Supabase

8. Durée de conservation et suppression

• Les données des élèves sont conservées pendant la durée du contrat + 3 mois
• À la résiliation, toutes les données sont supprimées dans un délai de 30 jours
• L'Établissement peut demander la suppression immédiate à tout moment
• Une attestation de suppression est fournie sur demande

9. Droits des personnes concernées

Nunya Academy s'engage à aider l'Établissement à répondre aux demandes d'exercice des droits des élèves et de leurs parents :

• Droit d'accès aux données
• Droit de rectification
• Droit à l'effacement
• Droit à la portabilité
• Droit d'opposition

Les demandes doivent être adressées à support@nunya.academy et sont traitées dans un délai de 30 jours.

10. Violations de données

En cas de violation de données personnelles, Nunya Academy s'engage à :

• Notifier l'Établissement dans les 72 heures suivant la découverte
• Fournir une description de la nature de la violation
• Indiquer les catégories et le nombre approximatif de personnes concernées
• Décrire les mesures prises pour remédier à la violation

11. Droit applicable

Le présent accord est régi par le droit gabonais, sans préjudice des dispositions impératives du RGPD européen, du PIPEDA canadien, et du COPPA américain applicables selon la localisation des élèves.