Dans le cadre du contrat de service SaaS (devis réf. 2026-TIV-SYR-003), BUBAPP met à disposition et héberge l'application SyRes (système de réservation de salles et matériels pédagogiques) pour le compte de l'Établissement Saint-Joseph de Tivoli. À ce titre, BUBAPP est amené à traiter des données à caractère personnel pour le compte du Responsable, au sens de l'article 4(8) du RGPD.
La présente convention définit les conditions dans lesquelles le Sous-traitant s'engage à effectuer ces traitements pour le compte du Responsable, conformément à l'article 28(3) du RGPD.
| Paramètre | Description |
|---|---|
| Nature du traitement | Hébergement, développement, maintenance et exploitation de l'application SyRes (modèle SaaS) |
| Finalité | Gestion des réservations de salles et matériels ; gestion des comptes du personnel ; suivi des passages élèves en salle CTP-info ; journal d'audit ; authentification commune aux applications PiloTiv', ADAPTIV' et créaTiv' de l'établissement (vérification des identifiants par SyRes, sans copie des mots de passe ni accès de ces applications à la base) ; transmission à créaTiv' de l'annuaire du personnel actif (nom, prénom, e-mail) |
| Catégories de données |
Données d'identification du personnel (nom, prénom, e-mail professionnel, mot de passe hashé bcrypt, rôle applicatif) ; Données de réservation (intitulé, description, dates/horaires, statut) ; Données d'élèves (nom, prénom, classe — mineurs) ; Données de présence (présent/absent, travail réalisé — module CTP) ; Identifiants et adresses IP des tentatives de connexion échouées (anti-force brute, 24 h maximum) ; Journal d'audit (action, utilisateur, IP, horodatage) |
| Catégories de personnes | Personnel enseignant et non-enseignant de l'établissement ; élèves mineurs (module CTP-info) |
| Durée du traitement | Durée du contrat de service, conformément aux durées de conservation définies dans la politique de confidentialité de l'application |
BUBAPP traite les données à caractère personnel uniquement sur instruction documentée du Responsable. Le contrat de service SaaS et la présente convention constituent les instructions initiales. BUBAPP informera sans délai le Responsable si une instruction lui semble contraire au RGPD ou à toute disposition légale applicable.
BUBAPP s'assure que les personnes autorisées à traiter les données personnelles sont soumises à une obligation de confidentialité appropriée et ont été sensibilisées aux exigences du RGPD. Cette obligation de confidentialité survit à la cessation du contrat.
BUBAPP met en œuvre et maintient les mesures techniques et organisationnelles suivantes :
| Mesure | Description | Statut |
|---|---|---|
| Chiffrement en transit | HTTPS (TLS 1.2+) forcé en production via .htaccess | ✓ Actif |
| Hashage des mots de passe | bcrypt (PASSWORD_BCRYPT) — irréversible | ✓ Actif |
| Protection CSRF | Tokens aléatoires (bin2hex 32 octets + hash_equals) sur tous les formulaires POST | ✓ Actif |
| Sessions sécurisées | HttpOnly, SameSite=Strict, regenerate_id après connexion, durée 8h | ✓ Actif |
| Rate limiting | Blocage d'un identifiant après 5 tentatives échouées sur 15 min glissantes ; plafond par adresse IP contre le balayage automatisé | ✓ Actif |
| Contrôle d'accès | Authentification obligatoire, rôles admin/superviseur/utilisateur, APIs protégées | ✓ Actif |
| Tokens de reset MDP | SHA-256 stocké en base, expiration 2h, supprimé à l'utilisation | ✓ Actif |
| Sauvegardes | Sauvegardes quotidiennes OVH conservées 31 jours (France) ; export hebdomadaire chiffré (AES-256-GCM, clé RSA 4096) conservé hors OVH par BUBAPP sur 12 semaines ; restauration testée | ✓ Actif |
| Applications reliées | PiloTiv', ADAPTIV' et créaTiv' n'accèdent pas à la base : elles interrogent SyRes par une porte sécurisée (HTTPS, clé propre à chaque application), qui applique la limitation des tentatives et le journal d'audit | ✓ Actif |
| Environnement de développement | Poste de développement BUBAPP alimenté uniquement par une copie anonymisée de la base (aucune donnée personnelle réelle) | ✓ Actif |
| Chiffrement au repos | Données hébergées sur serveur OVH France (chiffrement au niveau infrastructure OVH) | △ Infrastructure OVH |
BUBAPP s'engage à maintenir ces mesures à jour et à en informer le Responsable en cas de changement significatif.
Le Responsable autorise expressément le recours au sous-traitant ultérieur suivant :
| Sous-traitant ultérieur | Rôle | Localisation des données |
|---|---|---|
| OVH SAS 2 rue Kellermann, 59100 Roubaix, France |
Hébergement web mutualisé (infrastructure partagée, clients isolés par OVH), base de données MySQL, nom de domaine, certificat SSL, sauvegardes quotidiennes | France (Gravelines) — aucun transfert hors UE |
BUBAPP informera le Responsable de tout changement de sous-traitant ultérieur avec un préavis minimum de 30 jours, permettant au Responsable de s'y opposer avant la prise d'effet du changement. BUBAPP impose à tout sous-traitant ultérieur les mêmes obligations de protection des données que celles prévues dans la présente convention.
BUBAPP met à disposition du Responsable les outils techniques nécessaires pour satisfaire les demandes d'exercice des droits des personnes concernées :
Pour toute demande nécessitant une intervention technique hors périmètre des outils ci-dessus, BUBAPP assiste le Responsable dans un délai de 5 jours ouvrés.
La notification adressée au Responsable comprend au minimum :
Canal de notification : bubapp.contact@gmail.com · Contact urgent : voir exemplaire signé
Si toutes les informations ne sont pas disponibles dans ce délai, BUBAPP transmet une notification partielle initiale et complète sa communication par étapes successives, sans retard injustifié.
Compte tenu de la nature du traitement et des informations à sa disposition, BUBAPP aide le Responsable à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, notamment en matière de :
À la résiliation ou à l'expiration du contrat de service, BUBAPP s'engage à :
BUBAPP met à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d'audits, y compris des inspections. BUBAPP informera immédiatement le Responsable si, à son avis, une instruction constitue une violation du RGPD ou de toute disposition applicable en matière de protection des données.
BUBAPP tient son propre registre des activités de traitement effectuées pour le compte du Responsable, conformément à l'article 30(2) du RGPD.
La présente convention prend effet à la date de signature et reste en vigueur pendant toute la durée du contrat de service SaaS (devis réf. 2026-TIV-SYR-003), renouvelable tacitement dans les mêmes conditions que ce contrat.
En cas de résiliation du contrat de service, les dispositions relatives à la restitution et à la suppression des données (§ 2.8) ainsi que les obligations de confidentialité (§ 2.2) continuent de s'appliquer jusqu'à leur exécution complète.
LE SOUS-TRAITANT — BUBAPP
LE RESPONSABLE DU TRAITEMENT — TIVOLI
Convention établie en deux exemplaires originaux, un pour chaque partie. · Référence contrat : 2026-TIV-SYR-003 · Version 1.2 — Octobre 2026