Accord de Traitement des Données (DPA)
Annexe contractuelle de sous-traitance définissant les engagements stricts d'Edva quant à la sécurité et la confidentialité des données de votre établissement scolaire (démarche de conformité CNDP en cours).
Date d'entrée en vigueur : octobre 2026
1. Objet & Champ d'application
Le présent Accord de Traitement des Données (« DPA ») régit les conditions dans lesquelles Edva (« le Sous-traitant ») traite des données à caractère personnel pour le compte et sur instructions exclusives de l'établissement scolaire client (« le Responsable de Traitement »). Il s'applique à l'ensemble des données d'élèves, tuteurs, enseignants et personnels administrées via la plateforme.
2. Engagements & Instructions du Responsable de Traitement
L'établissement scolaire détermine seul les finalités et moyens du traitement des données scolaires. Edva s'engage expressément à : (a) Ne traiter les données personnelles que sur les instructions documentées de l'établissement ; (b) N'utiliser aucune donnée scolaire à des fins de profilage commercial, de publicité ou de revente ; (c) Garantir la stricte confidentialité des personnels autorisés ayant accès aux données.
3. Nature & Catégories des Données Scolaires
Le traitement porte sur : données d'état civil des élèves et tuteurs (nom, prénom, date de naissance, CIN tuteur, CNE/Massar), coordonnées (adresses, téléphones, emails), données de vie scolaire (classes, assiduité, relevés de notes) et suivi des règlements de scolarité. Ces données sont traitées pour la durée d'adhésion de l'école.
4. Mesures de Sécurité & Chiffrement
Edva met en œuvre des mesures techniques et organisationnelles conformes aux standards de l'industrie : chiffrement des données au repos (AES-256) et en transit (TLS 1.3), cloisonnement logique étanche des bases de données par établissement (multi-tenant isolation), politiques de mots de passe renforcées et sauvegardes redondantes quotidiennes.
5. Sous-traitants ultérieurs autorisés
Pour l'exécution de ses services SaaS, Edva fait appel à des prestataires d'infrastructure réputés garantissant des niveaux de sécurité élevés (hébergement cloud certifié ISO 27001 / SOC 2, routage d'emails transactionnels). Tout recours à un sous-traitant ultérieur fait l'objet d'engagements contractuels équivalents.
6. Notification des Incidents de Sécurité
En cas d'incident de sécurité avéré entraînant une violation de données personnelles, Edva s'engage à notifier l'établissement scolaire dans un délai maximal de 48 heures suivant sa prise de connaissance, en communiquant la nature de l'incident, les données impactées et les mesures correctives déployées.
7. Assistance à l'exercice des droits des titulaires
Edva fournit à l'établissement scolaire les fonctionnalités techniques permettant d'honorer sans délai les demandes d'exercice des droits formulées par les parents ou élèves (droit d'accès, de rectification, de portabilité ou d'effacement).
8. Restitution & Destruction des Données
Au terme de la relation contractuelle ou en cas de résiliation, l'établissement scolaire peut exporter l'intégralité de ses données (formats standardisés CSV/JSON/PDF). Edva procède ensuite à la purge définitive et irréversible des données de ses serveurs actifs dans un délai de 30 jours.
9. Droit applicable & Démarche CNDP (En cours)
Le présent accord s'inscrit dans le cadre du droit du Royaume du Maroc, notamment la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Les formalités de déclaration auprès de la CNDP et la finalisation de l'accord type DPA sont actuellement en cours.
Besoin d'un DPA signé pour votre conseil d'école ?
Notre équipe juridique vous transmet une version contresignée sous 24h.