Sous-traitance

Version du 13 septembre 2026. Ce document est un premier jet et doit être relu par un conseil juridique avant toute mise en ligne définitive.

Cette annexe fait partie intégrante des conditions générales et est acceptée par le même consentement. Elle règle les traitements que Formarium effectue pour le compte de son client, au sens de l'article 28 du règlement général sur la protection des données.

1. Rôles

Le client — formateur ou organisme de formation — est responsable du traitement des données de ses participants. Il décide des finalités, des personnes inscrites et de la durée de conservation utile.

HCM Informatique SNC, Jodenville 31, 6640 Sibret, Belgique, numéro d'entreprise BE 0849.027.043, est sous-traitant. Elle ne traite ces données que sur instruction documentée du client, l'usage du service valant instruction.

Cette annexe ne couvre pas les données du client lui-même — compte, facturation, assistance — pour lesquelles Formarium est responsable du traitement, ni les données traitées par Stripe pour l'encaissement, Stripe agissant en qualité de responsable distinct.

2. Objet et durée

L'objet est la fourniture du service décrit aux conditions générales. Le traitement dure aussi longtemps que le contrat, puis pendant la période de restitution prévue à l'article 10.

3. Nature des traitements et personnes concernées

Les opérations sont la collecte, l'enregistrement, la conservation, la consultation, l'organisation et l'effacement, aux fins de gestion des inscriptions et d'envoi des courriels liés à une réservation.

Les personnes concernées sont les participants aux formations du client, ainsi que les membres de son organisation.

Les catégories de données sont : nom, adresse e-mail, session réservée, statut et montant de l'inscription, identifiants techniques du paiement. Aucune catégorie particulière au sens de l'article 9 n'est traitée ; le client s'interdit d'en encoder dans les champs libres.

4. Instructions documentées (art. 28(3) a)

Formarium ne traite les données que sur instruction documentée du client, y compris pour les transferts hors Union européenne. Si une obligation légale lui impose un traitement, elle en informe le client au préalable, sauf interdiction légale de le faire.

Formarium informe le client si une instruction lui paraît constituer une violation du règlement.

5. Confidentialité (art. 28(3) b)

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de leur mission.

6. Sécurité (art. 28(3) c)

Formarium met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des échanges en transit, chiffrement au repos par les hébergeurs, contrôle d'accès par organisation vérifié côté serveur, authentification par mot de passe condensé ou par code à usage unique, et séparation stricte des environnements de développement et de production — aucune donnée réelle ne figure en développement.

6.1 Accès du personnel de l'éditeur

Le personnel technique habilité de HCM Informatique SNC peut accéder aux données d'une organisation cliente sans en être membre, pour les seules finalités suivantes : répondre à une demande d'assistance du client, diagnostiquer un incident technique, et satisfaire une obligation légale. Cet accès ne sert jamais à une autre finalité, et notamment pas à une exploitation commerciale des données.

Ces accès sont journalisés. Le journal enregistre l'identité de la personne, l'organisation concernée, la date et l'heure, et distingue une consultation d'une modification. Le client peut en obtenir l'extrait le concernant sur simple demande à contact@formarium.be.

Deux limites de ce journal sont précisées ici plutôt que laissées à l'interprétation. Une consultation est enregistrée à l'ouverture de l'organisation et couvre la visite entière, sans détailler chaque écran. Le journal ne couvre pas les opérations d'administration de la base de données elle-même, qui relèvent de l'exploitation de l'infrastructure et sont tracées par l'hébergeur.

7. Sous-traitants ultérieurs (art. 28(3) d et 28(2))

Le client autorise Formarium à recourir aux sous-traitants ultérieurs listés à l'article 12. Formarium leur impose par contrat des obligations équivalentes à celles de la présente annexe et demeure pleinement responsable de leur exécution.

Formarium informe le client de tout ajout ou remplacement au moins trente jours avant sa prise d'effet, par courriel à l'adresse du compte. Le client peut s'y opposer par écrit et motiver son opposition durant ce délai ; à défaut d'accord, il peut résilier sans frais la part du service concernée.

8. Assistance aux droits des personnes (art. 28(3) e)

Formarium assiste le client, par des mesures appropriées, pour répondre aux demandes d'exercice de droits des participants.

En pratique, le client agit lui-même depuis son espace pour consulter et corriger une inscription. Les autres demandes — effacement définitif d'une inscription, extraction dans un format lisible par machine — sont traitées manuellement par Formarium sur demande à contact@formarium.be, le service ne proposant pas encore ces opérations en libre-service. Formarium s'y engage dans un délai permettant au client de tenir le sien.

9. Assistance aux obligations du responsable (art. 28(3) f)

Formarium assiste le client pour la sécurité des traitements, la notification des violations de données et, le cas échéant, l'analyse d'impact, compte tenu de la nature du traitement et des informations dont elle dispose.

Formarium notifie au client toute violation de données affectant ses participants dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, en précisant sa nature, ses conséquences probables et les mesures prises.

10. Sort des données en fin de contrat (art. 28(3) g)

Au terme du contrat, Formarium conserve les données trente jours. Durant ce délai, le client peut demander leur restitution dans un format lisible par machine, fournie manuellement. À l'expiration, les données sont supprimées, sauf obligation légale de conservation.

11. Audit (art. 28(3) h)

Formarium met à disposition du client les informations nécessaires pour démontrer le respect des obligations du présent article, et permet la réalisation d'audits, y compris d'inspections, par le client ou un auditeur qu'il mandate.

Ces audits ont lieu au maximum une fois par an, sauf incident de sécurité, sur préavis raisonnable, pendant les heures ouvrables, et sans perturber le service. Les frais sont à charge du client, sauf si l'audit révèle un manquement substantiel.

12. Liste des sous-traitants ultérieurs

Les données de base et les courriels sont traités dans l'Union européenne. Pour les prestataires établis hors de l'Union, les transferts éventuels sont encadrés par les clauses contractuelles types de la Commission européenne ou par un mécanisme équivalent prévu au chapitre V du règlement.

Stripe agit en qualité de responsable du traitement distinct pour les données de paiement qu'il collecte directement auprès des participants, conformément à sa propre politique.