Traitement des données à caractère personnel

Ce texte est l'Annexe 3 du contrat d'abonnement téo. Version 2026-10, publiée le 8 octobre 2026. Il s'applique aux contrats qui y renvoient et aux Abonnés qui l'acceptent ; les autres contrats restent régis par leur Annexe 3 jusqu'à leur mise à jour.

Les termes définis dans le règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») s'entendent au sens de ce règlement.

La présente Annexe est lue et interprétée à la lumière du RGPD. Elle ne peut être interprétée d'une manière contraire aux droits et obligations prévus par le RGPD ou d'une manière qui porte atteinte aux libertés et droits fondamentaux des Personnes concernées.

I. Traitements opérés par IKNO en qualité de responsable de traitement

1.1. Pour l'exécution des Abonnements, IKNO traite des données à caractère personnel relatives aux dirigeants, collaborateurs et préposés de ses Abonnés et aux Utilisateurs. IKNO agit pour ces traitements en qualité de responsable de traitement (art. 4.7 RGPD).

1.2. Ces traitements reposent sur :

• l'exécution du Contrat ou de mesures précontractuelles : exécution des Abonnements et commandes, gestion des comptes, assistance (téo assistance), recouvrement ;
• l'intérêt légitime d'IKNO : prospection et animation commerciale, gestion de la relation client, organisation d'événements, sécurité de la plateforme, mesure d'usage des services ;
• le respect d'obligations légales : facturation, comptabilité.

1.3. Les données sont conservées pendant la durée de la relation contractuelle augmentée de trois (3) ans à des fins d'animation et de prospection, sans préjudice des obligations légales de conservation et des délais de prescription. Les pièces comptables sont conservées dix (10) ans à compter de la clôture de l'exercice.

1.4. Les données sont destinées au personnel habilité d'IKNO et à ses sous-traitants. Leur liste, leur localisation et les garanties encadrant d'éventuels transferts hors de l'Union européenne figurent dans la politique de confidentialité d'IKNO (teo-lesite.com/privacy).

1.5. Les Personnes concernées disposent des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (art. 15 à 21 RGPD), qu'elles exercent auprès d'IKNO à l'adresse rgpd@ikno.fr.

1.6. Toute Personne concernée peut introduire une réclamation auprès de la CNIL.

II. Traitements opérés par IKNO pour le compte de l'Abonné au moyen de la plateforme téo

2.1. Objet

2.1.1. Le présent chapitre constitue le contrat prévu à l'article 28, paragraphes 3 et 4, du RGPD. Il s'inspire des clauses contractuelles types de la décision d'exécution (UE) 2021/915 de la Commission du 4 juin 2021.

2.1.2. Pour la fourniture de la plateforme téo, IKNO traite, pour le compte de l'Abonné, des données à caractère personnel relatives :

• aux Utilisateurs : personnes habilitées par l'Abonné à accéder à téo ;
• aux Bénéficiaires : personnes physiques dont l'Abonné gère le dossier ou le parcours dans téo (stagiaires, apprenants, candidats, salariés accompagnés) ;
• aux contacts de l'Abonné enregistrés dans téo (financeurs, entreprises, prescripteurs) ;

ci-après les « Personnes concernées ».

2.1.3. Pour ces traitements, l'Abonné est responsable de traitement (art. 4.7 RGPD) et IKNO est sous-traitant (art. 4.8 RGPD).

2.1.4. IKNO et l'Abonné s'engagent à respecter le RGPD, la loi n° 78-17 du 6 janvier 1978 et toute autre disposition applicable pendant la durée de l'Abonnement, et s'assistent mutuellement pour démontrer ce respect.

2.2. Contact

Contact protection des données d'IKNO : rgpd@ikno.fr.

L'Abonné communique à IKNO, à l'adresse rgpd@ikno.fr, les coordonnées de son contact en matière de protection des données et, le cas échéant, de son délégué à la protection des données. Ces coordonnées sont utilisées pour les notifications prévues par la présente Annexe. À défaut, les notifications sont adressées au signataire du Contrat et aux administrateurs du compte téo de l'Abonné.

2.3. Finalité

Les traitements ont pour seule finalité la fourniture à l'Abonné de la plateforme téo et des services associés prévus au Contrat.

2.4. Description des traitements

2.4.1. Nature des opérations. Hébergement, stockage et sauvegarde ; structuration des dossiers et parcours ; consultation et modification par les Utilisateurs ; envoi d'emails et de SMS ; signature électronique des documents ; génération de réponses par l'Assistant téo et de contenus par flo, et journalisation de ces échanges ; assistance technique à la demande de l'Abonné ; supervision des erreurs, mesure d'usage et enregistrement des sessions d'utilisation pour le diagnostic et l'amélioration du service ; export, anonymisation et suppression sur instruction.

2.4.2. Données traitées. Données nécessaires au fonctionnement de téo : nom, prénom, adresse email, adresse IP et données de connexion. Autres données que l'Abonné choisit de saisir selon son paramétrage : état civil et coordonnées, identifiants administratifs, situation professionnelle et personnelle, formation, diplômes, rémunération, documents déposés, champs personnalisés, textes libres, dont les questions posées à l'Assistant téo.

2.4.3. Données sensibles. La reconnaissance de la qualité de travailleur handicapé (RQTH) est une donnée concernant la santé (art. 9 RGPD). Sa saisie est facultative. L'Abonné détermine la condition de l'article 9.2 qui l'autorise. Garanties appliquées : accès limité aux Utilisateurs habilités, chiffrement, journalisation des accès.

2.4.4. Assistant téo. L'Assistant téo est une fonctionnalité intégrée au service, accessible à tous les Utilisateurs et non désactivable ; son volume d'usage est limité sans l'option correspondante. Il repose sur un modèle d'intelligence artificielle proposé par Google Vertex AI, choisi par IKNO et susceptible d'évoluer, appelé dans l'Union européenne, sans entraînement du modèle sur les données. Les conversations sont journalisées (Langfuse, région UE) et conservées trente (30) jours au plus, avec un accès limité à l'équipe produit d'IKNO, pour le suivi de la qualité des réponses.

2.4.5. flo. flo génère des contenus à partir des données d'un dossier et des réponses aux formulaires, sur instruction de l'Utilisateur. Il repose sur un modèle d'intelligence artificielle proposé par Google Vertex AI, choisi par IKNO et susceptible d'évoluer, appelé dans l'Union européenne, sans entraînement du modèle sur les données. Les générations (données transmises et contenu produit) sont journalisées (Langfuse, région UE) et conservées trente (30) jours au plus, avec un accès limité à l'équipe produit d'IKNO, pour le suivi de la qualité des contenus.

2.5. Destinataires

Les données peuvent être communiquées :

• au personnel habilité d'IKNO ;
• aux sous-traitants ultérieurs mentionnés à l'article 2.12.

IKNO vérifie que chaque destinataire présente des garanties de sécurité et de confidentialité appropriées.

2.6. Durée

Les traitements sont réalisés pendant la durée de l'Abonnement, puis jusqu'à la suppression prévue à l'article 2.17. Pendant l'Abonnement, l'Abonné applique ses propres durées de conservation au moyen des fonctions de téo.

2.7. Obligations générales d'IKNO

IKNO garantit disposer des compétences techniques et organisationnelles nécessaires à l'exécution des traitements qui lui sont confiés. IKNO s'engage à :

• traiter les données uniquement pour la finalité prévue à l'article 2.3 ;
• ne faire aucun usage des données, notamment commercial, pour son propre compte ou celui de tiers ;
• appliquer les principes de protection des données dès la conception et par défaut à ses outils et services ;
• veiller à ce que les personnes autorisées à traiter les données s'engagent à respecter leur confidentialité ou soient soumises à une obligation légale de confidentialité, et reçoivent la formation nécessaire ;
• informer sans délai l'Abonné de tout événement affectant le traitement des données.

2.8. Instructions

2.8.1. IKNO ne traite les données que sur instruction documentée de l'Abonné, y compris en ce qui concerne les transferts vers un pays tiers, à moins d'y être tenue par le droit de l'Union ou le droit français. Dans ce cas, IKNO informe l'Abonné de cette obligation avant le traitement, sauf si la loi l'interdit pour des motifs importants d'intérêt public.

2.8.2. Constituent les instructions de l'Abonné : le Contrat, la présente Annexe, le paramétrage de téo par l'Abonné et toute instruction ultérieure documentée, que l'Abonné peut donner pendant toute la durée du traitement.

2.8.3. IKNO informe immédiatement l'Abonné si, selon elle, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit français relatives à la protection des données.

2.9. Sécurité

2.9.1. IKNO met en œuvre les mesures techniques et organisationnelles permettant d'assurer, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les Personnes concernées, un niveau de sécurité approprié. Ces mesures comprennent la protection contre toute violation de données à caractère personnel.

2.9.2. IKNO s'engage notamment à :

• séparer logiquement les données de l'Abonné de ses propres données et de celles de ses autres clients ;
• n'accorder l'accès aux données qu'aux membres de son personnel et aux Utilisateurs de l'Abonné habilités, dans la stricte limite de ce qui est nécessaire à leurs fonctions ;
• conserver les traces des accès aux données et maintenir une piste d'audit des traitements.

2.9.3. Les mesures en vigueur comprennent :

• hébergement Google Cloud, région europe-west1 (Belgique) ;
• chiffrement des données au repos (AES-256) et en transit (TLS 1.2 minimum) ;
• contrôle d'accès par rôle et moindre privilège pour le personnel d'IKNO ;
• mots de passe des Utilisateurs de huit (8) caractères minimum comprenant majuscule, minuscule, chiffre et caractère spécial, hachés (bcrypt) et contrôlés contre les bases de mots de passe compromis ; blocage temporaire après cinq (5) échecs ; double authentification disponible (application ou email) ;
• journalisation des accès, conservée cent quatre-vingts (180) jours ;
• sauvegardes quotidiennes chiffrées, conservées quinze (15) jours, avec restauration testée ;
• protection réseau (anti-déni de service, pare-feu applicatif).

Le détail est publié sur la page « Sécurité et hébergement » du centre d'aide téo. IKNO peut faire évoluer ces mesures sans réduire le niveau de sécurité.

2.10. Documentation et conformité

2.10.1. IKNO traite de manière rapide et adéquate les demandes de l'Abonné relatives au traitement des données.

2.10.2. IKNO met à la disposition de l'Abonné les informations et la documentation nécessaires pour démontrer le respect de ses obligations. IKNO met ces informations, y compris les résultats de tout audit, à la disposition de l'autorité de contrôle compétente sur sa demande.

2.11. Audit

2.11.1. L'Abonné peut réaliser un audit, y compris une inspection, pendant l'exécution du Contrat ou à son issue, directement ou par un auditeur indépendant, non concurrent d'IKNO et tenu au secret, afin de vérifier le respect des obligations de la présente Annexe.

2.11.2. L'Abonné notifie à IKNO, au moins deux (2) mois à l'avance, la date de l'audit, son périmètre et l'identité des auditeurs. IKNO ne peut refuser un auditeur que pour un motif légitime ; les Parties conviennent alors d'un autre auditeur.

2.11.3. Les audits sont limités à un (1) par an, sauf violation de données affectant l'Abonné ou demande d'une autorité de contrôle. Les frais de l'audit sont à la charge de l'Abonné.

2.11.4. IKNO collabore de bonne foi avec l'auditeur, lui communique les informations et documents nécessaires et lui donne accès aux sites, outils et moyens utilisés pour les traitements, dans le respect de la confidentialité des données de ses autres clients et de la sécurité de ses systèmes.

2.11.5. Si l'audit révèle un manquement, IKNO met en œuvre à ses frais les mesures correctives nécessaires dans un délai de quatre-vingt-dix (90) jours à compter de sa notification et en justifie par écrit.

2.12. Sous-traitants ultérieurs

2.12.1. L'Abonné donne à IKNO une autorisation générale de recourir aux sous-traitants ultérieurs figurant sur la page « Sous-traitants ultérieurs » du centre d'aide téo, qui indique pour chacun l'activité, la localisation des données et les garanties applicables aux transferts.

2.12.2. IKNO informe l'Abonné de tout ajout ou remplacement d'un sous-traitant ultérieur au moins quinze (15) jours avant sa mise en œuvre, par email aux contacts prévus à l'article 2.2, et met à jour la page « Sous-traitants ultérieurs ». L'Abonné peut s'y opposer par écrit pendant ce délai. À défaut d'accord, il peut résilier le Contrat par dérogation au préavis de trois mois ; la résiliation prend effet au plus tard à la date de mise en œuvre du changement. Tout mois commencé reste dû.

2.12.3. IKNO impose à chaque sous-traitant ultérieur, par contrat, en substance les mêmes obligations en matière de protection des données que celles de la présente Annexe, et s'assure qu'il présente des garanties suffisantes quant aux mesures techniques et organisationnelles appropriées.

2.12.4. À la demande de l'Abonné, IKNO lui fournit une copie de ce contrat et de ses modifications, le cas échéant expurgée des secrets d'affaires et autres informations confidentielles.

2.12.5. IKNO demeure pleinement responsable envers l'Abonné de l'exécution des obligations du sous-traitant ultérieur et informe l'Abonné de tout manquement de celui-ci à ses obligations contractuelles.

2.12.6. IKNO convient avec chaque sous-traitant ultérieur d'une clause de tiers bénéficiaire selon laquelle, si IKNO a matériellement disparu, a cessé d'exister en droit ou est devenue insolvable, l'Abonné peut résilier le contrat conclu avec ce sous-traitant ultérieur et lui donner instruction d'effacer ou de restituer les données.

2.12.7. Les services tiers que l'Abonné active lui-même dans téo (intégrations, connecteurs, API) sont mis en œuvre sur son instruction.

2.13. Transferts hors de l'Union européenne

2.13.1. Les données de l'Abonné sont hébergées dans l'Union européenne.

2.13.2. Tout transfert de données vers un pays tiers ou une organisation internationale n'est effectué que sur instruction documentée de l'Abonné, constituée notamment par l'autorisation prévue à l'article 2.12, ou pour satisfaire à une exigence du droit de l'Union ou du droit français, et conformément au chapitre V du RGPD.

2.13.3. Certains sous-traitants ultérieurs appartiennent à des groupes établis hors de l'Union européenne ou y réalisent des opérations limitées (assistance, métadonnées de compte). Ces transferts sont indiqués sur la page « Sous-traitants ultérieurs » et encadrés par une décision d'adéquation, dont le cadre de protection des données UE–États-Unis (Data Privacy Framework), ou par les clauses contractuelles types de la décision d'exécution (UE) 2021/914, conclues entre IKNO et le sous-traitant ultérieur, complétées le cas échéant par des mesures supplémentaires.

2.14. Droits des Personnes concernées

2.14.1. Il appartient à l'Abonné d'informer les Personnes concernées au moment de la collecte de leurs données (art. 13 et 14 RGPD).

2.14.2. IKNO transmet à l'Abonné, dès réception, toute demande d'exercice de droits qu'elle reçoit d'une Personne concernée, à l'adresse déclarée par l'Abonné. Elle n'y donne pas suite elle-même, sauf autorisation de l'Abonné.

2.14.3. Compte tenu de la nature du traitement, IKNO aide l'Abonné, notamment au moyen des fonctions de téo (consultation, rectification, export, suppression), à répondre aux demandes d'exercice des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi qu'au droit de ne pas faire l'objet d'une décision automatisée.

2.15. Violations de données à caractère personnel

2.15.1. Violation concernant des données traitées par IKNO. IKNO notifie à l'Abonné toute violation de données à caractère personnel le concernant dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, par email aux contacts prévus à l'article 2.2. La notification contient au moins :

• la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de Personnes concernées et d'enregistrements concernés ;
• les coordonnées d'un point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• ses conséquences probables et les mesures prises ou proposées pour y remédier, y compris pour en atténuer les éventuelles conséquences négatives.

Lorsqu'il n'est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles, complétées ensuite dans les meilleurs délais.

2.15.2. Assistance à l'Abonné. IKNO coopère avec l'Abonné et lui prête assistance, compte tenu de la nature du traitement et des informations dont elle dispose, pour :

• notifier la violation à l'autorité de contrôle compétente dans les meilleurs délais, sauf si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques (art. 33 RGPD) ;
• réunir les informations devant figurer dans cette notification (art. 33.3 RGPD) ;
• communiquer la violation aux Personnes concernées lorsqu'elle est susceptible d'engendrer un risque élevé pour leurs droits et libertés (art. 34 RGPD).

2.16. Assistance à l'Abonné

IKNO aide l'Abonné, compte tenu de la nature du traitement et des informations dont elle dispose, à respecter :

• l'obligation de réaliser une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé (art. 35 RGPD) ;
• l'obligation de consulter l'autorité de contrôle préalablement au traitement lorsque l'analyse d'impact indique un risque élevé en l'absence de mesures d'atténuation (art. 36 RGPD) ;
• l'obligation de veiller à l'exactitude des données, en informant sans délai l'Abonné si IKNO apprend que des données sont inexactes ou obsolètes ;
• les obligations de sécurité de l'article 32 du RGPD.

2.17. Sort des données en fin de Contrat

2.17.1. Pendant trente (30) jours après la fin du Contrat, l'Abonné peut demander l'export de ses données ; cette prestation est facturée sur devis.

2.17.2. Au terme de ce délai, IKNO supprime les données de l'Abonné de ses systèmes de production ; elles disparaissent des sauvegardes dans les quinze (15) jours suivants. IKNO atteste par écrit de la suppression sur demande de l'Abonné.

2.17.3. Restent conservés, à moins que le droit de l'Union ou le droit français n'impose une durée différente :

• les journaux de connexion, pendant cent quatre-vingts (180) jours ;
• les copies des documents signés et les données de traçabilité de la signature électronique, conservées par le prestataire de signature pendant un (1) an après la signature.

2.18. Registre

IKNO tient un registre des catégories d'activités de traitement effectuées pour le compte de l'Abonné (art. 30.2 RGPD), qu'elle met à la disposition de l'autorité de contrôle sur demande.

2.19. Obligations de l'Abonné

2.19.1. L'Abonné respecte ses obligations de responsable de traitement.

2.19.2. L'Abonné documente par écrit toute instruction relative au traitement des données par IKNO.

2.19.3. L'Abonné dispose d'une base légale pour chaque traitement réalisé dans téo, informe les Personnes concernées (art. 13 et 14 RGPD) et détermine la condition de l'article 9.2 du RGPD applicable aux données sensibles qu'il saisit.

2.19.4. L'Abonné tient à jour auprès d'IKNO les coordonnées prévues à l'article 2.2.

III. Dispositions finales

3.1. Primauté

En cas de contradiction entre la présente Annexe et toute autre stipulation du Contrat, la présente Annexe prévaut pour ce qui concerne la protection des données à caractère personnel.

3.2. Mise à jour

3.2.1. IKNO peut mettre à jour la présente Annexe pour tenir compte d'une évolution de la réglementation, des recommandations d'une autorité de contrôle, de ses sous-traitants ultérieurs ou des mesures de sécurité. Une mise à jour ne peut pas réduire le niveau de protection des données prévu par la présente Annexe.

3.2.2. La nouvelle version est notifiée à l'Abonné par email aux contacts prévus à l'article 2.2 et publiée sur le centre d'aide téo au moins trente (30) jours avant son entrée en vigueur. Le changement de sous-traitant ultérieur suit le délai de l'article 2.12.2.

3.2.3. L'Abonné qui refuse la nouvelle version peut résilier le Contrat par dérogation au préavis de trois mois ; la résiliation prend effet au plus tard à la date d'entrée en vigueur de la nouvelle version. Tout mois commencé reste dû. À défaut de résiliation à cette date, la nouvelle version s'applique.

Historique

Version	Date	Changement
2026-10	8 octobre 2026	Description des traitements (Assistant téo, RQTH) ; transferts ; liste des sous-traitants ultérieurs publiée ; mesures de sécurité ; violation sous 72 h ; audit ; fin de contrat ; contact protection des données.
2021-06	2021-06	Version initiale.