1. Objet et parties
Cet accord encadre les traitements de données personnelles que la SAS MINDLET (« Mindlet ») réalise pour le compte d’une organisation cliente (« le Client ») : établissement scolaire, organisme de formation, entreprise, association ou structure de suivi qui ouvre un espace sur Mindlet pour y suivre ses apprenants.
Il répond à l’article 28 du règlement (UE) 2016/679 (RGPD). Il fait partie des conditions générales d’utilisation et de vente et s’applique dès qu’une organisation crée son espace ou souscrit l’offre Cosmos. La personne qui crée l’espace l’accepte au nom du Client et déclare avoir le pouvoir de l’engager.
Identité de Mindlet : SAS MINDLET, SIREN 943 845 743, RCS Bastia, Hameau de Cateraggio, Lot Rumana, Entrée Lot 1, 20270 Aléria, France. Contact : support@mindlet.app.
2. Rôles
- Le Client est responsable du traitement pour le suivi de la formation de ses apprenants dans son espace : il en fixe la finalité et en choisit la base légale.
- Mindlet est sous-traitant pour ce suivi : il ne traite ces données que pour fournir le service au Client, sur ses instructions documentées.
- Mindlet reste responsable du traitement de ce qui ne relève pas du Client : le compte de chaque utilisateur, ses contenus personnels, ce qu’il fait en dehors de l’espace du Client, la facturation et la mesure d’audience de l’application. Ces traitements sont décrits dans la politique de confidentialité.
3. Description du traitement
| Nature | Hébergement, organisation, consultation, calcul d’indicateurs, envoi de notifications, suppression |
| Finalité | Permettre au Client de former ses apprenants et de suivre leur formation : groupes, objectifs, progression, lecture des supports, sondages, relances, dispositifs d’accompagnement, salle en direct, assistant du formateur |
| Personnes concernées | Apprenants, formateurs, administrateurs et observateurs de l’espace du Client ; personnes suivies par une structure de suivi |
| Catégories de données | Identité et compte (nom, adresse électronique, rôle, groupes) ; progression et activité sur les collections de l’espace ; gestes et temps de lecture des supports ; réponses aux sondages ; messages des formateurs ; réglages d’accessibilité ; dispositifs d’accompagnement (type de dispositif, besoins décrits en termes pédagogiques, aménagements, journal de suivi) ; journal des consultations |
| Données sensibles | Mindlet ne prévoit aucun champ pour un diagnostic, une pathologie ou un traitement. Le type d’un dispositif d’accompagnement (par exemple un PPS ou un PAI) peut toutefois, à lui seul, renseigner sur la santé d’un apprenant : il appartient au Client de disposer d’une base de l’article 9.2 du RGPD avant d’en ouvrir un |
| Durée | Celle de l’utilisation du service par le Client, puis la section 11 |
Le détail de chaque donnée, de qui la voit et de sa durée de conservation figure à la section 3.8 de la politique de confidentialité.
4. Instructions du Client
Mindlet traite les données sur les instructions documentées du Client. Ces instructions sont : le présent accord, les conditions générales, et les réglages que le Client choisit dans son espace (membres et rôles, groupes, périmètre des formateurs, objectifs, sondages, dispositifs).
Mindlet n’utilise pas ces données à d’autres fins, ne les vend pas et ne s’en sert pas pour entraîner des modèles d’intelligence artificielle. Si une instruction lui paraît contraire au RGPD ou au droit français, Mindlet en informe le Client.
Si le droit de l’Union ou le droit français oblige Mindlet à traiter ces données autrement, Mindlet en informe le Client avant le traitement, sauf si ce droit l’interdit.
5. Confidentialité
Les personnes que Mindlet autorise à traiter ces données sont soumises à une obligation de confidentialité, et n’y accèdent que dans la mesure nécessaire à la fourniture, à la maintenance et à la sécurité du service.
6. Sécurité
Mindlet met en œuvre les mesures suivantes (article 32 du RGPD) :
- chiffrement des échanges en transit ;
- cloisonnement des données par organisation : un membre n’accède qu’aux données de son espace, selon son rôle ;
- périmètre des formateurs, choisi par le Client : les apprenants de leurs groupes, ou tous ceux de l’organisation ; un observateur ne voit que des moyennes, jamais calculées sur moins de trois personnes ;
- journal des consultations : chaque ouverture nominative de la fiche d’un apprenant par un formateur, à l’écran ou par l’assistant, est enregistrée et lisible par l’apprenant ;
- sondages anonymes par défaut, sans aucun résultat sous trois répondants ; un sondage nominatif l’annonce à l’apprenant avant sa réponse ;
- temps de lecture mesuré par les serveurs, et non déclaré par l’appareil ;
- purge automatique : gestes de lecture après 90 jours, journal des consultations après 400 jours ;
- consentement tracé et limité dans le temps pour tout suivi par une structure de suivi.
7. Sous-traitants ultérieurs
Le Client autorise Mindlet à recourir aux sous-traitants ultérieurs suivants pour ce traitement :
| Sous-traitant | Ce qu’il fait | Localisation et garanties |
|---|---|---|
| Cloudflare, Inc. | Hébergement, base de données, stockage des fichiers, traitements asynchrones | États-Unis, réseau mondial ; Data Privacy Framework UE–États-Unis et, à défaut, clauses contractuelles types |
| Mistral AI SAS | Modèles d’IA : génération des supports, assistant (y compris l’assistant du formateur), transcription et synthèse de la voix | France |
| Qdrant Solutions GmbH | Index de recherche sémantique des contenus | Union européenne (Allemagne) |
| Plus Five Five, Inc. (Resend) | Envoi des courriers électroniques | États-Unis ; clauses contractuelles types et Data Privacy Framework UE–États-Unis |
| Apple et Google | Acheminement des notifications sur les appareils | Selon leurs propres conditions |
Mindlet impose à chacun des obligations de protection des données équivalentes à celles du présent accord, et reste responsable devant le Client de leur respect.
Mindlet informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur, en mettant à jour cette page et en prévenant le propriétaire de l’espace par courrier électronique avant que le changement ne prenne effet. Le Client peut s’y opposer pour un motif légitime en écrivant à support@mindlet.app ; s’il n’est pas trouvé de solution, il peut résilier son abonnement.
8. Transferts hors de l’Union européenne
Lorsque des données sont transférées hors de l’Espace économique européen, le transfert repose sur la décision d’adéquation relative au Data Privacy Framework UE–États-Unis pour les sous-traitants certifiés, ou sur les clauses contractuelles types de la Commission européenne.
9. Droits des personnes
Mindlet aide le Client à répondre aux demandes d’exercice des droits de ses apprenants (accès, rectification, effacement, limitation, opposition, portabilité). Lorsqu’une personne s’adresse directement à Mindlet au sujet des données de l’espace du Client, Mindlet transmet la demande au Client sans y répondre lui-même, sauf instruction contraire de sa part.
Le Client dispose dans son espace des outils suivants : liste et fiche de chaque membre, retrait d’un membre, export du suivi des membres au format CSV, suppression de l’organisation.
10. Violation de données
Mindlet notifie au Client toute violation de données personnelles concernant son espace sans délai excessif après en avoir pris connaissance, par courrier électronique au propriétaire de l’espace. La notification décrit, dans la mesure où ils sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées. Il revient au Client de notifier la CNIL et, le cas échéant, les personnes concernées.
11. Fin du traitement
À la fin de l’abonnement, l’espace du Client est verrouillé et ses données sont conservées, pour lui permettre de les récupérer ou de reprendre son abonnement. Le Client peut à tout moment exporter le suivi de ses membres puis supprimer l’organisation depuis son espace (Réglages, « Zone danger », « Supprimer l’organisation ») : ses groupes, objectifs, mesures de lecture, sondages, dispositifs et journaux sont alors effacés. Il peut aussi demander cette suppression à support@mindlet.app.
Les données qui relèvent du compte personnel de chaque utilisateur (section 2) ne sont pas effacées avec l’organisation : elles suivent la politique de confidentialité.
12. Analyse d’impact, audit et coopération
Mindlet fournit au Client les informations nécessaires pour démontrer le respect de l’article 28 et pour mener ses propres analyses d’impact. Un modèle d’analyse d’impact pour la mesure de l’écoute et de la lecture des supports est disponible sur demande à support@mindlet.app.
Mindlet permet la réalisation d’audits, y compris d’inspections, par le Client ou un auditeur qu’il mandate et qui est tenu au secret, avec un préavis raisonnable et sans perturber le service. Mindlet coopère avec la CNIL à sa demande.
13. Obligations du Client
Le Client s’engage à :
- disposer d’une base légale pour le suivi de ses apprenants, et, pour un dispositif d’accompagnement qui peut révéler la santé d’un apprenant, d’une base de l’article 9.2 du RGPD ;
- informer ses apprenants, et en entreprise ses salariés et le comité social et économique avant la mise en œuvre, de ce suivi et de ses finalités ;
- inscrire ce traitement à son registre et mener l’analyse d’impact nécessaire, notamment lorsqu’il suit des mineurs ou mesure la lecture des supports ;
- choisir le périmètre de ses formateurs en connaissance de cause, et ne pas utiliser la mesure de lecture pour noter ou sanctionner un apprenant ;
- ne donner un rôle de formateur ou d’administrateur qu’à des personnes habilitées.
14. Durée et modification
Cet accord produit ses effets tant que Mindlet traite des données pour le compte du Client. Mindlet peut le modifier pour suivre l’évolution du service ou du droit ; la date de dernière mise à jour figure en haut de cette page. Un changement qui réduit la protection des données n’est appliqué qu’après en avoir informé le Client.