Contrat de sous-traitance

Article 28 du RGPD · Version 2026-08-23

Modèle de contrat applicable à toute assistante maternelle ou tout assistant maternel utilisant Calibulle ; il vous engage à son acceptation dans votre espace.

Pourquoi ce document existe

Quand vous enregistrez des informations sur un enfant que vous accueillez, c’est vous qui décidez lesquelles, pourquoi, et combien de temps les conserver. Vous êtes responsable de traitement au sens du RGPD.

Calibulle ne fait que fournir l’outil et exécuter vos instructions : le service est votre sous-traitant. L’article 28 du RGPD impose que cette relation soit encadrée par un contrat écrit. C’est ce document.

Il ne concerne pas les données de votre propre compte (identifiants, journaux de connexion, abonnement) : pour celles-là, Calibulle est responsable de traitement, et c’est la politique de confidentialité qui s’applique.

1. Objet et durée

Calibulle traite pour votre compte les données que vous saisissez dans votre espace, aux seules fins de vous fournir les fonctionnalités du service. Le traitement dure aussi longtemps que votre compte est actif, et prend fin selon les modalités de l’article 8.

2. Nature et finalité du traitement

Calibulle traite vos données dans le seul but de faire fonctionner le service que vous utilisez. Concrètement, cela consiste à héberger et conserver vos données, à les organiser et les afficher dans votre espace, à les mettre à disposition des parents que vous invitez, à générer les documents (contrats, attestations, récapitulatifs), à envoyer les notifications, et à supprimer les données lorsque vous le demandez.

Ces données ne sont utilisées à aucune autre fin.

3. Catégories de données et de personnes concernées

Personnes concernées

Les enfants que vous accueillez, leurs parents et représentants légaux, les personnes qu’ils désignent (contacts d’urgence, personnes autorisées).

Catégories de données

• Identité des enfants et de leurs parents, coordonnées, adresse, numéro Pajemploi ;
• éléments du contrat d’accueil, plannings, présences, absences, éléments de rémunération ;
• carnet de liaison quotidien, messages échangés ;
• photographies et vidéos, lorsque l’autorisation a été donnée ;
• données de santé (catégorie particulière, article 9) : médecin traitant, vaccinations, allergies et régime alimentaire, registre des médicaments administrés, registre des incidents, ordonnances et protocoles déposés en pièce jointe.

La présence de données de santé concernant des mineurs justifie les mesures renforcées décrites à l’article 5.

4. Instructions documentées

Calibulle ne traite les données que sur votre instruction. Vos instructions sont constituées par l’usage que vous faites des fonctionnalités, par les réglages de votre espace, et par les demandes que vous adressez au support.

Calibulle vous informe si une instruction lui paraît constituer une violation du RGPD. Si une obligation légale imposait un traitement non prévu ici, Calibulle vous en informerait avant de l’exécuter, sauf interdiction légale.

Calibulle n’exploite vos données ni à des fins commerciales, ni publicitaires, ni statistiques, ni d’entraînement de modèles.

5. Sécurité

Les mesures suivantes sont effectivement en place :

• Cloisonnement au niveau de la base de données : chaque espace professionnel est isolé par un mécanisme du moteur PostgreSQL (Row Level Security), et non par le seul code de l’application. Le compte technique de l’application ne peut pas contourner cette isolation.
• Mots de passe hachés (scrypt), jamais réversibles ni lisibles.
• Double authentification (2FA) disponible sur les comptes : code à usage unique d’une application d’authentification, avec codes de secours.
• Chiffrement applicatif des données de santé (AES-256-GCM) : registres des médicaments et des incidents, allergies et régime alimentaire, notes de vaccination — en plus du chiffrement des disques et des sauvegardes.
• Limitation des tentatives de connexion et journalisation des accès (12 mois).
• Journal d’audit des consultations, exports et suppressions de données d’enfants : conservé 36 mois, porté à 5 ans pour les événements de suppression (article 17 du RGPD).
• Photographies et documents stockés dans un espace privé, accessibles uniquement par lien temporaire ou après vérification des droits ; filigrane à l’affichage.
• Base de données inaccessible depuis internet, jointe uniquement par tunnel chiffré depuis le serveur applicatif.
• Chiffrement des communications (HTTPS) et des sauvegardes ; restauration testée.
• Registre des consentements horodaté, distinguant ce qui a été recueilli du parent de ce qui a été déclaré.

Portée du chiffrement de santé : le chiffrement applicatif couvre les données de santé en texte libre (médicaments, incidents, allergies/régime, vaccinations). Quelques éléments du dossier médical restent en clair en base (nom et coordonnées du médecin déclaré, nature/lieu d’un incident) ; leur protection repose sur l’isolation par tenant, le chiffrement des disques et des sauvegardes, et la traçabilité des accès.

6. Confidentialité

Les personnes autorisées à accéder aux données côté Calibulle sont tenues à une obligation de confidentialité. L’accès en production est limité aux besoins d’exploitation et de support, et tracé.

7. Sous-traitants ultérieurs

Vous autorisez Calibulle à recourir aux sous-traitants suivants. Calibulle vous informera de tout ajout ou remplacement avant sa mise en œuvre, afin que vous puissiez y objecter.

Les données des enfants et des familles ne quittent pas l’Union européenne. Seul le paiement des abonnements par Stripe peut impliquer un transfert hors UE, limité aux données de la transaction et encadré par les clauses contractuelles types prévues par le RGPD. Les parents n’effectuent aucun paiement.

8. Sort des données en fin de contrat

À la fin de la prestation, vous choisissez entre la restitution de vos données et leur suppression. À défaut d’instruction de votre part dans un délai de 30 jours après la clôture de votre espace, elles sont supprimées, y compris les fichiers stockés et les copies de sauvegarde selon le cycle de rotation de celles-ci.

9. Assistance

Calibulle vous assiste, dans la mesure de ses moyens techniques, pour :

• répondre aux demandes d’exercice des droits des parents (accès, rectification, effacement, portabilité, opposition) ;
• garantir la sécurité des traitements et notifier les violations de données ;
• réaliser, si nécessaire, une analyse d’impact.

10. Violation de données

En cas de violation de données personnelles vous concernant, Calibulle vous en informe dans les meilleurs délais et au plus tard sous 48 heures après en avoir pris connaissance, avec les éléments nécessaires à votre propre notification à la CNIL : nature de la violation, catégories et volume approximatif de données et de personnes concernées, conséquences probables et mesures prises.

11. Documentation et audit

Calibulle met à votre disposition les informations nécessaires pour démontrer le respect de ces obligations, notamment le registre des traitements et la description des mesures de sécurité, et permet la réalisation d’audits dans des conditions raisonnables et sans compromettre la sécurité des autres espaces.

12. Contact

Calibulle, 6 rue d’Armaillé, 75017 Paris. contact@calibulle.fr