Accord de traitement des données (DPA)

Cette page présente le modèle d'accord proposé aux établissements clients. Elle ne constitue pas, à elle seule, un contrat signé : une version complétée avec les coordonnées de l'établissement, l'offre et la durée du service est signée par les deux parties avant l'import de données réelles d'étudiants.

Responsable du traitement : l'établissement client. Il décide des diplômes à certifier, garantit l'exactitude des données et informe les étudiants.

Sous-traitant : AfricaVerif, service édité par Nelson Machecler, entrepreneur individuel, SIREN 817 609 092, 14 rue de Trévise, 75009 Paris, France. AfricaVerif traite les données uniquement sur instruction de l'établissement et pour fournir le service convenu.

Le traitement couvre la préparation, la certification, la mise à disposition et la révocation de diplômes et relevés de notes, ainsi que la gestion des accès et des partages autorisés par les étudiants. Il dure le temps du contrat.

Les données concernent les étudiants et diplômés, les agents des établissements et, pour les journaux de consultation, les employeurs : identité, matricule, adresse e-mail, scolarité, matières, notes, mentions, scans de diplômes et journaux de sécurité. Les données sensibles (origine, opinions, appartenance syndicale, vie sexuelle, santé, sanctions, etc.) ne doivent pas être importées.

Ce qui est inscrit sur la blockchain. Le relevé et le scan sont conservés chiffrés hors chaîne par AfricaVerif, jamais sur la blockchain ni sur IPFS. Sur Polygon figure une preuve : un identifiant aléatoire du document, l'émetteur, la date, le statut (valide ou révoqué) et une empreinte à clé du contenu. Cette inscription est permanente ; l'empreinte reste une donnée personnelle tant que les données hors chaîne existent.

• informer les étudiants de la certification de leurs documents et recueillir leur accord lorsque la loi l'exige ;
• ne transmettre que des données nécessaires, exactes et à jour ;
• désigner uniquement des utilisateurs autorisés et retirer rapidement leurs accès ;
• remplir ses formalités auprès de l'autorité de protection des données de son pays, y compris pour l'hébergement des données à l'étranger, avant d'importer des données réelles ;
• informer les étudiants qu'une empreinte à clé de leur document est inscrite sur une blockchain publique, que cette inscription ne peut pas être supprimée et que l'effacement porte sur les données conservées hors chaîne ;
• ne jamais utiliser l'atelier public avec des données réelles.

• traiter les données uniquement pour le service et sur instruction de l'établissement ;
• assurer la confidentialité des personnes qui interviennent sur le service ;
• aider l'établissement à répondre aux demandes d'accès, de correction, d'opposition et d'effacement ;
• fournir à l'établissement les informations dont il a besoin pour ses formalités ;
• ne vendre, louer ni utiliser les données académiques à des fins publicitaires.

• chiffrement des relevés et des scans avant leur conservation hors chaîne ; seule une empreinte à clé, propre à chaque document, est inscrite sur Polygon ;
• séparation de la clé du document entre l'étudiant et la plateforme ;
• mots de passe hachés, double authentification disponible et contrôle des rôles ;
• validation humaine avant certification et journalisation des consultations ;
• HTTPS, limitation des requêtes, sauvegardes et contrôle d'intégrité ;
• révocation des partages et procédure d'effacement : suppression des données hors chaîne et destruction des clés.

AfricaVerif informe l'établissement sans délai injustifié après avoir constaté une violation touchant ses données, avec les informations disponibles (nature de l'incident, données concernées, mesures prises). L'établissement décide des notifications aux personnes et à l'autorité compétente, avec l'aide d'AfricaVerif.

AfricaVerif fait appel à l'hébergeur OVHcloud (France) et, lorsqu'ils sont utilisés, à un fournisseur d'e-mail, à un stockage de sauvegardes et à des services d'accès au réseau Polygon. Aucun stockage IPFS n'est utilisé pour les données des étudiants.

La liste des prestataires figure dans l'accord signé. AfricaVerif prévient l'établissement avant tout ajout ou remplacement important, qui peut présenter une objection motivée.

À la fin du contrat, l'établissement choisit la restitution des données ou leur suppression, sauf obligation légale de conservation. La suppression porte sur les données conservées hors chaîne, leurs copies et les clés ; l'inscription sur Polygon subsiste dans l'historique du réseau mais n'est plus rattachable à une personne ni à un document. Un document dont les données ont été supprimées n'est plus vérifiable.

L'accord applique la loi ivoirienne sur la protection des données personnelles et, lorsque applicable, le RGPD. Les règles impératives applicables à l'une des parties demeurent réservées. Le règlement amiable et la compétence prévus aux CGU s'appliquent.