ACCORD DE TRAITEMENTS DE DONNÉES PERSONNELLES

Date: 9 Juin 2026

Section 1 – Objet et champ d’application

Le présent Accord relatif aux Traitements de Données Personnelles a pour objet d’encadrer les Traitements de Données Personnelles mis en œuvre dans le cadre de l’exécution des Services conformément aux Conditions Générales d’Inversive ou au Contrat applicable et de garantir la conformité avec l’article 28 du RGPD.

L’Accord s’applique à tout Traitement confié par le Responsable du Traitement, à Inversive, en qualité de Sous-Traitant, dans le cadre de la réalisation des Services.

L’Accord s’applique sans préjudice des obligations auxquelles le Responsable du Traitement est soumis en vertu du RGPD.

En cas de contradiction entre l’Accord et les dispositions des Conditions Générales ou du Contrat applicable ou, le cas échéant, d’autres accords connexes qui existent entre Inversive et le Responsable du Traitement au moment où le présent Accord est accepté par le Responsable du Traitement ou qui sont conclus ultérieurement, le présent Accord prévaudra.

Section 2 – Description du Traitement

Les détails des opérations de Traitement, et notamment les catégories de Données Personnelles et les finalités du Traitement pour lesquelles les Données Personnelles sont traitées par Inversive pour le compte du Responsable du Traitement, sont précisés à l’Annexe II (Description du Traitement).

Section 3 – Obligations des Parties

3.1. Engagements d’Inversive

Inversive ne traite les Données Personnelles que sur instruction documentée du Responsable du Traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, Inversive informe le Responsable du Traitement de cette obligation juridique avant le Traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public. Des instructions peuvent également être données ultérieurement par le Client pendant toute la durée du Traitement des Données Personnelles. Ces instructions sont documentées par l’Accord et ses annexes.
Inversive informe immédiatement le Responsable du Traitement si, selon lui, une instruction donnée par le Responsable du Traitement constitue une violation du RGPD ou d’autres dispositions du droit de l’Union européenne ou du droit des États membres relatives à la protection des Données.
Inversive traite les Données Personnelles uniquement pour la ou les finalités spécifiques du Traitement, telles que définies à l’Annexe II (Description du Traitement), sauf instruction complémentaire du Responsable du Traitement communiquée par écrit.
Le Traitement par Inversive n’a lieu que pendant la durée précisée à l’Annexe II (Description du Traitement).

3.2. Sécurité du Traitement

Inversive met en œuvre les mesures techniques et organisationnelles précisées à l’Annexe III (Mesures techniques et organisationnelles) pour assurer la sécurité des Données Personnelles. Figure parmi ces mesures la protection des Données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données Personnelles ou l’accès non autorisé à de telles données (violation de Données Personnelles).

Lors de l’évaluation du niveau de sécurité approprié, Inversive et le Responsable du Traitement tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement, ainsi que des risques pour les personnes concernées.

Inversive n’accorde aux membres de son personnel l’accès aux Données Personnelles faisant l’objet du Traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi des Services fournis conformément aux Conditions Générales d’Inversive ou au Contrat applicable. Inversive veille à ce que les personnes autorisées à traiter les Données Personnelles s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

3.3. Documentation et conformité

Inversive traite de manière rapide et adéquate les demandes du Responsable du Traitement concernant le Traitement des Données conformément à l’Accord.

Inversive met à la disposition du Responsable du Traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans l’Accord et découlant directement du RGPD.

À la demande du Responsable du Traitement, Inversive permet également la réalisation d’audits des activités de Traitement couvertes par l’Accord et y contribue, à intervalles raisonnables ou en présence d’indices de non-conformité. Lorsqu’il décide d’un examen ou d’un audit, le Responsable du Traitement peut tenir compte des certifications pertinentes en possession d’Inversive.

Le Responsable du Traitement peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant soumis à un engagement de confidentialité. Les audits sont réalisés en priorité sur base documentaire. Toute inspection sur site doit être justifiée par un motif raisonnable lié au Traitement, faire l’objet d’un préavis de 30 jours, et être organisée dans des conditions ne compromettant pas la sécurité, la confidentialité ni la continuité des Services.

Inversive et le Responsable du Traitement mettent à la disposition de l’autorité de contrôle compétente/des autorités de contrôle compétentes, dès que celles-ci en font la demande, les informations énoncées à la présente Section, y compris les résultats de tout audit.

3.4. Recours à des sous-traitants ultérieurs

Inversive dispose de l’autorisation générale du Responsable du Traitement pour ce qui est du recrutement de sous-traitants ultérieurs sur la base d’une liste convenue, figurant en Annexe IV (Liste des sous-traitants ultérieurs). Inversive informe le Responsable du Traitement de toute modification de cette liste par l’ajout ou le remplacement de sous-traitants ultérieurs et donne au Responsable du Traitement la possibilité de s’y opposer en lui fournissant les informations nécessaires pour lui permettre d’exercer son droit d’opposition.

Lorsque Inversive recrute un sous-traitant ultérieur pour mener des activités de Traitement spécifiques (pour le compte du Responsable du Traitement), il le fait au moyen d’un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des Données que celles imposées à Inversive en vertu du présent Accord. Inversive veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu de l’Accord et du RGPD.

Inversive demeure pleinement responsable, à l’égard du Responsable du Traitement, de l’exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur. Inversive informe le Responsable du Traitement de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

3.5. Transferts internationaux

Tout transfert de données vers un pays tiers ou une organisation internationale par Inversive n’est effectué que sur la base d’instructions documentées du Responsable du Traitement ou afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle Inversive est soumis et s’effectue conformément au chapitre V du RGPD.

Le Responsable du Traitement convient que lorsque Inversive recrute un sous-traitant ultérieur conformément à la Section 3.4 pour mener des activités de Traitement spécifiques (pour le compte du Responsable du Traitement) et que ces activités de Traitement impliquent un transfert de Données Personnelles au sens du chapitre V du RGPD, Inversive et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du RGPD en utilisant notamment les clauses contractuelles types adoptées par la Commission sur la base de l’article 46, paragraphe 2, du RGPD, pour autant que les conditions d’utilisation de ces clauses contractuelles types soient remplies.

Section 4 – Assistance au Responsable du Traitement

Inversive informe sans délai le Responsable du Traitement de toute demande qu’il a reçue de la part d’une Personne Concernée. Il ne donne pas lui-même suite à cette demande, à moins que le Responsable du Traitement ne l’y ait autorisé.

Inversive prête assistance au Responsable du Traitement pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des Personnes Concernées d’exercer leurs droits, en tenant compte de la nature du Traitement. Dans l’exécution de ses obligations conformément à la présente Section, Inversive se conforme aux instructions du Responsable du Traitement.

Outre l’obligation incombant à Inversive d’assister le Responsable du Traitement en vertu de la présente Section, Inversive aide en outre le Responsable du Traitement à garantir le respect des obligations suivantes, compte tenu de la nature du Traitement et des informations dont dispose Inversive :

l’obligation de procéder à une évaluation de l’incidence des opérations de Traitement envisagées sur la protection des Données Personnelles (« analyse d’impact relative à la protection des données ») lorsqu’un type de Traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques ;
l’obligation de consulter l’autorité de contrôle compétente/les autorités de contrôle compétentes préalablement au Traitement lorsqu’une analyse d’impact relative à la protection des données indique que le Traitement présenterait un risque élevé si le Client ne prenait pas de mesures pour atténuer le risque ;
l’obligation de veiller à ce que les Données Personnelles soient exactes et à jour, en informant sans délai le Client si Inversive apprend que les Données Personnelles qu’il traite sont inexactes ou sont devenues obsolètes ;
les obligations prévues à l’article 32 du RGPD (Sécurité du Traitement).

L’assistance est fournie dans la mesure où elle est raisonnablement nécessaire, compte tenu de la nature des Services, des informations à disposition d’Inversive et des moyens techniques disponibles.

Section 5 – Notification de violations de Données Personnelles

En cas de violation de Données Personnelles, Inversive coopère avec le Responsable du Traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du RGPD, en tenant compte de la nature du Traitement et des informations dont dispose Inversive.

5.1. Violation de Données en rapport avec des Données traitées par le Responsable du Traitement

En cas de violation de Données Personnelles en rapport avec des Données traitées par le Responsable du Traitement, Inversive prête assistance au Responsable du Traitement :

a) aux fins de la notification de la violation de Données Personnelles à l’autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le Responsable du Traitement en a eu connaissance, le cas échéant (sauf si la violation de Données Personnelles est peu susceptible d’engendrer un risque pour les droits et libertés des personnes physiques) ;
b) aux fins de l’obtention des informations suivantes qui, conformément à l’article 33, paragraphe 3 du RGPD, doivent figurer dans la notification du Responsable du Traitement, et inclure, au moins :

la nature des Données Personnelles, y compris, si possible, les catégories et le nombre approximatif de Personnes Concernées par la violation et les catégories et le nombre approximatif d’enregistrements de Données Personnelles concernés ;
les conséquences probables de la violation de Données Personnelles ;
les mesures prises ou les mesures que le Responsable du Traitement propose de prendre pour remédier à la violation de Données Personnelles, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais ;

c) aux fins de la satisfaction, conformément à l’article 34 du RGPD, de l’obligation de communiquer dans les meilleurs délais la violation de Données Personnelles à la Personne Concernée, lorsque la violation de Données Personnelles est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

5.2. Violation de Données en rapport avec des Données traitées par Inversive

En cas de violation de Données Personnelles en rapport avec des Données traitées par Inversive, celui-ci en informe le Responsable du Traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins :

une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de Personnes Concernées par la violation et d’enregistrements de Données Personnelles concernés) ;
les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de Données Personnelles ;
ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.

Section 6 – Non-respect de l’Accord et résiliation

Sans préjudice des dispositions du RGPD, en cas de manquement d’Inversive aux obligations qui lui incombent en vertu de l’Accord, le Responsable du Traitement peut donner instruction à Inversive de suspendre le Traitement des Données Personnelles jusqu’à ce que ce dernier se soit conformé à l’Accord ou jusqu’à ce que les Conditions Générales d’Inversive ou le Contrat applicable entre Inversive et le Client soient résiliées. Inversive informe rapidement le Responsable du Traitement s’il n’est pas en mesure de se conformer à l’Accord, pour quelque raison que ce soit.

Le Responsable du Traitement est en droit de résilier les Conditions Générales ou le Contrat pour un motif lié au Traitement de Données Personnelles conformément à l’Accord si :

le Traitement de Données Personnelles par Inversive a été suspendu par le Responsable du Traitement conformément à la présente Section 6 paragraphe 1 et le respect de l’Accord n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;
Inversive est en violation grave et persistante de l’Accord ou des obligations qui lui incombent en vertu du RGPD ;
Inversive ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente/des autorités de contrôle compétentes concernant les obligations qui lui incombent en vertu de l’Accord ou du RGPD.

Inversive est en droit de résilier les Conditions Générales ou le Contrat pour un motif lié au Traitement de Données Personnelles en vertu de l’Accord lorsque, après avoir informé le Responsable du Traitement que ses instructions enfreignent les exigences juridiques applicables conformément à la Section 3.1 paragraphe 2, le Responsable du Traitement insiste pour que ses instructions soient suivies.

À la suite de la résiliation des Conditions Générales ou du Contrat, Inversive supprime, selon le choix du Responsable du Traitement, toutes les Données Personnelles traitées pour le compte du Client et certifie auprès de celui-ci qu’il a procédé à cette suppression, ou renvoie toutes les Données Personnelles au responsable du Traitement et détruit les copies existantes, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps. Inversive continue de veiller à la conformité à l’Accord jusqu’à la suppression ou à la restitution des Données.

Section 7 – Loi applicable et juridiction

L’Accord est soumis au droit français (à l’exclusion de ses règles de conflit de lois). En cas de contestation et/ou de difficultés nées de l’interprétation et/ou l’exécution de l’Accord, les parties, à défaut de résolution amiable, font attribution de juridiction aux tribunaux compétents de la ville de Paris (75) en France (FR).

ANNEXE I : Définitions

Accord : désigne le présent accord relatif aux Traitements de Données Personnelles, régissant les relations entre le Client, agissant en tant que Responsable du Traitement, et Inversive, agissant en tant que Sous-Traitant ;

Conditions Générales ou Contrat : désigne les conditions générales d’Inversive applicables ou tout contrat négocié et discuté entre Inversive et le Client encadrant l’accès aux Services ;

Données Personnelles : désigne toute information relative à une personne identifiée ou identifiable, directement ou indirectement, en particulier par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques la concernant ;

Inversive : désigne la société INVERSE, SAS, ayant pour siège social 58 avenue de Wagram, 75017 Paris, France, immatriculée au RCS Paris 918885252 ;

Personne Concernée : désigne toute personne physique à laquelle se rapportent directement ou indirectement les Données ;

Responsable du Traitement : désigne le Client, personne physique ou morale, autorité publique ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement ;

RGPD : désigne le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du Traitement des Données Personnelles et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;

Sous-Traitant : désigne la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des Données Personnelles pour le compte du Responsable du Traitement ;

Traitement de Données Personnelles ou Traitement : désigne toute opération ou ensemble d’opérations appliquées à des Données Personnelles, effectuées ou non à l’aide de procédés automatisés, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction.

Les termes débutant par une majuscule et non définis ci-dessus ont le sens qui leur est donné dans les Conditions Générales ou le Contrat.

ANNEXE II : Description du Traitement

Catégories de Personnes Concernées dont les Données Personnelles sont traitées : employés, clients, prospects, apprenants, administrateurs et producteurs de contenus de la plateforme Inversive.
Catégories de Données Personnelles traitées : données d’identification (nom, prénom, email, identifiants), données de compte et profils (photo de profil), données relatives à l’usage (statistiques d’utilisation, logs de connexion, scores et progression in-game).
Nature du Traitement : collecte, enregistrement, organisation, structuration, hébergement, effacement, accès, anonymisation, statistiques.
Finalité(s) pour laquelle (lesquelles) les Données Personnelles sont traitées pour le compte du Responsable du Traitement : la fourniture des Services au Responsable du Traitement (plateforme immersive, création de comptes, accès à des contenus immersifs, suivi de l’utilisation).
Durée du Traitement : données de compte conservées 5 ans après la fin du Contrat. Logs techniques et de connexion conservés 13 mois glissants maximum.

ANNEXE III : Mesures techniques et organisationnelles, y compris mesures techniques et organisationnelles visant à garantir la sécurité des données

Authentification des Utilisateurs : Gestion des identités centralisée. Les mots de passe sont stockés sous forme hachée.
Traçage des accès et gestion des incidents : Le principe du moindre privilège est appliqué aux équipes internes. Les logs techniques et de connexion sont conservés 13 mois glissants.
Sécurisation des serveurs et des locaux : Hébergement des données et infrastructure hébergée chez Nextmap (France/UE).
Sauvegarde : Des sauvegardes quotidiennes sont effectuées.
Maintenance et destruction des Données : Procédures d’anonymisation et de suppression des données disponibles (Droit à l’oubli).
Chiffrement : Toutes les communications en transit sont chiffrées. Les données sont chiffrées au repos.
Environnements : Les Données Personnelles du Responsable du Traitement ne sont pas utilisées dans les environnements de développement ou de test, sauf instruction documentée du Responsable du Traitement ou nécessité exceptionnelle de support, avec des mesures de minimisation appropriées.
Multi-tenant : Dans le cadre de l’exploitation SaaS des Services, Inversive met en œuvre une séparation logique des données entre clients afin de limiter l’accès aux seules Données Personnelles relevant du Responsable du Traitement concerné.

ANNEXE IV : Liste de sous-traitants ultérieurs

L’infrastructure applicative nécessaire à la fourniture des Services est hébergée sur une infrastructure opérée par Nextmap en France/UE. Les composants applicatifs nécessaires au fonctionnement des Services, incluant notamment l’authentification, le stockage, la supervision, les journaux techniques et les services applicatifs, sont opérés par Inversive sur cette infrastructure, sauf mention contraire dans la présente Annexe.

La liste des sous-traitants ultérieurs auxquels Inversive a recours comprend :

Nextmap : Hébergement de l’infrastructure en France/UE.
Wrike : Collecte et suivi des demandes de support transmises via formulaire.

(Les transferts hors UE pour ces outils de gestion sont encadrés par des Clauses Contractuelles Types – SCC)