Le présent accord de traitement des données (« DPA ») fait partie de l'accord entre Asset Chain Techlligence Pvt. Ltd. (« TruScholar », « Sous-traitant ») et le client (« Client », « Responsable du traitement ») pour la fourniture de la plateforme TruScholar.
Il définit la manière dont nous traitons les données personnelles en votre nom, et les responsabilités de chaque partie.
Résumé simple de la situation :
Vous êtes le responsable du traitement. Vous décidez des justificatifs à émettre, à qui, et des données qu'ils contiennent.
Nous sommes le sous-traitant des données. Nous traitons ces données uniquement selon vos instructions, afin de fournir le service.
Nous ne vendons pas de données personnelles, et nous ne les utilisons pas pour commercialiser des services non liés.
Seul un hachage cryptographique est ancré à un registre distribué. Aucune donnée personnelle n'est inscrite sur la chaîne, de sorte que les droits de rectification et d'effacement restent applicables.
Données personnelles — toute information relative à une personne physique identifiée ou identifiable, telle que définie par la loi applicable sur la protection des données.
Personne concernée — la personne physique à laquelle se rapportent les Données personnelles, y compris les destinataires de justificatifs, les apprenants, les administrateurs et autres utilisateurs.
Traitement — toute opération effectuée sur des Données personnelles, y compris la collecte, le stockage, la modification, la récupération, la divulgation, l'effacement et la destruction.
Responsable du traitement / Fiduciaire de données — la partie qui détermine les finalités et les moyens du Traitement. Dans le cadre de cet Accord de Traitement des Données (DPA), le Client.
Sous-traitant / Traiteur de données — la partie qui traite les Données personnelles pour le compte du Responsable du traitement. Dans le cadre de cet Accord de Traitement des Données (DPA), TruScholar.
Sous-traitant ultérieur — un tiers engagé par TruScholar pour traiter des Données personnelles.
Loi applicable sur la protection des données — toutes les lois applicables au Traitement, y compris la loi indienne sur la protection des données personnelles numériques de 2023 (Digital Personal Data Protection Act, 2023) ; le Règlement (UE) 2016/679 (RGPD) ; le RGPD du Royaume-Uni et la loi sur la protection des données de 2018 (Data Protection Act 2018) ; ainsi que les lois applicables sur la protection de la vie privée des États américains.
Violation de données personnelles — une faille de sécurité entraînant la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée de Données personnelles, ou l'accès non autorisé à celles-ci.
3.1 Le Client est le Responsable du traitement et TruScholar est le Sous-traitant en ce qui concerne les Données personnelles traitées dans le cadre de l'Accord.
3.2 Chaque partie se conforme à ses propres obligations en vertu de la Loi applicable sur la protection des données.
3.3 Le Client est responsable de la licéité des Données personnelles qu'il fournit, y compris l'établissement d'une base légale, la notification aux Personnes concernées et l'obtention du consentement lorsque cela est requis.
3.4 TruScholar agit en tant que Responsable du traitement indépendant uniquement en ce qui concerne les données limitées qu'il traite pour ses propres besoins — administration des comptes, facturation, sécurité des services et amélioration des produits — comme décrit dans sa Politique de confidentialité.
Objet : fourniture de la plateforme TruScholar de délivrance, de vérification, de gestion des dossiers et de carrière de titres de compétences.
Durée : pour la durée de l'Accord, plus toute période de conservation définie à la Section 13.
Nature et finalité : conception, délivrance, transmission, vérification, gestion, correction, révocation et archivage de titres de compétences numériques ; numérisation des dossiers universitaires existants ; soutien aux services de carrière et de placement lorsque ces modules sont utilisés.
Catégories de personnes concernées :
Destinataires des titres de compétences — étudiants, apprenants, employés, membres
Administrateurs institutionnels et utilisateurs du personnel
Vérificateurs qui contrôlent les titres de compétences
Recruteurs et utilisateurs des services de carrière, le cas échéant
Catégories de données à caractère personnel :
Données d'identité — nom, numéro d'inscription ou d'enregistrement, date de naissance si fournie, photographie si fournie
Données universitaires — programme, notes, évaluations, crédits, dates de délivrance, statut des titres de compétences
Données de contact — adresse e-mail, numéro de téléphone
Données de compte — identifiants d'accès à la plateforme, rôles et autorisations
Données d'utilisation — journaux d'accès, activité de délivrance et de vérification
Données d'emploi — lorsque les modules de carrière ou de placement sont utilisés
Catégories particulières de données : non requises par le service. Le Client ne doit pas télécharger de catégories particulières de données sauf accord écrit distinct.
Données relatives aux enfants : lorsque le Client délivre des titres de compétences à des personnes de moins de 18 ans, il lui incombe d'obtenir un consentement parental vérifiable lorsque cela est requis, y compris en vertu de l'article 9 de la loi indienne DPDP de 2023.
TruScholar s'engage à :
5.1 Traiter les données uniquement sur instructions documentées du Client, y compris en ce qui concerne les transferts internationaux, à moins d'y être contraint par la loi — auquel cas il en informera le Client au préalable, sauf interdiction légale.
5.2 Garantir la confidentialité. Le personnel autorisé à traiter les données personnelles est lié par des obligations de confidentialité et reçoit une formation sur la protection des données.
5.3 Mettre en œuvre les mesures de sécurité appropriées, comme indiqué dans la Section 7.
5.4 Assister le Client pour répondre aux demandes des personnes concernées, comme indiqué dans la Section 9.
5.5 Assister le Client dans la réalisation d'analyses d'impact relatives à la protection des données et lors des consultations préalables avec les autorités de contrôle, compte tenu de la nature du traitement et des informations disponibles.
5.6 Informer le Client sans retard injustifié de toute violation de données personnelles, comme indiqué dans la Section 10.
5.7 Supprimer ou restituer les données personnelles à la fin du Contrat, comme indiqué dans la Section 13.
5.8 Mettre à disposition toutes les informations nécessaires pour démontrer la conformité, et permettre les audits, comme indiqué dans la Section 12.
5.9 Informer immédiatement le Client si, selon lui, une instruction enfreint les lois applicables sur la protection des données.
5.10 Ne pas vendre de données personnelles, et ne pas les utiliser pour son propre marketing ou pour entraîner des modèles proposés à des tiers.
Le Client s'engage à :
6.1 S'assurer qu'il dispose d'une base légale pour le Traitement qu'il instruit.
6.2 Fournir aux Personnes Concernées les informations requises sur la manière dont leurs données sont traitées.
6.3 Garantir l'exactitude des Données Personnelles téléchargées sur la plateforme.
6.4 Configurer de manière appropriée les contrôles d'accès et les autorisations, et gérer ses propres utilisateurs.
6.5 Ne pas télécharger de données de catégories particulières ou de données n'entrant pas dans le cadre décrit à la Section 4 sans accord écrit préalable.
6.6 Répondre aux demandes des Personnes Concernées qui lui sont adressées, avec l'assistance de TruScholar.
TruScholar maintient des mesures techniques et organisationnelles appropriées au risque, notamment :
Certification et audit
CMMI Niveau [X], ISO/IEC 27001 et SOC 2 Type [X], avec des audits indépendants maintenus et des preuves disponibles sur demande.
Chiffrement
Données personnelles chiffreees en transit à l'aide de protocoles standards de l'industrie, et au repos.
Contrôle d'accès
Contrôle d'accès basé sur les rôles limitant l'accès à ce que chaque rôle requiert ; prise en charge de l'authentification unique (SSO) ; authentification multifacteur ; processus d'examen des accès ; et suppression rapide des accès pour les personnes partantes.
Intégrité des informations d'identification
Chaque information d'identification est ancrée sous forme de hachage cryptographique. Seul le hachage est écrit dans un registre distribué. Les données personnelles restent dans la base de données de la plateforme, où les droits de rectification et d'effacement peuvent être exercés.
Journalisation et surveillance
Journalisation d'audit en ajout uniquement des événements de délivrance, de modification, de révocation et d'accès, avec horodatage et utilisateur agissant, non modifiable par les administrateurs du client ou par TruScholar.
Résilience
Dispositions de sauvegarde, de reprise après sinistre et de continuité des activités, testées périodiquement.
Tests
Tests d'intrusion effectués au moins une fois par an, avec un résumé disponible sous accord de confidentialité (NDA).
Développement sécurisé
Revue de sécurité au sein du cycle de vie du développement, analyse des dépendances et gestion des vulnérabilités.
TruScholar peut mettre à jour ces mesures à condition que le niveau de sécurité ne soit pas réduit.
8.1 Le Client accorde une autorisation générale à TruScholar pour engager des Sous-traitants ultérieurs.
8.2 Une liste actuelle des Sous-traitants ultérieurs est présentée à l'Annexe 1 de ce DPA.
8.3 TruScholar donnera un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un Sous-traitant ultérieur, par e-mail au contact désigné du Client et en mettant à jour l'Annexe 1. Les Clients peuvent s'abonner aux notifications de changement à l'adresse privacy@truscholar.io.
8.4 Le Client peut s'opposer à un nouveau Sous-traitant ultérieur pour des motifs raisonnables de protection des données dans un délai de 30 jours suivant la notification. Les parties collaboreront de bonne foi pour trouver une solution. Si aucune solution n'est trouvée, le Client peut résilier le service concerné sans pénalité pour la partie non utilisée des frais payés d'avance.
8.5 TruScholar impose à chaque Sous-traitant ultérieur des obligations de protection des données qui ne sont pas moins protectrices que celles de ce DPA, et reste entièrement responsable envers le Client de l'exécution de chaque Sous-traitant ultérieur.
9.1 Compte tenu de la nature du Traitement, TruScholar aidera le Client par des mesures techniques et organisationnelles appropriées à répondre aux demandes des Personnes Concernées d'exercer leurs droits, y compris l'accès, la rectification, l'effacement, la limitation, la portabilité et l'opposition.
9.2 Lorsque TruScholar reçoit une demande directement d'une Personne Concernée concernant les données du Client, elle n'y répondra pas sur le fond mais transmettra la demande au Client sans retard injustifié.
9.3 La plateforme fournit une fonctionnalité de libre-service permettant au Client d'accéder, de corriger, d'exporter et de supprimer des Données Personnelles sans avoir à contacter TruScholar.
9.4 Sur l'intégrité et l'effacement des identifiants. Étant donné que seul un hachage cryptographique est ancré, la rectification et l'effacement des Données Personnelles peuvent pleinement produire leurs effets. Corriger un identifiant le ré-ancre correctement ; effacer un enregistrement supprime les Données Personnelles tandis que le hachage ancré, qui ne contient aucune Donnée Personnelle, subsiste.
10.1 TruScholar informera le Client sans retard indu et en tout état de cause dans les 48 heures après avoir pris connaissance d'une violation de données personnelles affectant les données du Client.
10.2 La notification comprendra, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact pour obtenir de plus amples informations.
10.3 Si toutes les informations ne sont pas disponibles immédiatement, TruScholar les fournira par étapes et sans retard indu supplémentaire.
10.4 TruScholar prendra des mesures raisonnables pour contenir et corriger la violation et coopérera avec le Client pour l'aider à remplir ses propres obligations de notification auprès des autorités de contrôle et des personnes concernées.
10.5 TruScholar ne fera aucune déclaration publique identifiant le Client en lien avec une violation sans le consentement écrit préalable du Client, à moins que la loi ne l'exige.
11.1 Les données personnelles du client sont hébergées dans la [région(s)]. Les options de résidence des données sont disponibles et confirmées par écrit lors de l'intégration.
11.2 Lorsque les données personnelles sont transférées en dehors de la juridiction dans laquelle elles ont été collectées, TruScholar s'assure qu'un mécanisme de transfert approprié est en place, ce qui peut inclure :
Les clauses contractuelles types adoptées par la Commission européenne, intégrées au présent DPA par référence lorsque des transferts depuis l'EEE ont lieu
L'addendum britannique au transfert international de données pour les transferts depuis le Royaume-Uni
Des décisions d'adéquation le cas échéant
Les mécanismes de transfert autorisés par la loi indienne DPDP de 2023, sous réserve de toute restriction notifiée par le gouvernement central
11.3 TruScholar effectuera des évaluations d'impact des transferts si nécessaire et mettra en œuvre des mesures supplémentaires si besoin.
13.1 TruScholar conserve les Données Personnelles pour la durée du Contrat et pendant 90 jours par la suite, à moins qu'une période plus longue ne soit requise par la loi.
13.2 À la résiliation, et au choix du Client, TruScholar restituera les Données Personnelles dans un format structuré, couramment utilisé et lisible par machine, ou les supprimera.
13.3 Titres émis. Les titres déjà émis restent vérifiables et demeurent dans les portefeuilles propres des destinataires, puisque ces titres appartiennent aux destinataires. Les données administratives, enregistrements et métadonnées du Client sont restitués ou supprimés comme indiqué ci-dessus.
13.4 Les sauvegardes sont supprimées conformément au cycle de conservation des sauvegardes.
13.5 TruScholar certifiera la suppression par écrit sur demande.
La responsabilité de chaque partie au titre de cet APD est soumise aux limitations et exclusions de responsabilité définies dans l'Accord.
En cas de conflit, cet Accord sur le traitement des données (DPA) prévaut sur l'Accord en ce qui concerne le traitement des données personnelles. Lorsque des clauses contractuelles types s'appliquent, ces clauses prévalent sur ce DPA dans la limite de tout conflit.
Le présent sous-traité est régi par la loi énoncée dans l'Accord, sauf si la législation applicable en matière de protection des données en dispose autrement.
Délégué à la protection des données : [nom ou rôle]
E-mail : dpo@truscholar.io
Adresse postale : Asset Chain Techlligence Pvt. Ltd., 3rd Floor, Nanda Motors, Nawathe Square, Amravati 444606, Maharashtra, Inde
Représentant pour l'UE (le cas échéant) : [nom et adresse]
Représentant pour le Royaume-Uni (le cas échéant) : [nom et adresse]
Les clients qui ont besoin d'un DPA signé peuvent en faire la demande à l'adresse dpo@truscholar.io. Lorsqu'aucun DPA distinct n'est signé, cette version s'applique à tous les clients à compter de la date d'effet indiquée ci-dessus.
Une version PDF téléchargeable de ce DPA est disponible pour vos dossiers et pour votre dossier d'achat.
Cette annexe énumère les sous-traitants ultérieurs auxquels TruScholar fait appel pour fournir les Services : le rôle de chacun, les Données Personnelles qu'il traite, le lieu où ce traitement s'effectue et la garantie sur laquelle repose tout transfert international. La notification des modifications et le droit d'opposition du Client sont définis à la section 8.
Comment nous choisissons et gérons les sous-traitants ultérieurs
Avant d'engager tout sous-traitant ultérieur, nous :
Évaluons leurs mesures de sécurité, leurs certifications et leurs pratiques en matière de protection des données
Confirmons qu'ils peuvent respecter des obligations au moins aussi protectrices que celles du présent DPA
Mettons en place un accord écrit de traitement des données
Confirmons un mécanisme de transfert approprié lorsque les données traversent les frontières
Limitons leur accès aux seules données nécessaires à leur fonction
Nous demeurons pleinement responsables envers nos clients des prestations de chaque sous-traitant ultérieur.
Nous évaluons chaque sous-traitant ultérieur au moins une fois par an, ainsi que lors de tout changement important apporté au service qu'il fournit.
Sous-traitants ultérieurs actuels
Infrastructure et hébergement
[Fournisseur d'hébergement cloud]
Héberge la plateforme et stocke toutes les données de la plateforme. Traite chaque catégorie de données personnelles conservées sur la plateforme. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
[Réseau de diffusion de contenu (CDN)]
Diffuse du contenu statique et protège contre les attaques par déni de service. Traite les données techniques et d'utilisation, y compris les adresses IP. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
[Fournisseur de sauvegarde]
Assure la maintenance des sauvegardes chiffrées pour la reprise après sinistre. Traite chaque catégorie de données de la plateforme. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
Communications
[Fournisseur d'envoi d'e-mails]
Envoie les notifications d'identifiants et les e-mails de service. Traite les noms et adresses e-mail des destinataires. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
[Fournisseur de SMS]
Envoie les identifiants et les notifications par SMS lorsque l'e-mail n'est pas le canal approprié. Traite les noms et numéros de téléphone des destinataires. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
[Fournisseur de notifications push]
Diffuse les notifications intégrées à l'application et les notifications push. Traite les identifiants de compte et les jetons d'appareil. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
Opérations de la plateforme
[Fournisseur d'analyses de produits]
Mesure l'utilisation des fonctionnalités afin d'améliorer le produit. Traite les données d'utilisation et les identifiants de compte. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
[Fournisseur de surveillance des erreurs]
Capture les erreurs de l'application afin de diagnostiquer et de résoudre les dysfonctionnements. Traite les données techniques et des identifiants de compte limités. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
[Plateforme d'assistance]
Gère les tickets d'assistance et la correspondance. Traite les coordonnées et le contenu de la correspondance d'assistance. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
Ancrage des justificatifs
[Réseau Blockchain]
Ancre les preuves d'intégrité des justificatifs. Traite uniquement un hachage cryptographique. Aucune donnée personnelle n'est inscrite sur le registre. Le traitement est distribué par nature, et aucune garantie de transfert n'est requise car aucune donnée personnelle n'est transférée.
Intégrations avec le gouvernement et l'écosystème
Ceux-ci ne sont sollicités que lorsqu'un Client en donne l'instruction, et chacun opère selon son propre cadre légal.
DigiLocker
Délivre les justificatifs d'authentification sur les comptes DigiLocker des destinataires. Traite les données de justificatifs conformément aux instructions du Client. Le traitement a lieu en Inde.
National Academic Depository (NAD)
Reçoit le dépôt légal des dossiers académiques. Traite les données de justificatifs conformément aux instructions du Client. Le traitement a lieu en Inde.
Academic Bank of Credits (ABC)
Gère les relevés de crédits. Traite les données de crédits conformément aux instructions du Client. Le traitement a lieu en Inde.
Opérations commerciales
[Fournisseur de paiement]
Traite les paiements d'abonnements. Traite les coordonnées de facturation. Les données de carte bancaire sont traitées conformément à la norme PCI-DSS et ne sont pas stockées par TruScholar. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
[Fournisseur de CRM]
Gère les relations clients et prospects. Traite les coordonnées professionnelles. Le traitement a lieu dans la [région], sur la base de [garantie de transfert].
Affiliés
TruScholar peut partager des données personnelles avec les membres de son groupe de sociétés afin de fournir et de prendre en charge le service. Les entités du groupe sont liées par des conditions de traitement des données intra-groupe au moins aussi protectrices que le présent DPA.
Entités actuelles du groupe : [liste]
Journal des modifications
Nous enregistrons ici chaque modification apportée à cette liste, avec la date, le fournisseur concerné, s'il a été ajouté, supprimé ou remplacé, et le motif.
Aucun changement enregistré depuis la publication de cette liste le 23-09-2026.