Addendum Données de Mineurs au DPA

Version 2.0 — 5 mai 2026
Modules Scolaire et Crèche — Article 8 du RGPD

Préambule

Le présent addendum (ci-après « l'Addendum ») complète l'Accord de Traitement des Données (ci-après « le DPA ») conclu entre Attimo (Sous-traitant) et le photographe abonné à la Plateforme (Responsable de traitement, ci-après « le Client »).

Il concerne exclusivement les traitements de données personnelles relatives à des mineurs mis en œuvre dans le cadre des modules Scolaire et Crèche de la Plateforme Attimo.

Le présent Addendum s'applique uniquement lorsque le Client utilise l'un de ces modules. Il est accepté par le Client lors de la première utilisation du module concerné par le biais d'une case à cocher distincte.

Article 1 — Objet de l'Addendum

L'Addendum a pour objet de définir les conditions spécifiques dans lesquelles Attimo traite, pour le compte du Client, des données personnelles relatives à des mineurs dans le cadre des activités de photographie scolaire et de photographie en établissement d'accueil de la petite enfance.

Il précise notamment :

• Les catégories de données de mineurs traitées.
• Les modalités de recueil de l'autorisation parentale.
• Les droits des parents et des mineurs eux-mêmes.
• Les obligations spécifiques de chaque Partie.
• Les règles particulières applicables au module Scolaire (contrat FFPMI, Circulaire n° 2003-091).

Article 2 — Données de mineurs traitées

2.1 Module Scolaire

Dans le cadre du module Scolaire, les catégories de données traitées sont :

• Prénom et nom de famille des élèves (utilisés pour identifier les galeries individuelles).
• Classe ou niveau scolaire.
• Photographies individuelles et de groupe.
• Liens de fratrie (pour le calcul de la réduction fratrie).
• Coordonnées des parents (email, téléphone) pour l'envoi des codes d'accès aux galeries individuelles.

2.2 Module Crèche

Dans le cadre du module Crèche, les catégories de données traitées sont :

• Prénom et nom de famille des enfants.
• Photographies individuelles et de groupe.
• Coordonnées des parents (email, téléphone) pour l'envoi des codes d'accès aux galeries individuelles et, le cas échéant, pour le recueil de l'autorisation parentale numérique.
• Autorisations parentales numériques (réponses oui/non, horodatage, adresse IP).

Article 3 — Recueil de l'autorisation parentale

3.1 Principe général

Conformément à l'article 8 du RGPD et à la loi Informatique et Libertés, le traitement de données personnelles d'un mineur nécessite l'autorisation des titulaires de l'autorité parentale. Le Client est seul responsable du recueil effectif et conforme de cette autorisation.

3.2 Module Scolaire — Gestion par l'établissement

Dans le cadre du module Scolaire, le recueil des autorisations parentales est de la responsabilité exclusive de l'Établissement scolaire (école, collège, lycée), conformément à la Circulaire n° 2003-091 du 5 juin 2003 relative à la photographie scolaire.

L'Établissement est chargé d'envoyer les autorisations de droit à l'image aux parents préalablement aux prises de vues, de recueillir leurs réponses, et de vérifier classe par classe que les élèves dont les parents ont refusé ne participent pas aux séances.

Attimo ne traite aucune autorisation parentale dans le cadre du module Scolaire. Les coordonnées des parents éventuellement enregistrées dans la Plateforme (emails, téléphones) sont utilisées exclusivement pour l'envoi des codes d'accès aux galeries individuelles des élèves, une fois les séances réalisées et les autorisations validées par l'Établissement.

3.3 Module Crèche — Autorisation parentale numérique

Dans le cadre du module Crèche, la Plateforme Attimo intègre un module d'autorisation parentale numérique permettant à la direction de l'établissement d'envoyer un lien crypté à chaque parent pour recueillir son consentement (oui / non) préalablement aux prises de vues.

Lorsque ce module est utilisé, Attimo traite les emails des parents pour le compte du Client afin de recueillir ce consentement. Les réponses sont horodatées et conservées pour une valeur probante.

Si le Client recueille les autorisations parentales par un autre moyen (papier, système externe, email direct), Attimo ne traite aucune donnée relative au consentement. Le Client demeure seul responsable de la conservation et de la preuve du recueil des autorisations.

Article 4 — Base légale du traitement

La base légale du traitement des données de mineurs dans le cadre des modules Scolaire et Crèche repose sur :

• L'autorisation parentale préalable (article 8 du RGPD), obtenue selon les modalités décrites à l'Article 3.
• L'exécution d'un contrat entre l'Établissement scolaire / la crèche et le Client (photographe).
• Pour la France en matière scolaire : la Circulaire n° 2003-091 du 5 juin 2003 et le contrat FFPMI (Fédération Française de la Photographie et des Métiers de l'Image).

Le Client garantit disposer de l'ensemble des autorisations nécessaires avant tout téléversement de photographies dans la Plateforme.

Article 5 — Obligations spécifiques d'Attimo

Dans le cadre du présent Addendum, Attimo s'engage à :

1. Traiter les données de mineurs uniquement pour les finalités décrites dans le présent Addendum.
2. Mettre en œuvre les mesures techniques renforcées prévues à l'Article 6.
3. Ne pas utiliser les photographies de mineurs à des fins commerciales, publicitaires ou d'entraînement de modèles d'intelligence artificielle.
4. Permettre l'exercice effectif des droits des titulaires de l'autorité parentale dans les conditions prévues à l'Article 8.
5. Supprimer les données selon les durées prévues à l'Article 7.
6. Isoler strictement les données de chaque établissement et de chaque enfant (architecture multi-tenant, galeries individuelles sécurisées par code d'accès unique).

Article 6 — Mesures de sécurité renforcées

Compte tenu du caractère sensible des données de mineurs, Attimo met en œuvre les mesures suivantes :

6.1 Accès aux galeries individuelles

• Chaque galerie individuelle d'enfant est protégée par un code d'accès unique, généré aléatoirement.
• Les codes sont envoyés aux parents par email et/ou SMS, selon les choix du Client.
• Aucun annuaire public ne recense les galeries : elles ne sont accessibles qu'avec le code correspondant.
• Une galerie d'enfant ne permet pas l'accès aux galeries des autres enfants, même au sein de la même classe ou du même établissement.

6.2 Transmission des codes d'accès

• Envoi sécurisé par email (connexion TLS) et/ou SMS via le prestataire SMS Envoi (France).
• Les codes d'accès ne sont jamais affichés publiquement ni transmis à des tiers non autorisés.

6.3 Stockage des photographies

• Photographies stockées chiffrées sur OVH Object Storage (Gravelines, France).
• URLs d'accès temporaires signées (HMAC) avec expiration de 2 heures.
• Watermark appliqué sur les versions publiques des photographies (protection contre le téléchargement non autorisé).
• Protection contre le clic droit, le glisser-déposer et l'inspection du code source.

Article 7 — Durées de conservation

7.1 Module Scolaire — France (contrat FFPMI)

Les photographies de galeries scolaires réalisées en France dans le cadre du contrat FFPMI sont conservées conformément à l'article 5 dudit contrat, soit au maximum un (1) mois après la fin de l'année scolaire concernée.

Le Client (photographe) est contractuellement engagé auprès de l'Établissement scolaire, via le contrat FFPMI signé, à procéder à la suppression des photographies dans ce délai. Il appartient au Client d'utiliser les outils techniques de suppression mis à disposition par la Plateforme (suppression manuelle de la galerie ou session, non-activation de la prolongation payante) pour respecter cette obligation contractuelle.

7.2 Module Scolaire — Hors France

Pour les galeries scolaires réalisées hors de France, la durée de conservation est fixée par le Client conformément à son propre contrat avec l'établissement et à la législation locale applicable. Le plafond contractuel Attimo de 12 mois par cycle de vie (renouvelable via prolongation payante) s'applique.

7.3 Module Crèche

Les photographies et galeries du module Crèche sont conservées pour la durée fixée par le Client, avec un plafond de 12 mois par cycle de vie. Une prolongation de 12 mois supplémentaires est possible via paiement (5 €) conformément à la politique de cycle de vie des galeries Attimo.

Le Client est responsable du respect de ses engagements envers les familles et l'établissement d'accueil concernant cette durée.

7.4 Données associées

• Commandes et factures : 10 ans (obligation comptable légale).
• Autorisations parentales numériques (module Crèche) : durée de conservation de la galerie + archivage 3 ans pour valeur probante.
• Logs d'accès aux galeries individuelles : 1 an, puis purge automatique.

Article 8 — Droits des titulaires de l'autorité parentale

8.1 Droits exerçables

Les titulaires de l'autorité parentale d'un mineur dont les données sont traitées par la Plateforme peuvent exercer les droits suivants :

• Droit d'accès aux données de leur enfant.
• Droit de rectification.
• Droit à l'effacement (droit à l'oubli).
• Droit à la limitation du traitement.
• Droit d'opposition.
• Droit de retrait du consentement.

8.2 Droit au retrait du consentement

Les parents peuvent retirer leur consentement à tout moment. Le retrait entraîne :

• L'arrêt immédiat du traitement des données de l'enfant concerné.
• La suppression des photographies individuelles de l'enfant dans un délai de 72 heures.
• La cessation de l'accès des parents à la galerie individuelle de l'enfant.

Le retrait du consentement est sans effet rétroactif sur les commandes déjà livrées : les achats préalables demeurent acquis aux parents. Les éventuelles commandes en cours mais non livrées font l'objet d'un traitement au cas par cas entre le parent et le Client (photographe), Attimo n'intervenant pas dans cette relation commerciale.

8.3 Modalités d'exercice des droits

Les demandes d'exercice des droits peuvent être adressées :

• Directement au Client (photographe), responsable de traitement principal.
• À Attimo à l'adresse [email protected], qui transmettra au Client pour traitement.

Attimo accompagne le Client dans la mise en œuvre technique de ces droits (suppression des données, extraction, etc.) dans un délai maximum de 5 jours ouvrés à compter de la demande.

Article 9 — Obligations spécifiques du Client

Dans le cadre du présent Addendum, le Client s'engage à :

1. Recueillir ou s'assurer que sont recueillies les autorisations parentales préalables selon les modalités propres à chaque module.
2. Vérifier auprès de l'Établissement scolaire ou de la crèche que les autorisations ont bien été obtenues avant tout téléversement de photographies.
3. Ne pas téléverser de photographies d'enfants dont les parents ont expressément refusé.
4. Respecter strictement la Circulaire n° 2003-091 du 5 juin 2003 pour les activités en France : interdiction de tout démarchage commercial direct auprès des parents, interdiction de toute publicité sur les supports de vente, interdiction de rémunération du personnel de l'établissement.
5. Respecter les délais de suppression des photographies prévus à l'Article 7, notamment pour les galeries scolaires France soumises au contrat FFPMI.
6. Répondre aux demandes d'exercice des droits des titulaires de l'autorité parentale dans les délais légaux.
7. Informer Attimo de toute situation susceptible d'affecter la licéité du traitement.

Article 10 — Contrat FFPMI et documents d'établissement

Dans le cadre du module Scolaire, la Plateforme Attimo met à disposition du Client :

• Un modèle de contrat FFPMI (Fédération Française de la Photographie et des Métiers de l'Image) pré-rempli automatiquement avec les informations de l'Établissement et du photographe, conforme à la Circulaire n° 2003-091 du 5 juin 2003. Ce modèle est destiné exclusivement à un usage en France.
• Un outil de signature électronique permettant aux directions d'établissement de signer les contrats en ligne, avec audit trail (hash SHA-256, adresse IP, horodatage).
• Pour les interventions hors France : un éditeur de texte libre permettant au Client de rédiger son propre contrat avec des variables dynamiques pré-remplies (nom de l'établissement, adresse, commission, etc.). Attimo ne fournit aucun modèle de contrat pour les pays autres que la France ; la rédaction du contrat relève de la seule responsabilité du Client.

L'utilisation du modèle FFPMI français ne dispense pas le Client de vérifier son adéquation avec sa situation particulière. Le modèle est fourni à titre indicatif et ne remplace pas la validation par un professionnel du droit si le Client l'estime nécessaire.

Article 11 — Notification de violation

En cas de violation de données personnelles concernant spécifiquement des mineurs, Attimo notifie le Client dans un délai maximum de 24 heures (au lieu de 48 heures prévues par le DPA principal), compte tenu du caractère particulièrement sensible de ces données.

La notification comporte une évaluation précise de l'impact potentiel sur les mineurs concernés et des mesures d'urgence prises.

Le Client s'engage à informer l'Établissement scolaire ou la crèche ainsi que les titulaires de l'autorité parentale si la violation présente un risque pour les droits et libertés des mineurs concernés.

Article 12 — Responsabilité

Chaque Partie demeure responsable du respect de ses obligations respectives prévues par le présent Addendum et par le RGPD.

Le Client reconnaît qu'il est seul responsable :

• Du recueil effectif et conforme des autorisations parentales préalables.
• Du respect des obligations contractuelles envers les Établissements scolaires et crèches avec lesquels il contracte, y compris les engagements relatifs aux durées de conservation et à la suppression des photographies (notamment l'article 5 du contrat FFPMI).
• Du respect de la Circulaire n° 2003-091 du 5 juin 2003 et des règles déontologiques de la profession.
• De la qualité et de la légalité des contrats rédigés pour des interventions hors France via l'éditeur libre.

Article 13 — Durée et cessation

Le présent Addendum entre en vigueur à compter de la première utilisation des modules Scolaire ou Crèche par le Client et demeure en vigueur tant que celui-ci utilise l'un de ces modules.

L'activation et la désactivation des modules Scolaire et Crèche sur le compte du Client relèvent de la seule compétence d'Attimo, sur la base du plan d'abonnement souscrit par le Client et des décisions administratives prises par Attimo (interface d'administration dédiée).

En cas de désactivation d'un module ou de résiliation du Contrat Principal, les données de mineurs traitées dans le cadre du module concerné sont supprimées conformément aux délais prévus à l'Article 7 et à l'Article 11 du DPA principal.

Article 14 — Articulation avec le DPA principal

Le présent Addendum est annexé au DPA principal conclu entre les Parties et en fait partie intégrante. Les dispositions du DPA principal s'appliquent à l'ensemble des traitements non spécifiquement régis par le présent Addendum.

En cas de contradiction entre le DPA principal et le présent Addendum, les dispositions du présent Addendum prévalent s'agissant des traitements de données de mineurs.