# STATUT INSTITUTIONNEL DE PROTECTION DES DONNÉES PERSONNELLES, GOUVERNANCE RGPD ET TRAÇABILITÉ REGISTRALE ACADÉMIQUE **UNIVERSITÉ EUROPÉENNE DE PARIS – UNIVERSITÉ EUROPÉENNE (SAEJEE — UNIVERSIDAD EUROPEA DE PARÍS)** **Référence Institutionnelle :** `PDP-UEP-SAEJEE-2026-v6.0` --- ## TITRE I. DISPOSITIONS GÉNÉRALES, PERSONNALITÉ JURIDIQUE DU RESPONSABLE DU TRAITEMENT ET STRUCTURE DE GOUVERNANCE **ARTICLE 1er – Cadre normatif, personnalité juridique, pleine validité institutionnelle et vérification registrale dans les systèmes officiels de l'État français (data.gouv.fr / DINUM / INSEE / SIRENE)** **I. –** Dans le cadre de l'enseignement supérieur privé libre, de la recherche doctorale de troisième cycle et de l'enseignement exécutif transnational, la protection effective des données à caractère personnel constitue un pilier statutaire qui structure la foi publique universitaire, la traçabilité des diplômes délivrés et la sécurité juridique des étudiants et diplômés de **UNIVERSITÉ EUROPÉENNE DE PARIS – UNIVERSITÉ EUROPÉENNE (SAEJEE — UNIVERSIDAD EUROPEA DE PARÍS)**. En application directe du principe de responsabilité proactive (*accountability*) consacré à l'article 5, paragraphe 2, du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (Règlement général sur la protection des données — RGPD), et de la jurisprudence de la Cour de justice de l'Union européenne (affaires *C-210/16 Wirtschaftsakademie*, *C-40/17 Fashion ID* et *C-311/18 Schrems II*), l'institution structure son système de gouvernance des données selon les normes techniques et délibératives de la *Commission Nationale de l'Informatique et des Libertés* (CNIL) de la République française. **II. –** Conformément aux articles 12, 13 et 14 du RGPD et à la législation interne française ([*Loi du 1er juillet 1901 relative au contrat d'association*](legislation-francaise/loi-1901/index.html) [[PDF](legislation-francaise/pdfs/loi-1901.pdf)] et [*Code de l'éducation*](legislation-francaise/code-education/index.html) [[PDF](legislation-francaise/pdfs/code-education.pdf)]), l'identification registrale, statutaire et fiscale du Responsable du traitement (*Responsable du traitement* / *Data Controller*) est établie selon les termes suivants, vérifiables dans les bases officielles de l'État français : 1° **Dénomination officielle et institutionnelle du Responsable du traitement :** * *a)* **Dénomination d'enregistrement en République française :** `UNIVERSITÉ EUROPÉENNE DE PARIS – UNIVERSITÉ EUROPÉENNE` (opérant conjointement sous l'acronyme statutaire et identifiant institutionnel **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** et sa dénomination officielle en langue espagnole **UNIVERSIDAD EUROPEA DE PARÍS**, conformément aux [Mentions Légales et Impressum Statutaire](#mentions-legales) [[PDF](documentos/aviso-legal-es.pdf)]). * *b)* **Personnalité juridique et nature statutaire :** Établissement privé d'enseignement supérieur libre constitué sous forme d'association déclarée de droit privé français (*Association déclarée*, catégorie juridique officielle INSEE `9220`), régi par les articles [1er](legislation-francaise/loi-1901/index.html#LEGIARTI000006490433), [2](legislation-francaise/loi-1901/index.html#LEGIARTI000006490434) et [5](legislation-francaise/loi-1901/index.html#LEGIARTI000044265460) de la [*Loi du 1er juillet 1901*](legislation-francaise/loi-1901/index.html) et par le Livre VII, Titre III du [*Code de l'éducation*](legislation-francaise/code-education/index.html) ([*Article L. 731-1*](legislation-francaise/articles/LEGIARTI000042815166.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000042815166.pdf)]). * *c)* **Ancienneté et pleine validité institutionnelle ininterrompue :** Fondée à Paris le **11 juin 1991**, attestant de plus de **trente-cinq (35) années** d'activité administrative ininterrompue (*État administratif : EN ACTIVITÉ*) dans les registres officiels de la République française. 2° **Identifiants d'enregistrement, statistiques et fiscaux auprès de l'État français :** * *a)* **Numéro unique d'identification SIREN (INSEE) :** `399 107 937` ([Certificat Officiel INSEE SIRENE — PDF](documentos/avis-situation-sirene-insee-39910793700019.pdf)). * *b)* **Numéro SIRET de l'établissement siège principal :** `399 107 937 00019` · Numéro Interne de Classement (NIC) : `00019` ([Fiche d'Établissement et Cartographie Officielle — PDF](documentos/fiche-etablissement-siret-39910793700019-avec-carte.pdf)). * *c)* **Inscription au Répertoire National des Associations (RNA — Ministère de l'Intérieur / Préfecture de Police de Paris) :** `W751108902` (avec numéro historique d'enregistrement préfectoral `751P00108902`). * *d)* **Identifiant International d'Entité Juridique (Code LEI — ISO 17442 / INSEE) :** `9695003637S275T57497`. * *e)* **Code d'Activité Principale Exercée (APE / NAF) :** `94.99Z` (*Autres organisations fonctionnant par adhésion volontaire*), en correspondance dans la nomenclature NAF 2025 avec le code `94.99Y`. * *f)* **Numéro de TVA Intracommunautaire (DGFiP — Union Européenne) :** `FR55399107937`. * *g)* **Siège social et adresse statutaire unique :** `229 Boulevard Voltaire, 75011 Paris, République Française` (avec siège historique d'origine documenté au `18 Rue de Londres, 75009 Paris`). * *h)* **Vérification d'État (Marianne · République Française — data.gouv.fr / DINUM / INSEE) :** Enregistrement officiel auditable au sein des systèmes gouvernementaux de la *Direction Interministérielle du Numérique* (DINUM) et de l'*Institut National de la Statistique et des Études Économiques* (INSEE) ([Dossier de Vérification de l'État Marianne — PDF](documentos/situation-sirene-marianne-39910793700019.pdf)), accessible optiquement via le code QR officiel figurant dans les [Mentions Légales et Impressum Statutaire](#mentions-legales). **ARTICLE 2 – Répertoire de gouvernance institutionnelle, Délégation à la Protection des Données (DPO / DPD) et canaux officiels de protection** **I. –** La supervision exécutive, l'audit de conformité réglementaire, la conservation des procès-verbaux académiques et le traitement des demandes des personnes concernées s'articulent autour des organes statutaires et canaux officiels suivants : | Organe ou Fonction Statutaire | Titulaire / Unité Responsable | Canal Électronique et Institutionnel Officiel | | --- | --- | --- | | **Rectorat Institutionnel et Représentation Légale** | Prof. Dr. Ramón L. Maiha Mulleras (Prof. Dr. Ramón L. Maiha M.) | [info@universiteeuropeenne.paris](mailto:info@universiteeuropeenne.paris) | | **Présidence et Vice-rectorat aux Affaires Académiques (CAO)** | M. Ramón Segundo | [cao@universiteeuropeenne.paris](mailto:cao@universiteeuropeenne.paris) | | **Direction des Affaires Juridiques (CLO) et Responsable PRADA** (*Personne Responsable de l'Accès aux Documents Administratifs*) | M. Manuel Santos | [prada@universiteeuropeenne.paris](mailto:prada@universiteeuropeenne.paris) · [clo@universiteeuropeenne.paris](mailto:clo@universiteeuropeenne.paris) | | **Délégation à la Protection des Données (DPO / DPD)** | Unité de Protection des Données et Garanties RGPD | [dpd@universiteeuropeenne.paris](mailto:dpd@universiteeuropeenne.paris) | | **Direction de la Conformité Réglementaire et de la Communication (CCO)** | Mme Alicia Bejarano | [cco@universiteeuropeenne.paris](mailto:cco@universiteeuropeenne.paris) · [communication@universiteeuropeenne.paris](mailto:communication@universiteeuropeenne.paris) | | **Direction des Systèmes d'Information et des Technologies (CIO)** | Mme Krisbell Amesty | [cio@universiteeuropeenne.paris](mailto:cio@universiteeuropeenne.paris) · [webmaster@universiteeuropeenne.paris](mailto:webmaster@universiteeuropeenne.paris) · [hebergement@universiteeuropeenne.paris](mailto:hebergement@universiteeuropeenne.paris) | | **Secrétariat Général Académique et Service d'Enseignement à Distance (SEAD)** | Registre Central des Inscriptions et des Dossiers | [scolarite@saejee.eu](mailto:scolarite@saejee.eu) · [ead@universiteeuropeenne.paris](mailto:ead@universiteeuropeenne.paris) · [scolarite-distance@universiteeuropeenne.paris](mailto:scolarite-distance@universiteeuropeenne.paris) | | **Direction de la Recherche et de l'Innovation Doctorale (CRO)** | Mme María Herrera | [cro@universiteeuropeenne.paris](mailto:cro@universiteeuropeenne.paris) | | **Unité Technique d'Assurance Qualité (CQO)** | M. Carlos Salinas | [cqo@universiteeuropeenne.paris](mailto:cqo@universiteeuropeenne.paris) | | **Direction des Admissions (CMO) et de l'Insertion Professionnelle** | Mme Valentina Márquez · M. Andrés Castro | [cmo@universiteeuropeenne.paris](mailto:cmo@universiteeuropeenne.paris) · [careers@universiteeuropeenne.paris](mailto:careers@universiteeuropeenne.paris) | | **Support Technique d'Infrastructure et Accompagnement Étudiant** | M. Henry Carmona · M. Anthony España | [itsupport@universiteeuropeenne.paris](mailto:itsupport@universiteeuropeenne.paris) · [support@universiteeuropeenne.paris](mailto:support@universiteeuropeenne.paris) · Tél./WhatsApp : [+33 (7) 70 22 36 99](tel:+33770223699) | **II. –** *Portée juridique de la centralisation registrale dans l'espace transnational :* La mention intégrale des identifiants officiels de l'État français (`SIREN 399 107 937`, `SIRET 399 107 937 00019`, `RNA W751108902`, `LEI 9695003637S275T57497` et `TVA FR55399107937`) confère à l'étudiant et au diplômé une traçabilité juridique inattaquable. Tant lors des procédures d'évaluation expertale et d'apostille internationale que lors des audits algorithmiques ou documentaires des titres, l'origine du dossier académique demeure indissociablement liée à une personne juridique française justifiant de trente-cinq (35) années d'existence vérifiable au sein des répertoires officiels de la République française. --- ## TITRE II. CADRE JURIDIQUE APPLICABLE, HIÉRARCHIE NORMATIVE ET DOCTRINE D'AUTONOMIE DES BASES DE LICÉITÉ **ARTICLE 3 – Hiérarchie normative européenne (RGPD) et législation nationale française (Loi Informatique et Libertés)** **I. –** Toutes les opérations de traitement de données à caractère personnel effectuées par **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** — y compris la collecte, la structuration, la conservation, le contrôle cryptographique, le transfert encadré et la suppression sécurisée — sont régies de manière directe et impérative par le droit de l'Union européenne et l'ordre juridique de la République française : 1° **Règlement (UE) 2016/679 du Parlement européen et du Conseil (RGPD) :** * *a)* **Article 3 (Champ d'application territorial) :** Soumission directe au RGPD en raison de l'établissement principal du Responsable du traitement à Paris (République française), garantissant un niveau identique de protection européenne à l'ensemble des étudiants, candidats, enseignants et diplômés, indépendamment de leur nationalité ou de leur pays de résidence (y compris l'Amérique latine — LATAM et le reste du monde). * *b)* **Article 5 (Principes relatifs au traitement) :** Respect strict des principes de licéité, de loyauté et de transparence (`Art. 5.1.a`), de limitation des finalités (`Art. 5.1.b`), de minimisation des données (`Art. 5.1.c`), d'exactitude registrale (`Art. 5.1.d`), de limitation de la conservation (`Art. 5.1.e`), d'intégrité et de confidentialité (`Art. 5.1.f`) et de responsabilité proactive (`Art. 5.2`). * *c)* **Articles 6, 7, 8 et 9 (Bases de licéité et catégories particulières) :** Fondement strict de chaque traitement sur l'exécution du contrat de formation (`Art. 6.1.b`), le respect des obligations légales françaises et européennes (`Art. 6.1.c`), l'intérêt légitime institutionnel proportionné pour la sécurité informatique et la vérification antifraude des diplômes (`Art. 6.1.f`), ou le consentement spécifique, libre et éclairé (`Art. 6.1.a`), ainsi que les garanties renforcées pour les projets de recherche scientifique ou clinique (`Art. 9.2.a`, `Art. 9.2.j` et `Art. 89`). * *d)* **Articles 12 à 22 (Droits de la personne concernée) et Articles 24 à 39 (Sécurité et gouvernance) :** Régime protecteur des droits des personnes concernées, protection des données dès la conception et par défaut (`Art. 25`), contrats contraignants de sous-traitance (`Art. 28`), registre des activités de traitement (`Art. 30`), sécurité cryptographique et logique (`Art. 32`), notification des violations dans un délai maximal de soixante-douze (72) heures (`Arts. 33 et 34`) et analyses d'impact relatives à la protection des données (`Art. 35`). * *e)* **Articles 44 à 49 (Transferts internationaux) :** Application des clauses contractuelles types de la Commission européenne (`Art. 46.2.c`) et des garanties techniques supplémentaires lors des flux transfrontaliers hors de l'Espace économique européen (EEE). 2° **Législation interne de la République française (*Loi Informatique et Libertés* et délibérations de la CNIL) :** * *a)* ***Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés* (modifiée par la loi n° 2018-493 et l'ordonnance n° 2018-1125) :** Texte législatif français complétant le RGPD sur le territoire national et organisant le régime répressif et de contrôle de la *Commission Nationale de l'Informatique et des Libertés* (CNIL). * *b)* **Article 82 de la *Loi n° 78-17* :** Transposition en droit français de la directive 2002/58/CE (*ePrivacy*), régissant le dépôt et la lecture de cookies et traceurs sur les équipements terminaux des utilisateurs, exigeant un consentement préalable et éclairé pour tout dispositif non strictement nécessaire à la fourniture technique du service. **ARTICLE 4 – Articulation avec le corpus législatif de l'enseignement supérieur et de la recherche et règle d'exclusion de fondement juridique générique** **I. –** La capacité juridique de l'institution à organiser des programmes de formation supérieure, à diriger des recherches doctorales et à délivrer des diplômes académiques découle des dispositions suivantes issues de notre bibliothèque législative officielle : * *a)* [**Article L. 151-1 du *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000006524458.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000006524458.pdf)] : Garantie constitutionnelle et légale de la liberté de l'enseignement supérieur en République française. * *b)* [**Article L. 613-2 du *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000027747939.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000027747939.pdf)] : Régime légal des diplômes propres d'établissement et interuniversitaires (*Diplôme Interuniversitaire* — `DIU / DIU-DOCTORAT` et *Diplôme d'Université* — `DU`). * *c)* [**Article L. 731-1 du *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000042815166.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000042815166.pdf)] : Régime d'ouverture et de fonctionnement des établissements privés d'enseignement supérieur libre. * *d)* [**Article L. 444-1**](legislation-francaise/articles/LEGIARTI000006525041.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000006525041.pdf)] et [**Article L. 444-8 du *Code de l'éducation***](legislation-francaise/code-education/index.html#LEGIARTI000006525050) : Cadre réglementaire de l'enseignement à distance et formalisation contractuelle avec l'étudiant. * *e)* [**Article L. 718-16 du *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000027743556.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000027743556.pdf)] : Conventions de coopération interuniversitaire internationale pour la cotutelle, la codirection et la certification conjointe d'études. * *f)* [**Article L. 123-3 du *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000027747739.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000027747739.pdf)] : Mission de formation tout au long de la vie et de haute spécialisation exécutive jusqu'au Niveau 8 du Cadre européen des certifications (EQF 8). * *g)* [**Article L. 412-1 du *Code de la recherche***](legislation-francaise/articles/LEGIARTI000044467582.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000044467582.pdf)] et [**Arrêté du 25 mai 2016**](legislation-francaise/doctorat/index.html) [[PDF](legislation-francaise/pdfs/doctorat.pdf)] : Formation doctorale pour la recherche et l'innovation scientifique de troisième cycle. **II. –** *Doctrine contraignante de séparation entre habilitation éducative et base de licéité RGPD :* Il est établi au rang de norme statutaire interne que les dispositions précitées du [*Code de l'éducation*](legislation-francaise/code-education/index.html) et du [*Code de la recherche*](legislation-francaise/code-recherche/index.html) fondent la personnalité juridique, la compétence d'enseignement et l'autorité de certification de l'Université, mais **ne sauraient être invoquées comme une dérogation ni comme un fondement juridique général se substituant à l'article 6 du RGPD**. Chaque opération de traitement de données à caractère personnel réalisée par l'institution repose de manière autonome, explicite et vérifiable sur l'une des bases juridiques limitativement énumérées aux articles 6 et 9 du RGPD. --- ## TITRE III. CATÉGORIES DE PERSONNES CONCERNÉES, MODALITÉS FORMATIVES ET REGISTRE MATRICE DES ACTIVITÉS DE TRAITEMENT (ART. 30 RGPD) **ARTICLE 5 – Classification statutaire des personnes concernées et architecture des environnements formatifs** **I. –** Afin d'appliquer des garanties techniques et juridiques proportionnées à chaque relation institutionnelle, l'Université classe les titulaires de données à caractère personnel (*personnes concernées*) en six (6) catégories distinctes : * 1° **Candidats et Postulants à l'Admission :** Professionnels et diplômés de l'enseignement supérieur soumettant des demandes d'information, des évaluations préalables de parcours ou des dossiers de candidature. * 2° **Étudiants Régulièrement Inscrits :** Étudiants actifs inscrits dans des programmes de Diplôme Interuniversitaire de Doctorat (`DIU-DOCTORAT`), de Diplôme d'Université (`DU`), d'*Executive MBA* ou de Certification Exécutive. * 3° **Diplômés et Membres du Corps des Anciens Élèves (*Alumni*) :** Titulaires de diplômes, de procès-verbaux de soutenance et de Suppléments au Diplôme Européens (SET) délivrés par l'institution et conservés au registre historique permanent. * 4° **Corps Enseignant, Directeurs de Thèse et Chercheurs :** Professeurs réguliers, professeurs invités et tuteurs cliniques ou médico-légaux rattachés aux six (6) Unités de Formation et de Recherche (UFR). * 5° **Évaluateurs Externes et Membres de Jurys de Thèse :** Universitaires et experts désignés pour l'évaluation sommative et les jurys de soutenance orale et publique de thèse doctorale. * 6° **Utilisateurs des Espaces Numériques et Tiers Vérificateurs :** Visiteurs du portail institutionnel (`www.universiteeuropeenne.paris`), autorités ou tiers consultant le système cryptographique de vérification documentaire ([https://www.saejee.eu/verification/](https://www.saejee.eu/verification/)). **II. –** Les activités de traitement se déploient tant dans le cadre de la formation à distance par le biais de l'Espace Numérique de Travail (Campus Virtuel LMS hébergé exclusivement au sein de centres de données européens d'**OVHcloud SAS** en France et d'**Hetzner Online GmbH** en Allemagne) que lors des activités présentielles et cliniques/expertales encadrées (pratique directe auditée dans le *Logbook* et soutenance orale devant jury). **ARTICLE 6 – Répertoire matrice du Registre des Activités de Traitement (Article 30 du RGPD)** **I. –** En application de l'article 30 du RGPD, la matrice structurée des activités de traitement effectuées sous la responsabilité de **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** est rendue publique : | Activité de Traitement | Catégories de Données à Caractère Personnel | Origine des Données | Finalité Spécifique du Traitement | Base Juridique de Licéité (Art. 6 et 9 RGPD) | Caractère de la Fourniture | | --- | --- | --- | --- | --- | --- | | **1. Gestion des Candidatures et des Inscriptions** | Nom, prénoms, pièce d'identité/passeport, date et lieu de naissance, coordonnées, diplômes universitaires antérieurs et curriculum vitae. | Directe (fournie par le candidat). | Vérification des conditions d'accès au cycle correspondant, formalisation du contrat d'études et attribution d'un numéro d'inscription institutionnel unique. | Exécution d'un contrat ou mesures précontractuelles (`Art. 6.1.b RGPD`). | **Obligatoire** (son omission empêche le traitement de l'admission et de l'inscription). | | **2. Enseignement et Évaluation sur le Campus Virtuel (LMS)** | Identifiants chiffrés, journaux de connexion (IP, horodatages), travaux universitaires remis, examens sommatifs (barème `0–20`) et interactions pédagogiques. | Directe et indirecte (interactions au sein du LMS). | Dispensation de l'enseignement à distance ([*Art. L. 444-1*](legislation-francaise/articles/LEGIARTI000006525041.html)), suivi pédagogique, contrôle continu (Annexe B) et sécurité logique du campus. | Exécution contractuelle (`Art. 6.1.b RGPD`) et intérêt légitime en cybersécurité (`Art. 6.1.f RGPD`). | **Obligatoire** (indispensable pour suivre et valider le cursus d'études). | | **3. Pratique Clinique, Médico-légale ou Expertale Encadrée** | Journal de bord des actes (*Logbook*), heures de pratique directe supervisée, rapports d'évaluation d'expertise et avis des tuteurs (avec données de tiers 100 % anonymisées). | Directe (étudiant et tuteur référent). | Audit et certification des heures de pratique professionnelle directe supervisée (Annexe A du SET) dans le cadre du Double Track Formatif. | Exécution contractuelle (`Art. 6.1.b RGPD`). | **Obligatoire** (dans les cursus comportant une composante pratique et expertale auditée). | | **4. Gestion Financière, Facturation et Garanties de Remboursement** | Données de facturation, justificatifs bancaires, identifiants de transaction PayPal, historique des paiements et demandes de rétractation ou de garantie. | Directe et passerelle financière certifiée. | Émission des factures, comptabilité légale française, conformité fiscale (`TVA FR55399107937`) et application du Triple Bouclier de Remboursement (14 jours légal, 30 jours institutionnel et 180 jours PayPal). | Exécution contractuelle (`Art. 6.1.b RGPD`) et obligation légale fiscale/commerciale (`Art. 6.1.c RGPD` · *Art. L. 123-22 Code de commerce*). | **Obligatoire** (exigence légale pour la gestion des droits d'inscription et de la fiscalité). | | **5. Délivrance des Diplômes, SET et Vérification Cryptographique QR** | Identité du diplômé, matricule unique, dénomination du diplôme (`DIU-DOCTORAT` / `DU`), mention, procès-verbaux de soutenance, signatures `PAdES` et code QR. | Génération registrale interne à partir du dossier consolidé. | Délivrance des diplômes et Suppléments au Diplôme Européens (SET), archivage historique permanent et validation publique antifraude par code QR et signature `eIDAS`. | Exécution contractuelle (`Art. 6.1.b`), obligation légale (`Art. 6.1.c`) et intérêt légitime attaché à la foi publique et à la lutte contre la fraude (`Art. 6.1.f RGPD`). | **Obligatoire** (inhérent à la validité, à l'authenticité et à la vérification du diplôme). | | **6. Recherche Doctorale et Travaux Scientifiques (Annexe C)** | Manuscrits de thèse doctorale, protocoles méthodologiques (`PRISMA` / `ICH-GCP`), rapports de soutenance de jury et jeux de données anonymisés ou pseudonymisés. | Directe (doctorant, codirecteurs et centres associés). | Direction, évaluation et publication des recherches doctorales de troisième cycle ([*Art. L. 412-1 Code de la recherche*](legislation-francaise/articles/LEGIARTI000044467582.html)). | Exécution contractuelle (`Art. 6.1.b`), consentement explicite (`Art. 9.2.a`) ou fins de recherche scientifique assorties de garanties (`Art. 9.2.j` et `Art. 89 RGPD`). | **Obligatoire** pour l'obtention du grade doctoral correspondant. | **II. –** *Règle d'exclusion des consentements tacites ou globaux :* Il est expressément stipulé que ni la formalisation de l'inscription ni la navigation sur les portails institutionnels ne sauraient valoir consentement général ou indéterminé pour des traitements étrangers aux finalités déclarées dans la matrice ci-dessus. Ainsi, les opérations nécessaires à l'exécution académique et à la conservation registrale reposent sur des bases contractuelles et légales solides (`Arts. 6.1.b et 6.1.c RGPD`), tandis que les opérations accessoires (telles que les cookies de mesure d'audience ou les lettres d'information) dépendent exclusivement du consentement libre et révocable de la personne concernée (`Art. 6.1.a RGPD`). --- ## TITRE IV. CONSERVATION DU DOSSIER ACADÉMIQUE MATRICE, ARCHITECTURE CRYPTOGRAPHIQUE DU CODE QR ET PROTECTION EN RECHERCHE **ARTICLE 7 – Foi publique universitaire, unité juridique du dossier matrice et architecture cryptographique du code QR** **I. –** La conservation permanente des dossiers de fin d'études, diplômes au format A3 et Suppléments au Diplôme Européens (SET) constitue une fonction essentielle de sécurité juridique de **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS**. Le dossier académique de chaque diplômé forme une **unité documentaire et juridique indissociable**, identifiée sous un numéro d'immatriculation institutionnel unique, et composée de : * 1° **Le Corps Principal du Diplôme et du Supplément au Diplôme Européen (SET / *Diploma Supplement*) :** Structuré selon les huit (8) sections normalisées établies conjointement par la Commission européenne, le Conseil de l'Europe et l'UNESCO/CEPES. * 2° **L'Annexe A (Relevé Opératoire et *Logbook* de Pratique Auditée) :** Certifiant le volume de pratique professionnelle, clinique ou médico-légale directe supervisée (atteignant, dans le programme doctoral de référence, **57,27 %** de la charge totale, soit **4 948 heures** et **2 467 actes** vérifiés). * 3° **L'Annexe B (Ensemble des Évaluations Sommatives) :** Notées rigoureusement selon l'échelle officielle française de **0 à 20 points**. * 4° **L'Annexe C (Recherche Scientifique et Thèse Doctorale) :** Documentant le travail original de recherche et le procès-verbal de soutenance devant le jury d'examen (*Jury de Thèse*). **II. –** La vérification électronique de l'authenticité des documents délivrés s'opère selon les standards cryptographiques suivants et dans le respect de la protection des données dès la conception (*Privacy by Design*, `Art. 25 RGPD`) : * *a)* **Canal officiel de validation cryptographique :** Le code QR bidimensionnel apposé sur chaque diplôme et relevé académique renvoie vers le portail institutionnel sécurisé de vérification ([https://www.saejee.eu/verification/](https://www.saejee.eu/verification/)), pourvu d'un accès de contrôle documentaire au moyen des identifiants institutionnels de consultation (identifiant : `ESIGNACT` · mot de passe : `ESIGN-UETA`). * *b)* **Signature électronique avancée PAdES et horodatage eIDAS :** Les documents numériques natifs intègrent des signatures cryptographiques conformes au standard **PAdES** (*PDF Advanced Electronic Signatures*) accompagnées d'un horodatage qualifié (*timestamping*), en conformité avec le Règlement (UE) n° 910/2014 (**Règlement eIDAS**) et l'article 1367 du *Code civil* français. * *c)* **Minimisation stricte lors de la consultation publique du code QR :** La vérification par code QR confirme exclusivement l'authenticité des signatures numériques et l'exactitude des mentions d'enregistrement essentielles du diplôme (nom et prénom du titulaire, numéro d'immatriculation, intitulé du cursus, niveau académique et mention obtenue), **sans exposer publiquement à des tiers non autorisés les notes détaillées de l'Annexe B, le descriptif individuel des dossiers de l'Annexe A, ni les coordonnées ou l'adresse privée du diplômé**. **ARTICLE 8 – Cohérence registrale du Double Track Formatif et distinction technique entre anonymisation et pseudonymisation en recherche** **I. –** Les registres académiques conservés par le Secrétariat Général ([scolarite@saejee.eu](mailto:scolarite@saejee.eu)) reflètent avec une rigueur arithmétique et documentaire absolue l'architecture du **Double Track Formatif** ([Article 5 des Conditions Générales de Vente](#conditions-generales-de-vente)) : **180 crédits ECTS** selon le cadre de référence de l'Espace Européen de l'Enseignement Supérieur (EEES) et **8 640 heures** chronologiques globales pour les systèmes d'évaluation d'Amérique latine (LATAM), situant les diplômes de troisième cycle au **Niveau 8 du Cadre européen des certifications (EQF 8)**. **II. –** Dans le cadre des recherches doctorales (Annexe C) et des pratiques cliniques, neuropsychologiques ou médico-légales (Annexe A) impliquant l'analyse de situations réelles, l'institution applique impérativement la distinction technique et juridique établie par le RGPD : * 1° **Anonymisation irréversible :** Procédé technique définitif supprimant l'ensemble des identifiants directs et indirects des sujets ou patients examinés, de telle sorte qu'aucune réidentification ne soit possible par quelque moyen raisonnable que ce soit. Tout enregistrement versé par l'étudiant dans son *Logbook* (Annexe A) ou dans son mémoire de thèse (Annexe C) doit faire l'objet préalable d'une anonymisation irréversible. * 2° **Pseudonymisation cryptographique (`Art. 4.5` et `Art. 32.1.a RGPD`) :** Mesure technique de sécurité consistant à substituer aux éléments d'identification un code alphanumérique ou une clé de hachage, la table de correspondance étant conservée de manière distincte et chiffrée sous le contrôle exclusif de l'établissement clinique ou de l'investigateur habilité. Les données pseudonymisées conservent la qualification juridique de données à caractère personnel et demeurent pleinement protégées par le RGPD. --- ## TITRE V. DESTINATAIRES, SOUVERAINETÉ D'INFRASTRUCTURE DANS L'UNION EUROPÉENNE ET TRANSFERTS INTERNATIONAUX DE DONNÉES **ARTICLE 9 – Catégorisation juridique des destinataires, sous-traitants technologiques européens et coopération interuniversitaire** **I. –** L'Université délimite rigoureusement le statut juridique des entités participant à la circulation des informations institutionnelles, interdisant toute cession commerciale ou divulgation non autorisée à des tiers : * 1° **Personnel interne habilité sous obligation de réserve :** Organes rectoraux, Secrétariat Général Académique ([scolarite@saejee.eu](mailto:scolarite@saejee.eu)), Direction des Affaires Juridiques PRADA/DPD et jury d'examen, qui accèdent exclusivement aux données indispensables à l'exercice de leurs attributions statutaires dans le cadre d'un contrôle d'accès fondé sur les rôles (*RBAC*). * 2° **Sous-traitants techniques (*Sous-traitants* / *Data Processors* — `Art. 28 RGPD`) :** Prestataires d'infrastructures d'hébergement et de services infonuagiques traitant des données exclusivement pour le compte de l'Université, en vertu d'accords de traitement de données (*Data Processing Agreements — DPA*) audités et localisés en totalité sur le territoire de l'Union européenne : * *a)* **OVHcloud SAS :** Société de droit français dont le siège social est situé au `2 rue Kellermann, 59100 Roubaix, République Française` (`RCS Lille Métropole 424 761 419`), dont les centres de données de haute sécurité à Paris, Roubaix et Gravelines (France) hébergent le cœur des serveurs institutionnels. * *b)* **Hetzner Online GmbH :** Société de droit allemand dont le siège social est situé à `Industriestr. 25, 91710 Gunzenhausen, République Fédérale d'Allemagne`, dont les centres de données certifiés selon la norme ISO/IEC 27001 à Gunzenhausen et Nuremberg (Allemagne) assurent la redondance géographique au sein de l'Espace économique européen. * 3° **Responsables conjoints du traitement en coopération interuniversitaire (*Responsables conjoints* — `Art. 26 RGPD`) :** Dans les cursus de Diplôme Interuniversitaire de Doctorat (`DIU-DOCTORAT`) et de troisième cycle organisés au titre de conventions de coopération interuniversitaire fondées sur l'[Article L. 718-16 du Code de l'éducation](legislation-francaise/articles/LEGIARTI000027743556.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000027743556.pdf)] — incluant la coopération académique avec **Helmstedt University** (Allemagne) ainsi que le cadre scientifique et clinique de référence avec **Universitätsmedizin Berlin** (Allemagne) —, l'échange de procès-verbaux académiques et de dossiers de cotutelle s'effectue dans le respect d'accords de coresponsabilité garantissant l'application uniforme du RGPD sur le sol européen. * 4° **Responsables distincts du traitement (*Responsables distincts*) :** Notaires publics européens, autorités chargées de l'apostille au titre de la Convention de La Haye de 1961, ministères ou organismes de reconnaissance étrangers auprès desquels le diplômé accomplit des démarches directes, et établissements financiers ou prestataires de paiement certifiés (notamment **PayPal**, auprès duquel l'Université opère sous son immatriculation fiscale vérifiée `SIREN 399 107 937` · `TVA FR55399107937`). **ARTICLE 10 – Régime des transferts internationaux de données hors de l'Espace économique européen (Doctrine Schrems II)** **I. –** Lorsque le déploiement de formations internationales, l'accès à distance d'étudiants ou d'enseignants résidant en Amérique latine (LATAM) ou la transmission de dossiers à des autorités hors UE entraînent un flux transfrontalier de données hors de l'Espace économique européen (EEE), l'Université met en œuvre les garanties prescrites au Chapitre V du RGPD (`Arts. 44 à 49`) : * 1° **Décisions d'adéquation de la Commission européenne (`Art. 45 RGPD`) :** Applicables de plein droit dès lors que le destinataire se trouve établi dans un État reconnu comme offrant un niveau de protection adéquat par la Commission européenne. * 2° **Clauses contractuelles types (CCT / SCC) et Évaluation de l'impact du transfert (TIA) (`Art. 46.2.c RGPD`) :** Pour les pays d'Amérique latine et les États tiers ne bénéficiant pas d'une décision d'adéquation globale, les échanges réguliers avec des enseignants associés ou des institutions partenaires sont encadrés par les clauses contractuelles types adoptées par la Décision d'exécution (UE) 2021/914 de la Commission européenne, assorties — en conformité stricte avec l'arrêt *Schrems II* de la CJUE (Affaire C-311/18) — d'une évaluation de l'impact du transfert (TIA) et de garanties cryptographiques de bout en bout (chiffrement `TLS 1.3` en transit et `AES-256` au repos avec gestion des clés sécurisée en France et en Allemagne selon une architecture *Zero-Trust*). * 3° **Exécution du contrat de formation et défense des droits dans les démarches de reconnaissance (`Arts. 49.1.b et 49.1.e RGPD`) :** Les transmissions ponctuelles de dossiers universitaires ou d'attestations sollicitées directement par l'étudiant ou le diplômé à destination de son pays de résidence pour l'exécution de son contrat d'études ou pour l'exercice de ses droits à la reconnaissance et à l'homologation professionnelle relèvent légitimement des dérogations prévues à l'article 49, paragraphe 1, sous b) et e), du RGPD. * 4° **Information sur les garanties :** Toute personne concernée peut obtenir des informations circonstanciées relatives aux garanties encadrant le transfert de son dossier en formulant sa demande auprès du Service Juridique PRADA ([prada@universiteeuropeenne.paris](mailto:prada@universiteeuropeenne.paris)). --- ## TITRE VI. DÉLAIS DE CONSERVATION, DOCTRINE DUALE D'ARCHIVAGE PERMANENT DES DIPLÔMES ET PURGE SÉCURISÉE **ARTICLE 11 – Stratification du cycle de vie documentaire et Doctrine Duale d'Archivage Permanent des Diplômes** **I. –** Conformément au principe de limitation de la durée de conservation (`Art. 5.1.e RGPD`), l'institution structure le cycle de vie des données à caractère personnel selon trois (3) phases successives et auditables : * 1° **Phase I — Base Active Opérationnelle (*Base active*) :** Conservation pendant la durée effective du cursus de formation, accessible aux services d'enseignement, d'encadrement pédagogique et du Secrétariat Académique. * 2° **Phase II — Archivage Intermédiaire et Registre Historique Restreint (*Archivage intermédiaire et définitif restreint*) :** À l'issue du cursus ou après délivrance du diplôme, les dossiers sont transférés vers un espace cloisonné doté d'un contrôle d'accès cryptographique réservé exclusivement au Secrétariat Général et à la Direction Juridique PRADA pour l'exécution des obligations légales et fiscales et la vérification perpétuelle des diplômes. * 3° **Phase III — Purge Sécurisée ou Anonymisation Irréversible :** À l'expiration des délais légaux de conservation applicables aux données administratives ou techniques ne relevant pas du procès-verbal de délivrance du diplôme, il est procédé à leur effacement logique définitif par des procédés d'écrasement sécurisé (*data wiping*) ou à leur anonymisation statistique définitive. **II. –** *Doctrine Duale d'Archivage Permanent des Diplômes et Inviolabilité du Registre Académique :* La conservation perpétuelle des registres de promotion, des procès-verbaux de soutenance de thèse, des diplômes délivrés et des Suppléments au Diplôme Européens (SET) trouve son fondement juridique dans la convergence entre l'intérêt légitime institutionnel à préserver la foi publique universitaire et à prévenir la contrefaçon documentaire (`Art. 6.1.f RGPD`), et les exceptions expresses au droit à l'effacement énoncées à l'**article 17, paragraphe 3, sous b), d) et e), du RGPD** (respect d'obligations d'archivage d'intérêt public, fins d'archivage historique/scientifique et constatation, exercice ou défense de droits en justice ou reconnaissance des prérogatives du titulaire du diplôme). Par conséquent, l'exercice du droit à l'effacement par un diplômé autorise la suppression de ses coordonnées annexes ou des données de navigation sur le campus virtuel, mais **laisse rigoureusement intacte et inaltérable l'inscription matriculaire du diplôme délivré** (nom du titulaire, matricule unique, intitulé du diplôme, date de collation et code QR de vérification), garantissant la validité perpétuelle du titre auprès de toute autorité publique ou employeur à l'échelle internationale. **ARTICLE 12 – Matrice normative des durées de conservation et de rétention documentaire** **I. –** Les durées de conservation applicables à chaque catégorie de documents au sein de **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** sont déterminées selon le barème obligatoire suivant : | Catégorie Documentaire / Registre | Durée en Base Active | Durée en Archivage Restreint | Fondement Normatif (RGPD et Droit Français) | | --- | --- | --- | --- | | **1. Procès-verbaux de Soutenance, Diplômes Délivrés, SET et Registre de Vérification QR** | Durée du cursus jusqu'à la collation du diplôme. | **Permanente (Perpétuelle)** au sein des Archives Historiques du Secrétariat Général ([scolarite@saejee.eu](mailto:scolarite@saejee.eu)). | `Arts. 6.1.f`, `17.3.b`, `17.3.d` et `17.3.e RGPD` · Sécurité juridique du titulaire et foi publique universitaire. | | **2. Pièces Comptables, Factures, Droits d'Inscription et Justificatifs de Paiement** | Exercice comptable et fiscal en cours. | **Dix (10) ans** à compter de la clôture de l'exercice comptable. | `Art. 6.1.c RGPD` combiné avec l'**Article L. 123-22 du *Code de commerce*** français et le *Code général des impôts*. | | **3. Dossiers d'Exercice des Droits RGPD et Procédures PRADA** | Pendant l'instruction de la demande (durée maximale de 1 à 3 mois). | **Cinq (5) ans** à compter de la notification de la décision finale. | `Art. 6.1.c` et `Art. 6.1.f RGPD` · Prescription civile de droit commun français (*Art. 2224 Code civil*). | | **4. Dossiers de Candidats non Inscrits et Demandes d'Information** | Jusqu'à **trois (3) ans** à compter du dernier contact émanant du candidat. | Suppression définitive ou anonymisation au terme du délai de 3 ans. | `Art. 5.1.e RGPD` et référentiel de conservation des prospects de la **CNIL**. | | **5. Journaux Techniques de Connexion (*Logs*), Adresses IP et Sessions LMS** | Jusqu'à **douze (12) mois** dans les dispositifs d'audit de sécurité. | Purge automatique par écrasement sécurisé au terme de 12 mois. | `Art. 6.1.f` et `Art. 32 RGPD` · Recommandations techniques de cybersécurité de la **CNIL**. | --- ## TITRE VII. DROITS DES TITULAIRES DE DONNÉES, SÉCURITÉ TECHNIQUE (ART. 32 RGPD) ET GOUVERNANCE DES TECHNOLOGIES DE TRAÇAGE **ARTICLE 13 – Catalogue des droits des personnes concernées, procédure opérationnelle d'exercice et absence de décision automatisée** **I. –** Toute personne dont les données à caractère personnel font l'objet d'un traitement de la part de l'Université dispose de la faculté d'exercer gratuitement et à tout moment l'ensemble des droits qui lui sont garantis par les articles 15 à 22 du RGPD : * 1° **Droit d'accès (`Art. 15 RGPD`) :** Obtenir confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées, et en recevoir une copie structurée. * 2° **Droit de rectification (`Art. 16 RGPD`) :** Exiger la correction des données inexactes ou la mise à jour des données incomplètes figurant dans son dossier administratif ou académique. * 3° **Droit à l'effacement (`Art. 17 RGPD`) :** Obtenir l'effacement des données qui ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, sous réserve de la conservation perpétuelle du registre des diplômes délivrés conformément à l'Article 11. * 4° **Droit à la limitation du traitement (`Art. 18 RGPD`) :** Obtenir le gel temporaire du traitement ou le verrouillage préventif des données durant la vérification d'une contestation. * 5° **Droit à la portabilité des données (`Art. 20 RGPD`) :** Recevoir les données fournies dans un format structuré, couramment utilisé et lisible par machine. * 6° **Droit d'opposition (`Art. 21 RGPD`) et retrait du consentement (`Art. 7.3 RGPD`) :** S'opposer pour des raisons tenant à sa situation particulière aux traitements fondés sur l'intérêt légitime, ou retirer à tout moment le consentement accordé pour les traitements facultatifs sans effet rétroactif. **II. –** *Procédure formelle d'instruction et délais réglementaires :* * *a)* **Canaux officiels de réception :** Les demandes s'effectuent par voie électronique auprès de la Direction des Affaires Juridiques et Responsable PRADA ([prada@universiteeuropeenne.paris](mailto:prada@universiteeuropeenne.paris)) ou de la Délégation à la Protection des Données ([dpd@universiteeuropeenne.paris](mailto:dpd@universiteeuropeenne.paris)), ou par lettre recommandée adressée au siège statutaire : `229 Boulevard Voltaire, 75011 Paris, République Française`. * *b)* **Vérification proportionnée de l'identité :** Les demandes présentées depuis l'adresse de messagerie institutionnelle ou enregistrée de l'étudiant sont traitées avec validation directe ; une copie d'un document d'identité officiel n'est sollicitée qu'en cas de doute raisonnable sur l'identité de l'auteur de la demande, afin d'empêcher toute divulgation non autorisée à des tiers. * *c)* **Délai de réponse :** L'Université statue et notifie sa réponse dans un délai maximal d'**un (1) mois** à compter de la réception de la demande (délai prorogeable de deux mois supplémentaires en cas de complexité technique particulière, sous réserve d'une notification motivée adressée au demandeur dans le premier mois, conformément à l'`Art. 12.3 RGPD`). * *d)* **Voies de recours :** Sans préjudice des procédures amiables de conciliation interne auprès de l'Unité PRADA/DPD, la personne concernée a le droit d'introduire une réclamation, au titre de l'article 77 du RGPD et de la *Loi n° 78-17*, auprès de l'autorité de contrôle nationale compétente en République française (la *Commission Nationale de l'Informatique et des Libertés — CNIL*, sise au `3 Place de Fontenoy, 75007 Paris, France`) ou auprès de l'autorité de protection des données de son lieu de résidence habituelle. **III. –** *Absence de décision individuelle automatisée (`Art. 22 RGPD`) :* Il est formellement certifié que **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** ne prend aucune décision fondée exclusivement sur un traitement automatisé et n'établit aucun profilage algorithmique produisant des effets juridiques sur l'admission, la notation, l'évaluation des thèses ou la collation des grades des étudiants. L'ensemble des décisions académiques et évaluatives résulte d'une intervention humaine collégiale assurée par les Commissions d'Admission, le corps professoral et les Jurys de Soutenance. **ARTICLE 14 – Mesures de sécurité techniques et organisationnelles (Art. 32 RGPD) et gouvernance des technologies de traçage (Art. 82 Loi 78-17)** **I. –** Conformément à l'article 32 du RGPD, l'Université déploie une infrastructure de sécurité informatique en profondeur articulée autour des exigences suivantes : * 1° **Chiffrement cryptographique intégral :** Transmission des données sous protocole `TLS 1.3`, stockage chiffré au repos (`AES-256`) et scellement électronique `PAdES` / `eIDAS` de l'ensemble des attestations et actes officiels. * 2° **Redondance géographique européenne et sauvegardes immuables :** Sauvegardes automatisées et inaltérables hébergées exclusivement au sein des centres de données d'**OVHcloud SAS** (France) et d'**Hetzner Online GmbH** (Allemagne). * 3° **Protocole de notification des incidents de sécurité (`Arts. 33 et 34 RGPD`) :** Audit continu d'intégrité et procédure d'alerte auprès de l'autorité de contrôle dans le délai impératif de **soixante-douze (72) heures** pour toute violation de données présentant un risque pour les droits et libertés des personnes concernées, complétés d'Analyses d'Impact relatives à la Protection des Données (`AIPD / DPIA — Art. 35 RGPD`) avant le déploiement de tout nouvel outil technologique. **II. –** *Gouvernance des cookies et traçabilité des garanties financières (Directive ePrivacy et Article 82 de la Loi n° 78-17) :* * *a)* **Cookies techniques et strictement nécessaires (exemptés de consentement) :** Dispositifs indispensables pour assurer la sécurité de la navigation, le maintien de la session active sur le Campus Virtuel (LMS) et la traçabilité cryptographique des transactions de paiement effectuées sous l'identité fiscale `UNIVERSITÉ EUROPÉENNE DE PARIS` (`SIREN 399 107 937` · `TVA FR55399107937`), assurant l'opérabilité du **Triple Bouclier Financier de l'Étudiant** ([Article 11 des Conditions Générales de Vente](#conditions-generales-de-vente) : 14 jours de rétractation légale européenne, 30 jours de garantie institutionnelle de satisfaction et 180 jours de Protection des Achats PayPal). * *b)* **Cookies de mesure d'audience et de personnalisation d'interface (soumis à consentement préalable) :** Dispositifs de statistiques agrégées et de mémorisation de la langue, dont l'activation requiert le consentement préalable de l'utilisateur par l'intermédiaire d'un bandeau de paramétrage symétrique permettant d'accepter ou de refuser en un clic avec la même facilité et sans aucun artifice trompeur (*dark pattern*), en parfaite coordination avec la [Politique de Confidentialité](#politique-confidentialite) ([PDF](documentos/politica-confidencialidad-es.pdf)) et les [Mentions Légales et Impressum Statutaire](#mentions-legales) ([PDF](documentos/aviso-legal-es.pdf)).