Accord de Sous-Traitance RGPD
Article 28 du Règlement (UE) 2016/679 — Version 1.3 - 3 septembre 2026
Préambule
Le présent accord est conclu en application de l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et définit les conditions dans lesquelles le Sous-traitant s'engage à effectuer pour le compte du Responsable de traitement les opérations de traitement de données à caractère personnel décrites ci-après.
Article 1 - Définition des parties
Le Responsable de traitement
L'établissement scolaire (représenté par son chef d'établissement ou l'académie pour les établissements publics) qui souscrit à l'offre Établissement du service EvalIA pour ses enseignants.
Enseignant avec une licence individuelle ? Une variante du présent accord existe pour ce cas : l'établissement y est également responsable de traitement (la qualité de payeur ne change pas la qualification RGPD), sans aucun engagement financier pour lui. Elle est fournie dans le kit établissement (présentation pédagogique, mot à la direction, note au chef d'établissement, accord adapté, AIPD cadre, fiche de registre, notice familles et son message Pronote, trame FRIA, versions éditables incluses), en téléchargement sur la page Confiance et gouvernance de l'IA ou sur demande à contact.EvalIA@oriantation.fr. Elle peut aussi être signée en ligne par le chef d'établissement, en quelques minutes et sans compte à créer.
Le Sous-traitant
Thomas Cavil, éditeur et développeur du service EvalIA
Entrepreneur individuel — SIREN 904 625 191 — 14 rue Traversière, 56690 Landévant
Contact : contact.EvalIA@oriantation.fr
Article 2 - Objet du traitement
Le Sous-traitant est autorisé à traiter pour le compte du Responsable de traitement les données à caractère personnel nécessaires au fonctionnement du service EvalIA, application d'aide à l'évaluation pédagogique multi-disciplines utilisant l'intelligence artificielle.
Finalités
- Fournir un service d'évaluation et de correction assistée par IA
- Permettre la génération de barèmes d'évaluation à partir de sujets d'examen
- Permettre l'analyse de copies d'élèves avec notation par compétences (D/A/PA/NA)
- Permettre la création de contenus pédagogiques via TeacherStudio
- Permettre la distribution d'exercices et de plans de travail aux élèves
- Assurer la gestion des classes et le suivi longitudinal des élèves
Article 3 - Catégories de données traitées
| Catégorie | Données | Sensibilité |
|---|---|---|
| Identification enseignant | Email, discipline, niveaux enseignés | Standard |
| Copies d'élèves (upload enseignant) | Contenu de la copie (image/PDF) | Temporaire (supprimé 30 jours après la correction) |
| Copies d'élèves (dépôts) | Fichiers uploadés par les élèves | Temporaire (supprimé 30 jours après la correction) |
| Prénoms élèves (suivi) | Prénom uniquement, chiffré côté client | Chiffré zero-knowledge |
| Exercices / Plans de travail | Contenu, réponses, progression élèves | Standard |
| TeacherStudio | Sources RAG, générations, chatbots | Standard |
Article 4 - Personnes concernées
- Enseignants : professeurs de l'établissement utilisant le service (utilisateurs directs)
- Élèves : élèves dont les copies sont analysées, qui réalisent des exercices ou suivent des plans de travail (personnes concernées indirectes)
Les élèves n'ont pas de compte EvalIA. Leur interaction se fait via des liens sécurisés (exercices, dépôts, plans de travail) avec authentification par code + prénom.
Article 5 - Obligations du Sous-traitant
5.1 Traitement des données
- Traiter les données uniquement sur instruction documentée du Responsable de traitement
- Ne pas utiliser les données pour ses propres finalités
- Ne pas utiliser les données pour l'entraînement de modèles d'IA
- Garantir la confidentialité des données traitées
- Informer immédiatement le Responsable de traitement si une instruction constitue, selon lui, une violation du RGPD (article 28.3, dernier alinéa)
5.2 Localisation des données
Toutes les données personnelles et les traitements IA portant sur des données personnelles sont effectués au sein de l'Union Européenne : base de données Firestore (multi-région UE eur3, Belgique et Pays-Bas), stockage de fichiers (europe-west1, Belgique), traitements serveur (europe-west1 et europe-west3), IA Vertex AI (europe-west1 et multi-région UE, copies anonymisées avant envoi).
Exceptions limitées : le paiement des abonnés français est géré par Stripe (Stripe Payments Europe, Ltd, Irlande, UE) ; les données d'abonnement des abonnés hors France (email, identifiant technique) sont transmises à Lemon Squeezy (USA), encadrées par les Clauses Contractuelles Types (SCCs, Art. 46.2.c RGPD). Aucune donnée pédagogique ni donnée d'élève n'est transmise aux prestataires de paiement. La génération de visuels pédagogiques utilise un endpoint Vertex AI global, sans aucune donnée personnelle dans les requêtes.
5.3 Sécurité
- Chiffrement en transit (HTTPS/TLS 1.3) et au repos (AES-256)
- Chiffrement zero-knowledge des prénoms élèves (côté client)
- Authentification enseignant avec double authentification (TOTP) proposée, déconnexion automatique sur inactivité pour les postes partagés
- Contrôle d'accès strict (Firestore Rules, deny by default)
- Protection XSS et injection de prompt (bibliothèque de validation dédiée)
- Rate limiting par utilisateur
- Audit trail des actions sensibles
- Plus de 11 700 tests automatisés (574 fichiers), dont des tests de sécurité dédiés
5.4 Assistance (article 28.3, points e et f du RGPD)
- Réponse aux demandes d'exercice des droits (délai : 72h)
- Aide à la réalisation d'analyses d'impact : AIPD cadre pré-remplie fournie, conformément à la recommandation de la FAQ CNIL du 18 juin 2025 sur les systèmes d'IA dans l'éducation
- Consultation préalable de la CNIL le cas échéant (article 36 du RGPD)
- Notification des violations de données (délai : 24h)
Article 6 - Sous-traitants ultérieurs
| Prestataire | Fonction | Localisation | Garanties |
|---|---|---|---|
| Google Cloud / Firebase | Base de données, authentification, stockage, traitements serveur | UE (multi-région eur3, europe-west1, europe-west3) | DPA Google Cloud |
| Google Vertex AI | IA générative et correction (Gemini 2.5 Flash / Gemini 3.7 Flash) | europe-west1 (Belgique) et multi-région UE (eu) | DPA Google Cloud, pas d'entraînement sur données |
| Vercel | Hébergement frontend et API | Edge européen (Paris) | DPA Vercel, EU-US DPF |
| Brevo (Sendinblue SAS) | Emails aux enseignants : vérification d'inscription, information, campagnes (email, prénom) | UE (France) | DPA Brevo, société française |
| Resend, Inc. | Emails transactionnels aux enseignants : lot de corrections prêt, événements d'abonnement, secours du code d'inscription (email, prénom) | UE | DPA Resend |
| Sentry | Monitoring erreurs (pas de données personnelles) | UE (Francfort) | SOC 2 Type II, PII scrubbing |
| Stripe (Stripe Payments Europe, Ltd) | Paiements et abonnements des abonnés français | UE (Irlande) | PCI-DSS, DPA Stripe, SCCs + EU-US DPF |
| LemonSqueezy | Paiements et abonnements hors France (email + ID uniquement) | USA (Merchant of Record) | PCI-DSS, SCCs Art. 46.2.c |
| Anthropic (Claude Code) | Outil IA de développement (données de débogage ponctuelles) | USA | DPA Anthropic, SCCs Art. 46.2.c |
Tout nouveau sous-traitant ultérieur sera notifié au Responsable de traitement avec un délai de 30 jours pour s'y opposer.
Article 7 - Durée de conservation
| Type de données | Durée de conservation |
|---|---|
| Comptes enseignants actifs | Durée de l'abonnement établissement |
| Copies d'élèves (upload enseignant) | 30 jours après la correction, puis suppression automatique |
| Copies d'élèves (dépôts) | 30 jours après la correction, puis suppression automatique |
| Plans de travail et progression | Année scolaire + 1 an |
| Logs d'audit | 24 mois |
Article 8 - Sort des données en fin de contrat
- Export : fourniture des données en format structuré (JSON/CSV) sous 30 jours
- Suppression : suppression des systèmes sous 30 jours après confirmation
- Attestation : attestation de suppression fournie sur demande
Article 9 - Notification des violations
- Notification au Responsable de traitement dans un délai de 24 heures
- Fourniture des informations nécessaires (nature, catégories de données, mesures prises)
- Coopération à la notification CNIL si nécessaire (72h)
Article 10 - Audit et contrôle
Le Responsable de traitement peut demander toute information sur les traitements effectués, réaliser ou faire réaliser des audits (avec préavis de 15 jours), et accéder aux informations nécessaires pour démontrer le respect des obligations.
Article 11 - Obligations du Responsable de traitement
- Informer les personnes concernées (enseignants, élèves, parents) du traitement
- Recueillir les consentements nécessaires
- Inscrire le traitement au registre des activités de traitement
- Réaliser l'analyse d'impact si nécessaire (modèle pré-rempli fourni)
- Désigner un DPO ou référent RGPD
Règlement IA (AI Act - Règlement UE 2024/1689)
- L'établissement est le déployeur au sens du Règlement IA (Article 3.4)
- L'éditeur (Sous-traitant) est le fournisseur (Article 3.3)
- L'établissement doit assurer la supervision humaine et informer les personnes concernées de l'utilisation de l'IA
Articles 12-14 - Dispositions générales
- Responsabilité : Chaque Partie est responsable des dommages causés par un traitement non conforme au RGPD
- Droit applicable : Le présent accord est soumis au droit français
- Entrée en vigueur : À la date de signature, valable pour la durée de l'abonnement à l'offre Établissement (ou, pour la variante licence individuelle, tant qu'un enseignant autorisé utilise le service)
Document complet avec champs de signature : Le document complet (PDF) avec les champs à remplir par l'établissement est fourni lors de la souscription à l'offre Établissement. La variante licence individuelle est en téléchargement sur la page Confiance et gouvernance de l'IA.
Contact : contact.EvalIA@oriantation.fr
Documents de référence
- Politique de Confidentialité EvalIA
- Mentions Légales et CGU
- AIPD complète de l'éditeur (v2.8) : disponible sur demande
- Modèle AIPD pré-rempli pour l'établissement : fourni avec le présent accord
Version 1.3 - 3 septembre 2026
EvalIA - L'IA au service de l'évaluation pédagogique