1. Objet et champ d'application

La présente politique de confidentialité a pour objet de définir les modalités de traitement des données à caractère personnel des utilisateurs de l'application web "EvalIA", conformément au Règlement Général sur la Protection des Données (RGPD).

2. Responsable de traitement et sous-traitance

Qui est responsable de quoi

La qualification s'apprécie traitement par traitement : elle dépend des données concernées, pas du canal de souscription. Deux situations la rendent concrète :

Cas 1 : Usage individuel (B2C)

Lorsqu'un enseignant s'inscrit de manière autonome, sans passer par un établissement scolaire, l'éditeur est responsable du traitement de ses données de compte et d'abonnement (identification, facturation, sécurité du service) :

Responsable de traitement : Thomas Cavil

Qualité : Entrepreneur individuel · SIREN 904 625 191

Contact : contact.EvalIA@oriantation.fr

La souscription individuelle est sans incidence sur la qualification des parties pour les données d'élèves : traitées dans le cadre de la mission d'enseignement, elles relèvent de la responsabilité de l'établissement dont relève l'enseignant (cas 2), l'éditeur agissant en qualité de sous-traitant. Les engagements de l'accord de sous-traitance publié s'appliquent de plein droit à tout traitement de données d'élèves opéré par le service ; la signature de l'accord par l'établissement formalise un cadre déjà effectif. Le chef d'établissement peut le signer en ligne, l'identité de l'établissement étant vérifiée par un code envoyé à son adresse officielle publiée par l'Annuaire de l'éducation nationale.

Cas 2 : Usage établissement (B2B/B2E)

Lorsque l'établissement scolaire déploie EvalIA pour ses enseignants (offre Établissement) :

Responsable de traitement : L'établissement scolaire (représenté par le chef d'établissement ou l'académie)

Sous-traitant : Thomas Cavil (éditeur d'EvalIA)

Base juridique : Un accord de sous-traitance (article 28 RGPD) est signé entre les parties.

Obligations de l'établissement (responsable de traitement)

En tant que responsable de traitement, l'établissement doit :

Inscrire le traitement au registre des activités de traitement
Informer les personnes concernées (enseignants, élèves via les dépôts)
Réaliser une analyse d'impact (AIPD) si nécessaire : un modèle est fourni
Consulter le DPO académique

Ce que l'éditeur fait sous sa propre responsabilité

Pour trois finalités, l'éditeur agit en qualité de responsable de traitement, conformément à la grille de qualification publiée par la CNIL pour les acteurs de l'informatique en nuage (28 mai 2026) : la gestion de votre compte et de votre abonnement ; la sécurité de la plateforme (journaux d'audit, mesures anti-abus, supervision d'erreurs) ; et la qualité du service. Cette dernière recouvre d'une part la détection et la réparation des corrections défaillantes (à votre bénéfice : re-analyse de contrôle, correction réparée, crédit rendu), d'autre part des bancs d'essai internes servant à éprouver la fiabilité des chaînes de correction.

Ces bancs n'utilisent que des copies préalablement pseudonymisées (mentions directement identifiantes retirées), ne sortent jamais de nos systèmes et ne servent jamais à entraîner un modèle d'IA. Base légale : intérêt légitime (fiabilité et sécurité du service, article 6.1.f du RGPD). Vous pouvez vous opposer à l'utilisation des copies issues de votre compte dans ces bancs : contact.EvalIA@oriantation.fr.

3. Données collectées et finalités

Les données collectées sont limitées au strict nécessaire pour la fourniture du service.

Catégorie de données	Finalité	Base légale
Identification (Email, nom d'affichage)	Gestion du compte, authentification	Exécution du contrat (art. 6.1.b)
Profil enseignant (Matières enseignées, académie)	Personnalisation des barèmes	Exécution du contrat (art. 6.1.b)
Établissement de rattachement (Facultatif : nom, commune, identifiant UAI)	Déclaré librement par l'enseignant, pour pouvoir le cas échéant proposer un forfait à son établissement. N'ouvre et ne restreint aucun accès.	Consentement (art. 6.1.a), retirable à tout moment depuis le profil
Barèmes créés (Titre, contenu, critères)	Sauvegarde et réutilisation	Exécution du contrat (art. 6.1.b)
Corrections (Note, feedback, nom complet élève chiffré)	Historique et suivi pédagogique longitudinal	Mission d'enseignement de l'établissement (art. 6.1.e ; 6.1.f pour le privé, voir encadré ci-dessous)
Classes et dossiers (Nom de classe, organisation)	Organisation des corrections	Exécution du contrat (art. 6.1.b)
Emploi du temps (Créneaux de cours : jour, heures, classe, semaine A ou B ; zone, vacances et dates de trimestres que vous déclarez ; adresse d'abonnement de votre logiciel de vie scolaire si vous en donnez une)	Afficher votre semaine, votre cahier de textes et, en sciences, vos demandes au laboratoire. L'adresse d'abonnement est chiffrée et jamais réaffichée ; les cours qu'elle fournit sont affichés sans être enregistrés. Une photo d'emploi du temps est lue par l'IA puis oubliée : ni l'image ni sa lecture ne sont conservées. Aucune donnée d'élève.	Exécution du contrat (art. 6.1.b)
Fichiers uploadés (Sujets, copies)	Analyse IA (voir détails ci-dessous)	Exécution du contrat (art. 6.1.b) pour les sujets ; mission d'enseignement de l'établissement (art. 6.1.e/6.1.f) pour les copies d'élèves
Logs techniques (IP tronquée, horodatage, usage IA)	Sécurité, audit, facturation	Intérêt légitime
Monitoring d'erreurs (Rapports d'erreurs Sentry, session replays intégralement masqués)	Détection et correction des dysfonctionnements	Intérêt légitime
TeacherStudio - Sources (Fichiers PDF, DOCX, URLs)	Base de connaissances RAG personnalisée	Consentement explicite
TeacherStudio - Générations (Documents, visuels, présentations)	Création de contenus pédagogiques	Consentement explicite
TeacherStudio - Chatbots (Configuration, sessions, messages)	Chatbots pédagogiques personnalisés	Consentement explicite
Abonnement (Identifiant abonnement, statut, dates)	Gestion de l'abonnement payant et des quotas	Contrat
Messages échangés avec l'équipe (Objet, contenu, dates, y compris les mails écrits à l'adresse de contact et les messages laissés sur la page d'inscription quand une adresse est refusée)	Répondre à vos questions et vous informer des évolutions	Exécution du service / Intérêt légitime
Veille disciplinaire (Compteurs d'usage : nombre d'ouvertures, jours de visite, disciplines consultées)	Savoir si la veille sert à quelque chose et l'améliorer. Aucun historique de lecture n'est conservé : nous ne savons pas quelles références vous avez lues.	Intérêt légitime
Parrainage (Votre code de parrainage ; le lien entre un collègue et l'enseignant dont il a saisi le code ; crédits versés)	Offrir des crédits au collègue que vous invitez et vous en verser quand il commence à corriger. Le parrain voit le prénom d'un collègue quand celui-ci corrige ses premières copies, rien d'autre ; le collègue ne voit rien de son parrain. EvalIA ne demande jamais l'adresse d'un collègue et n'envoie aucune invitation. Le lien est effacé 13 mois après la récompense (150 jours au plus sans récompense) et avec le compte de l'un ou de l'autre. Voir les Conditions du parrainage.	Exécution du contrat (art. 6.1.b)

Données des élèves (personnes concernées)

Les élèves n'ont pas de compte EvalIA, mais leurs données sont traitées lorsque l'enseignant utilise le service :

Copies : en-tête (nom, prénom, classe) masqué avant l'analyse, suppression automatique 30 jours après la correction
Prénoms (suivi de progression) : chiffrés dans le navigateur de l'enseignant (zero-knowledge), illisibles par nos serveurs
Réponses aux exercices et plans de travail : accès par lien sécurisé + prénom et code, sans compte ni adresse email. Le prénom saisi est chiffré dans notre base. Quand l'enseignant choisit qu'un exercice compte comme une note, l'élève est reconnu par son code personnel (ou depuis son portfolio) et sa note rejoint son suivi ; elle est calculée par notre programme, jamais par l'IA
Présentation partagée en classe : quand l'enseignant partage un diaporama avec sa classe, l'élève le suit sur son écran (jamais les notes de l'enseignant, jamais une diapo pas encore montrée). Pour répondre à une question posée en direct, il donne son prénom et le code de son portfolio (ou il est déjà reconnu par son portfolio) ; sans cela, il suit sans répondre. Sa réponse est enregistrée avec le prénom inscrit par l'enseignant, n'est visible que de l'enseignant (la classe ne voit que le nombre de réponses par proposition ou les mots les plus fréquents), n'est jamais notée ni envoyée à une IA, et est effacée à la fin de la séance
Portfolio : consultation des corrections et ressources publiées par l'enseignant, expiration au 31 août. Si l'enseignant le permet, l'élève voit aussi sa copie corrigée : les passages relevés pour chaque critère, ses fautes d'orthographe soulignées et les annotations de l'enseignant ; il peut en télécharger un PDF, fabriqué sur son appareil. Rien n'est collecté en plus, et la copie n'est plus affichée 30 jours après sa correction. Sous la note de chaque devoir et de chaque exercice noté, l'élève voit la moyenne de la classe, sauf si l'enseignant choisit de ne pas la montrer : elle est calculée au moment de la lecture sur les seules copies déjà rendues aux élèves, n'est pas conservée, et ne donne ni nom, ni nombre de copies, ni note la plus basse ou la plus haute. Lorsque la fonction est proposée, l'élève peut rassembler les portfolios de ses différents enseignants (en prouvant chacun de ses codes ; aucun enseignant n'en est informé) et donner à sa famille un code de lecture seule (corrections, compétences, travail à faire et, pour une copie demandée en ligne, la date à laquelle elle a été déposée, le PDF de chaque correction avec son détail par critère, le même que celui de l'élève, sa copie corrigée si l'enseignant le permet, ses réponses aux exercices interactifs, question par question, sans la bonne réponse, et la moyenne de la classe à chaque devoir, comme l'élève ; rien ne peut être fait à sa place). Aucune donnée n'est collectée sur la famille ; l'élève retire cet accès quand il veut

Base légale : ces traitements sont opérés dans le cadre de la mission d'enseignement (mission d'intérêt public de l'établissement, art. 6.1.e du RGPD). En usage individuel, l'enseignant utilise EvalIA au titre de la mission éducative de son établissement : un kit établissement (présentation pédagogique, accord de sous-traitance article 28, AIPD cadre pré-remplie, notice d'information aux familles et représentants légaux, versions éditables incluses) est en téléchargement libre pour formaliser ce cadre avec le chef d'établissement.

Droit d'opposition des familles : les représentants légaux peuvent s'opposer à l'analyse des copies de leur enfant par l'IA, pour des raisons tenant à leur situation particulière. La demande s'adresse à l'enseignant ou au chef d'établissement ; les copies de l'élève concerné sont alors corrigées en dehors de l'application, sans aucune pénalité. Cette décision est réversible à tout moment.

Traitement des fichiers uploadés

Correction d'une copie (page Corriger ou dépôt élève) : la correction est traitée en arrière-plan, sans que vous ayez à garder la page ouverte. Pour permettre cela, lire les copies en meilleure résolution et relancer une correction ultérieurement, l'original de la copie est conservé temporairement sur des serveurs situés dans l'Union Européenne (Google Cloud Storage, europe-west1), avec un accès strictement contrôlé (jamais d'accès public), puis supprimé automatiquement 30 jours après sa correction (toutes les durées sont récapitulées à la section 5).

Masquage automatique de l'en-tête : Avant toute analyse par l'IA, chaque page de la copie est examinée pour détecter la présence d'un en-tête (nom, prénom, classe, date). Les pages contenant un en-tête sont automatiquement masquées (zone d'en-tête recouverte d'un rectangle noir) afin que le nom de l'élève ne soit pas transmis au modèle de correction. Les pages de contenu (exercices, réponses) ne sont pas affectées. Pour une protection maximale, nous recommandons en complément à l'enseignant (ou à l'élève lors d'un dépôt) de masquer le nom de famille sur la copie avant de la photographier ou de l'importer (le prénom suffit pour le suivi).

Dépôt de copies par les élèves : Les fichiers sont stockés de manière sécurisée dans Firebase Storage (serveurs en Union Européenne, europe-west1, Belgique). L'expiration du dépôt (1-14 jours) empêche les nouveaux dépôts sans supprimer les fichiers déjà présents ; corrigés ou non, les fichiers sont ensuite supprimés automatiquement (délais détaillés à la section 5). L'élève venu de son portfolio y voit qu'il a déjà déposé sa copie (date de l'envoi), sans être empêché de redéposer. Pour un travail de groupe, la fiche de chaque membre est retrouvée à l'envoi dans la classe du dépôt (seulement si un seul élève correspond) : chaque membre voit que la copie de son groupe est rendue, avec le prénom du camarade qui l'a déposée ; aucun autre élève ne le voit, et la famille n'en voit que la date.

Seul le prénom et nom de l'élève (obligatoire) est conservé avec le fichier. Ces données sont chiffrées côté serveur (AES-256-GCM) dans les dépôts : protection at-rest si la base de données est compromise sans accès au serveur. Pour les corrections sauvegardées, le chiffrement est de bout en bout côté client (voir section Sécurité).

Données des corrections sauvegardées

Après une correction, nous conservons uniquement les résultats de l'analyse :

Note et détails de notation par critère
Feedback et commentaires générés
Compétences évaluées (si applicable)
Nom de l'élève (chiffré de bout en bout côté client, invisible du serveur, voir « Mesures de sécurité »)
Organisation (classe, dossier)

L'original de la copie est conservé 30 jours après sa correction (voir « Traitement des fichiers uploadés » ci-dessus) pour permettre d'afficher la copie et de relancer une correction, puis supprimé automatiquement. Une correction relancée reprend vos retouches sur la copie, et les commentaires que vous y avez posés sont transmis à l'IA comme consignes (leur texte seul).

Relevé de notes de la classe : vous pouvez extraire le relevé de notes d'une classe (élèves, devoirs, notes) pour le reporter dans le logiciel de vie scolaire de votre établissement. Le tableau est fabriqué dans votre navigateur, où les noms sont déchiffrés avec votre clé : il ne passe pas en clair par nos serveurs, et le fichier téléchargé reste sur votre appareil.

TeacherStudio - Espace de création pédagogique

TeacherStudio permet aux enseignants de créer du contenu pédagogique alimenté par leur propre base de connaissances. Un consentement explicite est requis avant la première utilisation.

Sources RAG (base de connaissances)

Fichiers uploadés : PDF, DOCX, PPTX, TXT, MD, images - stockés dans Firebase Storage (europe-west1, Belgique), leurs informations dans Firestore (eur3, multi-région UE : Belgique et Pays-Bas)
Texte extrait : enregistré une fois à côté du fichier, et lu en entier par la création où vous cochez la source (jusqu'à 400 000 caractères, des extraits au-delà) ; rien de coché, aucune source n'est lue. Chaque création indique les sources qu'elle a lues, par leur titre
URLs indexées : Contenu extrait et indexé localement
Chunks et embeddings : Texte découpé (2 500 caractères par segment, avec recouvrement) et vectorisé pour recherche sémantique
Quotas : 20 sources et 250 Mo en gratuit, 100 sources et 2 000 Mo en payant

Générations (documents, visuels, présentations)

Documents : Fiches cours, résumés, exercices - stockés en Markdown
Visuels : Cartes mentales, schémas, infographies - générés par Gemini 3.1 Flash Image (endpoint global)
Présentations : Reveal.js HTML avec thèmes personnalisables
Chaque génération inclut les sources utilisées (traçabilité)
Quotas : 10 visuels/jour, 10 présentations/jour

Chatbots pédagogiques

Configuration : Personnalité, mode (tuteur, quiz, socratique, mixte), sources RAG
Sessions : Conversations entre élèves/visiteurs et le chatbot
Messages : Stockés avec horodatage, supprimés avec la session, selon la durée choisie par l'enseignant (aucune conservation, 24 heures, 7, 30 ou 90 jours)
Tentative de détournement : un message qui cherche à faire sortir le chatbot de ses consignes n'est pas transmis au modèle ; ses 100 premiers caractères sont gardés 90 jours pour vérifier ce que la détection attrape, puis effacés. Ils ne s'affichent nulle part.
Élève qui se confie : s'il parle d'une détresse, de violences subies ou de harcèlement, le chatbot l'oriente vers un adulte de confiance et lui donne les numéros d'aide de son pays. Il compte ces réponses et les messages irrespectueux, sans enregistrer le message ni l'élève ; l'enseignant voit ces comptes sur la page de son chatbot, sauf si le chatbot est ouvert à moins de cinq élèves désignés.
Destinataires : l'enseignant choisit les classes, et depuis le 15 septembre 2026 il peut n'ouvrir un chatbot qu'à certains élèves d'une classe
Limites : le nombre de chatbots actifs dépend du plan de l'enseignant, et chaque message d'élève compte sur son quota. Les plafonds qu'il fixe (messages par session, par élève et par jour) et un plafond quotidien par chatbot sont tenus par des compteurs d'un jour : pour un élève venu de son portfolio, le compteur porte un condensé de l'identifiant interne de sa fiche, jamais son nom ni son adresse IP, et s'efface de lui-même.
Les visiteurs peuvent être anonymes ou identifiés (pseudo ou code, selon le réglage de l'enseignant). Un élève qui ouvre le chatbot depuis son portfolio n'a rien à saisir : la conversation est rattachée à sa fiche par un identifiant interne (jamais son nom), pour que son enseignant sache de qui elle vient. Un accès par lien partagé reste anonyme.

Profils d'adaptation inclusive (PAP/PPS)

EvalIA permet aux enseignants de créer des profils d'adaptation pédagogique pour générer du contenu adapté aux élèves en situation de handicap (consignes simplifiées, police agrandie, volume réduit, etc.).

Modèles génériques : un profil est un outil de l'enseignant ("PAP Dyslexie", "Tiers-temps"), jamais associé à un élève identifié
Pas de donnée de santé : seuls des paramètres pédagogiques sont stockés (taille de police, étapes numérotées, etc.), aucun diagnostic médical
Séparation architecturale : les profils d'adaptation et les données élèves sont dans des collections totalement séparées, sans aucune clé étrangère
Invisible côté élève : l'élève reçoit le contenu adapté (exercice, barème, chatbot) sans savoir qu'un profil a été appliqué
À la correction, ce qui n'est pas pénalisé, jamais pourquoi : l'enseignant peut indiquer qu'il ne pénalise pas l'orthographe ou la présentation d'un élève, pour une copie ou pour l'année : aucun point n'est alors retiré, et les points que le barème réserve à la langue ou au soin sont accordés. Seule cette consigne est enregistrée sur la fiche de l'élève (jamais un besoin, un diagnostic ni un nom de profil). Elle n'est visible que de l'enseignant, l'élève et sa famille n'en voient que la mention « Orthographe non pénalisée » sur ses corrections, et elle est effacée à la fin de l'année scolaire

Article 9 RGPD : Cette architecture "Privacy by Design" garantit qu'aucune donnée de catégorie spéciale (santé, handicap) n'est traitée. Les profils ne constituent pas des données sensibles car ils ne sont rattachés à aucune personne identifiée ou identifiable.

Consentement TeacherStudio

L'accès à TeacherStudio nécessite un consentement explicite enregistré avec :

Version du consentement acceptée
Date et heure exactes
Adresse IP (pour preuve légale)

Ce consentement peut être révoqué à tout moment depuis la page Profil.

Messages échangés avec l'équipe EvalIA

Vous pouvez écrire à l'équipe depuis l'application (cloche de notifications) et recevoir une réponse au même endroit. Nous y diffusons également des annonces produit, adressées selon votre discipline, votre offre ou votre activité récente.

Contenu : ce que vous écrivez et ce que nous vous répondons. Merci de ne pas y indiquer de nom d'élève : aucune donnée d'élève n'y est nécessaire, et rien de votre espace de correction n'y est copié automatiquement.
Conservation : 24 mois après le dernier message, puis suppression automatique (12 mois pour les annonces). Les mails écrits à l'adresse de contact suivent la même durée et sont supprimés avec votre compte. Un message laissé sur la page d'inscription quand votre adresse est refusée arrive au même endroit (adresse et nom tels que vous les avez saisis, pays choisi, texte) et suit la même durée ; nous ne vous écrivons qu'en réponse, depuis la boîte du support.
Réponses : elles partent de la console d'administration de l'éditeur, dans votre cloche et, le plus souvent, aussi par mail. Sur demande de l'éditeur, un modèle d'IA hébergé dans l'Union européenne (Gemini) peut proposer un brouillon de réponse à partir de vos derniers messages, sans votre nom ni votre adresse ; rien n'en est conservé. Chaque mail reçu est aussi trié automatiquement (indésirable ou non) : seul ce verdict est gardé.
Consultation d'une correction : pour répondre à une demande d'assistance ou vérifier qu'un correctif du service fonctionne, l'éditeur peut consulter l'une de vos corrections (note, commentaires, appréciation) et la copie telle que vous la voyez, en lecture seule, une à la fois et sans le nom de l'élève, qu'il ne peut pas lire. Chaque consultation est enregistrée.
Chatbots élèves : la console d'administration en montre des comptes (questions, refus d'accès), le coût et les réglages, jamais une conversation, ni le code d'accès, ni le lien donné aux élèves.
Vos droits : vos conversations figurent dans l'export de vos données, et sont supprimées avec votre compte. Les mails écrits à l'adresse de contact ne figurent pas dans l'export automatique : ils vous sont communiqués sur simple demande. Retirer un message de votre cloche le range chez vous, sans effacer l'échange côté équipe.
Ciblage des annonces : évalué sur nos serveurs à partir de votre discipline, de votre abonnement et de votre activité. Nous ne constituons aucune liste de destinataires ; seul leur nombre nous est affiché.

4. Destinataires et sous-traitants

Vos données ne sont pas transmises à des tiers, à l'exception des sous-traitants nécessaires au fonctionnement :

Google Cloud Platform (Firebase + Vertex AI)

Services d'hébergement de données et d'intelligence artificielle.

Firebase Firestore : Base de données et authentification (eur3, multi-région UE : Belgique et Pays-Bas)
Firebase Storage : Stockage sécurisé des fichiers de dépôt (europe-west1, Belgique)
Vertex AI (Gemini 3.x Flash) : Modèles principaux (versions 3.5, 3.6, 3.7 et 3.8, l'une ou l'autre selon leur disponibilité, toutes au même endroit et sous le même contrat) : correction de copies (lecture des copies, schémas, QCM), barèmes, exercices, contenus de l'Atelier, diaporamas et documents du Studio, appréciations, remédiation, lecture d'une photo d'emploi du temps, et les demandes adressées à l'assistant conversationnel (Gemini 3.5 Flash pour les demandes simples ; les replis se font aussi sur Gemini 3.5 Flash), multi-région européenne (eu), résidence des données dans l'Union Européenne, couverte par le Data Processing Addendum de Google.
Vertex AI (Gemini 3.x Flash-Lite) : Passes courtes de lecture et de vérification (correction d'une réponse ouverte d'exercice, à partir de la question, de son barème et de la réponse, jamais du prénom ; clés d'un QCM dans un barème ; mots-clés d'un sujet ; relecture du texte d'une image générée ; observation d'une copie pour reconnaître une copie vierge ; lecture d'une source personnelle, pertinence d'une page web, légende d'une figure, retouche d'une diapo, mise en forme du cahier de textes dicté ; conversations des élèves avec un chatbot configuré par leur enseignant ; repli de la veille disciplinaire), multi-région européenne (eu), sous le même contrat que les modèles principaux.
Gemini 3.1 Flash Image : Génération d'images pour TeacherStudio, exercices et remédiation (endpoint global). Les prompts ne contiennent aucune donnée personnelle (uniquement des descriptions de schémas scientifiques).
Text Embedding 004 et Gemini Embedding 001 : Vectorisation des programmes officiels et de vos sources (europe-west1, Belgique) ; vos sources passent du premier au second, qui le remplace, par un index construit à côté le temps d'une comparaison
Document AI et Cloud Vision : Lecture du texte d'une image, sans IA générative : lecture des copies (Document AI, Cloud Vision en secours) et repérage des étiquettes d'un schéma à rendre muet (Cloud Vision). Région UE, images traitées sans conservation
LaMa : Retouche d'images (gomme magique), modèle auto-hébergé sur Cloud Run (europe-west1, Belgique), données traitées en mémoire uniquement
Cloud Functions / Cloud Run : Traitements serveur asynchrones, dont la correction de copies par un worker dédié (europe-west1, Belgique) ; quelques fonctions de recherche dans les programmes officiels tournent à Francfort (europe-west3). Tout en UE
Communication directe entre votre navigateur et Firebase (pas de transit via Vercel)
Vos données ne sont pas utilisées pour entraîner les modèles Gemini (tous modèles confondus)
Data Processing Addendum (DPA) : Google Cloud est conforme au RGPD via les Clauses Contractuelles Types (SCCs)

Correction de copies : 100% dans l'Union Européenne. Les modèles Gemini 3.x Flash utilisés pour la correction sont servis sur la multi-région européenne de Vertex AI : les copies ne quittent pas l'UE. L'en-tête est en outre masqué (nom, prénom, classe) avant tout envoi, une pseudonymisation : la copie reste traitée comme une donnée personnelle. Seule la génération d'images (Gemini 3.1 Flash Image), qui ne traite aucune donnée personnelle, utilise un endpoint hors UE encadré par les Clauses Contractuelles Types.

Vercel Inc.

Hébergeur de l'application web. Traitement des données en Europe (cdg1, Paris, France).

Les fonctions API (traitement IA) s'exécutent uniquement à Paris
Le routage des requêtes transite par le CDN mondial (dont USA) en HTTPS chiffré
Vercel est certifié EU-US Data Privacy Framework (DPF)
Les données de l'application (comptes, copies, corrections, documents) ne sont pas stockées chez Vercel : elles le sont chez Google Cloud, dans l'Union européenne
Mesure d'audience et de performance sans cookie (Web Analytics, Speed Insights) : seules ces statistiques, sans adresse IP conservée, peuvent être traitées par Vercel hors de l'Union, sous clauses contractuelles types (voir § 8)

Sentry (Functional Software Inc.)

Service de monitoring des erreurs applicatives. Hébergement 100% en Union Européenne (Francfort, Allemagne).

Datacenter UE : de.sentry.io (Francfort, Allemagne)
Données collectées : erreurs techniques (stack traces), métadonnées navigateur (User-Agent), adresse de la page sans ses paramètres ni ses jetons d'accès (nettoyée avant l'envoi)
Jamais sur les pages des élèves et des familles (portfolio, dépôt, exercice, plan de travail, chatbot, direct, présentation partagée, parcours, accès famille) : l'outil ne s'y charge pas
Pas de données personnelles : les textes et médias sont masqués automatiquement
IP retirée : suppression automatique par Sentry (PII scrubbing)
Sentry est certifié SOC 2 Type II et conforme au RGPD (durées de rétention en section 5)

Stripe (Stripe Payments Europe, Ltd), abonnés français

Prestataire de paiement pour les abonnés résidant en France. Entité contractante en Union Européenne (Stripe Payments Europe, Ltd, Irlande).

Rôle : encaissement par carte bancaire et portefeuilles (Apple Pay / Google Pay), facturation
Données transmises : nom, email, moyen de paiement (carte tokenisée), uniquement les données de facturation
Données bancaires : collectées directement par Stripe (PCI-DSS), jamais par EvalIA (paiement intégré, charge PCI minimale)
Aucune donnée pédagogique n'est transmise (pas de barèmes, corrections, noms d'élèves)
Transferts éventuels hors UE : encadrés par les Clauses Contractuelles Types (SCCs) et le EU-US Data Privacy Framework (Stripe certifié)
Data Processing Addendum (DPA) : disponible sur stripe.com/legal/dpa

LemonSqueezy (Lemon Squeezy LLC), abonnés hors France

Passerelle de paiement pour la gestion des abonnements des utilisateurs situés hors de France. Basé aux États-Unis.

Rôle : Merchant of Record (vendeur légal, gère la TVA et la facturation)
Données transmises : email, pays de facturation, identifiant technique EvalIA uniquement
Données bancaires : collectées directement par LemonSqueezy (PCI-DSS), jamais par EvalIA
Aucune donnée pédagogique n'est transmise (pas de barèmes, corrections, noms d'élèves)
Transfert hors UE : encadré par les Clauses Contractuelles Types (SCCs, Art. 46.2.c RGPD)
Data Processing Addendum (DPA) : disponible sur lemonsqueezy.com/privacy

Anthropic (Claude Code)

Outil d'intelligence artificielle utilisé pour le développement et la maintenance d'EvalIA. Basé aux États-Unis.

Nature : outil de développement (ne fait pas partie du service EvalIA lui-même)
Données exposées : dans le cadre du débogage, des données personnelles limitées (prénoms, identifiants, emails d'enseignants) peuvent être ponctuellement exposées, ainsi que les barèmes (documents de l'enseignant, sans donnée d'élève)
Revue de qualité quotidienne : chaque jour, l'activité de la veille des enseignants (inscriptions, corrections lancées, contrôles déclenchés, erreurs du service) est relue avec cet outil pour repérer les défauts. Quand cette revue est automatique, elle ne reçoit que des pseudonymes, jamais un nom ni une adresse ; elle lit aussi le code source d'EvalIA, dont la documentation cite des enseignants à propos des défauts rencontrés
Messages au support : quand l'éditeur traite une demande que vous avez écrite au support, le texte de vos derniers messages peut être transmis à cet outil, sans votre adresse. Il contient ce que vous y avez écrit : évitez d'y nommer un élève
Données jamais exposées : copies d'élèves, notes, fichiers déposés, données bancaires (seul ce qu'un enseignant écrit lui-même au support peut nommer un élève)
Pas d'entraînement : les conversations ne sont pas utilisées par Anthropic pour entraîner ses modèles
Transfert hors UE : encadré par les Clauses Contractuelles Types (SCCs, Art. 46.2.c RGPD)
Minimisation : seules les données strictement nécessaires au débogage sont exposées, avec pseudonymisation lorsque possible
Aucune conservation par l'éditeur : les données éventuellement exposées ne sont ni copiées, ni conservées dans un jeu de données de développement

Brevo (Sendinblue SAS)

Service d'envoi des emails transactionnels et d'information aux enseignants (adresse email, prénom). Société française, données hébergées en Union Européenne, conforme au RGPD. Aucune donnée d'élève n'est transmise.

Resend (Resend, Inc.)

Second service d'envoi d'emails transactionnels, utilisé pour trois envois précis vers l'enseignant : « votre lot de corrections est prêt », les événements d'abonnement (paiement accepté, échec, changement d'offre) et, en secours de Brevo, le code de vérification à l'inscription.

Données transmises : adresse email et prénom de l'enseignant, contenu du message. Aucune donnée d'élève, aucune copie, aucune note.
Société américaine, envois servis depuis l'Union Européenne, sous Data Processing Addendum accepté.
Désinscription possible pour les emails d'information ; les emails liés à votre compte (paiement, sécurité) restent nécessaires au service.

Google Workspace (Google LLC)

Compte d'envoi dédié aux mails d'information qui vous proposent de revenir sur EvalIA (adresse thomas@evalia-edu.fr, depuis octobre 2026). Le texte est choisi d'après l'usage de votre compte (votre discipline, ce que vous avez déjà créé, votre dernière visite) ; seule la date d'envoi est enregistrée sur votre compte.

Données transmises : adresse email et prénom de l'enseignant, texte du message. Aucune donnée d'élève, aucune copie, aucune note.
Aucun traceur : nous ne savons pas si vous avez ouvert le mail ni si vous avez cliqué ; nous voyons seulement, en nombres, combien de destinataires sont revenus sur l'application.
Société américaine : données susceptibles d'être conservées hors de l'Union européenne, sous l'avenant de traitement des données de Google et le cadre de protection des données UE-États-Unis.
Désinscription en un clic depuis chaque mail.

5. Durée de conservation

Comptes actifs

Données conservées tant que le compte est actif. Suppression possible à tout moment depuis la page Profil ou sur demande par email (délai max 30 jours).

Données pédagogiques

Barèmes sauvegardés : conservés tant que vous les gardez, sans durée maximale (ce sont vos documents, ils ne concernent aucun élève)
Historique des corrections : conservé tant que vous le gardez, 3 ans maximum après la création
Classes, fiches des élèves et organisation : conservées tant que vous les gardez, 3 ans maximum après la création
Réponses des élèves aux exercices : 3 ans maximum, comme les corrections
Réponses des élèves aux questions d'une présentation partagée : effacées à la fin de la séance, et au plus tard 24 heures après
Avancement des élèves dans un plan de travail : effacé à la fin de l'année scolaire qui suit celle de sa dernière activité (le plan lui-même reste tant que vous le gardez)
Ce que vous supprimez (une correction, un barème, une classe, un dossier, un exercice, un document) disparaît aussitôt de vos écrans et est effacé définitivement 30 jours plus tard, avec ses fichiers et ce qui en dépend (par exemple les réponses à un exercice supprimé)

Note : La limite de 3 ans vaut pour ce qui concerne vos élèves. Elle correspond à la durée habituelle de conservation des documents scolaires et permet de libérer l'espace des données obsolètes. La suppression est automatique, sans notification préalable : pensez à exporter vos données (page Profil) si vous souhaitez les garder.

Fichiers uploadés

Correction d'une copie : original supprimé automatiquement 30 jours après sa correction ; la copie annotée éventuellement publiée au portfolio suit la même durée, ainsi que vos annotations et commentaires posés sur la copie ; l'élève et sa famille ne voient plus la copie corrigée passé ce délai
Dépôt élève : fichiers supprimés 30 jours après leur correction ; fichiers jamais corrigés supprimés 30 jours après expiration du dépôt
Document importé pour générer un exercice : lu pour la génération puis supprimé dès qu'elle a eu lieu ; au plus deux jours s'il n'a pas servi. Son nom d'origine n'est jamais conservé

Logs techniques et audit

Logs d'usage IA (tokens, modèle utilisé) : 12 mois (suppression automatique)
Logs de sécurité (audit trail) : 24 mois (suppression automatique)
Erreurs applicatives et session replays (Sentry) : 30 jours
Les IP sont tronquées (ex: 192.168.x.x)

TeacherStudio

Sources (fichier et texte extrait) et chunks RAG : conservés tant que vous les gardez, sans durée maximale ; effacés 30 jours après leur suppression
Document d'inspiration de l'Atelier (le PDF ou l'image joint pour créer un document à partir de lui) : conservé le temps de la session pour être relu à chaque message, puis effacé 7 jours après le dernier message qui l'a utilisé
Générations (documents, visuels, présentations) : conservées tant que vous les gardez, sans durée maximale ; effacées 30 jours après leur suppression
Chatbots : configuration conservée jusqu'à suppression par l'utilisateur
Sessions de chat : supprimées automatiquement selon la durée choisie par l'enseignant à la création du chatbot : aucune conservation, 24 heures, 7, 30 ou 90 jours. La purge passe tous les jours ; l'option « aucune conservation » n'écrit rien en base.
Messages de chat : supprimés avec la session ou sur demande

Assistant IA (enseignant)

Votre conversation avec l'Assistant : les 40 derniers messages de votre dernier échange sont conservés 90 jours, pour que vous retrouviez votre réflexion en rouvrant l'Assistant. Le bouton « Effacer la conversation » les supprime immédiatement, y compris côté serveur.
Ce que l'Assistant retient de vous (vos préférences de travail, vos projets en cours, jamais de nom d'élève) : conservé jusqu'à suppression par vous. Vous pouvez consulter et effacer chaque souvenir depuis Paramètres → « Ce que l'Assistant retient de vous ».

Données d'abonnement

Données d'abonnement EvalIA (statut, dates, identifiants techniques) : conservées jusqu'à suppression du compte ou 3 ans après fin d'abonnement (obligations comptables)
Données chez le prestataire de paiement (carte bancaire, historique paiement) : chez Stripe (abonnés français) ou LemonSqueezy (hors France), selon leur politique de conservation respective

Sauvegardes techniques : pour garantir la continuité du service, l'ensemble des données fait l'objet de sauvegardes chiffrées à rétention courte (7 à 28 jours). Après une suppression (suppression par vos soins, purge automatique ou exercice du droit à l'effacement), les données disparaissent donc définitivement de nos sauvegardes au plus tard 28 jours après, par rotation normale.

6. Mesures de sécurité

Nous mettons en oeuvre des mesures techniques et organisationnelles appropriées :

Protocoles de communication sécurisés (HTTPS, HSTS)
Chiffrement des données de connexion (Firebase Auth)
Double authentification (2FA) optionnelle : code à 6 chiffres d'une application d'authentification, vérifié avant l'ouverture de session ; déconnexion automatique après 30 minutes d'inactivité sur un appareil non mémorisé (poste partagé)
Contrôle d'accès strict à la base de données (Firestore Rules)
Protection XSS et injection de prompt (bibliothèque de validation dédiée)
Validation stricte des fichiers téléversés (type et taille contrôlés)
Rate limiting par utilisateur sur l'ensemble des routes
Audit trail des actions sensibles
Isolation des données par utilisateur (userId partitionné)
Quotas par fonctionnalité (sources, générations, chatbots)
Tests automatisés, dont une part dédiée à la sécurité (plus de 11 700 tests, 574 fichiers, exécutés avant chaque mise en ligne)
Sauvegardes chiffrées quotidiennes avec restauration testée (continuité d'activité)
Procédure documentée de gestion des incidents, avec notification à la CNIL sous 72 h en cas de violation de données

Chiffrement Zero-Knowledge des noms d'élèves

Les prénoms des élèves dans les corrections sont protégés par un chiffrement côté client (Zero-Knowledge) :

AES-256-GCM : algorithme de chiffrement symétrique standard, recommandé par l'ANSSI
Clé maître : générée aléatoirement (256 bits), unique par utilisateur
PBKDF2-SHA256 : dérivation de clé depuis votre mot de passe avec 310 000 itérations (conforme aux recommandations OWASP 2023)
Protection par mot de passe : la clé ne peut être déchiffrée qu'avec le mot de passe de l'enseignant

Clé de récupération (recovery key)

Lors de l'initialisation du chiffrement, une clé de récupération de 12 mots est générée localement dans votre navigateur et affichée une seule fois, avec une confirmation d'enregistrement obligatoire. Elle n'est ni transmise, ni stockée sur nos serveurs. Elle permet de restaurer l'accès à vos données si vous réinitialisez votre mot de passe par email.

Conservez-la en lieu sûr (gestionnaire de mots de passe, coffre, papier) : elle ne pourra pas être réaffichée ensuite
Une seconde copie de votre clé maître, chiffrée avec cette clé de récupération, est stockée dans votre profil (seul un horodatage de confirmation est conservé pour audit)
En cas de perte de mot de passe : saisissez votre clé de récupération et vos données sont immédiatement restaurées
En cas de perte à la fois du mot de passe et de la clé de récupération : les noms chiffrés deviennent illisibles (notes et corrections préservées)
Comptes dont le chiffrement a été initialisé avant août 2026 : la clé avait alors été transmise par email ; nous vous invitons à la recopier en lieu sûr puis à supprimer cet email

Protection Cloud Act : les noms d'élèves du suivi et des corrections sont chiffrés de bout en bout : même en cas de requête judiciaire étrangère, ils restent illisibles sans votre mot de passe ou votre clé de récupération. Les autres données (copies pendant les 30 jours suivant la correction, données de compte enseignant) sont protégées par le chiffrement au repos, l'hébergement en Union Européenne et des durées de conservation courtes.

Liens publics de corrections (partage avec les élèves)

Lorsqu'un enseignant partage une correction avec un élève via un lien public :

Aucun nom d'élève exposé : le nom de l'élève n'est jamais inclus dans les réponses publiques, ni lors de la vérification du code, ni après authentification réussie
Expiration automatique à 30 jours : le lien devient invalide après 30 jours, sans possibilité de prolongation
Code de vérification aléatoire : le code d'accès (ex : "KTX47") est généré aléatoirement : il n'est pas dérivé du nom de l'élève et ne permet pas de retrouver son identité
Token cryptographique : 192 bits d'entropie (base64url), impossible à deviner par force brute

Reconnaissance vocale : traitement local obligatoire

EvalIA propose une fonctionnalité de dictée vocale pour faciliter la saisie de texte (feedback, consignes, etc.). Cette fonctionnalité repose sur l'API Web Speech du navigateur avec des garanties strictes de confidentialité :

Traitement 100% local : l'audio capté par le microphone est traité directement sur votre appareil, sans transmission à des serveurs tiers
Safari : traitement local natif (moteur Apple on-device)
Chrome 139+ : traitement local activé via l'option processLocally, avec installation automatique du modèle de reconnaissance sur l'appareil
Navigateurs incompatibles : la dictée vocale est désactivée sur les navigateurs qui ne garantissent pas le traitement local (Chrome < 139, Firefox, Edge)
Permissions : l'accès au microphone est limité au domaine EvalIA uniquement (Permissions-Policy: microphone=(self))

Aucun enregistrement audio n'est conservé, stocké ou transmis. Le flux audio est converti en texte en temps réel sur votre appareil puis immédiatement libéré de la mémoire.

Agent conversationnel : pseudonymisation systématique

L'assistant IA d'EvalIA (agent conversationnel) peut accéder aux données pédagogiques de l'enseignant (corrections, dépôts, résultats) pour fournir des analyses et générer du contenu. Une architecture de pseudonymisation systématique garantit que les noms d'élèves ne sont jamais transmis au modèle d'IA :

Séparation data/affichage : chaque outil de l'agent sépare les données envoyées à l'IA (pseudonymisées : "Élève 1", "Copie 2") des données affichées dans l'interface (noms réels, visibles uniquement par l'enseignant)
10 outils pseudonymisés : corrections, dépôts, appréciations, remédiations, résultats d'exercices, sessions de chatbot, analyse de classe, correction par lot, détails de dépôt, recherche d'élèves
Gemini ne voit jamais : les noms, prénoms ou identifiants des élèves
L'enseignant voit toujours : les vrais noms dans l'interface, grâce au canal d'affichage séparé

Cette architecture "Privacy by Design" s'ajoute au chiffrement Zero-Knowledge des noms d'élèves et au masquage des en-têtes de copies, formant une triple protection de l'identité des élèves.

Votre conversation est conservée pour vous (depuis le 28 août 2026) : en rouvrant l'Assistant, vous retrouvez votre dernier échange, afin qu'un travail de préparation ne disparaisse pas avec l'onglet. Elle n'est lisible que par vous, se supprime d'un clic (« Effacer la conversation ») et s'efface automatiquement au bout de 90 jours. Durées récapitulées à la section 5.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès (Art. 15)
Droit de rectification (Art. 16)
Droit à l'effacement (Art. 17)
Droit à la limitation (Art. 18)
Droit à la portabilité (Art. 20)
Droit d'opposition (Art. 21)
Droit de retirer le consentement (Art. 7)

Exercer vos droits : contact.EvalIA@oriantation.fr

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr

Gestion des consentements

Depuis la page Mon Profil de votre compte, vous pouvez :

Consulter l'état de vos consentements
Révoquer votre consentement à tout moment
Demander la suppression de votre compte
Exporter toutes vos données en un fichier JSON lisible par une machine (portabilité, art. 20), noms d'élèves déchiffrés dans votre navigateur avec votre clé, ou un résumé en PDF

8. Cookies, mesure d'audience et stockage local

EvalIA ne dépose aucun cookie publicitaire, de suivi ou de mesure d'audience.

Stockage local du navigateur

Session et préférences : le stockage local du navigateur conserve la session de connexion (Firebase Auth) et des réglages propres à cet appareil (thème, taille de texte, dossiers vides, avancement d'un parcours élève).

Ces stockages sont strictement nécessaires au service que vous demandez et ne nécessitent donc pas de consentement (art. 82 de la loi Informatique et Libertés, transposition de la directive ePrivacy).

Mesure d'audience sans cookie

Pour connaître la fréquentation des pages et leur vitesse d'affichage, EvalIA utilise Vercel Web Analytics et Vercel Speed Insights, fournis par son hébergeur :

Aucun cookie ni identifiant n'est déposé sur votre appareil. Un visiteur n'est reconnu que par une empreinte calculée à partir de la requête, abandonnée au bout de 24 heures ; l'adresse IP n'est pas conservée.
Données transmises : la page consultée, la date et l'heure, le site d'où vous venez s'il est extérieur à EvalIA, une localisation approximative (pays, région, ville), le type d'appareil, le système et le navigateur, et pour Speed Insights les temps d'affichage de la page.
Adresse réduite avant l'envoi : la page est transmise sans ses paramètres (la partie après le « ? ») et sans les jetons d'accès des espaces élèves (portfolio, dépôt de copie, exercice, chatbot, séance en direct, présentation partagée), ni les identifiants d'élèves ou de documents, remplacés par leur seul nom de rubrique.
Usage : statistiques agrégées seulement, jamais rapprochées d'un compte ou d'une personne.
Lieu de traitement : la plateforme de Vercel, dont les installations principales sont aux États-Unis ; le transfert est encadré par les clauses contractuelles types de son accord de traitement et par la certification EU-US Data Privacy Framework.

Cette mesure repose sur l'intérêt légitime d'EvalIA à suivre la fréquentation et les performances de son service (art. 6.1.f RGPD).

Vidéos intégrées

Une vidéo YouTube, Vimeo ou Dailymotion insérée dans un document ou un exercice n'est chargée qu'à son affichage. YouTube est intégré par son domaine sans cookie (youtube-nocookie.com) et Vimeo en mode « ne pas suivre » ; Dailymotion ne propose pas d'option équivalente et peut déposer ses propres cookies lorsqu'une de ses vidéos est lue.

Dernière mise à jour : 20 octobre 2026 (v3.54)

EvalIA - Votre expertise pédagogique, amplifiée par l'IA

Politique de Confidentialité