Annexe RGPD — sous-traitance
Article 28 du règlement (UE) 2016/679 — annexe aux conditions générales d'utilisation
Version 2.0 — 19 septembre 2026
Cette annexe fait partie intégrante des conditions générales d'utilisation. En acceptant celles-ci à l'ouverture de votre compte, vous avez conclu avec l'éditeur l'acte juridique exigé par l'article 28.3 du RGPD. La date et la version de votre acceptation sont conservées dans votre compte.
L'article 28 exige un écrit, pas une signature manuscrite : rien n'est à imprimer, rien n'est à faire signer, et aucun établissement n'est sollicité. Cette page est publiée pour que vous puissiez lire les clauses qui vous engagent, et les produire en cas de contrôle.
Ce modèle est fourni pour faciliter la démarche. Il n'a pas été relu par un avocat. Si votre établissement ou le délégué à la protection des données de votre académie exige un modèle particulier, écrivez à l'éditeur : une version amendée peut être conclue séparément et prévaudra alors sur celle-ci.
Entre les parties
Le responsable du traitement
| Qualité | L'enseignant titulaire du compte professeur, identifié par l'adresse de courriel de ce compte |
|---|---|
| Pourquoi lui | Il décide des élèves inscrits, des activités données et de la durée du suivi. Ces décisions déterminent les finalités et les moyens du traitement |
| Date de l'accord | Date d'acceptation des conditions générales, horodatée dans le compte |
| Version acceptée | Enregistrée dans le compte ; toute version substantiellement modifiée appelle une nouvelle acceptation |
Ci-après « l'Enseignant ».
Le sous-traitant
| Éditeur | A. OZTURK, entrepreneur individuel exerçant sous le nom commercial Scolyance, SIREN 494 374 507 |
|---|---|
| Nom commercial | Scolyance |
| Service | Plateforme pédagogique 2I2D — www.2i2d.fr |
| Courriel | profdu89@gmail.com |
| Adresse postale | Régularisation en cours : l'exercice à titre professionnel depuis le 6 septembre 2026 ne permet plus de se prévaloir de la dispense de l'article 1-1, II de la LCEN. Dans l'attente, communiquée à l'hébergeur et communicable à l'Enseignant sur demande écrite |
Ci-après « l'Éditeur ».
Article 1 — Objet et périmètre
L'Enseignant confie à l'Éditeur, qui l'accepte, le traitement de données à caractère personnel d'élèves, aux seules fins du suivi pédagogique assuré par les enseignants qu'il a habilités.
L'Enseignant demeure seul responsable du traitement au sens de l'article 4.7 du RGPD : il décide des finalités et des moyens, détermine quels enseignants recourent à la plateforme, quels élèves y sont inscrits et pendant quelle durée. L'Éditeur agit exclusivement en qualité de sous-traitant au sens de l'article 4.8.
Article 2 — Caractéristiques du traitement
Conformément à l'article 28.3, le traitement est décrit comme suit.
| Nature | Collecte, enregistrement, conservation, consultation, modification et effacement de données, par voie électronique |
|---|---|
| Finalité | Suivi pédagogique : distribution de travaux, correction d'exercices, suivi de progression et de compétences, communication encadrée au sein d'une classe |
| Catégories de personnes | Élèves scolarisés dans l'Enseignant ; enseignants habilités par lui ; le cas échéant, représentants légaux disposant d'un accès |
| Catégories de données |
Identité (nom, prénom), classe, identifiants de connexion,
travaux rendus, réponses aux exercices, résultats, progression,
compétences validées, messages échangés dans l'espace de classe,
questions adressées à l'assistant pédagogique.
Aucune donnée sensible au sens de l'article 9, aucune donnée de santé, aucun identifiant national élève (INE), aucune coordonnée personnelle, aucune photographie. |
| Durée | Le présent contrat prend effet à sa signature et demeure en vigueur tant que l'Enseignant recourt à la plateforme. Il peut être résilié à tout moment par l'une ou l'autre partie, par simple courriel, avec un préavis de trente jours. |
Article 3 — Obligations de l'Éditeur
En application de l'article 28.3, points a) à h), l'Éditeur s'engage à ce qui suit.
3.1 Traiter sur instruction seulement
L'Éditeur ne traite les données que sur instruction documentée de l'Enseignant. Les actions effectuées par un enseignant habilité dans l'interface de la plateforme valent instruction de l'Enseignant. L'Éditeur s'interdit tout traitement à ses propres fins : aucune exploitation statistique commerciale, aucune revente, aucune cession, aucune réutilisation.
3.2 Ne pas entraîner de modèle d'intelligence artificielle
Les données couvertes par le présent contrat ne servent en aucun cas à entraîner, affiner ou évaluer un modèle d'intelligence artificielle, que ce soit par l'Éditeur ou par un tiers.
3.3 Confidentialité
L'Éditeur est seul à disposer d'un accès d'administration technique. Il s'engage à la confidentialité et n'accède aux données que pour les besoins de la maintenance, de la sécurité ou d'une demande de l'Enseignant.
3.4 Sécurité
Conformément à l'article 32, sont mises en œuvre :
- le chiffrement des communications (HTTPS) ;
- le stockage chiffré des mots de passe, inaccessibles à l'Éditeur ;
- une politique de mot de passe alignée sur la recommandation de la CNIL : 12 caractères avec quatre types de caractères, ou 14 avec trois ;
- la vérification obligatoire de l'adresse électronique de tout compte enseignant ;
- la validation manuelle de chaque inscription d'enseignant ;
- un cloisonnement appliqué par les règles de sécurité de la base de données, exécutées côté serveur : un enseignant ne peut techniquement pas accéder aux classes d'un autre ;
- la suppression en cascade des données lors de l'effacement d'un compte, et la détection des données devenues orphelines.
3.5 Sous-traitants ultérieurs
L'Enseignant autorise le recours aux sous-traitants ultérieurs suivants, qui présentent des garanties conformes à l'article 28.4 :
| Prestataire | Prestation | Localisation |
|---|---|---|
| Google Ireland Limited — Cloud Firestore | Base de données | Union européenne (eur3) |
| Google Ireland Limited — Cloud Functions | Traitements serveur | Union européenne (europe-west1) |
| Google Ireland Limited — Firebase Hosting | Hébergement des pages | Diffusion mondiale |
| Google Ireland Limited — Firebase Authentication | Comptes et mots de passe | Transferts encadrés |
| Google Ireland Limited — API Gemini | Assistant pédagogique | Possiblement hors UE |
Tout changement de sous-traitant ultérieur est notifié à l'Enseignant par courriel avec un préavis de trente jours, durant lequel il peut s'y opposer et, le cas échéant, résilier sans préavis.
3.6 Transferts hors Union européenne
La base de données et les traitements serveur sont localisés dans l'Union européenne. Certaines fonctions opérées par Google — authentification, assistant pédagogique — peuvent impliquer un transfert vers les États-Unis, encadré par les clauses contractuelles types adoptées par la Commission européenne et par l'auto-certification de Google LLC au cadre de protection des données UE — États-Unis.
Consigne à transmettre aux enseignants et aux élèves : l'assistant pédagogique transmet à Google le texte qui lui est écrit. Aucune donnée personnelle ne doit y être saisie — ni nom d'élève, ni situation familiale, ni information de santé.
3.7 Assistance à l'exercice des droits
L'Éditeur ne répond pas directement aux personnes concernées : les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité sont adressées à l'Enseignant. L'Éditeur lui apporte son concours dans un délai de dix jours ouvrés à compter de sa demande écrite.
3.8 Violation de données
Toute violation de données à caractère personnel est notifiée à l'Enseignant, par courriel, dans les 48 heures suivant sa découverte, avec les éléments dont dispose l'Éditeur : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises. Il revient à l'Enseignant, seul responsable, de décider de la notification à la CNIL et de l'information des personnes concernées.
L'Éditeur apporte son concours à l'Enseignant pour les analyses d'impact et les consultations préalables prévues aux articles 35 et 36.
3.9 Alerte en cas d'instruction irrégulière
Conformément au dernier alinéa de l'article 28.3, l'Éditeur informe immédiatement l'Enseignant si une instruction reçue lui paraît constituer une violation du RGPD ou du droit national applicable. Il peut en suspendre l'exécution jusqu'à décision de l'Enseignant.
3.10 Sort des données au terme du contrat
Au terme du contrat, et selon le choix exprimé par écrit par l'Enseignant, l'Éditeur procède, dans un délai de trente jours :
- soit à la restitution des données dans un format structuré et lisible par machine ;
- soit à leur effacement définitif, y compris dans les sous-collections associées.
À défaut de choix exprimé dans les trente jours, l'effacement est opéré d'office. Aucune copie n'est conservée, sous réserve d'une obligation légale contraire.
3.11 Démonstration de la conformité
L'Éditeur met à la disposition de l'Enseignant toute information nécessaire pour démontrer le respect des obligations du présent contrat, et permet la réalisation d'audits, y compris d'inspections, par l'Enseignant ou par un auditeur qu'il mandate, sur préavis raisonnable.
Article 4 — Obligations de l'Enseignant
L'Enseignant s'engage à :
- déterminer la base légale du traitement et s'assurer de la licéité de la collecte ;
- être habilité à employer un outil numérique avec ses élèves selon les règles applicables à son établissement, et cesser d'utiliser le service si cette habilitation lui est refusée ou retirée ;
- inscrire le traitement à son registre — une fiche prête à l'emploi est fournie sur la page Fiche de registre ;
- informer les élèves et leurs représentants légaux ; la politique de confidentialité peut leur être remise telle quelle ;
- ne partager ses identifiants avec personne, et supprimer les comptes élèves dont il n'a plus la charge ;
- documenter ses instructions et répondre aux demandes des personnes concernées ;
- apprécier la nécessité d'une analyse d'impact — le traitement portant sur des mineurs, comportant un suivi systématique et recourant à l'intelligence artificielle, plusieurs critères de la liste de la CNIL sont réunis.
Article 5 — Gratuité et absence de garantie de service
Le service est fourni gratuitement et bénévolement. Les conditions générales d'utilisation s'appliquent, en particulier leur article 9 relatif à la disponibilité et à la responsabilité. L'Enseignant est informé qu'aucune garantie de disponibilité ni de conservation définitive des données ne peut être donnée, et qu'il lui appartient de conserver hors de la plateforme les éléments dont il a besoin.
Article 6 — Responsabilité
Chaque partie répond des dommages causés par le manquement à ses propres obligations, dans les conditions de l'article 82 du RGPD. L'Éditeur ne répond pas de l'absence de base légale, du défaut d'information des personnes concernées ou du défaut d'inscription au registre, qui relèvent de l'Enseignant.
Article 7 — Droit applicable
Le présent contrat est soumis au droit français. Les parties s'efforceront de résoudre amiablement tout différend. À défaut, les tribunaux français sont compétents.
Conclusion de l'accord
Le présent acte est conclu par l'acceptation en ligne des conditions générales d'utilisation dont il forme l'annexe. Il prend effet à la date de cette acceptation et reste en vigueur tant que le compte professeur existe.
La preuve de l'accord est constituée par l'enregistrement, dans le compte de l'Enseignant, de la date et de la version acceptées. Aucune signature manuscrite n'est requise : l'article 28.3 du RGPD exige un acte juridique écrit, ce que sont des conditions acceptées, horodatées et versionnées.
Documents associés
- Fiche de registre des traitements — à reporter dans votre propre registre
- Politique de confidentialité — à remettre aux familles
- Conditions générales d'utilisation
- Mentions légales