Contrat de sous-traitance
Article 28 du règlement (UE) 2016/679 — RGPD
Version 1.0 — 17 août 2026
- Imprimez cette page, ou enregistrez-la en PDF depuis votre navigateur.
- Remettez-la à votre chef d'établissement, qui est le responsable du traitement.
- Complétez ensemble les zones vides, puis faites-la signer en deux exemplaires.
- Renvoyez un exemplaire signé à ali_ozturk@hotmail.fr.
Ce modèle est fourni pour faciliter la démarche. Il n'a pas été relu par un avocat et ne dispense pas l'établissement de le soumettre à son délégué à la protection des données académique, qui peut demander des modifications ou lui substituer le modèle de son académie. Toute version amendée par le DPO académique prévaut sur celle-ci.
Entre les parties
Le responsable du traitement
| Établissement | |
|---|---|
| Adresse | |
| Numéro UAI (RNE) | |
| Représenté par | , chef d'établissement |
| Courriel | |
| DPO académique |
Ci-après « l'Établissement ».
Le sous-traitant
| Éditeur | A. OZTURK, personne physique agissant à titre non professionnel |
|---|---|
| Nom commercial | Scolyance |
| Service | Plateforme pédagogique 2I2D — www.2i2d.fr |
| Courriel | ali_ozturk@hotmail.fr |
| Adresse postale | Non publiée ; communiquée à l'hébergeur conformément à l'article 1-1, II de la LCEN, et communicable à l'Établissement sur demande écrite |
Ci-après « l'Éditeur ».
Article 1 — Objet et périmètre
L'Établissement confie à l'Éditeur, qui l'accepte, le traitement de données à caractère personnel d'élèves, aux seules fins du suivi pédagogique assuré par les enseignants qu'il a habilités.
L'Établissement demeure seul responsable du traitement au sens de l'article 4.7 du RGPD : il décide des finalités et des moyens, détermine quels enseignants recourent à la plateforme, quels élèves y sont inscrits et pendant quelle durée. L'Éditeur agit exclusivement en qualité de sous-traitant au sens de l'article 4.8.
Article 2 — Caractéristiques du traitement
Conformément à l'article 28.3, le traitement est décrit comme suit.
| Nature | Collecte, enregistrement, conservation, consultation, modification et effacement de données, par voie électronique |
|---|---|
| Finalité | Suivi pédagogique : distribution de travaux, correction d'exercices, suivi de progression et de compétences, communication encadrée au sein d'une classe |
| Catégories de personnes | Élèves scolarisés dans l'Établissement ; enseignants habilités par lui ; le cas échéant, représentants légaux disposant d'un accès |
| Catégories de données |
Identité (nom, prénom), classe, identifiants de connexion,
travaux rendus, réponses aux exercices, résultats, progression,
compétences validées, messages échangés dans l'espace de classe,
questions adressées à l'assistant pédagogique.
Aucune donnée sensible au sens de l'article 9, aucune donnée de santé, aucun identifiant national élève (INE), aucune coordonnée personnelle, aucune photographie. |
| Durée | Le présent contrat prend effet à sa signature et demeure en vigueur tant que l'Établissement recourt à la plateforme. Il peut être résilié à tout moment par l'une ou l'autre partie, par simple courriel, avec un préavis de trente jours. |
Article 3 — Obligations de l'Éditeur
En application de l'article 28.3, points a) à h), l'Éditeur s'engage à ce qui suit.
3.1 Traiter sur instruction seulement
L'Éditeur ne traite les données que sur instruction documentée de l'Établissement. Les actions effectuées par un enseignant habilité dans l'interface de la plateforme valent instruction de l'Établissement. L'Éditeur s'interdit tout traitement à ses propres fins : aucune exploitation statistique commerciale, aucune revente, aucune cession, aucune réutilisation.
3.2 Ne pas entraîner de modèle d'intelligence artificielle
Les données couvertes par le présent contrat ne servent en aucun cas à entraîner, affiner ou évaluer un modèle d'intelligence artificielle, que ce soit par l'Éditeur ou par un tiers.
3.3 Confidentialité
L'Éditeur est seul à disposer d'un accès d'administration technique. Il s'engage à la confidentialité et n'accède aux données que pour les besoins de la maintenance, de la sécurité ou d'une demande de l'Établissement.
3.4 Sécurité
Conformément à l'article 32, sont mises en œuvre :
- le chiffrement des communications (HTTPS) ;
- le stockage chiffré des mots de passe, inaccessibles à l'Éditeur ;
- une politique de mot de passe alignée sur la recommandation de la CNIL : 12 caractères avec quatre types de caractères, ou 14 avec trois ;
- la vérification obligatoire de l'adresse électronique de tout compte enseignant ;
- la validation manuelle de chaque inscription d'enseignant ;
- un cloisonnement appliqué par les règles de sécurité de la base de données, exécutées côté serveur : un enseignant ne peut techniquement pas accéder aux classes d'un autre ;
- la suppression en cascade des données lors de l'effacement d'un compte, et la détection des données devenues orphelines.
3.5 Sous-traitants ultérieurs
L'Établissement autorise le recours aux sous-traitants ultérieurs suivants, qui présentent des garanties conformes à l'article 28.4 :
| Prestataire | Prestation | Localisation |
|---|---|---|
| Google Ireland Limited — Cloud Firestore | Base de données | Union européenne (eur3) |
| Google Ireland Limited — Cloud Functions | Traitements serveur | Union européenne (europe-west1) |
| Google Ireland Limited — Firebase Hosting | Hébergement des pages | Diffusion mondiale |
| Google Ireland Limited — Firebase Authentication | Comptes et mots de passe | Transferts encadrés |
| Google Ireland Limited — API Gemini | Assistant pédagogique | Possiblement hors UE |
Tout changement de sous-traitant ultérieur est notifié à l'Établissement par courriel avec un préavis de trente jours, durant lequel il peut s'y opposer et, le cas échéant, résilier sans préavis.
3.6 Transferts hors Union européenne
La base de données et les traitements serveur sont localisés dans l'Union européenne. Certaines fonctions opérées par Google — authentification, assistant pédagogique — peuvent impliquer un transfert vers les États-Unis, encadré par les clauses contractuelles types adoptées par la Commission européenne et par l'auto-certification de Google LLC au cadre de protection des données UE — États-Unis.
Consigne à transmettre aux enseignants et aux élèves : l'assistant pédagogique transmet à Google le texte qui lui est écrit. Aucune donnée personnelle ne doit y être saisie — ni nom d'élève, ni situation familiale, ni information de santé.
3.7 Assistance à l'exercice des droits
L'Éditeur ne répond pas directement aux personnes concernées : les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité sont adressées à l'Établissement. L'Éditeur lui apporte son concours dans un délai de dix jours ouvrés à compter de sa demande écrite.
3.8 Violation de données
Toute violation de données à caractère personnel est notifiée à l'Établissement, par courriel, dans les 48 heures suivant sa découverte, avec les éléments dont dispose l'Éditeur : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises. Il revient à l'Établissement, seul responsable, de décider de la notification à la CNIL et de l'information des personnes concernées.
L'Éditeur apporte son concours à l'Établissement pour les analyses d'impact et les consultations préalables prévues aux articles 35 et 36.
3.9 Alerte en cas d'instruction irrégulière
Conformément au dernier alinéa de l'article 28.3, l'Éditeur informe immédiatement l'Établissement si une instruction reçue lui paraît constituer une violation du RGPD ou du droit national applicable. Il peut en suspendre l'exécution jusqu'à décision de l'Établissement.
3.10 Sort des données au terme du contrat
Au terme du contrat, et selon le choix exprimé par écrit par l'Établissement, l'Éditeur procède, dans un délai de trente jours :
- soit à la restitution des données dans un format structuré et lisible par machine ;
- soit à leur effacement définitif, y compris dans les sous-collections associées.
À défaut de choix exprimé dans les trente jours, l'effacement est opéré d'office. Aucune copie n'est conservée, sous réserve d'une obligation légale contraire.
3.11 Démonstration de la conformité
L'Éditeur met à la disposition de l'Établissement toute information nécessaire pour démontrer le respect des obligations du présent contrat, et permet la réalisation d'audits, y compris d'inspections, par l'Établissement ou par un auditeur qu'il mandate, sur préavis raisonnable.
Article 4 — Obligations de l'Établissement
L'Établissement s'engage à :
- déterminer la base légale du traitement et s'assurer de la licéité de la collecte ;
- inscrire le traitement à son registre — une fiche prête à l'emploi est fournie sur la page Fiche de registre ;
- informer les élèves et leurs représentants légaux ; la politique de confidentialité peut leur être remise telle quelle ;
- ne donner accès qu'aux enseignants qu'il habilite, et signaler sans délai le départ de l'un d'eux ;
- documenter ses instructions et répondre aux demandes des personnes concernées ;
- apprécier la nécessité d'une analyse d'impact — le traitement portant sur des mineurs, comportant un suivi systématique et recourant à l'intelligence artificielle, plusieurs critères de la liste de la CNIL sont réunis.
Article 5 — Gratuité et absence de garantie de service
Le service est fourni gratuitement et bénévolement. Les conditions générales d'utilisation s'appliquent, en particulier leur article 9 relatif à la disponibilité et à la responsabilité. L'Établissement est informé qu'aucune garantie de disponibilité ni de conservation définitive des données ne peut être donnée, et qu'il lui appartient de conserver hors de la plateforme les éléments dont il a besoin.
Article 6 — Responsabilité
Chaque partie répond des dommages causés par le manquement à ses propres obligations, dans les conditions de l'article 82 du RGPD. L'Éditeur ne répond pas de l'absence de base légale, du défaut d'information des personnes concernées ou du défaut d'inscription au registre, qui relèvent de l'Établissement.
Article 7 — Droit applicable
Le présent contrat est soumis au droit français. Les parties s'efforceront de résoudre amiablement tout différend. À défaut, les tribunaux français sont compétents.
Signatures
Fait en deux exemplaires originaux, à , le .
Pour l'Établissement
Nom et qualité :
Signature et cachet :
Pour l'Éditeur
A. OZTURK
Éditeur de la plateforme 2I2D — Scolyance
Signature :
Documents associés
- Fiche de registre des traitements — à coller dans le registre de l'établissement
- Politique de confidentialité — à remettre aux familles
- Conditions générales d'utilisation
- Mentions légales