← Retour au contrat de sous-traitance

Fiche de registre des traitements

Article 30 du RGPD — à intégrer au registre de l'établissement

Version 1.0 — 17 août 2026

À quoi sert cette page

Tout établissement doit tenir un registre de ses traitements. C'est la première pièce demandée en cas de contrôle, et son absence est en elle-même un manquement.

Remplir une fiche suppose de connaître le détail technique de l'outil : hébergement, sous-traitants, durées, mesures de sécurité. Ces réponses sont ici, déjà rédigées. Il ne reste à l'établissement que ce que lui seul connaît — son identité, son DPO, ses effectifs et sa base légale.

Ce que l'établissement doit compléter

  1. Les six premières lignes de la fiche : identité, DPO, dates, effectifs.
  2. La base légale retenue — à valider avec le DPO académique.
  3. Le nom des enseignants habilités, s'il souhaite les nommer.

Le reste peut être recopié tel quel. En cas de désaccord du DPO académique sur une rubrique, c'est sa rédaction qui prévaut.

Traitement : suivi pédagogique par la plateforme 2I2D
Numéro de fiche (numérotation propre à l'établissement)
Date de création
Dernière mise à jour
Responsable du traitement
Établissement, représenté par son chef d'établissement. Adresse et numéro UAI à compléter.
Délégué à la protection des données
DPO académique
Service gestionnaire Enseignants habilités par le chef d'établissement
Finalité principale Suivi pédagogique des élèves dans le cadre de l'enseignement des sciences industrielles de l'ingénieur
Sous-finalités
  • distribution de travaux pratiques et d'exercices ;
  • correction automatique d'exercices, sans valeur d'évaluation ;
  • suivi de progression et de compétences ;
  • communication encadrée au sein d'une classe ;
  • assistance pédagogique par intelligence artificielle.
Base légale Mission d'intérêt public — article 6.1.e du RGPD, service public de l'éducation
Base proposée ; à confirmer par le DPO académique :
Catégories de personnes Élèves scolarisés dans l'établissement ; enseignants habilités ; le cas échéant, représentants légaux disposant d'un accès
Effectif approximatif concerné :
Catégories de données Identification — nom, prénom, classe, identifiants de connexion.
Vie scolaire — travaux rendus, réponses aux exercices, résultats, progression, compétences validées, badges.
Communication — messages échangés dans l'espace de classe, questions adressées à l'assistant pédagogique.
Connexion — dates de création et de dernière connexion, nombre de connexions par jour, semaine et mois.
Données sensibles Aucune. Ni donnée relevant de l'article 9, ni donnée de santé, ni date de naissance, ni adresse, ni téléphone, ni photographie, ni identifiant national élève (INE).
Destinataires internes L'enseignant, pour ses seules classes ; l'élève, pour ses seules données ; le représentant légal, lorsque l'accès parental est activé. Le cloisonnement est appliqué par les règles de sécurité de la base, exécutées côté serveur.
Sous-traitant A. OZTURK, éditeur de la plateforme 2I2D (www.2i2d.fr) — ali_ozturk@hotmail.fr
Contrat conforme à l'article 28 signé le
Sous-traitants ultérieurs Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande — hébergement (Firebase Hosting), base de données (Cloud Firestore, eur3), traitements serveur (Cloud Functions, europe-west1), authentification (Firebase Authentication), assistant pédagogique (API Gemini).
Transferts hors UE Base de données et traitements serveur localisés dans l'Union européenne. L'authentification et l'assistant pédagogique peuvent impliquer un transfert vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne et l'auto-certification de Google LLC au cadre de protection des données UE — États-Unis.
Durées de conservation
  • Compte élève et travaux : jusqu'à la fin de l'année scolaire de sortie de la classe, et au plus tard 12 mois après la dernière connexion.
  • Détail des connexions par période : 13 mois glissants ; total cumulé supprimé avec le compte.
  • Messages de l'espace de classe : 12 mois.
  • Questions à l'assistant : non conservées au-delà du fil en cours.
  • Compte enseignant : supprimé après 24 mois sans connexion.
Suppression en cascade, sous-collections comprises. La purge des comptes inactifs est déclenchée manuellement.
Mesures de sécurité
  • chiffrement des communications (HTTPS) ;
  • mots de passe stockés chiffrés, inaccessibles à l'éditeur ;
  • politique de mot de passe alignée sur la CNIL : 12 caractères avec quatre types, ou 14 avec trois ;
  • vérification obligatoire de l'adresse électronique des comptes enseignants ;
  • validation manuelle de chaque inscription d'enseignant ;
  • cloisonnement par règles serveur, non contournable depuis le navigateur ;
  • suppression en cascade et détection des données orphelines ;
  • notification de toute violation à l'établissement sous 48 heures.
Décision automatisée Aucune au sens de l'article 22. La correction automatique ne vaut pas évaluation et ne produit aucune décision concernant l'élève ; l'enseignant conserve la maîtrise de l'appréciation. Aucun profilage.
Analyse d'impact Probablement requise : le traitement porte sur des personnes vulnérables (mineurs), comporte un suivi systématique et recourt à l'intelligence artificielle — plusieurs critères de la liste de la CNIL sont réunis.
État :
Information des personnes Politique de confidentialité de la plateforme, remise aux élèves et à leurs représentants légaux.
Date de diffusion :

Rappel : ce que cette fiche ne remplace pas

Inscrire le traitement au registre ne suffit pas. Trois démarches l'accompagnent :

Documents associés