Accord de sous-traitance des données personnelles

1. Identification des parties

2. Objet et durée du traitement

2.1 Objet

Le sous-traitant met à disposition de l'enseignant et de l'établissement une plateforme web pédagogique permettant la création de fiches d'exercices, la gestion d'une classe et le suivi des progrès des élèves.

2.2 Durée

L'accord prend effet à la première utilisation de la plateforme par un enseignant rattaché à l'établissement, et reste applicable tant qu'au moins un compte enseignant lié à l'établissement est actif. Il prend fin avec la suppression du dernier compte ou sur demande écrite du responsable de traitement.

2.3 Nature et finalités du traitement

• Création et gestion de comptes élèves par l'enseignant
• Stockage de progrès pédagogiques (résultats d'exercices, badges, niveaux)
• Génération de fiches d'exercices différenciées (mathématiques, français, sciences, etc.)
• Calcul de statistiques de classe à des fins de différenciation pédagogique

3. Données traitées et personnes concernées

Les indicateurs fonctionnels d'adaptation (par ex. police OpenDyslexic activée, temps majoré) ne nomment aucun diagnostic médical. Par prudence, ils sont néanmoins traités comme des données relevant de l'article 9 du RGPD, sur la base de l'intérêt public dans le domaine de l'éducation (art. 9.2.g ; loi du 11 février 2005, art. L.311-7 du Code de l'éducation) : renseignés uniquement par l'enseignant, jamais transmis à des tiers. Les champs libres associés (notes pédagogiques, autres besoins) sont chiffrés au repos (AES-256-GCM).

4. Obligations du sous-traitant

Conformément à l'article 28.3 du RGPD, le sous-traitant s'engage à :

1. Traiter les données uniquement sur instructions documentées du responsable de traitement, y compris en matière de transferts de données hors UE (auxquels il ne procède pas — cf. §6).
2. Veiller à la confidentialité des personnes autorisées à traiter les données (le sous-traitant étant un acteur unique, cet engagement le lie personnellement).
3. Mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32 RGPD) : hachage des mots de passe (bcrypt, via password_hash, standard PHP), authentification 2FA, headers HTTPS/HSTS/CSP stricts, audit OWASP, sauvegardes chiffrées, accès cloisonné par compte enseignant, hébergement en France (O2switch).
4. Aider le responsable à donner suite aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité, opposition).
5. Notifier toute violation de données dans un délai maximum de 24 heures après en avoir pris connaissance, par email à l'adresse fournie par le responsable, avec les éléments prévus à l'article 33.3 RGPD.
6. Tenir un registre des activités de traitement effectuées pour le compte du responsable (article 30.2 RGPD) — disponible publiquement à /mes-élèves/registre-traitements.
7. Mettre à disposition les informations nécessaires pour démontrer la conformité, et permettre la réalisation d'audits, sur demande du responsable.
8. Supprimer ou restituer les données à la fin du contrat, au choix du responsable, sauf obligation légale de conservation.

5. Sous-traitants ultérieurs autorisés

Le responsable de traitement autorise le sous-traitant à recourir aux sous-traitants ultérieurs suivants :

Aucune donnée d'élève n'est transmise à Google : les services Google (connexion, notifications) ne concernent que le compte de l'enseignant. Les fonds de carte des jeux de géographie sont hébergés sur nos propres serveurs depuis juillet 2026 (aucun tiers impliqué).

Le sous-traitant informera le responsable par email de tout changement (ajout, remplacement) de sous-traitant ultérieur au moins 30 jours avant sa mise en œuvre, permettant au responsable d'émettre des objections motivées.

6. Transferts hors UE

Aucun transfert de données d'élève hors de l'Union européenne n'est réalisé dans le cadre de l'utilisation normale de la plateforme (les données traitées pour le compte de l'école responsable restent hébergées en France).

Les seuls transferts hors UE concernent le compte de l'enseignant et sont optionnels : paiements (Stripe), connexion « Se connecter avec Google » et notifications push (Google LLC, États-Unis). Ces transferts sont encadrés par les Clauses Contractuelles Standard (SCCs) et le Data Privacy Framework UE-USA. Aucune donnée d'élève n'y est concernée.

7. Sécurité — mesures techniques et organisationnelles

• Chiffrement TLS 1.3 sur l'ensemble des connexions (HSTS preload)
• Hachage des mots de passe (bcrypt, via password_hash — standard PHP)
• Authentification à deux facteurs (TOTP + WebAuthn)
• Headers de sécurité conformes OWASP : CSP stricte, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
• Rate limiting sur les endpoints sensibles, protection CSRF
• Sauvegardes chiffrées quotidiennes de la base de données, conservées en France
• Tests automatisés (~32 600 tests PHPUnit) et analyse statique (PHPStan niveau 8, Psalm niveau 4)
• Une analyse d'impact (AIPD) est tenue à jour : /mes-élèves/aipd

8. Durées de conservation

• Données élèves : année scolaire en cours + 1 an, puis suppression ou anonymisation
• Comptes enseignants inactifs : 3 ans, puis email d'avertissement et suppression à 4 ans
• Logs techniques : 12 mois maximum
• Données de paiement : 10 ans (obligation légale comptable)

9. Droits des personnes concernées

Les élèves (via leurs parents, pour les mineurs) et les enseignants disposent des droits prévus aux articles 15 à 22 du RGPD : accès, rectification, effacement, limitation, portabilité, opposition. Ces droits s'exercent en priorité auprès de l'enseignant ou de l'établissement (responsable de traitement). Le sous-traitant apporte son assistance technique sous 30 jours pour les demandes ne pouvant être traitées localement.

10. Signatures