Accord de sous-traitance (DPA)
Les présentes conditions constituent l'accord de sous-traitance prévu à l'article 28.3 du règlement (UE) 2016/679 (« RGPD ») entre :
- Éducélan, société par actions simplifiée unipersonnelle au capital de 1 500 €, immatriculée au RCS Nanterre sous le numéro 109 153 684, dont le siège social est situé 13 Ter - 15 rue Auguste Gervais, 92130 Issy-les-Moulineaux. Éditrice du service ProfMate, ci-après « le Sous-traitant » ;
- le professeur titulaire d'un compte ProfMate, ci-après « le Responsable de traitement ».
Elles s'appliquent aux seules données personnelles que le Responsable de traitement saisit ou fait saisir dans l'application pour son propre compte : élèves, parents, séances, contenus pédagogiques, factures. Elles ne s'appliquent pas aux traitements pour lesquels Éducélan est elle-même responsable (gestion du compte client, facturation de l'abonnement, paiement, sécurité, obligations légales) : ceux-là relèvent de la politique de confidentialité et du §16 des CGU/CGV. Le présent accord ne couvre à aucun titre l'outil de visioconférence que le Responsable de traitement choisit pour ses séances en ligne (Zoom, Google Meet, Teams ou tout autre) : Éducélan ne lui transmet et n'en reçoit aucune donnée, cet outil n'est pas un sous-traitant ultérieur au sens du présent accord, et le Responsable de traitement demeure seul responsable de traitement pour les données qu'il y confie directement. Il ne couvre pas davantage la plateforme agréée de facturation électronique que le Responsable de traitement choisit pour recevoir les factures de ses fournisseurs (Super PDP, lorsqu'il active cette réception depuis ProfMate) : il y ouvre lui-même un compte, à son nom et aux conditions de cette plateforme, qui agit au titre de ses propres obligations de plateforme agréée ; elle n'est pas un sous-traitant ultérieur au sens du présent accord. Le Sous-traitant n'accède à ce compte qu'avec l'autorisation que le Responsable de traitement lui donne, pour les seules opérations décrites en Annexe 1, et la révoque à la fin du contrat.
Elles forment un tout indissociable avec les CGU/CGV. En cas de contradiction sur la protection des données personnelles, le présent accord prévaut.
1. Objet, durée, résiliation
1.1 Le Responsable de traitement confie au Sous-traitant le traitement des données personnelles décrites en Annexe 1, aux seules fins de fournir le service ProfMate.
1.2 Le présent accord entre en vigueur à l'acceptation du compte et prend fin avec l'abonnement, sous réserve des obligations qui lui survivent (confidentialité, suppression des données, conservation légale des factures).
1.3 Le Sous-traitant peut modifier le présent accord pour tenir compte d'une évolution du service ou de la réglementation. Toute modification substantielle — notamment l'ajout d'un sous-traitant ultérieur — est notifiée par courriel 30 jours avant son entrée en vigueur. Le Responsable de traitement qui refuse peut résilier son abonnement sans frais avant cette date ; c'est le seul recours prévu, le service ne pouvant être fourni sans les sous-traitants listés en Annexe 2.
2. Instructions documentées
2.1 Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent des instructions documentées : le présent accord, les CGU/CGV, la documentation du service, et les actions effectuées par le Responsable de traitement dans l'application (création d'une fiche élève, envoi d'un message à l'Agent IA, émission d'une facture, export, suppression).
2.2 Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre relative à la protection des données.
2.3 Le Sous-traitant n'utilise pas les données confiées pour ses propres finalités, ni pour entraîner ou améliorer un modèle d'intelligence artificielle, que ce soit le sien ou celui d'un tiers. Il peut produire et exploiter des statistiques strictement anonymes (sans possibilité de réidentification) sur l'usage du service.
2.4 Le transfert des données hors de l'Union européenne n'est autorisé que dans les conditions de l'article 7.
3. Confidentialité et personnes autorisées
3.1 Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée.
3.2 L'accès aux données d'un professeur par le personnel du Sous-traitant est limité aux cas nécessaires à l'exploitation du service (support à la demande du professeur, incident de sécurité, obligation légale). Le service est cloisonné par utilisateur ; aucun professeur ne peut accéder aux données d'un autre.
4. Sécurité
4.1 Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées décrites en Annexe 3, au sens de l'article 32 du RGPD.
4.2 Ces mesures peuvent évoluer, sans que le niveau de protection global puisse être abaissé.
5. Sous-traitants ultérieurs
5.1 Le Responsable de traitement autorise de façon générale le Sous-traitant à recourir aux sous-traitants ultérieurs listés en Annexe 2.
5.2 Tout ajout ou remplacement est notifié dans les conditions de l'article 1.3 (préavis de 30 jours, résiliation sans frais possible).
5.3 Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données équivalentes aux présentes, et demeure pleinement responsable devant le Responsable de traitement de l'exécution par ceux-ci de leurs obligations.
6. Agent IA — clause spécifique
6.1 Ce qui est transmis. Lorsque le Responsable de traitement utilise l'Agent IA, le contenu de son message, les fichiers qu'il y joint et le contexte pédagogique nécessaire (niveau, matière, éléments du suivi qu'il a lui-même choisi de transmettre) sont envoyés au fournisseur du modèle listé en Annexe 2. Aucun envoi n'a lieu sans action du Responsable de traitement.
6.2 Localisation. Ces traitements sont effectués dans l'Union européenne (emplacement multirégional eu de Google Cloud), au repos comme pendant le traitement par le modèle.
6.3 Pas d'entraînement. Le fournisseur du modèle s'interdit contractuellement d'utiliser les contenus transmis pour entraîner ou améliorer ses modèles. Une journalisation de courte durée à des fins de sécurité et de prévention des abus subsiste de son côté.
6.4 Interdictions à la charge du Responsable de traitement. Le Responsable de traitement s'interdit de saisir dans l'Agent IA :
- des données relevant de l'article 9 du RGPD concernant un élève ou sa famille, notamment des données de santé (trouble, diagnostic, aménagement médical, traitement), des convictions religieuses ou philosophiques, des opinions politiques, l'appartenance syndicale, l'origine, la vie sexuelle ou l'orientation sexuelle ;
- des données relatives à une infraction, une condamnation ou une procédure ;
- des informations relatives à la situation familiale, sociale ou financière des parents qui ne seraient pas nécessaires à la préparation du cours ;
- un identifiant d'État (numéro de sécurité sociale, INE, pièce d'identité) ;
- plus généralement, toute donnée dont la transmission n'est pas nécessaire à la demande pédagogique formulée.
Le prénom de l'élève, son niveau, sa matière et l'état de ses acquis dans cette matière sont, eux, nécessaires au service et couverts par le présent accord.
6.5 Portée des filtres. Le service comporte des avertissements et des filtres destinés à réduire le risque de transmission accidentelle des données visées au 6.4. Ces dispositifs sont une mesure de minimisation au sens de l'article 25 du RGPD ; ils ne garantissent pas l'exhaustivité de la détection et ne transfèrent pas au Sous-traitant la responsabilité du contenu saisi.
6.6 Pas de décision automatisée. L'Agent IA produit une aide à la préparation et au suivi. Il ne prend aucune décision produisant des effets juridiques ou affectant de manière significative un élève au sens de l'article 22 du RGPD : l'évaluation, l'orientation et l'appréciation restent le fait du professeur, qui valide ou écarte les propositions.
6.7 Transparence. Conformément à l'article 50 du règlement (UE) 2024/1689 (« AI Act »), applicable depuis le 2 août 2026, l'utilisateur est informé qu'il interagit avec un système d'intelligence artificielle, et les contenus générés sont identifiables comme tels.
7. Transferts hors de l'Union européenne
7.1 Les données confiées sont hébergées en France et les traitements de l'Agent IA effectués dans l'Union européenne.
7.2 Lorsqu'un sous-traitant ultérieur est susceptible d'accéder à des données depuis un pays tiers — notamment pour le support technique ou l'administration de ses infrastructures — ou fournit son service depuis un pays tiers (acheminement des notifications push), le transfert est encadré par la décision d'adéquation « EU-US Data Privacy Framework » (décision d'exécution (UE) 2023/1795) lorsque l'entité concernée y est certifiée, et, à défaut ou à titre subsidiaire, par les clauses contractuelles types de la Commission européenne.
7.3 L'Annexe 2 indique, pour chaque sous-traitant ultérieur, le pays de traitement et le mécanisme applicable.
8. Assistance au Responsable de traitement
8.1 Droits des personnes. Le service permet au Responsable de traitement de répondre lui-même, depuis son compte, aux demandes d'accès, de rectification, d'effacement et de portabilité (consultation, modification et export des fiches élèves, des séances et des factures). Si une demande ne peut être satisfaite par ces moyens, le Sous-traitant apporte son assistance dans un délai raisonnable.
8.2 Sécurité, analyse d'impact, consultation préalable. Le Sous-traitant aide le Responsable de traitement à respecter les articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition, en mettant à disposition la description des traitements, des mesures de sécurité et des sous-traitants ultérieurs figurant aux présentes.
8.3 Violation de données. Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par courriel à l'adresse du compte, avec les éléments de l'article 33.3 du RGPD dont il dispose. La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées incombe au Responsable de traitement.
9. Obligations du Responsable de traitement
Le Responsable de traitement :
- s'assure de disposer d'une base légale pour les traitements qu'il confie, et recueille l'autorisation du titulaire de l'autorité parentale pour les élèves mineurs ;
- informe les élèves et leurs parents de l'existence du traitement, du recours à ProfMate et à l'Agent IA, et de leurs droits ;
- ne saisit que des données adéquates, pertinentes et limitées à ce qui est nécessaire, en particulier dans l'Agent IA (article 6.4) ;
- veille à la confidentialité de ses identifiants et active les protections proposées par le service ;
- répond aux demandes d'exercice de droits des personnes concernées.
10. Audit et mise à disposition des informations
10.1 Le Sous-traitant met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD : le présent accord et ses annexes, la politique de confidentialité, la description des mesures de sécurité.
10.2 Le Responsable de traitement peut demander, au plus une fois par an et moyennant un préavis de 30 jours, des informations complémentaires écrites sur les mesures mises en œuvre. Compte tenu de la nature mutualisée du service, un audit sur site n'est pas prévu ; en cas de demande motivée d'une autorité de contrôle, le Sous-traitant coopère pleinement.
11. Sort des données à la fin du contrat
11.1 À la fin de l'abonnement, le Responsable de traitement peut exporter ses données depuis son compte. Passé le délai prévu par les CGU/CGV et la politique de confidentialité, les données sont supprimées ou anonymisées.
11.2 Sont exclues de cette suppression les données que le Sous-traitant est légalement tenu de conserver — en particulier les factures — ainsi que les sauvegardes techniques, qui sont détruites selon leur cycle de rotation.
12. Droit applicable
Le présent accord est soumis au droit français. Les stipulations des CGU/CGV relatives au règlement des différends, à la médiation et à la juridiction compétente s'y appliquent.
Annexe 1 — Description du traitement
| Nature et finalité | Hébergement et mise à disposition d'un outil de suivi pédagogique, de facturation et d'assistance par IA, pour le compte du professeur ; réception, conservation et affichage des factures électroniques que lui adressent ses fournisseurs, depuis la plateforme agréée qu'il a choisie, et transmission de ses refus à cette plateforme |
|---|---|
| Durée | Durée de l'abonnement, puis les durées suivantes : compte du professeur anonymisé automatiquement après deux ans sans connexion, avec un courriel d'avertissement 30 jours avant ; comptes élève et parent anonymisés automatiquement après deux ans sans connexion, avec un courriel d'avertissement 30 jours avant (un compte qu'aucune adresse ne permet de prévenir l'est sans courriel, deux ans et 30 jours après sa dernière connexion), jamais tant qu'un suivi est en cours (une séance dans les douze derniers mois), qu'une facture n'est pas acquittée ou, pour un parent, qu'un enfant qui se connecte par identifiant garde son compte ; à la suppression ou à l'anonymisation du compte d'un élève ou d'un parent, son identité est effacée, ses fichiers et ses messages sont supprimés (pour un parent, ceux qu'il a écrits ; pour un élève, toutes ses conversations), les séances et comptes-rendus restent visibles de l'autre partie au suivi, sans identité ; à celle du compte du professeur, ses conversations sont supprimées ; messages et heure d'ouverture des conversations conservés tant que les comptes des deux interlocuteurs existent ; informations d'Avance immédiate d'un parent ou d'un élève majeur sans parent lié effacées automatiquement 36 mois après la saisie complète de la fiche si l'inscription auprès de l'Urssaf n'a jamais été activée (avertissement quinze jours avant, par courriel ou dans l'application), conservées sinon tant que son compte existe ; documents PDF générés par l'Agent IA : 30 jours, puis supprimés automatiquement, les échanges avec l'Agent IA n'étant pas conservés ; factures et attestations fiscales : conservées au moins dix ans à compter de la clôture de l'exercice, y compris après la suppression d'un compte ; devis : conservé au moins un an après sa date s'il n'a pas été accepté, dix ans s'il l'a été ; déclaration d'un devis remis avant ProfMate : conservée tant que le professeur la maintient, effacée avec la suppression ou l'anonymisation du compte du professeur ou de l'élève concerné ; informations d'accès au domicile : effacées dès que le professeur ne suit plus d'élève de ce domicile, et avec la suppression ou l'anonymisation du compte du professeur, du parent ou de l'élève concerné ; factures électroniques reçues par le professeur : copies conservées tant que son compte existe, effacées avec la suppression ou l'anonymisation de son compte, l'accès du Sous-traitant à la plateforme agréée étant révoqué au même moment (la plateforme les conserve selon ses propres conditions) ; sauvegardes techniques détruites selon leur cycle de rotation (article 11.2) |
| Personnes concernées | Élèves (majoritairement mineurs), parents ou représentants légaux ; fournisseurs du professeur, pour les factures électroniques qu'ils lui adressent |
| Catégories de données | Identité (civilité, prénom et nom du parent ; prénom, nom, date de naissance, identifiant de connexion ou email de l'élève), coordonnées du parent (email, téléphone, adresse de facturation et du lieu du cours) et de l'élève (téléphone, adresse), qu'il peut saisir lui-même dès 16 ans et qui figurent sur les factures de l'élève majeur facturé directement, scolarité (classe, filière, matières, niveau), suivi pédagogique (séances, contenus, acquis, notes et appréciations saisies par le professeur, documents échangés, réponses et scores aux QCM), propositions d'un autre créneau faites par un parent et son mot au professeur, lien de visio propre à un élève, facturation (montants, dates, moyen de paiement ; devis adressés au parent et sa réponse ; déclaration du professeur qu'un devis a été remis à la famille avant ProfMate, et sa date), accords et consentements donnés (type, date), contenu des échanges avec l'Agent IA, messages échangés dans la messagerie de l'application (professeur ↔ parent, professeur ↔ élève majeur) et heure d'ouverture de chaque conversation par ses participants (mention « Vu »), jeton technique de l'appareil pour les notifications push de l'application mobile (élèves et parents), informations que le parent, ou l'élève majeur sans parent lié, saisit lui-même pour l'Avance immédiate de l'Urssaf, ou que le professeur saisit avec son accord (état civil : civilité, nom de naissance, prénoms, date de naissance, lieu de naissance, commune ou pays, avec son code INSEE ; adresse fiscale et code INSEE de sa commune ; téléphone portable ; BIC et IBAN, ce dernier chiffré), qu'Éducélan transmet à l'Urssaf à la demande du professeur, pour l'inscription puis pour chaque demande de paiement, statut de l'inscription à l'Avance immédiate auprès de chaque professeur, avec le motif d'un refus, identifiant de particulier attribué par l'Urssaf, et informations d'accès au domicile que le professeur saisit (codes d'entrée, bâtiment, étage, interphone, indications), chiffrées, visibles du seul professeur qui les a saisies, du parent de ce domicile et de l'élève majeur dont le professeur a noté qu'il y habite, ou de l'élève majeur pour son propre domicile ; et le fait qu'un élève majeur habite chez un parent lié, noté par le professeur ; factures électroniques que le professeur reçoit de ses fournisseurs (identité, numéro SIREN et coordonnées du fournisseur, numéro, dates, montants et contenu de la facture, fichier d'origine et sa version PDF, statut, motif et précision d'un refus) |
| Catégories particulières (art. 9) | Aucune. Leur saisie est contractuellement interdite (article 6.4) |
| Opérations | Collecte, enregistrement, organisation, conservation, consultation, modification, export, transmission aux sous-traitants ultérieurs listés en Annexe 2, transmission à la plateforme agréée choisie par le professeur, sur son instruction (refus d'une facture reçue), effacement |
Annexe 2 — Sous-traitants ultérieurs autorisés
| Sous-traitant | Rôle | Données concernées | Lieu de traitement | Encadrement |
|---|---|---|---|---|
| Scaleway SAS (France) | Hébergement de l'application, de la base de données et des sauvegardes | Toutes | France | Traitement dans l'UE |
| Google Cloud EMEA Ltd (Irlande) — Vertex AI | Exécution des modèles de l'Agent IA | Messages, fichiers et contexte transmis à l'Agent IA | Union européenne (multirégion eu) | Cloud Data Processing Addendum ; pas d'entraînement sur les données client ; support hors UE encadré par le DPF et/ou les CCT |
| Stripe | Paiement de l'abonnement du professeur | Aucune donnée d'élève ni de parent | UE / États-Unis | CCT / DPF |
| Scaleway SAS (France) — Transactional Email (TEM) | Emails transactionnels (invitations, codes de sécurité, notifications) | Adresse email, contenu du message | France | Traitement dans l'UE |
| 650 Industries, Inc. (Expo, États-Unis) — service de notifications push | Acheminement des notifications push de l'application mobile vers Google (Firebase Cloud Messaging) et Apple (APNs), qui les remettent à l'appareil | Jeton technique de l'appareil, titre « ProfMate », libellé générique par type de notification (jamais le contenu de la notification, aucun nom), lien interne à identifiants opaques | États-Unis | Certification EU-U.S. et Swiss-U.S. Data Privacy Framework (vérifiée le 03/09/2026) et clauses contractuelles types (module 2) intégrées à ses conditions générales ; applicable à compter de la publication de l'application mobile |
Annexe 3 — Mesures de sécurité (art. 32)
- Chiffrement des échanges (HTTPS) et des secrets au repos (Scaleway Secret Manager, secrets TOTP chiffrés AES-256-GCM).
- Informations d'accès au domicile (codes, indications) chiffrées au repos (AES-256-GCM), lisibles du seul professeur qui les a saisies, du parent de ce domicile et de l'élève majeur dont le professeur a noté qu'il y habite, ou de l'élève majeur pour son propre domicile ; elles ne sortent ni par notification, ni par email, ni dans l'agenda synchronisé, ni vers l'Agent IA, et aucun écran d'administration ni aucun journal ne les contient.
- Accès à la plateforme agréée de facturation électronique du professeur : jetons d'accès chiffrés au repos (AES-256-GCM), jamais journalisés, révoqués à la fin du contrat ; copies des factures reçues chiffrées au repos (AES-256-GCM).
- Mots de passe hachés (bcrypt) ; double authentification disponible ; codes email à usage unique hachés et expirants.
- Limitation des tentatives de connexion (anti-force brute), sessions signées.
- Cloisonnement strict des données par utilisateur, contrôle d'appartenance vérifié côté serveur sur chaque route.
- Sauvegardes régulières et chiffrées, hébergées en France.
- Journalisation des accès et des opérations sensibles.
- Anonymisation automatique des comptes professeurs inactifs après 2 ans, avec relance préalable.
- Minimisation appliquée à l'Agent IA : avertissement et filtre à la saisie, contexte transmis limité au nécessaire, aucune conservation des échanges chez le fournisseur du modèle au-delà de sa journalisation de sécurité.