Article 28 du RGPD - Version 1.0 - 17 janvier 2026
Cet accord formalise les obligations de sous-traitance au sens de l'article 28 du Règlement Général sur la Protection des Données (RGPD) entre un établissement scolaire utilisant OrIAntation et l'éditeur du service.
Ce document doit être signé par le chef d'établissement avant tout déploiement du service dans un établissement scolaire public ou privé.
Le présent accord est conclu en application de l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et définit les conditions dans lesquelles le Sous-traitant s'engage à effectuer pour le compte du Responsable de traitement les opérations de traitement de données à caractère personnel décrites ci-après.
L'établissement scolaire (représenté par son chef d'établissement ou l'académie pour les établissements publics) qui souscrit au service OrIAntation pour ses élèves et personnels.
Thomas Cavil, éditeur et développeur du service OrIAntation
Entrepreneur individuel — SIREN 904 625 191 — 14 rue Traversière, 56690 Landévant
Contact : contact@oriantation.fr
Ci-après dénommés ensemble « les Parties ».
Le Sous-traitant est autorisé à traiter pour le compte du Responsable de traitement les données à caractère personnel nécessaires au fonctionnement du service OrIAntation, application d'aide à l'orientation scolaire utilisant l'intelligence artificielle.
Le traitement est effectué pour la durée de l'abonnement de l'établissement au service, puis pour la durée de conservation définie à l'article 6.
| Catégorie | Données concernées | Base légale |
|---|---|---|
| Identification | Nom, prénom, email, établissement, classe | Exécution du contrat |
| Profil orientation | Réponses questionnaires, centres d'intérêt, spécialités | Consentement |
| Journal de bord | Notes personnelles, réflexions, objectifs | Consentement |
| Données académiques | Notes, moyennes (si consentement spécifique) | Consentement explicite |
| Messages | Contenu, horodatage, expéditeur/destinataire | Intérêt légitime (protection mineurs) |
| Données CV | Téléphone, adresse, expériences (optionnel) | Consentement explicite |
| Logs techniques | IP, horodatage connexion, user-agent | Intérêt légitime (sécurité) |
La majorité des personnes concernées étant des mineurs, des mesures de protection renforcées sont mises en œuvre conformément à l'article 8 du RGPD et aux recommandations de la CNIL.
Le Sous-traitant s'engage à :
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données :
Le Sous-traitant est autorisé à faire appel aux sous-traitants ultérieurs suivants :
| Prestataire | Fonction | Localisation | Garanties |
|---|---|---|---|
| Google Firebase | Base de données, authentification | europe-west1 (Belgique) | DPA Google Cloud |
| Google Vertex AI | IA générative (Gemini) | europe-west1 (Belgique) | Pas d'entraînement sur données |
| Netlify | Hébergement frontend | CDN européen | DPA Netlify |
| Brevo | Emails transactionnels | France | Entreprise française RGPD |
Tout nouveau sous-traitant ultérieur sera notifié au Responsable de traitement avec un délai de 30 jours pour s'y opposer.
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :
Le Sous-traitant aide le Responsable de traitement à :
| Type de données | Durée de conservation |
|---|---|
| Comptes élèves actifs | Durée de la scolarité dans l'établissement |
| Comptes élèves après départ | 1 an (puis suppression automatique) |
| Messages (archives légales) | 4 ans (obligation Éducation Nationale) |
| Comptes enseignants inactifs | 18 mois puis avertissement + 30 jours |
| Logs de sécurité | 1 an |
À l'issue de la prestation ou en cas de résiliation :
Exception : Les archives légales (messages, notes) sont conservées selon les durées légales puis supprimées automatiquement.
En cas de violation de données à caractère personnel, le Sous-traitant s'engage à :
Le Responsable de traitement peut :
Le Sous-traitant s'engage à mettre à disposition les informations nécessaires pour démontrer le respect des obligations.
Le Responsable de traitement s'engage à :
OrIAntation utilisant l'IA dans un contexte éducatif :
Pour faciliter la réalisation de l'analyse d'impact (AIPD) obligatoire, OrIAntation met à disposition un modèle pré-rempli que l'établissement peut adapter à son contexte :
Chaque Partie est responsable des dommages causés par un traitement non conforme au RGPD.
Le Sous-traitant ne répond des dommages que s'il n'a pas respecté ses obligations spécifiques ou s'il a agi en dehors des instructions du Responsable de traitement.
Le présent accord est soumis au droit français. En cas de litige, les tribunaux français sont compétents.
Le présent accord entre en vigueur à la date de signature par les deux Parties et reste valable pour toute la durée de l'abonnement au service OrIAntation.
Pour formaliser cet accord de sous-traitance :
Un exemplaire contresigné vous sera retourné sous 5 jours ouvrés.
Sous-traitant (OrIAntation)
Référent protection des données : Thomas Cavil
Email : contact@oriantation.fr
DPO externe (en cours de désignation)
Coordonnées communiquées prochainement.
Responsable de traitement (Établissement)
Le DPO académique ou le référent RGPD de l'établissement.