Article 28 du RGPD - Version 1.3 - 5 septembre 2026
Cet accord formalise les obligations de sous-traitance au sens de l'article 28 du Règlement Général sur la Protection des Données (RGPD) entre un établissement scolaire utilisant OrIAntation et l'éditeur du service.
Cet accord s'applique de plein droit dès lors que des données d'élèves sont traitées dans le cadre scolaire : sa signature ne crée pas le cadre, elle le formalise. Elle ne conditionne l'accès à aucune fonctionnalité et n'emporte aucun engagement financier.
Le chef d'établissement peut le signer en ligne en quelques minutes, ou suivre la voie papier décrite plus bas.
Le présent accord est conclu en application de l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et définit les conditions dans lesquelles le Sous-traitant s'engage à effectuer pour le compte du Responsable de traitement les opérations de traitement de données à caractère personnel décrites ci-après.
Il couvre l'usage du service OrIAntation par les personnels de l'établissement dans le cadre de leur mission d'enseignement et d'accompagnement à l'orientation, que cet usage donne lieu ou non à un abonnement de l'établissement. Le canal de souscription est sans incidence sur la qualification des parties : dès lors que le traitement porte sur des données d'élèves dans le cadre scolaire, l'établissement est responsable de traitement et l'éditeur du service agit en qualité de sous-traitant.
La signature du présent accord n'emporte aucun engagement financier pour l'établissement et ne conditionne l'accès à aucune fonctionnalité du service. Elle formalise un cadre qui s'applique de plein droit.
L'établissement scolaire (représenté par son chef d'établissement ou l'académie pour les établissements publics) qui souscrit au service OrIAntation pour ses élèves et personnels.
Thomas Cavil, éditeur et développeur du service OrIAntation
Entrepreneur individuel, SIREN 904 625 191, 14 rue Traversière, 56690 Landévant
Contact : contact@oriantation.fr
Ci-après dénommés ensemble « les Parties ».
Le Sous-traitant est autorisé à traiter pour le compte du Responsable de traitement les données à caractère personnel nécessaires au fonctionnement du service OrIAntation, application d'aide à l'orientation scolaire utilisant l'intelligence artificielle.
Le traitement est effectué tant qu'au moins un personnel de l'établissement utilise le service dans le cadre de sa mission, que cet usage donne lieu ou non à un abonnement, puis pour la durée de conservation définie à l'article 6.
| Catégorie | Données concernées | Base légale |
|---|---|---|
| Identification | Élèves : prénom et initiale du nom (saisis par l'enseignant, jamais le nom complet), classe, établissement, code d'accès personnel (conservé sous forme de hachage salé, jamais en clair) ; puis, fournis par l'élève à sa première connexion : date de naissance, genre, consentement horodaté. Adresse email : uniquement si l'élève choisit de l'enregistrer (facultatif ; requis en fin de Terminale pour conserver l'accès au dossier). Enseignants : nom, prénom, adresse académique, genre, établissement, classe. |
Mission d'intérêt public (6.1.e) |
| Profil orientation | Réponses questionnaires, centres d'intérêt, spécialités | Consentement |
| Journal de bord | Notes personnelles, réflexions, objectifs | Consentement |
| Données académiques | Notes, moyennes (si consentement spécifique) | Consentement explicite |
| Messages | Contenu, horodatage, expéditeur/destinataire | Intérêt légitime (protection mineurs) |
| Données CV | Téléphone, adresse, expériences (optionnel) | Consentement explicite |
| Logs techniques | IP, horodatage connexion, user-agent | Intérêt légitime (sécurité) |
La majorité des personnes concernées étant des mineurs, des mesures de protection renforcées sont mises en œuvre conformément à l'article 8 du RGPD et aux recommandations de la CNIL.
Le Sous-traitant s'engage à :
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données :
Le Sous-traitant est autorisé à faire appel aux sous-traitants ultérieurs suivants :
| Prestataire | Fonction | Localisation | Garanties |
|---|---|---|---|
| Google Firebase | Base de données, authentification | europe-west1 (Belgique) | DPA Google Cloud |
| Google Vertex AI | IA générative (Gemini) | europe-west1 (Belgique) | Pas d'entraînement sur données |
| Google Cloud Text-to-Speech | Synthèse vocale (entraînement aux oraux) | Endpoint européen (eu-texttospeech) | DPA Google Cloud ; ne reçoit que le texte à vocaliser, jamais la voix ni les données de l'élève |
| Netlify | Hébergement frontend | CDN européen | DPA Netlify |
| Brevo | Emails transactionnels | France | Entreprise française RGPD |
| Resend | Codes administrateur (OTP) et réponses aux demandes de support | Selon DPA Resend | DPA Resend |
| Sentry | Supervision des erreurs applicatives | Francfort (Allemagne) | DPA Sentry, IP anonymisée, SOC 2 Type II |
| Vercel | Tableau de bord administrateur | Francfort (fra1, Allemagne) | DPA Vercel ; consultation par les administrateurs autorisés uniquement, aucun stockage persistant |
| Anthropic (Claude Code) | Outil de développement et de maintenance | États-Unis | Clauses Contractuelles Types (art. 46.2.c) ; pas d'entraînement ; données de débogage limitées |
Tout nouveau sous-traitant ultérieur sera notifié au Responsable de traitement avec un délai de 30 jours pour s'y opposer.
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :
Le Sous-traitant aide le Responsable de traitement à :
| Type de données | Durée de conservation |
|---|---|
| Comptes élèves actifs | Durée de la scolarité dans l'établissement |
| Comptes élèves après départ | 1 an (puis suppression automatique) |
| Messages (archives légales) | 3 ans après la suppression du compte (protection des mineurs) |
| Comptes enseignants inactifs | 18 mois puis avertissement + 60 jours |
| Journaux d'audit de suppression | 3 ans |
À l'issue de la prestation ou en cas de résiliation :
Exception : Les archives légales (messages, notes) sont conservées selon les durées légales puis supprimées automatiquement.
En cas de violation de données à caractère personnel, le Sous-traitant s'engage à :
Le Responsable de traitement peut :
Le Sous-traitant s'engage à mettre à disposition les informations nécessaires pour démontrer le respect des obligations.
Le Responsable de traitement s'engage à :
OrIAntation utilisant l'IA dans un contexte éducatif :
Pour faciliter la réalisation de l'analyse d'impact (AIPD) obligatoire, OrIAntation met à disposition un modèle pré-rempli que l'établissement peut adapter à son contexte :
Chaque Partie est responsable des dommages causés par un traitement non conforme au RGPD.
Le Sous-traitant ne répond des dommages que s'il n'a pas respecté ses obligations spécifiques ou s'il a agi en dehors des instructions du Responsable de traitement.
Le présent accord est soumis au droit français. En cas de litige, les tribunaux français sont compétents.
Le présent accord entre en vigueur à la date de signature par les deux Parties. Il reste valable tant qu'au moins un personnel de l'établissement utilise le service, que cet usage donne lieu ou non à un abonnement.
Il peut être signé sur support papier ou par voie électronique. L'article 28.9 du RGPD prévoit expressément que ce contrat se conclut « sous une forme écrite, y compris sous forme électronique ».
Chacune des Parties peut y mettre fin à tout moment, par simple notification écrite adressée à l'autre Partie, courriel suffisant, avec un préavis d'un mois. La dénonciation ouvre l'application de l'article 7 (sort des données en fin de contrat). L'exemplaire signé demeure conservé par le Sous-traitant : il fait foi de la période couverte.
En ligne, en quelques minutes. Le chef d'établissement saisit le code UAI de l'établissement, relit l'accord, confirme par un code à six chiffres envoyé sur la boîte officielle publiée par l'Annuaire de l'éducation nationale, et reçoit aussitôt l'exemplaire complété avec son code de vérification.
Signer en ligne · Vérifier un exemplaire signé
Sur papier, si vous préférez : téléchargez le PDF, complétez les informations de votre établissement, faites signer par le chef d'établissement et renvoyez le document à pro@oriantation.fr. Un exemplaire contresigné vous est retourné sous 5 jours ouvrés.
Dans les deux cas, la signature formalise un cadre déjà effectif et ne conditionne l'accès à aucune fonctionnalité.
Sous-traitant (OrIAntation)
Référent protection des données : Thomas Cavil
Email : contact@oriantation.fr
DPO externe (en cours de désignation)
Coordonnées communiquées prochainement.
Responsable de traitement (Établissement)
Le DPO académique ou le référent RGPD de l'établissement.
L'ensemble de ces pièces est rassemblé sur la page établissements et DPO.
Le Responsable de traitement tient la liste des personnels autorisés à utiliser le service pour ses élèves : nom et prénom, discipline ou fonction, adresse professionnelle, date. L'ajout ou le retrait d'un enseignant ne nécessite aucun nouvel accord. Le tableau figure dans la version PDF.