Accord de traitement des données (DPA)

ACCORD DE TRAITEMENT DES DONNÉES (DPA) Article 28 du Règlement (UE) 2016/679 — RGPD Copiflow — Version 2.1 — 5 août 2026 ======================================== ENTRE Le responsable de traitement (ci-après « le RT ») : l'enseignant utilisateur de Copiflow, agissant dans le cadre de sa mission et, le cas échéant, sous la responsabilité de l'établissement dont il relève. ET Le sous-traitant (ci-après « le ST ») : Rick Verhoef, éditeur de Copiflow, Albi (81000), France — contact@copiflow.fr ARTICLE 1 — OBJET, DURÉE, DOCUMENTS Le présent accord définit les conditions dans lesquelles le ST traite des données personnelles pour le compte du RT dans le cadre de Copiflow. Il entre en vigueur à l'acceptation des CGU et prend fin à la suppression du compte du RT ou, si elle est postérieure, à l'effacement de la dernière donnée traitée pour son compte. Il complète les CGU et la Politique de confidentialité. En cas de contradiction sur un point de protection des données, le présent accord prévaut. ARTICLE 2 — DESCRIPTION DU TRAITEMENT Nature des opérations Collecte, enregistrement, conservation, mise en page, compilation, reconnaissance optique de marques sur copies numérisées, calcul de notes, export, transmission vers un ENT ou par courrier électronique sur instruction du RT, effacement. Finalité Composer des sujets d'évaluation, corriger automatiquement les copies et restituer les résultats à l'enseignant, à l'établissement ou aux responsables légaux, sur décision du RT. Catégories de personnes concernées - élèves des classes du RT, généralement mineurs ; - responsables légaux de ces élèves. Catégories de données - identité de l'élève : nom, prénom ; - identifiants internes : code élève tiré au sort, rang de distribution, identifiant Pronote éventuel ; - données scolaires : réponses, notes, barèmes, niveau de ceinture de calcul mental ; - copies numérisées : écriture manuscrite de l'élève, cases noircies, parfois nom porté à la main sur la copie ; - responsables légaux : civilité, nom, prénom, adresse électronique. Aucune donnée relevant de l'article 9 du RGPD (données dites sensibles) n'est demandée par le service. Le RT s'engage à ne pas en saisir. Durée Copies numérisées, résultats, évaluations de travail, listes de classes et d'élèves, coordonnées des responsables légaux : jusqu'au 31 août suivant leur création, ou jusqu'à leur suppression par le RT si elle intervient avant. Les fichiers déposés par le scanner, qui sont des doubles, sont supprimés 30 jours après leur traitement. ARTICLE 3 — INSTRUCTIONS DOCUMENTÉES Le ST ne traite les données que sur instruction documentée du RT. Les CGU, la Politique de confidentialité et le présent accord constituent l'instruction initiale ; les actions du RT dans l'interface (import d'une liste, lancement d'une correction, envoi de bilans, suppression) en sont le prolongement. Le ST informe immédiatement le RT s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable, et peut suspendre son exécution. ARTICLE 4 — OBLIGATIONS DU SOUS-TRAITANT 4.1 Confidentialité Le ST est seul à disposer d'un accès d'administration. Il s'astreint à la confidentialité et n'accède aux données que dans la mesure nécessaire à la maintenance, au dépannage ou à l'exécution d'une demande du RT. Toute personne qu'il autoriserait à l'avenir sera soumise au même engagement, par écrit. 4.2 Sécurité (article 32 du RGPD) - chiffrement des échanges en transit (TLS, certificat renouvelé automatiquement) ; - mots de passe stockés sous forme d'empreinte à sens unique ; - identifiants ENT chiffrés en base par clé symétrique, déchiffrés uniquement à l'occasion d'une connexion déclenchée par le RT ; - cloisonnement strict des données par compte ; - hébergement en France, chez un hébergeur soumis au droit européen ; - sauvegardes quotidiennes de la base, conservées 7 jours ; - journalisation des accès applicatifs, conservée 14 jours ; - supervision des erreurs configurée pour ne pas transporter de données personnelles ; - purge annuelle automatisée, exécutée par une tâche planifiée et non par une intervention manuelle. 4.3 Sous-traitants ultérieurs Le RT autorise les sous-traitants ultérieurs suivants : Scaleway SAS (France) — hébergement des serveurs et des données Scaleway SAS, service TEM — acheminement des messages sortants Functional Software Inc. — supervision des erreurs applicatives, (Sentry), région européenne sans données personnelles Tout ajout ou remplacement fait l'objet d'une information préalable du RT par courrier électronique, au moins 30 jours avant, avec possibilité de s'y opposer. En cas d'opposition, le RT peut résilier sans frais et obtenir la restitution de ses données. Le ST demeure pleinement responsable devant le RT de l'exécution par ses sous-traitants ultérieurs de leurs obligations. 4.4 Localisation Toutes les données sont hébergées et traitées dans l'Union européenne. Aucun transfert vers un pays tiers n'est effectué. Si un tel transfert devait devenir nécessaire, il ferait l'objet d'une information préalable et d'un encadrement conforme au chapitre V du RGPD. 4.5 Assistance au RT Le ST assiste le RT, dans la mesure du possible et compte tenu de la nature du traitement : - pour répondre aux demandes d'exercice de droits des élèves et de leurs responsables : accès, rectification, effacement, limitation. Le ST répond aux sollicitations du RT sous 5 jours ouvrés ; les données courantes sont directement accessibles au RT depuis son espace, sans intervention du ST ; - pour l'analyse d'impact et la consultation préalable éventuelles (articles 35 et 36), en fournissant les informations techniques utiles ; - pour la sécurité et la notification des violations (articles 32 à 36). Si une personne concernée s'adresse directement au ST, celui-ci ne répond pas sur le fond et transmet la demande au RT sans délai. 4.6 Violation de données Le ST notifie le RT sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, par courrier électronique à l'adresse du compte. La notification décrit la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises ou proposées. La notification à la CNIL et, le cas échéant, aux personnes concernées incombe au RT ; le ST lui fournit tout élément nécessaire. 4.7 Sort des données en fin de traitement Au choix du RT exprimé avant la fin de l'accord, le ST restitue les données dans un format exploitable ou les supprime, ainsi que les copies existantes. À défaut de choix exprimé dans les 30 jours suivant la fin de l'accord, les données sont supprimées. Les sauvegardes déjà constituées expirent selon leur cycle propre (7 jours) et ne sont pas réutilisées entre-temps. Une attestation de suppression est délivrée sur demande. 4.8 Registre et démonstration de conformité Le ST tient le registre des catégories de traitements effectués pour le compte du RT (article 30.2) et met à disposition, sur demande, les informations nécessaires pour démontrer le respect du présent accord. Le RT peut demander une fois par an, avec un préavis raisonnable, les éléments documentaires attestant des mesures de sécurité décrites au 4.2. ARTICLE 5 — OBLIGATIONS DU RESPONSABLE DE TRAITEMENT Le RT s'engage à : - n'importer que des données relevant de ses classes et nécessaires à sa mission, dans le respect du principe de minimisation ; - s'assurer que le traitement est licite au regard de son établissement, et avoir obtenu, si son établissement l'exige, son accord préalable ; - avoir informé les élèves et leurs responsables légaux du recours à Copiflow (un modèle figure en annexe) ; - ne pas saisir de données sensibles ; - documenter ses instructions et n'en donner que de licites ; - veiller à la confidentialité de ses identifiants de connexion ; - traiter lui-même les demandes d'exercice de droits qui lui parviennent. ARTICLE 6 — RESPONSABILITÉ ET DROIT APPLICABLE Chaque partie répond des dommages causés par un traitement qui méconnaîtrait ses propres obligations, dans les conditions de l'article 82 du RGPD. Le présent accord est soumis au droit français. À défaut de résolution amiable, tout litige relève des tribunaux du ressort d'Albi (81). ARTICLE 7 — ACCEPTATION L'acceptation des CGU lors de l'inscription vaut acceptation du présent accord. Une version signée peut être adressée sur demande à un établissement qui en ferait la condition de son autorisation. ──────────────────────────────────────── ANNEXE 1 — CE QUE COPIFLOW NE FAIT PAS Pour lever les questions les plus fréquentes des chefs d'établissement et des délégués à la protection des données : - aucune revente, location ni communication de données à un tiers ; - aucune publicité, aucun traceur tiers, aucune mesure d'audience externe ; - aucun profilage d'élève, aucun score de comportement ; - aucun entraînement de modèle d'intelligence artificielle sur les données des élèves ou des enseignants ; - aucune décision individuelle entièrement automatisée : la note est arrêtée par l'enseignant ; - aucun compte, aucun identifiant, aucune collecte directe auprès des élèves ; - aucun hébergement ni transfert hors de l'Union européenne. ──────────────────────────────────────── ANNEXE 2 — MODÈLE DE MENTION D'INFORMATION À adapter et à communiquer aux élèves et à leurs responsables légaux, par le carnet de liaison, l'ENT ou le règlement de classe. « Pour la correction des évaluations, j'utilise Copiflow, un service en ligne qui lit automatiquement les copies scannées et calcule les notes. Les données traitées sont le nom et le prénom de l'élève, ses réponses et ses notes, ainsi que l'image de sa copie. Elles sont hébergées en France, ne sont transmises à personne d'autre que l'établissement, et sont supprimées au plus tard le 31 août suivant l'année scolaire. Les corrections sont vérifiées par mes soins avant toute notation ; aucune note n'est attribuée de façon automatique. Conformément au RGPD, vous pouvez demander l'accès aux données de votre enfant, leur rectification ou leur effacement en vous adressant à [nom de l'enseignant / secrétariat de l'établissement]. »