Accord de sous-traitance

Komen'Rtard · Dernière mise à jour : 8 octobre 2026

Conformément à l'article 28 du Règlement général sur la protection des données (RGPD), cet accord est la convention-type qui encadre le traitement des données personnelles d'élèves confiées à Komen'Rtard. Dans le premier degré public, le responsable de traitement est le directeur académique des services de l'éducation nationale (DASEN) : l'enseignant n'est pas responsable de traitement et ne peut pas conclure cet accord à titre personnel. Cet accord est donc proposé au DASEN (« le Responsable de traitement ») ; il n'entre en vigueur qu'à sa signature, après avis du délégué à la protection des données (DPD) de l'académie.

Ce document complète la politique de confidentialité : celle-ci explique ce qui est fait de vos données ; celui-ci formalise l'engagement contractuel qui encadre ce traitement, au sens de l'article 28 du RGPD.

1. Objet et qualités des parties

Le Responsable de traitement (le DASEN) détermine les finalités et les moyens du traitement des données des élèves de son département. Les enseignants utilisent Komen'Rtard dans l'exercice de leurs fonctions, sous son autorité : ce sont les « Utilisateurs ».

Komen'Rtard agit en qualité de sous-traitant : il traite ces données pour le compte du Responsable de traitement, selon ses instructions documentées (via la configuration et l'utilisation normale du service par les Utilisateurs), et met en œuvre les garanties décrites ci-dessous. Pour les données de compte des Utilisateurs eux-mêmes (adresse e-mail professionnelle, abonnement, sécurité d'accès), Komen'Rtard est lui-même responsable de traitement (voir la politique de confidentialité).

2. Nature, finalité et durée du traitement

Le Sous-traitant traite les données pour :

l'hébergement, la sauvegarde et la restitution des données pédagogiques saisies par les Utilisateurs (livret scolaire, évaluations, appréciations, suivi des élèves, agenda, comptes-rendus de réunion) ;
la génération assistée par intelligence artificielle de commentaires de bulletin, comptes-rendus, mots aux parents et supports pédagogiques, à la demande explicite de l'Utilisateur ;
la lecture assistée par intelligence artificielle de listes de classe importées, et la préparation de documents (objectifs de PPRE, demande d'aide au RASED à partir de notes sans identité, projet d'école), à la demande explicite de l'Utilisateur ;
l'authentification et la sécurisation de l'accès au compte de l'Utilisateur.

Le traitement dure aussi longtemps que le compte de l'Utilisateur est actif. Il prend fin à la clôture du compte ou sur demande de l'Utilisateur ou du Responsable de traitement (voir article 7).

3. Données et personnes concernées

Catégorie de données	Personnes concernées
Identité (nom, prénom, date de naissance, genre)	Élèves des classes concernées
Données scolaires (évaluations, compétences, appréciations)	Élèves des classes concernées
Éléments relatifs aux besoins éducatifs particuliers (PPRE, PAP, AESH…)	Élèves concernés
Contenu des réunions et échanges professionnels	Personnels de l'établissement, familles (le cas échéant)
Identifiants de connexion, adresse e-mail académique	L'Utilisateur (enseignant) — Komen'Rtard est responsable de traitement de ces données

4. Obligations du Sous-traitant

Komen'Rtard s'engage à :

ne traiter les données que sur instruction documentée du Responsable de traitement, exprimée par sa configuration et son utilisation normale du service — sauf obligation légale contraire, auquel cas le Responsable de traitement en est informé si le droit applicable ne l'interdit pas ;
garantir la confidentialité des données : seules les personnes habilitées, tenues à une obligation de confidentialité, y ont accès ;
mettre en œuvre les mesures de sécurité prévues à l'article 32 du RGPD (voir article 5 ci-dessous) ;
ne recourir à un sous-traitant ultérieur qu'avec l'accord général du Responsable de traitement (voir article 6), et lui imposer des obligations de protection des données équivalentes ;
assister le Responsable de traitement, dans la mesure du possible, pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement…) ;
assister le Responsable de traitement en cas de violation de données ou de nécessité d'analyse d'impact, en lui fournissant les informations utiles dont il dispose ;
à la fin de la relation contractuelle, supprimer ou restituer l'ensemble des données à caractère personnel, au choix du Responsable de traitement, et supprimer les copies existantes, sauf obligation légale de conservation ;
mettre à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ces obligations, et permettre un droit de regard raisonnable sur les mesures mises en œuvre.

5. Mesures de sécurité

Cloisonnement : chaque enseignant n'a techniquement accès qu'aux données de ses propres élèves (règles de sécurité au niveau de la base de données).
Accès restreint : inscription réservée aux personnels de l'Éducation nationale — adresses des académies (liste fermée de domaines vérifiés), de l'AEFE et de la Mission laïque, ou invitation individuelle pour l'espace périscolaire — avec un contrôle appliqué côté serveur et une vérification hebdomadaire automatique des comptes.
Chiffrement : connexions chiffrées (HTTPS) et mots de passe stockés chiffrés.
Anonymisation : pour les commentaires de bulletin, le prénom de l'élève est remplacé par un jeton technique avant tout envoi à un prestataire d'intelligence artificielle ; le prénom réel n'est réinjecté que localement.
Minimisation : aucune donnée d'élève n'est utilisée à des fins commerciales, publicitaires, ou pour l'entraînement de modèles d'intelligence artificielle tiers.

6. Sous-traitants ultérieurs autorisés

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, nécessaires au fonctionnement du service :

Sous-traitant	Rôle	Localisation
Supabase	Hébergement de la base de données et authentification	Union européenne (Francfort)
Cloudflare	Hébergement du site et de l'application web, réseau de diffusion	États-Unis (réseau mondial) — encadré par les clauses contractuelles types
OpenAI	Génération de texte assistée par IA (commentaires, comptes-rendus, supports pédagogiques ; prénom d'élève remplacé par un jeton pour les commentaires de bulletin)	États-Unis — société certifiée au Data Privacy Framework UE–États-Unis, et clauses contractuelles types
Mistral AI	Lecture des listes de classe importées ; objectifs de PPRE ; demande d'aide au RASED (notes sans identité) ; aide à la rédaction du projet d'école	Union européenne (société française, hébergement en Suède) — pas d'entraînement sur les données
Brave Search	Résolution d'un lien documentaire à partir d'un mot-clé de ressource (aucune donnée d'élève)	États-Unis
Resend	Envoi des e-mails de service (vérification de compte, bienvenue, remerciement de parrainage)	États-Unis — société certifiée au Data Privacy Framework UE–États-Unis
Apple (RevenueCat) / Google (Stripe)	Traitement des abonnements, selon la plateforme (données de facturation uniquement)	Selon le prestataire

Komen'Rtard informera le Responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, lui donnant la possibilité de s'y opposer pour un motif légitime.

Historique des modifications de cet article

6 octobre 2026 — Mise à jour de la liste pour refléter la situation actuelle : Cloudflare remplace Netlify (hébergement) ; ajout de Mistral AI et de Brave Search ; correction de la localisation de Resend (États-Unis, Data Privacy Framework). Un Utilisateur qui s'opposerait à l'un de ces sous-traitants pour un motif légitime peut l'écrire à l'adresse indiquée à l'article 8.
29 août 2026 — Version initiale.

7. Sort des données en fin de compte

À la clôture du compte ou sur demande, les données sont supprimées selon les modalités décrites sur la page Suppression des données.

8. Contact et litiges

Pour toute question relative à cet accord : thierry.fourmaux@hotmail.fr. Chaque personne concernée conserve à tout moment le droit de saisir la CNIL.

9. Entrée en vigueur et situation actuelle

Aucune convention n'a été signée à ce jour avec un DASEN. Selon le cadre institutionnel, c'est le DASEN qui décide du recours à un service numérique traitant des données d'élèves : Komen'Rtard invite chaque enseignant à s'en informer auprès de sa hiérarchie avant de saisir des données d'élèves, et propose au DASEN de signer la présente convention (demande à l'adresse de l'article 8).

Version du 8 octobre 2026 : le responsable de traitement est désormais le DASEN, et non l'enseignant ; l'enseignant n'est plus présenté comme partie à cet accord.