Accord de traitement des données (art. 28 RGPD)

1. Parties

Responsable du traitement. L’établissement scolaire qui utilise l’offre Écoles de Dictée en ligne. Il décide de la finalité du traitement. [À compléter] nom, adresse et représentant de l’établissement.

Sous-traitant. ALPHAOSCAR, société à responsabilité limitée (SARL), 6 rue d’Armaillé, 75017 Paris, France, SIREN 910 288 299, exploitée sous le nom « Dictée en ligne ». Signataire : Alexandre Orfèvre, gérant.

Contact pour les questions sur les données. Alexandre Orfèvre, gérant, à l’adresse privacy@dicteeenligne.com, jusqu’à la désignation d’un délégué à la protection des données.

Acceptation. Cet accord est mis à disposition par ce lien. L’établissement l’accepte en utilisant le service, ou signe un exemplaire en dehors de l’application. [À compléter] modalités de signature et de conservation de l’exemplaire signé.

2. Objet et durée

ALPHAOSCAR traite des données personnelles pour le compte de l’établissement, uniquement pour fournir l’offre Écoles : organiser les classes, proposer les dictées, corriger les productions écrites et présenter les résultats aux personnels de l’établissement.

Les opérations réalisées sont l’enregistrement et la conservation des données dans le service, leur consultation par les personnels autorisés, la transmission des textes à corriger à notre prestataire d’intelligence artificielle, l’export et la suppression.

Les données ne servent pas à la publicité et ne sont pas revendues.

[À compléter] durée du présent accord.

3. Personnes concernées

• Les élèves de l’établissement, qui sont des mineurs.
• Les personnels de l’établissement qui utilisent le service : propriétaire du compte, administrateurs et enseignants.

4. Catégories de données

Élèves.

• Prénom ou pseudonyme et niveau. Aucune adresse e-mail n’est demandée pour un élève.
• Textes de dictée écrits et soumis, résultats, scores et corrections.
• Inscriptions aux classes.
• Codes de connexion de l’élève et de la classe, renouvelables.
• Sessions de connexion des élèves.

Copie papier photographiée (facultatif, dans le navigateur). La photo est transmise à notre prestataire d’intelligence artificielle pour en lire le texte. La photo n’est pas conservée dans le compte. Le texte reconnu est effacé par un nettoyage périodique après le délai de 24 heures prévu pour le vérifier. Si la copie a été corrigée, une empreinte de l’image et une référence technique sont conservées, sans le texte, pour retrouver cette correction.

Personnels.

• Adresse e-mail, nom et rôle dans l’établissement.
• Journal des actions de gestion.

Facturation. Adresse e-mail de facturation de l’établissement, utilisée pour le paiement et les factures.

Le nom du profil et celui de l’établissement ne sont pas ajoutés à la demande de correction. Une information personnelle écrite dans le texte de l’élève est toutefois transmise avec ce texte.

5. Obligations du sous-traitant

ALPHAOSCAR traite les données uniquement pour la finalité décrite à l’article 2.

[À compléter] traitement sur instruction documentée de l’établissement et information de l’établissement si une instruction lui paraît contraire à la réglementation.

[À compléter] engagement de confidentialité des personnes autorisées à traiter les données.

[À compléter] prise en compte de la protection des données dès la conception et par défaut.

[À compléter] responsabilité des parties.

6. Sous-traitance ultérieure

L’établissement autorise le recours aux sous-traitants listés en annexe 1 et détaillés sur la page Sous-traitants, hébergement et transferts.

ALPHAOSCAR informe l’établissement de tout ajout ou remplacement d’un sous-traitant 30 jours avant le changement, par e-mail adressé au compte propriétaire de l’établissement.

[À compléter] droit d’objection de l’établissement et conséquences d’une objection.

[À compléter] obligations imposées aux sous-traitants ultérieurs.

7. Sécurité des données

Les mesures de sécurité en place sont décrites en annexe 2. Elles ne constituent pas une certification.

[À compléter] engagement de maintien et de mise à jour des mesures de sécurité.

8. Droits des personnes concernées

L’établissement, responsable du traitement, reçoit et traite les demandes des élèves, de leurs parents et de ses personnels. ALPHAOSCAR aide l’établissement à y répondre.

L’établissement dispose dans son espace de deux outils : la suppression d’un profil élève, qui efface ses sessions et ses travaux enregistrés, et l’export des données de l’établissement. La suppression peut être refusée si le profil appartient encore à une autre classe active, et elle n’est pas possible dans une classe archivée. Une trace de l’opération reste dans le journal de gestion.

[À compléter] délai et modalités de l’assistance apportée par ALPHAOSCAR.

9. Notification des violations de données

[À compléter] délai de notification d’une violation de données à l’établissement.

[À compléter] contenu de la notification et canal utilisé.

10. Sort des données à la fin du contrat

Règle de conservation. Les données des élèves et les données de l’établissement dans le produit sont supprimées 12 mois après la fin de l’année scolaire, ou 3 mois après la clôture du compte de l’établissement, selon la première de ces échéances. La fin de l’année scolaire est fixée au 31 août. [À compléter] confirmer la date de fin d’année scolaire.

Cette suppression est réalisée manuellement par notre équipe. Elle n’est pas encore automatique.

Restitution. Le propriétaire et les administrateurs téléchargent un export JSON des données de l’établissement depuis leur espace. Cet export est disponible uniquement tant que l’établissement est actif et validé : il ne l’est plus après la clôture. L’établissement doit donc l’effectuer avant la clôture. Le détail de l’export figure sur la page Durées de conservation.

[À compléter] format de restitution au-delà de l’export JSON.

Facturation. Les justificatifs de facturation exigés par la loi sont conservés. [À compléter] durée de conservation des justificatifs de facturation.

11. Documentation et audits

[À compléter] informations mises à disposition de l’établissement pour démontrer le respect des obligations.

[À compléter] modalités des audits et des inspections.

Annexe 1. Sous-traitants autorisés

Les données traitées, la localisation et les garanties de transfert de chaque sous-traitant figurent sur la page Sous-traitants, hébergement et transferts.

Annexe 2. Mesures de sécurité

• Les accès sont vérifiés par établissement et par rôle. Un enseignant accède aux classes auxquelles il est affecté ; le propriétaire et les administrateurs disposent d’un accès de gestion plus large.
• Les codes de connexion des élèves peuvent être renouvelés et leurs sessions révoquées.
• Les jetons de session sont enregistrés sous forme d’empreinte, jamais en clair.
• Tous les échanges passent par HTTPS.
• Les actions de gestion des personnels sont enregistrées dans un journal.