Accord de sous-traitance — Réussik
Conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD).
Version 1.7 — en vigueur au 7 octobre 2026.
Ce qui change depuis la version 1.6. Rien dans ce document : c'est l'article 13 des CGU qui a été réécrit, et le délai de trente jours de l'article 7 ci-dessous — le changement de sous-traitant ultérieur — est expressément maintenu.
Et depuis la version 1.4, pour les comptes qui n'ont pas lu la 1.6 : rien non plus dans ce document ; c'est la politique de confidentialité qui avait été révisée. Ce que le sous-traitant Mistral AI reçoit change de nature — la phrase écrite par la personne qui enseigne, à la place d'une liste de travaux — et c'est décrit là-bas ; ses obligations, sa localisation et la liste des sous-traitants ultérieurs sont inchangées.
1. Les parties
Le responsable du traitement : l'Utilisateur de Réussik — l'enseignant ou l'enseignante titulaire du compte — agissant dans le cadre de sa mission au sein de son établissement. C'est lui qui décide des finalités et des moyens : quels enfants sont suivis, ce qui est photographié, ce qui est écrit et ce qui est conservé.
Le sous-traitant : Grégoire Convenant, entrepreneur individuel, SIRET 109 387 670 00010, 3 bis rue des Murets, 35120 Dol-de-Bretagne, éditeur de Réussik. Contact pour toute question relative à la protection des données : contact@reussik.fr.
Le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement, l'usage du Service et les présentes conditions valant instructions.
2. Objet, nature et finalités
Le sous-traitant héberge et exploite l'application Réussik, qui permet au responsable du traitement d'enregistrer et de suivre le travail de ses élèves d'école maternelle, de le rattacher au programme officiel, et d'en produire un livret de réussites destiné aux familles.
Les opérations réalisées sont : la collecte, l'enregistrement, l'organisation, la conservation, la consultation, la modification, l'extraction, la transmission à des sous-traitants ultérieurs limitativement énumérés, et l'effacement.
Le sous-traitant n'utilise les données à aucune fin propre : ni prospection, ni publicité, ni revente, ni statistique commerciale, ni entraînement d'un modèle d'intelligence artificielle.
3. Durée
L'accord prend effet à la création du compte et s'achève à la fin du contrat, dans les conditions de l'article 10.
4. Catégories de personnes concernées
- Élèves de l'école maternelle suivis par le responsable du traitement (enfants âgés de trois à six ans environ) ;
- le responsable du traitement lui-même ;
- les personnes titulaires d'un compte assistant (ATSEM) créées par lui.
5. Catégories de données traitées
Concernant les élèves :
- prénom et nom ;
- photographie de portrait, lorsque le responsable du traitement en ajoute une ;
- photographies de leurs travaux ;
- appréciations écrites par le responsable du traitement, mention « réussie » ou « très réussie », et commentaires destinés aux familles ;
- observations pédagogiques et leur date ;
- nom, niveau et école de la classe fréquentée.
Concernant les adultes :
- adresse e-mail (comptes enseignant et assistant) ;
- empreinte du mot de passe (PBKDF2 avec sel — le mot de passe lui-même n'est jamais stocké) ;
- empreinte des jetons de session, date d'expiration, rôle ;
- identifiants de facturation du prestataire de paiement, le cas échéant.
Aucune donnée relevant de l'article 9 du RGPD n'est prévue par le Service. Les conditions générales interdisent d'en saisir. Le sous-traitant n'a aucun moyen technique d'empêcher qu'une donnée de cette nature soit écrite dans un champ libre : la vigilance incombe au responsable du traitement.
Aucune donnée de géolocalisation n'est conservée : les métadonnées EXIF, dont les coordonnées GPS inscrites par les appareils photo, sont retirées à l'enregistrement de chaque image, par décodage et ré-encodage.
6. Obligations du sous-traitant
Le sous-traitant s'engage à :
1. ne traiter les données que sur instruction documentée du responsable du traitement, y compris en matière de transfert hors Union européenne, et l'informer s'il estime qu'une instruction constitue une violation du RGPD ; 2. garantir la confidentialité des données et veiller à ce que toute personne autorisée à y accéder soit soumise à une obligation de confidentialité. À la date des présentes, le sous-traitant est une entreprise individuelle : il est la seule personne physique disposant d'un accès d'administration ; 3. mettre en œuvre les mesures de sécurité décrites à l'article 8 ; 4. respecter les conditions de recours à un sous-traitant ultérieur définies à l'article 7 ; 5. aider le responsable du traitement à répondre aux demandes d'exercice de droits (article 9), à assurer la sécurité, à notifier les violations, et à réaliser, le cas échéant, une analyse d'impact ; 6. supprimer ou restituer les données au terme du contrat (article 10) ; 7. mettre à disposition toute information nécessaire pour démontrer le respect de l'article 28 et permettre les audits prévus à l'article 11 ; 8. tenir le registre des catégories d'activités de traitement effectuées pour le compte du responsable du traitement (article 30.2 du RGPD).
7. Sous-traitants ultérieurs
Le responsable du traitement autorise le recours aux sous-traitants ultérieurs suivants :
| Prestataire | Rôle | Localisation des traitements |
|---|---|---|
| OVHcloud SAS — 2 rue Kellermann, 59100 Roubaix | Hébergement du serveur, de la base de données et du stockage des photographies | France |
| OVHcloud SAS | Acheminement des e-mails de service (confirmation d'adresse, réinitialisation de mot de passe) | France |
| Mistral AI SAS — Paris, France | Classement des activités, propositions de commentaires, transcription de ce que dit l'adulte qui tient l'appareil | Union européenne |
| Stripe Payments Europe Ltd — Dublin, Irlande | Encaissement des abonnements, gestion de la facturation | Union européenne, avec transfert vers Stripe, Inc. (États-Unis) |
Précisions importantes :
- Aucune photographie n'est transmise à Mistral AI, en aucun cas : ni celle d'un enfant, ni celle de son travail, ni celle du matériel d'une activité. Les images enregistrées restent sur l'hébergement du Service.
- Mistral AI n'intervient que si les fonctions correspondantes sont actives. La fonction transmettant un enregistrement sonore — quelques secondes de la voix de l'adulte qui tient l'appareil — dispose de son propre interrupteur, distinct de celui des deux fonctions purement textuelles. Le détail exhaustif de ce qui est transmis dans chacun des trois cas figure dans la politique de confidentialité. Aucune donnée n'est utilisée pour l'entraînement de modèles.
- Stripe n'intervient que si le responsable du traitement souscrit un abonnement payant. Il traite alors son adresse e-mail et ses données de paiement, jamais aucune donnée d'élève. Le transfert vers les États-Unis est encadré par les clauses contractuelles types de la Commission européenne et par le Data Privacy Framework.
- Aucune donnée d'élève ne quitte l'Union européenne.
Le sous-traitant informe le responsable du traitement de tout ajout ou remplacement d'un sous-traitant ultérieur par e-mail, trente jours avant sa mise en œuvre. Le responsable du traitement peut s'y opposer dans ce délai ; son opposition vaut résiliation du contrat, sans frais, avec export préalable de ses données.
8. Mesures de sécurité (article 32 du RGPD)
- Chiffrement des communications : l'application n'est accessible qu'en HTTPS ; toute requête en clair est redirigée.
- Authentification : mots de passe stockés sous forme d'empreintes PBKDF2 avec sel ; jetons de session stockés sous forme d'empreinte SHA-256, jamais en clair, expirant après trente jours ; confirmation d'adresse e-mail obligatoire.
- Double authentification : la connexion à un compte enseignant exige, après le mot de passe, un code à six chiffres envoyé à l'adresse du compte, valable dix minutes et limité à cinq essais. Un mot de passe seul, fût-il exact, n'ouvre aucune session et ne donne accès à aucune donnée.
- Cloisonnement entre établissements : chaque compte constitue un espace isolé. Le cloisonnement est garanti jusque dans le schéma de la base de données : chaque clé étrangère porte l'identifiant de l'espace, de sorte qu'une requête qui aurait omis son filtre échoue au lieu de renvoyer les données d'un autre compte.
- Photographies : jamais exposées directement. Chaque accès passe par l'application, qui vérifie le droit d'accès et délivre une adresse signée expirant au bout de douze heures ; une adresse ayant circulé cesse de fonctionner d'elle-même. Le stockage n'est pas accessible publiquement, ce que l'application vérifie à son démarrage et refuse de fonctionner sans cette vérification.
- Nettoyage des images : toute image est décodée et ré-encodée à l'enregistrement, ce qui supprime les métadonnées EXIF et GPS et garantit qu'il s'agit bien d'une image.
- Enregistrements sonores : il s'agit de la voix de l'adulte qui tient l'appareil, et d'elle seule. Lus en mémoire, transmis une fois, jamais écrits sur un disque. Aucun enregistrement n'est conservé, ni par le sous-traitant, ni dans les sauvegardes.
- Sauvegardes : la base de données est sauvegardée quotidiennement, chiffrée en transit, conservée quatorze jours puis détruite automatiquement, hébergée chez le même hébergeur, en France. Aucune copie n'est confiée à un tiers. Les fichiers photographiques ne sont pas sauvegardés : ils reposent sur un stockage objet répliqué et aucune version antérieure n'est conservée, de sorte qu'une photographie supprimée l'est immédiatement et sans recours.
- Journalisation des accès techniques et des erreurs, sans contenu pédagogique.
- Mises à jour de sécurité appliquées sur les dépendances de l'application.
9. Assistance au responsable du traitement
Droits des personnes. Le Service met directement à disposition du responsable du traitement les fonctions lui permettant d'y répondre lui-même :
- droit d'accès et à la portabilité : export complet des données d'un élève au format ZIP, contenant les données structurées et les photographies ;
- droit de rectification : modification de toute donnée depuis l'interface ;
- droit à l'effacement : suppression d'un élève, d'une classe, d'une entrée du livret, ou du compte entier.
Le sous-traitant assiste le responsable du traitement pour toute demande que ces fonctions ne permettraient pas de satisfaire, dans un délai de dix jours ouvrés.
Violation de données. Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les soixante-douze heures suivant sa connaissance, par e-mail, en décrivant la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises. La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées, incombe au responsable du traitement.
Analyse d'impact. Le traitement de photographies d'enfants peut relever d'une analyse d'impact relative à la protection des données. Sa réalisation incombe au responsable du traitement ; le sous-traitant lui fournit sur demande toute information technique nécessaire.
10. Sort des données au terme du contrat
Un compte passé en lecture seule n'est pas un terme du contrat : le responsable du traitement y conserve l'accès à ses données, leur export et la génération des livrets. Ce compte est conservé douze mois, après quoi le terme du contrat lui est notifié et le présent article s'applique.
Au terme du contrat, quelle qu'en soit la cause, le responsable du traitement dispose de trente jours pour exporter ses données. À l'expiration de ce délai, ou immédiatement en cas de suppression du compte par son titulaire, le sous-traitant supprime l'ensemble des données des systèmes de production, fichiers photographiques compris.
Les fichiers photographiques ne subsistent dans aucune sauvegarde et disparaissent donc avec la suppression elle-même. Les autres données subsistant dans les sauvegardes sont détruites avec elles, au plus tard quatorze jours après la suppression. Aucune copie n'est conservée au-delà, sauf obligation légale de conservation, auquel cas les données ne sont plus traitées que pour satisfaire à cette obligation.
11. Audit
Le sous-traitant met à la disposition du responsable du traitement, sur demande écrite et au plus une fois par an, les informations documentaires nécessaires pour démontrer le respect des obligations du présent accord. Le responsable du traitement peut réaliser un audit, sous réserve d'un préavis de trente jours, d'un engagement de confidentialité, et à ses frais lorsque l'audit n'est pas motivé par un incident avéré.