Data Processing Agreement — Art. 28 RGPD
Le présent Accord de Sous-Traitance (ci-après « DPA ») est conclu entre tout orthopédagogue utilisant la plateforme App'Évol (ci-après le « Responsable de traitement » ou « RT ») et l'entrepreneur individuel éditant App'Évol (ci-après le « Sous-traitant »), conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).
L'utilisation de la plateforme emporte acceptation du présent accord. Aucune signature distincte n'est requise pour les clients existants ; l'accord entre en vigueur à la première utilisation des fonctionnalités de traitement de données personnelles.
Responsable de traitement (RT)
Tout professionnel (orthopédagogue, logopède, rééducateur) inscrit sur la plateforme App'Évol et utilisant celle-ci pour gérer des dossiers de ses propres clients.
Le RT détermine les finalités et les moyens du traitement de données de ses apprenants et familles.
Sous-traitant
Flavien MATHIEU — Entrepreneur individuel
4 bis rue Lucien Sergent – 91300 MASSY
SIRET : 94082246300011
Contact : contact@appevol.fr
Le Sous-traitant agit exclusivement sur instruction du RT pour héberger et restituer les données.
Le présent DPA encadre le traitement de données à caractère personnel effectué par le Sous-traitant pour le compte du RT dans le cadre de l'utilisation de la plateforme SaaS App'Évol.
Il prend effet à la date de la première utilisation du service et reste en vigueur pendant toute la durée du contrat d'abonnement, puis jusqu'à l'expiration des délais légaux de conservation applicables aux données conservées pour obligation légale.
| Traitement | Catégories de données | Personnes concernées |
|---|---|---|
| Dossiers apprenants | Identité, scolarité, suivis, données potentiellement sensibles, documents | Enfants / adolescents, parents |
| Séances et planification | Dates, durées, notes de séance, observations | Apprenants |
| Questionnaires et entretiens | Réponses aux questionnaires, fiche d'entretien structurée | Apprenants, parents, enseignants |
| Facturation | Identité et coordonnées du représentant légal, montants, dates | Parents / représentants légaux |
| Contrats et autorisations | Identité, signature électronique, date | Parents / représentants légaux |
| Emails transactionnels | Adresse email, nom, contenu du message et pièces jointes (bilans, factures, attestations) | Familles, enseignants, établissements scolaires, partenaires |
| Justificatifs destinés à des tiers | Identité et date de naissance de l'apprenant, dates et horaires de présence | Apprenants, à destination de l'établissement scolaire désigné par la famille |
| Notifications (application et push) | Libellé de l'événement, qui peut comporter les nom et prénom de l'apprenant concerné, lien interne, identifiant technique de l'appareil abonné aux notifications push | Orthopédagogue destinataire. Apprenants, dont le nom peut figurer dans le libellé |
| Page publique de l'orthopédagogue (optionnelle) | Données professionnelles publiées volontairement par le RT : nom, ville, présentation, spécialités et, sur activation, téléphone et email | Orthopédagogue uniquement. Aucune donnée d'apprenant n'est publiée. |
Instruction documentée
Le Sous-traitant ne traite les données que sur instruction documentée du RT. La configuration de la plateforme par le RT constitue une instruction permanente.
Confidentialité
Les données ne sont accessibles qu'au personnel strictement nécessaire, soumis à une obligation de confidentialité.
Sécurité (Art. 32 RGPD)
Mesures mises en œuvre : HTTPS / TLS, mots de passe hachés (bcrypt), sessions signées à durée limitée, isolation multi-tenant systématique par ownerId vérifiée par des tests automatisés, liens de partage par jeton à expiration, limitation du nombre de tentatives de connexion, en-têtes de sécurité HTTP (HSTS, anti-framing), stockage des fichiers sur un dépôt privé accessible uniquement par URL signée de courte durée, supervision des erreurs sans transmission volontaire de données personnelles.
Sous-traitants ultérieurs
Le Sous-traitant informe le RT de tout changement de sous-traitant ultérieur en mettant à jour la liste de la section 5 et en publiant une annonce dans l'application. Le RT dispose d'un délai de 30 jours pour s'y opposer ; en cas d'opposition qui ne peut être satisfaite par une alternative raisonnable, le RT peut résilier son abonnement sans frais.
Assistance au RT
En cas d'exercice de droits RGPD par les personnes concernées, le Sous-traitant fournit au RT les informations nécessaires pour y répondre dans les délais légaux.
Violation de données (Art. 33-34 RGPD)
Notification au RT dans les 72 heures suivant la détection d'une violation susceptible de risque pour les droits et libertés des personnes.
Sort des données en fin de contrat
À résiliation : suppression physique ou anonymisation des données, sauf les données conservées pour obligation légale (10 ans pour les pièces comptables). Le RT peut demander un export avant résiliation.
Audit
Le RT peut demander un audit de conformité. Celui-ci sera réalisé à frais partagés, sur rendez-vous, et ne doit pas perturber le fonctionnement du service.
Le Sous-traitant recourt aux sous-traitants ultérieurs suivants. Les dossiers apprenants sont stockés dans l'Union européenne. Certains destinataires sont établis ou opèrent dans un pays tiers : ils n'y reçoivent alors que les données limitées précisées dans la colonne « Garantie », notamment des données techniques de connexion (adresse IP, adresse email de connexion). Lorsqu'un prestataire est susceptible d'accéder aux données depuis un pays tiers, le transfert est encadré par les mécanismes prévus au Chapitre V du RGPD.
| Sous-traitant | Rôle | Localisation | Garantie |
|---|---|---|---|
| Vercel Inc. | Hébergement de l'application | France (Paris, région cdg1) | Données traitées en France. Clauses contractuelles types pour les accès résiduels depuis les États-Unis. DPA en vigueur (version du 31 mars 2026), applicable aux plans Pro et Enterprise.DPA du prestataire |
| MongoDB, Inc.MongoDB Atlas | Base de données | France (AWS eu-west-3, Paris) | Données stockées en France. Clauses contractuelles types pour les accès résiduels depuis les États-Unis. DPA en vigueur automatiquement, incorporé au contrat d'abonnement Cloud (version du 21 octobre 2024).DPA du prestataire |
| Backblaze, Inc.Backblaze B2 | Stockage des fichiers, photos et documents PDF | Pays-Bas (région eu-central-003, Amsterdam) | Données stockées aux Pays-Bas. Addendum RGPD pour résidents de l'EEE en vigueur automatiquement, en complément des conditions de service (version du 20 septembre 2022).DPA du prestataire |
| Scaleway SASScaleway Transactional Email | Envoi des emails transactionnels | France | Prestataire français (Scaleway S.A.S., RCS Paris 433 115 904). Service opéré depuis la région Paris. Accord de sous-traitance du 1er juin 2024, partie intégrante du contrat de services, donc en vigueur sans signature distincte. La liste des sous-traitants ultérieurs de Scaleway est publiée et tout changement est notifié avec un délai d'objection de 30 jours.DPA du prestataire |
| SUPER PDP | Plateforme agréée de facturation électronique : transmission des données de ventes à l'administration fiscale (e-reporting) et acheminement des factures électroniques aux organismes | France | Prestataire français, plateforme agréée immatriculée par la DGFiP sous le n° 0111 (22 décembre 2025), certifié ISO 27001, hébergement en France. N'intervient QUE pour les cabinets raccordés (démarche volontaire de l'orthopédagogue) : chaque orthopédagogue ouvre son propre compte chez SUPER PDP et accepte ses conditions lors du raccordement, App'Évol transmettant ensuite les données pour son compte. Ne reçoit aucune donnée de famille : des montants de ventes agrégés par jour, l'identité fiscale du cabinet, et les factures adressées aux organismes.DPA du prestataire |
| Stripe Payments Europe, LimitedStripe | Paiement de l'abonnement et encaissement des règlements des familles | Irlande, avec affiliés aux États-Unis | Entité contractante établie dans l'Union européenne. Clauses contractuelles types pour les transferts vers les affiliés américains.DPA du prestataire |
| Functional Software, Inc.Sentry | Supervision des erreurs techniques | Allemagne (instance européenne) | Données hébergées en Allemagne. Aucune donnée personnelle transmise volontairement (option sendDefaultPii désactivée).DPA du prestataire |
| Upstash, Inc.Upstash Redis | Compteurs anti-abus de la connexion et des formulaires (éphémères, effacés en moins d'une heure) | Royaume-Uni (AWS eu-west-2, Londres) — base répliquée, d'autres régions ne sont pas exclues | Ne reçoit aucun contenu de dossier : uniquement des compteurs de tentatives. Leur clé porte, selon la route appelée, l'adresse email saisie à la connexion, l'adresse IP de l'appelant, l'identifiant du compte, ou le jeton du lien de consultation d'un document. Ces compteurs vivent dans une fenêtre glissante — 10 minutes pour la plupart des formulaires, 15 minutes pour la connexion, jusqu'à une heure pour une demande de réinitialisation de mot de passe — puis sont effacés par le service : rien ne s'accumule et aucun historique n'est conservé. Le point d'accès constaté est au Royaume-Uni, qui fait l'objet de décisions d'adéquation de la Commission européenne renouvelées le 21 décembre 2025 ; la base étant répliquée, un traitement dans une autre région relèverait des clauses contractuelles types de l'addendum du prestataire.DPA du prestataire |
| PostHog, Inc. | Mesure d'usage du produit (statistiques d'utilisation) | Union européenne (instance eu.i.posthog.com) | Données hébergées dans l'Union européenne. Clauses contractuelles types pour les accès résiduels depuis les États-Unis. DPA contresigné le 26 juillet 2026. Ne reçoit que des pages consultées et des événements d'usage : les jetons présents dans les URLs et les identifiants de dossier sont retirés avant envoi, l'autocapture et l'enregistrement de session sont désactivés.DPA du prestataire |
| Anthropic PBCAPI Claude | Import assisté de modèles de questionnaires (fonctionnalité optionnelle) | États-Unis | Clauses contractuelles types. Usage strictement limité au texte d'un modèle de questionnaire professionnel : aucune donnée d'apprenant ni de famille n'est transmise.DPA du prestataire |
| Services de notification des navigateurs (Google FCM, Apple APNs, Mozilla) | Acheminement des notifications push vers l'appareil | Selon le navigateur utilisé par l'orthopédagogue | Reçoivent l'identifiant technique de l'appareil et une charge utile chiffrée de bout en bout (chiffrement VAPID), qu'ils ne peuvent pas lire. Seul l'appareil destinataire la déchiffre. |
Aucune donnée personnelle d'apprenant ou de famille n'est transmise à Anthropic ni à PostHog (voir Politique de Confidentialité, sections « Intelligence artificielle » et « Mesure d'usage »).
| Catégorie | Durée | Sort à l'issue |
|---|---|---|
| Dossiers apprenants | 3 ans d'inactivité, puis 30 jours de préavis | Un dossier sans aucune modification depuis 3 ans est signalé au RT dans son espace, puis supprimé physiquement 30 jours plus tard, en cascade avec ses séances, rendez-vous, contrats, fiches d'entretien et liens de partage. Le RT peut à tout moment supprimer un dossier plus tôt, ou le conserver en le rouvrant pendant le préavis. |
| Demandes de contact non converties | 3 ans | Suppression automatique |
| Factures et comptabilité | 10 ans | Anonymisation (obligation légale — Art. L. 123-22 C. com.) |
| Journaux d'emails envoyés (contenu inclus) | 12 mois | Suppression automatique |
| Liens de partage et de signature | Jusqu'à 6 mois selon le type | Questionnaire : supprimé à l'expiration (30 jours). Signature de contrat : 30 jours de validité puis 30 jours de conservation. Partage de documents : 3 mois de validité puis 3 mois de conservation. Suppression automatique dans tous les cas. |
| Notifications et révisions de documents | 90 jours / 30 jours | Suppression automatique |
| Compte utilisateur (soft delete) | Jusqu'à expiration des données liées | Anonymisation immédiate + suppression différée de l'enregistrement résiduel |
Comment fonctionne la suppression des dossiers inactifs. Le RT n'a rien à faire pour respecter le principe de limitation de conservation : un dossier qui n'a connu aucune modification depuis 3 ans est automatiquement signalé dans son espace par un bandeau, avec la date de suppression prévue. Il dispose alors de 30 jours pour le rouvrir s'il doit être conservé, ou le supprimer immédiatement. Passé ce préavis, le dossier et tout ce qui s'y rattache sont effacés définitivement et ne peuvent pas être restaurés.
Chez le prestataire d'envoi d'emails, les données sont supprimées dans les 90 jours suivant la clôture du compte, conformément à son accord de sous-traitance.
Pour toute question relative au présent accord, pour exercer vos droits en tant que RT, ou pour signaler un incident de sécurité :
Le Sous-traitant s'engage à répondre dans un délai de 5 jours ouvrés à toute demande DPA.