Iniprof - Documentation légale
Contrat de sous-traitance (article 28 RGPD)
Contrat encadrant le traitement des données d'élèves par Iniprof pour le compte du responsable de traitement. Il reprend les clauses contractuelles types de la Commission européenne sans les modifier, puis remplit les quatre annexes. Version 1.0. Retour au kit DASEN.
Dernière mise à jour : 8 août 2026
Sommaire de cette page
Objet et parties
Le présent contrat encadre le traitement, par l'éditeur d'Iniprof agissant en qualité de sous-traitant, des données à caractère personnel d'élèves traitées pour le compte du responsable de traitement identifié à l'annexe I, dans le cadre de l'utilisation du service par les personnels enseignants de son ressort.
Qui est responsable de traitement selon la configuration : voir la page du kit. En résumé, le ministère de l'éducation nationale, dont la responsabilité s'exerce par le DASEN, pour une école publique ; la commune et le ministère en responsabilité conjointe si la commune achète ; le chef d'établissement pour une école privée sous contrat.
Les clauses contractuelles types
Les parties conviennent d'appliquer, sans en modifier un seul mot, les clauses contractuelles types entre responsables du traitement et sous-traitants figurant en annexe de la décision d'exécution (UE) 2021/915 de la Commission du 4 juin 2021, adoptée sur le fondement de l'article 28, paragraphe 7 du RGPD.
L'article 1er de la décision précise que ces clauses satisfont aux exigences de l'article 28, paragraphes 3 et 4 du RGPD.
| Section | Clauses |
|---|---|
| I | 1 Objet et champ d'application · 2 Invariabilité des clauses · 3 Interprétation · 4 Hiérarchie · 5 (facultative) Clause d'amarrage |
| II - Obligations des parties | 6 Description du ou des traitements · 7 Obligations des parties · 8 Assistance au responsable du traitement · 9 Notification de violations de données à caractère personnel |
| III - Dispositions finales | 10 Non-respect des clauses et résiliation |
Leur clause 2 autorise expressément la présente construction :
« b) Les parties ne sont pour autant pas empêchées d'inclure les clauses contractuelles types définies dans les présentes clauses dans un contrat plus large, ni d'y ajouter d'autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses ou qu'elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées. »
Garanties supplémentaires
Ces sept engagements vont au-delà des clauses types. Ils s'y ajoutent, ils n'allègent aucune obligation.
- Aucune réutilisation. Les données d'élèves ne servent qu'à exécuter le service. Aucune statistique produit, aucune place de marché, aucune fonctionnalité tierce. La CNIL rappelle qu'une réutilisation supposerait l'autorisation du ministère et ferait basculer l'éditeur en responsable d'un nouveau traitement.
- Aucune donnée d'élève vers un système d'IA. Le refus est technique : un filtre s'exécute dans le navigateur puis à nouveau côté serveur, qui répond 422 et n'appelle pas le fournisseur.
- Chiffrement de bout en bout de tout ce qui porte un jugement sur un enfant, avec une clé dérivée d'une phrase secrète que l'éditeur ne connaît pas et ne peut pas reconstituer. La CNIL écrit que ce schéma « permet d'éliminer la possibilité d'accès aux données par le fournisseur de cloud ».
- Refus par construction des données de santé, de l'identifiant national élève et des coordonnées des familles, sur tous les écrans.
- Aucun transfert hors Union européenne pour les données d'élèves.
- Effacement plus strict que le droit applicable : fin de l'année scolaire suivant celle de la saisie.
- Analyse d'impact publiée à /aipd, mise à disposition au titre de l'article 28.3.f.
Annexe I - Liste des parties
Responsable du traitement
Identité, adresse, contact et délégué à la protection des données : à compléter à la signature (ministère de l'éducation nationale représenté par le DASEN de votre département, ou commune, ou établissement privé sous contrat).
Sous-traitant
| Raison sociale | MBS Média Z, éditeur du service Iniprof |
|---|---|
| Forme juridique | Entrepreneur individuel |
| Siège social | 50 avenue des Champs-Élysées, 75008 Paris, France |
| Immatriculation | 907 917 322 R.C.S. Paris, également inscrite au Registre National des Entreprises. SIRET du siège : 907 917 322 00022. |
| Numéro de TVA | FR29907917322 |
| Contact | contact@iniprof.fr |
Aucun délégué à la protection des données n'est désigné à ce jour. L'article 37.1 du RGPD prévoit trois cas de désignation obligatoire. Deux sont écartés avec certitude : l'éditeur n'est ni une autorité ni un organisme public ; il ne traite à grande échelle ni catégorie particulière de données au sens de l'article 9, ni données relatives à des condamnations ou infractions. Le troisième, le suivi régulier et systématique à grande échelle, est réexaminé à chaque évolution du service.
Annexe II - Description du traitement
Catégories de personnes concernées
Les élèves des classes dont l'enseignant utilisateur a la charge. Aucune autre catégorie de personne mineure.
Catégories de données
En clair sur le serveur, dans des champs dédiés à valeurs contrôlées, jamais en texte libre : prénom (identifier l'élève sur la liste et les documents imprimés), nom (distinguer deux élèves de même prénom), classe et niveau (rattacher à un groupe), date de naissance (pyramide des âges et documents de rentrée), sexe (répartition de la classe).
Chiffrées de bout en bout, illisibles par le sous-traitant : observations, bilans, appréciations et positionnements sur les apprentissages.
Refusées à l'enregistrement, sur tous les écrans : santé, PAI, allergies, handicap et dispositifs ; identifiant national élève (INE) ; adresse, situation familiale et coordonnées des représentants légaux ; photographies permettant de reconnaître l'enfant.
Aucune donnée relevant de l'article 9 du RGPD n'est traitée.
Nature et finalité
Fournir à l'enseignant un outil de préparation et de suivi pédagogique : tenue de la liste de classe, production de documents de classe, suivi des acquis. Finalité exclusivement pédagogique et administrative interne à la classe.
Durée
Pour la durée d'utilisation du service, au maximum jusqu'à la fin de l'année scolaire suivant celle de la saisie, terme auquel les données identifiant un élève sont effacées automatiquement.
Base légale retenue par le responsable de traitement
Article 6.1.e du RGPD, exécution d'une mission d'intérêt public. Cette indication est une proposition : le choix de la base légale appartient au responsable de traitement.
Annexe III - Mesures de sécurité
Mesures au sens de l'article 32. Le détail public et tenu à jour est sur la page Sécurité et RGPD.
- Chiffrement. Systématique en transit (TLS). De bout en bout, dans le navigateur de l'enseignant, pour tout ce qui porte un jugement sur un élève : AES-GCM 256 bits, clé dérivée par PBKDF2-SHA256 à 310 000 itérations. Ce sont les algorithmes que recommande la CNIL.
- Hébergement. France métropolitaine, o2switch SAS, Clermont-Ferrand. Aucun transfert hors Union européenne pour ces données.
- Cloisonnement. Le serveur ne détient aucune clé permettant de déchiffrer le carnet de suivi. Il refuse à l'enregistrement une donnée de carnet qui n'aurait pas la forme d'un chiffré.
- Filtrage. Détection des données d'élèves dans les contenus libres, dans le navigateur puis côté serveur. Éprouvée en continu contre l'intégralité du corpus pédagogique de l'éditeur, avec un plafond de zéro refus injustifié.
- Authentification. Compte nominatif d'enseignant. Aucun compte élève n'existe dans le service.
- Sauvegardes quotidiennes, restauration testée, copies hors site chiffrées.
- Journalisation des accès administratifs et des événements de sécurité, sans donnée nominative d'élève.
- Effacement automatique aligné sur l'année scolaire.
- Personnel. Structure à effectif restreint ; les personnes ayant accès aux systèmes sont tenues à une obligation de confidentialité.
Annexe IV - Sous-traitants ultérieurs
| Sous-traitant ultérieur | Rôle | Lieu | Données d'élèves |
|---|---|---|---|
| o2switch SAS (RCS Clermont-Ferrand 510 909 807) | Hébergement de l'application et des bases | France | Oui, au titre de l'hébergement. Clauses de l'article 28 intégrées à ses conditions générales. |
| Mistral AI SAS | Génération de texte à la demande de l'enseignant | Union européenne | Non. Le filtre décrit à l'annexe III refuse la requête en amont. |
N'y figurent pas les prestataires qui n'interviennent jamais sur des données d'élèves : messagerie transactionnelle, paiement et mesure d'audience ne traitent que des données de compte de l'enseignant, pour lesquelles l'éditeur est responsable de traitement pour son propre compte.
Tout ajout d'un sous-traitant ultérieur intervenant sur des données d'élèves sera notifié au responsable de traitement, qui pourra s'y opposer, dans les conditions de la clause 7.7 des clauses types.
Ce que ce contrat ne couvre pas
- Les données de compte de l'enseignant (identité professionnelle, abonnement, facturation, journal d'usage) : l'éditeur en est responsable de traitement pour son propre compte, sous le régime de sa politique de confidentialité.
- Les contenus pédagogiques rédigés par l'enseignant et ne comportant aucune donnée d'élève : ce sont ses propres productions.
- Toute donnée de santé, qui n'est jamais traitée.
- Une garantie d'inscription au registre académique.L'éditeur fournit le dossier ; la décision appartient au responsable de traitement.