Accord de sous-traitance de données personnelles (DPA)

Version 1 du 8 juillet 2026

Entre

Le Responsable de traitement (« l'Établissement ») : l'établissement d'enseignement (ou son organisme de gestion, ou l'autorité académique compétente) pour le compte duquel l'enseignant utilisateur d'Examino agit dans le cadre de ses missions.

Dénomination : 

Adresse :

Représenté par : 

Contact DPO : 

Et :

Le Sous-traitant (« Examino ») : EXAMINO, société par actions simplifiée au capital social de 1000 €, dont le siège social est situé au 49 RUE DE PONTHIEU 75008 PARIS, immatriculée au Registre du Commerce et des Sociétés de Paris sous le numéro 989 510 375, représentée par M. Dimitri Nicolas agissant et ayant les pouvoirs nécessaires en tant que président. Contact DPO : dpo@examino.ai

Préambule

Examino édite une application d'assistance à la correction de copies. L'enseignant, agent ou salarié de l'Établissement, souscrit au service et importe des copies d'élèves dans le cadre de ses missions. Conformément à la doctrine de la CNIL, l'Établissement est responsable de traitement et Examino sous-traitant au sens de l'article 28 du RGPD.

Le présent accord est souscrit unilatéralement par Examino au bénéfice de l'Établissement dès la première importation de copies par l'enseignant. L'Établissement peut le ratifier par contre-signature ; à défaut, la poursuite de l'usage après information vaut acceptation des présentes conditions de sous-traitance. Il prévaut sur toute stipulation contraire des CGU pour ce qui concerne le traitement des données des élèves.

1. Objet, nature et finalité du traitement

2. Catégories de données et de personnes concernées

Personnes concernées : élèves et étudiants de l'Établissement (y compris mineurs) ; l'enseignant utilisateur.

Données traitées : contenu des copies d'examen (productions scolaires) ; le cas échéant, éléments d'identification résiduels ayant échappé au caviardage automatique ; notes et appréciations proposées puis validées ; sujets et barèmes.

Minimisation : Examino applique un caviardage automatique à l'import (nom et prénom de l'élève et éléments d'identification directe détectés, masqués sur l'image dès l'import ; la version caviardée sert à l'essentiel des traitements par les modèles d'IA et les envois de la version originale sont limités au minimum nécessaire, notamment pour la détection des éléments à masquer) et évalue dès que possible la transcription numérique plutôt que l'image manuscrite (neutralisation de la graphie). Ces mesures constituent une pseudonymisation, non une anonymisation (détail et limites : fiche technique du caviardage, disponible sur demande).

Données sensibles (art. 9) : aucune collecte visée ; le contenu libre d'une copie peut en révéler incidemment - Examino n'en fait aucune exploitation.

3. Instructions documentées

Examino traite les données uniquement sur instruction documentée de l'Établissement, matérialisée par le présent accord et par l'usage fonctionnel de l'application par l'enseignant. Examino informe l'Établissement si une instruction constitue à son avis une violation du RGPD.

Examino n'utilise pas les contenus importés pour entraîner des modèles d'IA, ni pour aucune finalité propre autre que la fourniture, la sécurité et la facturation du service.

4. Confidentialité et personnel

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité contractuelle. L'accès est limité au personnel habilité selon le principe du moindre privilège (RBAC).

5. Sécurité (art. 32)

Mesures principales : chiffrement en transit (TLS 1.2+), hébergement dans l'Union européenne, contrôle d'accès par rôles, journalisation des accès et des traitements, sauvegardes redondantes managées. Détail dans la fiche sécurité d'Examino (disponible sur demande).

6. Sous-traitants ultérieurs

L'Établissement autorise de manière générale le recours à des sous-traitants ultérieurs. La liste à jour (hébergement, base de données, stockage de fichiers, orchestration, paiement, fournisseurs de modèles d'IA) est publiée à l'adresse : https://examino.ai/fr/legal/sous-traitants. Examino informe l'Établissement de tout changement (délai d'objection : 30 jours) et impose à chaque sous-traitant ultérieur des obligations équivalentes aux présentes.

Fournisseurs de modèles d'IA : chacun s'engage contractuellement à ne pas utiliser les contenus soumis pour l'entraînement de ses modèles ; la conservation est limitée à une durée courte (détection d'abus, 30 à 55 jours selon le fournisseur), puis les contenus sont supprimés.

Transferts hors UE : lorsque des sous-traitants ultérieurs sont établis dans un pays tiers, le transfert est encadré par une décision d'adéquation (dont l'EU-US Data Privacy Framework) ou par des clauses contractuelles types, complétées d'une analyse d'impact de transfert. Détail par sous-traitant sur la page précitée.

7. Assistance au Responsable de traitement

Examino assiste l'Établissement, dans la mesure du possible et compte tenu de la nature du traitement :

• pour donner suite aux demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité) - les demandes reçues directement par Examino sont transmises à l'Établissement sans y répondre sur le fond, sauf instruction contraire ;

• pour les obligations des articles 32 à 36 : sécurité, notification de violation (information de l'Établissement sans délai indu et au plus tard 48 h après en avoir eu connaissance, avec les éléments de l'art. 33-3), AIPD et consultation préalable (Examino fournit une AIPD pré-remplie).

8. Sort des données

En fin de contrat, ou sur demande de l'Établissement, Examino supprime l'ensemble des copies et données associées (suppression effective, fichiers inclus) ou les restitue dans un format structuré, puis les supprime, sauf obligation légale de conservation. Durées par défaut en cours d'exécution : données de copies conservées le temps de l'année scolaire + 1 an (secondaire) ou durée de la formation + délais de recours (supérieur), puis suppression - modifiables sur instruction de l'Établissement.

9. Décision automatisée

Le service ne prend aucune décision produisant des effets juridiques de manière exclusivement automatisée (art. 22 RGPD) : toute note et appréciation est une proposition soumise à la revue et à la validation de l'enseignant, qui demeure seul décisionnaire. L'application journalise cette revue (historique d'édition horodaté).

10. Audit et documentation

Examino met à disposition de l'Établissement toute la documentation nécessaire pour démontrer le respect de l'article 28 (registre art. 30-2, fiche sécurité, liste des sous-traitants, conditions de non-entraînement et de rétention des fournisseurs de modèles) et permet des audits, y compris par un tiers mandaté, sous préavis raisonnable de 30 jours, au plus une fois par an sauf violation avérée, aux frais de l'Établissement et sans accès aux données d'autres clients.

11. Durée, droit applicable

Le présent accord prend effet à la première importation de copies d'élèves de l'Établissement et demeure en vigueur tant qu'Examino traite des données pour son compte. Droit français ; compétence des juridictions administratives ou judiciaires selon la nature de l'Établissement.

Pour Examino
M. Dimitri Nicolas, Président

Pour l'Établissement
Nom, qualité, date, signature :