Nos sous-traitants
Dernière mise à jour : 30 juillet 2026
Principes
Les copies d'élèves sont caviardées automatiquement (retrait des noms et identifiants directs) dès l'import ; la version caviardée sert à l'essentiel des traitements par les modèles d'IA, et les envois de la version originale sont limités au minimum nécessaire (notamment pour la détection des éléments à masquer).
Non-entraînement et conservation limitée : tous les fournisseurs de modèles d'IA s'engagent contractuellement à ne pas utiliser les contenus soumis pour entraîner leurs modèles. Ils peuvent les conserver pendant une durée limitée (de zéro à 55 jours selon le fournisseur) à des seules fins de sécurité et de détection d'abus, puis les suppriment ; cette durée peut être prolongée pour les contenus signalés comme abusifs.
Le stockage persistant des données (base de données, fichiers) est situé dans l'Union européenne / EEE.
Chaque sous-traitant établi hors UE est encadré par un DPA art. 28 et un mécanisme de transfert valide (certification EU-U.S. Data Privacy Framework et/ou Clauses Contractuelles Types).
Sous-traitants d'infrastructure
Fournisseur | Rôle | Société (pays) | Localisation des données | Données concernées | Garanties |
|---|---|---|---|---|---|
Backblaze, Inc. | Stockage de fichiers (copies, pages numérisées) | USA | UE (Pays-Bas) | Copies d'élèves, sujets | DPA + certification DPF + SCCs |
PlanetScale, Inc. | Base de données | USA | UE (Allemagne), sauvegardes comprises | Transcriptions, notes, comptes | DPA + SCCs |
Vercel, Inc. | Hébergement applicatif et fonctions serveur | USA | UE (France, Allemagne) | Données transitant lors du traitement | DPA + certification DPF |
Trigger.dev (API Hero Ltd) | Orchestration des traitements en arrière-plan | Royaume-Uni | UE (Allemagne) | Contenus transitant en mémoire de traitement | DPA + décision d'adéquation UE-Royaume-Uni |
Stripe, Inc. | Paiement | USA | UE, USA | Données de facturation des enseignants (jamais de données d'élèves) | DPA + certification DPF |
PostHog, Inc. | Mesure d'audience produit | USA | UE (Allemagne) | Événements produit (sans données d'élèves) | DPA + hébergement UE |
Hetzner Online GmbH | Proxy de redimensionnement d'images | Allemagne | UE (Allemagne) | Images de pages en transit | DPA (aucun transfert hors UE) |
Cloudflare, Inc. | Proxy de transcription vocale (fonctionnalité à venir) | USA | Réseau Cloudflare mondial | Audio de dictée de l'enseignant en transit (jamais de données d'élèves) | DPA + certification DPF + SCCs |
Pipedrive OÜ | Gestion de la relation commerciale (CRM) | Estonie | UE (Allemagne, Irlande) | Contacts professionnels et prospects (jamais de données d'élèves) | DPA + adhésion DPF pour ses sous-traitants US |
Brevo SAS | Envoi de newsletters | France | UE | Adresses email des utilisateurs inscrits | DPA (aucun transfert hors UE) |
Intercom R&D Unlimited Company | Support et messagerie client | Irlande | UE (Dublin, Irlande — AWS eu-west-1) | Conversations de support avec les utilisateurs | DPA + RDH Addendum |
Fournisseurs de modèles d'IA
Les contenus envoyés font l'objet d'un caviardage automatique - les envois de la version non caviardée sont limités au minimum nécessaire (notamment pour la détection des éléments à masquer). Chaque fournisseur s'engage contractuellement à ne pas utiliser les contenus pour entraîner ses modèles, engagement qui s'applique à tout le contenu, caviardé ou non ; la conservation est limitée à la détection d'abus (de zéro à 55 jours selon le fournisseur, prolongeable pour les contenus signalés), puis les contenus sont supprimés.
Fournisseur | Rôle | Société (pays) | Garanties |
|---|---|---|---|
Mistral AI | Modèles de langage | France | DPA + hébergement UE par défaut + non-entraînement (API payante) ; conservation limitée à 30 jours (détection d'abus) |
Anthropic, PBC (Claude) | Modèles de langage | USA | DPA (SCCs incluses) + non-entraînement ; conservation limitée à 30 jours (détection d'abus, prolongée en cas de signalement) |
OpenAI, L.L.C. | Modèles de langage | USA | DPA (SCCs) + non-entraînement ; conservation limitée à 30 jours (détection d'abus) |
Google LLC (Gemini) | Modèles de langage | USA | DPA + certification DPF + non-entraînement (offre payante) ; conservation limitée à 55 jours (détection d'abus) |
OpenRouter, Inc. | Routage vers des modèles ouverts pour certains traitements techniques | USA | DPA (SCCs incluses) + restriction aux endpoints « zéro rétention » |
Cerebras Systems Inc. | Modèles de langage | USA | DPA (SCCs incluses) + non-entraînement ; les entrées et sorties ne sont pas conservées après le traitement |