Accord de sous-traitance de données personnelles (article 28 du RGPD)

Version 1.0, en vigueur le 27/09/2026.

Parties

Boris-Antoine Armand EI, entrepreneur individuel exerçant sous le nom commercial Filco, SIREN 831 118 161, dont l'adresse professionnelle est 45 rue Lieutenant Colonel Girard, 69007 Lyon, joignable à boris@filco.fr (l'« Éditeur »), sous-traitant,

et le responsable du traitement identifié à l'annexe 4, ou l'Intervenant autonome qui accepte le présent accord avec les Conditions générales d'utilisation de Filco (le « Responsable »), ensemble les « Parties ».

Article 1 - Objet et conclusion

1.1 Le présent accord (l'« Accord »), annexes comprises, est le contrat exigé par l'article 28 du règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD ») pour les données personnelles que l'Éditeur traite pour le compte du Responsable dans le Service. Il ne couvre pas les traitements dont l'Éditeur est lui-même responsable, décrits dans la Politique de confidentialité de Filco.

1.2 L'Établissement signe l'Accord avec ses Conditions particulières et remplit l'annexe 4. L'Intervenant autonome l'accepte avec les Conditions générales d'utilisation de Filco ; les règles par défaut s'appliquent à lui, et l'adresse de son Compte tient lieu de contact.

1.3 Si les données des Apprenants relèvent d'une autre entité, par exemple la société qui contrôle l'Établissement, celle-ci, identifiée à l'annexe 4, signe l'Accord ou mandate l'Établissement par écrit, et devient le Responsable.

1.4 Pour une Classe libre rattachée à un établissement non abonné, le Responsable est l'Intervenant ou cet établissement, selon la déclaration de l'Intervenant prévue aux Conditions générales d'utilisation de Filco.

Article 2 - Définitions

Au singulier comme au pluriel :

• Apprenant : personne qui suit un enseignement et participe sans Compte aux activités du Service, y compris mineure.
• Classe rattachée : classe liée à la structure pédagogique d'un Établissement dans le Service (la Maquette), quelle que soit la situation de l'Intervenant qui la tient, jusqu'au terme de l'article 15. Les autres classes sont des Classes libres.
• Compte : accès personnel d'un Utilisateur au Service.
• Conditions générales : les Conditions générales d'abonnement Filco pour les établissements (les « CGA ») pour un Établissement, les Conditions générales d'utilisation de Filco pour un Intervenant autonome.
• Données confiées : données personnelles traitées par l'Éditeur pour le compte d'un Responsable ; celles dont l'Établissement est Responsable sont les Données de l'Établissement.
• Établissement : établissement d'enseignement ou de formation qui souscrit un abonnement au Service (l'« Abonnement ») par des conditions particulières signées (les « Conditions particulières »).
• Fonctions d'IA : fonctions listées à l'annexe 1 qui transmettent des données au Fournisseur d'IA : Google, pour le service Gemini API dans son offre payante.
• Indicateurs calculés : signaux produits par des règles fixes, sans intelligence artificielle, à partir des résultats et de la participation.
• Intervenant : personne majeure titulaire d'un Compte intervenant. Il est Intervenant rattaché dans une Classe rattachée, où il agit sous l'autorité de l'Établissement, et Intervenant autonome dans une Classe libre.
• Jour ouvré : du lundi au vendredi, hors jours fériés en France métropolitaine.
• Lien de partage : lien par lequel un Intervenant donne accès au bilan d'un cours ; le Lecteur est la personne qui l'ouvre.
• Membre : personne désignée par l'Établissement pour accéder à son espace dans le Service (le Portail établissement).
• Rendu : travail déposé par un Apprenant.
• Service : le logiciel Filco fourni en ligne par l'Éditeur, hors Filco AI.
• Sous-traitant ultérieur : prestataire auquel l'Éditeur confie un traitement de Données confiées.
• Utilisateur : Intervenant ou Membre.
• Violation de données : violation de données personnelles au sens de l'article 4, point 12, du RGPD.

Article 3 - Traitements et intelligence artificielle

3.1 L'annexe 1 décrit l'objet, la durée, la nature et les finalités des traitements, les personnes concernées, dont des mineurs, les données et chaque fonction ; le Responsable l'approuve en concluant l'Accord. Aucun champ ne demande de données sensibles ou d'infraction (articles 9 et 10 du RGPD) ; celles qu'un texte libre recevrait sont effacées sur instruction.

3.2 Fil, l'assistant d'intelligence artificielle de Filco, regroupe l'assistant conversationnel et les Fonctions d'IA. Selon la fonction, le Fournisseur d'IA reçoit des contenus pédagogiques, des travaux d'Apprenants et des données nominatives (noms, résultats, textes libres). Google ne les utilise pas pour entraîner ses modèles, les conserve 55 jours pour détecter les abus, avec un accès possible d'employés habilités, et peut les traiter hors de l'Union européenne.

3.3 Les textes de Fil, produits automatiquement, peuvent être inexacts ; Fil ne modifie aucune donnée sans validation. Les Fonctions d'IA sont des aides à la préparation pédagogique. Elles ne sont pas destinées à attribuer une note, à décider d'une admission, d'une orientation, d'une sanction ou du passage d'un apprenant, à surveiller une épreuve, ni à évaluer la prestation d'un intervenant. Toute décision qui concerne une personne suppose un examen humain de sa situation.

3.4 Mineurs. Certains Apprenants peuvent avoir moins de 18 ans ; le Service ne calcule pas leur âge. Les conditions de l'API Gemini excluent son intégration dans un service destiné à des personnes de moins de 18 ans ou susceptible d'être utilisé par elles, ce qui vise le Service entier et permet à Google de suspendre son service. Le Responsable déclare à l'annexe 4, et tient à jour, la présence d'Apprenants de moins de 18 ans et, s'il le peut, les Classes rattachées concernées ; s'il ne peut pas les désigner, toutes ses Classes rattachées le sont. Dans ces classes, les fonctions marquées « Désactivée » dans la colonne « Si mineurs » de l'annexe 1 le sont selon l'article 4.3, jusqu'à la remise de la position écrite de Google admettant cet usage ou l'autorisation, selon l'article 8, d'un fournisseur qui l'admet ; cette désactivation n'est pas un manquement de l'Éditeur. À défaut au 31/01/2027, toutes les Fonctions d'IA sont désactivées pour ces classes et l'Établissement peut résilier sans frais, avec remboursement au prorata. Une suspension liée à l'âge n'est pas un cas de force majeure. L'Intervenant autonome n'utilise pas ces fonctions avec des mineurs.

Article 4 - Instructions

4.1 L'Éditeur ne traite les Données confiées que sur instruction documentée du Responsable, y compris pour les transferts hors de l'Union européenne, sauf obligation du droit européen ou français, dont il l'informe avant le traitement si ce droit le permet. S'il estime qu'une instruction viole la réglementation sur la protection des données, il en informe immédiatement le Responsable et peut la suspendre jusqu'à sa confirmation écrite.

4.2 Les instructions sont l'Accord, les Conditions particulières d'un Établissement, les Conditions générales, les réglages faits sous l'autorité du Responsable dans les limites de l'annexe 4, et les demandes écrites, un email suffisant, des contacts de l'annexe 4. Une demande qui exige un développement fait l'objet d'un délai et d'un devis préalables, sauf si le RGPD l'impose.

4.3 L'Éditeur met en œuvre les exclusions de Fonctions d'IA de l'annexe 4 et les désactivations de l'article 3.4 dans les quinze (15) Jours ouvrés de la signature ou de la demande, pour tout l'Établissement jusqu'à la désactivation par classe prévue à l'annexe 2, partie B, et le refus de la photo au plus tard le 31/12/2026 ; il en confirme la date par écrit. D'ici là, l'Établissement fait respecter ces exclusions par ses Utilisateurs, auxquels l'Éditeur les rappelle par écrit.

Article 5 - Obligations du Responsable

Le Responsable :

1. fixe finalités, bases légales et durées de conservation, et réalise l'analyse d'impact requise, en principe pour les Fonctions d'IA et les Indicateurs calculés ;
2. ne dépose que des données nécessaires et collectées licitement ;
3. informe les personnes concernées (articles 12 à 14 du RGPD), en termes simples pour les mineurs ; l'Éditeur lui fournit le modèle de note d'information « Vos données dans Filco » ;
4. désigne par écrit ses Membres, signale leurs départs et revoit leur liste chaque trimestre ; l'Éditeur ouvre et retire leurs Comptes sous deux (2) Jours ouvrés, et sans délai en cas de compromission ;
5. signale sans délai toute compromission soupçonnée d'un Compte à boris@filco.fr ;
6. s'engage, pour lui et les personnes placées sous son autorité, à ne fonder aucune décision concernant un Apprenant sur un texte de Fil ou un Indicateur calculé sans examen humain, ni aucun soupçon de fraude sur la seule analyse d'authenticité ; à ne pas évaluer un intervenant avec les Fonctions d'IA ; à ne saisir dans Fil ou les textes libres aucune donnée de santé, de vie privée ou d'infraction.

Article 6 - Confidentialité

6.1 Seul l'Éditeur, en personne, accède aux Données confiées ; il est tenu à leur confidentialité sans limite de durée. Une autre personne n'y accède qu'après un engagement écrit de confidentialité, une formation et l'information préalable du Responsable.

6.2 Les Membres et les Intervenants rattachés agissent sous l'autorité du Responsable. Jusqu'au retrait automatique prévu à l'annexe 2, l'Éditeur retire à un Intervenant rattaché parti, ou dont la fiche est déliée, l'accès aux données des Apprenants des Classes rattachées ouvertes à son nom, et arrête la mise à jour de leurs listes, sous cinq (5) Jours ouvrés après la demande écrite de l'Établissement, ou un (1) en cas de revendication erronée de la fiche. L'Intervenant garde ses supports et QCM.

Article 7 - Sécurité

7.1 L'Éditeur applique les mesures de l'annexe 2, partie A, adaptées aux risques, notamment pour les mineurs (article 32 du RGPD), et n'en diminue pas le niveau global. Elles ne couvrent pas encore tous les risques identifiés : les mesures de la partie B les complètent.

7.2 Les dates de la partie B sont des objectifs : l'Éditeur annonce chaque mise en place et peut reporter une date une fois, de soixante (60) jours au plus, sur préavis de quinze (15) jours. Les mesures marquées « engagement » sont dues à date ferme et ne se reportent qu'avec l'accord écrit du Responsable. Si une mesure marquée « engagement » manque trente (30) jours après sa date, l'Établissement peut suspendre les traitements concernés, obtenir une réduction de prix proportionnée ou résilier sans frais, avec remboursement au prorata.

Article 8 - Sous-traitants ultérieurs

8.1 Le Responsable autorise de manière générale le recours aux Sous-traitants ultérieurs de l'annexe 3. L'Éditeur l'informe par email au moins trente (30) jours avant tout ajout ou remplacement (identité, service, données, localisation, garantie de transfert). Le Responsable peut s'y opposer par écrit motivé sous quinze (15) jours. Faute de solution, l'Établissement peut résilier sans frais, avec remboursement au prorata, ou obtenir, si le Service le permet, la désactivation des fonctions concernées et une réduction de prix proportionnée ; l'Intervenant autonome peut cesser de les utiliser ou fermer son Compte après export.

8.2 En urgence de sécurité ou si un prestataire suspend son service, l'Éditeur peut suspendre aussitôt les fonctions concernées, en informant sans délai le Responsable ; un nouveau prestataire est alors annoncé quinze (15) jours à l'avance, avec le même droit d'opposition.

8.3 Chaque Sous-traitant ultérieur est tenu, par ses conditions de traitement standard, communiquées sur demande, d'obligations de protection des données substantiellement identiques à celles de l'Accord, notamment de garanties suffisantes de sécurité (article 28, paragraphe 4, du RGPD). L'Éditeur relaie les changements de leurs propres prestataires dont il a connaissance, sans garantir un délai supérieur au leur. Il demeure pleinement responsable devant le Responsable de l'exécution de leurs obligations ; l'article 19 s'applique à la réparation entre les Parties.

8.4 Jusqu'au 31/10/2026 au plus tard, l'Éditeur se sert d'un outil d'intelligence artificielle d'aide au développement d'Anthropic, PBC (États-Unis), en offre sans accord de traitement, dont les requêtes de diagnostic et les vérifications à l'écran peuvent faire apparaître des Données confiées. À compter de cette date, aucune Donnée confiée n'est soumise à un tel outil : ses requêtes ne renvoient que des comptages sans donnée personnelle. Un recours ultérieur supposerait une offre assortie d'un accord de traitement, ajoutée à l'annexe 3 selon l'article 8.1.

Article 9 - Localisation et transferts

9.1 La base de données est hébergée dans l'Union européenne (Francfort, Allemagne) et les fichiers dans l'Union européenne. Les Fonctions d'IA, l'envoi des emails et l'hébergement de l'application font intervenir des sociétés américaines et peuvent avoir lieu hors de l'Union européenne.

9.2 Ces transferts, autorisés par le Responsable et détaillés à l'annexe 3, reposent sur la certification du prestataire au cadre de protection des données UE-États-Unis (décision de la Commission du 10 juillet 2023) ou, à défaut, sur les clauses contractuelles types de la décision d'exécution (UE) 2021/914. L'Éditeur tient pour chacun une fiche datée, communiquée sur demande. Si une garantie disparaît, il en informe le Responsable et propose une solution ou suspend les fonctions concernées.

9.3 L'Éditeur ne communique de Données confiées à une autorité que sur obligation légale, et en informe le Responsable sauf interdiction légale.

Article 10 - Violations de données

10.1 L'Éditeur notifie au Responsable, par email au contact sécurité de l'annexe 4, toute Violation de données avérée ou raisonnablement soupçonnée, y compris chez un Sous-traitant ultérieur, et toute faille ayant exposé des Données confiées sans preuve d'absence d'exploitation, dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance.

10.2 La notification indique, dans la mesure où ils sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, son point de contact, les conséquences probables et les mesures prises ou proposées ; l'Éditeur la complète au fur et à mesure (article 33 du RGPD).

10.3 Il contient la violation, en recherche les causes, la consigne dans son registre, conserve au moins six (6) mois une copie des journaux disponibles lorsqu'il en prend connaissance et coopère jusqu'à la clôture. Le Responsable décide de notifier la Commission nationale de l'informatique et des libertés (CNIL) et d'informer les personnes ; l'Éditeur l'y aide, ne notifie à sa place que sur mandat écrit et ne communique pas publiquement sans le consulter, sauf obligation légale.

Article 11 - Droits des personnes

11.1 L'Éditeur transmet au Responsable sous deux (2) Jours ouvrés, sans se prononcer sur le fond, toute demande d'une personne relative aux Données confiées, et en informe le demandeur.

11.2 Sur demande écrite, il réalise extractions, rectifications, limitations et effacements sous dix (10) Jours ouvrés, gratuitement dans une mesure raisonnable. Si le Responsable fait droit à l'opposition d'un Apprenant, l'Éditeur supprime dans le même délai les textes de Fil qui le concernent. Jusqu'à la mesure d'exclusion prévue à l'annexe 2, partie B, l'Apprenant reste pris en compte dans les Indicateurs calculés et dans les analyses régénérées ; le Responsable peut obtenir son effacement selon l'article 14.2.

Article 12 - Aide à la conformité

12.1 L'Éditeur aide le Responsable à respecter les articles 32 à 36 du RGPD, notamment pour l'analyse d'impact. Il répond à ses questions sous trente (30) jours, fournit sur demande les règles des Indicateurs calculés et tient l'annexe 1 à jour.

12.2 Au sens du règlement (UE) 2024/1689, modifié notamment par le règlement (UE) 2026/1744, l'Éditeur est fournisseur des systèmes d'intelligence artificielle mis en service sous le nom Fil ; le Responsable et ses Utilisateurs en sont déployeurs. L'Éditeur indique à l'écran, au plus tard le 31/10/2026, aux personnes qui échangent avec Fil et aux Apprenants qui répondent aux questions de vérification au dépôt qu'il s'agit d'une intelligence artificielle. Il marque de façon lisible par machine les textes et images générés au plus tard le 01/12/2026.

Article 13 - Registre, informations et audits

13.1 L'Éditeur tient le registre de l'article 30, paragraphe 2, du RGPD et en remet l'extrait utile sur demande. Il fournit les informations nécessaires pour démontrer le respect de l'Accord, répond sous trente (30) jours à un questionnaire annuel et remet sous trente (30) jours, une fois par trimestre, ou plus souvent après une Violation de données ou sur indice sérieux de manquement, les pièces justifiant une mesure de l'annexe 2.

13.2 Le Responsable peut faire réaliser, une fois par an et avec trente (30) jours de préavis, par lui-même ou un auditeur tenu au secret et non concurrent, une inspection d'un Jour ouvré au plus, à distance ou en un lieu convenu hors du domicile de l'Éditeur. Elle porte sur les moyens, procédures, registres et comptes utilisés pour les Données confiées, jamais sur les données d'autres clients. Chaque Partie supporte ses frais ; si l'inspection révèle un manquement significatif, l'Éditeur rembourse les frais raisonnables de l'auditeur, dans la limite de l'article 19. Au-delà d'un Jour ouvré par an, le temps de l'Éditeur est facturé au tarif journalier convenu par écrit avant l'inspection. Une inspection supplémentaire est possible après une Violation de données grave ou à la demande de la CNIL.

Article 14 - Conservation et effacement

14.1 Le Responsable fixe les durées de conservation à l'annexe 4 ; à défaut, les règles par défaut de cette annexe s'appliquent. Aucune durée de conservation n'étant encore appliquée automatiquement, l'Éditeur applique une durée choisie en effaçant sur demande, sous un mois.

14.2 L'effacement d'un Apprenant par l'Établissement supprime toutes ses données individuelles, observations, photo et portraits compris. Subsistent les travaux de groupe, les parties en direct sous un nom remplacé, les analyses, synthèses et conversations de Fil qui peuvent le citer, et les sauvegardes jusqu'à leur expiration ; une liste déposée ensuite peut le recréer. L'Établissement signale l'effacement à boris@filco.fr ; l'Éditeur supprime alors sous cinq (5) Jours ouvrés les textes de Fil de ses cours et, sur demande, les messages qui le nomment.

14.3 Dans une Classe libre, supprimer un Apprenant efface sa fiche, ses résultats, ses notes, ses réponses, ses avis et positionnements, et sa photo si aucune autre fiche ne l'utilise ; ses fichiers, son nom dans les parties en direct et les textes de Fil qui le nomment sont effacés sur demande à boris@filco.fr. Les données d'une classe, d'un cours ou d'un QCM supprimé ne sont effacées que sur demande écrite, sous un mois.

14.4 Supprimer le Compte d'un Intervenant efface ses classes, Classes rattachées comprises, et ses observations ; pour un Intervenant rattaché, l'Éditeur prévient d'abord l'Établissement et transfère ou exporte ses données selon ses instructions. Une suppression faite par un Intervenant dans une Classe rattachée est annulée sous cinq (5) Jours ouvrés à la demande de l'Établissement, pour les données qui subsistent ; les fichiers déposés ne peuvent pas être rétablis (article 14.5).

14.5 La base de données est copiée deux fois par mois. Ces copies, effacées au plus tard dix (10) mois après, ne sont jamais restaurées pour réintroduire une donnée effacée ; une restauration peut perdre environ quinze (15) jours de données. Les fichiers déposés n'ont pas encore de copie de sauvegarde.

Article 15 - Fin du traitement

15.1 Pendant l'Abonnement, dans les limites des Conditions générales, et dans les trente (30) jours suivant sa fin, l'Établissement peut demander par écrit à boris@filco.fr l'export gratuit de ses données, remis sous trente (30) jours par l'Éditeur, faute d'outil en libre-service : fichiers CSV ou XLSX par classe (liste, notes, positionnements, avis) et archive des travaux dans leur format d'origine.

15.2 Restitution faite ou non, l'Éditeur supprime les Données de l'Établissement au plus tard quatre-vingt-dix (90) jours après la fin de l'Abonnement, Comptes des Membres compris ; les supports et QCM des Intervenants restent dans leur Compte, sans données d'Apprenants. Il remet sous quinze (15) jours une attestation qui liste ce qui subsiste et jusqu'à quand : sauvegardes, dix (10) mois au plus ; journaux du Fournisseur d'IA, 55 jours ; données que la loi impose de conserver.

15.3 L'Intervenant autonome obtient de même l'export de ses Classes libres puis, sur demande à boris@filco.fr, la suppression de son Compte sous un mois, sous réserve de l'article 14.4. L'Éditeur conserve l'Accord, les instructions et les attestations cinq (5) ans.

Article 16 - Accès de l'Éditeur

16.1 L'Éditeur n'accède aux Données confiées que pour exécuter le Service, traiter une demande de support, corriger un incident, assurer la sécurité ou respecter la loi. Il consigne chaque intervention sur des données nominatives (date, objet, demandeur) et communique ce journal sous cinq (5) Jours ouvrés sur demande.

16.2 Il ne se connecte en tant qu'un Membre ou un Intervenant rattaché que sur demande écrite de celui-ci ou du Responsable, ou pour traiter un incident de sécurité, en informant alors le Responsable sous vingt-quatre (24) heures. Il se déconnecte dès la fin de l'intervention, en informe l'Utilisateur par écrit et la consigne au journal de l'article 16.1 ; les actions faites pendant cette session sont enregistrées au nom de l'Utilisateur.

16.3 Jusqu'à la mise en place de l'environnement de test distinct prévu à l'annexe 2, et au plus tard le 31/12/2026, des vérifications automatiques s'exécutent sur la base de production : elles y créent puis suppriment des données fictives, peuvent rattacher temporairement un compte de test à un Établissement et lire des données de sa Maquette. À compter de cette mise en place, aucune Donnée de l'Établissement ne sert à développer, tester ou démontrer le Service.

Article 17 - Aucun usage pour le compte de l'Éditeur

17.1 L'Éditeur n'utilise les Données confiées que pour fournir le Service, jamais pour ses propres fins : prospection, entraînement d'un modèle d'intelligence artificielle, démonstration, communication commerciale, analyse du contenu des conversations avec Fil. L'email d'un Lecteur sert uniquement à informer l'Intervenant des consultations. Tout autre usage exige une autorisation écrite et spécifique du Responsable, et rend l'Éditeur responsable de ce traitement.

17.2 Restent permis les statistiques anonymes d'usage et le traitement des retours adressés volontairement sur le Service, sans exploitation des données d'Apprenants qu'ils contiennent, effacées sur demande.

Article 18 - Évolutions

18.1 Les fonctionnalités engagées aux Conditions particulières ne sont pas supprimées sans l'accord de l'Établissement, sous réserve des articles 3.4 et 18.2. Une fonction qui traite de nouvelles catégories de données ou vise de nouveaux destinataires, et toute nouvelle Fonction d'IA, sont annoncées trente (30) jours à l'avance avec l'annexe 1 à jour. Si l'Établissement s'y oppose par écrit, elles ne sont pas activées pour lui, ou leur mise en service est différée ; faute d'accord sous trente (30) jours, il peut résilier sans frais, avec remboursement au prorata.

18.2 Une modification imposée par la sécurité, la loi ou une autorité peut être immédiate, avec information sans délai. Une nouvelle version de l'Accord s'applique à l'Établissement au renouvellement, ou plus tôt avec son accord écrit ou si la loi l'impose, et à l'Intervenant autonome selon les Conditions générales d'utilisation de Filco.

Article 19 - Responsabilité

19.1 Chaque Partie répond de ses manquements. Envers les personnes concernées, l'Éditeur répond dans les conditions de l'article 82 du RGPD, dont l'Accord ne limite pas les droits.

19.2 Entre les Parties, action récursoire comprise, s'appliquent les limites de responsabilité des Conditions générales, dont, pour un Établissement, le plafond de l'article 20.2 des CGA propre aux manquements à l'Accord, sauf faute lourde ou dolosive. Ce plafond couvre, pour la part imputable à l'Éditeur, les frais raisonnables de notification, d'information des personnes, d'expertise et de reconstitution des données, et les indemnités versées aux personnes concernées, qui sont des dommages directs.

19.3 Chaque Partie supporte les amendes prononcées contre elle ; l'Éditeur rembourse, dans ce plafond, les frais de défense exposés par le Responsable du fait de son manquement.

Article 20 - Durée et dispositions finales

20.1 L'Accord s'applique dès sa signature ou son acceptation à toutes les Données confiées, même déjà enregistrées, sans valoir approbation des traitements antérieurs ni renonciation à un droit. L'Éditeur notifie selon l'article 10 toute Violation de données antérieure dont il a ou prend connaissance. L'Accord dure jusqu'au terme de l'article 15 ; ses articles 6, 15, 17 et 19 survivent le temps nécessaire.

20.2 Pour les données personnelles, l'Accord prévaut sur les Conditions particulières et sur les Conditions générales, sauf dérogation expresse qui cite l'article concerné sans en réduire les garanties. À sa demande, le Responsable obtient la signature des clauses contractuelles types de la décision d'exécution (UE) 2021/915, complétées par les annexes de l'Accord, qui prévalent alors sur lui, sauf ses articles 13.2, qui précise les modalités raisonnables des inspections, et 19.

20.3 En cas de manquement de l'Éditeur, le Responsable peut faire suspendre le traitement concerné, et l'Établissement résilier par écrit, sans mise en demeure, avec remboursement au prorata, si ce traitement n'est pas remis en conformité sous un mois, en cas de manquement grave ou persistant, ou de non-respect d'une décision contraignante d'une juridiction ou de la CNIL. L'Éditeur peut arrêter un traitement dont l'instruction, signalée comme illicite, est maintenue.

20.4 L'Accord est régi par le droit français, le RGPD et la loi n° 78-17 du 6 janvier 1978 ; les litiges et la force majeure suivent les Conditions générales. Les notifications se font par email aux contacts de l'annexe 4 et, pour l'Éditeur, à boris@filco.fr ou, pour la sécurité, à boris@filco.fr.

20.5 L'Éditeur exerce seul : pendant une indisponibilité imprévue, qu'il signale dès que possible, ses délais sont suspendus, sauf ceux de l'article 10. Pour un Établissement, il en va de même pendant les absences annoncées selon les CGA, sauf pour les articles 10 et 11.1 et le retrait d'accès après une revendication erronée (article 6.2). Au plus tard le 31/12/2026, il désigne une personne de confiance, soumise à l'article 6.1 et dont l'identité est communiquée au Responsable sur demande, qui, au-delà de quinze (15) jours d'indisponibilité ou en cas de décès, réalise l'export et la suppression de l'article 15 sur instruction écrite du Responsable.

Signatures

Fait en deux exemplaires, ou par signature électronique.

Entité responsable distincte de l'Établissement (article 1.3) : dénomination, SIREN, représentant, date et signature : ____________

Pour l'Intervenant autonome, son acceptation des Conditions générales d'utilisation de Filco, dont l'Éditeur conserve la version et la date, tient lieu de signature.

Annexe 1 - Description des traitements

Partie A - Informations générales

Partie B - Accès dans le Service

1. Identité. L'Apprenant n'a pas de Compte : il choisit son nom dans la liste de sa classe. Ce choix n'est pas vérifié. Utiliser le nom d'une autre personne est interdit. Qui dispose du code et choisit ce nom voit ce que voit l'Apprenant, qui ne voit jamais la note d'une évaluation notée. Son nom est mémorisé sur son appareil de trente (30) à soixante (60) jours, et jusqu'à son effacement pour une partie en direct ; « Ce n'est pas moi » sert sur un ordinateur partagé.
2. Sorties de page. Pendant un QCM noté, le copier-coller et le clic droit sont bloqués, et chaque sortie de la page est enregistrée avec sa durée. Au-delà de trois sorties sur les QCM notés d'un cours, l'indicateur « sorties de page répétées » s'affiche pour l'Intervenant et l'Établissement. Une sortie peut être involontaire : cet indicateur n'est jamais une preuve.
3. Avis. Dans une Classe rattachée, l'Établissement lit chaque avis avec le nom de son auteur ; l'Intervenant n'en lit que les moyennes et une synthèse de Fil, à partir de trois réponses, qui peut citer de courts extraits sans nom. Dans une Classe libre, l'Intervenant lit chaque avis nominativement. Le Lien de partage ne transmet ni l'auteur ni le commentaire d'un avis.
4. Photo. Facultative ; l'Apprenant peut la remplacer et, pour la retirer, s'adresse à son Intervenant ou à son Établissement. Sur les Classes rattachées, elle est proposée sauf si l'annexe 4 la refuse, ce refus étant mis en œuvre selon l'article 4.3.
5. Lien de partage. Qui dispose du lien et saisit un email y accède, pendant trente (30) jours grâce à un cookie. Selon les éléments cochés par l'Intervenant, tous cochés par défaut, il ouvre le carnet de notes et le positionnement nominatifs, les avis sans les noms, l'analyse de Fil et les supports marqués.

Partie C - Fonctions d'IA

« Si mineurs » : sort de la fonction dans les classes désignées selon l'article 3.4.

La vérification au dépôt pose trois questions écrites par l'IA à partir du fichier ; l'Intervenant voit les réponses, le temps passé et les sorties de page. L'analyse d'authenticité donne un indice non fiable, jamais une preuve, invisible de l'Établissement et sans effet sur la note. La correction des QCM et les Indicateurs calculés n'utilisent aucune IA.

Annexe 2 - Mesures techniques et organisationnelles

Partie A - Mesures en place

1. Échanges chiffrés (HTTPS) ; mots de passe stockés hachés.
2. Fichiers stockés dans l'Union européenne, dans un espace privé, ouverts par des liens signés de durée limitée ; supports remis à des tiers marqués par défaut au nom de leur auteur, qui peut retirer la marque.
3. Cloisonnement entre établissements et entre Comptes contrôlé par le serveur ; pages des Apprenants ouvertes seulement avec un code d'accès valable pour la classe ; tentatives de connexion et de saisie de codes limitées ; liens de connexion, d'activation et de réinitialisation à usage unique et de durée limitée.
4. Apprenants sans Compte ni email ; dépôt des listes par l'Établissement sans IA ; Fournisseur d'IA en offre payante, sans entraînement ; fichiers volumineux supprimés chez lui après usage.
5. Sauvegardes selon l'article 14.5 ; journaux de l'hébergeur conservés sept (7) jours au plus.
6. L'Éditeur, seule personne habilitée ; accès limités aux cas de l'article 16.
7. Procédures écrites (violations, droits, fin de contrat, prestataires, accès du support, perte du poste, habilitations) ; registres des violations et des demandes.

Partie B - Mesures prévues

• 31/10/2026 (engagement) : poste de travail chiffré, sans copie locale de la base de données ; aucune Donnée confiée soumise à un outil d'intelligence artificielle d'aide au développement (article 8.4) ; indication à l'écran que Fil et les questions de vérification au dépôt proviennent d'une intelligence artificielle
• 31/10/2026 : données nominatives retirées des journaux techniques ; Lien de partage sans carnet de notes coché par défaut, avec information du Lecteur ; nom de l'intervenant retiré des données du profil de classe ; indicateur de dernière activité d'un Intervenant rattaché limité à son activité dans l'Établissement
• 01/12/2026 (engagement) : marquage lisible par machine des textes et images produits par les Fonctions d'IA
• 31/12/2026 (engagement) : environnement de test distinct, sans Donnée confiée ; désactivation des Fonctions d'IA par classe et réglage de la photo par l'Établissement (article 4.3)
• 31/12/2026 : retrait automatique de l'accès d'un Intervenant parti ou délié ; surveillance des sauvegardes et test trimestriel de restauration ; durée de validité des invitations ; mémorisation du nom sur l'appareil limitée ; effacement complet d'un Apprenant ; contenus de services tiers affichés après un clic ; lien vers la note d'information de l'Établissement sur les pages des Apprenants
• 31/03/2027 (engagement) : authentification renforcée des Membres et du compte d'administration ; copie des fichiers dans un second espace situé dans l'Union européenne
• 31/03/2027 : journal d'audit des accès sensibles ; renforcement de la protection des fichiers ; effacement réel depuis la corbeille ; exclusion d'un Apprenant des Indicateurs calculés
• 30/06/2027 : effacements automatiques selon l'annexe 4 ; exports et effacement complet d'un Établissement ; pseudonymisation des noms transmis au Fournisseur d'IA

Annexe 3 - Sous-traitants ultérieurs

S'y ajoute, jusqu'au 31/10/2026 au plus tard, l'outil d'aide au développement décrit à l'article 8.4.

Ne sont pas des Sous-traitants ultérieurs : les Membres, Intervenants et Lecteurs ; les services tiers vers lesquels pointe un Rendu, qui peuvent déposer leurs cookies chez l'Intervenant lorsque l'écran de correction les affiche ; Google pour la connexion avec Google ; les autorités agissant en vertu de la loi.

Annexe 4 - Fiche du Responsable et règles par défaut

Partie A - Fiche à compléter par l'Établissement

• Établissement signataire : [DÉNOMINATION DE L'ÉTABLISSEMENT], [FORME JURIDIQUE], SIREN [SIREN DE L'ÉTABLISSEMENT], siège : [SIÈGE DE L'ÉTABLISSEMENT]
• Responsable du traitement, s'il est distinct (article 1.3) : dénomination, forme, SIREN, siège : ____________
• Délégué à la protection des données ou contact « données personnelles » : [CONTACT DPO DE L'ÉTABLISSEMENT]
• Contact sécurité et violations, avec un téléphone : [CONTACT SÉCURITÉ DE L'ÉTABLISSEMENT]
• Personnes habilitées à donner des instructions (nom, fonction, email) : ____________
• Présence d'Apprenants de moins de 18 ans et Classes rattachées concernées : [PRÉSENCE D'APPRENANTS MINEURS]
• Fonctions d'IA exclues : [FONCTIONS D'IA EXCLUES]
• Photo proposée aux Apprenants (par défaut : oui ; un refus prend effet au plus tard le 31/12/2026) : [ACTIVATION DE LA PHOTO]
• Adresse de la note d'information des Apprenants : [NOTICE DE L'ÉTABLISSEMENT]
• Durées de conservation choisies : [DURÉE DE CONSERVATION CHOISIE PAR L'ÉTABLISSEMENT]
• Instructions spécifiques : [INSTRUCTIONS SPÉCIFIQUES]

Partie B - Règles par défaut

1. Les Données de l'Établissement sont conservées pendant toute la relation contractuelle, renouvellements compris, puis traitées selon l'article 15.
2. Sont conservés jusqu'à leur effacement sur demande à boris@filco.fr, à défaut selon le point 1 : les textes de Fil, remplacés à chaque régénération ; les sorties de page, avec les résultats du QCM ; les conversations avec Fil ; les données des Lecteurs.
3. Dès les effacements automatiques de l'annexe 2, sont effacés : les textes de Fil douze (12) mois après la fin du cours ; les sorties de page deux (2) mois après la clôture du QCM, sauf autre durée fixée ; les conversations avec Fil douze (12) mois après le dernier message ; les données des Lecteurs douze (12) mois après la dernière consultation.
4. Les Fonctions d'IA disponibles sont utilisables, sauf celles exclues à la partie A et celles de l'article 3.4. La photo est proposée sur les Classes rattachées, sauf refus indiqué à la partie A. La restitution de fin d'Abonnement porte sur toutes les Données de l'Établissement.