Établissements scolaires et collectivités · octobre 2026

Conditions de licence et contrat de sous-traitance.

Ce que contient une licence APEX pour un établissement, et le contrat de sous-traitance de données personnelles (article 28 du RGPD) qui l’accompagne. Les deux textes sont joints au devis et signés avec lui ; ils complètent les conditions générales d’utilisation.

A. Conditions de licence

Objet : accès, pour les élèves et les personnels de l’établissement, aux niveaux APEX choisis (une ou plusieurs années, un ou plusieurs cycles, ou tout APEX), avec l’espace enseignant (tableau de bord par classe, alertes, bilans, devoirs, messages) et l’espace établissement (import des élèves, comptes enseignants, suivi de la licence, export des données).
Sièges : la licence précise un nombre maximal de comptes élèves (100, 300, 1 000 ou sur mesure). L’espace établissement affiche les sièges utilisés et prévient à 90 % ; au-delà du plafond, un avenant est établi.
Durée : douze mois à compter de la date de début indiquée au devis (généralement la rentrée). Un e-mail prévient l’administrateur de l’établissement 60 jours avant l’échéance. Le renouvellement se fait par un nouveau devis, jamais par reconduction tacite.
Prix et paiement : sur devis, hors taxes puis TTC selon le régime applicable, selon le palier de sièges et les niveaux retenus. Paiement à réception de la facture, par virement ou mandat administratif (Chorus Pro possible), ou par carte pour les petites structures. Les comptes rattachés à l’établissement ne passent jamais par les abonnements individuels.
Comptes et données : l’établissement crée ou importe les comptes (identifiants sans e-mail possibles pour les mineurs), les rattache à ses classes et reste responsable de l’information des familles. Les comptes créés avec une adresse e-mail du domaine de l’établissement lui sont rattachés automatiquement si cette option est activée.
Réversibilité : l’établissement peut exporter l’ensemble de ses données (comptes, classes, progression, badges, licences) en JSON à tout moment depuis son espace. À la fin de la licence, l’accès aux cours est fermé ; les comptes et données sont supprimés sur demande écrite, et au plus tard 90 jours après la fin de la licence, sauf obligation légale de conservation (pièces comptables).
Usage : les contenus sont réservés à un usage pédagogique au sein de l’établissement (article 4 des CGU). L’éditeur peut suspendre un compte en cas d’usage manifestement abusif, après information de l’établissement.
Disponibilité et responsabilité : l’éditeur fait ses meilleurs efforts pour assurer la disponibilité du service (article 6 des CGU). Sa responsabilité est limitée au montant de la licence en cours.

B. Contrat de sous-traitance de données personnelles (article 28 du RGPD)

Entre l’établissement désigné au devis, ci-après « le Responsable de traitement », et APEX, SIRET 832 926 794 00039, 5 rue François Rabelais, 45000 Orléans, éditeur de la plateforme APEX (apex.bzh), ci-après « le Sous-traitant ». Le contrat signé avec le devis fait foi ; le texte ci-dessous en est la version courante (v2, octobre 2026).

1. Objet

Le Sous-traitant fournit au Responsable une plateforme d’apprentissage (cours, exercices corrigés automatiquement, suivi de progression, tableau de bord enseignant). Il traite pour le compte du Responsable les données personnelles de ses élèves et personnels, conformément à l’article 28 du RGPD.

2. Données et personnes concernées

Élèves : prénom/nom ou pseudo, identifiant de connexion, adresse e-mail (facultative), classe, progression pédagogique, journal d’activité (essais, erreurs, temps passé), messages reçus.
Enseignants et administrateurs : nom, e-mail ou identifiant, classes, actions d’administration.

Données sensibles. Si l’établissement utilise la fiche d’urgence, elle peut contenir des données de santé d’un élève (groupe sanguin, allergies, traitement, personne à prévenir), au sens de l’article 9 du RGPD. Le Responsable décide de leur collecte et en fixe la base légale. Le Sous-traitant en limite l’accès à la direction, à la vie scolaire et au professeur principal de la classe, ainsi qu’à son propre administrateur pour le support. Si la paie est utilisée, le numéro de sécurité sociale (NIR) des salariés n’est accessible qu’aux personnes qui ont accès à la paie (comptable et direction de l’établissement, administrateur de la plateforme). Il ne sert qu’à établir les bulletins de paie.

Les données de facturation de l’établissement sont traitées par le Sous-traitant en tant que responsable pour ses propres obligations comptables.

3. Durée

Durée de la licence. À son terme, le Responsable peut exporter l’ensemble des données (JSON) depuis son espace ; le Sous-traitant supprime les comptes et données de l’établissement sur demande écrite, au plus tard 90 jours après la fin de la licence, sauf obligation légale de conservation.

4. Obligations du Sous-traitant

Ne traiter les données que sur instruction documentée du Responsable (la configuration de la plateforme et l’usage normal du service valent instruction).
Garantir la confidentialité des personnes autorisées à traiter les données.
Mettre en œuvre les mesures de sécurité décrites dans la politique de confidentialité : chiffrement en transit, hachage des mots de passe, isolation par établissement vérifiée à chaque requête, journal d’audit, double authentification de l’administrateur de la plateforme, hébergement en Europe.
Assister le Responsable dans la réponse aux demandes des personnes (accès, rectification, effacement, portabilité) ; les outils de l’espace établissement le permettent en autonomie.
Notifier le Responsable de toute violation de données dans les 48 heures suivant sa découverte, avec les informations nécessaires à la notification à la CNIL.
Tenir à disposition les informations nécessaires aux audits, y compris le journal des actions d’administration concernant l’établissement, et permettre un audit raisonnable une fois par an, à la charge du Responsable.

5. Sous-traitants ultérieurs

Autorisés : Cloudflare (hébergement, base de données en Europe de l’Ouest, réseau), Resend (envoi d’e-mails transactionnels), Stripe (paiement, uniquement si l’établissement paie par carte), jsDelivr (distribution de Pyodide et Blockly aux navigateurs).

Traitements d’intelligence artificielle (tuteur IA, uniquement si la licence du Responsable comprend ce module, qu’APEX active à sa demande ; le Responsable peut le couper à tout moment depuis son espace d’administration) : ils sont assurés soit par l’infrastructure d’IA propre à APEX, soit par des prestataires de traitement d’IA. La liste nominative de ces prestataires, avec leur localisation et leurs garanties, est tenue à jour et communiquée au Responsable sur simple demande. Aucun ne reçoit de donnée d’identification de l’élève — ni nom, ni identifiant, ni classe, ni établissement — ni ne peut utiliser les données transmises pour entraîner ses modèles ; chacun est lié par des obligations de protection équivalentes à celles du présent contrat.

Le Sous-traitant informe le Responsable de tout ajout ou remplacement d’un sous-traitant ; le Responsable peut s’y opposer dans un délai de 30 jours.

6. Transferts hors Union européenne

Les données sont hébergées en Europe de l’Ouest. Les prestataires, y compris de traitement d’IA, appliquent les clauses contractuelles types de la Commission européenne pour tout transfert résiduel, et le cadre de protection des données UE–États-Unis lorsqu’ils y sont certifiés.

7. Mineurs

Le Responsable garantit disposer des bases légales et informations nécessaires vis-à-vis des élèves et de leurs représentants légaux (information des familles, usage dans le cadre de la mission d’enseignement). Le Sous-traitant limite les données au strict nécessaire (comptes sans e-mail possibles) et ne fait aucun usage commercial ou publicitaire des données des élèves.

8. Responsabilité et fin du contrat

Chaque partie est responsable des manquements qui lui sont imputables. À la fin du contrat, suppression ou restitution selon l’article 3.