Dossier technique et juridique

1L'éditeur et le service

Éditeur

Eidolon, SARL au capital de 3 000 €

Siège

8 rue des Conserveries, 85100 Les Sables-d'Olonne

Immatriculation

SIRET 101 854 784 00010, RCS La Roche-sur-Yon 101 854 784

Gérant, référent pour la protection des données

Vivien Mirebeau

Contact, y compris pour les données

contact@1cours1bot.fr

TVA

TVA non applicable, article 293 B du CGI

Hébergement

OVHcloud (OVH SAS), centre de données de Gravelines, France

GAR

Ressource accessible depuis le médiacentre de l'ENT, en production depuis septembre 2026

1cours1bot est une application web. L'enseignant y construit des assistants à partir de ses propres documents : questions-réponses sur le cours, exerciseur qui guide l'élève sans lui donner la réponse, parcours scénarisé préparé à l'avance. Il y produit aussi des ressources (QCM, vrai/faux, flashcards, cartes mentales, audios, versions accessibles d'un document) et les met à la disposition de ses classes. Les élèves s'en servent depuis un navigateur, sur ordinateur, tablette ou téléphone, sans rien installer. Un forum réservé aux enseignants complète l'ensemble.

2Qui est responsable de quoi

Le responsable de traitement ne dépend pas de la formule, gratuite ou payante, mais du cadre de l'usage. Tout usage avec des élèves relève d'une autorité scolaire ; Eidolon n'y intervient qu'en sous-traitant, sur ses seules instructions.

Ce dont Eidolon est responsable de traitement, et cela seulement : les comptes et les abonnements, la facturation, le forum entre enseignants, les usages hors de tout cadre scolaire, la relation avec ses clients et la sécurité de la plateforme.

Base légale de l'usage scolaire : la mission d'intérêt public confiée à l'établissement (article 6, paragraphe 1, point e, du RGPD). Le consentement des familles n'est donc pas la condition de l'usage en classe ; leur information l'est (article 13), et elle revient au responsable de traitement.

Délégué à la protection des données : Eidolon n'en a pas désigné, après examen des trois cas où l'article 37 l'impose. Le référent est Vivien Mirebeau, à contact@1cours1bot.fr. Pour l'usage scolaire, l'interlocuteur formel reste le délégué du responsable de traitement : celui de l'académie, de l'établissement, ou du ministère pour le GAR.

3Ce que garantit le contrat de sous-traitance

Le contrat reprend les clauses contractuelles types de la Commission européenne, sans modification, et y ajoute des stipulations propres dans des parties séparées. Le modèle vierge est en ligne (section 13). Ses principaux engagements :

• Instructions. Eidolon ne traite les données que sur instruction documentée de l'établissement, et pour les seules finalités décrites à l'annexe II.
• Sous-traitants ultérieurs. Autorisation générale sur une liste convenue (section 5) ; tout ajout ou remplacement est annoncé par écrit au moins 21 jours à l'avance, et l'établissement peut s'y opposer.
• Violation de données. Information de l'établissement sous 48 heures, et assistance pour la notification à la CNIL.
• Audit. Possible pendant toute la durée du contrat, sur préavis de 10 jours, et sans préavis après une violation de données ; un par an au plus, sauf circonstances exceptionnelles.
• Fin du contrat. Les enseignants disposent de 30 jours pour exporter leurs données. Viennent ensuite la suppression des comptes élèves, des conversations, des résultats et des rattachements aux classes, et un procès-verbal de destruction ; les sauvegardes s'effacent au plus tard 30 jours après. Le compte qu'un enseignant a ouvert en son nom propre reste le sien.
• Durée. Un an, reconduit tacitement, préavis de 3 mois.
• Service. Disponibilité d'au moins 99 % par mois, hors maintenance programmée ; interruption de plus de 30 minutes annoncée 48 heures à l'avance ; assistance par courriel sous 72 heures.

4Les données traitées

Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée, ni aucune identité réelle aux élèves.

Le suivi des conversations est désactivé à la création de chaque assistant : rien n'est enregistré. L'enseignant peut le régler en mode manuel, où l'élève choisit de lui transmettre une conversation, ou automatique, que signale à l'élève un indicateur permanent.

Cookies : uniquement ceux qu'exige le fonctionnement (session, protection contre la falsification de requêtes, connexion par le GAR ou par Microsoft). Aucun cookie de mesure d'audience ni de publicité, donc aucun bandeau de consentement.

5Où vont les données

Hébergement en France : l'application, la base de données et les documents sont hébergés par OVHcloud à Gravelines, sur un serveur privé virtuel ; les sauvegardes chiffrées sont conservées sur son stockage objet, à Paris, un produit certifié ISO 27001, ISO 27017 et ISO 27018. Aucune donnée de santé n'est hébergée.

Un seul traitement sort de l'Union européenne : la recherche web. Elle est désactivée par défaut, et l'enseignant l'active ou non pour chaque assistant. La question de l'élève est alors reformulée en mots-clés par un modèle hébergé en France ; seuls ces mots-clés partent vers Google Custom Search, aux États-Unis, sans nom, identifiant, établissement ni adresse IP. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne. Laisser l'option désactivée suffit à ce qu'aucune donnée ne quitte l'Espace européen.

• Opérateurs relevant du droit américain. Google Cloud France SARL, Microsoft Ireland Operations Ltd et Pinecone Systems Inc. traitent les données dans l'Union : ce n'est pas un transfert au sens de l'article 44 du RGPD, mais ces sociétés restent soumises aux lois de leur pays d'origine (CLOUD Act, FISA 702).
• Le choix du modèle appartient à l'enseignant. Le modèle proposé par défaut est hébergé par Infomaniak, en Suisse, pays couvert par une décision d'adéquation de la Commission européenne. Un modèle servi par Mistral AI ou par Scaleway garde la génération des réponses chez un opérateur français.
• Aucun entraînement. Chaque prestataire est encadré par un accord de sous-traitance au sens de l'article 28, et chaque fournisseur d'IA s'est engagé contractuellement à ne pas utiliser les données pour entraîner ses modèles.
• Journalisation des abus chez Google. Une requête que le contrôle automatique de Google signale comme suspecte peut être conservée 90 jours, dans l'Union, sans servir à l'entraînement ; une exemption a été demandée.
• Conversation vocale en temps réel : suspendue pour tous les utilisateurs, faute d'un service qui traite la voix dans l'Union. La dictée vocale, transcrite en France, n'est pas concernée.
• Paiement en ligne. Une licence individuelle réglée par carte passe par Stripe Payments Europe (Irlande), qui ne reçoit que les données de facturation du souscripteur, jamais de données d'élève. Un établissement règle par virement ou par mandat administratif.

6Combien de temps elles sont conservées

Les données de l'année scolaire sont supprimées automatiquement chaque 15 août.

Une donnée supprimée disparaît aussitôt du service ; elle ne subsiste que dans les sauvegardes déjà constituées, jusqu'à leur expiration trente jours plus tard.

7Sécurité

Les mesures ci-dessous sont celles que publient la politique de confidentialité et l'annexe III du contrat. Le détail de la configuration ne se publie pas.

• Échanges chiffrés. HTTPS obligatoire, TLS 1.2 et 1.3 seulement ; en-tête HSTS d'un an, sous-domaines compris.
• Mots de passe. Hachés par bcrypt avec un sel propre à chaque compte, jamais conservés en clair. Les comptes ouverts par le GAR ou par Microsoft 365 n'en ont aucun chez 1cours1bot.
• Sessions. Jetons aléatoires de 512 bits, dans des cookies inaccessibles aux scripts de la page et transmis seulement en HTTPS ; protection contre la falsification de requêtes (CSRF).
• Cloisonnement. Chaque compte n'accède qu'à ses propres données ; un enseignant ne lit les conversations de ses élèves que si le suivi est activé.
• Sauvegardes. Quotidiennes, chiffrées avant d'être déposées hors site, conservées 30 jours. La clé qui permet de les déchiffrer n'est pas sur le serveur. Une restauration complète a été éprouvée en août 2026 ; en cas de sinistre, la perte se limite aux modifications de la journée.
• Administration. Accès aux données de production réservé à l'exploitant, selon le principe du moindre privilège ; les opérations d'administration sont journalisées et conservées un an.
• Mises en production. Plus d'un millier de tests automatisés sont joués avant chaque déploiement et le bloquent en cas d'échec ; les mises à jour de sécurité critiques sont appliquées sans délai.
• Incidents. Procédure documentée ; en cas de violation de données, le responsable de traitement (le ministère pour un accès par le GAR) est informé sous 48 heures.

8Intelligence artificielle

• Transparence. Les réponses des assistants sont produites par des modèles de langage, ce que l'interface signale à l'élève (article 50 du règlement européen sur l'IA).
• L'enseignant garde la main. Il fournit les documents, rédige les consignes, choisit le modèle de chaque assistant, et peut lui interdire de répondre faute de source fiable. Un exerciseur guide l'élève sans lui donner la réponse.
• Aucune décision automatisée. 1cours1bot ne note pas, ne classe pas, n'oriente pas et ne dresse aucun profil (article 22 du RGPD).
• Aucun entraînement des modèles sur les échanges : chaque fournisseur s'y est engagé contractuellement.
• Des limites dites. Comme tout modèle de langage, un assistant peut se tromper, surtout quand la réponse ne se trouve pas dans les documents fournis.
• Un cadre. Conçu dans l'esprit du cadre d'usage de l'IA en éducation publié par le ministère en juin 2025 : l'IA reste sous la main du professeur.

9Accès et comptes

• Par le médiacentre de l'ENT (GAR). Sur demande de l'établissement (son nom et son UAI, à contact@1cours1bot.fr), son abonnement est ouvert dans le GAR ; son responsable d'affectation attribue ensuite la ressource aux enseignants et aux classes dans la console d'affectation. Aucun mot de passe de plus, et les classes viennent de l'annuaire de l'établissement.
• Avec Microsoft 365 Éducation. Connexion par le compte de l'établissement, sans mot de passe chez 1cours1bot. Le profil, enseignant ou élève, découle de la licence attribuée par l'établissement ; sans licence Éducation, ou avec un compte Microsoft personnel, la connexion est refusée.
• Comptes 1cours1bot. Un enseignant s'inscrit avec son adresse électronique ; ses élèves ont un compte sous pseudonyme, sans adresse électronique obligatoire.
• Sans compte. Un assistant peut aussi s'ouvrir par un simple lien : le visiteur choisit un pseudonyme, et rien ne l'identifie.

10Droits des personnes, information des familles

• Auprès du responsable de traitement. Les droits s'exercent auprès de lui ; Eidolon l'assiste, et lui transmet toute demande reçue directement.
• En libre-service. Chaque usager télécharge lui-même ses données depuis « Mon compte » : un récapitulatif lisible (.docx) et une copie complète réutilisable (JSON). Il peut aussi y supprimer son compte.
• Sous 72 heures. Une demande écrite reçoit réponse sous 72 heures, sauf cas complexe ; le délai légal est d'un mois. Une attestation de suppression est fournie sur demande.
• Information des familles. Elle revient au responsable de traitement. L'application fournit à l'enseignant un modèle de document à remettre aux familles ; pour un accès par le GAR, les mentions d'information du GAR s'appliquent.
• Mineurs. Aucune date de naissance ni pièce d'identité n'est demandée, et les pseudonymes sont recommandés pour les élèves.

11Accessibilité

Déclaration d'accessibilité (RGAA) : en préparation. Sont déjà disponibles :

• une police adaptée aux lecteurs dyslexiques et l'agrandissement du texte, que l'enseignant active pour chaque assistant ;
• la lecture à voix haute de chaque réponse, et la dictée vocale, transcrite en France ;
• les versions accessibles d'un document : texte simplifié, reformulé ou traduit, images décrites ;
• la transformation d'un assistant pour un autre public, par traduction ou simplification ;
• un thème sombre.

Toute difficulté d'accès peut être signalée à contact@1cours1bot.fr.

12Commander

Prix en euros, TVA non applicable, article 293 B du CGI. Grille de mars 2026. Pour essayer : 3 mois premium offerts à tout nouvel enseignant, sans engagement.

1. Devis sur simple demande à contact@1cours1bot.fr.
2. Bon de commande signé du chef d'établissement.
3. Activation des comptes à la date choisie.
4. Facture déposée sur Chorus Pro, paiement à 30 jours.

Dépense imputable sur les crédits pédagogiques de l'établissement (article L. 211-8 du code de l'éducation). Sous le seuil de dispense de procédure (60 000 € HT depuis le 1er avril 2026), la commande se passe de gré à gré, sans mise en concurrence.