0. Définitions
- Examinateur : personne (enseignant, formateur, membre d'un centre d'évaluation, d'un organisme de formation ou d'un organisme de certification professionnelle) qui crée, configure, administre et/ou corrige des Evaluations ; Responsable de traitement au sens du RGPD.
- Examiné : personne (étudiant, apprenant, candidat) qui passe une Evaluation sur la Plateforme.
- Evaluation : tout test, examen, QCM, exercice ou certification disponible sur la Plateforme.
- Données d'imagerie : images et vidéos issues de la webcam, le cas échéant l'audio du micro, et les captures de l'écran d'examen déclenchées par un événement technique, utilisées dans le cadre de la télésurveillance. Les modalités de vérification de l'identité font l'objet de la section 3 bis.
- Événements techniques : faits déterministes survenant sur le poste de l'Examiné pendant l'épreuve (sortie de la fenêtre d'examen, ouverture d'une autre application, sortie du plein écran, événement de copier-coller, présence d'un second écran, détection d'une extension de navigateur suspecte), horodatés.
- Score de risque : valeur calculée à partir des seuls événements techniques ci-dessus, destinée à attirer l'attention d'un examinateur. Il ne constitue ni une décision ni une preuve.
1. Rôles et responsabilités
Examinateur = Responsable de traitement. L'établissement/organisation (ou l'Examinateur individuel) détermine les finalités, bases légales et durées de conservation des données d'épreuve (copies, réponses, notes, métadonnées) et informe les Examinés.
Evalmee = Sous-traitant, au sens de l'article 28 du RGPD. Nous agissons uniquement sur instructions de l'Examinateur, conformément au DPA, sans déterminer de finalités propres ni fixer de durées autonomes, sauf mention expresse ci-dessous pour les données d'imagerie de proctoring.
Evalmee ne conserve ni n'exploite jamais ces données à des fins autres que la fourniture du service de télésurveillance.
Pour ses propres traitements — le site evalmee.com, les comptes des Examinateurs, la facturation, l'assistance et la sécurité de la Plateforme — Evalmee est Responsable de traitement. La section 12 leur est consacrée et porte les mentions d'information qui lui incombent à ce titre.
Les Examinateurs utilisent la plateforme soit à titre individuel (contrat direct), soit au sein d'une organisation (plan Organisation, sur devis).
Evalmee n'active aucune option de sa propre initiative, ne décide d'aucun paramétrage à la place de l'Examinateur, et ne formule aucune recommandation sur les modalités de surveillance : celles-ci relèvent du seul Responsable de traitement et de son délégué à la protection des données.
Politique de confidentialité des Examinateurs. Chaque Examinateur, en tant que Responsable de traitement, est tenu de fournir à ses Examinés sa propre politique de confidentialité, décrivant les traitements qu'il met en œuvre via la Plateforme Evalmee (finalités, bases légales, durées de conservation, droits des personnes).
Il appartient à l'Examinateur, Responsable de traitement, d'informer les Examinés des modalités de télésurveillance avant l'épreuve. Pour l'aider à remplir cette obligation d'information, Evalmee met à sa disposition un modèle de politique de confidentialité et un modèle de mention d'information des candidats.
2. Bases légales
La base légale des traitements d'évaluation et de télésurveillance est déterminée par l'Examinateur, Responsable de traitement. En pratique, il s'agit de la mission d'intérêt public (article 6.1.e du RGPD) pour un établissement public, ou de l'exécution du contrat (article 6.1.b) pour un organisme privé, à condition que les modalités d'examen soient fixées et connues de l'Examiné avant son inscription.
Le consentement de l'Examiné n'est pas une base valable pour le dispositif de télésurveillance : ce qui rend le dispositif opposable, c'est l'information préalable, non l'acceptation. Un examen ne se refuse pas librement, et un accord qu'on ne peut pas refuser n'est pas un consentement.
Les bases ci-dessous ne sont rappelées qu'à titre descriptif ; Evalmee n'en choisit aucune.
- Contrat : exécution des services d'évaluation en ligne entre l'Examinateur et ses Examinés (ex. création de compte, passation/correction).
- Intérêt légitime : invoqué par Evalmee uniquement pour les traitements dont elle est elle-même responsable (comptes des Examinateurs, facturation, support, sécurité de la Plateforme, communications techniques), jamais sur les données d'épreuve ni sur les données de télésurveillance, qui ne sont utilisées à aucune autre fin que la fourniture du service.
- Obligation légale : obligations comptables/fiscales, réponses à des demandes légales, conservation en cas de contentieux.
- Mission d'intérêt public : lorsque l'Examinateur public la revendique explicitement pour ses traitements.
- Consentement : uniquement pour les cookies non essentiels sur le site marketing.
Lorsque le proctoring (webcam, micro) est activé, il relève de la base légale choisie et documentée par l'Examinateur, qui en informe préalablement les Examinés. Evalmee agit uniquement en exécution technique.
3. Données traitées (catégories)
Aucune décision automatisée. Les événements techniques et le score de risque sont réunis dans un rapport d'intégrité accessible aux seuls examinateurs de l'Examinateur. Ils constituent des indices à instruire, jamais une preuve autonome : le score n'interrompt aucune épreuve et ne signale personne à lui seul. Une vérification humaine a lieu systématiquement avant toute décision ou toute modification des conditions d'examen d'un candidat : aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé (article 22 du RGPD).
- Comptes & épreuves : identité et identifiants de l'Examiné, rattachements, réponses, notes, métadonnées d'épreuve.
- Événements techniques du poste (selon les options activées par l'Examinateur), horodatés : sortie de la fenêtre d'examen, ouverture d'une autre application, sortie du plein écran, événement de copier-coller, présence d'un second écran, détection d'une extension de navigateur suspecte.
- Captures de l'écran d'examen déclenchées uniquement par l'un de ces événements : il n'y a pas de flux vidéo continu de l'écran.
- Score de risque : valeur calculée à partir de ces seuls événements. Evalmee ne procède à aucune analyse automatique du comportement — ni direction du regard, ni émotions, ni cadence de frappe — et cette analyse n'existe dans le produit sous aucune forme, même optionnelle.
- Télésurveillance optionnelle (activée par l'Examinateur) : données d'imagerie issues de la webcam et données audio issues du micro, enregistrées pendant l'épreuve. Lorsque ces options sont activées, des éléments de l'environnement de l'Examiné ou des personnes présentes auprès de lui peuvent être captés incidemment ; l'Examinateur en informe les Examinés.
- Vérification de l'identité : photographies de la pièce d'identité et du visage — voir la section 3 bis.
- Support & qualité de service : métadonnées de tickets, échanges liés à l'assistance.
- Site marketing : cookies et traceurs tels que décrits à la section 13.
L'activation du proctoring (webcam/micro) est visible pour l'Examiné et fait l'objet d'une information préalable par l'Examinateur. Evalmee n'active jamais ces options de sa propre initiative.
3 bis. Vérification de l'identité de l'Examiné
Standard, tous les plans — rapprochement documentaire. Lorsque l'Examinateur active cette option, l'Examiné photographie avant l'épreuve sa pièce d'identité (carte nationale d'identité, passeport ou carte d'étudiant) et son visage. Un examinateur de l'organisation cliente compare visuellement les deux images : c'est un rapprochement documentaire effectué par un surveillant, la première des modalités que cite la CNIL. Aucun gabarit biométrique n'est calculé ni stocké : ces photographies ne constituent pas des données biométriques au sens de l'article 9 du RGPD, et aucun consentement spécifique n'a donc à être recueilli à ce titre. Evalmee héberge ces photographies pour le compte de l'Examinateur, ne les valide pas et n'y accède pas hors nécessité technique stricte.
Option, plan Organisation sur devis — vérification automatisée. L'Examinateur peut demander l'activation d'une vérification d'identité automatisée, opérée par un prestataire spécialisé. Cette option traite des données biométriques au sens de l'article 9 du RGPD. Elle est désactivée par défaut, n'est accessible que sur le plan Organisation et n'est activée qu'à la demande expresse de l'Examinateur. La CNIL en subordonne l'usage à des conditions cumulatives (§ 45) que l'Examinateur doit vérifier sous sa responsabilité : une seule vérification au début de l'épreuve, un nombre de candidats très important, une alternative humaine toujours disponible pour le candidat qui la demande, et une information préalable. Elle repose sur une base propre au titre de l'article 9 du RGPD, déterminée et documentée par l'Examinateur. Aucune base de gabarits biométriques n'est constituée (§ 46). Ce dispositif n'est jamais utilisé pour surveiller l'Examiné pendant l'épreuve.
Le choix entre les deux modalités appartient au Responsable de traitement et à son délégué à la protection des données ; Evalmee configure l'une ou l'autre sans recommander ni déconseiller.
4. Accès aux enregistrements de proctoring
Lorsque le proctoring est activé par l'Examinateur, les enregistrements sont accessibles aux utilisateurs Examinateurs du client :
- Compte individuel : l'unique utilisateur Examinateur.
- Compte d'organisation : les utilisateurs Examinateurs habilités de l'organisation cliente, et eux seuls.
Les enregistrements sont réservés à un usage interne par l'Examinateur dans le cadre de l'évaluation et de la prévention de la fraude. Tout téléchargement, diffusion ou réutilisation externe est interdit sauf obligation légale ou réquisition. L'accès aux enregistrements et leur consultation font l'objet d'une journalisation, dans les conditions de la recommandation de la CNIL sur la journalisation (délibération n° 2021-122 du 14 octobre 2021) ; les journaux d'accès sont conservés de six mois à un an.
Evalmee n'accède jamais aux enregistrements, sauf nécessité technique stricte (maintenance, support) et sous contrôle de confidentialité.
5. Conservation et suppression
Principe. L'Examinateur définit les durées de conservation des données des épreuves (copies, réponses, notes, métadonnées) et procède aux exports/suppressions selon ses politiques. Evalmee n'opère aucune conservation autonome de ces données.
Exception (télésurveillance). Les données d'imagerie et audio issues des fonctionnalités de télésurveillance sont supprimées au bout de 3 mois sur tous les plans, délai correspondant au traitement des contestations éventuelles.
Sur le plan Organisation, la durée est fixée par l'organisation cliente, Responsable de traitement, avant la mise en œuvre (§ 48), à condition qu'elle reste proportionnée et communiquée aux Examinés par leur Examinateur.
En cas de suspicion de fraude, la conservation ne dépasse pas les délais des procédures disciplinaire ou contentieuse — en principe deux mois. À la demande de l'Examinateur, les données du dossier concerné sont conservées jusqu'au terme de la procédure engagée et ne sont, pendant celle-ci, ni modifiées ni supprimées. Il revient à l'Examinateur de formuler cette demande avant l'échéance de suppression.
6. Droits des personnes
Toute personne dispose, sur les données qui la concernent, d'un droit d'accès, d'un droit de rectification, d'un droit à l'effacement, d'un droit à la limitation du traitement, d'un droit à la portabilité et d'un droit d'opposition. Lorsqu'un traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans que cela remette en cause ce qui a été fait auparavant.
Pour les données d'épreuve et de télésurveillance, ces demandes doivent être adressées en priorité à l'Examinateur (Responsable de traitement). Evalmee assiste l'Examinateur dans leur traitement : dpo@evalmee.com et support@evalmee.com.
Si un Examiné contacte directement Evalmee, sa demande est transmise sans délai à l'Examinateur concerné, qui demeure seul compétent pour y répondre.
Pour les traitements dont Evalmee est elle-même responsable (section 12), l'interlocuteur est Evalmee directement.
Aucune décision exclusivement automatisée produisant des effets juridiques n'est prise : toute décision finale relève de l'Examinateur.
L'accès de l'Examiné aux données collectées à son sujet dans le cadre de la télésurveillance est garanti en toutes circonstances : Evalmee met à la disposition de l'Examinateur les moyens techniques de les lui restituer.
7. Réclamation auprès d'une autorité de contrôle
Si vous estimez que vos données ne sont pas traitées comme elles devraient l'être, vous pouvez introduire une réclamation auprès d'une autorité de protection des données — en particulier celle du pays de votre résidence habituelle, celle de votre lieu de travail, ou celle du lieu où le manquement aurait été commis (article 77 du RGPD).
En France, cette autorité est la Commission nationale de l'informatique et des libertés (CNIL) : cnil.fr/fr/plaintes. La liste des autorités des autres pays de l'Espace économique européen est publiée par le Comité européen de la protection des données.
Evalmee étant établie en France, la CNIL est son autorité de contrôle chef de file au sens de l'article 56 du RGPD. Cela n'ôte rien à ce qui précède : votre autorité nationale reste votre interlocuteur, où que vous résidiez.
Aucune démarche préalable auprès de nous n'est exigée. Nous préférons cependant régler nous-mêmes ce qui peut l'être : écrivez à dpo@evalmee.com.
8. Mineurs
Lorsque les Examinés sont mineurs, l'Examinateur adapte l'information délivrée à leur âge et informe les titulaires de l'autorité parentale des modalités d'évaluation et de télésurveillance, avant l'inscription. Il apprécie sous sa responsabilité la proportionnalité des options activées au regard de l'âge des candidats et recueille, le cas échéant et uniquement lorsque la loi applicable l'impose, l'autorisation parentale requise.
Evalmee n'intervient pas dans cette démarche.
9. Sécurité et incidents
Evalmee met en œuvre des mesures techniques et organisationnelles adaptées à la nature des traitements : chiffrement en transit (TLS 1.2/1.3) et au repos (AES-256) ; mots de passe hachés ; sauvegardes chiffrées ; réseau privé cloisonné et pare-feu ; protection DDoS ; accès serveurs par clef ; veille sur les vulnérabilités publiées.
Evalmee ne détient aucune certification en nom propre : ni SOC 2, ni ISO 27001, ni HDS, ni SecNumCloud — la certification ISO 27001 parfois citée est celle de son hébergeur Scaleway.
En cas d'incident de sécurité affectant des données personnelles, Evalmee notifie sans retard injustifié l'Examinateur et lui fournit les informations nécessaires à ses propres obligations réglementaires.
Evalmee n'informe pas directement les Examinés, sauf si la réglementation applicable l'exige.
L'Examinateur informe ensuite les Examinés concernés, conformément à la réglementation.
10. Sous-traitants et transferts
Evalmee peut recourir à des sous-traitants ultérieurs pour l'hébergement, l'emailing transactionnel, le support, l'analytics produit, le monitoring et la diffusion de contenus.
Les données d'épreuve et de télésurveillance sont hébergées en France (Scaleway ; AWS région eu-west-3, Paris), sans réplication hors d'Europe, sauvegardes comprises. Elles ne font l'objet d'aucun transfert hors Union européenne.
Trois outils périphériques — Cloudflare (protection réseau), Sentry (rapports d'erreur), Stripe (paiement) — sont établis dans l'UE mais rattachés à des groupes américains et n'accèdent pas aux données d'épreuve ; lorsqu'un transfert est impliqué, il est encadré par les Clauses Contractuelles Types de la Commission européenne.
La Liste des sous-traitants d'Evalmee (subprocessors) est tenue à jour.
11. IA et correction assistée
Evalmee peut recourir à des services d'IA (ex. OpenAI/ChatGPT) pour assister l'Examinateur dans la correction et la fourniture de retours pédagogiques. Ce traitement poursuit exclusivement les finalités suivantes, dans l'intérêt de l'Examiné :
- Corrections plus précises et plus équitables, en aidant à objectiver l'appréciation et à homogénéiser les critères ;
- Feedback plus détaillé et exploitable, incluant l'explication des erreurs et des pistes d'amélioration pour favoriser la progression de l'Examiné ;
- Aide à l'Examinateur, qui conserve en toutes circonstances la maîtrise de la notation et des décisions pédagogiques.
Données utilisées. Les contenus transmis aux services d'IA sont non nominatifs : ils ne comportent ni nom, ni identifiant, ni coordonnées de l'Examiné ou de l'Examinateur. L'IA n'intervient à aucun moment dans la télésurveillance et aucune note n'est attribuée automatiquement à une réponse rédigée.
Aucun entraînement de modèles. Les données transmises ne sont jamais utilisées pour entraîner les modèles des prestataires d'IA.
Pas de décision automatisée. L'IA n'émet pas de décision produisant des effets juridiques : toute décision finale (notation, validation, sanction) relève de l'Examinateur.
Base légale. Ce traitement est opéré par Evalmee en qualité de sous-traitant, sur la base légale déterminée par l'Examinateur, Responsable de traitement, et documentée par lui.
12. Les traitements dont Evalmee est elle-même responsable
Pour le site evalmee.com, les comptes des Examinateurs, la facturation, l'assistance et la sécurité de la Plateforme, Evalmee ne suit les instructions de personne : elle est Responsable de traitement. Les mentions qui suivent sont donc les siennes. Le responsable est FD EDU, dont les coordonnées complètes figurent à la section 14.
Finalités et bases légales.
- Créer et gérer un compte Examinateur, et fournir la Plateforme — exécution du contrat (article 6.1.b du RGPD).
- Facturer, tenir la comptabilité et conserver les pièces obligatoires — obligation légale.
- Répondre aux demandes d'assistance, de contact ou de démonstration — exécution du contrat, ou intérêt légitime à répondre à qui nous écrit.
- Assurer la sécurité de la Plateforme : journaux techniques, prévention des abus, détection et traitement des incidents — intérêt légitime à protéger le service et ses utilisateurs.
- Informer nos clients des évolutions du service et leur adresser les communications techniques nécessaires — exécution du contrat.
- Prospecter des organisations et mesurer l'audience du site — intérêt légitime, et consentement pour les traceurs qui l'exigent (section 13).
Origine des données. Elles nous viennent de la personne elle-même, ou de l'organisation qui a ouvert un compte pour l'un de ses collaborateurs. Les données des Examinés, elles, nous viennent de l'Examinateur : nous ne les collectons jamais de notre propre initiative.
Caractère obligatoire. Les informations demandées à l'ouverture d'un compte sont nécessaires à la fourniture du service : sans elles, le contrat ne peut pas être exécuté. Les autres informations sont facultatives, et leur absence n'a pas d'autre conséquence.
Destinataires. Nos équipes, dans la limite de ce que leur mission exige, et les sous-traitants ultérieurs mentionnés à la section 10. Aucune donnée n'est vendue, louée ou cédée à des tiers, à des fins publicitaires ou autres.
Durées de conservation.
- Compte et facturation : pendant la durée du contrat, puis le temps nécessaire au traitement des réclamations et des litiges ; les pièces comptables sont conservées dix ans, comme la loi l'impose.
- Assistance : le temps de traiter la demande, et d'en tirer les enseignements de qualité de service.
- Prospection, demandes de contact et de démonstration : au plus trois ans à compter du dernier contact, et effacées sans délai si la personne s'y oppose.
- Journaux techniques de sécurité : de six mois à un an.
Aucune décision automatisée. Aucune décision produisant des effets juridiques ou vous affectant de manière significative n'est prise sur ces données par un traitement exclusivement automatisé, et il n'y a aucun profilage à cette fin.
Vos droits. Pour ces traitements, votre interlocuteur est Evalmee directement, à dpo@evalmee.com : accès, rectification, effacement, limitation, portabilité, opposition, et retrait du consentement lorsque le traitement en repose un. La voie de la réclamation auprès d'une autorité de contrôle reste ouverte en toute hypothèse (section 7).
13. Cookies et traceurs
Un cookie est un petit fichier qu'un site dépose sur votre appareil et relit lors de vos visites suivantes. La règle applicable en France est l'article 82 de la loi Informatique et Libertés : les traceurs strictement nécessaires à la fourniture du service que vous demandez se posent sans consentement ; les autres supposent votre accord préalable.
Sur le site evalmee.com. Nous mesurons l'audience du site avec Staminads, servi depuis notre propre infrastructure (staminads.evalmee.io). Il compte les pages vues, la profondeur de lecture et quelques actions volontaires — un clic sur « essai gratuit », un changement de langue, l'usage d'un outil gratuit. Les statistiques produites servent à savoir quelles pages sont utiles, jamais à reconnaître une personne d'un site à l'autre. Nous ne chargeons ni régie publicitaire, ni pixel de réseau social.
Trois pages du site, et trois seulement, intègrent un module tiers qui peut déposer ses propres traceurs lorsque vous vous en servez : la prise de rendez-vous de démonstration (HubSpot), la page des webinaires (Contrast) et la page des nouveautés (Featurebase). Ces modules ne sont chargés que sur ces pages.
Sur l'application app.evalmee.com.
- Strictement nécessaires — session et authentification (
remember_user_token,_evalmee_session,ahoy*), assistance en ligne Crisp (crisp*). - Mesure d'usage — PostHog (
ph_*), pour comprendre quelles fonctionnalités servent. - Diagnostic technique — Sentry (
gsID,sentry-sc,AMP_*), pour recevoir les rapports d'erreur. - Publicité — aucun.
Les traceurs de mesure et de diagnostic sont strictement limités à l'analyse technique et à l'amélioration du service. Ils ne sont jamais utilisés à des fins publicitaires, ni pour profiler individuellement un Examiné, ni pour suivre quelqu'un sur d'autres sites.
13.1 Comment refuser les cookies
Tout navigateur permet, dans ses réglages de confidentialité, de bloquer les cookies ou d'effacer ceux qui sont déjà déposés ; la plupart permettent aussi de n'accepter que ceux du site visité. Si vous bloquez les traceurs strictement nécessaires, l'application ne peut plus fonctionner : vous ne resterez pas connecté d'une page à l'autre.
Pour que nous cessions toute mesure d'audience vous concernant, il suffit de nous écrire à dpo@evalmee.com.
14. Qui nous sommes, et comment nous joindre
Responsable de traitement — FD EDU, société par actions simplifiée au capital de 1 000 €, siège social : 3 Rue Joliot Curie, 91190 Gif-sur-Yvette, France. RCS Évry 884 027 079, TVA FR78884027079. Evalmee est la marque sous laquelle elle exploite la Plateforme.
- Délégué à la protection des données (DPO) : dpo@evalmee.com
- Support : support@evalmee.com
- Contact général : contact@evalmee.com
15. Mises à jour de la Politique
Nous pouvons mettre à jour la présente Politique. En cas de changement matériel, nous informons les Examinateurs par email aux adresses administrateur connues.
Les Examinateurs sont responsables de relayer cette information aux Examinés.
La mention Dernière mise à jour est actualisée. L'historique des versions est disponible sur demande à dpo@evalmee.com.
16. Notre lecture de la recommandation CNIL
La CNIL a adopté le 8 juin 2023 la délibération n° 2023-058, portant recommandation sur les modalités de mise en œuvre des dispositifs de télésurveillance des examens en ligne. C'est le texte de référence en France, et nos choix de conception s'y alignent.
Notre lecture détaillée de cette recommandation est publiée sur notre page Sécurité, point par point. Elle est la nôtre et n'engage pas la CNIL : en tant que Responsable de traitement, il revient à l'Examinateur de conduire sa propre analyse, avec son délégué à la protection des données.