Dernière mise à jour : 16 octobre 2026
Evalmee fait appel à des sous-traitants ultérieurs (« Subprocessors ») pour certaines opérations techniques nécessaires à la fourniture de ses Services.
Les données d’examen — copies, réponses, notes, évènements horodatés, captures d’écran, enregistrements vidéo et audio, photographies d’identité — sont hébergées en France (Scaleway ; AWS région eu-west-3, Paris), sauvegardes comprises, sans réplication hors de l’Union européenne. Les fournisseurs dont la colonne « Données d’examen concernées » porte la mention Non n’y ont accès à aucun titre : ils traitent des données de compte, de facturation, de support ou de diagnostic technique.
Conformément au DPA et à la Politique de Confidentialité, cette liste est tenue à jour et publiée ici. Elle est revue au moins une fois par trimestre et à chaque modification du périmètre.
| Catégorie | Fournisseur | Localisation des données | Données d’examen concernées | Rôle / Usage principal | Accord de sous-traitance |
|---|---|---|---|---|---|
| Hébergement & infra | Scaleway | France (UE) | Oui | Hébergement, bases de données | https://www-uploads.scaleway.com/DPA_2024_ENG_b0abb5cc26.pdf |
| AWS Europe / AWS EMEA SARL | France — région eu-west-3 (Paris), sauvegardes comprises | Oui | Stockage objet, bases de données, sauvegardes | https://docs.aws.amazon.com/whitepapers/latest/navigating-gdpr-compliance/aws-data-processing-addendum-dpa.html |
https://d1.awsstatic.com/legal/aws-dpa/aws-dpa.pdf | | | Memetria | France (UE) | Oui — sujets et données de session en cache, en France ; aucun enregistrement de surveillance | Stockage de donnée et cache | https://www.memetria.com/terms.html#h5o-18 | | | Redis Ltd. (Redis Cloud) | France (UE) | Oui — sujets et données de session en cache, en France ; aucun enregistrement de surveillance | Stockage de donnée et cache | https://redis.io/legal/data-processing-addendum-dpa/ | | Support & communication | Crisp | UE | Non | Chat intégré support utilisateurs | https://help.crisp.chat/en/article/how-to-sign-my-gdpr-data-processing-agreement-dpa-1wfmngo/ | | | Featurebase (Cordnet OÜ) | Pays-Bas & Allemagne (UE) | Non | Support, feedbacks, centre d’aide | https://help.featurebase.app/articles/8874192-security-faq | | | Customer.io | UE | Non | Emails transactionnels (notifications, création de compte) | https://customer.io/legal/dpa | | Analyse & monitoring | PostHog | UE | Non | Analytics produit (événements anonymisés) | https://posthog.com/dpa | | | Sentry | UE ; transferts éventuels vers les États-Unis encadrés par les Clauses Contractuelles Types (décision 2021/914) | Non | Rapports d’erreur applicatifs, sans contenu de copie | https://sentry.zendesk.com/hc/en-us/articles/23856572755611-How-do-I-sign-your-Data-Processing-Addendum | | | Cloudflare | UE ; transferts éventuels vers les États-Unis encadrés par les Clauses Contractuelles Types (décision 2021/914) | Non | CDN, protection réseau et DDoS en frontal, sans mise en cache des contenus d’examen | https://cf-assets.www.cloudflare.com/slt3lc6tev37/3LmXORq5FW5EuJ0OT1B871/f466268011407efbc07f4fadbd1af466/Cloudflare_Customer_DPA_v6.3_June_20__2025.pdf
https://community.cloudflare.com/t/signing-the-dpa-data-processing-addendum-vertrag-zur-auftragsverarbeitung/815746 | | IA (assistance rédaction et correction) | OpenAI | UE (points d’accès européens d’OpenAI) | Oui — réponses aux questions ouvertes, sans nom ni identifiant de l’Examiné, en cas de correction assistée par IA | Assistance à la rédaction de sujets et à la correction. La correction ne porte que sur les questions ouvertes : sont transmises la question, la grille de correction et la réponse, sans nom ni identifiant de l’Examiné, sur les points d’accès européens d’OpenAI. Aucune donnée du Client n’est utilisée pour entraîner un modèle. L’analyse en option de la webcam et du micro, sur la formule Organisation, tourne sur les serveurs d’Evalmee et n’ajoute aucun sous-traitant. | https://openai.com/policies/data-processing-addendum/
https://ironcladapp.com/public-launch/63ffefa2bed6885f4536d0fe | | | Scaleway (Generative APIs) | France (Paris) | Oui — réponses aux questions ouvertes, sans nom ni identifiant de l’Examiné, en cas de correction assistée par IA | Exécution des modèles d’IA open source hébergés par Scaleway sur ses serveurs en France, pour l’assistance à la rédaction de sujets et à la correction, dans les mêmes conditions que ci-dessus : question, grille de correction et réponse, sans nom ni identifiant de l’Examiné. Les requêtes ne sont pas conservées et ne servent à entraîner aucun modèle ; aucune donnée n’est transmise aux éditeurs des modèles. | https://www-uploads.scaleway.com/DPA_2024_ENG_b0abb5cc26.pdf | | | OpenRouter, Inc. | UE — routage régional européen : l’inférence est exécutée par des fournisseurs situés dans l’Union européenne ; OpenRouter étant établie aux États-Unis, transferts éventuels encadrés par les Clauses Contractuelles Types (décision 2021/914) | Oui — réponses aux questions ouvertes, sans nom ni identifiant de l’Examiné, en cas de correction assistée par IA | Accès aux modèles d’IA pour l’assistance à la rédaction de sujets et à la correction, dans les mêmes conditions que ci-dessus. Seuls sont utilisés des points d’accès sans aucune conservation des requêtes ; tout fournisseur entraînant ses modèles sur les requêtes est exclu. | https://openrouter.ai/data-processing-agreement | | Vérification d’identité automatisée (formule Organisation, option) | Didit Identity Spain, S.L. | Espagne (UE) | Oui — pièce d’identité, visage, détection de présence, appareil et adresse IP de l’Examiné, uniquement lorsque le Client active l’option | Comparaison de la pièce d’identité et du visage avant l’épreuve, avec détection de présence et analyse de l’appareil et de l’adresse IP. La référence faciale est conservée trois mois par défaut pour reconnaître le même Examiné à une épreuve suivante de la même session ; elle n’est comparée qu’à son propre visage (1:1), jamais à d’autres personnes, et aucune base de recherche n’est constituée. Aucune utilisation pour la surveillance pendant l’épreuve ; données traitées dans l’Union européenne (DPA, article 8) | https://didit.me/terms/business/ (Annexe 2) | | Paiements | Stripe | UE ; transferts éventuels vers les États-Unis encadrés par les Clauses Contractuelles Types (décision 2021/914) | Non | Traitement des paiements — données de facturation du Client uniquement, aucune donnée d’Examiné | https://stripe.com/en-fr/legal/dpa | | CRM | HubSpot | Allemagne (UE) | Non | Gestion Clients | https://legal.hubspot.com/fr/dpa |
La vérification d’identité n’existe que sur la formule Organisation (aucune sur les formules Mini, Pro et Max). Dans sa configuration standard, elle est un rapprochement documentaire réalisé par un Examinateur du Client : aucun prestataire tiers n’intervient et aucun gabarit biométrique n’est calculé.
Lorsque le Client active l’option de vérification d’identité automatisée, elle est réalisée par Didit Identity Spain, S.L. (Espagne, UE), inscrite dans le tableau ci-dessus. Didit vérifie la pièce, détecte la présence d’une personne réelle, compare le visage en 1:1 et analyse l’appareil et l’adresse IP. La référence faciale est conservée trois mois par défaut, durée que le Client peut réduire, pour reconnaître le même candidat à une épreuve suivante de la même session sans nouvelle capture de la pièce ; elle n’est jamais comparée à d’autres personnes et aucune base de recherche n’est constituée. Les conditions de l’article 8 du DPA s’appliquent.
Evalmee ne détient à ce jour aucune certification en nom propre : ni SOC 2, ni ISO 27001, ni HDS, ni SecNumCloud. Les certifications mentionnées par ses hébergeurs sont les leurs.