Politique de confidentialité

Conformément à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25), EduAssists a désigné un responsable de la protection des renseignements personnels.

Pour toute question ou demande relative à la protection de vos renseignements personnels, veuillez communiquer avec nous à : confidentialite@eduassists.ca

EduAssists collecte et traite les catégories de renseignements suivantes :

• Renseignements des enseignant(e)s : nom, prénom, courriel, établissement scolaire, préférences de langue et de thème.

• Renseignements des élèves : prénom, nom de famille, code unique interne, classe et cycle. Ces renseignements sont considérés comme sensibles en vertu de l'article 4.1 de la Loi 25, car ils concernent des mineurs de moins de 14 ans.

• Données pédagogiques : copies numérisées (images), résultats de corrections IA, bilans trimestriels, exercices générés.

EduAssists applique le principe de minimisation des données et ne collecte que les renseignements strictement nécessaires à la prestation du service.

Les renseignements personnels sont collectés et utilisés aux fins suivantes :

• Correction assistée par intelligence artificielle de copies d'élèves selon les critères du MEQ.

• Génération de bilans trimestriels par élève (analyse des forces et lacunes).

• Génération d'exercices personnalisés ciblant les lacunes identifiées.

• Gestion du compte enseignant (authentification, préférences, abonnement).

• Amélioration du service (analyses agrégées et anonymisées).

Aucun renseignement personnel n'est utilisé à des fins publicitaires ou commerciales auprès de tiers.

Conformément à la Loi 25, le consentement à la collecte et au traitement des renseignements personnels doit être manifeste, libre, éclairé et donné à des fins spécifiques.

Pour les élèves de moins de 14 ans, le consentement doit être obtenu auprès du titulaire de l'autorité parentale ou du Centre de services scolaires (CSS) agissant en vertu d'un mandat approprié.

L'enseignant(e) qui utilise EduAssists confirme avoir obtenu les autorisations nécessaires auprès de son établissement et des parents avant de saisir les données des élèves dans la plateforme.

Vous pouvez retirer votre consentement en tout temps en communiquant avec nous. Le retrait du consentement peut entraîner l'impossibilité de fournir certains services.

EduAssists utilise des modèles d'intelligence artificielle pour la correction de copies, l'analyse des forces et lacunes, et la génération d'exercices personnalisés.

Trois fournisseurs d'IA sont utilisés :

• Anthropic (Claude Sonnet) — corrections complexes, analyses et génération d'exercices. Données pseudonymisées avant envoi. Serveurs aux États-Unis.

• Google (Gemini Flash) — explications pédagogiques simples du portail élève (QCM, vrai/faux), routées automatiquement par un routeur intelligent. Les corrections enseignant restent sur Claude Sonnet. Données pseudonymisées avant envoi. Serveurs aux États-Unis.

• OpenAI — génération d'embeddings vectoriels pour le RAG curriculum MEQ uniquement (documents publics du ministère). Aucune donnée d'élève n'est envoyée à OpenAI. Serveurs aux États-Unis.

Conformément à l'article 12.1 de la Loi 25 sur les décisions automatisées :

• Toute correction IA doit être validée par l'enseignant(e) avant d'être considérée comme officielle (humain dans la boucle).

• Les données envoyées aux fournisseurs d'IA sont pseudonymisées : les noms des élèves sont remplacés par des identifiants internes.

• Les fournisseurs d'IA (Anthropic, Google, OpenAI) s'engagent contractuellement à ne pas utiliser les données API pour l'entraînement de leurs modèles.

• L'enseignant(e) peut en tout temps demander des explications sur le fonctionnement du traitement automatisé.

Les données sont hébergées sur des serveurs sécurisés. Conformément à l'article 17 de la Loi 25, une Évaluation des Facteurs relatifs à la Vie Privée (ÉFVP) a été réalisée pour tout transfert de renseignements personnels hors du Québec.

Fournisseurs de services :

• Supabase (base de données et stockage) — hébergé au Canada (ca-central-1).

• Vercel (hébergement web) — traitement serveur dans des régions nord-américaines.

• Anthropic (traitement IA complexe) — données pseudonymisées avant envoi. Serveurs aux États-Unis.

• Google Gemini (traitement IA simple) — données pseudonymisées avant envoi. Serveurs aux États-Unis.

• OpenAI (embeddings RAG curriculum) — documents publics MEQ uniquement, aucune donnée d'élève. Serveurs aux États-Unis.

• Upstash (Redis) — limitation de débit distribuée pour la protection contre les abus. Stocke uniquement des compteurs temporaires anonymes, aucune donnée personnelle. Serveurs aux États-Unis (Washington D.C.).

Des ententes de traitement de données (DPA) sont en place avec chacun de ces fournisseurs pour garantir la protection adéquate des renseignements.

Les renseignements personnels sont conservés uniquement pour la durée nécessaire aux finalités pour lesquelles ils ont été collectés.

• Données des élèves : conservées pendant l'année scolaire en cours, puis supprimées automatiquement 3 mois après la fin de l'année scolaire, sauf demande de prolongation par l'enseignant(e).

• Données des enseignant(e)s : conservées tant que le compte est actif. Supprimées dans les 30 jours suivant la fermeture du compte.

• Copies numérisées : supprimées automatiquement après la validation de la correction par l'enseignant(e), dans un délai maximal de 90 jours.

À l'expiration de la période de conservation, les données sont détruites ou anonymisées de façon irréversible.

Conformément à la Loi 25, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos renseignements personnels détenus.

• Droit de rectification : faire corriger des renseignements inexacts ou incomplets.

• Droit à la suppression : demander la destruction de vos renseignements lorsque la finalité est accomplie.

• Droit à la portabilité : obtenir vos renseignements dans un format structuré et couramment utilisé.

• Droit de retrait du consentement : retirer votre consentement en tout temps.

Pour exercer vos droits, communiquez avec nous à confidentialite@eduassists.ca. Nous répondrons dans un délai de 30 jours.

EduAssists met en œuvre des mesures de sécurité techniques et organisationnelles pour protéger les renseignements personnels :

• Chiffrement des données en transit (TLS/HTTPS) et au repos.

• Authentification multifacteur (MFA) disponible pour tous les comptes.

• Politique de sécurité du contenu (CSP) stricte.

• Limitation de débit sur les routes API sensibles.

• Journalisation et surveillance des accès.

• Contrôle d'accès par rôles (Row Level Security via Supabase).

Conformément à la Loi 25, en cas d'incident de confidentialité présentant un risque de préjudice sérieux, EduAssists s'engage à :

• Aviser la Commission d'accès à l'information du Québec (CAI) avec diligence.

• Informer les personnes concernées dans les meilleurs délais.

• Consigner l'incident dans un registre interne conservé pendant au moins 5 ans.

• Mettre en œuvre les mesures correctives nécessaires.

EduAssists se réserve le droit de modifier la présente politique de confidentialité. Toute modification substantielle sera communiquée aux utilisateurs par courriel ou via la plateforme.

La date de la dernière mise à jour est indiquée ci-dessus.

Pour toute question, commentaire ou plainte relative à la protection de vos renseignements personnels :

Courriel : confidentialite@eduassists.ca

Vous pouvez également déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI) : www.cai.gouv.qc.ca