Vos données sont en sécurité
Hébergé en France, conforme au RGPD, aligné sur la recommandation CNIL relative à la télésurveillance des examens.
Mise à jour : 2 octobre 2026
Où les données d'Evalmee sont-elles hébergées ?
Copies, résultats et enregistrements de télésurveillance sont hébergés en France, chez Scaleway et dans la région AWS eu-west-3 (Paris). Aucune réplication hors d'Europe, sauvegardes comprises, ni région américaine ou asiatique.
Un éventuel transfert relève des clauses contractuelles types de la Commission européenne, comme le rappelle l'article 5 de la recommandation CNIL. L'hébergement des six autres plateformes françaises : voir le comparatif des plateformes d'examen en ligne.
| Prestataire | Rôle | Localisation et encadrement |
|---|---|---|
| Scaleway | Données d'examen | Hébergeur français ; ses centres de données et ses processus sont certifiés ISO/IEC 27001, pas le logiciel Evalmee |
| AWS France | Données d'examen | Région eu-west-3 (Paris), données au repos dans l'Union européenne |
| Cloudflare, Sentry, Stripe | Protection réseau, rapports d'erreur, paiement | Établis dans l'UE, rattachés à des groupes américains : transfert éventuel sous clauses contractuelles types |
Comment les données sont-elles chiffrées ?
En transit comme au repos, sauvegardes comprises : la mesure qu'attend l'article 6 de la recommandation CNIL.
En transit
HTTPS, TLS 1.2 ou 1.3, sur tout le trafic.
Au repos
AES-256 pour les données sensibles, hachage pour les mots de passe.
Sauvegardes
Chiffrées, dans la même zone géographique que la production.
Comment l'infrastructure est-elle protégée ?
Par une défense en profondeur : c'est la superposition des mesures qui réduit la surface d'attaque.
Cloudflare en amont
Protection DDoS et limitation de débit devant tous les services.
Réseau privé (VPC)
Un firewall contrôle le trafic entrant et sortant.
Accès par clef SSH
Réservé aux membres habilités, sans mot de passe.
Accès journalisés
Journalisation des accès aux donnéesPiste d'auditJournal horodaté de tous les événements d'une session : connexion, affichage de chaque question, réponses successives, incidents réseau, actions du surveillant. C'est ce qui permet de reconstituer une épreuve contestée et de répondre à une réclamation autrement que de mémoire., selon la recommandation CNIL sur la journalisation (délibération n° 2021-122 du 14 octobre 2021).
Veille CVE
Veille automatique sur les failles des composants logiciels.
OWASP Top 10
Équipe formée, audits réguliers du code et de l'infrastructure.
Que dit la CNIL sur la télésurveillance des examens en ligne ?
La délibération n° 2023-058 de la CNIL (8 juin 2023, Journal officiel n° 0203 du 2 septembre 2023, texte n° 63) n'interdit pas la télésurveillance : elle impose de la proportionner à l'enjeu réel de l'épreuve et décrit les modalités qu'elle juge acceptables.
Texte de référence en France, elle vise « tout type d'examen ou certification, organisée par un établissement public ou un organisme privé ». L'organisateur est responsable du traitement, Evalmee son sous-traitant.
La proportionnalité s'analyse « globalement et non mesure par mesure » (§ 33), « au regard du contexte et de l'enjeu de l'épreuve » (§ 34) : renforcée pour un concours d'entrée, un examen blanc « devrait être effectué sans télésurveillance ».
| Réf. | Recommandation de la CNIL | Ce que fait Evalmee |
|---|---|---|
| § 33-34 | Proportionner le dispositif à l'enjeu, s'en passer quand l'enjeu est faible | Chaque dispositif se règle épreuve par épreuve. Rien n'est activé par défaut, ni à l'initiative d'Evalmee. |
| § 35 | Contrôler l'activité via la plateforme : autres onglets détectés ou bloqués | Toutes les formules : plein écran obligatoire, alerte à chaque sortie. Formules Pro, Max et Organisation : captures sur évènement (sortie du plein écran, autre application, extension de navigateur suspecte). Formule Organisation : partage d'écran, vidéo continue diffusée au surveillant et conservée. |
| § 36-37 | Exclure l'analyse automatique du comportement : frappe, regard, émotions | Formules Mini, Pro et Max : aucune de ces technologies. Formule Organisation : la détection de la direction du regard et de l'orientation de la tête existe en option, désactivée par défaut et activable épreuve par épreuve ; la CNIL recommande de ne pas l'utiliser. |
| § 38 | Une vérification humaine avant toute décision | Une alerte ouvre un passage à revoir, jamais une sanction : le surveillant ou le jury décide, en direct (chat) ou en différé (frise de la copie). Sur la formule Organisation, l'analyse par IA de la webcam et du son (seconde personne, visage absent, téléphone, voix), désactivée par défaut et exécutée sur les serveurs d'Evalmee, ne fait qu'alerter le surveillant. |
| § 43-47 | Privilégier le rapprochement documentaire, encadrer strictement la biométrie | Formules Mini, Pro et Max : aucune webcam, donc aucune vérification d'identité. Formule Organisation : rapprochement visuel tranché par l'examinateur, aucun gabarit biométrique ; validation automatisée sur devis, aux conditions du § 45. |
| § 48-49 | Fixer et limiter les durées de conservation avant la mise en œuvre | Trois mois par défaut pour les captures d'écran et les enregistrements, délai de traitement des contestations. |
| § 53-56 | Chiffrer, restreindre les accès en lecture, journaliser | TLS 1.2/1.3, AES-256. Enregistrements réservés aux examinateurs du client ; Evalmee n'y accède que par nécessité technique stricte, sous contrôle de confidentialité. |
| § 51 | Encadrer les transferts hors de l'Union européenne | Données d'examen en France ; clauses contractuelles types pour les outils périphériques. |
Et pour un organisme de certification accrédité ISO/IEC 17024 ?
L'édition 2026 de l'ISO/IEC 17024 ajoute des exigences sur la protection des données, l'IA et la sécurité technologique, qui visent l'organisme, pas la plateforme.
Détail : pages ISO/IEC 17024 et organismes de certification.
| Point | L'organisme démontre | Evalmee fournit |
|---|---|---|
| 7.3.2 Protection des données | Procédures dédiées | DPA, hébergement en France, conservation paramétrable (trois mois par défaut) |
| 6.5 Usage de l'IA | Validation par des experts | Correction par IA validée par une personne ; alertes de l'analyse par IA en option revues par une personne ; score de risque de fraude déterministe, sans IA |
| 7.4.2 Sécurité technologique | Menaces traitées | Extension de navigateur suspecte : capture d'écran. Mesures de sécurité inscrites au DPA |
Evalmee utilise-t-il la reconnaissance faciale ?
Pas sur les formules Mini, Pro et Max, qui n'utilisent pas de webcam : ni vidéo, ni vérification d'identité, ni biométrie. La vérification d'identité relève de la formule Organisation : un rapprochement documentaire comparé à l'œil par l'examinateur, la première modalité que cite la CNIL au § 43, et, sur devis, une validation automatisée.
Formules Mini, Pro et Max
- Aucune webcam : ni vidéo, ni vérification d'identité, ni biométrie.
- Aucune analyse automatique du comportementProctoring automatiséSurveillance assurée par des algorithmes qui analysent le flux vidéo, le son et l'activité du poste pour signaler des événements atypiques : visage absent, seconde personne, changement de fenêtre. Les signalements produits sont des indices à instruire, jamais une preuve de fraude en eux-mêmes. L'automatisme porte sur l'analyse, jamais sur la décision : tirer une conséquence d'un signalement sans qu'une personne l'ait examiné serait une décision entièrement automatisée, encadrée par l'article 22 du RGPD., comme le recommande la CNIL (§ 37) : les seuls signaux automatiques portent sur l'activité dans l'épreuve (§ 35).
Formule Organisation
- Le participant photographie à la webcam sa pièce d'identité ou sa carte étudiant, et son visage.
- L'examinateur compare et tranche : validation humaine de bout en bout.
- Aucun gabarit biométrique calculé ni stocké, bases que la CNIL proscrit chez les prestataires de télésurveillanceTélésurveillanceEnsemble des dispositifs permettant de surveiller à distance un candidat : captation vidéo et audio, partage d'écran ou suivi humain. Le terme anglais couramment utilisé est proctoring. Le niveau retenu doit rester proportionné à l'enjeu de l'épreuve et aux données personnelles collectées. d'examen (§ 46).
- Sur devis, une validation d'identitéAuthentification du candidatVérification que la personne qui compose est bien celle qui est inscrite : identifiants nominatifs, connexion via l'annuaire de l'établissement, contrôle d'une pièce d'identité, parfois comparaison biométrique. Le niveau de vérification se règle sur l'enjeu de l'épreuve et sur les données qu'il légitime de traiter. automatisée, limitée à établir l'identité du candidat, avant l'épreuve ou, en option, après coup.
- Jamais utilisée pour surveiller le candidat pendant l'épreuve, ni activée sans décision explicite de l'établissement.
- Aux conditions cumulatives du § 45 : une seule vérification, un nombre de candidats très important, une alternative toujours disponible, une information préalable.
Combien de temps les enregistrements sont-ils conservés ?
Trois mois par défaut pour les captures d'écran et les enregistrements de la surveillance vidéo (formule Organisation), délai de traitement des contestations. Le reste suit la durée que vous fixez, en responsable du traitement : Evalmee ne conserve rien de son propre chef.
Accès réservé aux examinateurs de l'organisation cliente, consultations journalisables. Diffusion ou réutilisation externe interdites, sauf obligation légale ou réquisition ; l'organisation cliente peut télécharger les enregistrements pour son archivage et ses accréditations.
| Données | Durée de conservation |
|---|---|
| Enregistrements de la surveillance vidéo (formule Organisation) : webcams, micro, partage d'écran | Trois mois par défaut ; une autre durée par contrat |
| Captures d'écran (formules Pro, Max et Organisation) | Trois mois par défaut ; une autre durée par contrat sur la formule Organisation |
| Copies, réponses, notes, métadonnées | Définie par l'établissement examinateur |
| Alertes de l'analyse par IA (formule Organisation) | Celle des copies, supprimées avec elles |
Quelle est la politique IA d'Evalmee ?
Evalmee utilise des modèles d'OpenAI pour accélérer la rédaction et la correction, à quatre conditions.
Questions ouvertes seulement
La correction assistée par IACorrection assistée par IAPré-correction des réponses rédigées par un modèle de langue, qui propose une note et une justification que le correcteur valide, modifie ou rejette. La décision reste humaine : ce que l'IA fait gagner, c'est le premier passage sur la copie, jamais la responsabilité de la note. vise les questions ouvertes ; les QCM sont corrigés automatiquement, sans IA.
Sans nom ni identifiant
Question, grille et réponse partent chez OpenAI, sur ses points d'accès européens, sans le nom ni l'identifiant du participant.
Aucun entraînement
Vos données n'entraînent jamais de modèle d'IA.
Correction validée
Un correcteur valide chaque suggestion de l'IA : aucune note automatique sur une réponse rédigée.
Qui sont les sous-traitants d'Evalmee ?
La liste complète est publique, datée et tenue à jour : prestataire, finalité et pays d'établissement, comme l'exige l'article 28 du RGPD. Vos données ne vont qu'aux partenaires strictement nécessaires.
Pour la rédaction et la correction des questions ouvertes, OpenAI reçoit la question, la grille et la réponse, sans nom ni identifiant du participant. L'analyse en option de la webcam et du micro, sur la formule Organisation, tourne sur les serveurs d'Evalmee et n'ajoute aucun sous-traitant.
Evalmee propose-t-il un accord de sous-traitance (DPA) ?
Oui, conforme à l'article 28 du RGPD : responsabilités respectives, durées de conservation, mesures de sécurité et sous-traitants ultérieurs. Il se signe avant la mise en production, sans surcoût, quelle que soit votre formule.
Pour une version signée, contactez-nous.
Evalmee est-il conforme au RGPD ?
Evalmee est conçu pour que votre établissement traite des données d'examen conformément au RGPD ; la conformité se juge traitement par traitement, sous votre responsabilité.
Nos engagements de sous-traitant
- Traiter les seules données strictement nécessairesMinimisation des donnéesPrincipe du RGPD selon lequel, dans la formulation de la CNIL, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Appliqué à la télésurveillance, il commande de ne collecter que ce que l'enjeu de l'épreuve justifie. au service
- Garantir les droits d'accès, de rectification, de portabilité et de suppression
- Garder les données d'examen en France, transferts périphériques sous clauses contractuelles types
- Notifier sans délai toute violation, pour tenir les 72 heures de l'article 33 du RGPD
- Garantir l'accès du candidat aux données de sa télésurveillance, exigé par la CNIL en toutes circonstances (§ 16)
Pour exercer vos droits ou toute question relative à vos données, contactez-nous.
Quelles certifications Evalmee détient-il ?
Aucune, à ce jour, en son nom propre : les certifications citées sur cette page sont celles de nos hébergeurs.
Ce que nous ne détenons pas
SOC 2
Type I ou Type II : Evalmee n'est pas audité SOC 2.
ISO/IEC 27001
Celle citée sur cette page est celle de Scaleway, notre hébergeur.
HDS
Evalmee n'est pas certifié hébergeur de données de santé et n'a pas vocation à en traiter.
SecNumCloud
Evalmee n'est pas qualifié SecNumCloud par l'ANSSI.
Quelle est la disponibilité du service ?
Au 14 août 2026, la page d'état publique d'Evalmee affiche 100 % de disponibilité constatée sur les quatre-vingt-dix derniers jours pour ses sept composants, dont la télésurveillance : une mesure sur fenêtre glissante, pas un engagement contractuel.
Aucun SLA sur les abonnements en libre-service ; un engagement de disponibilité se négocie sur la formule Organisation. La page d'état publie aussi l'historique des incidents, mis à jour automatiquement.
Sources et textes de référence
CNIL
Consulté le 14 août 2026
CNIL
Télésurveillance des examens en ligne : la CNIL publie une recommandation
Consulté le 14 août 2026
Légifrance
Délibération n° 2023-058, texte publié au Journal officiel n° 0203 du 2 septembre 2023, texte n° 63
Consulté le 14 août 2026
Légifrance
Consulté le 14 août 2026
Ministère de l'Enseignement supérieur et de la Recherche, DGESIP
Fiche 6 : Évaluer et surveiller à distance, plan de continuité pédagogique
Consulté le 14 août 2026
EUR-Lex
Règlement (UE) 2016/679 (RGPD), notamment ses articles 9, 22, 28, 32 et 33
Consulté le 14 août 2026
Scaleway
Sécurité et résilience de l'infrastructure Scaleway
Consulté le 14 août 2026
Evalmee
Politique de confidentialité d'Evalmee
Consulté le 5 septembre 2026
Evalmee
Liste des sous-traitants d'Evalmee
Consulté le 14 août 2026
Evalmee
Contrôler et vérifier l'identité des participants, centre d'aide Evalmee
Consulté le 14 août 2026
Questions fréquentes
Oui, à condition d'être proportionnée. La CNIL l'encadre par sa délibération n° 2023-058 du 8 juin 2023 : le dispositif doit être choisi au regard de l'enjeu de l'épreuve, l'analyse automatique du comportement des candidats doit être exclue, et l'établissement, responsable du traitement, doit informer les candidats à l'avance.
Pas sur les formules Mini, Pro et Max : elles n'utilisent pas de webcam, donc ni vidéo, ni vérification d'identité, ni biométrie. La vérification d'identité relève de la formule Organisation : elle repose sur un rapprochement documentaire, le participant présente sa pièce d'identité à la webcam, l'examinateur compare visuellement puis tranche lui-même, et aucun gabarit biométrique n'est calculé ni conservé. Sur cette formule, une validation automatisée d'identité peut aussi être déployée sur devis : elle se limite à établir l'identité du candidat, avant l'épreuve ou après coup en option, et n'est jamais utilisée pour le surveiller pendant l'épreuve. Les conditions de ce déploiement sont écrites sur la page sécurité. L'option d'analyse par IA de la webcam, sur la même formule, détecte un visage absent comme un objet, sans traitement biométrique.
En France, chez Scaleway et dans la région AWS eu-west-3 (Paris), sauvegardes comprises : les données d'examen ne quittent pas le territoire français. Quelques outils périphériques (Cloudflare, Sentry, Stripe) peuvent impliquer un transfert encadré par les clauses contractuelles types de la Commission européenne.
Les captures d'écran (formules Pro, Max et Organisation) et les enregistrements de la surveillance vidéo (proctoring), propre à la formule Organisation (webcams, micro et partage d'écran), sont supprimés par défaut au bout de trois mois, délai correspondant au traitement des contestations ; sur la formule Organisation, une autre durée peut être fixée contractuellement. Les alertes de l'analyse par IA sont rattachées à la copie du participant : elles suivent la durée de conservation des copies, fixée par l'établissement examinateur, et sont supprimées avec elle.
Non. Evalmee ne détient aujourd'hui aucune certification de sécurité en son nom propre : ni SOC 2, ni ISO/IEC 27001, ni HDS, ni SecNumCloud. La certification ISO/IEC 27001 mentionnée sur notre page sécurité est celle de Scaleway, notre hébergeur, et couvre ses centres de données.
Oui, sans surcoût et quelle que soit la formule. Notre accord de sous-traitance est conforme à l'article 28 du RGPD : il fixe les responsabilités respectives, les durées de conservation, les mesures de sécurité et la liste des sous-traitants ultérieurs, qui est par ailleurs publique.
Non sur les formules en libre-service : aucun engagement de niveau de service n'y est attaché. Evalmee publie en revanche une page d'état ouverte à tous, qui affiche la disponibilité constatée sur les quatre-vingt-dix derniers jours et l'historique des incidents. Un SLA peut être négocié sur la formule Organisation.
Une question sur la sécurité ?
Notre équipe vous répond rapidement, y compris sur la protection des données.