ClassDojo RGPD : les 5 points à vérifier avant de signer

ClassDojo est-il conforme au RGPD ? La réponse de ClassDojo elle-même, publiée dans son centre d’aide, se résume en un mot : « Oui ». Cette réponse n’est pas fausse, mais elle ne dit pas tout : ClassDojo désigne un représentant dans l’UE, signe un avenant de traitement des données et fait réaliser des audits annuels — tandis que son mécanisme de transfert par défaut continue d’acheminer les données des élèves vers des serveurs américains, et qu’au moins un examen indépendant a mis en doute la validité juridique du consentement qui sous-tend ce transfert. Le DPO d’un établissement français ou européen ne peut pas valider ce dossier sur la seule foi de l’argument marketing. Il doit vérifier cinq points précis, directement dans le contrat.

Avant d’approuver ClassDojo pour votre établissement, vérifiez :

Quelle entité a signé votre DPA — et si le document est bien daté après janvier 2025 (la révision en vigueur)
Si votre contrat s’appuie sur le Data Privacy Framework (DPF) UE-États-Unis ou sur les clauses contractuelles types (CCT) comme base de transfert
Si les notes comportementales ou relatives à la santé saisies dans ClassDojo relèvent de « données sensibles » — car les CCT les excluent explicitement
Le délai réel prévu par la clause de notification des violations de données (pas le ton de la page marketing)
Qui, dans votre établissement, a le pouvoir d’autoriser le stockage des données hors des États-Unis continentaux — et si quelqu’un l’a déjà fait
Ce qu’il advient des données en cas de résiliation — et ce que recouvre concrètement la durée « aussi longtemps que nécessaire » dans l’Exhibit A de votre contrat

La suite de cet article détaille ce que contiennent réellement les documents — et montre où une alternative hébergée dans l’UE, comme Beneylu, change complètement la donne, en conservant les données en France par défaut plutôt qu’en les transférant vers les États-Unis dans le cadre du DPF UE-États-Unis.

ClassDojo est-il conforme au RGPD ? Ce que l’entreprise affirme

Le centre d’aide de ClassDojo l’affirme sans détour : « Is ClassDojo General Data Protection Regulation (GDPR) Compliant? Yes. » (Centre d’aide ClassDojo) L’entreprise définit son rôle avec précaution : pour les données liées au contexte scolaire, « ClassDojo acts as a Processor… and we will process personal information, including Student Data, only at the direction and control of the school » — ce qui signifie que c’est l’établissement, et non ClassDojo, qui porte les obligations de conformité propres au responsable de traitement. Pour les données que les parents saisissent directement (Family Chat, fonctionnalités Premium), ClassDojo se positionne au contraire comme responsable de traitement.

Pour étayer cette affirmation, ClassDojo a désigné un représentant au titre de l’article 27 du RGPD — « the European Data Protection Office (EDPO)… Avenue Huart Hamoir 71, 1030 Brussels, Belgium » — ainsi qu’un représentant distinct pour le Royaume-Uni, EDPO UK Ltd, à Londres. Désigner un représentant est une véritable démarche de conformité, pas une formalité que les établissements devraient négliger. Mais cela répond à la question « un régulateur peut-il atteindre ClassDojo », pas à celle de savoir si le transfert des données de vos élèves est en lui-même licite. C’est une question distincte, et c’est précisément là que le « Oui » mérite d’être décortiqué.

Le mécanisme de transfert derrière cette affirmation

La FAQ sur les transferts de ClassDojo est directe sur l’endroit où résident les données par défaut : « As a US-based company, we store user data in the United States. » (Centre d’aide ClassDojo — FAQ Transferts) La base légale de ce transfert est le Data Privacy Framework (DPF) UE-États-Unis : « ClassDojo relies on the DPF Programs when transferring data either as a processor or controller… [and] complies with the EU-U.S. DPF, the UK Extension, and the Swiss-U.S. DPF as set forth by the U.S. Department of Commerce. »

Le DPF est un véritable mécanisme d’adéquation, pas un contournement — mais il repose sur une décision d’adéquation de la Commission européenne portant sur le droit américain, pas sur le maintien des données dans l’UE. ClassDojo demeure « subject to the jurisdiction and regulatory enforcement powers of the U.S. Federal Trade Commission » et peut devoir « disclose personal data in response to lawful requests by public authorities, including to meet national security or law enforcement requirements ». Les CCT figurent dans le DPA comme filet de sécurité, mais la clause de hiérarchie des normes du contrat précise qu’elles ne deviennent juridiquement contraignantes que si le DPF lui-même est invalidé au Royaume-Uni, dans l’UE ou en Suisse — un établissement ne peut pas simplement les exiger comme base de transfert alternative. Un établissement qui souhaite un stockage exclusivement européen doit obtenir l’autorisation écrite distincte que le DPA impose à son article 13.

Ce que le DPA signé engage réellement

Le document contraignant est l’International Data Processing Addendum de ClassDojo, signé pour ClassDojo, Inc. (Delaware) — l’entité nommée dans le bloc de signature de ce DPA, un document dont la partie définie comme « ClassDojo » recouvre soit cette entité, soit ClassDojo Technology Inc. (Colombie-Britannique) — par Jeff Buening, son District Partnerships GM, dans une révision datée de janvier 2025. Ce texte est plus précis que les FAQ du centre d’aide, et mérite d’être lu clause par clause plutôt que pris pour argent comptant.

Sur la localisation du stockage, le DPA est sans ambiguïté : « Personal Data shall be stored, backed up and served only on servers and data centers based in the continental United States unless Customer has given prior written authorization to ClassDojo to store such Customer Data in additional countries. » (DPA §13) Le même article confirme que ClassDojo peut transférer des données « to and in the United States » et vers des pays tiers hors de l’EEE « without an adequacy statement from the UK government or European Commission » — une formulation que votre DPO doit lire au pied de la lettre, pas survoler.

Sur la réponse aux violations de données, le délai est concret : ClassDojo doit, « without undue delay, but in no event later than seventy-two (72) hours after such confirmation, notify LEA via email of the Personal Data Breach » (DPA §10.1). Concernant les sous-traitants, un établissement dispose de « thirty (30) days after receipt of ClassDojo’s notice » pour s’opposer à l’arrivée d’un nouveau sous-traitant ; si ClassDojo ne parvient pas à résoudre l’objection « within a reasonable period of time, which shall not exceed sixty (60) days », il doit abandonner ce sous-traitant, le remplacer, ou laisser l’établissement se retirer sans pénalité. Sur la conservation, les données sont conservées « for as long as required by LEA to perform the Services », les données de compte étant conservées « until termination of ClassDojo’s relationship with an End User » — des durées qui dépendent de la définition du mot « required » dans votre propre contrat, pas d’un chiffre fixe. ClassDojo fait aussi réaliser au moins un audit annuel, qui intègre les critères de sécurité SOC 2 Type II depuis 2025.

La clause qui change le plus la donne en matière de conformité est pourtant celle-ci, formulée à l’identique pour les deux scénarios de transfert dans l’Exhibit A du DPA : « Data exporter shall not submit special categories of Personal Data to the Services. » Notes de santé, aménagements liés au handicap, identifiants biométriques — rien de tout cela n’est couvert par les garanties de transfert que ClassDojo a mises en place. Si l’usage que votre établissement fait de ClassDojo (ou de tout autre outil de suivi comportemental) touche à cette catégorie, le DPA ne protège pas le transfert : il l’exclut.

Liste de vérification RGPD avant de signer

Un contrôle de conformité RGPD sérieux de ClassDojo — ou de tout autre prestataire — confirme par écrit, contrat en main : (1) que la date de révision du DPA et les entités signataires correspondent bien à la version en vigueur ; (2) que le DPF reste la base de transfert opérante — la clause de hiérarchie des normes du DPA ne fait basculer vers les CCT qu’en cas d’invalidation du DPF, pas sur simple demande de l’établissement ; (3) qu’aucune donnée sensible n’entre dans l’outil, puisque les CCT les excluent ; (4) la durée de conservation réelle indiquée dans votre Exhibit A, et non le discours marketing ; et (5) qui, dans votre établissement, a l’autorité pour approuver un stockage hors des États-Unis continentaux, cette autorisation devant être « prior written authorization ».

Une précision de périmètre s’impose : la politique de confidentialité du site web de ClassDojo — qui vise les visiteurs de classdojo.com, pas les usages en classe connectés — indique que « The Sites are not directed toward individuals under the age of thirteen (13) » (Politique de confidentialité ClassDojo). Cela ne décrit que le site marketing ; le Service utilisé au quotidien dans les classes concerne des enfants bien plus jeunes que 13 ans. Confondre les deux est une erreur de lecture facile à commettre, et lourde de conséquences.

La question du consentement qu’aucune page marketing ne mentionne

La seule analyse indépendante, non émise par un fournisseur, de la posture RGPD de ClassDojo que cette recherche ait trouvée provient de Data Protection Education (DPE), un cabinet de conseil britannique spécialisé en protection des données dans l’éducation — et elle date de décembre 2020 : à considérer comme un repère toujours pertinent mais vieillissant, pas comme un audit actuel. La préoccupation centrale de DPE portait sur le consentement : selon eux, le consentement au transfert recueilli à la connexion est discutable, car il ne peut être librement donné lorsque l’établissement impose l’usage de ClassDojo comme une obligation professionnelle — une problématique qui rejoint le principe de déséquilibre des pouvoirs de l’article 7 du RGPD. (Data Protection Education) DPE relevait par ailleurs, en 2020, que les CCT de ClassDojo excluaient les données sensibles — un constat que la lecture du DPA actuel, daté de 2025, corrobore de façon indépendante cinq ans plus tard. La recommandation pratique de DPE était d’éviter ClassDojo pour tout ce qui touche aux catégories protégées et de recourir plutôt à des « méthodes plus sûres ».

Deux réserves s’appliquent ici, et nulle part ailleurs dans cet article : les pages du centre d’aide de ClassDojo en ligne renvoient une erreur 403 aux outils de récupération automatisée, si bien que cette analyse s’est appuyée sur des captures Wayback Machine — vérifiez vous-même la version en ligne avant de la citer dans un dossier de conformité. Par ailleurs, le référentiel européen sur les données des enfants est encore en construction : le Comité européen de la protection des données (CEPD) affirme qu’« extra vigilance is essential » pour les données des enfants et indique qu’il est « currently developing Guidelines on children’s data processing » début 2026 — non encore finalisées, donc aucune norme européenne unique et contraignante n’existe à ce jour pour évaluer un prestataire sur ce point. (CEPD, Journée de la protection des données 2026)

Cette attention réglementaire s’intensifie spécifiquement en France. Le ministère de l’Éducation nationale et la CNIL ont renouvelé leur partenariat sur la protection des données le 16 décembre 2025, signé par le ministre Édouard Geffray et la présidente de la CNIL Marie-Laure Denis ; depuis 2025, la CNIL a publié deux guides pratiques sur les violations de données dans l’Éducation nationale. (CNIL) Un outil hébergé aux États-Unis entre dans cet environnement avec davantage de vigilance à venir, pas moins.

Alternatives à ClassDojo pour les écoles européennes : ce qui change si vous changez d’outil

Pour un DPO qui évalue les alternatives à ClassDojo, la vraie comparaison n’est pas « conforme contre non conforme » — les documents de ClassDojo sont réels et sérieux. C’est plutôt : « à quelle question de transfert voulez-vous encore répondre dans trois ans ? »

Des concurrents de ClassDojo qui évitent la question du transfert vers les États-Unis

Beneylu, une plateforme EdTech française conçue pour le modèle de l’ENT (espace numérique de travail), évacue la question du transfert vers les États-Unis par conception, et non par contrat. Sa documentation nomme directement son hébergement : Microsoft Azure France pour les « serveurs, sauvegardes et bases de données » en région « France Central », avec sauvegarde en « France Sud », ainsi que des datacenters OVH à Roubaix et Gravelines. (Beneylu et le RGPD) Comme les données ne quittent jamais l’UE, il n’y a ni recours au DPF, ni exhibit de CCT, ni exclusion de « données sensibles » à surveiller — la question ne se pose tout simplement pas comme pour ClassDojo.

Meilleures alternatives à ClassDojo pour 2025-2026, comparées

Critère	ClassDojo	Beneylu
Localisation par défaut des données	Serveurs aux États-Unis continentaux	France (Azure France Central/Sud, OVH Roubaix/Gravelines)
Base légale du transfert vers l’UE	DPF UE-États-Unis (par défaut) ; les CCT ne s’appliquent qu’en cas d’invalidation du DPF	Sans objet — les données restent dans l’UE
Base juridique/commerciale	Contrat commercial signé par district	Souvent opéré dans le cadre d’une mission d’intérêt public plutôt que d’un contrat commercial standard

Aucune des deux lignes ne se substitue totalement à l’usage de l’autre : les fonctionnalités d’engagement et de communication familiale de ClassDojo sont plus étendues qu’un outil ENT classique, et le modèle de mission d’intérêt public de Beneylu n’est pas accessible à tous les types d’établissements. Le verdict est plus nuancé que « choisissez le conforme » : si votre établissement évite les données sensibles dans ClassDojo, s’assure que le DPF reste sa base de transfert opérante, et dépose l’autorisation écrite pour tout stockage hors États-Unis, les failles contractuelles se referment sensiblement. Si cette discipline documentaire n’est pas réaliste pour votre équipe, une plateforme native de l’UE supprime la question plutôt que de la gérer. Pour un panorama plus large des outils de communication scolaire hébergés dans l’UE, voir les comparatifs d’alternatives de BeeNet.

Le verdict : ce que la validation de votre DPO doit exiger

La réponse de ClassDojo au RGPD est « Oui » dans le sens qui compte pour un régulateur vérifiant la présence d’un représentant au titre de l’article 27, d’un DPA signé et d’une clause de notification des violations — tout y est. C’est un « oui, à condition que » dans le sens qui compte pour un DPO : oui, si vous avez confirmé que le DPF reste valide comme base de transfert (les CCT ne prennent le relais qu’en cas d’invalidation du DPF lui-même) ; oui, si aucune donnée sensible n’entre jamais dans l’outil ; oui, si quelqu’un a réellement signé l’autorisation écrite que le DPA exige avant tout stockage hors des États-Unis. Aucune de ces conditions n’est automatique — chacune exige une action précise et documentée de votre établissement, pas une case cochée sur une FAQ commerciale.

C’est un processus de vigilance continue, pas une décision ponctuelle — et c’est précisément ce qui se perd entre un contrat signé et ce qu’un enseignant tape dans une application de suivi comportemental six mois plus tard. Une plateforme qui intègre ce processus — paramètres de gestion des données, contrôles de conservation et journaux d’audit logés à côté de la messagerie et des fonctions de sécurité que les administrateurs utilisent déjà au quotidien, plutôt que dans un PDF séparé que personne ne relit — referme cette faille par conception. Concrètement, cela peut prendre la forme d’un paramètre de conservation qui purge automatiquement les entrées de suivi comportemental un nombre de jours fixe après la fin de l’année scolaire, au lieu de s’appuyer sur la formule ouverte de ClassDojo « aussi longtemps que nécessaire », plus une entrée de journal d’audit indiquant quel membre du personnel a approuvé le stockage d’une note hors de l’UE, horodatée et consultable — pas une approbation verbale ou par fil d’e-mails qu’on ne peut plus retrouver six mois plus tard. BeeNet est une voie de mise en œuvre construite autour de cet appariement, aux côtés de la gestion documentaire et des processus de sécurité qui maintiennent la surface de conformité et l’outil de communication quotidien dans un même système. Si vous êtes en pleine évaluation, les pages cas d’usage écoles et tarifs détaillent à quoi cela ressemble, ou réservez une démonstration pour la comparer à votre installation actuelle.

Références

Pour les références et sources, voir la version anglaise de cet article.