Transparence : ce blog est édité par Kwiiz, qui a fait de la souveraineté des données un argument. Raison de plus pour être rigoureux : tout ce qui suit provient des politiques de confidentialité et pages « trust » officielles des plateformes citées, consultées le 29 juillet 2026, sources en bas d'article. Toutes revendiquent la conformité RGPD : la question n'est pas la légalité, mais la maîtrise.
Ce que disent leurs propres documents
- Kahoot! : société norvégienne (Oslo), détenue depuis 2024 par un consortium mené par Goldman Sachs Asset Management. Bonne nouvelle méconnue : pour les utilisateurs européens, sa page « sub-processors » indique un traitement en UE et au Canada (AWS, Google Cloud, Hetzner…), avec des exceptions (vidéos, tickets de support). Les transferts internationaux s'appuient sur le Data Privacy Framework (extension suisse comprise) et les clauses contractuelles types.
- Wayground (ex-Quizizz) : société américaine ; sa politique de confidentialité indique un hébergement aux États-Unis, transferts UE couverts par le Data Privacy Framework.
- Socrative : groupe Showbie (Canada) ; données stockées sur AWS aux États-Unis, avec des serveurs de sauvegarde en Amérique du Sud, en Asie et en Australie, selon son centre d'aide.
- Quizlet : société de San Francisco ; sa politique indique que les données personnelles sont transférées vers des serveurs situés aux États-Unis.
- Blooket : « hosted in the United States », selon sa propre politique.
- Wooclap, le bon élève européen : hébergement « exclusivement à Paris » selon son trust center, ISO 27001. (Mais un outil orienté enseignement supérieur, cf. notre comparatif.)
À retenir : aucune de ces plateformes n'héberge en Suisse. Et aucune idée reçue ne résiste à la lecture des documents : Kahoot traite les données européennes… en Europe et au Canada, tandis que des outils très présents dans nos classes (Wayground, Blooket, Quizlet) hébergent bien aux États-Unis.
Pourquoi c'est un sujet, même quand « c'est conforme RGPD »
Trois raisons font que la localisation compte, au-delà du tampon de conformité :
- Les élèves sont des mineurs. La nLPD suisse comme le RGPD traitent les données d'enfants avec une exigence renforcée, et un prénom associé à des résultats scolaires est une donnée personnelle à part entière.
- Les cadres de transfert vers les USA sont fragiles historiquement. Les deux prédécesseurs du Data Privacy Framework, Safe Harbor et Privacy Shield, ont été invalidés par la Cour de justice de l'UE (2015 et 2020). Un outil hébergé aux États-Unis repose sur un cadre juridique qui a déjà cédé deux fois.
- Les cantons regardent. Les services cantonaux d'éducation numérique évaluent les outils précisément sur ces critères (hébergement, minimisation, sous-traitants) avant de les recommander aux écoles.
La checklist avant d'adopter un outil de quiz
Quatre questions, dont les réponses figurent (ou devraient figurer) dans la doc de chaque éditeur :
- Où les données sont-elles hébergées ? Chercher la page « privacy » ou « sub-processors », pas la page marketing.
- Un compte élève est-il requis ? Le meilleur moyen de protéger une donnée reste de ne pas la collecter : un outil jouable sans compte élève réduit le problème à presque rien.
- Quelles données minimales suffisent ? Un prénom suffit-il, ou l'outil réclame-t-il email, âge, photo ?
- Que deviennent les données à la fin ? Durées de conservation, suppression, et ce qui part chez les sous-traitants.
Comment Kwiiz répond à sa propre checklist
Puisqu'on pose les questions, voici nos réponses, toutes vérifiables : hébergement en Suisse (serveurs Infomaniak, Genève), aucun compte élève (les élèves rejoignent avec un code et un prénom, rien d'autre), IA Apertus (EPFL/ETH Zurich) opérée en Suisse (les contenus générés ne quittent pas le pays et n'entraînent pas le modèle), conformité nLPD, et une politique de confidentialité qui détaille durées de conservation et sous-traitants. Une exception, que nous disons ouvertement : quand un enseignant nous envoie ses propres documents pour les transformer en quiz, ce document est lu par une IA hébergée hors de Suisse. Cela ne concerne que le document de l'enseignant, jamais les données des élèves. Ce n'est pas un argument marketing plaqué : c'est l'architecture du produit, construite par un enseignant qui devait lui-même répondre à sa direction.
Pour les directions : cette checklist fonctionne pour n'importe quel outil numérique, pas seulement les quiz. La faire remplir par l'éditeur avant le déploiement évite les mauvaises surprises, et les courriers de parents.
Sources (consultées le 29.07.2026) : trust.kahoot.com (privacy policy, sub-processors) et kahoot.com/press (rachat 2024) · wayground.com/privacy · help.socrative.com (« Where Socrative stores your data », « EU-U.S. Data Privacy Framework ») · quizlet.com/privacy · blooket.com/privacy · wooclap.com/en/trust-center · CJUE : arrêts Schrems I (C-362/14, 2015) et Schrems II (C-311/18, 2020).