Confidentialité & RGPD

A.1. Qui est responsable ?

Responsable des traitements décrits aux sections 3 à 5 : Ludivine ABROUSSE, Entrepreneur individuel (EI), exerçant sous le nom commercial Prof&Pratique – Teacher Time Saver, 98 rue La Fayette, 75010 Paris, France — contact : profetpratique@gmail.com.

Prof&Pratique n’est pas tenu de désigner un délégué à la protection des données ; toutes les demandes relatives aux données personnelles sont traitées à l’adresse ci-dessus.

Pour les données concernant des élèves que les enseignants enregistrent dans le Planner, Prof&Pratique n’est pas responsable de traitement mais sous-traitant (section 6).

A.2. Nos engagements

• Nous collectons le minimum de données nécessaire.
• Aucune donnée n’est vendue, louée ni utilisée à des fins publicitaires ; aucun profilage ; aucune intelligence artificielle n’analyse vos contenus.
• Aucun traceur publicitaire ou de mesure d’audience (voir la politique de cookies).
• L’application et ses données sont prévues chez un hébergeur français, o2switch, dont les infrastructures sont situées en France.

A.3. Visiteurs du site

Messages envoyés par e-mail. Si vous nous écrivez, nous traitons votre adresse et le contenu du message pour vous répondre (intérêt légitime ; mesures précontractuelles le cas échéant). La messagerie de contact est un compte Gmail (Google Ireland Limited / Google LLC) : les messages peuvent être transférés aux États-Unis, dans le cadre du cadre de protection des données UE–États-Unis (Data Privacy Framework). Durée : 3 ans après le dernier échange.

Rétractation en ligne. Les informations saisies dans la fonction « Renoncer au contrat ici » (nom, prénom, adresse e-mail, référence de commande, date et heure) servent à traiter votre rétractation et à prouver son traitement (obligation légale, article 6.1.c). Durée : 3 ans, puis 5 ans en archive en cas de litige.

A.4. Clients de la boutique (ressources PDF et licences)

Pas de prospection commerciale sans votre accord ; si vous êtes déjà client, vous pouvez recevoir des informations sur des produits analogues, avec la possibilité de vous y opposer simplement à tout moment (article L. 34-5 du code des postes et des communications électroniques).

A.5. Utilisateurs de l’application Planner

Le contenu de votre planner (cours, séquences, tâches, documents…) est traité pour vous fournir le service ; lorsqu’il concerne des élèves, voir la section suivante.

A.6. Données concernant des élèves

Le Planner permet à l’enseignant d’enregistrer des informations sur ses élèves : nom et prénom, classe et groupe, notes et moyennes, observations pédagogiques, suivi, rendez-vous avec les familles, éléments de préparation des conseils de classe. Ces données concernent des mineurs et appellent une vigilance particulière.

Qui est responsable ?

• Lorsque l’enseignant utilise le Planner pour l’exercice de ses fonctions, les traitements de données d’élèves relèvent en principe de l’établissement, responsable des traitements mis en œuvre pour ses missions (pour un établissement public : le chef d’établissement ; pour un établissement privé : l’organisme qui le gère). L’enseignant agit sous son autorité et doit être autorisé à utiliser cet outil.
• Si l’enseignant utilise l’outil de sa propre initiative, en dehors de tout cadre défini par l’établissement, il peut être regardé comme déterminant lui-même les finalités et les moyens du traitement, et en assumer les obligations. Cette qualification dépend de chaque situation ; Prof&Pratique ne la présume pas.
• Prof&Pratique traite ces données uniquement pour le compte et sur instruction du responsable, en qualité de sous-traitant (article 28 du RGPD), dans les conditions de l’accord de traitement des données. o2switch intervient comme sous-traitant ultérieur (hébergement en France).

Base légale et information

Il appartient au responsable de traitement de déterminer la base légale (en principe la mission d’intérêt public de l’établissement), de tenir son registre, de réaliser si nécessaire une analyse d’impact (AIPD) et d’informer les élèves et leurs représentants légaux. Prof&Pratique l’assiste sur demande et fournit la documentation utile.

Données sensibles : interdites

La saisie de données de santé, relatives au handicap ou autres données sensibles (article 9 du RGPD) est interdite dans le Planner : l’Application n’offre pas les garanties requises pour ces données (notamment une analyse d’impact et, le cas échéant, un hébergement certifié pour les données de santé). Seules peuvent être notées, si l’établissement l’autorise, les adaptations pédagogiques à mettre en œuvre, sans leur cause médicale. Voir l’article 7 des conditions d’utilisation.

Durées

Les données d’élèves sont conservées dans l’espace de l’enseignant tant qu’il le décide, au plus jusqu’à la suppression de son compte (section 9). L’Application propose un archivage par année scolaire ; il est recommandé de supprimer les données des anciens élèves dès qu’elles ne sont plus utiles.

A.7. Sécurité

Mesures effectivement en place et vérifiées par des tests avec des comptes fictifs :

• connexion chiffrée (HTTPS imposé, en-tête HSTS) ;
• comptes individuels ; mots de passe hachés (algorithme bcrypt), jamais stockés en clair ;
• limitation automatique des tentatives de connexion, de création de compte et de réinitialisation ;
• cookie de session protégé (HttpOnly, SameSite, Secure), identifiant renouvelé à chaque connexion, session invalidée à la déconnexion ;
• contrôle d’accès côté serveur : chaque requête ne lit et n’écrit que les données du compte connecté ; les requêtes provenant d’autres sites sont refusées ;
• requêtes à la base de données paramétrées (protection contre l’injection SQL) ; affichage des contenus neutralisé (protection contre l’injection de code) ;
• dossiers privés (fichiers joints, sessions, configuration) inaccessibles depuis le web ; documents joints servis uniquement après vérification du compte ;
• sauvegardes automatiques hebdomadaires du planner de chaque utilisateur, restaurables ; export complet à tout moment ;
• suppression automatique des comptes arrivés à échéance depuis plus de 12 mois.

Les données ne sont pas chiffrées individuellement dans la base de données : elles sont protégées par les contrôles d’accès et la sécurité de l’hébergement. Aucun dispositif ne garantit une sécurité absolue.

A.8. Hébergement et transferts hors de l’Union européenne

Les données d’élèves enregistrées dans le Planner ne sont transmises à aucun de ces prestataires, à l’exception de l’hébergeur o2switch. Lorsqu’un transfert hors de l’Union européenne a lieu (paiement, messagerie), il repose sur une décision d’adéquation ou des clauses contractuelles types de la Commission européenne.

A.9. Durées de conservation et suppression

Une copie peut subsister dans les sauvegardes de l’hébergeur jusqu’à leur rotation.

A.10. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition (pour les traitements fondés sur l’intérêt légitime), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Dans l’Application, vous pouvez vous-même consulter, corriger, exporter et supprimer vos données.

Pour exercer vos droits : profetpratique@gmail.com, en précisant l’adresse e-mail de votre compte. Une réponse vous est apportée dans un délai d’un mois (prolongeable de deux mois si nécessaire). Une pièce justificative ne peut être demandée qu’en cas de doute raisonnable sur votre identité.

Élèves et familles : pour les données enregistrées par un enseignant, adressez-vous à l’établissement, responsable du traitement ; Prof&Pratique transmet sans délai toute demande reçue et assiste l’établissement pour y répondre.

Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

A.11. Mineurs

Le site et l’Application s’adressent aux enseignants. Ils ne sont pas destinés aux élèves, qui ne doivent pas y créer de compte.

A.12. Signaler un incident

Si vous constatez un accès anormal à votre compte, une perte de données ou toute faille de sécurité, écrivez immédiatement à profetpratique@gmail.com avec l’objet « Incident de sécurité ». Prof&Pratique documente chaque incident et procède aux notifications prévues par la loi.

B.1. Le principe

Un cookie ou traceur est une information enregistrée sur votre appareil lors de la consultation d’un site. Les traceurs qui ne sont pas strictement nécessaires au service demandé exigent votre consentement préalable (article 82 de la loi Informatique et Libertés).

Prof&Pratique n’utilise aucun traceur soumis au consentement : ni mesure d’audience, ni publicité, ni réseau social, ni police de caractères ou vidéo hébergée par un tiers. C’est pourquoi aucun bandeau de consentement n’est affiché. Si cela devait changer, un outil de consentement permettant de refuser aussi simplement que d’accepter serait mis en place avant tout dépôt.

B.2. Traceurs utilisés

Ces éléments sont strictement nécessaires au fonctionnement demandé : ils sont exemptés de consentement.

B.3. Services tiers

Lorsque vous cliquez sur un bouton d’achat ou de téléchargement, vous êtes dirigé vers la boutique Payhip. Les cookies déposés sur payhip.com et par les prestataires de paiement relèvent de leurs propres politiques (voir la politique de Payhip). Le site profetpratique.fr ne charge aucun contenu depuis Payhip avant ce clic.

B.4. Gérer ou supprimer

Vous pouvez supprimer les cookies et le stockage local depuis les réglages de votre navigateur. La suppression du cookie de session vous déconnecte de l’application ; la suppression du stockage local de la démonstration la réinitialise. Pour toute question : profetpratique@gmail.com.

C.1. Parties et objet

Le présent accord fait partie des conditions générales d’utilisation du Planner. Il s’applique aux données personnelles que l’utilisateur enregistre dans l’Application dans l’exercice de ses fonctions d’enseignant, notamment les données de ses élèves.

• Responsable de traitement : l’établissement pour le compte duquel l’enseignant agit (ou, selon la situation, l’enseignant lui-même), ci-après « le Responsable ». L’utilisateur qui accepte le présent accord déclare être autorisé à engager l’usage de l’Application dans ce cadre, ou agir lui-même comme responsable.
• Sous-traitant : Ludivine ABROUSSE, Entrepreneur individuel (EI), exerçant sous le nom commercial Prof&Pratique – Teacher Time Saver, 98 rue La Fayette, 75010 Paris, France, ci-après « Prof&Pratique ».

Le Responsable peut obtenir, sur simple demande à profetpratique@gmail.com, une version de cet accord à signer, ainsi que la documentation utile à son registre et à son analyse d’impact.

C.2. Description du traitement

C.3. Obligations de Prof&Pratique

Prof&Pratique s’engage à :

1. ne traiter les données que sur instruction documentée du Responsable, constituée par les présentes, les conditions d’utilisation et l’usage que l’utilisateur fait de l’Application, et à l’informer si une instruction lui paraît contraire à la réglementation ;
2. ne jamais utiliser les données à d’autres fins (pas de publicité, de profilage, de revente, ni d’entraînement d’intelligence artificielle) ;
3. garantir la confidentialité : seule l’éditrice, tenue au secret, peut accéder techniquement aux données, et uniquement pour l’assistance demandée, la sécurité ou une obligation légale ;
4. mettre en œuvre les mesures de sécurité décrites à la section 6 (article 32 du RGPD) ;
5. n’effectuer aucun transfert de ces données hors de l’Union européenne ;
6. aider le Responsable à répondre aux demandes d’exercice des droits (l’Application permet de consulter, corriger, exporter et supprimer les données) et lui transmettre sans délai toute demande reçue directement ;
7. l’aider à réaliser son analyse d’impact (AIPD) et à respecter ses obligations de sécurité, en fournissant les informations nécessaires ;
8. notifier toute violation de données au Responsable, par l’intermédiaire de l’utilisateur, dans un délai maximal de 48 heures après en avoir eu connaissance, avec les informations utiles à une notification à la CNIL ;
9. mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables, sur demande écrite et dans le respect de la confidentialité des autres utilisateurs.

C.4. Sous-traitants ultérieurs

Prof&Pratique recourt à un seul sous-traitant ultérieur pour ces données : o2switch (hébergement, France), qui s’engage contractuellement à des obligations équivalentes (sites situés en France, notification des violations sous 24 heures). Tout projet de nouveau sous-traitant ultérieur est annoncé aux utilisateurs au moins 30 jours à l’avance ; le Responsable peut s’y opposer et, à défaut d’accord, mettre fin à l’utilisation avec remboursement de la période restant à courir.

C.5. Fin du traitement

À tout moment, l’utilisateur peut exporter l’ensemble des données (format Excel lisible et sauvegarde complète). À la suppression du compte, ou au plus tard 12 mois après l’échéance de la licence, Prof&Pratique supprime les données et les documents joints du serveur ; les copies résiduelles disparaissent des sauvegardes de l’hébergeur à leur rotation.

C.6. Mesures de sécurité (annexe)

Mesures techniques et organisationnelles en place, vérifiées par des tests avec des comptes fictifs :

• Accès : comptes individuels ; mots de passe d’au moins 10 caractères hachés (bcrypt) ; limitation des tentatives ; réinitialisation par lien unique valable une heure ; sessions protégées (HttpOnly, SameSite, Secure), renouvelées à la connexion, invalidées à la déconnexion.
• Cloisonnement : toutes les lectures et écritures sont filtrées côté serveur sur le compte connecté ; tests d’isolation entre comptes réussis.
• Transport : HTTPS imposé et HSTS ; requêtes provenant d’autres sites refusées.
• Applicatif : requêtes SQL paramétrées ; contenus affichés neutralisés ; types de fichiers joints limités (PDF, texte) ; dossiers privés inaccessibles depuis le web.
• Disponibilité : sauvegarde automatique hebdomadaire de chaque espace et avant toute évolution de structure ; restauration par l’utilisateur ; export complet ; sauvegardes de l’hébergeur.
• Organisation : accès administrateur limité à l’éditrice ; aucun accès pour des tiers ; procédure de gestion des incidents (constat, confinement, évaluation, notification, correction, documentation).

Limites connues, communiquées en transparence : pas de chiffrement individuel des données dans la base ; pas de double authentification à ce jour ; le changement de mot de passe ne déconnecte pas encore les autres appareils.