Analyse d’impact et protection des données
| Éditeur et contact | Anthony Boisnel — contact@outilspourlaclasse.fr |
| Établissement et complément | 19 septembre 2026 — référence documentaire 1.2 ; complément du 11 octobre 2026 sur le mode autonome, le carnet publié, les retraits historiques et les outils collectifs directs. |
| Périmètre | Accès d’administration réservé, outils de préparation, listes locales, carnet facultatif, exercices de séance, outils collectifs directs et retrait des anciennes données ; site accessible internationalement. |
| Portée | Synthèse de l’analyse de l’éditeur ; aucune validation de la CNIL, signature d’approbation ou certification indépendante. |
| Usage | Données et finalité | Support |
|---|---|---|
| Administration et traces historiques | Identité et authentification du compte d’administration ; données restantes dans les messages de contact, journaux, pièces comptables nécessaires et autres périmètres techniques. | L’accès d’administration reste réservé à l’exploitation ; aucun compte enseignant n’est proposé. Le retrait des comptes enseignants antérieurs est constaté dans la base active le 9 octobre. Ce constat ne prouve pas l’effacement des journaux, sessions, sauvegardes, messages ou copies chez des prestataires. |
| Préparations | Cahier journal, séquences, emploi du temps, documents et sorties collectives ; textes de préparation et contacts nécessaires d’accompagnateurs adultes. | Coffre chiffré du navigateur pour les nouveaux contenus enregistrés ; certains outils publics fonctionnent seulement dans la mémoire de la page. La récupération des anciennes préparations serveur a fermé le 26 septembre 2026 ; leur purge ciblée dans la base active a été contrôlée ce jour-là. Ce constat daté ne prouve pas la disparition de toutes les copies historiques. Les exercices encore publiés dans la bibliothèque communautaire et leurs avis sont conservés jusqu’au retrait ou à la modération. Les sauvegardes techniques suivent ensuite leur propre rotation. Ne pas saisir d’appréciation individuelle, de liste d’enfants ou de donnée médicale dans les champs de préparation. |
| Listes de classe | Prénoms ou pseudonymes, placements, métiers et prêts en cours ; les listes d’organisation et le profil prénom/pseudonyme-niveau du carnet sont des périmètres distincts. | Coffre chiffré du navigateur choisi, sans synchronisation automatique. Impression locale et sauvegarde chiffrée à la demande de l’adulte. |
| Fiches et exercices | Quantités de fiches par matière et niveau ; réponses, correction et score de la séance. Des quantités de classe ne sont pas automatiquement anonymes. | Documents générés selon l’outil ; correction dans le navigateur ou dans une session temporaire serveur. Hors carnet, les réponses ne forment pas un historique durable ; le carnet facultatif conserve des résultats résumés individuels dans IndexedDB, avec une expiration choisie à l’émission (au plus 366 jours), sans prolongation au scan, et 1 000 événements maximum. |
| Outils collectifs directs | Questions, choix et compteurs collectifs ; certains modes permettent des réponses libres. Questions en direct ne demande pas de champ d’identité. Selon les autres activités, un prénom ou pseudonyme peut être utilisé et affiché pendant la partie. Un texte libre peut identifier son auteur même sans champ de nom. | État de salle temporaire sur le serveur, sans compte élève ni historique durable prévu par le service. Le texte libre est visible à l’hôte pour modération et seulement à la classe après validation. La file de modération est séparée de l’écran projeté et fermée par défaut ; une recopie intégrale de l’écran enseignant doit rester masquée. L’état expire selon le service. Les journaux HTTP de l’hébergeur restent distincts. |
| Retours pédagogiques volontaires | Profil professionnel, niveaux, verdict, page et texte libre ; formulaire sans nom ni email demandé, destiné à corriger et améliorer une ressource publique sur le fondement de l’intérêt légitime. Le texte peut toutefois contenir spontanément des données personnelles. | Retour stocké chiffré dans la base, accessible à l’administration habilitée. La rétention automatique publiée le 10 octobre vise les retours sans compte clôturés, deux ans après leur clôture. Le passage contrôlé portait sur une table vide ; les autres copies et le prochain passage automatique restent distincts. La durée des retours ouverts ou en cours n’est pas bornée et reste à décider. Les copies de sauvegarde et journaux restent distincts. |
| Exploitation et communications | Sécurité, droits, support, lettre d’information choisie, données de visite et pièces comptables nécessaires conservées selon les obligations applicables, pendant 10 ans. | Serveur, messagerie et prestataires décrits dans la politique. |
| Audience publique agrégée | Quatre totaux de visites et de pages pour le mois et l’année, issus d’AWStats. Une visite n’est pas un nombre de personnes ; aucun détail individuel n’est affiché. | Affichage à partir des seuls totaux agrégés de l’hébergeur, sans nouveau traceur dans le navigateur. Les anciens compteurs applicatifs de pages et leur règle historique de 13 mois sont distincts ; les journaux sources de l’hébergeur et leur durée restent à examiner séparément. |
Les catégories, destinataires et durées sont détaillés dans le registre des traitements et la politique de confidentialité.
Avis et bugs sans compte
Depuis le 11 octobre 2026, le formulaire facultatif d’avis et de bugs reçoit un vote, une catégorie de signalement, la page publique concernée et un commentaire éventuel, sans compte ni email demandé. Ces retours servent à corriger et améliorer le site, sur la base de l’intérêt légitime. Le commentaire est chiffré dans la base ; les retours sont accessibles à l’administration habilitée, protégée par double authentification. Les masquages ne garantissent pas l’absence de données personnelles dans un texte libre : ne mentionnez aucune personne. La règle de conservation est de six mois après l’envoi, quel que soit le statut, avec purge quotidienne prévue par lots et journal d’effacement pour le rejeu après restauration. Les sauvegardes et journaux techniques restent distincts.
L’adresse IP normalisée sert à calculer des empreintes HMAC temporaires dans une table séparée, sans lien vers un retour ; elle n’est pas enregistrée dans celui-ci. Ces empreintes restent des données pseudonymisées. Elles limitent les votes et messages, avec une échéance à la fin de l’heure ou du jour concerné et un nettoyage lors des envois et de la maintenance quotidienne. Les connexions partagées partagent les quotas. Les journaux techniques peuvent traiter l’IP séparément. Ce formulaire est distinct des retours pédagogiques clôturés depuis deux ans ; la durée maximale des retours pédagogiques ouverts reste à définir.
Complément du 11 octobre 2026 : carnet publié et outils directs
Le carnet et l’extension de badges portables ELV2 sont publiés depuis le 10 octobre 2026. L’entrée élève distingue « Jouer sans compte », qui ferme la séance de carnet avant les activités, de « Jouer avec mon badge ». Un coffre indépendant conserve sous chiffrement AES-256 des résultats résumés : activité, date, points ou nombres de réponses disponibles, réussite explicitement fournie et étape d’aventure. Réponses libres, détails d’erreur, santé, présence, classement et maîtrise inférée sont exclus. Le prénom ou pseudonyme et le niveau sont chiffrés dans le coffre ; leur présence lisible dans le QR reste un traitement distinct.
Le QR ELV2 contient l’UUID, le prénom ou pseudonyme, le niveau, l’expiration initiale, un secret d’accès, une révision et la clé publique/signature d’émission ECDSA P-256. Il ne contient ni résultat, ni identifiant de liste ou de classe, ni URL. Le profil et la date sont lisibles par qui possède le QR. La signature protège l’intégrité des champs ; elle n’authentifie pas l’identité de l’élève. Le badge imprimé est un moyen d’accès personnel à protéger contre la copie et la perte ; le pseudonyme reste possible.
L’adulte peut préparer les badges sur son PC ; un premier scan sur un autre appareil vérifie le badge puis crée un coffre vide avec une clé aléatoire propre au navigateur. Deux appareils conservent deux carnets indépendants, sans synchronisation et sans retour des résultats au PC émetteur. L’annuaire et le matériel de réédition restent chiffrés dans le coffre autonome de l’adulte ; la réédition ne lit pas le journal. Les données, secrets, enveloppes, badges et scans du module ne sont pas envoyés au serveur ou à un tiers. GET /mon-carnet charge seulement l’interface ; les pages et ressources du site ont toutefois leurs journaux techniques distincts. La caméra et le décodage sont déclenchés par un clic explicite, sans image conservée ni transférée.
Les secrets successifs de réédition proviennent d’une chaîne de hachage à sens unique ; l’empreinte persistée utilise un domaine distinct. Le premier scan fixe l’émetteur du coffre. Une nouvelle révision permet à chaque navigateur de réenvelopper sa propre clé sans modifier le journal ; ce navigateur refuse ensuite l’ancien badge et ses anciennes séances. Un navigateur qui n’a pas reçu la nouvelle révision accepte encore l’ancien badge ; un navigateur neuf ou entièrement effacé ignore les révocations précédentes. Le renouvellement ne constitue donc pas une révocation à distance de toutes les copies. Les anciens badges ELV1 ouvrent seulement un coffre déjà présent ; leur conversion en ELV2 sur le PC émetteur conserve son journal local.
Le plafond est de 1 000 résultats par carnet et 200 coffres par navigateur. L’accès expire à la date choisie à l’émission, au plus 366 jours plus tard, sans prolongation au scan. Le nettoyage des copies chiffrées expirées nécessite l’utilisation de l’interface de gestion des badges sur chaque appareil ; un navigateur fermé ne les purge pas. Ces plafonds sont des règles de conception, pas des durées légales. L’élève ou sa famille consulte le relevé, télécharge un JSON lisible non restaurable et peut effacer le coffre. Un badge ELV2 encore valide peut recréer un carnet vide après effacement, sans restaurer les résultats. Supprimer une liste ou dissocier son lien n’efface pas le carnet. La sauvegarde adulte conserve le matériel de réédition, sans transporter les résultats d’élève ; les exports lisibles restent à effacer séparément. La perte de l’appareil ou l’effacement de son stockage fait perdre ses résultats sans copie personnelle du relevé.
Le responsable scolaire établit la base légale, les habilitations, la durée effective, l’information des familles et les droits sur chaque navigateur utilisé. Le caractère local n’écarte pas le RGPD ni l’examen de la nécessité d’une AIPD pour le suivi de mineurs. Les recettes ciblées et la publication technique ne constituent ni validation juridique ou institutionnelle, ni preuve de remise de la notice dans chaque classe.
Accès aux listes et préparations locales
Le nouveau coffre autonome s’ouvre sans compte avec un mot de passe local ou son code de secours. Les contenus et les enveloppes chiffrés restent dans le navigateur ; les clés déchiffrées restent en mémoire. L’éditeur ne détient pas de secret de récupération de ce coffre. Le verrouillage retire les contenus affichés et les clés, tout en conservant la copie chiffrée. Une page laissée ouverte, un script malveillant ou un appareil compromis peuvent encore exposer les contenus. Sur un appareil partagé, utilisez votre propre session ou profil et verrouillez-le en votre absence.
Une sauvegarde autonome chiffrée se restaure avec le mot de passe ou le code de secours qui lui étaient propres à sa création. Les anciens formats gardent leurs mécanismes d’ouverture ; leur conversion est volontaire et ne supprime pas automatiquement la source. Si le mot de passe et le code de secours sont tous deux perdus, le coffre est irrécupérable ; sans sauvegarde, un code de secours ne recrée pas une copie effacée. Les fichiers déjà exportés, impressions et copies techniques ont leurs propres durées. Le fonctionnement hors connexion dépend du parcours et des ressources déjà disponibles : il n’est pas garanti pour tout le site. Consultez l’aide du coffre pour préparer et vérifier une sauvegarde.
Retraits historiques et constats datés
| Périmètre | Calendrier et limite |
|---|---|
| Ancien suivi individuel | Accès historique fermé le 26 septembre 2026. Les périmètres de suivi de la base active ont été contrôlés à zéro lors de la reprise ciblée de ce jour ; les copies et sauvegardes restent distinctes. |
| Anciennes listes, préparations et organisation | Récupération fermée le 26 septembre 2026 et purge ciblée de la base active contrôlée ce jour-là. Les copies locales, anciens coffres et comptes n’ont pas été effacés par ce seul retrait. |
| Suppression et sauvegardes | Fermeture d’un accès et suppression matérielle sont distinctes. Chaque exécution doit disposer de son constat daté. Les sauvegardes suivent leurs propres délais ; les effacements sont réappliqués avant la remise en service d’une restauration. |
Le retrait SQL des comptes enseignants antérieurs a été contrôlé le 9 octobre 2026 ; l’accès d’administration reste réservé à l’exploitation. Ce constat porte sur la base active, et non sur les journaux, sessions, messages, sauvegardes ou copies de prestataires. Les pièces comptables nécessaires suivent les obligations de conservation applicables ; ce constat n’en atteste pas l’effacement. Les droits restent applicables aux données encore conservées.
Le nettoyage ciblé des sauvegardes applicatives a été publié le 10 octobre 2026 ; l’inventaire distant de ce jour a relevé des archives chiffrées de moins de quinze jours. Ce contrôle ne valide ni leur déchiffrement, ni l’authenticité des signatures, ni une restauration complète, ni le prochain passage automatique. Les copies historiques ou externes restent à examiner séparément.
Le coffre autonome adulte fonctionne sans compte enseignant ; l’accès d’administration, la sécurité, les communications facultatives et les obligations de conservation des pièces comptables nécessaires ont leurs bases propres. L’utilisation d’un outil adulte ne justifie pas automatiquement le traitement des données des enfants. Le caractère temporaire d’une réponse d’exercice n’est pas, en lui-même, une base légale.
Le cadre scolaire détermine les finalités et la base de l’usage dans la classe. Le simple usage d’un logiciel local ne déclenche pas automatiquement un contrat de sous-traitance ; les anciennes données hébergées et toute prestation de traitement effectivement confiée s’examinent séparément. Voir les rôles et responsabilités.
- Hors carnet, pas de prénom nécessaire pour jouer ou obtenir une correction ; si le carnet est retenu, le suivi individuel reste facultatif et strictement résumé.
- Listes limitées à l’organisation, avec pseudonymes possibles, modification et effacement depuis l’appareil.
- Ancienne restitution close ; pas d’alimentation d’un nouveau fichier central de prénoms par les listes ou le carnet local.
- Information des adultes et modèle pour les familles à adapter aux usages réels. Accepter les CGU ou transférer une liste n’est pas un consentement parental.
Les demandes d’accès, rectification, effacement, limitation ou opposition sont accueillies à contact@outilspourlaclasse.fr et traitées selon les droits applicables. Pour les listes et carnets locaux, le détenteur de chaque appareil et le responsable scolaire interviennent : OPLC n’en possède pas une copie synchronisée et ne peut pas les effacer à distance. Les relevés exportés doivent être traités séparément. Une demande reçoit une réponse dans le délai légal d’un mois, avec prolongation motivée possible dans les conditions du RGPD. Une réclamation peut être adressée à la CNIL.
Pourquoi conserver une analyse d’impact ?
Le risque lié à l’ancien profilage ne se reconduit pas comme si cette fonction était encore active. Il reste toutefois des enfants parmi les utilisateurs, des réponses temporairement traitées et des données historiques à effacer. Le carnet ajoute un historique individuel local résumé. Une correction ou un score peut constituer une évaluation si la personne est identifiable : la minimisation et le stockage local ne dispensent pas d’examiner ce point.
L’analyse actuelle couvre donc ces usages et leurs risques. Elle ne revendique aucune exemption générale ; l’organisme scolaire apprécie son contexte. Les critères et la méthode sont décrits par la CNIL.
| Risque pour les personnes | Mesures et limites |
|---|---|
| Une liste visible sur un appareil partagé | Coffre autonome protégé par un secret local, verrouillage explicite et clé déchiffrée en mémoire. Le verrouillage ne supprime pas la copie chiffrée. Une page laissée ouverte, un script malveillant ou un appareil compromis reste un risque ; protégez votre session personnelle. |
| Perte ou altération des listes | Vérification de lecture et d’écriture, sauvegarde exportable et confirmation du transfert. Le stockage du navigateur n’est pas une garantie de conservation ; conserver une sauvegarde si nécessaire. |
| Accès indu à l’administration ou aux coffres adultes | Accès d’administration réservé, double authentification et contrôles d’accès ; coffre autonome protégé par un mot de passe local ou un code de secours. Les contrôles réalisés ne constituent pas une garantie contre toute attaque. Les anciens exports gardent leur mécanisme d’ouverture. |
| Compromission du site ou de l’appareil | Protections des pages et des sessions, mises à jour et contrôles de sécurité. Un script malveillant exécuté dans la page ou un appareil compromis peut exposer une liste ouverte. |
| Réapparition d’anciennes données | Anciennes fonctions fermées, purges avec preuves datées, journal d’effacement et rejeu avant remise en service d’une restauration. Les copies historiques restent à protéger jusqu’à leur disparition effective. |
| Réutilisation d’un score pour évaluer ou suivre un enfant | Hors carnet, les résultats restent limités à la séance. Le carnet facultatif conserve un historique individuel résumé : il doit être nécessaire au rappel pédagogique ou à la reprise d’aventure retenus, avec durée définie et information adaptée. Aucun classement, profilage, maîtrise inférée ou recommandation individualisée n’est prévu. La minimisation ne dispense pas d’examiner le risque d’évaluation. |
| Badge copié, profil lisible ou révocation incomplète | Prénom/pseudonyme, niveau et expiration sont lisibles dans ELV2 ; le badge contient aussi le secret d’accès. Pseudonyme possible et remise personnelle. La nouvelle révision bloque les anciens accès sur le navigateur mis à jour, mais l’ancien badge reste accepté ailleurs avant ce scan. Un navigateur neuf ignore les révocations ; l’effacement local ne détruit pas le badge. |
| Perte de résultats ou divergence entre appareils | Chaque navigateur conserve un carnet indépendant, sans remontée au PC émetteur. Le JSON lisible est une copie non restaurable. L’expiration fixe, l’effacement ou la perte de l’appareil peuvent faire perdre ses résultats ; un badge valide recrée seulement un carnet vide. |
| Donnée personnelle saisie dans un texte libre ou envoyée au support | Préparations collectives et exemples fictifs demandés. Les nouveaux textes pédagogiques des outils concernés restent locaux ; les messages envoyés volontairement au support sont reçus sur le serveur. Les textes ne sont pas automatiquement anonymisés ; les copies locales et les données reçues par le support doivent être effacées séparément. |
| Export, impression, prestataire ou durée excessive | Partage volontaire à un destinataire autorisé, sauvegarde exportée chiffrée, durées documentées. Contrats, accès fournisseurs, rétentions et exécution des purges restent suivis. |
Les risques sont réduits par ces mesures ; ils ne sont pas tous déclarés faibles. La copie locale change notamment le risque d’accès et de perte, tandis que la conservation des anciennes données demande encore des contrôles.
État actuel : l’analyse couvre le coffre autonome et le carnet publié, ainsi que les outils collectifs et retours pédagogiques décrits ci-dessus. La purge ciblée du 26 septembre et le retrait SQL des comptes enseignants du 9 octobre sont documentés dans leurs périmètres ; ils ne prouvent pas la disparition des copies restantes. Les durées maximales de certaines copies chez l’hébergeur, les garanties de prestataires et la borne de conservation des retours pédagogiques ouverts restent à constater ou à décider. Ce document n’atteste donc pas une conformité globale à 100 %.
Aucun DPO n’est formellement désigné chez OPLC. La nécessité d’une désignation doit être réévaluée selon l’article 37, en tenant compte des fonctions effectivement mises en œuvre, du contexte et de l’ampleur du suivi de mineurs ; ni le retrait de l’ancien profilage ni le caractère local du carnet ne constituent une dispense générale. Le référent reste le contact de l’éditeur.
Aucun avis indépendant ou consultation formelle des familles n’est présenté comme reçu. L’organisme utilisateur adapte l’analyse et l’information à son usage. Le changement de coffre a fait l’objet de ce réexamen documentaire. Le retrait des comptes et l’extension ELV2 ont été pris en compte dans ce complément. Les risques et mesures seront réexaminés à chaque évolution importante, sans abaisser automatiquement les risques résiduels.
Une AIPD n’est pas à transmettre automatiquement à la CNIL. Si un risque élevé subsiste malgré les mesures prévues pour un traitement poursuivi, la consultation préalable de l’article 36 doit être mise en œuvre avant ce traitement.
Sources : RGPD, articles 24, 28, 32, 35 à 37 et CNIL, protection des données dans les outils scolaires, consultés le 13 septembre 2026. Les critères AIPD/DPO et les rôles ont été revérifiés le 9 octobre 2026 auprès de la CNIL, articles 28 et 35 à 37. Les pages CNIL sur la qualification des rôles et la nécessité d’une AIPD ont été consultées pour ce complément du 11 octobre 2026.