Analyse d'Impact relative à la Protection des Données (AIPD)
| Responsable du traitement | M. Boisnel Anthony — Artiste-auteur |
| Referent protection des données | contact@outilspourlaclasse.fr |
| Traitement concerne | Plateforme pedagogique Outils Pour La Classe (outilspourlaclasse.fr) |
| Date de l'AIPD | Établie en avril 2026 |
| Version | 1.0 — Revision annuelle prevue (avril 2027) |
1.1 Vue d'ensemble du traitement
Nature : Plateforme web pedagogique SaaS destinee aux enseignants du primaire (CP-CM2) et a leurs élèves (5-11 ans).
Perimetre : France metropolitaine et DOM-TOM, etablissements scolaires publics et prives.
Fonctionnalites :
- Generation de fiches d'exercices PDF personnalisees et différenciées
- Entrainement interactif en ligne avec adaptation au niveau de l'élève
- Suivi de la progression pedagogique par l'enseignant
- Activites multijoueur cooperatives et competitives (boss fight, arena, course)
- Outils de classe (timer, roue aleatoire, tirage au sort, emploi du temps)
1.2 Donnees a caractère personnel traitees
| Categorie | Donnees | Caractere |
|---|---|---|
| Enseignant — identite | Email, prénom, nom, ecole, niveau principal | Ordinaire |
| Enseignant — authentification | Mot de passe (hache bcrypt), 2FA optionnel | Ordinaire |
| Enseignant — paiement | Donnees bancaires (traitees par Stripe, non stockees) | Ordinaire |
| Élève — identite | Prenom (obligatoire), nom de famille (optionnel) | Ordinaire |
| Élève — authentification | Mot de passe personnel (hache bcrypt, min. 4 caractères) | Ordinaire |
| Élève — pedagogique | Scores, temps, progression, niveaux, exercices realises | Ordinaire |
| Élève — adaptations pédagogiques | Préférences fonctionnelles d'adaptation de l'interface (7 cases à cocher : confort de lecture, aides visuelles en maths, cibles agrandies, interface épurée, routine prévisible, aide visuelle renforcée, alternative audio) + police, taille de texte, contrastes. Aucun diagnostic, trouble ni donnée de santé n'est enregistré (cf. 1.3). Cases optionnelles, renseignées uniquement par l'enseignant. | Ordinaire — vigilance (une préférence peut indirectement suggérer un besoin particulier) |
| Élève — vie scolaire | Présences (statut matin/après-midi, cantine), suivi du comportement (couleur du jour, motif en texte libre chiffré au repos AES-256-GCM), prêts de matériel, mots aux familles, fluence en lecture (MCLM), portfolio de l'élève (journal hebdomadaire, réussites, productions — contenu chiffré au repos AES-256-GCM). Saisies uniquement par l'enseignant (cf. registre, traitements n°14 à 16). | Ordinaire — vigilance (comportement = donnée disciplinaire d'un mineur) |
| Élève — ressenti (météo des émotions) | Meteo du jour declaree par l'élève (5 valeurs symboliques : soleil → orage), date. Aucun texte libre. Purge automatique a 60 jours. | Vigilance renforcee (ressenti declaratif d'un mineur, hors Art. 9) |
1.3 Adaptations pédagogiques : absence de données de santé (frontière Art. 9)
Choix de conception (mis en œuvre le 17/07/2026) : la plateforme ne stocke aucun diagnostic, aucun nom de trouble, aucune donnée de santé. Ce qui est enregistré, ce sont des préférences fonctionnelles d'affichage et d'usage : « confort de lecture » (police adaptée, texte aéré), « aides visuelles en maths », « cibles agrandies », « interface épurée », « routine prévisible », « aide visuelle renforcée », « alternative audio ». Ces libellés décrivent ce que fait l'adaptation, jamais un état de l'élève — dans le formulaire enseignant, dans les exports, dans les rapports PDF et dans le code des pages.
Finalité : adapter les exercices (police OpenDyslexic, règle de lecture, surlignage syllabique, consignes simplifiées), dans l'esprit des aménagements prévus par la loi du 11 février 2005 et la circulaire n°2015-129 sur les PAP — sans que la plateforme ait besoin de connaître la raison de l'adaptation.
Base légale : intérêt légitime éducatif (Art. 6.1.f) — comme les autres adaptations au niveau de l'élève. L'article 9 n'est pas mobilisé : aucune catégorie particulière de données n'est traitée. Une préférence d'affichage peut tout au plus suggérer indirectement un besoin, c'est pourquoi les garanties ci-dessous sont maintenues au niveau qui était celui des données sensibles.
Garanties maintenues :
- Preferences facultatives — l'enseignant n'est pas oblige de les renseigner
- Renseignees uniquement par l'enseignant (jamais par l'élève ni un tiers)
- Jamais exposees aux parents d'autres élèves ni dans les API publiques ; l'élève voit uniquement des libellés fonctionnels (« Mes adaptations : confort de lecture »)
- Accessibles uniquement par l'enseignant proprietaire de la classe (vérification cote serveur)
- Non transmises aux sous-traitants (Stripe, Sentry n'y ont pas accès)
- Les parents peuvent demander la suppression de ces préférences a tout moment via l'enseignant ou contact@outilspourlaclasse.fr
Risque résiduel — champs de texte libre : les zones « notes » restent des champs libres où un enseignant pourrait saisir une information médicale malgré la consigne affichée (« ne saisissez pas de diagnostic ni d'information médicale »). Une telle saisie serait contraire aux CGU ; elle est effaçable à tout moment et supprimée sur demande. Aucun champ de la plateforme n'invite à saisir un diagnostic.
1.4 Personnes concernees
- Enseignants : ~450 comptes actifs (adultes majeurs)
- Élèves : ~5 000 profils (mineurs de 5 a 11 ans — catégorie vulnérable)
1.5 Destinataires des données
| Destinataire | Acces | Localisation | Garanties |
|---|---|---|---|
| Enseignant proprietaire | Donnees de ses propres élèves uniquement | - | Authentification + vérification de propriete |
| o2switch SARL (hebergeur) | Donnees stockees | France | RGPD conforme, datacenter français |
| Stripe Payments Europe Ltd (paiement) | Donnees bancaires enseignant | Irlande (UE) — transfert intra-groupe vers Stripe, Inc. (USA) | DPA, SCCs, Data Privacy Framework EU-US, PCI-DSS |
| Sentry (monitoring) | Erreurs techniques anonymisees | UE | DPA, pas de données personnelles identifiantes |
Note : le destinataire CARTO (fonds de carte des jeux de géographie, adresse IP transmise au chargement des tuiles) a été supprimé le 12/07/2026 — les fonds de carte sont désormais self-hostés, aucune donnée ne sort vers un tiers pour cette fonctionnalité.
1.6 Supports des données
- Logiciel : Application PHP 8.3, base MySQL/MariaDB
- Materiel : Serveur mutualise o2switch (Clermont-Ferrand, France)
- Canaux : HTTPS (TLS 1.2+), API REST, Server-Sent Events
2.1 Finalites du traitement
| Finalite | Base legale | Conformité |
|---|---|---|
| Fournir le service pedagogique (exercices, suivi) | Execution du contrat (Art. 6.1.b) | Conforme |
| Adapter les exercices au niveau de l'élève | Interet legitime educatif (Art. 6.1.f) | Conforme |
| Adapter l'affichage et l'ergonomie (préférences d'adaptation) | Interet legitime educatif (Art. 6.1.f — cf. section 1.3 : aucune donnée de santé traitée) | Conforme |
| Securiser les comptes (mot de passe, 2FA) | Interet legitime sécurité (Art. 6.1.f) | Conforme |
| Facturation et obligations comptables | Obligation legale (Art. 6.1.c) | Conforme |
2.2 Profilage pedagogique (Article 22)
Description : La plateforme utilise trois mecanismes d'adaptation automatique :
- Adaptation du niveau de difficulte : Apres chaque exercice, le systeme ajuste la difficulte (facile/moyen/difficile) en fonction du score obtenu. Algorithme deterministe : score >80% = difficulte augmente, score <40% = difficulte diminue.
- Recommandation d'exercices : Suggestion d'exercices cibles sur les lacunes detectees (ex : un élève faible en multiplication recevra plus d'exercices de multiplication).
- Repetition espacee : Algorithme SM-2 qui planifie les revisions au moment optimal pour la memorisation a long terme.
Ce profilage ne produit AUCUN :
- Effet juridique sur l'élève
- Classement, note ou appreciation transmise a un tiers
- Decision d'orientation scolaire
- Publicite ou sollicitation commerciale
Droit d'opposition : Les parents ou l'enseignant peuvent demander la desactivation de l'adaptation automatique pour un élève. L'élève utilisera alors le niveau par defaut de sa classe. Contact : contact@outilspourlaclasse.fr.
2.3 Minimisation des données
Donnees facultatives (renseignees uniquement si l'enseignant le decide) : nom de famille, surnom, genre, photo (avatar), préférences d'adaptation pédagogique (libellés fonctionnels, cf. 1.3), notes pedagogiques.
Donnees JAMAIS collectees : email élève, adresse postale, telephone, geolocalisation, données biometriques, données parentales.
2.4 Qualite et exactitude des données
L'enseignant peut modifier les informations de ses élèves a tout moment. L'élève peut changer son mot de passe.
2.5 Durees de conservation
| Donnee | Duree | Mecanisme |
|---|---|---|
| Comptes enseignant | 3 ans après dernière connexion | Anonymisation automatique (cron quotidien) |
| Profils élèves | Annee scolaire + 1 an, decomptee depuis la derniere utilisation effective de la classe | Suppression par l'enseignant ou purge auto. Une classe encore utilisee est epargnee : l'anonymisation etant irreversible, elle n'est declenchee qu'apres 12 mois sans aucune activite (activite d'un eleve, appel, mise a jour d'une fiche). |
| Donnees de facturation | 10 ans | Obligation legale (Code du commerce) |
| Consentements RGPD | 5 ans | Purge automatique (cron quotidien) |
| Logs de sécurité | 90 jours | Purge automatique (cron quotidien) |
| Météo des émotions (ressenti élève) | 60 jours | Purge automatique (cron quotidien) |
| Cookies de session | Fermeture navigateur ; expiration serveur après 4h d'inactivité, 8h maximum | Expiration automatique |
2.6 Information des personnes
| Public | Moyen d'information | Statut |
|---|---|---|
| Enseignants | CGU + Politique de confidentialite (acceptees a l'inscription) | OK |
| Parents | Fiche d'information RGPD imprimable (distribuee par l'enseignant) | OK |
| Élèves | Interface simplifiee adaptee a l'age | OK |
2.6bis Utilisation de l'intelligence artificielle
Perimetre : Le code source du site et les contenus pedagogiques (exercices, dictées, problèmes, leçons, quiz, questions des jeux) sont generes avec l'aide d'IA generative (ex : Claude d'Anthropic), en amont et hors-ligne, sous direction et validation d'un enseignant du primaire.
Aucun appel a une IA externe au runtime : lorsque le site est utilise par un élève, aucune donnée personnelle (prénom, classe, score, reponse) n'est transmise a un service d'IA externe (OpenAI, Anthropic, Google, etc.). Tous les traitements s'executent sur les serveurs OPLC en France (O2switch).
Adaptation pedagogique : les algorithmes d'adaptation de difficulte et de repetition espacee sont des algorithmes deterministes (cf. section 2.2), pas des modèles d'IA generative.
Validation humaine : chaque contenu produit par IA est relu et corrige par l'enseignant avant publication. Un canal de signalement d'erreur est ouvert (contact@outilspourlaclasse.fr) et les corrections sont apportees rapidement.
Pas d'évaluation par IA : conformement aux recommandations CNIL (fiche "Enseignant : usage d'un systeme d'IA"), aucune note, aucun bulletin et aucune decision pedagogique decisive ne sont produits par une IA. L'évaluation reste une decision exclusive de l'enseignant.
Cadre : CNIL (fiche enseignants), Reglement IA europeen (AI Act 2024/1689) — anticipation des obligations de transparence applicables aux systemes a risque limite.
2.7 Consentement et exercice des droits
| Droit | Implementation | Statut |
|---|---|---|
| Acces (Art. 15) | Export JSON depuis Mon Compte | OK |
| Rectification (Art. 16) | Modification profil, edition élève par l'enseignant | OK |
| Effacement (Art. 17) | Suppression compte + saisie "SUPPRIMER" + mot de passe | OK |
| Portabilite (Art. 20) | Export JSON structure (profil, classes, résultats) | OK |
| Opposition (Art. 21) | Contact du referent protection des données, retrait consentement newsletter/analytics | OK |
| Consentement parental (Art. 8) | Case attestation création classe + fiche parents imprimable | OK |
Échelle de gravite : 1 = Negligeable, 2 = Limitee, 3 = Importante, 4 = Maximale
Échelle de vraisemblance : 1 = Negligeable, 2 = Limitee, 3 = Importante, 4 = Maximale
3.1 Acces illegitime aux données
| Evenement redoute | Impacts | Sources de risque | Gravite | Vraisemblance | Mesures existantes |
|---|---|---|---|---|---|
| Un tiers accede aux données des élèves | Atteinte a la vie privee des mineurs, exposition des préférences d'adaptation | Attaquant externe, élève curieux, parent malveillant | 2 | 1 | Mot de passe élève (bcrypt), isolation par classe, sessions securisees, rate limiting, CSRF, CSP |
| Un élève accede au compte d'un camarade | Modification des résultats, atteinte a l'egalite | Élève de la même classe | 1 | 1 | Mot de passe personnel obligatoire, reset par l'enseignant |
| Vol de la base de données | Exposition prénoms + scores + préférences d'adaptation | Attaquant externe | 2 | 1 | Mots de passe haches (bcrypt), hebergement securise France, pas de données directement identifiantes (pas de nom obligatoire, pas d'email élève) |
Risque residuel : FAIBLE
3.2 Modification non desiree des données
| Evenement redoute | Impacts | Sources de risque | Gravite | Vraisemblance | Mesures existantes |
|---|---|---|---|---|---|
| Modification des résultats d'un élève | Faussement du suivi pedagogique | Élève, bug logiciel | 1 | 1 | Seul l'enseignant peut supprimer des résultats, transactions DB, 35 667 tests automatises |
| Injection SQL modifiant les données | Corruption de la base de données | Attaquant externe | 2 | 1 | Requetes préparées (PDO) exclusivement, PHPStan level 8, audit OWASP |
Risque residuel : FAIBLE
3.3 Disparition des données
| Evenement redoute | Impacts | Sources de risque | Gravite | Vraisemblance | Mesures existantes |
|---|---|---|---|---|---|
| Perte de la base de données | Perte du suivi pedagogique | Panne serveur, erreur humaine | 2 | 1 | Sauvegardes quotidiennes (o2switch), replication MySQL |
| Suppression accidentelle par l'enseignant | Perte des résultats d'un élève | Erreur de manipulation | 1 | 1 | Confirmation obligatoire avant suppression, soft delete avec anonymisation |
Risque residuel : FAIBLE
4.1 Cartographie des risques
| Risque | Gravite | Vraisemblance | Niveau |
|---|---|---|---|
| Acces illegitime (tiers externe) | 2 — Limitee | 1 — Negligeable | Faible |
| Acces illegitime (élève/camarade) | 1 — Negligeable | 1 — Negligeable | Faible |
| Vol de base de données | 2 — Limitee | 1 — Negligeable | Faible |
| Modification non desiree (résultats) | 1 — Negligeable | 1 — Negligeable | Faible |
| Injection SQL | 2 — Limitee | 1 — Negligeable | Faible |
| Perte base de données | 2 — Limitee | 1 — Negligeable | Faible |
| Suppression accidentelle | 1 — Negligeable | 1 — Negligeable | Faible |
4.2 Plan d'action
| Action | Responsable | Echeance | Statut |
|---|---|---|---|
| Mise en place du mot de passe élève | Developpeur | Avril 2026 | Fait |
| Fiche d'information parents imprimable | Developpeur | Avril 2026 | Fait |
| Case consentement RGPD création de classe | Developpeur | Avril 2026 | Fait |
| Purge automatique des comptes inactifs | Systeme (cron) | En production | Fait |
| DPA Stripe et Sentry | Responsable traitement | Avril 2026 | Fait |
| Revision annuelle de l'AIPD | Responsable traitement | Avril 2027 | A faire |
4.3 Note sur le referent protection des données
Aucun délégué à la protection des données (DPO) n'est formellement désigné au sens de l'article 37 du RGPD. Cette situation s'explique par :
- L'absence d'obligation legale de designer un DPO pour une structure de cette taille (Art. 37.1 RGPD — la designation est obligatoire uniquement pour les autorites publiques ou les traitements a grande échelle et systematique)
- La recommandation de la CNIL de ne pas faire cumuler la fonction de DPO avec celle de responsable du traitement, afin de préserver l'indépendance du DPO. Dans une structure unipersonnelle, ce cumul serait inévitable : c'est précisément pourquoi aucun DPO n'est désigné, plutôt que de désigner un DPO dépourvu d'indépendance réelle
M. Boisnel Anthony agit comme referent protection des données — point de contact pour l'exercice des droits (dpo@outilspourlaclasse.fr / contact@outilspourlaclasse.fr) — sans revendiquer la qualité de DPO désigné. Si la structure venait a croitre significativement, un DPO externe independant serait designe.
4.4 Avis du responsable du traitement
Au regard de l'analyse ci-dessus, je considere que :
- Les finalites du traitement sont determinees, explicites et legitimes
- Le principe de minimisation est strictement respecte (prénom seul obligatoire pour les élèves)
- Aucune donnée de santé n'est collectee par conception — les adaptations reposent sur des préférences fonctionnelles (cf. 1.3), entourees de garanties renforcees
- Le profilage pedagogique est proportionnne, sans effet juridique, avec droit d'opposition effectif
- Les mesures de sécurité techniques sont conformes a l'etat de l'art
- Les risques residuels sont acceptables (tous evalues "Faible")
- Les droits des personnes concernees sont implementes et exercables
- Les parents sont informes conformement a l'article 8 du RGPD
Decision : le traitement peut etre mis en oeuvre.
Document établi en avril 2026 par M. Boisnel Anthony, responsable du traitement et referent protection des données. La version de référence est conservée dans l'historique du dépôt de code du projet, qui fait foi pour l'antériorité des versions successives.