Rôles et responsabilités RGPD

Qui est responsable de quoi lors de l'utilisation d'Outils Pour La Classe

Version 2.0 du 17/07/2026 — remplace l'« Accord de sous-traitance (DPA) » v1.0

À l'attention des directeurs d'école et des DPO académiques : cette page décrit la répartition réelle des responsabilités RGPD. Outils Pour La Classe assume la qualité de responsable de traitement : il n'y a donc pas d'accord de sous-traitance (article 28) à signer avec l'établissement. Les documents de référence à consulter sont le registre des traitements, l'analyse d'impact (AIPD), la politique de confidentialité et la fiche d'information aux parents.

1. Pourquoi Outils Pour La Classe est responsable de traitement

Le RGPD qualifie de responsable de traitement l'acteur qui détermine les finalités et les moyens du traitement (art. 4.7). C'est le cas d'Outils Pour La Classe :

l'inscription est individuelle : chaque enseignant crée son compte librement, sans contrat entre OPLC et une école ;
c'est OPLC qui définit quelles données sont collectées (minimisation : prénom seul obligatoire pour un élève), combien de temps elles sont conservées (purges automatiques) et avec quels moyens elles sont traitées (hébergement en France, chiffrement, code applicatif) ;
la plateforme est aussi utilisée hors cadre scolaire strict (instruction en famille, parents, périscolaire), où aucune école n'existe pour endosser le rôle de responsable.

Note de transparence : jusqu'au 17/07/2026, un modèle d'« accord de sous-traitance » présentait l'école comme responsable de traitement et OPLC comme sous-traitant. Cette présentation ne correspondait pas à la réalité (aucune école ne contracte, aucun accord n'a jamais été signé) ; elle a été retirée et remplacée par la présente page.

2. Répartition des responsabilités

Outils Pour La Classe — responsable de traitement Boisnel Anthony Artiste-auteur (régime micro-BNC)
contact@outilspourlaclasse.fr — outilspourlaclasse.fr
Référent protection des données : Boisnel Anthony
(pas de DPO désigné — structure unipersonnelle, cf. AIPD §4.3)

L'enseignant — utilisateur avec obligations propres L'enseignant n'est ni responsable de traitement de la plateforme, ni sous-traitant d'OPLC. Il reste responsable de :
– l'exactitude des données qu'il saisit ;
– l'information des familles (fiche parents à distribuer) ;
– la pertinence pédagogique de l'usage en classe.

Obligation	Qui la porte
Base légale, minimisation, durées de conservation, sécurité (art. 5, 6, 32)	Outils Pour La Classe
Registre des traitements (art. 30), AIPD (art. 35)	Outils Pour La Classe — publics : /registre-traitements, /legal/aipd
Réponse aux demandes d'exercice des droits (art. 15 à 22)	Outils Pour La Classe (contact@outilspourlaclasse.fr), avec le concours de l'enseignant pour identifier l'élève concerné
Notification des violations de données (art. 33-34)	Outils Pour La Classe — engagement de notification aux utilisateurs concernés sous 72 h
Information des familles (art. 12-14)	Partagée : OPLC fournit la fiche d'information parents et les pages publiques ; l'enseignant s'engage à en informer les familles lors de la création de sa classe
Exactitude des données saisies (prénoms, niveaux, adaptations, vie scolaire)	L'enseignant, qui seul les connaît et les saisit

3. Ce que la plateforme traite pour les élèves

Catégorie de personnes	Données traitées
Élèves	Prénom, nom (facultatif), pseudonyme, niveau scolaire, progrès pédagogiques, préférences fonctionnelles d'adaptation (police lisible, taille de texte, lignes colorées, temps majoré — aucun diagnostic ni donnée de santé, cf. AIPD §1.3), données de vie scolaire saisies par l'enseignant (présences, suivi du comportement — motif chiffré au repos —, prêts de matériel, mots aux familles, fluence en lecture, portfolio de réussites — cf. registre, traitements n°14 à 16).
Enseignants	Email, nom, niveau enseigné, paramètres de classe.

Catégorie de personnes

Données traitées

Élèves

Prénom, nom (facultatif), pseudonyme, niveau scolaire, progrès pédagogiques, préférences fonctionnelles d'adaptation (police lisible, taille de texte, lignes colorées, temps majoré — aucun diagnostic ni donnée de santé, cf. AIPD §1.3), données de vie scolaire saisies par l'enseignant (présences, suivi du comportement — motif chiffré au repos —, prêts de matériel, mots aux familles, fluence en lecture, portfolio de réussites — cf. registre, traitements n°14 à 16).

Enseignants

Email, nom, niveau enseigné, paramètres de classe.

Les préférences d'adaptation portent des libellés fonctionnels (« confort de lecture », « cibles agrandies »…) qui décrivent le réglage appliqué, jamais un état de l'élève. Elles sont renseignées uniquement par l'enseignant et jamais transmises à des tiers. Les champs libres associés (notes pédagogiques) portent la consigne de n'y saisir aucun diagnostic ni information médicale.

4. Nos sous-traitants (art. 28)

En tant que responsable de traitement, Outils Pour La Classe recourt aux sous-traitants suivants, chacun lié par un accord de traitement des données :

Prestataire	Finalité	Localisation
O2switch	Hébergement web et base de données	France (Auvergne)
Stripe Payments Europe Ltd	Traitement des paiements (utilisateurs payants uniquement — compte enseignant, jamais de donnée d'élève)	Irlande (UE) — transfert intra-groupe vers Stripe, Inc. (États-Unis), encadré par SCCs / Data Privacy Framework EU-US
Sentry (Functional Software, Inc.)	Détection d'erreurs techniques (anonymisées)	UE (instance européenne contractuelle)
Google LLC (SSO)	Authentification « Se connecter avec Google » — donnée enseignant uniquement (openid, email, profil)	États-Unis — SCCs / Data Privacy Framework EU-US
Google LLC (Firebase Cloud Messaging)	Acheminement des notifications push — endpoint d'abonnement du compte enseignant	États-Unis — SCCs / Data Privacy Framework EU-US

Aucune donnée d'élève n'est transmise à Google ni à Stripe ni à Sentry : les données d'élèves restent hébergées en France (O2switch), sans aucun transfert hors UE. Les fonds de carte des jeux de géographie sont hébergés sur nos propres serveurs depuis juillet 2026 (aucun tiers impliqué).

5. Sécurité — mesures techniques et organisationnelles

Chiffrement TLS 1.3 sur l'ensemble des connexions (HSTS preload)
Hachage des mots de passe (bcrypt, via password_hash — standard PHP)
Authentification à deux facteurs (TOTP + WebAuthn)
Headers de sécurité conformes OWASP : CSP stricte, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
Rate limiting sur les endpoints sensibles, protection CSRF
Chiffrement applicatif au repos (AES-256-GCM) des champs les plus sensibles (motifs du carnet de comportement)
Sauvegardes chiffrées quotidiennes de la base de données, conservées en France
Tests automatisés (~32 600 tests PHPUnit) et analyse statique (PHPStan niveau 8, Psalm niveau 4)
Analyse d'impact (AIPD) tenue à jour : /legal/aipd

6. Durées de conservation

Données élèves : année scolaire en cours + 1 an, puis suppression ou anonymisation automatique. Le délai est décompté depuis la dernière utilisation effective de la classe (activité d'un élève, appel, mise à jour d'une fiche) : tant qu'une classe sert, la finalité du traitement subsiste et les données sont conservées ; l'anonymisation intervient au 1^er août qui suit la fin réelle de son utilisation.
Comptes enseignants inactifs : 3 ans, puis anonymisation automatique
Logs techniques et de sécurité : 90 jours
Données de paiement : 10 ans (obligation légale comptable)

7. Droits des personnes concernées

Les élèves (via leurs parents, pour les mineurs) et les enseignants disposent des droits prévus aux articles 15 à 22 du RGPD : accès, rectification, effacement, limitation, portabilité, opposition. Ces droits s'exercent auprès d'Outils Pour La Classe (contact@outilspourlaclasse.fr), directement ou par l'intermédiaire de l'enseignant. Réponse sous 30 jours. Réclamation possible auprès de la CNIL (cnil.fr).