Rôles et responsabilités RGPD

Qui est responsable de quoi lors de l'utilisation d'Outils Pour La Classe

Version 2.2 du 11/10/2026 — information publique, sans valeur d'accord signé

À l'attention des organismes utilisateurs, des équipes de direction et de leurs DPO : les rôles dépendent de chaque traitement et de son organisation effective. L’utilisation du service par un enseignant ne remplace ni le cadre institutionnel de l'usage scolaire, ni un accord de sous-traitance lorsqu'il est requis. Consultez le registre des traitements, la politique de confidentialité et le modèle d'information aux familles.

Espace enseignant autonome : le coffre local permet de travailler sans compte, avec un mot de passe local et un code de secours indépendant. Les contenus et les enveloppes de clés restent sur l’appareil ; les clés déchiffrées restent en mémoire jusqu’au verrouillage. Les sauvegardes portables s’ouvrent avec l’un des deux secrets. Le mot de passe et la conservation du code de secours sont confirmés lors de la création du coffre. Aucun secret n’est confié à l’éditeur, qui ne peut pas le récupérer. Les anciens comptes et sauvegardes restent distincts ; migration seulement sur demande explicite.

1. Des responsabilités à distinguer selon les traitements

OutilsPourLaClasse est un service national. Les obligations propres de l'éditeur concernent l'ensemble du service ; le cadre de chaque usage scolaire dépend de l'organisme responsable et du périmètre qu'il décide. Le DPO d'un organisme conseille celui-ci : il ne valide pas le site pour tous les utilisateurs et ne devient pas automatiquement le DPO de l'éditeur.

Le responsable du traitement détermine ses finalités et ses moyens essentiels (art. 4.7). Le sous-traitant agit pour son compte, sur instructions documentées. La qualification dépend des faits :

Gestion propre du service : OPLC détermine les finalités de l’accès d’administration réservé, de la sécurité, des communications, des retours pédagogiques volontaires et des obligations de conservation des pièces comptables nécessaires. Le formulaire facultatif de retour demande un profil professionnel, des niveaux, un verdict, une page et un texte libre, sans demander de nom ou d’email. Il sert à corriger et améliorer les ressources sur le fondement de l’intérêt légitime. Ne transmettez aucune donnée d’élève ; les filtres ne garantissent pas qu’un texte libre ne contienne aucune donnée personnelle. L’administration habilitée accède au retour, dont le texte est chiffré. La règle de purge des retours de ce formulaire sans compte vise deux ans après clôture ; son réglage est activé depuis le 10 octobre, mais le passage contrôlé portait sur une table vide et le prochain passage automatique n’a pas encore été constaté. Les retours encore ouverts n’ont pas de durée maximale définie. La création de comptes enseignants n’est plus proposée ; le compte d’administration n’est pas un compte public d’usage pédagogique. Les comptes enseignants antérieurs ont été retirés de la base active le 9 octobre 2026. Ce constat ne couvre pas à lui seul les journaux, messages, sauvegardes ou copies chez des prestataires.
Usage scolaire local : l'autorité responsable doit être identifiée avec l'institution lorsque des listes ou un carnet individuel sont utilisés. Pour le carnet publié, aucune donnée, secret, contenu chiffré, badge ou scan ne transite sur Internet ; GET /mon-carnet charge l’interface. L’adulte prépare et réédite les badges sans recevoir les résultats ; ceux-ci restent dans IndexedDB et sont consultables, téléchargeables en JSON lisible ou effaçables localement par l’élève ou sa famille. Ce relevé JSON ne restaure pas le coffre. La suppression d’une liste ou la dissociation du lien classe-élève n’efface donc pas le coffre, un badge ELV2 renouvelé invalide l’ancien accès sur chaque navigateur après le scan de sa nouvelle révision, sans supprimer les résultats, et le relevé téléchargé doit être effacé séparément. OPLC fournit le logiciel sans recevoir le carnet, sous réserve de la qualification fondée sur les faits et du cadre établi avec l’institution ; cela ne constitue pas une dispense générale. Les journaux techniques de distribution des pages/assets et les autres services hébergés restent séparés.
Prestation pour l'institution : si OPLC traite les données pour son compte et sur ses instructions, un accord conforme à l'article 28 doit encadrer la prestation. Si les finalités et moyens essentiels sont déterminés conjointement, l'article 26 doit être examiné. Aucun de ces accords n'est établi par la seule présence de cette page.
Autres usages : instruction en famille, périscolaire et usages personnels nécessitent une qualification adaptée à leur organisation.

Les outils collectifs directs fonctionnent sans compte élève. Questions en direct ne demande pas de champ d’identité ; une réponse libre peut néanmoins en révéler une. Selon les autres activités, un prénom ou pseudonyme peut être utilisé et affiché pendant la partie. Selon le mode, les réponses et les compteurs sont conservés temporairement dans l’état de la salle sur le serveur ; les textes libres peuvent contenir spontanément une information identifiante. L’hôte les modère avant qu’ils soient montrés à la classe. Lorsqu’il projette l’écran, la file privée de modération reste masquée et fermée par défaut ; la recopie intégrale de l’écran enseignant doit rester hors de vue de la classe. L’état de salle expire selon le service utilisé. Les journaux de l’hébergeur et leurs durées restent à examiner séparément.

Un cadre adapté à l’usage réel : utilisez le cadre prévu par votre organisme. Le seul usage d’une liste ou d’un carnet local ne déclenche pas automatiquement un contrat de sous-traitance avec OPLC ni une nouvelle demande d’accord rectoral. Pour le carnet, cette appréciation suppose que l’absence de tout flux de badge ou contenu soit vérifiée dans la version livrée ; les données effectivement confiées au serveur, les anciennes données et toute assistance donnant accès aux coffres s’examinent séparément. Si le cadre est incertain, la direction et le circuit de protection des données de l’organisme permettent de le préciser. L’utilisation du service par un enseignant ne vaut pas habilitation à engager l’institution.

2. Répartition des responsabilités

Préparer l’usage dans l’école

La direction et le circuit de protection des données de l’organisme précisent le responsable, la base légale, les fonctions utilisées et le rattachement au registre institutionnel. Le registre de l’éditeur ne remplace pas celui de l’organisme scolaire. Si le traitement est déjà couvert, référencez ce cadre sans créer de doublon.

Dans les écoles publiques du Nord, la note DSDEN59 n°2022-81 du 13 octobre 2022 demande d’informer le conseil d’école de l’usage d’une ressource non institutionnelle. L’article D411-2 du Code de l’éducation prévoit notamment l’information sur les principes de choix des matériels pédagogiques. Conservez la référence du compte rendu selon les règles de l’école. Les autres organismes appliquent leur propre circuit.

Avant l’utilisation de listes ou du carnet, complétez et remettez le modèle d’information aux familles, puis expliquez l’usage aux élèves. Conservez dans le dossier privé de l’école la date, la version et le mode de remise, ainsi que la durée retenue et le contact pour les droits. Cette information ne vaut ni consentement général, ni contrat avec OPLC.

Outils Pour La Classe — éditeur et interlocuteur Boisnel Anthony Artiste-auteur (régime micro-BNC)
contact@outilspourlaclasse.fr — outilspourlaclasse.fr
Référent protection des données : Boisnel Anthony
(pas de DPO désigné — obligation à réévaluer selon les traitements réellement mis en œuvre)

L'enseignant — utilisateur avec obligations propres

Dans le cadre scolaire, l'enseignant agit dans le cadre défini par son institution. Il veille notamment à :

l'exactitude des données qu'il saisit ;
l'information des familles (fiche parents à distribuer) ;
la pertinence pédagogique de l'usage en classe.

Obligation	Qui la porte
Base légale, finalités, minimisation, durées	Responsable de chaque traitement. Pour les listes, le carnet et les quantités de fiches, qualification et cadre à formaliser avec l'institution ; pour les finalités propres du service, OPLC.
Sécurité, registre, analyse d'impact	Chaque acteur selon son rôle. OPLC protège les données qu'il traite et fournit les éléments nécessaires à l'institution. La nécessité d'une analyse d'impact est réexaminée lorsque le périmètre évolue.
Exercice des droits	Contact OPLC : contact@outilspourlaclasse.fr. OPLC traite les demandes relevant de ses finalités et coordonne, lorsque nécessaire, avec le responsable scolaire identifié.
Violation de données (art. 33-34)	Le responsable notifie la CNIL, si un risque existe, dans les 72 heures après en avoir pris connaissance ; il informe les personnes sans délai indu en cas de risque élevé. Le sous-traitant alerte le responsable sans délai indu. Toute violation doit être documentée.
Information des familles (art. 12-14)	Partagée : OPLC fournit la fiche d'information parents et les pages publiques ; l’organisme scolaire organise leur information avant l’usage de listes ou du carnet ; l’enseignant remet la notice adaptée dans ce cadre
Exactitude des données saisies (prénoms, organisation de classe et quantités agrégées)	L'enseignant, qui seul les connaît et les saisit

3. Données de classe : périmètre actuel et transition

Catégorie de personnes	Données traitées
Élèves (sans compte)	Les nouvelles listes sont un coffre local chiffré dans le navigateur de l'enseignant : prénoms, placements, métiers et prêts de matériel. Elles ne sont pas synchronisées automatiquement. Les fiches utilisent des quantités agrégées, sans prénom ni lien avec un élève. Hors carnet, réponses, corrections et scores des exercices libres servent à la séance. Le carnet publié utilise un coffre indépendant par élève dans IndexedDB, avec résultats résumés, prénom/pseudonyme et niveau chiffrés dans le coffre, expiration fixée à l’émission (≤366 jours) et limite de 1 000 événements. Aucune donnée, aucun secret, contenu chiffré, badge ou image/trame de scan ne transite sur Internet. Le scan est déclenché dans « Mon carnet » par clic et décodé localement. L’adulte prépare ou renouvelle le badge, mais ne voit pas les résultats ; l’élève ou sa famille consulte le relevé, télécharge un JSON lisible sur l’appareil et peut effacer le coffre. Le JSON ne restaure pas le coffre. La sauvegarde du coffre adulte conserve le matériel de réédition, sans résultats élève ; sans copie personnelle du relevé, la perte de l’appareil ou l’effacement du stockage fait perdre le coffre. Le responsable compétent définit le cadre scolaire, la base légale, l’information, les habilitations et les droits. Aucun compte élève serveur, présence, humeur ou comportement n’est rétabli.
Enseignants	Les comptes enseignants antérieurs ont été retirés de la base active le 9 octobre 2026 ; l’accès d’administration reste réservé à l’exploitation. Les anciens messages, sessions, journaux, sauvegardes et copies chez des prestataires restent des périmètres distincts, non effacés par ce seul constat SQL. Le mode autonome ne conserve sur le serveur ni compte pour son ouverture ni clé locale ; les nouveaux contenus de préparation (cahier journal, séquences, emploi du temps, documents et sorties) restent dans le navigateur choisi. Les coordonnées nécessaires des accompagnateurs adultes restent un périmètre distinct. Ne pas saisir de listes d’enfants ou d’appréciations individuelles dans les textes libres.

Catégorie de personnes

Données traitées

Élèves (sans compte)

Les nouvelles listes sont un coffre local chiffré dans le navigateur de l'enseignant : prénoms, placements, métiers et prêts de matériel. Elles ne sont pas synchronisées automatiquement. Les fiches utilisent des quantités agrégées, sans prénom ni lien avec un élève. Hors carnet, réponses, corrections et scores des exercices libres servent à la séance. Le carnet publié utilise un coffre indépendant par élève dans IndexedDB, avec résultats résumés, prénom/pseudonyme et niveau chiffrés dans le coffre, expiration fixée à l’émission (≤366 jours) et limite de 1 000 événements. Aucune donnée, aucun secret, contenu chiffré, badge ou image/trame de scan ne transite sur Internet. Le scan est déclenché dans « Mon carnet » par clic et décodé localement. L’adulte prépare ou renouvelle le badge, mais ne voit pas les résultats ; l’élève ou sa famille consulte le relevé, télécharge un JSON lisible sur l’appareil et peut effacer le coffre. Le JSON ne restaure pas le coffre. La sauvegarde du coffre adulte conserve le matériel de réédition, sans résultats élève ; sans copie personnelle du relevé, la perte de l’appareil ou l’effacement du stockage fait perdre le coffre. Le responsable compétent définit le cadre scolaire, la base légale, l’information, les habilitations et les droits. Aucun compte élève serveur, présence, humeur ou comportement n’est rétabli.

Enseignants

Les comptes enseignants antérieurs ont été retirés de la base active le 9 octobre 2026 ; l’accès d’administration reste réservé à l’exploitation. Les anciens messages, sessions, journaux, sauvegardes et copies chez des prestataires restent des périmètres distincts, non effacés par ce seul constat SQL. Le mode autonome ne conserve sur le serveur ni compte pour son ouverture ni clé locale ; les nouveaux contenus de préparation (cahier journal, séquences, emploi du temps, documents et sorties) restent dans le navigateur choisi. Les coordonnées nécessaires des accompagnateurs adultes restent un périmètre distinct. Ne pas saisir de listes d’enfants ou d’appréciations individuelles dans les textes libres.

L’ancien suivi, les anciennes listes et les anciennes préparations avaient une fenêtre de récupération jusqu’au 25 septembre 2026 inclus ; les droits sur les données encore conservées restent applicables. La récupération est close depuis le 26 septembre 2026. Après une interruption du premier passage de maintenance, la reprise ciblée et les contrôles du même jour ont constaté à zéro les périmètres concernés de la base active. Ce constat ne couvre pas les copies historiques hors de cette base. Les sauvegardes suivent leurs propres durées. Ces dates n’éteignent pas les droits sur des données encore conservées. L’éditeur ne peut pas effacer à distance les copies du navigateur ; leur détenteur intervient depuis l’appareil.

Badges portables ELV2 : données lisibles et limites d’accès

Le badge ELV2 peut être préparé sur le PC de l’adulte puis scanné sur un autre appareil. Son QR contient l’UUID, le prénom ou pseudonyme, le niveau, l’expiration initiale, le secret d’accès, la révision et les éléments de signature d’émission. Le profil et la date sont lisibles par toute personne qui possède le QR ; choisissez un pseudonyme si adapté. Le QR ne contient ni résultat, ni identifiant de liste ou de classe, ni URL. La signature vérifie l’intégrité du contenu ; elle ne prouve pas l’identité de la personne qui présente le badge.

Au premier scan, un coffre vide et sa clé propre sont créés dans le navigateur utilisé. Deux appareils conservent deux carnets indépendants : les résultats ne sont ni synchronisés ni renvoyés au PC émetteur. L’annuaire et le matériel de réédition de l’adulte restent chiffrés dans son coffre local. Après le scan d’une nouvelle révision, le navigateur mis à jour refuse l’ancien badge et ses séances ; un autre navigateur qui n’a pas reçu cette révision accepte encore l’ancien badge. Un navigateur neuf ou entièrement effacé ignore les révocations précédentes. Les anciens badges ELV1 ouvrent seulement un coffre déjà présent ; leur conversion en ELV2 sur l’appareil émetteur conserve son journal local.

L’accès expire à la date fixée à l’émission, sans prolongation au scan. Le nettoyage des copies chiffrées expirées nécessite l’utilisation de l’interface de gestion des badges sur chaque appareil ; il ne s’exécute pas dans un navigateur fermé. Les plafonds sont de 1 000 résultats par carnet et 200 coffres par navigateur. Effacer le carnet supprime ses résultats ; un badge ELV2 encore valide peut ensuite recréer un carnet vide. Les relevés JSON, impressions et badges copiés restent à protéger ou à détruire séparément. La possession d’un badge peut permettre l’accès au relevé local : la réédition ne retire pas à distance toutes ses copies.

4. Prestataires et destinataires

Les prestataires dépendent des fonctions utilisées. Leur rôle doit être distingué par finalité, y compris pour les données et copies historiques encore détenues. Les contrats, sous-traitants ultérieurs et garanties de transfert font l'objet d'une revue documentaire à compléter.

Prestataire	Finalité	Localisation
O2switch	Hébergement web et base de données	France (Auvergne)
Stripe Payments Europe Ltd	Anciennes données de facturation ; éventuelles copies historiques à examiner	Irlande ; transferts internationaux possibles, notamment vers les États-Unis. Garanties applicables à vérifier par service et entité.
Google LLC (SSO)	Ancienne authentification Google, désormais fermée ; éventuelles copies historiques de données adultes à examiner	Traitements internationaux possibles ; garanties applicables à vérifier.
Services Web Push selon le navigateur : Google, Mozilla, Apple, Microsoft ou Samsung	Ancien acheminement des notifications, désormais retiré ; éventuelles copies historiques et métadonnées de livraison à examiner	Variable selon le fournisseur ; pays, rôle et garanties à vérifier.

Aucune donnée de carnet n’est nécessaire aux pièces comptables ni à l’ancienne connexion Google. L'hébergement principal est en France ; cela ne suffit pas à exclure tout transfert lié aux services optionnels ou aux métadonnées techniques. La surveillance des erreurs repose sur les journaux locaux. L'acheminement des courriels et ses prestataires doivent également être inclus dans la revue.

Avis et bugs sans compte

Depuis le 11 octobre 2026, le formulaire facultatif d’avis et de bugs reçoit un vote, une catégorie de signalement, la page publique concernée et un commentaire éventuel, sans compte ni email demandé. Ces retours servent à corriger et améliorer le site, sur la base de l’intérêt légitime. Le commentaire est chiffré dans la base ; les retours sont accessibles à l’administration habilitée, protégée par double authentification. Les masquages ne garantissent pas l’absence de données personnelles dans un texte libre : ne mentionnez aucune personne. La règle de conservation est de six mois après l’envoi, quel que soit le statut, avec purge quotidienne prévue par lots et journal d’effacement pour le rejeu après restauration. Les sauvegardes et journaux techniques restent distincts.

L’adresse IP normalisée sert à calculer des empreintes HMAC temporaires dans une table séparée, sans lien vers un retour ; elle n’est pas enregistrée dans celui-ci. Ces empreintes restent des données pseudonymisées. Elles limitent les votes et messages, avec une échéance à la fin de l’heure ou du jour concerné et un nettoyage lors des envois et de la maintenance quotidienne. Les connexions partagées partagent les quotas. Les journaux techniques peuvent traiter l’IP séparément. Ce formulaire est distinct des retours pédagogiques clôturés depuis deux ans ; la durée maximale des retours pédagogiques ouverts reste à définir.

5. Sécurité — mesures techniques et organisationnelles

Accès au site en HTTPS, avec politique HSTS
Hachage du mot de passe de l’administration via password_hash
Double authentification pour l’administration ; contrôles d’accès réservés à l’exploitation
En-têtes de protection : CSP, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
Rate limiting sur les endpoints sensibles, protection CSRF
Contenus des coffres locaux chiffrés au repos ; le QR ELV2 comporte un profil minimal lisible, décrit à la section 3
Pour les listes locales : session personnelle protégée, écran verrouillé en cas d’absence et protection du disque selon les consignes de l’organisme. Une séance déverrouillée, un script malveillant ou un appareil compromis peuvent exposer les données malgré le chiffrement au repos.
Dispositifs de sauvegarde et de chiffrement contrôlés de façon ciblée ; leur couverture et une restauration complète restent à vérifier périodiquement
Tests automatisés et analyse statique ; ils ne constituent pas une certification de sécurité
Les mesures et les risques sont réexaminés à chaque évolution significative du service

6. Durées de conservation

Listes de classe nouvelles : conservez-les seulement pendant le besoin d’organisation retenu par l’organisme. Retirez les prénoms devenus inutiles au départ d’un élève ou à la fin du besoin ; vérifiez les listes en fin d’année scolaire. Toute conservation au-delà doit être justifiée et limitée. L’effacement est réalisé par le détenteur sur chaque appareil et dans les sauvegardes exportées ; les imprimés inutiles sont détruits. Exporter une sauvegarde ou verrouiller le coffre ne supprime pas la liste. L’éditeur ne peut pas la supprimer à distance.
Ancien suivi : récupération close le 26 septembre 2026 ; les périmètres concernés de la base active ont été contrôlés à zéro ce jour-là, sans attestation de disparition de toutes les copies.
Anciennes listes serveur : récupération close le 26 septembre 2026 ; leur purge ciblée dans la base active a été contrôlée le même jour. Les copies locales et sauvegardes sont distinctes.
Anciennes préparations serveur : récupération close le 26 septembre 2026, avec purge ciblée de la base active contrôlée ce jour-là pour les contenus personnels, notamment les brouillons d’exercices, sorties, accompagnateurs, plans et corbeilles. Les exercices encore volontairement publiés dans la bibliothèque communautaire et leurs avis restent jusqu’à leur retrait ou leur modération.
Comptes enseignants : retrait SQL constaté le 9 octobre 2026 ; aucune nouvelle conservation de compte enseignant n’est proposée. Les données encore présentes dans les messages, journaux, sauvegardes, copies de prestataires et anciens coffres locaux suivent leur périmètre propre.
Journaux en base : règles applicatives de surveillance 7 jours, activité 30 jours et sécurité 90 jours selon la catégorie, à distinguer de leur exécution effective. L’événement SQL d’audit conserve encore 365 jours dans la configuration de production relevée le 10 octobre ; sa réduction à 90 jours est préparée mais non appliquée, en attente de résolution de propriété SQL. Les fichiers PHP natifs, journaux de l’hébergeur et sauvegardes ont leurs propres limites, certaines restant à confirmer. Les rapports Web Vitals sont retirés et leurs anciens fichiers supprimés par la maintenance et après restauration. Les événements analytiques historiques sont inclus dans la purge du 26 septembre 2026. La rotation des autres fichiers techniques est distincte.
Pièces comptables : les pièces nécessaires sont conservées selon les obligations applicables, pendant 10 ans ; ce délai ne justifie pas la conservation générale des autres données.
Sauvegardes : rétention applicative configurée de 15 jours. L'offre Cloud d'o2switch annonce des sauvegardes quotidiennes sur 45 jours, mais le contrôle du 18 septembre 2026 a relevé des copies plus anciennes. Ce délai ne constitue donc pas une garantie d'effacement de toutes les copies chez l'hébergeur ; leur durée maximale reste à confirmer. Une suppression en base active ne retire pas immédiatement ces copies. Les effacements et durées doivent être réappliqués avant toute réouverture après restauration.

Le nettoyage ciblé des sauvegardes applicatives a été publié le 10 octobre 2026 ; l’inventaire distant de ce jour a relevé des archives chiffrées de moins de quinze jours. Ce contrôle ne valide ni leur déchiffrement, ni l’authenticité des signatures, ni une restauration complète, ni le prochain passage automatique. Les copies historiques ou externes restent à examiner séparément.

Les plafonds techniques du carnet ne sont pas des durées imposées par la loi. Le responsable scolaire fixe une durée effective adaptée et plus courte si nécessaire ; l’effacement doit être vérifié sur chaque navigateur et dans les relevés déjà exportés. Les retours pédagogiques sans compte clôturés ont une rétention automatique de deux ans après clôture, publiée le 10 octobre 2026 ; le passage contrôlé portait sur une table vide et ne prouve pas l’effacement des messages dans les autres supports. Les retours ouverts ou en cours n’ont pas de durée maximale attestée.

7. Droits des personnes concernées

Les élèves, leurs représentants légaux et les enseignants peuvent demander l'accès, la rectification, l'effacement ou la limitation et exercer les droits d'opposition et de portabilité dans les conditions prévues par le RGPD. Contact : contact@outilspourlaclasse.fr, directement ou par l'enseignant. Une réponse est due dans un mois ; une prolongation motivée de deux mois au maximum peut être nécessaire, avec information dans le premier mois. Réclamation possible auprès de la CNIL.

Pour les coffres locaux, le détenteur de l’appareil et le responsable scolaire mettent en œuvre les droits sur chaque navigateur concerné. OPLC ne reçoit pas ces carnets et ne peut pas les supprimer à distance. L’élève ou sa famille peut consulter le relevé, l’exporter en JSON lisible et effacer le carnet depuis l’appareil ; les copies exportées sont distinctes.

Références : qualification des rôles par la CNIL et cadre scolaire des outils numériques.