Registre des activités de traitement
Les rôles et responsabilités, l’analyse d’impact actuelle et la politique de confidentialité complètent ce registre : destinataires, transferts, droits et moyens de contact. Aucun DPO n’est formellement désigné chez OPLC. Les dates de retrait ci-dessous ne suppriment pas les droits sur les données encore conservées.
Espace enseignant autonome : les outils personnels disposent d’un coffre local sans compte, indépendant des anciens comptes enseignants retirés de la base active le 9 octobre 2026. La reprise d’une ancienne copie locale est volontaire ; les droits sur les données encore conservées restent disponibles.
1 — Administration et traces historiques
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Exploitation et sécurisation du service : intérêt légitime ; gestion de l’accès d’administration. | Compte d’administration : identité, email, authentification et données de sécurité. Les comptes enseignants ont été retirés de la base active le 9 octobre 2026 ; les traces hors comptes restent des catégories séparées. | Accès d’administration réservé à l’exploitation ; aucun compte enseignant n’est proposé. Le retrait des comptes a été contrôlé dans la base active. Il ne prouve pas l’effacement des sessions, journaux, messages, sauvegardes ou copies chez des prestataires. Les pièces comptables nécessaires suivent les obligations de conservation applicables. Les repères de guides sont locaux dans le coffre autonome ; ils ne justifient pas une durée générale de conservation des comptes. |
Le nom de l’école est un réglage facultatif conservé dans le coffre chiffré du navigateur utilisé pour préremplir des documents imprimés localement. Il n’est pas synchronisé ni enregistré dans un profil serveur. Il reste jusqu’à son effacement dans le coffre ou dans les données du navigateur ; protégez le profil de navigateur et supprimez les copies imprimées ou exportées devenues inutiles.
2 — Préparations et organisation
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Préparer et organiser la classe : l’organisme utilisateur détermine les finalités, le cadre applicable et la base légale de l’usage scolaire. | Enseignants et accompagnateurs adultes : cahier journal, emploi du temps, séquences, programmations, fiches et exercices personnels, heures de service, objectifs, activités, textes libres et remarques, titres et échéances de documents, sorties collectives et coordonnées nécessaires d’accompagnateurs. | Les nouveaux contenus personnels de préparation sont conservés dans le coffre chiffré du navigateur choisi ou, selon l’outil, seulement dans la mémoire de la page. Leur impression est locale. Les saisies non sauvegardées restent temporaires. Le mode autonome permet une sauvegarde chiffrée sans compte. L’effacement et les sauvegardes locales relèvent du détenteur. La récupération des anciennes copies personnelles serveur est close depuis le 26 septembre 2026. La reprise ciblée et les contrôles de ce jour ont constaté à zéro les périmètres concernés dans la base active, notamment les brouillons d’exercices, sorties, accompagnateurs, plans et corbeilles. Les anciens coffres locaux et enveloppes de clés restent distincts ; le retrait des comptes enseignants a été contrôlé séparément le 9 octobre. Les favoris volontaires sont enregistrés comme réglage du coffre autonome et inclus dans ses sauvegardes ; leur API de synchronisation est fermée. La récupération de l’ancienne copie du navigateur est explicite et conserve sa source ; les copies historiques de compte conservent leurs droits et durées propres. Les anciennes images serveur devenues inutilisées sont également retirées ; les sauvegardes techniques suivent leur propre rotation et une restauration de base historique est bloquée après l’échéance. Ne pas inscrire de donnée sensible ou de liste d’enfants dans un texte libre. |
2 bis — Bibliothèque communautaire existante
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Maintenir les exercices volontairement publiés et les avis associés : mise à disposition demandée par l’auteur et intérêt légitime de modération. | Adultes : exercice publié, nom de l’auteur, note et commentaire d’avis facultatif. Aucun brouillon privé, liste d’élèves, réponse ou résultat durable. | Page publique et hébergement OPLC pour les contributions encore présentes après le retrait des comptes enseignants ; demandes de retrait et modération auprès du contact OPLC. Le retrait des comptes ne constitue pas une durée générale de conservation des avis ou sauvegardes. Les nouvelles copies personnelles sont écrites dans le coffre local ; la purge du 26 septembre conserve uniquement les exercices encore publiés et leurs avis. |
3 — Listes locales d’organisation
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Organiser localement la classe ; l’organisme utilisateur détermine les finalités, le cadre scolaire et la base légale. | Élèves : prénoms et identifiants locaux, plans, métiers, prêts et semaines strictement nécessaires. | IndexedDB du navigateur choisi, sans synchronisation de ces listes par le service. Conservez les listes pendant le besoin d’organisation retenu : retirez les prénoms devenus inutiles au départ d’un élève et vérifiez les listes en fin d’année scolaire. La copie chiffrée reste matériellement jusqu’à son effacement volontaire ou sa suppression par le navigateur. Dans le mode autonome, données et enveloppes de clés restent dans IndexedDB, sans clé serveur. Le mot de passe local protège une enveloppe de clé ; un code de secours indépendant protège une seconde enveloppe. Les clés déchiffrées restent en mémoire et sont retirées au verrouillage. Les sauvegardes portables demandent le mot de passe ou le code de secours pour leur ouverture. Le mot de passe et la conservation du code de secours sont confirmés lors de la création du coffre. L’éditeur ne peut pas récupérer ces secrets. Les anciens coffres de compte et anciennes sauvegardes gardent leur mécanisme d’ouverture ; migration uniquement volontaire. Une session ouverte, un script malveillant ou un appareil compromis restent des risques. Les agrégats de classe ne sont pas automatiquement anonymes. |
4 — Migration temporaire des anciennes listes
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Restituer puis retirer les anciennes listes ; qualification de la base selon le traitement initial et les instructions éventuelles de l’organisme. | Anciennes données d’organisation couvertes, export limité, hachages et reçus techniques. Aucun nouveau prénom n’est accepté par ce flux. | Ancien flux serveur, désormais fermé. La récupération a été close le 26 septembre 2026 ; après une interruption du premier passage de maintenance, la reprise ciblée du même jour a constaté à zéro les périmètres concernés de la base active. Ce constat daté ne prouve pas la disparition des copies historiques hors de cette base. Reçus et marqueurs techniques permettent le retrait rejouable après restauration. |
4 bis — Carnet de progression local facultatif
| Finalité et base | Personnes et données | Support et conservation |
|---|---|---|
| Conserver un résumé pédagogique et permettre de reprendre une aventure localement. L’organisme scolaire définit le responsable compétent, la base légale, les personnes habilitées, la durée effective et l’information des familles ; le suivi de mineurs impose de réexaminer la nécessité de l’AIPD. Pas de consentement présumé par l’activation. | Élèves : prénom ou pseudonyme, niveau, activité publique, date, points ou nombres de réponses disponibles, réussite explicitement fournie et étape d’aventure. Sans réponse libre, détail des erreurs, santé, présence, classement ou maîtrise inférée. Le QR ELV2 porte un profil minimal lisible et un secret d’accès ; détails ci-dessous. | Module et extension ELV2 publiés le 10 octobre 2026. Coffres individuels chiffrés dans IndexedDB : résultats propres à chaque navigateur, aucune synchronisation ni remontée au PC émetteur. Expiration choisie à l’émission ≤366 jours, sans prolongation au scan ; 1 000 résultats par carnet et 200 coffres par navigateur. Ces plafonds techniques ne remplacent pas la durée nécessaire définie par le responsable scolaire. |
Badge ELV2 : le QR contient l’UUID, le prénom ou pseudonyme, le niveau, l’expiration initiale, un secret d’accès, la révision et les éléments de signature ECDSA P-256. Le profil et la date sont lisibles par qui possède le QR ; il ne contient ni résultat, ni identifiant de liste ou de classe, ni URL. La signature vérifie l’intégrité du contenu, sans authentification forte d’identité. Le PC émetteur conserve localement l’annuaire et le matériel de réédition chiffrés. Le premier scan sur un autre appareil crée un coffre vide avec sa propre clé ; le même badge retrouve ensuite ce carnet local. L’adulte prépare ou renouvelle les badges, sans consulter ni recevoir les résultats.
Expiration : le refus d’accès à l’échéance est distinct de l’effacement matériel. Le nettoyage des copies chiffrées expirées exige l’utilisation de l’interface de gestion des badges sur chaque appareil ; sans cette utilisation, elles peuvent subsister. Les exports et impressions sont à effacer séparément.
Renouvellement et effacement : après le scan d’une nouvelle révision, le navigateur mis à jour refuse l’ancien badge et ses anciennes séances, sans effacer les résultats. Un navigateur non encore mis à jour accepte toujours l’ancien badge ; un navigateur neuf ou entièrement effacé ignore les révocations précédentes. Supprimer une liste ou dissocier son lien n’efface pas le carnet. Effacer un carnet supprime ses résultats, mais un badge ELV2 encore valide peut recréer un carnet vide. Les badges ELV1 ouvrent uniquement un coffre déjà présent ; leur conversion en ELV2 sur le PC émetteur conserve son journal local.
Flux et copies : aucune donnée, secret, enveloppe, résultat, badge ou image de scan du module n’est envoyé au serveur ou à un tiers. Les pages et ressources sont distribuées par le site, avec des journaux techniques distincts. Le scanner traite localement la caméra après clic explicite, sans image conservée. Le mode « Jouer sans compte » ferme la séance de carnet avant les activités. L’élève ou sa famille peut consulter le relevé, télécharger un JSON lisible non restaurable et effacer le carnet sur l’appareil. La sauvegarde adulte transporte le matériel de réédition, sans résultat d’élève. Les relevés, impressions et badges copiés restent à protéger et à détruire séparément. La perte du stockage fait perdre les résultats sans copie personnelle du relevé.
5 — Ancien suivi individuel, fermé
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Uniquement droits, restitution et effacement des données antérieures ; aucune nouvelle collecte ni suivi. | Anciennes données de comptes, résultats, progression, présence, profils, comportements, portfolio ou fonctions associées. | Accès historique fermé le 26 septembre 2026 ; les périmètres concernés de la base active ont été contrôlés à zéro lors de la reprise ciblée de ce jour. Les droits sur les copies encore conservées restent applicables. Les routes de suivi sont fermées avant contrôleur. Les sauvegardes antérieures suivent leur rétention et les effacements sont rejoués avant réouverture. |
6 — Séances individuelles et outils collectifs directs
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Donner la correction demandée pendant un exercice public ; animer une séance collective sans compte élève. | Réponses, correction et score de séance. Les outils collectifs utilisent aussi question, choix, compteurs et, selon le mode, réponse libre. Questions en direct ne demande pas de champ d’identité. Selon le service, un prénom ou pseudonyme peut être utilisé et affiché pendant la partie. Un texte libre peut aussi révéler spontanément une information personnelle. | Réponses individuelles limitées à la séance ou à l’état temporaire du service. Les salles collectives gardent un état éphémère sur le serveur. L’hôte modère les réponses libres ; la classe ne voit un texte qu’après validation. La file de modération est séparée de l’écran projeté et fermée par défaut. L’état expire selon le service ; les journaux HTTP de l’hébergeur ont une durée séparée qui reste à confirmer. Hors carnet, aucun historique individuel durable n’est créé par ces fonctions. |
6 bis — Retours pédagogiques volontaires
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Recueillir un retour pédagogique volontaire pour corriger et améliorer une ressource publique : intérêt légitime, sans identité requise ni réutilisation publicitaire. | Adultes : profil professionnel, niveaux, verdict, page et texte libre. Aucun nom ou email n’est demandé ; le texte peut néanmoins contenir spontanément une information personnelle malgré les filtres. Aucune donnée d’élève n’est nécessaire. | Texte chiffré dans la base, accessible à l’administration habilitée. Retours sans compte clôturés : rétention automatique de deux ans après clôture, avec journal d’effacement, publiée le 10 octobre 2026. La vérification a porté sur une table vide et zéro suppression ; le prochain passage automatique reste à observer. Cette preuve ne couvre pas les autres supports. Les retours ouverts ou en cours n’ont pas de durée maximale définie à ce jour ; action ouverte. Les retours du widget et liés à un compte ne relèvent pas de cette règle ciblée. Les journaux et sauvegardes ont leurs supports et délais propres. |
6 ter — Avis et bugs sans compte
Depuis le 11 octobre 2026, le formulaire facultatif d’avis et de bugs reçoit un vote, une catégorie de signalement, la page publique concernée et un commentaire éventuel, sans compte ni email demandé. Ces retours servent à corriger et améliorer le site, sur la base de l’intérêt légitime. Le commentaire est chiffré dans la base ; les retours sont accessibles à l’administration habilitée, protégée par double authentification. Les masquages ne garantissent pas l’absence de données personnelles dans un texte libre : ne mentionnez aucune personne. La règle de conservation est de six mois après l’envoi, quel que soit le statut, avec purge quotidienne prévue par lots et journal d’effacement pour le rejeu après restauration. Les sauvegardes et journaux techniques restent distincts.
L’adresse IP normalisée sert à calculer des empreintes HMAC temporaires dans une table séparée, sans lien vers un retour ; elle n’est pas enregistrée dans celui-ci. Ces empreintes restent des données pseudonymisées. Elles limitent les votes et messages, avec une échéance à la fin de l’heure ou du jour concerné et un nettoyage lors des envois et de la maintenance quotidienne. Les connexions partagées partagent les quotas. Les journaux techniques peuvent traiter l’IP séparément. Ce formulaire est distinct des retours pédagogiques clôturés depuis deux ans ; la durée maximale des retours pédagogiques ouverts reste à définir.
7 — Support, communications et services facultatifs
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Répondre au support : base légale selon la demande. Lettre : consentement. OAuth et notifications ne sont plus proposés dans le mode actuel ; les données historiques correspondantes restent distinctes. | Adultes : coordonnées et contenu des messages, préférence d’abonnement et anciennes métadonnées de services facultatifs. Les retours pédagogiques volontaires sont décrits à la section 6 bis. | Support/contact : 2 ans après traitement. Lettre : jusqu’au retrait, preuve 5 ans. Les durées des boîtes email, journaux, prestataires et sauvegardes restent distinctes et certaines sont à confirmer. Limiter les messages et ne pas envoyer de liste ou capture nominative au support. |
8 — Journaux, mesure agrégée et sauvegardes
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Sécurité : intérêt légitime. Mesure agrégée : nécessité technique et pilotage limité. Sauvegarde : continuité et restauration du service. | IP, sessions et événements de sécurité ; anciens compteurs de pages séparés des quatre totaux agrégés actuels de visites et de pages du mois et de l’année, issus d’AWStats. Un compteur de visites ne mesure pas le nombre de personnes. Copies techniques susceptibles de contenir des données serveur. | OPLC, hébergeur et prestataires nécessaires. Les règles applicatives varient selon les catégories. Les 13 mois décrivent l’ancienne règle des compteurs applicatifs de pages, distincts des quatre totaux AWStats actuels ; cette durée ne détermine pas celle des journaux sources de l’hébergeur. Le nettoyage de l’événement SQL de journal d’audit conserve actuellement 365 jours en production ; la réduction à 90 jours est préparée mais non appliquée, notamment en attente de résolution de propriété. Les journaux de l’hébergeur et leur durée maximale restent à confirmer. Sauvegardes applicatives : rotation prévue de 15 jours ; offre Cloud annoncée : 45 jours, avec des copies plus anciennes relevées le 18 septembre 2026. Ces durées ne prouvent pas l’effacement de toutes les copies. Chiffrement, permissions, restauration isolée et rejeu des effacements sont contrôlés périodiquement. |
Le nettoyage ciblé des sauvegardes applicatives a été publié le 10 octobre 2026 ; l’inventaire distant de ce jour a relevé des archives chiffrées de moins de quinze jours. Ce contrôle ne valide ni leur déchiffrement, ni l’authenticité des signatures, ni une restauration complète, ni le prochain passage automatique. Les copies historiques ou externes restent à examiner séparément.
Pour les nouvelles préparations, les copies de récupération du cahier journal, des séquences et des programmations expirent après 2 jours dans le coffre local ; leur nettoyage s’effectue lors de l’utilisation de l’outil. Une copie peut donc subsister sur un appareil qui n’est plus utilisé. Les anciennes copies temporaires chiffrées créées sur le serveur restent soumises à leur expiration de 2 jours et au nettoyage associé. Ce changement ne prouve pas leur destruction immédiate, ni celle des copies présentes dans les anciennes sauvegardes ou les journaux.
9 — Pièces comptables nécessaires
| Finalité et base | Personnes et données | Destinataires, durée, mesures |
|---|---|---|
| Conserver les pièces et références strictement nécessaires aux obligations comptables : obligation légale. | Personnes mentionnées dans les pièces détenues : identité, référence, montant et date strictement nécessaires à leur conservation. | Accès réservé à OPLC et aux prestataires nécessaires dans leur périmètre. Pièces comptables nécessaires : 10 ans selon les obligations applicables ; cette durée ne justifie pas la conservation générale des autres données. |
Les sessions applicatives expirent après 4 h d’inactivité ou 8 h au maximum ; la clôture d’un exercice retire son état de séance. L’expiration logique et le nettoyage physique des fichiers de session sont distincts. La maintenance supprime les repères de guides et les abonnements expirés ; ces durées sont réappliquées après restauration. Les durées des boîtes et journaux propres aux prestataires restent à confirmer.
Les listes et préparations locales peuvent être imprimées ou enregistrées en PDF depuis le navigateur, puis transmises volontairement à un destinataire choisi. Les sauvegardes du mode autonome servent au transfert choisi entre appareils avec le mot de passe local ou le code de secours, sans compte serveur. Les anciennes sauvegardes gardent leurs anciens secrets. Le verrouillage de l’espace autonome retire les clés de la mémoire mais conserve les copies chiffrées locales ; le retrait des anciens comptes enseignants ne les efface pas à distance. Les sauvegardes applicatives du serveur n’incluent pas les nouveaux contenus locaux. Elles peuvent encore contenir des données serveur historiques ; les anciennes copies locales et exports restent à vérifier séparément.