Politique de confidentialité

1. Qui est responsable de vos données ?

Le responsable des traitements mis en œuvre pour ces applications est le principal du collège Jean Rostand de Moûtiers, en sa qualité de chef d’établissement. Le responsable numérique intervient sous son autorité pour l’administration technique du système.

La direction peut être saisie directement, y compris si vous ne pouvez plus vous connecter. Le délégué à la protection des données peut vous renseigner et accompagner l’exercice de vos droits.

2. Quelles données sont utilisées et pour quoi faire ?

Les données d’identité et de scolarité proviennent principalement des fichiers de gestion de l’établissement importés par les personnes habilitées. Elles sont complétées par les informations renseignées ou produites lors de l’utilisation des applications.

L’annuaire peut contenir le nom, le prénom, la civilité, le courriel, l’identifiant CAS et la fonction ; pour les élèves, la date de naissance, le sexe, la classe, les langues et options, l’inscription en sport études et les liens familiaux ; pour les enseignants, leur discipline, leurs classes, leurs fonctions de professeur principal et leur qualité de membre du CA. Chaque application utilise les informations nécessaires à son service.

Les identifiants, horodatages de connexion, opérations d’administration et erreurs techniques utiles à la sécurité peuvent également être traités. L’hébergement et les services de connexion ou de messagerie peuvent disposer de leurs propres journaux techniques, notamment avec l’adresse IP.

3. Quel est le cadre juridique ?

Les traitements nécessaires à l’organisation de la vie scolaire, au fonctionnement de l’établissement et à l’accompagnement pédagogique reposent sur l’exécution d’une mission d’intérêt public, au sens de l’article 6, paragraphe 1, point e du RGPD, dans le cadre des missions confiées à l’établissement par le code de l’éducation. La conservation de certains documents au titre des archives publiques relève des obligations légales applicables.

Les renseignements d’identité et de rattachement scolaire sont nécessaires à l’accès aux services personnalisés. La direction est le contact pour effectuer une démarche scolaire en cas de difficulté d’accès.

Mathus est accessible sans compte. L’enregistrement d’une grille dans un compte personnel est facultatif.

Les scores et statistiques sont des outils pédagogiques. Ces applications ne prennent pas, à elles seules, de décision automatisée produisant des effets juridiques ou affectant significativement la scolarité. L’appréciation et les décisions scolaires restent sous la responsabilité des équipes compétentes.

4. Combien de temps les données sont-elles conservées ?

• Annuaire et données annuelles : les fiches et rattachements sont vérifiés à chaque rentrée. Les informations nécessaires à la nouvelle année sont actualisées pour les personnes toujours inscrites ou en fonction.
• Suivi des élèves dans Rebond : les données de suivi sont conservées pendant la scolarité de l’élève dans l’établissement, tant qu’il y est inscrit. Après son départ, le dossier est retiré de l’usage courant et nettoyé manuellement.
• Autres applications : tickets, rendez-vous, absences de sport études, événements comportant des données personnelles, séances et résultats d’exercices, grilles Mathus enregistrées et candidatures sont concernés par le nettoyage de fin d’année.
• Documents soumis à une obligation de conservation : notamment les actes et documents officiels du conseil d’administration, ils suivent les règles d’archivage applicables aux établissements publics. Les exemplaires à conserver sont séparés des données d’usage courant, avec un accès limité ; une obligation légale ou un contentieux peut justifier une conservation spécifique documentée.

Les copies exportées, impressions et messages sont soumis aux mêmes règles de conservation. Les sauvegardes servent à la restauration des données. Les suppressions et rectifications postérieures à une sauvegarde sont à réappliquer lors d’une restauration.

OVHcloud réalise des sauvegardes techniques des fichiers et des bases de données selon l’offre utilisée. Leur fréquence et leur conservation dépendent de cette offre. Les modalités de conservation des sauvegardes et des journaux techniques sont disponibles auprès de la direction ou du DPD.

Fin de l’hébergement : le contrat Web prévoit l’effacement des données hébergées au plus tard 45 jours après l’échéance du service, sous réserve des conservations légalement imposées.

Le nettoyage annuel et celui des dossiers d’élèves sortants sont des opérations manuelles réalisées par l’établissement.

5. Qui peut accéder aux données ?

Au sein de l’établissement, l’administration technique de l’ensemble de la base de données est réservée au principal, à son adjoint et au responsable numérique du système. Les accès dans chaque application dépendent des habilitations attribuées.

Les autres accès sont définis dans l’annuaire central en fonction du service, du rôle et du périmètre autorisé :

• les enseignants consultent les informations nécessaires aux élèves et séances dont ils ont la charge ; un accès élargi peut être attribué aux personnes ayant une mission transversale de suivi ;
• les professeurs principaux préparent les candidatures de leurs classes dans Bulletins de vote ;
• les responsables légaux accèdent aux services concernant les enfants qui leur sont rattachés ;
• les élèves disposent des accès correspondant à leur compte, à leur classe et aux activités qui leur sont proposées ; leurs grilles Mathus enregistrées appartiennent à leur espace personnel ;
• les membres du CA et les personnels chargés du support, des rendez-vous ou du sport études disposent des accès nécessaires à ces fonctions.

Les destinataires des courriels, exports et documents imprimés accèdent aux informations qui leur sont adressées. Les prestataires techniques interviennent pour les services confiés par l’établissement.

Ces applications n’ont pas de finalité publicitaire et les données ne sont pas commercialisées. Une communication imposée par la loi à une autorité compétente demeure possible dans les limites de cette obligation.

6. Comment les données sont-elles protégées ?

• Connexion : l’accès aux espaces personnels passe par le CAS de l’établissement. Les applications ne conservent pas votre mot de passe CAS. Les autorisations sont contrôlées à partir de l’annuaire central.
• Double authentification : l’administration propose un second facteur TOTP, avec un code temporaire fourni par une application d’authentification. Lorsqu’il est activé sur le compte, il est exigé pour les accès administratifs concernés.
• Chiffrement au stockage : le socle protège les contenus personnels par XChaCha20-Poly1305, un chiffrement authentifié utilisant des clés de 256 bits, soit 32 octets. Il rend le contenu illisible sans la clé et permet de détecter une altération.
• Recherche et relations : des index cryptographiques HMAC-SHA-256 utilisent une clé distincte. Les métadonnées de fonctionnement, notamment les références opaques, liens entre enregistrements, rôles, états et certaines dates, restent lisibles dans les tables.
• Protection des clés : les clés et la configuration sensible sont conservées dans l’espace privé du serveur, hors des dossiers accessibles par le web, avec des permissions d’accès restreintes.
• Échanges et sessions : les espaces authentifiés utilisent HTTPS. Les cookies de connexion sont protégés et les sessions ont une durée limitée. Les formulaires sensibles vérifient des jetons de protection ; les opérations d’administration utiles à la traçabilité sont journalisées.
• Messagerie : les envois du service SMTP commun utilisent TLS ou SMTPS avec vérification du certificat serveur. Les courriels et pièces jointes sont lisibles par leurs destinataires et ne sont pas chiffrés de bout en bout.

En cas d’incident : OVHcloud s’engage contractuellement à informer l’établissement dans les meilleurs délais lorsqu’il a connaissance d’une violation affectant les données confiées. Le responsable du traitement doit documenter la violation et, si elle présente un risque pour les droits et libertés, la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent être informées sans délai injustifié, sauf exception prévue par le RGPD. Vous pouvez signaler un incident à la direction aux coordonnées ci-dessus.

7. Hébergement, messagerie et services externes

Hébergeur et accès techniques

L’hébergeur est OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix, France, RCS Lille Métropole 424 761 419. L’hébergement web de la plateforme se situe à Gravelines, en France.

Les bases de données sont hébergées par OVHcloud.

OVHcloud intervient comme sous-traitant, sur les instructions de l’établissement. Son annexe de traitement des données encadre la confidentialité du personnel, la sécurité, l’assistance à l’exercice des droits et le recours à des sous-traitants ultérieurs. Les accès techniques de maintenance, de sécurité et de diagnostic sont réservés aux intervenants habilités.

Localisation et transferts

Le contrat OVHcloud autorise des interventions à distance pour la maintenance et la sécurité, dans les conditions du service souscrit. Les transferts concernés vers des pays hors de l’Espace économique européen sans décision d’adéquation sont encadrés par les clauses contractuelles types prévues au contrat et, si nécessaire, des mesures complémentaires.

La direction et le DPD sont les contacts pour connaître les localisations des bases, sauvegardes et interventions, les destinataires concernés et obtenir une copie des garanties applicables.

CDN, authentification et messagerie

L’option CDN d’OVHcloud n’est utilisée sur aucun sous-domaine de l’établissement.

Le CAS assure l’authentification. Le serveur SMTP configuré dans le portail assure les envois de courriels. La direction et le DPD sont les contacts pour les informations relatives à ces prestataires.

Services externes

Les polices, icônes et ressources d’affichage sont hébergées avec les applications et chargées depuis leurs domaines.

Pour Horloge, le serveur consulte les services publics du calendrier scolaire et des jours fériés. Ces requêtes portent sur l’académie et les années demandées.

Les liens et tuiles vers des sites externes ouvrent des services distincts, soumis à leurs propres politiques de confidentialité. L’autorisation d’afficher une tuile ne transmet pas l’annuaire ou les résultats scolaires au site concerné.

8. Comment exercer vos droits ?

Vous pouvez demander l’accès à vos données, leur rectification et, lorsque les conditions sont réunies, leur effacement ou la limitation de leur utilisation. Vous pouvez vous opposer à un traitement fondé sur une mission d’intérêt public pour des raisons tenant à votre situation particulière ; la direction examine la demande et les motifs qui peuvent justifier la poursuite du traitement.

Ces droits s’exercent dans le respect des obligations de l’établissement et des droits d’autrui. Une demande de suppression ne conduit pas à effacer un document qui doit être légalement conservé. Le droit à la portabilité ne s’applique pas, en principe, aux traitements nécessaires à une mission d’intérêt public. Les responsables légaux peuvent agir pour leur enfant mineur, dans son intérêt et selon leur qualité ; un élève majeur exerce personnellement ses droits.

1. Écrivez à ce.0730008m@ac-grenoble.fr, avec pour objet « Exercice des droits sur les données personnelles », ou adressez un courrier au principal aux coordonnées indiquées plus haut. Vous pouvez aussi contacter le DPD à dpd@ac-grenoble.fr.
2. Précisez le service concerné, le droit que vous souhaitez exercer et les éléments permettant de retrouver votre dossier. Si la demande concerne un enfant, indiquez son identité, sa classe si nécessaire et votre qualité de responsable légal.
3. N’envoyez pas de mot de passe ni spontanément de copie de pièce d’identité. Si un doute raisonnable subsiste sur l’identité ou la qualité du demandeur, des informations complémentaires proportionnées peuvent être demandées.

Une réponse est apportée dans un délai d’un mois à compter de la réception de la demande. Si sa complexité ou le nombre de demandes le justifie, ce délai peut être prolongé de deux mois ; vous êtes alors informé dans le premier mois du motif de la prolongation. Toute impossibilité de donner suite doit être motivée.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL, sans préjudice des autres recours dont vous disposez. Les explications de la CNIL sur les droits des personnes peuvent vous aider dans votre démarche.

9. Cookies et données enregistrées sur votre appareil

Les applications utilisent des cookies techniques pour la connexion CAS commune, les sessions de chaque application et la sécurisation du retour de connexion. Ces cookies servent au fonctionnement du service demandé ; ils ne sont pas utilisés par ces applications pour la publicité ou le suivi commercial.

Les cookies de session peuvent être supprimés à la fermeture du navigateur selon ses réglages ; les sessions sont également limitées côté serveur. La configuration standard du socle prévoit huit heures pour l’authentification commune, deux heures d’inactivité pour les sessions applicatives et dix minutes pour le retour de connexion CAS. La déconnexion invalide les accès personnels communs.

Le lien de diffusion Tv est conservé chiffré et reste accessible aux administrateurs pour le recopier. Le mode TV utilise un cookie technique distinct, limité au domaine de l’écran et valable au plus un an. Le secret est transmis par le fragment du lien, puis retiré de la barre d’adresse après la connexion de l’écran. Le cookie est protégé par HTTPS et inaccessible aux scripts. Renouveler ou désactiver le lien invalide aussi les accès TV déjà établis ; l’écran le constate lors de sa prochaine actualisation. Ce mécanisme ne donne aucun accès à la gestion des panneaux.

Statistiques d’hébergement : le contrat Web prévoit un outil OVHcloud de fréquentation activé par défaut et désactivable dans l’espace d’hébergement. Selon ce contrat, il calcule des rapports à partir de données de trafic — adresse IP, URL demandée et durée de requête — anonymisées et agrégées. Les rapports sont disponibles pendant la durée du service. Les journaux techniques de sécurité sont traités séparément.

Les cookies techniques d’hébergement dépendent de la configuration OVHcloud. Leurs caractéristiques sont disponibles auprès de la direction ou du DPD.

Le navigateur peut aussi conserver des préférences, un panier d’exercices ou des parties. Mathus y garde notamment les grilles et statistiques locales ; fermer la page ou se déconnecter ne les efface pas nécessairement. Ce stockage local reste présent jusqu’à son effacement par l’application, le navigateur ou l’utilisateur. Les résultats enregistrés dans le compte sont distincts et suivent la règle de conservation scolaire.

Vous pouvez supprimer les cookies et données des sites concernés dans les paramètres de votre navigateur. Cela peut fermer votre session et effacer les parties locales non enregistrées. Sur un appareil partagé, utilisez un profil personnel et déconnectez-vous après usage. Les traitements de cookies propres au portail CAS ou aux sites externes relèvent aussi de leurs informations respectives.