Rôles et responsabilités RGPD

Qui est responsable de quoi lors de l'utilisation d'Outils Pour La Classe

Version 2.2 du 28/10/2026 — information publique, sans valeur d'accord signé

Espace enseignant autonome : le coffre local permet de travailler sans compte, avec un mot de passe local et un code de secours indépendant. Les contenus et les enveloppes de clés restent sur l’appareil ; les clés déchiffrées restent en mémoire jusqu’au verrouillage. Les sauvegardes portables s’ouvrent avec l’un des deux secrets. Le mot de passe et la conservation du code de secours sont confirmés lors de la création du coffre. Aucun secret n’est confié à l’éditeur, qui ne peut pas le récupérer. Les anciens comptes et sauvegardes restent distincts ; migration seulement sur demande explicite.

1. Des responsabilités à distinguer selon les traitements

OutilsPourLaClasse est un service national. Les obligations propres de l'éditeur concernent l'ensemble du service ; le cadre de chaque usage scolaire dépend de l'organisme responsable et du périmètre qu'il décide. Le DPO d'un organisme conseille celui-ci : il ne valide pas le site pour tous les utilisateurs et ne devient pas automatiquement le DPO de l'éditeur.

Le responsable du traitement détermine ses finalités et ses moyens essentiels (art. 4.7). Le sous-traitant agit pour son compte, sur instructions documentées. La qualification dépend des faits :

• Gestion propre du service : OPLC détermine les finalités de l’accès d’administration réservé, de la sécurité, des communications, des avis et bugs, des retours pédagogiques volontaires, de la modération par IP et des obligations de conservation des pièces comptables nécessaires. Le formulaire facultatif de retour demande un profil professionnel, des niveaux, un verdict, une page et un texte libre, sans demander de nom ou d’email. Il sert à corriger et améliorer les ressources sur le fondement de l’intérêt légitime. Ne transmettez aucune donnée d’élève ; les filtres ne garantissent pas qu’un texte libre ne contienne aucune donnée personnelle. L’administration habilitée accède au retour, dont le texte est chiffré. La règle de purge des retours de ce formulaire sans compte vise deux ans après clôture ; son réglage est activé depuis le 10 octobre, mais le passage contrôlé portait sur une table vide et le prochain passage automatique n’a pas encore été constaté. Les retours encore ouverts n’ont pas de durée maximale définie. Pour les nouveaux envois, l’association de l’IP au retour pour la modération expire après six mois, indépendamment de la durée du texte ; ses modalités et le bannissement distinct sont décrits à la rubrique « Avis et bugs sans compte ». La création de comptes enseignants n’est plus proposée ; le compte d’administration n’est pas un compte public d’usage pédagogique. Les comptes enseignants antérieurs ont été retirés de la base active le 9 octobre 2026. Ce constat ne couvre pas à lui seul les journaux, messages, sauvegardes ou copies chez des prestataires.
• Usage scolaire local : l'autorité responsable doit être identifiée avec l'institution lorsque des listes ou un carnet individuel sont utilisés. Pour le carnet publié, aucune donnée, secret, contenu chiffré, badge ou scan ne transite sur Internet ; GET /mon-carnet charge l’interface. L’adulte prépare et réédite les badges sans recevoir les résultats ; ceux-ci restent dans IndexedDB et sont consultables, téléchargeables en JSON lisible ou effaçables localement par l’élève ou sa famille. Ce relevé JSON ne restaure pas le coffre. La suppression d’une liste ou la dissociation du lien classe-élève n’efface donc pas le coffre, un badge ELV2 renouvelé invalide l’ancien accès sur chaque navigateur après le scan de sa nouvelle révision, sans supprimer les résultats, et le relevé téléchargé doit être effacé séparément. OPLC fournit le logiciel sans recevoir le carnet, sous réserve de la qualification fondée sur les faits et du cadre établi avec l’institution ; cela ne constitue pas une dispense générale. Les journaux techniques de distribution des pages/assets et les autres services hébergés restent séparés.
• Prestation pour l'institution : si OPLC traite les données pour son compte et sur ses instructions, un accord conforme à l'article 28 doit encadrer la prestation. Si les finalités et moyens essentiels sont déterminés conjointement, l'article 26 doit être examiné. Aucun de ces accords n'est établi par la seule présence de cette page.
• Autres usages : instruction en famille, périscolaire et usages personnels nécessitent une qualification adaptée à leur organisation.

Les outils collectifs directs fonctionnent sans compte élève. Questions en direct ne demande pas de champ d’identité ; une réponse libre peut néanmoins en révéler une. Selon les autres activités, un prénom ou pseudonyme peut être utilisé et affiché pendant la partie. Selon le mode, les réponses et les compteurs sont conservés temporairement dans l’état de la salle sur le serveur ; les textes libres peuvent contenir spontanément une information identifiante. L’hôte les modère avant qu’ils soient montrés à la classe. Lorsqu’il projette l’écran, la file privée de modération reste masquée et fermée par défaut ; la recopie intégrale de l’écran enseignant doit rester hors de vue de la classe. L’état de salle expire selon le service utilisé. Les journaux de l’hébergeur et leurs durées restent à examiner séparément.

2. Répartition des responsabilités

Préparer l’usage dans l’école

La direction et le circuit de protection des données de l’organisme précisent le responsable, la base légale, les fonctions utilisées et le rattachement au registre institutionnel. Le registre de l’éditeur ne remplace pas celui de l’organisme scolaire. Si le traitement est déjà couvert, référencez ce cadre sans créer de doublon.

Dans les écoles publiques du Nord, la note DSDEN59 n°2022-81 du 13 octobre 2022 demande d’informer le conseil d’école de l’usage d’une ressource non institutionnelle. L’article D411-2 du Code de l’éducation prévoit notamment l’information sur les principes de choix des matériels pédagogiques. Conservez la référence du compte rendu selon les règles de l’école. Les autres organismes appliquent leur propre circuit.

Avant l’utilisation de listes ou du carnet, complétez et remettez le modèle d’information aux familles, puis expliquez l’usage aux élèves. Conservez dans le dossier privé de l’école la date, la version et le mode de remise, ainsi que la durée retenue et le contact pour les droits. Cette information ne vaut ni consentement général, ni contrat avec OPLC.

3. Données de classe : périmètre actuel et transition

L’ancien suivi, les anciennes listes et les anciennes préparations avaient une fenêtre de récupération jusqu’au 25 septembre 2026 inclus ; les droits sur les données encore conservées restent applicables. La récupération est close depuis le 26 septembre 2026. Après une interruption du premier passage de maintenance, la reprise ciblée et les contrôles du même jour ont constaté à zéro les périmètres concernés de la base active. Ce constat ne couvre pas les copies historiques hors de cette base. Les sauvegardes suivent leurs propres durées. Ces dates n’éteignent pas les droits sur des données encore conservées. L’éditeur ne peut pas effacer à distance les copies du navigateur ; leur détenteur intervient depuis l’appareil.

Badges portables ELV2 : données lisibles et limites d’accès

Le badge ELV2 peut être préparé sur le PC de l’adulte puis scanné sur un autre appareil. Le QR des nouveaux badges contient l’UUID, un pseudonyme généré automatiquement, le niveau, l’expiration initiale, le secret d’accès, la révision et les éléments de signature d’émission. Le pseudonyme et la date sont lisibles par toute personne qui possède le QR ; aucun prénom ne figure sur ce QR ni sur le nouveau badge imprimé. Le QR ne contient ni résultat, ni identifiant de liste ou de classe, ni URL. La signature vérifie l’intégrité du contenu ; elle ne prouve pas l’identité de la personne qui présente le badge.

Au premier scan, un coffre vide et sa clé propre sont créés dans le navigateur utilisé. Deux appareils conservent deux carnets indépendants : les résultats ne sont ni synchronisés ni renvoyés au PC émetteur. La correspondance identité–pseudonyme est chiffrée en AES dans le coffre local adulte ; le matériel de réédition est également protégé. Ces données restent personnelles : la pseudonymisation n’est pas une anonymisation. Les anciens QR nominatifs et leurs copies restent inchangés jusqu’au renouvellement explicite. Après le scan authentifié d’une nouvelle révision sur chaque appareil, le profil chiffré y prend le pseudonyme en conservant les événements et le navigateur mis à jour refuse l’ancien badge et ses séances ; un autre navigateur qui n’a pas reçu cette révision accepte encore l’ancien badge. Un navigateur neuf ou entièrement effacé ignore les révocations précédentes. Les anciens badges ELV1 ouvrent seulement un coffre déjà présent ; leur conversion en ELV2 sur l’appareil émetteur conserve son journal local.

L’accès expire à la date fixée à l’émission, sans prolongation au scan. Le nettoyage des copies chiffrées expirées nécessite l’utilisation de l’interface de gestion des badges sur chaque appareil ; il ne s’exécute pas dans un navigateur fermé. Les plafonds sont de 1 000 résultats par carnet et 200 coffres par navigateur. Effacer le carnet supprime ses résultats ; un badge ELV2 encore valide peut ensuite recréer un carnet vide. Cet effacement ou la dissociation de la liste ne supprime pas immédiatement la correspondance adulte : elle porte la même échéance que le badge et son nettoyage n’a lieu qu’à la consultation de l’annuaire avec le coffre adulte ouvert. Les relevés JSON, impressions et badges copiés restent à protéger ou à détruire séparément. La possession d’un badge peut permettre l’accès au relevé local : la réédition ne retire pas à distance toutes ses copies.

4. Prestataires et destinataires

Les prestataires dépendent des fonctions utilisées. Leur rôle doit être distingué par finalité, y compris pour les données et copies historiques encore détenues. Les contrats, sous-traitants ultérieurs et garanties de transfert font l'objet d'une revue documentaire à compléter.

Aucune donnée de carnet n’est nécessaire aux pièces comptables ni à l’ancienne connexion Google. L'hébergement principal est en France ; cela ne suffit pas à exclure tout transfert lié aux services optionnels ou aux métadonnées techniques. La surveillance des erreurs repose sur les journaux locaux. L'acheminement des courriels et ses prestataires doivent également être inclus dans la revue.

Avis et bugs sans compte

Depuis le 11 octobre 2026, le formulaire facultatif d’avis et de bugs reçoit un vote, une catégorie de signalement, la page publique concernée et un commentaire éventuel, sans compte ni email demandé. Ces retours servent à corriger et améliorer le site, sur la base de l’intérêt légitime. Le commentaire est chiffré dans la base ; les retours sont accessibles à l’administration habilitée, protégée par double authentification. Les masquages ne garantissent pas l’absence de données personnelles dans un texte libre : ne mentionnez aucune personne. La règle de conservation est de six mois après l’envoi, quel que soit le statut, avec purge quotidienne prévue par lots et journal d’effacement pour le rejeu après restauration. Les sauvegardes et journaux techniques restent distincts.

Quotas d’envoi : l’adresse IP normalisée sert à calculer des empreintes HMAC temporaires dans une table de quotas séparée. Cette table ne relie pas ses compteurs à l’identifiant d’un retour. Les empreintes limitent les votes et messages ; elles expirent à la fin de l’heure ou du jour concerné, avec un nettoyage prévu lors des envois et de la maintenance quotidienne. Les connexions partagées partagent les quotas. Ce traitement est distinct de l’association chiffrée décrite ci-dessous.

Origine des nouveaux retours : depuis le 26 octobre 2026, l’adresse IP de la connexion est aussi chiffrée et liée à l’identifiant du retour dans un stockage distinct, avec une empreinte HMAC et une date d’expiration. OPLC l’utilise pour prévenir les abus et permettre la modération, sur la base de l’intérêt légitime. L’accès à l’IP déchiffrée est réservé à l’administration habilitée, protégée par double authentification. L’échéance est fixée à six mois après l’envoi ; à cette échéance, l’origine n’est plus consultable ni utilisable pour créer un bannissement depuis le retour. Son nettoyage est prévu lors des envois et de la maintenance quotidienne ; la suppression du retour entraîne celle de son origine associée. Les anciens retours sans IP restent sans IP.

Bannissement : l’administration peut bannir une adresse IP de l’ensemble du site jusqu’au déblocage manuel. Le registre distinct conserve l’IP chiffrée, son empreinte HMAC, la date du bannissement et un identifiant aléatoire permettant le rejeu de l’effacement. Il ne recopie pas le message et n’a pas d’expiration automatique. La nécessité de chaque bannissement doit être revue régulièrement. La suppression du retour ou l’expiration de son origine ne lève pas le bannissement. Le déblocage supprime l’entrée avec un journal d’effacement permettant son rejeu après restauration.

Contrôle d’accès et limites : une projection technique hors de l’espace web public contient des marqueurs vides dont le nom est calculé par SHA-1 de l’IP. Elle est reconstruite depuis le registre et suit la durée du bannissement. Ces empreintes sont des pseudonymes techniques, pas des données anonymes ; le chiffrement de l’IP n’anonymise pas non plus l’association. Une connexion partagée peut bloquer plusieurs personnes et une IP dynamique peut changer d’utilisateur. Les copies déjà téléchargées ou entièrement hors connexion ne sont pas révoquées par ce contrôle.

Cette association de six mois et le registre de bannissement s’appliquent aussi aux nouveaux retours pédagogiques, sans modifier la durée de leur texte : deux ans après clôture pour les retours pédagogiques sans compte ; la durée maximale des retours ouverts reste à définir. L’expiration d’un accès ne prouve pas l’effacement matériel de toutes les copies. Les journaux techniques et sauvegardes suivent leurs règles distinctes ; leur conservation et le rejeu après restauration doivent être vérifiés séparément. Pour contester un bannissement ou exercer vos droits, contactez contact@outilspourlaclasse.fr avec les seuls éléments nécessaires à la demande. Voir aussi la politique de confidentialité.

Références vérifiées le 28 octobre 2026 pour ce complément : RGPD, articles 5 et 6, articles 12, 13 et 21 et articles 28, 30, 32 et 35. Ces références encadrent l’information et l’analyse ; elles ne valent pas validation de ce traitement par la CNIL.

5. Sécurité — mesures techniques et organisationnelles

• Accès au site en HTTPS, avec politique HSTS
• Hachage du mot de passe de l’administration via password_hash
• Double authentification pour l’administration ; contrôles d’accès réservés à l’exploitation
• En-têtes de protection : CSP, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
• Rate limiting sur les endpoints sensibles, protection CSRF
• Contenus des coffres locaux chiffrés au repos ; le QR ELV2 comporte un profil minimal lisible, décrit à la section 3
• Pour les listes locales : session personnelle protégée, écran verrouillé en cas d’absence et protection du disque selon les consignes de l’organisme. Une séance déverrouillée, un script malveillant ou un appareil compromis peuvent exposer les données malgré le chiffrement au repos.
• Dispositifs de sauvegarde et de chiffrement contrôlés de façon ciblée ; leur couverture et une restauration complète restent à vérifier périodiquement
• Tests automatisés et analyse statique ; ils ne constituent pas une certification de sécurité
• Les mesures et les risques sont réexaminés à chaque évolution significative du service

6. Durées de conservation

• Listes de classe nouvelles : conservez-les seulement pendant le besoin d’organisation retenu par l’organisme. Retirez les prénoms devenus inutiles au départ d’un élève ou à la fin du besoin ; vérifiez les listes en fin d’année scolaire. Toute conservation au-delà doit être justifiée et limitée. L’effacement est réalisé par le détenteur sur chaque appareil et dans les sauvegardes exportées ; les imprimés inutiles sont détruits. Exporter une sauvegarde ou verrouiller le coffre ne supprime pas la liste. L’éditeur ne peut pas la supprimer à distance.
• Ancien suivi : récupération close le 26 septembre 2026 ; les périmètres concernés de la base active ont été contrôlés à zéro ce jour-là, sans attestation de disparition de toutes les copies.
• Anciennes listes serveur : récupération close le 26 septembre 2026 ; leur purge ciblée dans la base active a été contrôlée le même jour. Les copies locales et sauvegardes sont distinctes.
• Anciennes préparations serveur : récupération close le 26 septembre 2026, avec purge ciblée de la base active contrôlée ce jour-là pour les contenus personnels, notamment les brouillons d’exercices, sorties, accompagnateurs, plans et corbeilles. Les exercices encore volontairement publiés dans la bibliothèque communautaire et leurs avis restent jusqu’à leur retrait ou leur modération.
• Comptes enseignants : retrait SQL constaté le 9 octobre 2026 ; aucune nouvelle conservation de compte enseignant n’est proposée. Les données encore présentes dans les messages, journaux, sauvegardes, copies de prestataires et anciens coffres locaux suivent leur périmètre propre.
• Journaux en base : Le 27 octobre 2026, l’éditeur a adopté six mois calendaires pour tous les appels de conservation des journaux d’audit et de sécurité, y compris la préparation de leur application à l’historique daté fiable. Cette décision remplace la cible antérieure de 90 jours ; elle n’autorise aucune activation nouvelle ni purge. Les éventuelles retenues pour incident ou litige restent à décider : leur absence n’est pas présumée. Les routines historiques ne sont pas modifiées par cette décision et l’application effective des six mois reste à vérifier. Les anciens repères de 7, 30 ou 90 jours selon les journaux applicatifs et le relevé de 365 jours pour l’événement SQL d’audit du 10 octobre décrivent des règles ou constats historiques, pas la preuve d’une purge actuelle. Les fichiers PHP natifs, journaux de l’hébergeur et sauvegardes ont leurs propres limites, certaines restant à confirmer. Les rapports Web Vitals sont retirés et leurs anciens fichiers supprimés par la maintenance et après restauration. Les événements analytiques historiques sont inclus dans la purge du 26 septembre 2026. La rotation des autres fichiers techniques est distincte.
• Pièces comptables : les pièces nécessaires sont conservées selon les obligations applicables, pendant 10 ans ; ce délai ne justifie pas la conservation générale des autres données.
• Sauvegardes : rétention applicative configurée de 15 jours. L'offre Cloud d'o2switch annonce des sauvegardes quotidiennes sur 45 jours, mais le contrôle du 18 septembre 2026 a relevé des copies plus anciennes. Ce délai ne constitue donc pas une garantie d'effacement de toutes les copies chez l'hébergeur ; leur durée maximale reste à confirmer. Une suppression en base active ne retire pas immédiatement ces copies. Les effacements et durées doivent être réappliqués avant toute réouverture après restauration.

Le nettoyage ciblé des sauvegardes applicatives a été publié le 10 octobre 2026 ; l’inventaire distant de ce jour a relevé des archives chiffrées de moins de quinze jours. Ce contrôle ne valide ni leur déchiffrement, ni l’authenticité des signatures, ni une restauration complète, ni le prochain passage automatique. Les copies historiques ou externes restent à examiner séparément.

Les plafonds techniques du carnet ne sont pas des durées imposées par la loi. Le responsable scolaire fixe une durée effective adaptée et plus courte si nécessaire ; l’effacement doit être vérifié sur chaque navigateur et dans les relevés déjà exportés. Les retours pédagogiques sans compte clôturés ont une rétention automatique de deux ans après clôture, publiée le 10 octobre 2026 ; le passage contrôlé portait sur une table vide et ne prouve pas l’effacement des messages dans les autres supports. Les retours ouverts ou en cours n’ont pas de durée maximale attestée.

7. Droits des personnes concernées

Les élèves, leurs représentants légaux et les enseignants peuvent demander l'accès, la rectification, l'effacement ou la limitation et exercer les droits d'opposition et de portabilité dans les conditions prévues par le RGPD. Contact : contact@outilspourlaclasse.fr, directement ou par l'enseignant. Une réponse est due dans un mois ; une prolongation motivée de deux mois au maximum peut être nécessaire, avec information dans le premier mois. Réclamation possible auprès de la CNIL.

Pour les coffres locaux, le détenteur de l’appareil et le responsable scolaire mettent en œuvre les droits sur chaque navigateur concerné. OPLC ne reçoit pas ces carnets et ne peut pas les supprimer à distance. L’élève ou sa famille peut consulter le relevé, l’exporter en JSON lisible et effacer le carnet depuis l’appareil ; les copies exportées sont distinctes.

Références : qualification des rôles par la CNIL et cadre scolaire des outils numériques.