Analyse d'Impact relative à la Protection des Données (AIPD)
| Éditeur du document | M. Boisnel Anthony — Artiste-auteur. Les rôles pour le suivi scolaire sont à établir avec l'institution : répartition des responsabilités. |
| Referent protection des données | contact@outilspourlaclasse.fr |
| Traitement concerne | Plateforme pedagogique Outils Pour La Classe (outilspourlaclasse.fr) |
| Date de l'AIPD | Établie en avril 2026 |
| Version | 1.2 — Révision documentaire le 7 septembre 2026 ; revue juridique et opérationnelle à poursuivre |
1.1 Vue d'ensemble du traitement
Nature : Plateforme web pedagogique SaaS destinee aux enseignants du primaire (CP-CM2) et a leurs élèves (5-11 ans).
Perimetre : France metropolitaine et DOM-TOM, etablissements scolaires publics et prives.
Fonctionnalites :
- Generation de fiches d'exercices PDF personnalisees et différenciées
- Entrainement interactif en ligne avec adaptation au niveau de l'élève
- Suivi de la progression pedagogique par l'enseignant
- Activites multijoueur cooperatives et competitives (boss fight, arena, course)
- Outils de classe (timer, roue aleatoire, tirage au sort, emploi du temps)
1.2 Donnees a caractère personnel traitees
| Categorie | Donnees | Caractere |
|---|---|---|
| Enseignant — identite | Email, prénom, nom, ecole, niveau principal | Ordinaire |
| Enseignant — authentification | Mot de passe (hache bcrypt), 2FA optionnel | Ordinaire |
| Enseignant — paiement | Donnees bancaires (traitees par Stripe, non stockees) | Ordinaire |
| Élève — identite | Prenom (obligatoire), nom de famille (optionnel) | Ordinaire |
| Élève — authentification | Mot de passe personnel (hache bcrypt, min. 4 caractères) | Ordinaire |
| Élève — pedagogique | Scores, temps, progression, niveaux, exercices realises | Ordinaire |
| Élève — adaptations pédagogiques | Préférences fonctionnelles d'adaptation de l'interface (7 cases à cocher : confort de lecture, aides visuelles en maths, cibles agrandies, interface épurée, routine prévisible, aide visuelle renforcée, alternative audio) + police, taille de texte, contrastes. Aucun diagnostic n'est demandé par ce traitement. Cases optionnelles, renseignées uniquement par l'enseignant. | Ordinaire — vigilance (une préférence peut indirectement suggérer un besoin particulier) |
| Élève — vie scolaire | Présences (statut matin/après-midi, cantine), suivi du comportement (couleur du jour, motif en texte libre chiffré au repos AES-256-GCM), prêts de matériel, mots aux familles, fluence en lecture (MCLM), portfolio de l'élève (journal hebdomadaire, réussites, productions — contenu chiffré au repos AES-256-GCM). Saisies uniquement par l'enseignant (cf. registre, traitements n°14 à 16). | Ordinaire — vigilance (comportement = donnée disciplinaire d'un mineur) |
| Élève — ressenti (météo des émotions) | Meteo du jour declaree par l'élève (5 valeurs symboliques : soleil → orage), date. Aucun texte libre. Purge automatique a 60 jours. | Vigilance renforcee (ressenti declaratif d'un mineur, hors Art. 9) |
1.3 Adaptations pédagogiques : absence de diagnostic dans ce traitement (frontière Art. 9)
Choix de conception (mis en œuvre le 17/07/2026) : le traitement des adaptations ne stocke aucun diagnostic ni nom de trouble. Ce qui y est enregistré, ce sont des préférences fonctionnelles d'affichage et d'usage : « confort de lecture » (police adaptée, texte aéré), « aides visuelles en maths », « cibles agrandies », « interface épurée », « routine prévisible », « aide visuelle renforcée », « alternative audio ». Ces libellés décrivent ce que fait l'adaptation, jamais un état de l'élève. Cette qualification ne couvre pas les fonctions distinctes comportant des informations médicales ou des zones de texte libre.
Finalité : adapter les exercices (police OpenDyslexic, règle de lecture, surlignage syllabique, consignes simplifiées), dans l'esprit des aménagements prévus par la loi du 11 février 2005 et la circulaire n°2015-129 sur les PAP — sans que la plateforme ait besoin de connaître la raison de l'adaptation.
Base légale : à établir avec le responsable institutionnel selon l'usage. L'intérêt légitime auparavant invoqué ne suffit pas sans analyse de nécessité et de mise en balance. La qualification des préférences et l'applicabilité éventuelle de l'article 9 doivent être examinées, notamment au regard des inférences possibles et des textes libres. Un réglage fonctionnel ne constitue pas automatiquement une donnée de santé.
Garanties maintenues :
- Preferences facultatives — l'enseignant n'est pas oblige de les renseigner
- Renseignees uniquement par l'enseignant (jamais par l'élève ni un tiers)
- Jamais exposees aux parents d'autres élèves ni dans les API publiques ; l'élève voit uniquement des libellés fonctionnels (« Mes adaptations : confort de lecture »)
- Accès limités aux enseignants autorisés pour la classe ; interventions techniques nécessaires réservées aux personnes habilitées
- Non transmises aux sous-traitants de paiement ; le monitoring actif repose sur les journaux locaux.
- Les parents peuvent demander la suppression de ces préférences a tout moment via l'enseignant ou contact@outilspourlaclasse.fr
Risque résiduel — champs de texte libre : les zones « notes » restent des champs libres où un enseignant pourrait saisir une information médicale malgré la consigne affichée (« ne saisissez pas de diagnostic ni d'information médicale »). La saisie de notes médicales dans les sorties est supprimée. Les anciennes valeurs éventuelles restent accessibles dans l'export RGPD jusqu'à leur purge.
1.4 Personnes concernees
- Enseignants : adultes majeurs ; effectif actif à vérifier
- Élèves : 3 869 élèves actifs déclarés par l’éditeur le 7 septembre 2026, chiffre non contrôlé en base (mineurs de 5 a 11 ans — catégorie vulnérable)
1.5 Destinataires des données
| Destinataire | Acces | Localisation | Garanties |
|---|---|---|---|
| Enseignant proprietaire | Donnees de ses propres élèves uniquement | - | Authentification + vérification de propriete |
| o2switch SARL (hebergeur) | Donnees stockees | France | Contrat, accès et mesures effectives à vérifier |
| Stripe Payments Europe Ltd (paiement) | Donnees bancaires enseignant | Irlande (UE) — transfert intra-groupe vers Stripe, Inc. (USA) | Contrats, rôle et garanties de transfert à vérifier ; PCI-DSS ne garantit pas la conformité RGPD |
Note : le destinataire CARTO (fonds de carte des jeux de géographie, adresse IP transmise au chargement des tuiles) a été supprimé le 12/07/2026 — les fonds de carte sont désormais self-hostés, aucune donnée ne sort vers un tiers pour cette fonctionnalité.
1.6 Supports des données
- Logiciel : Application PHP 8.3, base MySQL/MariaDB
- Materiel : Serveur mutualise o2switch (Clermont-Ferrand, France)
- Canaux : HTTPS (TLS 1.2+), API REST, Server-Sent Events
2.1 Finalites du traitement
| Finalite | Base legale | Conformité |
|---|---|---|
| Fournir le service de compte à l'enseignant | Exécution du contrat (Art. 6.1.b), limitée aux opérations nécessaires au service demandé | Périmètre à vérifier |
| Suivi scolaire et adaptation des exercices | Base à établir avec l'institution. Mission d'intérêt public si applicable à ses missions ; intérêt légitime non acquis par la seule finalité éducative. | À établir |
| Adapter l'affichage et l'ergonomie (préférences d'adaptation) | Intérêt légitime éducatif affiché ; qualification à confirmer (cf. section 1.3) | À valider |
| Securiser les comptes (mot de passe, 2FA) | Intérêt légitime de sécurité (Art. 6.1.f) pour les finalités propres d'OPLC | Proportionnalité à documenter |
| Facturation et obligations comptables | Obligation légale (Art. 6.1.c), limitée aux données requises | Application à vérifier |
2.2 Profilage pedagogique (Article 22)
Description : La plateforme utilise des mécanismes d'adaptation et des indicateurs de suivi pédagogique :
- Adaptation du niveau de difficulte : Apres chaque exercice, le systeme ajuste la difficulte (facile/moyen/difficile) en fonction du score obtenu. Algorithme deterministe : score >80% = difficulte augmente, score <40% = difficulte diminue.
- Recommandation d'exercices : Suggestion d'exercices cibles sur les lacunes detectees (ex : un élève faible en multiplication recevra plus d'exercices de multiplication).
- Repetition espacee : Algorithme SM-2 qui planifie les revisions au moment optimal pour la memorisation a long terme.
- Indicateurs de vigilance et projections : tableaux de bord calculés à partir des résultats, de l'assiduité et de tendances de progression, affichés à l'enseignant comme aide à la décision.
Limites d'usage à faire respecter : ces indicateurs ne doivent pas, sans examen humain effectif, déterminer une décision affectant l'élève. Il faut vérifier l'absence de :
- Décision autonome produisant un effet juridique sur l'élève
- Classement, note ou appreciation transmise a un tiers
- Décision autonome d'orientation scolaire ou effet significatif comparable
- Publicite ou sollicitation commerciale
Droits et intervention humaine : les parents ou l'enseignant peuvent demander l'examen d'un indicateur ou s'opposer au traitement dans les conditions applicables. La réponse doit couvrir tous les calculs concernés, sans présumer qu'un simple réglage d'affichage les désactive. Contact : contact@outilspourlaclasse.fr.
2.3 Minimisation des données
Donnees facultatives (renseignees uniquement si l'enseignant le decide) : nom de famille, surnom, genre, photo (avatar), préférences d'adaptation pédagogique (libellés fonctionnels, cf. 1.3), notes pedagogiques.
Données non nécessaires au compte élève : email, adresse postale ou téléphone personnel de l’enfant. Les zones libres nécessitent une vigilance particulière : une consigne ne garantit pas l’absence de saisie inappropriée.
2.4 Qualite et exactitude des données
L'enseignant peut modifier les informations de ses élèves a tout moment. L'élève peut changer son mot de passe.
2.5 Durees de conservation
| Donnee | Duree | Mecanisme |
|---|---|---|
| Comptes enseignant | 3 ans après dernière connexion | Anonymisation automatique (cron quotidien) |
| Profils élèves | Année scolaire + 1 an ET plus de 12 mois sans activité | La purge nécessite les deux conditions. Une activité inconnue impose un contrôle. Les identifiants ou statistiques résiduels ne sont pas présumés anonymes. Durées et suppression anticipée à préciser avec l'institution. |
| Donnees de facturation | 10 ans | Obligation legale (Code du commerce) |
| Traces RGPD | 5 ans selon leur horodatage ; attestation familles conservée tant que la classe existe | Politique et exceptions à vérifier ; l'attestation d'information n'est pas un consentement parental. |
| Logs de sécurité | 90 jours | Purge automatique (cron quotidien) |
| Météo des émotions (ressenti élève) | 60 jours | Purge automatique (cron quotidien) |
| Cookies de session | Fermeture navigateur ; expiration serveur après 4h d'inactivité, 8h maximum | Expiration automatique |
2.6 Information des personnes
| Public | Moyen d'information | Statut |
|---|---|---|
| Enseignants | CGU et politique de confidentialité à l'inscription ; mise à jour à porter à la connaissance des comptes existants | Diffusion à vérifier |
| Parents | Modèle imprimable à compléter avec l'institution et remettre aux familles | Remise effective à vérifier |
| Élèves | Explication adaptée à l'âge, proposée dans la fiche familles et à reprendre en classe | Compréhension à vérifier |
2.6bis Utilisation de l'intelligence artificielle
Perimetre : Le code source du site et les contenus pedagogiques (exercices, dictées, problèmes, leçons, quiz, questions des jeux) sont generes avec l'aide d'IA generative (ex : Claude d'Anthropic), en amont et hors-ligne, sous direction et validation d'un enseignant du primaire.
Aucun appel a une IA externe au runtime : lorsque le site est utilise par un élève, aucune donnée personnelle (prénom, classe, score, reponse) n'est transmise a un service d'IA externe (OpenAI, Anthropic, Google, etc.). Tous les traitements s'executent sur les serveurs OPLC en France (O2switch).
Adaptation pedagogique : les algorithmes d'adaptation de difficulte et de repetition espacee sont des algorithmes deterministes (cf. section 2.2), pas des modèles d'IA generative.
Validation humaine : chaque contenu produit par IA est relu et corrige par l'enseignant avant publication. Un canal de signalement d'erreur est ouvert (contact@outilspourlaclasse.fr) et les corrections sont apportees rapidement.
Évaluations automatisées : les recommandations et projections peuvent relever du profilage et, selon leur fonctionnement, de la définition d'un système d'IA. L'absence d'appel à une IA externe ne suffit pas à écarter cette qualification. L'enseignant doit pouvoir comprendre, discuter et corriger les indicateurs utilisés.
Cadre à examiner : RGPD et règlement européen sur l’intelligence artificielle selon les fonctionnalités et leur usage. Le classement à risque limité n’est pas acquis ; le cas des systèmes évaluant les apprentissages ou orientant le processus pédagogique doit être étudié.
2.7 Consentement et exercice des droits
| Droit | Implementation | Statut |
|---|---|---|
| Acces (Art. 15) | Export JSON depuis Mon Compte | OK |
| Rectification (Art. 16) | Modification profil, edition élève par l'enseignant | OK |
| Effacement (Art. 17) | Suppression compte + saisie "SUPPRIMER" + mot de passe | OK |
| Portabilite (Art. 20) | Export JSON ; applicabilité selon la base et les données fournies, distincte du droit d'accès | Périmètre à vérifier |
| Opposition (Art. 21) | Contact du referent protection des données, retrait consentement newsletter/analytics | OK |
| Information des familles et article 8 | La case de création de classe et la fiche ne sont pas un consentement parental. L'article 8 ne s'applique qu'aux traitements fondés sur le consentement dans son champ propre. | Base et procédure à établir selon l'usage |
Échelle de gravite : 1 = Negligeable, 2 = Limitee, 3 = Importante, 4 = Maximale
Échelle de vraisemblance : 1 = Negligeable, 2 = Limitee, 3 = Importante, 4 = Maximale
3.1 Acces illegitime aux données
| Evenement redoute | Impacts | Sources de risque | Gravite | Vraisemblance | Mesures existantes |
|---|---|---|---|---|---|
| Un tiers accede aux données des élèves | Atteinte a la vie privee des mineurs, exposition des préférences d'adaptation | Attaquant externe, élève curieux, parent malveillant | 2 | 1 | Mot de passe élève (bcrypt), isolation par classe, sessions securisees, rate limiting, CSRF, CSP |
| Un élève accede au compte d'un camarade | Modification des résultats, atteinte a l'egalite | Élève de la même classe | 1 | 1 | Mot de passe personnel obligatoire, reset par l'enseignant |
| Vol de la base de données | Exposition prénoms + scores + préférences d'adaptation | Attaquant externe | 2 | 1 | Mots de passe haches (bcrypt), hebergement securise France, pas de données directement identifiantes (pas de nom obligatoire, pas d'email élève) |
Risque residuel : À réévaluer après contrôles ; niveau faible non démontré
3.2 Modification non desiree des données
| Evenement redoute | Impacts | Sources de risque | Gravite | Vraisemblance | Mesures existantes |
|---|---|---|---|---|---|
| Modification des résultats d'un élève | Faussement du suivi pedagogique | Élève, bug logiciel | 1 | 1 | Seul l'enseignant peut supprimer des résultats, transactions DB, 35 667 tests automatises |
| Injection SQL modifiant les données | Corruption de la base de données | Attaquant externe | 2 | 1 | Requetes préparées (PDO) exclusivement, PHPStan level 8, audit OWASP |
Risque residuel : À réévaluer après contrôles ; niveau faible non démontré
3.3 Disparition des données
| Evenement redoute | Impacts | Sources de risque | Gravite | Vraisemblance | Mesures existantes |
|---|---|---|---|---|---|
| Perte de la base de données | Perte du suivi pedagogique | Panne serveur, erreur humaine | 2 | 1 | Sauvegardes prévues ; fréquence, chiffrement et restauration à contrôler. Réplication non vérifiée. |
| Suppression accidentelle par l'enseignant | Perte des résultats d'un élève | Erreur de manipulation | 1 | 1 | Confirmation obligatoire avant suppression, soft delete avec anonymisation |
Risque residuel : À réévaluer après contrôles ; niveau faible non démontré
4.1 Cartographie des risques
| Risque | Conséquence possible | Contrôle nécessaire | Risque résiduel |
|---|---|---|---|
| Accès illégitime par un tiers | Divulgation d'informations sur un enfant | Autorisations, sessions, liens de partage | À réévaluer |
| Accès d'un autre élève | Exposition de résultats ou observations | Isolation des comptes et appareils partagés | À réévaluer |
| Vol de base de données | Exposition potentiellement étendue | Accès serveur, chiffrement et gestion des clés | À réévaluer |
| Modification de résultats | Suivi pédagogique faussé | Droits d'écriture et traçabilité | À réévaluer |
| Injection SQL | Lecture ou modification non autorisée | Requêtes préparées et tests ciblés | À réévaluer |
| Perte de données | Interruption du suivi et de l'exercice des droits | Sauvegardes et restauration testée | À réévaluer |
| Profilage inadapté | Stigmatisation ou interprétation erronée | Nécessité, explication et intervention humaine | À examiner |
Les protections décrites ne suffisent pas à qualifier tous les risques de faibles. La gravité et la vraisemblance doivent être appréciées au regard des données de mineurs, des usages réels et des contrôles opérationnels.
4.2 Plan d'action
| Action | Responsable | Echeance | Statut |
|---|---|---|---|
| Mise en place du mot de passe élève | Developpeur | Avril 2026 | Fait |
| Fiche d'information parents imprimable | Developpeur | Avril 2026 | Fait |
| Case consentement RGPD création de classe | Developpeur | Avril 2026 | Fait |
| Purge automatique des comptes inactifs | Exploitation | Contrôle périodique | Exécution à vérifier |
| Contrat Stripe et revue des flux de monitoring | Responsable traitement | À vérifier | À faire |
| Revision annuelle de l'AIPD | Responsable traitement | Avril 2027 | A faire |
4.3 Note sur le referent protection des données
Aucun délégué à la protection des données (DPO) n'est formellement désigné au sens de l'article 37 du RGPD. Cette situation ne constitue pas une exemption établie :
- L'article 37 impose notamment une analyse du suivi régulier et systématique à grande échelle ainsi que des catégories particulières de données ; la taille réduite d'une structure ne suffit pas, à elle seule, à écarter cette obligation.
- Aucun avis indépendant n'a été reçu sur l'obligation de désigner un DPO. L'indépendance et les conflits d'intérêts doivent être examinés avant toute désignation interne.
M. Boisnel Anthony agit comme referent protection des données — point de contact pour l'exercice des droits (dpo@outilspourlaclasse.fr / contact@outilspourlaclasse.fr) — sans revendiquer la qualité de DPO désigné. Une revue indépendante de l'article 37 reste à obtenir.
4.4 Avis du responsable du traitement
La revue doit établir les points suivants :
- La justification de chaque finalité et de sa base légale.
- La nécessité de chaque donnée, y compris les champs facultatifs et les textes libres.
- Les adaptations reposent sur des préférences fonctionnelles ; des fonctions distinctes peuvent comporter des informations médicales ou des textes libres. Leur nécessité et leur régime juridique doivent être revus séparément.
- La proportionnalité du profilage pédagogique, ses effets réels et l'exercice effectif des droits.
- Les mesures de sécurité et les risques résiduels nécessitent une validation opérationnelle périodique.
- L'effectivité des droits et l'information des parents doivent être vérifiées au regard de chaque base légale ; l'article 8 ne s'applique qu'aux traitements fondés sur le consentement dans son champ propre.
Conclusion : ce document ne vaut pas autorisation ni validation indépendante de mise en œuvre. Les points identifiés comme « à valider » requièrent une revue juridique et opérationnelle.
Document établi en avril 2026 par M. Boisnel Anthony, éditeur et référent protection des données. La version de référence est conservée dans l'historique du dépôt de code du projet, qui fait foi pour l'antériorité des versions successives.