Politique de confidentialité et de protection des données personnelles

Article 1. Rôles de chacun

Les établissements scolaires clients sont responsables de traitement des données des étudiants et de leurs familles. Ils créent librement leurs formulaires, choisissent les données collectées, leurs finalités et leurs durées de conservation, et s'assurent de la licéité du traitement, notamment de l'information des étudiants et, pour les étudiants mineurs, de leurs représentants légaux.

L'Éditeur agit en qualité de sous-traitant pour ces données : il les traite uniquement sur instruction des établissements, dans les conditions de l'Annexe 1 des CGU/CGV, et ne les utilise jamais à ses propres fins.

L'Éditeur est responsable de traitement uniquement pour les données nécessaires à sa relation commerciale avec ses clients (article 8).

Article 2. Personnes et données concernées

Les personnes concernées sont les étudiants et candidats, dont certains peuvent être mineurs, leurs parents ou représentants légaux, et le personnel des établissements qui utilise la Plateforme.

Les données habituellement traitées pour le compte des établissements sont :

• Identité : nom, prénom, date, ville et pays de naissance.
• Coordonnées : adresse postale, e-mail, téléphone.
• Données relatives aux parents ou représentants légaux.
• Scolarité : numéro INE, baccalauréat, études et diplômes antérieurs.
• Données de connexion du personnel : adresse IP, horodatage des sessions.
• Toute autre donnée que l'établissement choisit de collecter via ses formulaires, sous sa seule responsabilité.

Données interdites : la Plateforme ne doit pas être utilisée pour collecter les données dites sensibles au sens de l'article 9 du RGPD (notamment santé, handicap, origine, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, orientation sexuelle, données génétiques ou biométriques), le numéro de sécurité sociale, les données relatives aux condamnations et infractions, ni les données bancaires.

Article 3. Finalités

Pour le compte des établissements, l'Éditeur traite ces données dans le seul but de :

• Héberger et sécuriser les données, et en assurer la sauvegarde.
• Permettre la collecte, la structuration, la consultation et l'export des dossiers par le personnel habilité.
• Envoyer les e-mails nécessaires au fonctionnement du service : liens d'accès personnels et codes de connexion.

Article 4. Sous-traitants ultérieurs et transferts hors de l'Union européenne

L'Éditeur fait appel aux prestataires suivants :

• Hostinger International Ltd (Chypre) : hébergement du serveur. Les données sont hébergées dans un centre de données situé à Paris, en France.
• Plus Five Five, Inc., opérant sous le nom Resend (États-Unis) : envoi des e-mails. Seules les données nécessaires à l'envoi lui sont transmises : adresse e-mail, nom et prénom du destinataire, lien d'accès et, pour le personnel, code de connexion. Aucune autre donnée du dossier n'est transmise. Ce transfert vers les États-Unis est encadré par la certification de Resend au Data Privacy Framework (EU-US DPF), reconnu par la Commission européenne, et par les clauses contractuelles types de la Commission européenne incluses dans son accord de traitement des données.

Aucun autre transfert hors de l'Union européenne n'est effectué. L'Éditeur ne vend, ne loue et ne cède aucune donnée personnelle des étudiants, des familles ou du personnel scolaire.

Article 5. Cookies et traceurs

La Plateforme n'utilise aucun cookie publicitaire, de pistage ou de mesure d'audience.

Seuls des jetons de session strictement nécessaires à l'authentification et à la sécurité de la navigation sont utilisés. Conformément aux lignes directrices de la CNIL, ils ne nécessitent pas de consentement préalable.

Article 6. Sécurité

L'Éditeur met en œuvre notamment les mesures suivantes :

• Connexion sans mot de passe : le personnel se connecte avec un code à usage unique envoyé par e-mail, valable 10 minutes, avec blocage après 3 essais. Les étudiants accèdent à leur dossier par un lien personnel contenant un identifiant aléatoire complexe. Aucun mot de passe n'est stocké.
• Cloisonnement : les données de chaque établissement sont séparées logiquement par des identifiants uniques.
• Chiffrement : les communications sont chiffrées (HTTPS/TLS).
• Sauvegardes : une sauvegarde par heure, conservée 48 heures, puis une par jour, conservée 14 jours. Une copie est stockée sur un support chiffré situé en France, dans les locaux de l'Éditeur et sous son contrôle exclusif.
• Administration : le serveur, situé en France, est administré exclusivement par l'Éditeur, qui applique régulièrement les mises à jour de sécurité.

En cas de violation de données, l'Éditeur en informe l'établissement concerné dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance.

Article 7. Durées de conservation

• Pendant le contrat : chaque établissement fixe la durée de conservation de ses données et dispose d'outils de suppression.
• À la fin du contrat : l'établissement peut consulter et exporter ses données pendant 30 jours. Les données sont ensuite supprimées de la base active dans un délai de 30 jours, puis effacées des sauvegardes au plus tard 14 jours après, par la rotation automatique.
• Journaux de connexion : 12 mois au plus, à des fins de sécurité.

Article 8. Données traitées par l'Éditeur pour son propre compte

Pour gérer la relation commerciale (devis, facturation, support, sécurité des accès), l'Éditeur traite les nom, prénom, fonction, e-mail et téléphone des interlocuteurs de ses clients. Ce traitement repose sur l'exécution du contrat et sur les obligations légales de l'Éditeur, notamment comptables.

Ces données sont conservées pendant la durée du contrat. Les pièces comptables (devis acceptés, factures) sont conservées 10 ans, conformément à la loi. La facturation est réalisée via la solution Indy (France).

Article 9. Exercice de vos droits

Toute personne concernée dispose d'un droit d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité de ses données.

Étudiants et familles : l'établissement scolaire étant responsable de traitement, adressez vos demandes directement à votre établissement. Si l'Éditeur reçoit une demande directement, il la transmet sans délai à l'établissement concerné.

Interlocuteurs des clients : pour les données traitées par l'Éditeur pour son propre compte (article 8), écrivez à kevin.racca@pm.me.

Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).