Politique de confidentialité
Table des matières
Cette politique explique quelles données personnelles la plateforme Kiosk traite, pourquoi, combien de temps, avec qui elles sont partagées et comment exercer vos droits. Elle est établie conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 (« Informatique et libertés »).
1. Qui est responsable de vos données ?
Kiosk est éditée par la société Venio (voir les mentions légales), joignable à hey@kiosk-lab.fr. Selon les données, Venio intervient à deux titres différents.
Pour les enseignants et les étudiants qui utilisent la plateforme, le responsable de traitement est l'établissement scolaire qui a souscrit l'abonnement. C'est lui qui décide d'utiliser Kiosk, crée les classes et choisit qui y a accès. Venio agit comme sous-traitant de l'établissement, au sens de l'article 28 du RGPD : elle traite ces données uniquement sur ses instructions, dans le cadre d'un accord de traitement des données signé avec lui.
Pour ses propres besoins, Venio est responsable de traitement : relation commerciale avec les établissements (commandes, facturation, paiement, échanges avec leurs contacts), messages adressés à hey@kiosk-lab.fr, preuve de l'acceptation des conditions générales d'utilisation, sécurité de la plateforme, modération des contenus et traitement des signalements (voir la section 3).
[À COMPLÉTER : coordonnées du délégué à la protection des données de Venio s'il en est désigné un ; à défaut, supprimer cette mention.]
2. Données traitées pour le compte des établissements
2.1. Personnes concernées et données
| Catégorie | Données |
|---|---|
| Identité et compte | Prénom, nom, adresse e-mail, rôle (enseignant ou étudiant), numéro d'étudiant interne (par exemple e07), classe, mot de passe (enregistré sous forme chiffrée irréversible), préférences d'affichage |
| Connexion et sécurité | Session de connexion (adresse IP, navigateur, dernière activité), journal d'activité (action réalisée, date, adresse IP, nom et rôle de l'auteur) |
| Historique des opérations | Opérations demandées (création de classe, réinitialisation, instantané…), avec leur auteur, leur classe, les numéros d'étudiants concernés et leur résultat ; mots de passe initiaux chiffrés, en attente de téléchargement par l'enseignant |
| Journaux techniques | Journaux de consultation des sites d'entraînement (adresse IP des visiteurs, date, page demandée, navigateur) et journaux d'erreurs du serveur |
| Sites d'entraînement | Contenus créés par l'étudiant dans son site WordPress et sa boutique PrestaShop, identifiants d'administration de ces sites, instantanés |
| Exercices et évaluations | Fiches assignées, avancement, niveaux par critère, commentaire de l'enseignant, instantané lié |
| Mails capturés | E-mails émis par les sites d'entraînement, capturés et non délivrés |
| Demandes relatives à vos données | Demande de suppression faite depuis la page Profil : identité, rôle, établissement, classe, message facultatif, dates de la demande et de sa réponse |
| E-mails de la plateforme | Invitations et liens de réinitialisation du mot de passe envoyés à l'utilisateur |
Les sites d'entraînement ne doivent contenir que des données fictives (article 6 des CGU). Kiosk ne traite aucune donnée sensible au sens de l'article 9 du RGPD et ne demande ni date de naissance, ni adresse postale, ni photo des utilisateurs.
2.2. Finalités et bases légales
Ces données servent à fournir le service pédagogique : créer et gérer les comptes et les classes, créer les sites d'entraînement, permettre aux enseignants de suivre et de réinitialiser les sites, assurer l'assignation, le suivi et l'évaluation des exercices, afficher les mails capturés, envoyer les invitations et les liens de réinitialisation, et assurer la traçabilité des actions réalisées dans les classes.
La base légale est déterminée par l'établissement, responsable de traitement. Pour un établissement public, il s'agit en général de l'exécution d'une mission d'intérêt public (article 6.1.e du RGPD) ; pour un établissement privé, de l'exécution du contrat de scolarité ou de son intérêt légitime à proposer des outils pédagogiques (articles 6.1.b ou 6.1.f).
2.3. Durées de conservation
| Données | Durée |
|---|---|
| Comptes étudiants, sites, instantanés et mails capturés d'une classe | Jusqu'à la suppression de la classe par l'enseignant, recommandée à la fin de chaque année scolaire, et au plus tard trente jours après la fin de l'abonnement de l'établissement |
| Exercices, avancement et évaluations | Jusqu'à la suppression de la classe ou du compte de l'étudiant, et au plus tard trente jours après la fin de l'abonnement de l'établissement |
| Comptes enseignants | Jusqu'à la suppression du compte à la demande de l'établissement, et au plus tard trente jours après la fin de l'abonnement |
| Instantanés non protégés | Supprimés automatiquement après 30 jours |
| Mails capturés | Supprimés avec le site et lors de sa réinitialisation ; au-delà d'un nombre maximal par site, les plus anciens sont supprimés automatiquement |
| Demandes de suppression de données | Jusqu'à leur traitement, puis 12 mois pour justifier la réponse apportée, avant suppression automatique |
| Journal d'activité | 12 mois à compter de chaque entrée, puis suppression automatique, y compris après la fin de l'abonnement ; les entrées concernant des étudiants sont anonymisées (nom et adresse IP effacés) dès la suppression de leur classe |
| Historique des opérations | 12 mois, puis suppression automatique ; les mots de passe initiaux sont effacés dès leur téléchargement, et au plus tard 7 jours après la création de la classe |
| Journaux de consultation des sites | 14 jours (rotation quotidienne), et supprimés avec le site |
| Sessions de connexion | Supprimées après la déconnexion ou l'expiration de la session |
| Liens d'invitation et de réinitialisation | Valables 7 jours (invitation) et 60 minutes (réinitialisation), puis inutilisables |
Les copies techniques réalisées sur le serveur lors d'une opération de maintenance sont supprimées au plus tard trente jours après l'opération.
2.4. Exercer vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition sur vos données, dans les conditions prévues par le RGPD. L'établissement étant responsable de traitement, adressez votre demande en priorité à votre établissement (ou à son délégué à la protection des données). Si vous écrivez à Venio, votre demande lui sera transmise dans un délai de cinq jours ouvrés et Venio l'aidera à y répondre.
Depuis la page Profil de votre compte, vous pouvez par vous-même :
- télécharger vos données dans un fichier JSON daté : profil, rôle, établissement, acceptations des CGU, préférences, dernière connexion, avancement des exercices et évaluations publiées (étudiants) et entrées du journal d'activité qui vous concernent. Ce fichier ne contient ni mot de passe, ni jeton, ni identifiant de site ; chaque téléchargement est inscrit au journal d'activité ;
- demander la suppression de votre compte et de vos données. Cette suppression n'est pas automatique, car vos sites, vos évaluations ou vos classes dépendent de votre établissement : votre demande est transmise aux administrateurs de Kiosk, qui l'examinent avec l'établissement et vous répondent dans un délai d'un mois à compter de la demande. Un enseignant peut en outre supprimer lui-même le compte d'un étudiant de sa classe, avec ses sites ;
- modifier votre nom (enseignants et responsables) et votre mot de passe.
3. Données traitées par Venio comme responsable de traitement
| Finalité | Données | Base légale | Durée de conservation |
|---|---|---|---|
| Gestion des commandes, des abonnements et de la relation avec les établissements | Nom de l'établissement, nom, fonction, adresse e-mail et téléphone professionnels des contacts, adresse de facturation, historique des commandes | Intérêt légitime de Venio à gérer sa relation avec ses clients (article 6.1.f) | Durée de la relation commerciale |
| Prospection auprès des établissements | Nom, fonction et coordonnées professionnelles des contacts | Intérêt légitime (article 6.1.f) ; opposition possible à tout moment | 3 ans après le dernier contact |
| Facturation et comptabilité | Factures, références de commande, données de facturation | Obligation légale (article 6.1.c) | 10 ans à compter de la clôture de l'exercice (article L. 123-22 du code de commerce) |
| Paiement en ligne | Nom et e-mail du payeur, montant, date, identifiant de transaction ; les données de carte sont traitées par Stripe seul | Exécution du contrat (article 6.1.b) | Durée de l'abonnement, puis durée de conservation des pièces comptables |
| Preuve de l'acceptation des CGU | Compte, version acceptée, date et heure, adresse IP | Intérêt légitime de Venio à prouver l'acceptation de ses conditions (article 6.1.f) | Durée du compte ; supprimée avec lui |
| Sécurité de la plateforme | Adresse IP, sessions, journal d'activité, journaux techniques | Intérêt légitime de Venio à protéger son service (article 6.1.f) | Durées indiquées en section 2.3 |
| Modération, blocage de comptes et traitement des signalements de contenus illicites | Nom et e-mail de l'auteur du signalement, compte et contenu en cause, décision prise et sa motivation | Obligation légale (article 6.1.c, règlement (UE) 2022/2065 sur les services numériques) | 1 an après la clôture du signalement |
Réponse aux messages envoyés à hey@kiosk-lab.fr |
Nom, adresse e-mail, contenu du message | Intérêt légitime de Venio à répondre aux demandes (article 6.1.f) | 3 ans après le dernier échange |
Vous pouvez exercer vos droits (accès, rectification, effacement, limitation, opposition, portabilité lorsque le traitement repose sur le contrat) et définir des directives sur le sort de vos données après votre décès (article 85 de la loi « Informatique et libertés ») en écrivant à hey@kiosk-lab.fr. Venio vous répond dans un délai d'un mois. Elle peut vous demander une information complémentaire si elle a un doute raisonnable sur votre identité.
4. Destinataires et sous-traitants
Les données sont accessibles, dans la limite de leurs besoins :
- à l'administrateur de Venio, pour exploiter la plateforme et assurer l'assistance ;
- aux enseignants de l'établissement, pour les données de leurs classes ;
- aux étudiants, pour leurs propres données et leurs sites.
Venio fait appel aux prestataires suivants :
| Prestataire | Rôle | Localisation des données |
|---|---|---|
| IONOS SE (Montabaur, Allemagne) | Hébergement du serveur de la plateforme ; messagerie et envoi des e-mails de la plateforme | Union européenne |
| Stripe Payments Europe, Limited (Dublin, Irlande) | Paiement en ligne des abonnements | Union européenne, avec des transferts possibles vers les États-Unis (voir section 5) |
Stripe agit aussi en tant que responsable de traitement indépendant pour ses propres obligations (lutte contre la fraude et le blanchiment, obligations réglementaires). Sa politique de confidentialité est disponible sur stripe.com/fr/privacy.
Police de caractères. L'interface de Kiosk charge la police Plus Jakarta Sans depuis le service Google Fonts. Votre navigateur se connecte alors aux serveurs de Google, qui reçoivent votre adresse IP et des informations sur votre navigateur. Google traite ces données en tant que responsable de traitement indépendant, selon sa propre politique de confidentialité (policies.google.com/privacy).
Venio ne vend ni ne loue aucune donnée personnelle et n'en fait aucun usage publicitaire.
5. Transferts hors de l'Union européenne
Les serveurs de la plateforme et les données des établissements sont hébergés dans l'Union européenne.
Certaines données de paiement peuvent être transférées par Stripe aux États-Unis, et l'adresse IP des visiteurs peut être reçue par Google aux États-Unis lors du chargement de la police de caractères (section 4). Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (« Data Privacy Framework »), à laquelle ces sociétés ont adhéré, et, à défaut, par les clauses contractuelles types adoptées par la Commission européenne.
6. Cookies et stockage local
Kiosk n'utilise aucun cookie publicitaire, aucun outil de mesure d'audience et aucun traceur tiers. Elle dépose uniquement les cookies strictement nécessaires à son fonctionnement, qui sont dispensés de consentement (article 82 de la loi « Informatique et libertés ») :
| Nom | Rôle | Durée |
|---|---|---|
kiosk-session |
Maintenir votre session de connexion | 2 heures d'inactivité |
XSRF-TOKEN |
Protéger les formulaires contre la falsification de requêtes (CSRF) | 2 heures |
remember_web_… |
Vous garder connecté, uniquement si vous cochez « Se souvenir de moi » | 30 jours |
Le navigateur conserve aussi, dans son stockage local, deux préférences d'affichage qui ne quittent pas votre appareil : le thème clair ou sombre (kiosk-theme) et la présentation de la liste des sites (kiosk-class-view).
Les sites d'entraînement WordPress et PrestaShop déposent leurs propres cookies de fonctionnement (connexion à l'administration, panier). PrestaShop intègre en outre ses modules de statistiques, qui enregistrent les visites de la boutique d'entraînement (pages vues, adresse IP) et les rendent visibles à l'étudiant et à son enseignant dans l'administration de la boutique. Les sites ne contiennent aucun outil de mesure d'audience tiers, sauf si un étudiant en installe un dans le cadre d'un exercice.
7. Sécurité
Venio met en œuvre des mesures adaptées pour protéger les données : chiffrement des échanges (HTTPS), mots de passe chiffrés de manière irréversible, contrôle des accès selon le rôle, isolement de chaque site d'entraînement (utilisateur système, processus PHP et base de données propres), limitation des tentatives de connexion, journal des actions sensibles et capture des e-mails des sites. Les instantanés et copies techniques sont conservés sur le même serveur : aucune sauvegarde n'est faite sur un site distinct.
En cas de violation de données, Venio prévient l'établissement concerné dans les conditions de l'accord de traitement des données, pour qu'il puisse en informer la CNIL et, le cas échéant, les personnes concernées.
8. Réclamation auprès de la CNIL
Si vous estimez, après avoir contacté l'établissement ou Venio, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.
9. Modification de cette politique
Cette politique peut être mise à jour, notamment en cas d'évolution de la plateforme ou de ses prestataires. La version en vigueur et sa date de mise à jour sont indiquées en tête de cette page.