Politique de confidentialité

SimulyPro – Version 1 – À COMPLÉTER (DATE_VERSION)

1. Qui fait quoi ?

Le Service est utilisé par des établissements d'enseignement (« l'établissement » ou « le Client ») qui y inscrivent leurs classes. Deux situations existent :

Situation	Qui décide ?	Rôle de l'Éditeur
A. Données des élèves et des enseignants utilisateurs (comptes, classes, résultats, sauvegardes)	L'établissement détermine pourquoi et comment ces données sont utilisées : il en est responsable de traitement	Sous-traitant (art. 28 du RGPD) : l'Éditeur ne traite ces données que sur instruction documentée de l'établissement, selon le contrat de sous-traitance
B. Données de gestion (contacts du client, facturation, support, sécurité du site)	L'Éditeur	Responsable de traitement

Responsable de traitement pour la situation B :
SimulyPro, exploité par À COMPLÉTER (EXPLOITANT), EI, SIRET À COMPLÉTER (SIRET), À COMPLÉTER (ADRESSE).
Contact données personnelles : À COMPLÉTER (COURRIEL_DONNEES). Délégué à la protection des données : À COMPLÉTER (DPD).

Pour la situation A, les demandes sont adressées en priorité à l'établissement : [coordonnées du chef d'établissement et du délégué à la protection des données de l'établissement – renseignées par chaque établissement].

2. Données traitées

2.1 Élèves (situation A)

Donnée	Détail
Pseudo	choisi par l'élève (2 à 20 caractères). Aucun nom, prénom, e-mail, date de naissance, photo, localisation n'est demandé
Rattachement	code de classe saisi, classe, niveau de formation
Identifiant de session	jeton technique aléatoire stocké dans le navigateur de l'élève, permettant de reconnaître l'élève sans mot de passe
Code personnel (option, uniquement dans les classes où l'enseignant l'a activée pour une séance évaluée)	code à 4 chiffres choisi par l'élève à sa première connexion, redemandé ensuite. Il est stocké haché (algorithme bcrypt, avec un sel propre à chaque élève), jamais en clair ; ni l'enseignant, ni l'Éditeur ne peuvent le lire dans l'application. Sont conservés avec lui un compteur d'échecs consécutifs et l'heure de fin d'un éventuel blocage. Aucune autre donnée n'est demandée
Connexion	date de création et de dernière connexion
Résultats de jeu	jeu, niveau, étape, score, score maximal, taux de réussite, durée, nombre d'erreurs et de tentatives, partie terminée ou non, indicateurs de compétences travaillées
Sauvegarde de partie	état d'avancement du jeu pour reprise
Transfert entre classes	historique : pseudo, classe d'origine et de destination, enseignant, date, note éventuelle de l'enseignant

Un pseudo associé à une classe reste une donnée à caractère personnel pseudonymisée : l'enseignant peut savoir quel élève se cache derrière un pseudo (art. 4, point 5, et considérant 26 du RGPD).

2.2 Enseignants et personnels utilisateurs (situation A)

Adresse e-mail professionnelle, nom affiché, mot de passe (stocké sous forme chiffrée irréversible – « haché »), rôle (enseignant / administrateur), statut du compte, indicateur de changement de mot de passe à la première connexion, date de création, classes créées (nom, niveau, code), partages de classes avec d'autres enseignants.

2.3 Gestion de la relation avec le client (situation B)

Nom, fonction, courriel professionnel et téléphone des référents et signataires de l'établissement, données du bon de commande et de facturation (SIRET, adresse, références Chorus Pro), échanges de support.

2.4 Données techniques (situations A et B)

Adresse IP, type de navigateur, date et heure des requêtes, recensés dans les journaux techniques de l'hébergeur et utilisés pour la sécurité et le bon fonctionnement. Une adresse IP est une donnée personnelle.

2.5 Ce que nous ne faisons pas

Pas de publicité, pas de revente de données, pas de profilage commercial, pas de décision automatisée produisant des effets juridiques (art. 22 du RGPD) : les résultats sont des indicateurs pédagogiques destinés aux enseignants, qui peuvent les prendre en compte dans une évaluation ; l'appréciation et la décision restent celles de l'enseignant. Pas de collecte de données sensibles au sens de l'art. 9 du RGPD.

3. Finalités et bases légales

3.1 Situation A – pour le compte de l'établissement

Finalité	Base légale (choisie par l'établissement, responsable de traitement)
Fournir des jeux pédagogiques et permettre à l'élève de jouer, de reprendre sa partie et de consulter son parcours	Mission d'intérêt public de l'enseignement (art. 6.1.e du RGPD ; art. L. 111-1 du Code de l'éducation) pour un établissement public. Pour un établissement privé : [mission d'intérêt public lorsque l'établissement est sous contrat / intérêt légitime (art. 6.1.f) / à déterminer par l'établissement]
Permettre à l'enseignant de suivre les résultats de sa classe et d'adapter sa pédagogie	idem
Lors d'une séance évaluée, s'assurer que les résultats enregistrés sont bien ceux de l'élève qui a joué (code personnel optionnel, activé par l'enseignant pour sa classe)	idem. L'option est désactivée par défaut ; une classe qui ne l'active pas ne traite aucun code personnel
Gérer les comptes des enseignants, les classes et les partages	idem (ou exécution du contrat de travail / mission de service public)
Assurer la sécurité du Service (journaux, détection d'abus)	Intérêt légitime (art. 6.1.f) du responsable de traitement et de l'Éditeur
Assister l'établissement pour l'exercice des droits des personnes	Obligation légale (art. 28.3.e du RGPD)

Le consentement n'est pas la base légale : les élèves n'ont donc pas à consentir au sens de l'article 45 de la loi Informatique et Libertés (seuil de 15 ans). La participation à une activité pédagogique ne dépend pas d'un consentement.

3.2 Situation B – pour l'Éditeur

Finalité	Base légale	Données
Gestion de la relation contractuelle, devis, commande, livraison des accès	Exécution du contrat / mesures précontractuelles (art. 6.1.b) ; intérêt légitime pour les contacts professionnels (art. 6.1.f)	Contacts, bon de commande
Facturation, comptabilité, paiement Chorus Pro	Obligation légale (art. 6.1.c) : code de commerce, CGI	Facturation
Support utilisateur	Intérêt légitime (art. 6.1.f) / exécution du contrat	Courriels, description d'incident
Sécurité, journalisation, prévention des abus	Intérêt légitime (art. 6.1.f)	Données techniques
Information du client sur le renouvellement	Intérêt légitime (art. 6.1.f) – prospection B2B, avec droit d'opposition	Contacts
Statistiques d'usage anonymisées pour améliorer le Service	Intérêt légitime (art. 6.1.f) [si autorisé par le contrat de sous-traitance]	Données agrégées sans réidentification possible

4. Durées de conservation

Situation A (données du Client)

Données	Durée
Code personnel de l'élève (haché) et compteur d'échecs	Supprimés avec l'élève (suppression du pseudo, de la classe ou fin de licence) ; effacés immédiatement à la demande de l'enseignant (réinitialisation). Conservés lorsque l'enseignant désactive l'option, pour une séance ultérieure, jusqu'à la suppression de l'élève
Données des élèves, des enseignants, classes, résultats, sauvegardes, historique	Pendant la durée de la licence, puis 30 jours de délai de grâce (accès complet) et 90 jours de lecture seule et d'export, soit 120 jours maximum après le terme. Suppression ensuite sous [30] jours, sauvegardes comprises
Élèves inactifs	Suppression ou anonymisation après [12] mois sans connexion [à confirmer – fonction à mettre en œuvre]
Classes supprimées par un enseignant	Suppression immédiate des élèves, résultats et sauvegardes associés ; purge des sauvegardes sous [30] jours
Codes de transfert d'élève	Expirent au bout de 60 jours
Suppression anticipée à la demande de l'établissement	Sous [15] jours

Situation B (données de l'Éditeur)

Données	Durée
Contacts clients	Durée de la relation commerciale, puis [3] ans après le dernier contact
Pièces comptables et factures	10 ans (art. L. 123-22 du Code de commerce)
Journaux techniques et de sécurité	[6] mois (recommandation CNIL sur la journalisation) à [12] mois maximum
Courriels de support	[3] ans après clôture

5. Destinataires

Pour les élèves :

les enseignants qui suivent la classe, et ceux avec lesquels une classe est partagée ;
les personnels de direction de l'établissement ou les administrateurs désignés par lui ;
l'Éditeur, uniquement pour l'administration technique, le support et la maintenance, et sur instruction de l'établissement ;
les sous-traitants ultérieurs de l'Éditeur : Supabase Inc. (base de données, authentification ; région Francfort) et Vercel Inc. (hébergement du site et des fonctions) ; [fournisseur d'envoi de courriels, le cas échéant].

Aucune donnée n'est communiquée à des fins publicitaires ni vendue. L'Éditeur ne communique des données aux autorités que sur réquisition légale.

6. Transferts hors de l'Union européenne

Base de données : hébergée dans l'Union européenne (Francfort).
Hébergeurs établis aux États-Unis : Vercel Inc. et Supabase Inc. sont des sociétés américaines. Leur intervention (hébergement du site, exécution de fonctions, accès administratif, support, journaux) peut constituer un transfert de données vers les États-Unis.
Garanties : (i) décision d'adéquation de la Commission européenne du 10 juillet 2023 (Data Privacy Framework), sous réserve que le sous-traitant soit certifié : Vercel Inc. est certifiée ; Supabase Inc. : [à vérifier sur dataprivacyframework.gov] ; (ii) à défaut ou en complément, clauses contractuelles types de la Commission (décision d'exécution (UE) 2021/914), intégrées dans les accords de traitement de ces prestataires ; (iii) mesures complémentaires : chiffrement en transit et au repos, hébergement des données en Europe, minimisation (aucune donnée directement identifiante des élèves).
La décision d'adéquation a été validée par le Tribunal de l'Union européenne le 3 septembre 2025 (affaire T-553/23, Latombe c. Commission) ; un pourvoi a été formé devant la Cour de justice de l'Union européenne. Si la décision était annulée, l'Éditeur recourrait aux clauses contractuelles types et, le cas échéant, à d'autres hébergeurs.
Ressources externes : [Le Service ne charge aucune police, bibliothèque ni ressource depuis un serveur tiers lors de l'affichage des pages destinées aux élèves.] [à confirmer – voir point technique n° 1].

7. Sécurité

L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 du RGPD) : connexion chiffrée HTTPS ; contrôle d'accès par rangées (row level security) cloisonnant les données par enseignant et par classe ; mots de passe hachés ; code personnel des élèves (option) haché avec un sel propre, hors de portée de l'interface publique, avec blocage de 15 minutes après 5 échecs consécutifs et réponse identique quelle que soit la cause du refus ; accès d'administration limité et authentifié ; sauvegardes ; journalisation ; procédure de gestion des incidents. Les détails sont dans l'annexe de sécurité du contrat de sous-traitance.

En cas de violation de données, l'Éditeur informe l'établissement dans les meilleurs délais (art. 33.2 du RGPD) afin qu'il puisse notifier la CNIL sous 72 heures et, si nécessaire, informer les personnes.

8. Cookies et stockage local

Le Service ne dépose aucun cookie publicitaire. Il utilise le stockage local du navigateur (localStorage) uniquement pour (i) mémoriser la session de l'élève et ses sauvegardes de confort, (ii) mémoriser des préférences (ex. activation du son). Ces traceurs sont strictement nécessaires à la fourniture du service demandé et exemptés de consentement (art. 82 de la loi n° 78-17 ; lignes directrices de la CNIL, délibération n° 2020-091). Vous pouvez les supprimer dans les réglages du navigateur, au prix de la perte de la session.

9. Vos droits

Les personnes concernées (élève, représentant légal, enseignant) disposent, selon la base légale, des droits suivants (art. 15 à 22 du RGPD) :

accès à leurs données et copie ;
rectification (ex. changement de pseudo) ;
effacement ;
limitation du traitement ;
opposition au traitement fondé sur la mission d'intérêt public ou l'intérêt légitime, pour des raisons tenant à leur situation particulière ;
portabilité lorsque le traitement repose sur le consentement ou le contrat (non applicable aux traitements fondés sur la mission d'intérêt public) ;
définir des directives sur le sort de leurs données après leur décès (art. 85 de la loi n° 78-17).

Comment exercer ses droits ?

Pour les données des élèves et des enseignants : s'adresser à l'établissement (chef d'établissement ou son délégué à la protection des données). L'Éditeur l'assiste dans un délai de [5] jours ouvrés.
Pour les données de gestion de l'Éditeur : écrire à À COMPLÉTER (COURRIEL_DONNEES), justificatif d'identité si nécessaire. Réponse sous un mois (art. 12.3 du RGPD), prorogeable de deux mois en cas de complexité.
Réclamation : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Si une demande est adressée directement à l'Éditeur pour des données de la situation A, il la transmet sans délai à l'établissement.

10. Modifications

Cette politique peut évoluer, notamment en cas de changement d'hébergeur ou de fonctionnalité. La version en vigueur est datée en tête de page ; les établissements clients sont informés par courriel de toute modification substantielle, avec un préavis d'au moins [30] jours.

11. En version courte, pour les élèves

Le site garde ton pseudo, ta classe, tes scores, ta partie en cours et ta dernière connexion.
Il ne te demande ni ton nom, ni ton e-mail, ni ta photo.
Pour une séance notée, ton professeur peut demander un code personnel à 4 chiffres que tu choisis toi-même. Le site le garde brouillé : personne ne peut le lire, pas même ton professeur (qui peut seulement l'effacer si tu l'oublies).
Tes professeurs et ton lycée voient tes résultats. Pas les autres élèves.
Ton lycée est responsable de tes données. Le site ne les vend pas et ne fait pas de publicité.
Tes données sont effacées peu après la fin de l'abonnement du lycée (environ 4 mois).
Pour savoir ce qui est enregistré, corriger ou effacer : parle à ton professeur ou écris au lycée : [contact].

Références juridiques

Règlement (UE) 2016/679 (RGPD) : art. 4, 5, 6, 9, 12 à 22, 28, 30, 32, 33, 35, 44 à 49 ; considérants 26 et 58.
Loi n° 78-17 du 6 janvier 1978 modifiée (Informatique et Libertés) : art. 45, 82, 85.
Code de l'éducation, art. L. 111-1.
Code de commerce, art. L. 123-22 (conservation des documents comptables, 10 ans).
Décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 (adéquation, cadre de protection des données UE-États-Unis) ; décision d'exécution (UE) 2021/914 du 4 juin 2021 (clauses contractuelles types pour les transferts) ; Tribunal de l'UE, 3 septembre 2025, T-553/23, Latombe c. Commission ; pourvoi formé le 31 octobre 2025.
CNIL : délibération n° 2020-091 (lignes directrices cookies et autres traceurs) ; délibération n° 2021-122 du 14 octobre 2021 (recommandation sur la journalisation) [à vérifier] ; Recommandations pour renforcer la protection des mineurs en ligne (9 juin 2021).
EDPB, lignes directrices 07/2020 sur les notions de responsable de traitement et de sous-traitant.