3. Politique de confidentialité

3.1 Responsable du traitement

Le responsable du traitement est Diankha Omar, entrepreneur individuel exploitant Pafar et Belsékens :

adresse : 45 rue Malsence, boîte aux lettres « 4 Cours Samain », 59000 Lille ;
e-mail relatif à la protection des données : support@belsekens.fr.

3.2 Données traitées

Selon l’utilisation du service, Pafar peut traiter :

données de compte : adresse électronique, identifiant interne, rôle (enseignant ou élève), mot de passe stocké sous forme hachée, date d’inscription et paramètres du compte ;
données issues de Google : identifiant technique, adresse électronique, nom et image de profil seulement si ces éléments sont transmis et nécessaires à la connexion ;
contenus utilisateur : documents, textes, images, structure des pages et métadonnées associées ;
données pédagogiques : appartenance à un groupe, enseignant associé, activités attribuées, travaux remis, corrections, résultats, notes ou appréciations lorsque ces fonctionnalités sont utilisées ;
données techniques et de sécurité : adresse IP, journaux de connexion, navigateur, dates et heures d’accès, erreurs et événements nécessaires à la sécurité ;
échanges avec le support : contenu des demandes et informations nécessaires à leur traitement ;
données de réinitialisation : adresse électronique, jetons temporaires et événements liés à la demande.

Belsékens traite des données d’élèves lorsque les fonctionnalités de groupe, de remise de travaux et d’évaluation sont utilisées. Ces données sont limitées à ce qui est nécessaire au service pédagogique. Belsékens n’a pas vocation à collecter des données sensibles au sens du RGPD. Les utilisateurs doivent anonymiser ou pseudonymiser les supports chaque fois que l’identité complète n’est pas nécessaire.

3.3 Finalités et bases légales

Finalité	Données principales	Base légale
Créer et administrer le compte	E-mail, identifiant, authentification	Exécution du contrat ou mesures précontractuelles
Fournir l’éditeur, enregistrer et exporter les documents	Contenus et métadonnées	Exécution du contrat
Créer et administrer des groupes pédagogiques	Identifiants, rôles et rattachements	Exécution du service ; base déterminée selon le contexte scolaire ou contractuel
Attribuer, remettre, corriger et évaluer des travaux	Productions, résultats et appréciations	Exécution du service ; base déterminée selon le contexte scolaire ou contractuel
Permettre la connexion Google	Identifiant et données transmises par Google	Exécution du contrat ; choix de l’utilisateur
Réinitialiser le mot de passe et envoyer les messages de service	E-mail et jeton temporaire	Exécution du contrat ; intérêt légitime de sécurisation
Sécuriser le service, prévenir les abus et diagnostiquer les erreurs	Journaux techniques, IP, événements	Intérêt légitime de Pafar et respect d’obligations de sécurité
Répondre aux demandes de support et réclamations	Coordonnées et échanges	Exécution du contrat ou intérêt légitime
Respecter les obligations légales	Données requises selon la situation	Obligation légale

Les données ne sont pas utilisées pour envoyer de la prospection commerciale sans base légale appropriée et information préalable.

Les données et productions des élèves ne sont pas utilisées à des fins publicitaires, de profilage commercial ni d’entraînement d’un modèle d’intelligence artificielle. Toute évolution sur ce point nécessiterait une analyse juridique spécifique et une information préalable appropriée ; cette clause ne constitue pas une autorisation future.

3.3.1 Répartition des rôles dans un usage scolaire

La qualification RGPD dépend du contexte réel :

lorsque PAFAR détermine les finalités et moyens liés à la gestion directe des comptes Belsékens, PAFAR agit comme responsable du traitement pour ces opérations ;
lorsqu’un établissement souscrit ou autorise Belsékens pour organiser l’enseignement et l’évaluation, l’établissement peut agir comme responsable du traitement et PAFAR comme sous-traitant pour les données traitées selon ses instructions ;
un enseignant agissant dans le cadre de ses fonctions ne doit pas engager seul son établissement au-delà de ses habilitations.

Avant tout déploiement institutionnel ou import de listes d’élèves, PAFAR devra proposer un accord de traitement des données conforme à l’article 28 du RGPD, précisant notamment les instructions, la sécurité, les sous-traitants ultérieurs, l’assistance, la restitution et la suppression des données.

3.4 Destinataires et sous-traitants

Les données sont accessibles, dans la limite de leurs attributions, à Pafar et aux prestataires nécessaires au fonctionnement du service, notamment :

OVH SAS, pour l’hébergement du VPS et des données ;
Google, lorsque l’utilisateur choisit la connexion Google ;
Brevo (Sendinblue SAS), pour l’envoi des messages de service, si un prestataire distinct est utilisé ;
les autorités légalement habilitées, sur demande valide.

Pafar ne vend pas les données personnelles des utilisateurs.

3.5 Localisation et transferts hors Espace économique européen

Les données principales sont hébergées sur un VPS OVHcloud situé dans l’Espace économique européen (France ou Allemagne selon l’infrastructure OVHcloud affectée au service).

La connexion Google peut impliquer un traitement par Google et ses entités conformément à sa documentation. Avant publication, Pafar doit vérifier les conditions applicables au service Google effectivement configuré, les données demandées et les garanties encadrant les éventuels transferts hors de l’Espace économique européen.

Tout autre transfert international est encadré par un mécanisme reconnu par le RGPD, lorsque cela est requis.

3.6 Durées de conservation proposées

Les principes de conservation actuellement appliqués sont les suivants :

Catégorie	Durée proposée
Compte actif et données nécessaires au service	Pendant la durée du compte
Documents et images	Jusqu’à leur suppression par l’utilisateur ou à la suppression du compte
Groupes, travaux, résultats et appréciations	Pendant la durée nécessaire au suivi pédagogique ou jusqu’à la suppression du compte
Compte inactif	Alerte après 24 mois d’inactivité, puis suppression ou archivage limité selon la procédure annoncée
Sauvegardes résiduelles	Durée de rotation technique limitée ; suppression progressive après la demande
Jetons de réinitialisation	Durée de validité technique limitée, puis invalidation automatique
Journaux de sécurité	Durée strictement nécessaire à la sécurité et au diagnostic
Demandes de support	Durée du traitement, puis archivage limité si nécessaire à la preuve
Données nécessaires à un litige	Pendant la durée de prescription applicable

Lorsque les abonnements seront activés, les données de facturation devront être conservées pendant les durées légales comptables et fiscales applicables.

3.7 Droits des personnes

Dans les conditions prévues par le RGPD, toute personne dispose notamment des droits suivants :

accès à ses données ;
rectification ;
effacement ;
limitation du traitement ;
opposition aux traitements fondés sur l’intérêt légitime ;
portabilité des données fournies lorsque les conditions sont réunies ;
retrait du consentement lorsque le traitement repose sur celui-ci ;
définition de directives relatives au sort de ses données après son décès, dans les conditions du droit français.

Ces droits peuvent être exercés auprès de support@belsekens.fr. Les mineurs peuvent exercer leurs droits dans les conditions prévues par la loi ; leurs représentants légaux peuvent également intervenir selon l’âge, le contexte et le droit concerné. Une preuve d’identité peut être demandée uniquement lorsque cela est nécessaire pour vérifier l’identité du demandeur.

Une réponse est apportée dans les délais légaux. En cas de difficulté non résolue, la personne peut adresser une réclamation à la CNIL : https://www.cnil.fr.

3.8 Suppression et export du compte

L’utilisateur peut supprimer ses documents individuellement et demander la suppression de son compte via une demande adressée au support ou support@belsekens.fr.

Avant la suppression, il lui appartient d’exporter les documents qu’il souhaite conserver. La suppression du compte entraîne la suppression ou l’anonymisation des données qui ne doivent plus être conservées, sous réserve des délais de sauvegarde et obligations légales.

3.9 Sécurité

Pafar met en œuvre des mesures techniques et organisationnelles adaptées aux risques, telles que le chiffrement des communications par HTTPS, le hachage des mots de passe, le contrôle des accès, les mises à jour de sécurité, la sauvegarde et la journalisation limitée des événements de sécurité.

Aucune transmission ou infrastructure ne pouvant garantir une sécurité absolue, l’utilisateur doit également choisir un mot de passe robuste, ne pas le réutiliser et protéger l’accès à sa messagerie.

3.10 Violation de données

En cas de violation de données personnelles, Pafar applique les obligations de documentation, de notification à la CNIL et, lorsque le risque l’exige, d’information des personnes concernées dans les conditions du RGPD.

3.11 Modification de la politique

La présente politique peut être actualisée. En cas de modification substantielle, les utilisateurs en sont informés par un moyen adapté.