Sécurité et RGPD

La sécurité n'est pas une option chez Iniprof, c'est une condition préalable à tout traitement. Notre engagement :

• Hébergement souverain : vos contenus et données de compte en France et en UE, aucun transfert hors UE pour les données du service. Seuls deux services périphériques peuvent en impliquer un, encadré côté fournisseur : la mesure d'audience (Google Ireland, uniquement après votre consentement, cadre Data Privacy Framework) et, à l'avenir, le paiement (Stripe, clauses contractuelles types).
• Sécurité dès la conception (privacy & security by design).
• Chiffrement systématique en transit et chiffrement au repos ciblé sur le plus sensible : carnet de suivi chiffré de bout en bout, y compris lorsqu'il se synchronise, copies de secours hors site chiffrées.
• Données d'élèves protégées par conception : données sensibles (santé, INE) refusées par nos filtres ; prénoms de vos étiquettes et listes hébergés en France sous cadre de sous-traitance RGPD, jamais vers l'IA, jamais publiés.
• Documents d'appui importés lus localement : quand vous joignez un document à une génération IA, le fichier est lu dans votre navigateur (reconnaissance de texte des scans comprise) ; il n'est jamais transmis à nos serveurs et le texte extrait, filtré puis pseudonymisé, n'est pas conservé après la génération.
• Sauvegardes régulières et restauration testée.
• Aucune commercialisation de vos données, jamais.
• Procédure de signalement claire en cas d'incident.

Chiffrement en transit

• HTTPS / TLS 1.2 et 1.3 pour toutes les communications ; protocoles obsolètes (SSLv3, TLS 1.0/1.1) désactivés.
• Certificats Let's Encrypt renouvelés automatiquement.
• HSTS activé (max-age=31536000; includeSubDomains).

Chiffrement au repos : ce qui est chiffré, ce qui est protégé autrement

Par transparence, nous distinguons précisément les deux (beaucoup de services affirment « tout est chiffré » sans le prouver) :

• Chiffré : le livret maternelle (LSU), de bout en bout dans votre navigateur (AES-GCM 256, clé jamais transmise - nous ne pouvons pas le lire) ; la copie de secours quotidienne hors site (AES-256, en-têtes compris) ; toutes les communications (TLS).
• Protégé par contrôle d'accès : la base de données de production est placée hors de la racine web, sur l'infrastructure française d'o2switch (accès au compte strictement contrôlés, datacenter certifié). Le chiffrement applicatif de ces contenus sera réévalué avec la croissance du service (engagement inscrit dans notre analyse d'impact publique).
• Aucun mot de passe stocké : la connexion se fait sans mot de passe (lien magique + code OTP éphémère). Les jetons de session sont signés en HMAC-SHA256.

Deux régimes selon la nature de la donnée d'élève

Nous séparons ce qui identifie un enfant de ce qui porte un jugement sur lui, parce que les deux ne présentent pas le même risque :

• L'identité (prénom, nom, classe, date de naissance, sexe) est hébergée sur nos serveurs en France, protégée par le contrôle d'accès décrit ci-dessus, effacée automatiquement au plus tard à la fin de l'année scolaire suivante. Elle n'est jamais transmise au moteur d'IA. La date de naissance n'est acceptée que dans le champ prévu à cet effet du module « Liste d'élèves » : écrite dans un texte libre ou dans une demande à l'IA, elle est refusée.
• Le jugement porté sur l'enfant (observations, appréciations, évaluations) reste chiffré de bout en bout dans votre navigateur, avec une clé que nous ne détenons pas. Nous ne pouvons techniquement pas le lire. Si vous activez la synchronisation entre vos appareils, ce carnet transite et se stocke déjà chiffré : notre incapacité à le lire ne change pas.
• La santé, le handicap, l'INE et les coordonnées des familles sont refusés à la saisie : ils n'entrent pas dans le Service.

• Surveillance temps réel de l'application, de la base de données et de l'infrastructure.
• Alertes automatiques en cas d'anomalie (pics inhabituels, tentatives d'intrusion, erreurs critiques).
• Alertes sur les anomalies d'accès : pics de trafic inhabituels, tentatives de connexion répétées.
• Logs applicatifs conservés 12 mois maximum (purge automatique), pseudonymisés (adresses IP hachées), accessibles uniquement à l'administrateur Iniprof.
• Logs d'accès aux données personnelles conservés conformément au référentiel CNIL « Journalisation » (max 6 mois pour usage standard, 12 mois si justifié).
• Aucune information personnelle (mot de passe, contenu des messages) n'est journalisée en clair.

Le règlement européen (UE) 2023/2854 dit « Data Act », applicable depuis le 12 septembre 2025, vous garantit le droit de récupérer et de transférer librement vos données.

Export de vos données - sous 48 heures

• Export complet en formats ouverts standards : JSON structuré, PDF mise en page, DOCX éditable, CSV tabulaire, ICS pour le calendrier.
• Récupération en 1 clic depuis votre espace compte (« Exporter mes données »).
• Délai garanti : moins de 48 heures à compter de la demande.

Réversibilité contractuelle (Data Act)

• Initiation du transfert vers un autre fournisseur dans 2 mois suivant votre demande.
• Finalisation effective du transfert dans 30 jours supplémentaires maximum.
• Aucun frais de changement à compter du 12 janvier 2027 (Data Act). Avant cette date, frais réduits éventuellement applicables, plafonnés au coût réel.
• Mise à disposition d'un format intermédiaire si la migration nécessite une transformation technique.