La présente politique décrit la manière dont Educ Energy SAS traite les données à caractère personnel des utilisateurs de la plateforme Fluid Manip, en application du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée.
1. Responsable du traitement
Le responsable du traitement est Educ Energy SAS, 28 rue de la Talandière, 77410 Claye-Souilly, joignable à l'adresse contact@fluid-manip.com.
Pour les usagers accédant à la plateforme via le Gestionnaire d'accès aux ressources (GAR), le traitement mis en œuvre par le ministère chargé de l'éducation nationale relève de sa propre responsabilité : voir la section 3 ci-dessous.
2. Données collectées, finalités et bases légales
Compte utilisateur (inscription directe)
- Données : nom, prénom, adresse électronique, mot de passe (haché, jamais stocké en clair), secret d'authentification à deux facteurs, rôle, classe éventuelle.
- Finalité : création et gestion du compte, authentification, sécurisation de l'accès.
- Base légale : exécution du contrat (article 6.1.b du RGPD).
Données d'usage et de progression pédagogique
- Données : manipulations lancées et terminées, niveau atteint, scores et statistiques obtenus, temps passé, dates et journaux de connexion.
- Finalité : restituer à l'apprenant sa progression, et permettre à son enseignant de suivre celle de sa classe ; assurer la sécurité et la traçabilité des accès.
- Base légale : exécution du contrat, et intérêt légitime pour la sécurité du service (article 6.1.f).
Formulaire de contact
- Données : nom, prénom, adresse électronique, numéro de téléphone (facultatif), objet et contenu du message.
- Finalité : traiter votre demande et vous répondre.
- Base légale : mesures précontractuelles prises à votre demande et intérêt légitime à répondre aux sollicitations qui nous sont adressées. Ces données ne sont jamais utilisées à des fins de prospection sans votre accord.
Paiement
- Données : identifiant de transaction, montant, statut de la commande.
- Finalité : ouvrir l'accès aux manipulations achetées et satisfaire aux obligations comptables.
- Base légale : exécution du contrat et obligation légale.
- Aucune donnée bancaire n'est collectée ni stockée par Fluid Manip : le paiement est intégralement traité par Stripe, prestataire certifié PCI-DSS.
3. Accès via le GAR
Le GAR constitue un traitement de données à caractère personnel mis en œuvre par le ministère chargé de l'éducation nationale (110 rue de Grenelle, 75007 Paris) pour l'exécution d'une mission d'intérêt public au sens de l'article 6 du RGPD. Les informations relatives aux différentes données potentiellement traitées sont détaillées dans l'arrêté du 18 décembre 2017 relatif à la mise en œuvre du GAR.
Données transmises à Fluid Manip par le GAR
- Profil (enseignant, élève, documentaliste, responsable d'affectation) : nécessaire pour déterminer l'interface et les droits applicables.
- Identifiant opaque (IDO) : nécessaire à la connexion et au rattachement des données de progression au bon usager.
- Code établissement (UAI) : nécessaire pour rattacher l'usager à son établissement abonné.
- Divisions et groupes de l'usager : nécessaires pour assigner automatiquement les élèves à leur classe et à leur enseignant.
- Nom et prénom : nécessaires pour permettre à l'enseignant d'identifier ses élèves dans le suivi de progression.
Aucun mot de passe, aucun second facteur et aucun code d'accès n'est demandé, créé ou stocké pour ces usagers : l'authentification est assurée par leur environnement numérique de travail (OpenID Connect).
Données produites au cours de l'usage de la ressource
Journaux et temps de connexion, manipulations jouées, niveaux atteints, scores et statistiques, progression par chapitre et par pack. Ces données d'apprentissage sont restituées à l'élève et à son enseignant sous forme de tableaux de bord, afin qu'ils puissent consulter l'historique d'activité sur la ressource et les progrès constatés.
Exercice des droits pour les données issues du GAR
Les droits d'accès, de rectification et de limitation prévus aux articles 15, 16 et 18 du RGPD s'exercent auprès du ministère à l'adresse dne-gar@education.gouv.fr. Le délégué à la protection des données du ministère peut être contacté à dpd@education.gouv.fr, via le formulaire de saisine en ligne, ou par courrier au Délégué à la protection des données du ministère chargé de l'éducation nationale, 110 rue de Grenelle, 75357 Paris Cedex 07.
Les dispositions spécifiques qui protègent les usagers du GAR sont publiées sur gar.education.fr.
4. Destinataires et sous-traitants
Les données ne sont ni vendues, ni louées, ni cédées à des tiers. Y accèdent uniquement les salariés d'Educ Energy SAS habilités, votre enseignant le cas échéant (pour les seules données de progression de ses classes) et les sous-traitants suivants, agissant sur nos instructions :
- OVH SAS (OVHcloud), Roubaix, France : hébergement de la plateforme et de la base de données. Données stockées dans l'Union européenne.
- Stripe : traitement des paiements en ligne.
- Resend : acheminement des courriels transactionnels (vérification d'adresse, réinitialisation, accusé de réception du formulaire de contact).
- Cloudflare : service Turnstile de protection du formulaire de contact contre les envois automatisés.
L'hébergement des données de la plateforme est réalisé dans l'Union européenne. Certains sous-traitants précités sont susceptibles de traiter des données depuis un pays tiers ; ces transferts sont alors encadrés par les clauses contractuelles types adoptées par la Commission européenne, et portent sur des données limitées (adresse électronique, identifiant de transaction, adresse IP technique).
5. Durées de conservation
- Comptes créés directement sur la plateforme : les données sont conservées pendant toute la durée d'utilisation du service. Un compte resté trois ans sans aucune connexion est supprimé automatiquement, avec l'ensemble des données qui lui sont rattachées (progression, accès aux manipulations, appartenance à une classe). Un courriel d'avertissement est envoyé 30 jours avant la suppression : une simple reconnexion pendant ce délai conserve le compte et ses données. Un compte désactivé par l'administration ne reçoit pas cet avertissement mais reste soumis au même délai de suppression. Vous pouvez également demander la suppression de votre compte à tout moment (voir la section 7).
- Comptes GAR : conformément aux engagements contractuels souscrits auprès du ministère, aucune donnée nominative n'est conservée au-delà de l'année scolaire. Les données identifiantes (nom, prénom, division, groupe) sont anonymisées automatiquement chaque année au 15 août ; seuls l'identifiant opaque et les données de progression, désormais pseudonymes, sont conservés afin que l'élève retrouve son historique s'il se reconnecte l'année suivante.
- Messages du formulaire de contact : ils ne sont pas enregistrés en base de données. Ils sont transmis par courriel à notre boîte de contact, où ils sont conservés au maximum trois ans à compter du dernier échange.
- Pièces comptables liées aux paiements : dix ans, en application du Code de commerce.
6. Sécurité
Educ Energy met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD : chiffrement des échanges (HTTPS/TLS), hachage des mots de passe par une fonction de dérivation lente, authentification à deux facteurs obligatoire pour tous les comptes locaux, jetons de session de courte durée, cloisonnement des droits d'accès selon le principe du moindre privilège, journalisation des accès d'administration, et sauvegardes régulières.
Ces mesures sont formalisées dans des politiques internes (politique de mots de passe, politique de droits d'accès, procédure en cas de violation de données), tenues à la disposition des autorités et des établissements partenaires sur demande à contact@fluid-manip.com.
7. Vos droits
Conformément à la réglementation, vous disposez d'un droit d'accès, de rectification et d'effacement de vos données, ainsi que du droit de vous opposer ou de solliciter la limitation du traitement dont elles font l'objet. Vous disposez également, le cas échéant, d'un droit à la portabilité de vos données.
Il suffit d'en faire la demande à contact@fluid-manip.com ou par courrier à l'attention du délégué à la protection des données, Educ Energy, 28 rue de la Talandière, 77410 Claye-Souilly, en précisant vos nom, prénom et adresse, et en justifiant de votre identité. Nous nous engageons à répondre dans un délai d'un mois.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (www.cnil.fr).
8. Cookies
Fluid Manip n'utilise ni cookie publicitaire, ni outil de mesure d'audience. Seuls des cookies strictement nécessaires au fonctionnement du service sont déposés ; ils sont détaillés dans nos mentions légales.