Politique de confidentialité

01Responsable du traitement

Criona est une plateforme utilisée par plusieurs enseignants. Elle est éditée par Ahmet Sekmen EI, désigné ci-après comme « Criona ». Les rôles dépendent des données.

• Chaque enseignant est le responsable du traitement des données personnelles de ses élèves et de leurs parents : il décide de les collecter, pourquoi et combien de temps. Criona les traite pour son compte, comme sous-traitant au sens de l’article 28 du RGPD, selon l’accord de sous-traitance qui fait partie du contrat de l’enseignant.
• Criona est responsable du traitement pour les comptes des enseignants, la facturation de leur abonnement et la sécurité de la plateforme : journaux techniques, prévention des abus, et, pour tous les comptes, les sessions, les connexions et la double authentification.
• Un élève peut avoir plusieurs enseignants avec un seul compte. Chacun est responsable du traitement de ce qui concerne ses propres cours, et ne voit pas ce qui se passe chez les autres.
• Pour exercer vos droits sur les données d’un élève ou d’un parent, écrivez à votre enseignant ou à Criona. Criona transmet la demande à chaque enseignant concerné, et exécute la correction, la suppression ou l’export sur leur instruction. Le nom et l’adresse de chaque enseignant figurent dans l’e-mail d’invitation et sur la page « Mon compte ».

Pour joindre Criona :

Adresse

5 Square des Aulnes, 77500 Chelles, France

E-mail

contact@criona.fr

Téléphone

07 68 34 47 55

Aucun délégué à la protection des données n’a été désigné, cette désignation n’étant pas obligatoire pour cette activité.

02Données traitées

Les données ne viennent pas toutes de la personne concernée. L’enseignant saisit dans une invitation le prénom de l’élève et l’adresse e-mail du destinataire, et à qui il l’envoie : à l’élève ou à son parent. Sur la page de l’invitation, l’élève saisit son nom et sa naissance et, s’il est mineur, l’adresse e-mail de son parent ; le parent saisit le prénom, le nom, la naissance et l’adresse e-mail de l’enfant. Le parent saisit aussi son propre prénom et, s’il le souhaite, son nom quand il crée son compte. Le compte est ensuite complété par l’élève majeur ou par le parent d’un mineur quand il accepte l’invitation. Les autres données naissent de l’usage du service. Aucune donnée n’est obtenue auprès d’un autre tiers.

Compte

Prénom, nom (facultatif), adresse e-mail, rôle (élève, parent ou enseignant), langue du navigateur, mise à jour à chaque connexion pour écrire les e-mails dans la langue de la personne, rattachement d’un compte parent à un élève, mois et année de naissance d’un élève (jamais le jour), pour un parent la date à laquelle il s’est déclaré parent ou représentant légal d’un enfant, pour un enseignant la date de sa déclaration d’usage professionnel faite à l’inscription, dates de création, de dernière connexion et d’archivage, et, pour un élève, chez chaque enseignant, le dernier jour où il a ouvert un de ses cours. Le mot de passe n’est jamais conservé en clair, seule son empreinte l’est. L’adresse e-mail est nécessaire à la création du compte : sans elle, le compte ne peut être ni créé ni activé.

Abonnement d’un enseignant

Pour un compte enseignant seulement : l’offre choisie, la facturation au mois ou à l’année, l’état de l’abonnement (essai, actif, paiement refusé, lecture seule, espace supprimé), les dates de fin d’essai, de fin de la période payée et de fin d’abonnement, une résiliation demandée pour la fin de la période, le nombre de générations par l’IA utilisées pendant l’essai, les identifiants client et abonnement attribués par Stripe, la date du premier abonnement par Stripe, et la date d’envoi de chaque mail d’abonnement (rappel de fin d’essai, fin d’abonnement, préavis de suppression à un mois puis à une semaine, paiement refusé). Criona n’enregistre pas le moyen de paiement. Les factures sont émises et conservées par Stripe, et l’éditeur en garde une copie pour sa comptabilité.

Invitations

Pour proposer ses cours, l’enseignant envoie une invitation : le prénom de l’élève, l’adresse e-mail du destinataire, et le choix de l’envoyer à l’élève ou à son parent. Sur la page de l’invitation, la famille donne le reste : l’élève donne son nom et sa naissance et, s’il est mineur, l’adresse e-mail de son parent, à qui la demande passe une fois ; le parent donne les nom, naissance et adresse de l’enfant, et la demande passe une fois à l’enfant s’il est majeur. Ces saisies restent dans l’invitation, et elles sont effacées dès la réponse. Le parent donne son propre prénom et, s’il le souhaite, son nom au moment de créer son compte, sans passer par l’invitation. L’élève majeur, ou le parent d’un mineur, accepte ou refuse : aucun compte n’est créé et aucun rattachement n’est fait sans cet accord. Après un refus, l’invitation ne garde plus que l’adresse jusqu’à sa suppression, et seule une empreinte de l’adresse, liée à cet enseignant, est gardée pour qu’il ne puisse plus inviter cette personne.

Liens d’activation

Le lien envoyé par e-mail, à la demande de la personne ou de son enseignant, pour activer un compte ou choisir un nouveau mot de passe est valable 24 heures et ne sert qu’une fois. Seule son empreinte est conservée.

Demande d’inscription d’un enseignant

Quand une personne demande à s’inscrire comme enseignant, Criona garde son adresse e-mail et l’empreinte du lien qu’il lui envoie, valable 24 heures et utilisable une seule fois. Le lien lui-même n’est pas conservé.

Cours et séances

Les cours auxquels l’élève est inscrit, la date depuis laquelle un cours entier lui est ouvert, tant qu’il le reste, et, pour chaque séance, sa date, la dernière page abordée en séance, si le cours est terminé et le commentaire écrit par l’enseignant.

Cours planifiés

Pour organiser les cours à venir, Criona enregistre, pour chaque cours planifié, l’élève concerné, le cours prévu s’il y en a un, la date, l’heure de début, la durée, le cas échéant une note de l’enseignant de 300 caractères au plus, et les dates de création et de dernière modification. Dans l’application, ces informations servent uniquement à afficher le calendrier de l’enseignant et ne sont affichées ni à l’élève ni à ses parents. Chaque cours planifié est supprimé dès que l’enseignant le retire, automatiquement 30 jours après sa date de début, et immédiatement avec le compte de l’élève. Il figure dans l’export des données de l’élève, et, sans la note de l’enseignant, dans le fichier de l’enfant mineur que son parent télécharge.

Cours en PDF

L’enseignant dépose ses cours sous forme de PDF. Le serveur les découpe en une image par page et garde le PDF et les images. Ces fichiers portent les supports de cours, pas des données sur les élèves, et ils sont compris dans les copies nocturnes du serveur. L’élève ne reçoit que les pages que l’enseignant lui ouvre : celles déjà ouvertes en séance, ou le cours entier s’il le décide.

Demandes d’accès

Quand un élève demande l’accès à un cours de son parcours, la demande garde le cours et le parcours, son état (en attente, acceptée ou refusée), sa date, celle de la décision, le message facultatif de l’enseignant (300 caractères au plus), qu’il accepte ou refuse, et la date à laquelle l’élève a masqué l’avis de la réponse sur son accueil, ou celle de la décision quand aucun avis n’a été montré : refus d’office au retrait du cours ou de l’élève du parcours, ou réponse antérieure à ces avis. L’enseignant en est prévenu par un e-mail qui porte le prénom de l’élève et le titre du cours.

Quiz

Pour chaque tentative, les questions tirées, les réponses données, le score, la validation et les dates de début et d’envoi.

Quiz générés par IA

Quand l’enseignant demande un brouillon de quiz à l’IA, Criona enregistre l’enseignant, le cours, la date, la plage de pages, le nombre de questions rendues et le nombre de tokens envoyés et reçus, pour tenir son quota mensuel. Une demande qui échoue après son envoi à l’IA est gardée de la même façon, avec la date de l’échec : au-delà de cinq échecs en 24 heures, un échec compte dans le quota. Ni la consigne, ni le texte du cours, ni les questions ne sont gardés. Aucune donnée d’élève n’est concernée.

Temps passé

Tant qu’une page mesurée de Criona est ouverte et au premier plan (les pages d’un cours, le quiz), le navigateur envoie un signal toutes les 30 secondes. Criona en déduit des périodes de travail : la page, le cours, l’heure de début et l’heure de fin. Rien n’est mesuré quand l’onglet est en arrière-plan, ni en dehors de Criona.

Statistiques de l’enseignant

Le tableau de bord et les statistiques de l’enseignant (élèves actifs par jour, temps moyen passé, nombre d’élèves, sur 90 jours) sont calculés à partir de ces périodes de travail et des dates de dernière connexion, déjà collectées. Rien n’est mesuré en plus.

Double authentification

Elle est obligatoire pour l’enseignant et facultative pour les élèves et les parents. Après le mot de passe, elle demande un code à 6 chiffres donné par une application d’authentification, ou un code de secours. Aucun code n’est envoyé par e-mail ni par SMS.

• Sont gardés sur le compte : la clé de l’application et 10 codes de secours, chiffrés par l’application avant d’être écrits en base, l’état activé ou non, le nombre de codes faux de suite et la fin d’un éventuel verrou de 15 minutes, posé après 10 codes faux de suite.
• Entre le mot de passe et le code, un cookie signé retient la connexion en cours pendant 10 minutes au plus.
• Un code accepté est retenu 90 secondes, pour qu’il ne serve pas une seconde fois.
• Téléphone et codes de secours perdus : pour un élève mineur, son parent retire la double authentification depuis son propre compte. Tout autre compte écrit à contact@criona.fr depuis l’adresse du compte, et Criona la retire après avoir vérifié que la demande vient bien de son titulaire. Aucun lien envoyé par e-mail ne la retire.

Acceptation des conditions

Quand un élève ou un parent coche la case « J’accepte les conditions d’utilisation et j’ai lu la politique de confidentialité », la version de ces documents et la date de l’acceptation sont enregistrées sur son compte.

Données de connexion

Une session n’enregistre ni l’adresse IP ni le navigateur. Pour freiner les tentatives de connexion, l’adresse IP et une empreinte de l’adresse e-mail saisie, jamais l’adresse elle-même, sont tenues en mémoire, sans être écrites en base : elles comptent au plus 15 minutes, sont effacées dans la minute qui suit, et disparaissent aussi à tout redémarrage du service. L’empreinte est calculée avec une clé secrète tirée au hasard à chaque démarrage du service et jamais écrite, si bien que l’adresse ne peut pas en être relue.

Pour limiter les demandes de mot de passe oublié, l’adresse IP et une empreinte de l’adresse e-mail saisie, jamais l’adresse elle-même, sont aussi tenues en mémoire, sans être écrites en base : une heure pour l’adresse IP, 24 heures pour l’empreinte. Elles sont effacées dans la minute qui suit, et disparaissent aussi à tout redémarrage du service. L’empreinte est calculée avec une clé secrète tirée au hasard à chaque démarrage du service et jamais écrite, si bien que l’adresse ne peut pas en être relue.

Pour limiter les inscriptions d’enseignants, l’adresse IP et une empreinte de l’adresse e-mail saisie, jamais l’adresse elle-même, sont aussi tenues en mémoire, sans être écrites en base : une heure pour l’adresse IP, 24 heures pour l’empreinte. Elles sont effacées dans la minute qui suit, et disparaissent aussi à tout redémarrage du service.

Certains gestes et certains incidents laissent une ligne datée dans le journal technique du serveur :

• le frein qui se déclenche sur un compte existant, ou la connexion qui échoue juste après une activation : l’identifiant interne du compte ;
• le frein qui se déclenche sur un changement de mot de passe depuis « Mon compte » : l’identifiant interne du compte ;
• le verrou de la double authentification, après 10 codes faux de suite : l’identifiant interne du compte ;
• l’émission d’un lien d’activation qui échoue : l’identifiant interne du compte et son rôle (élève ou parent) ;
• l’envoi d’un e-mail d’activation qui échoue : le code de l’erreur et le rôle du destinataire, sans identifiant ;
• l’envoi de l’e-mail qui prévient l’enseignant d’une demande d’accès et qui échoue : le type de l’erreur, sans identifiant ;
• la correction d’un prénom et d’un nom depuis « Mon compte » : l’identifiant interne du compte corrigé, et si la correction vient de la personne ou de son parent, jamais l’ancien ni le nouveau nom ;
• le retrait par un parent de la double authentification de son enfant : les identifiants internes des deux comptes ;
• le téléchargement de ses données depuis « Mon compte » : le rôle du compte, le format du fichier et s’il s’agit du fichier d’un enfant, sans identifiant ;
• une demande de mot de passe oublié qui échoue, ou l’envoi de son e-mail : le type de l’erreur et, pour l’envoi, le rôle du destinataire, sans identifiant ;
• le frein qui se déclenche sur un changement de téléphone pour la double authentification : l’identifiant interne du compte ;
• la langue d’une connexion qui ne s’enregistre pas : l’identifiant interne du compte ;
• la génération d’un quiz par l’IA : l’identifiant interne de l’enseignant, la durée, le résultat et le nombre de jetons utilisés, sans le texte du cours ni les questions ;
• le dépôt d’un PDF de cours et son découpage en pages : les identifiants internes du fichier et du cours, sa taille, son nombre de pages et, en cas d’échec, le code de l’erreur ;
• un incident d’abonnement (e-mail d’échéance manquant, suppression reportée, transition en échec, deux abonnements chez Stripe pour un même enseignant) : l’identifiant interne de l’enseignant et, pour un double abonnement, les identifiants Stripe des deux abonnements ;
• la page du compte, quand les codes de secours de sa double authentification ne se lisent plus : l’identifiant interne du compte ;
• l’export des données d’un compte, dans le même cas : l’identifiant interne du compte.

Aucune de ces lignes ne contient l’adresse e-mail, le mot de passe ni l’adresse IP.

Filigrane

Les pages affichées à un élève portent en filigrane un code court de son compte (la fin de son identifiant, sans son prénom) et la date du jour. Ce filigrane est incrusté dans l’image par le serveur à chaque envoi et n’est pas conservé.

Messages

Les messages envoyés à l’adresse de contact et l’adresse e-mail de leur expéditeur.

Paiement des enseignants

Pour un enseignant qui paie : le nom de l’activité, l’adresse de facturation et le SIRET sont saisis sur Criona et transmis à Stripe, sans être gardés par Criona. La carte est saisie sur les pages de Stripe et ne passe jamais par Criona.

03Finalités et bases légales

Pour le compte de l’enseignant, responsable du traitement (élèves et parents)

• Demander l’accord de l’élève majeur ou du parent d’un mineur avant tout rattachement à un enseignant, créer les comptes, donner accès aux cours, enregistrer les séances, les quiz et la progression, et les montrer à l’élève et au parent rattaché.Exécution du contrat de cours particuliers conclu entre l’enseignant et l’élève majeur, ou en son nom par ses parents s’il est mineur (article 6, paragraphe 1, b du RGPD).
• Mesurer le temps passé sur les pages des cours et le quiz entre les séances, pour adapter les séances au travail fait entre elles, et en tirer les statistiques de l’enseignant. L’élève ou ses parents peuvent s’y opposer à tout moment : depuis « Mon compte », la mesure s’arrête aussitôt pour le compte et le temps déjà mesuré est effacé de Criona ; sinon, la personne l’écrit à son enseignant ou à Criona, et pour un élève suivi par plusieurs enseignants, Criona l’applique.Intérêt légitime de l’enseignant à adapter les séances au travail fait entre elles (article 6, paragraphe 1, f du RGPD). Chaque enseignant en est responsable, et Criona fournit la mesure comme un outil. La mesure, active par défaut, se limite au temps passé sur ces pages, gardé 90 jours, et n’est jamais montrée aux parents ni aux autres familles. Elle sert l’intérêt de l’élève lui-même, dont les séances suivent le travail réel. Les intérêts d’un élève mineur pèsent d’autant plus lourd : c’est pourquoi rien d’autre n’est observé, et l’élève comme ses parents peuvent s’opposer à la mesure à tout moment, eux-mêmes, depuis leur compte.
• Envoyer par e-mail le lien qui active un compte, permet de choisir un nouveau mot de passe ou termine l’inscription d’un enseignant, et prévenir l’enseignant d’une demande d’accès à un cours (prénom de l’élève et titre du cours).Exécution du contrat de cours conclu entre l’enseignant et la famille pour les liens destinés à l’élève ou au parent, et du contrat d’abonnement pour l’avis à l’enseignant et pour son lien d’inscription, qui précède le contrat à sa demande (article 6, paragraphe 1, b du RGPD).
• Apposer sur les pages affichées un filigrane qui désigne le compte, sans le nommer.Intérêt légitime de l’enseignant à protéger ses supports de cours contre leur diffusion (article 6, paragraphe 1, f du RGPD).
• Sauvegarder les données de chaque enseignant pour remettre le service en état après une panne ou une erreur.Mesure de sécurité que l’enseignant confie à Criona, son sous-traitant (article 32 du RGPD).

Pour Criona, responsable du traitement (enseignants, facturation, sécurité)

• Garder la version des conditions et de la présente politique que l’utilisateur a déclaré avoir lues, et la date, ainsi que la date de la déclaration d’usage professionnel d’un enseignant, qui prouve que son abonnement est une vente entre professionnels.Intérêt légitime de Criona à prouver que ces documents, qui sont son contrat avec ses utilisateurs, ont été portés à leur connaissance, et que l’abonnement d’un enseignant est une vente entre professionnels (article 6, paragraphe 1, f du RGPD). Après la suppression du compte d’un enseignant, la preuve réduite décrite à la rubrique « Durées de conservation » sert, sur la même base, à constater, exercer ou défendre les droits de Criona en justice. Ces cases ne recueillent pas un consentement.
• Gérer l’abonnement d’un enseignant : essai, offre, facturation, passage en lecture seule à la fin de l’abonnement, préavis par e-mail puis suppression de son espace.Exécution du contrat d’abonnement conclu avec l’enseignant (article 6, paragraphe 1, b du RGPD).
• Générer, à la demande de l’enseignant, un brouillon de questions à partir de ses pages de cours, et tenir son quota mensuel de générations.Exécution du contrat conclu avec l’enseignant (article 6, paragraphe 1, b du RGPD).
• Sécuriser le service : sessions, double authentification, freinage des tentatives de connexion, journaux techniques.Intérêt légitime de Criona à assurer la sécurité du service et des données (article 6, paragraphe 1, f du RGPD).
• Répondre aux messages envoyés à l’adresse de contact. Quand un message concerne les données d’un élève ou d’un parent, Criona le traite pour l’enseignant concerné, selon la procédure décrite à la rubrique « Vos droits ».Intérêt légitime de Criona à répondre aux demandes reçues (article 6, paragraphe 1, f du RGPD).
• Encaisser l’abonnement des enseignants et émettre leurs factures, par Stripe.Exécution du contrat d’abonnement conclu avec l’enseignant (article 6, paragraphe 1, b du RGPD), et obligation légale de conserver les factures (article 6, paragraphe 1, c du RGPD, article L102 B du livre des procédures fiscales).

Aucune donnée n’est utilisée à des fins publicitaires. Le score d’un quiz est calculé automatiquement, mais il est seulement affiché : aucune décision n’est prise sur le seul fondement d’un traitement automatisé.

04Qui voit vos données

• Chaque enseignant voit l’identité des comptes de ses élèves et de leurs parents, et tout ce qui se passe dans ses propres cours, temps passé compris. Il ne voit ni la date des connexions, ni ce qu’un élève fait dans les cours d’un autre enseignant.
• L’élève voit ses cours, sa progression et ses résultats aux quiz, jamais les données d’un autre élève.
• Le parent rattaché voit, pour chacun de ses enfants, l’avancement dans chaque cours, les résultats aux quiz (moyenne, moyenne de chaque semaine sur les douze dernières, meilleur score, nombre de tentatives, validation) et le commentaire de la dernière séance, et l’état des demandes d’accès à un cours, avec le message d’un refus. Il ne voit jamais le temps passé, ni le contenu des cours, ni les réponses données aux quiz. Le fichier de son enfant mineur, qu’il télécharge depuis « Mon compte », ne les contient pas non plus, ni ce qui permet de déduire le temps passé (l’heure de début d’un quiz, le dernier jour où un cours a été ouvert), ni la note de l’enseignant sur les cours planifiés, ni les données de sécurité du compte de l’enfant.
• Le compte administrateur de Criona voit des compteurs de comptes et d’abonnements, pas des personnes : sur toute la plateforme, le nombre d’élèves ouverts, jamais connectés et archivés, et le nombre de parents activés ; pour chaque enseignant, son nombre d’élèves, de parents, de cours et de parcours, et l’état de son abonnement. Il ne lit jamais le temps passé, les séances, les quiz, ni le nom ou l’adresse e-mail d’un élève ou d’un parent.
• Seul l’exploitant de Criona, Ahmet Sekmen EI, a accès au serveur, à la base de données et aux sauvegardes.
• Les prestataires ci-dessous traitent certaines données pour le compte de Criona, qui en répond auprès des enseignants, chacun pour son seul rôle.

Aucune donnée n’est vendue, louée ni cédée. Elles ne peuvent être communiquées qu’aux autorités qui les demandent dans le cadre de la loi.

05Transferts hors de l’Union européenne

Le serveur de Criona et ses sauvegardes sont en France. Les prestataires suivants transfèrent des données hors de l’Union européenne, ou peuvent le faire, et ce transfert est encadré.

• Cloudflare, Inc. : Certification au cadre de protection des données entre l’Union européenne et les États-Unis (Data Privacy Framework), et clauses contractuelles types de la Commission européenne si cette certification venait à tomber. Voir https://www.cloudflare.com/privacypolicy/.
• Plus Five Five, Inc. (Resend) : Certification au cadre de protection des données entre l’Union européenne et les États-Unis (Data Privacy Framework), et clauses contractuelles types de la Commission européenne (modules 2 et 3), prévues par l’accord de traitement des données de Resend. Voir https://resend.com/legal/dpa.
• Stripe Payments Europe, Limited : Clauses contractuelles types de la Commission européenne (décision 2021/914), prévues par l’addendum de transfert de l’accord de traitement des données de Stripe (https://stripe.com/legal/dta), et certification de Stripe, LLC au cadre de protection des données entre l’Union européenne et les États-Unis (Data Privacy Framework), qui s’applique en priorité. Voir https://stripe.com/legal/legal-process-guide.
• Mistral AI (SAS) : Selon Mistral AI, certaines fonctions peuvent faire intervenir des sous-traitants situés hors de l’Union européenne, listés sur son centre de confiance (https://trust.mistral.ai/subprocessors). Pour un pays sans décision d’adéquation de la Commission européenne, Mistral AI encadre le transfert par les clauses contractuelles types de la Commission, ou par d’autres garanties adéquates (article 46 du RGPD), comme le prévoit son accord de traitement des données. Voir https://legal.mistral.ai/terms/data-processing-addendum.

Les données confiées à ces prestataires quittent l’Union européenne, même quand l’un d’eux indique une région d’envoi européenne. Mistral AI fait exception : il héberge ces données dans l’Union européenne par défaut, et elles ne la quittent que chez les sous-traitants décrits plus haut.

Une copie de ces garanties peut être obtenue en écrivant à contact@criona.fr.

06Durées de conservation

Compte actif

Tant que les cours continuent. Un compte élève qui, depuis 6 mois, n’a eu avec un enseignant ni séance, ni quiz, ni cours planifié, et n’a ouvert aucun de ses cours, est proposé à cet enseignant pour archivage. Le dernier jour où un cours a été ouvert sert à cette seule règle, et s’écrit même quand la mesure du temps passé est arrêtée.

Compte archivé

Quand les cours prennent fin, le compte est archivé : il ne permet plus de se connecter. Il est supprimé définitivement 6 mois après son archivage, avec ses séances, ses quiz et son temps passé. Ce délai permet de reprendre l’élève avec son historique s’il revient à la rentrée suivante.

Abonnement d’un enseignant

Tant que le compte enseignant existe. À la fin d’un abonnement, l’espace de l’enseignant (cours, parcours, séances et comptes des élèves suivis par lui seul et des parents qui n’ont plus d’enfant inscrit) reste 6 mois en lecture seule, pour que l’enseignant puisse reprendre à la rentrée suivante. À la fin de ces 6 mois, le compte de l’enseignant lui-même (nom, adresse e-mail, accès, abonnement) est supprimé avec son espace, jamais avant l’envoi des préavis à un mois et à une semaine, et jamais moins d’une semaine après le second. Si le préavis à une semaine reste impossible à envoyer pendant 30 jours après la date prévue de suppression, la durée de conservation l’emporte et le compte est supprimé sans lui. Les factures restent conservées par Stripe, et l’éditeur en garde une copie pour sa comptabilité. Seule reste, s’il y a lieu, la preuve de la vente à un enseignant professionnel décrite plus bas. L’enseignant peut demander la suppression de son compte à tout moment.

Fin de l’abonnement de votre enseignant

Quand l’abonnement d’un enseignant prend fin, son espace reste 6 mois en lecture seule : l’élève et le parent voient encore ses cours et leurs résultats, sans pouvoir commencer de quiz. Puis l’espace est supprimé, avec les comptes des élèves et des parents qui n’ont aucun autre enseignant. Un élève qui a un autre enseignant garde son compte, sans les données du premier. Criona n’envoie aucun message aux élèves ni aux parents : c’est à l’enseignant de les prévenir avant la fin de son abonnement. La suppression peut être demandée à tout moment.

Dernière connexion

La date seule, gardée sur le compte et supprimée avec lui.

Sessions

Expirent au bout de 7 jours sans utilisation et au plus tard 30 jours après la connexion, ou à la déconnexion. Celle de l’enseignant et celle de l’administrateur s’achèvent 12 heures après la connexion, même en usage. Une session expirée est supprimée dans la journée.

Double authentification

La clé et les codes de secours sont supprimés avec le compte, ou dès que la double authentification est désactivée ou retirée. Une activation commencée et jamais confirmée est supprimée au bout de 24 heures. Le défi de connexion dure 10 minutes, un code accepté 90 secondes, puis ils sont supprimés dans la journée.

Acceptation des conditions

La version et la date, gardées sur le compte et supprimées avec lui. De même pour la date de la déclaration d’usage professionnel d’un enseignant, sauf la preuve décrite ci-dessous.

Preuve de la vente à un enseignant professionnel

Quand le compte d’un enseignant est supprimé, s’il avait souscrit un abonnement par Stripe et déclaré un usage professionnel, Criona garde à part son identifiant client chez Stripe, la date de la déclaration, la version et la date des conditions des profs qu’il a acceptées, et la date de la suppression. Rien d’autre : ni nom, ni adresse e-mail, ni identifiant de compte. Cette preuve ne sert qu’en cas de litige sur la nature de la vente. Elle est supprimée par une purge quotidienne 5 ans après la suppression du compte, la durée de la prescription (article 2224 du Code civil). Elle n’est pas effacée sur demande, puisqu’elle sert à la défense de droits en justice (article 17, paragraphe 3, e du RGPD), ni sur opposition, la défense de droits en justice l’emportant (article 21, paragraphe 1 du RGPD), mais l’ancien enseignant peut y accéder en écrivant à l’adresse de contact.

Liens d’activation

Valables 24 heures, à usage unique, supprimés dans la journée une fois utilisés ou expirés.

Demande d’inscription d’un enseignant

Valable 24 heures, à usage unique, supprimée dans la journée une fois expirée.

Temps passé

90 jours, la période que montre le tableau de bord de l’enseignant, puis supprimé par une purge quotidienne. Quand l’élève ou sa famille s’oppose à la mesure, tout le temps déjà mesuré est supprimé aussitôt de Criona, y compris un signal parti au même instant. Une copie en reste encore 35 jours au plus dans les sauvegardes chiffrées de la base, et jusqu’à leur remplacement dans les copies nocturnes du serveur.

Cours planifiés

30 jours après la date du cours, puis supprimés par une purge quotidienne, ou aussitôt avec le compte de l’élève.

Demandes d’accès

Une demande acceptée ou refusée est supprimée 90 jours après la décision par une purge quotidienne. Une demande en attente est gardée jusqu’à la décision. Toutes sont supprimées aussitôt avec le compte de l’élève, ou avec le cours si l’enseignant le supprime.

Générations de quiz par IA

90 jours après la génération, puis supprimées par une purge quotidienne, ou aussitôt avec le compte de l’enseignant. Le prestataire d’IA garde les demandes et les réponses 30 jours glissants pour surveiller les abus, sauf non-conservation accordée.

Invitations

Une invitation est valable 7 jours. Acceptée, refusée, annulée ou expirée, elle est supprimée 1 jour plus tard par une purge quotidienne. L’empreinte laissée par un refus est gardée jusqu’à ce que l’élève ou son parent autorise à nouveau l’enseignant, ou jusqu’à la suppression du compte de l’enseignant.

E-mails envoyés

Gardés 30 jours par le prestataire d’envoi, avec leurs journaux, puis supprimés.

Journaux techniques

Les lignes décrites plus haut restent dans le journal du serveur, qui est borné par sa taille : trois fichiers de 10 Mo au plus, dont les plus anciennes lignes sont supprimées par rotation à mesure que de nouvelles arrivent. La durée de conservation dépend donc de l’activité du service, et aucune durée fixe n’est promise. Elles sont aussi dans les copies nocturnes du serveur jusqu’à leur remplacement.

Sauvegardes

Les 20 dernières sauvegardes de la base, 35 jours au plus, sur le serveur de Criona. Les copies nocturnes du serveur (3 quotidiennes, 2 hebdomadaires, 1 mensuelle), qui comprennent aussi les cours en PDF et leurs pages, sur un disque de Criona en France. Une donnée supprimée quitte les sauvegardes de la base au bout de 35 jours au plus, et les copies nocturnes à mesure qu’elles sont remplacées.

Messages

Le temps de traiter la demande, puis supprimés.

Factures et avis de Stripe

Les factures, chez Stripe et dans la comptabilité de l’éditeur, pendant la durée de conservation que la loi impose aux pièces comptables (article L102 B du livre des procédures fiscales). La trace des avis reçus de Stripe, qui ne porte ni nom ni adresse, 90 jours. Quand un compte enseignant est supprimé, sa fiche client chez Stripe (nom de l’activité, adresse de facturation, adresse e-mail, SIRET s’il l’a donné) reste attachée à ces factures pendant la même durée, puis elle est supprimée.

07Cookies

Criona ne dépose que des cookies strictement nécessaires à son fonctionnement, qui ne demandent pas de consentement (article 82 de la loi Informatique et Libertés). C’est pourquoi aucun bandeau ne vous est présenté.

Session

Garde la connexion ouverte, au plus tard 30 jours après la connexion. S’efface au bout de 7 jours sans utilisation, ou à la déconnexion.

Espace enseignant

Deux cookies techniques, valables deux minutes au plus, qui ne servent qu’à l’enseignant.

Double authentification

Cookie signé better-auth.two_factor (précédé de __Secure- en HTTPS), posé entre le mot de passe et le code. Valable 10 minutes au plus.

Langue

Cookie NEXT_LOCALE : retient la langue choisie, 1 an.

Stockage du navigateur

Deux éléments gardés dans le stockage local du navigateur, sur l’appareil : le brouillon d’un quiz proposé par l’IA, jusqu’à ce que ses questions soient enregistrées ou retirées, et le fait que le conseil de tourner son téléphone a déjà été vu. Ils ne partent avec aucune requête et s’effacent avec les données du site dans le navigateur.

Cloudflare

Peut déposer un cookie de sécurité, par exemple lors d’une vérification contre les robots.

Les pages de paiement (Checkout) et le portail client de Stripe, hébergés sur le domaine de Stripe, déposent leurs propres cookies, selon la politique de Stripe. Criona n’en dépose aucun pour le paiement.

Aucun outil de mesure d’audience, aucune publicité, aucun bouton de réseau social. Les polices de caractères sont servies par Criona lui-même.

08Sécurité

• Connexion chiffrée (HTTPS) jusqu’à Cloudflare, puis tunnel chiffré jusqu’au serveur, qui n’accepte aucune connexion entrante directe.
• Mots de passe conservés sous forme d’empreinte (bcrypt) et jamais envoyés par e-mail. Liens d’activation à usage unique, conservés sous forme d’empreinte.
• Chaque personne peut changer son mot de passe depuis « Mon compte », ce qui ferme ses autres sessions. Un mot de passe oublié se remplace par un lien demandé depuis la page de connexion : choisir le nouveau ferme toutes les sessions du compte, et la double authentification reste active. Un rappel invite l’enseignant à renouveler son mot de passe au moins une fois par an.
• Cookie de session inaccessible aux scripts de la page et réservé à HTTPS.
• Connexion refusée pendant 15 minutes après 5 échecs depuis un même réseau sur une même adresse.
• Session et rôle vérifiés à chaque page. Un élève ne reçoit que les pages que l’enseignant lui a ouvertes.
• Base de données inaccessible depuis le réseau. Sauvegardes lisibles par le seul compte de déploiement, auquel seul l’exploitant de Criona accède.
• La base de données et les cours en PDF ne sont pas chiffrés sur le disque du serveur. Les sauvegardes de la base sont chiffrées, avec une clé gardée hors du serveur, et les copies nocturnes du serveur sont sur un disque chiffré. La clé de double authentification et les codes de secours sont chiffrés par l’application.
• Journaux techniques expurgés des mots de passe, adresses e-mail, jetons, prénoms, noms et commentaires de séance.
• Politique de sécurité du contenu stricte contre l’injection de scripts.

09Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et de portabilité, d’un droit d’opposition aux traitements fondés sur l’intérêt légitime (articles 15 à 21 du RGPD), et du droit de définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour les exercer, écrivez à votre enseignant ou à contact@criona.fr. Criona transmet la demande à chaque enseignant concerné, et exécute la correction, la suppression ou l’export sur leur instruction. Pour les données dont Criona est lui-même responsable (comptes des enseignants, facturation, sécurité), Criona répond directement. Sur demande, l’enseignant :

• exporte l’identité du compte d’un élève ou d’un parent et tout ce qui relève de ses propres cours, en texte lisible et dans un format structuré, lisible par une machine. Chacun télécharge aussi lui-même toutes les données de son compte depuis « Mon compte », dans les deux mêmes formats, y compris celles qui valent pour tout le compte (connexions, date et version des conditions acceptées, sessions, liens envoyés, nombre de codes de secours restants). Le parent y télécharge aussi les données de son enfant mineur, sauf le temps passé et ce qui permet de le déduire (l’heure de début d’un quiz, le dernier jour où un cours a été ouvert), les réponses données aux quiz, la note de l’enseignant sur les cours planifiés et les données de sécurité du compte de l’enfant (connexions, sessions, liens envoyés, double authentification, codes de secours restants). L’enfant télécharge lui-même le fichier complet depuis son propre compte ;
• retire définitivement un élève de ses élèves et supprime tout ce qui relève de ses propres cours, le compte de l’élève étant supprimé avec le dernier de ses enseignants ;
• arrête la mesure du temps passé d’un élève et efface le temps déjà mesuré. Pour un élève suivi par plusieurs enseignants, Criona l’applique à leur place.

Le prénom et le nom se corrigent depuis « Mon compte » : chacun corrige les siens, et le parent ceux de son enfant mineur. Pour changer d’adresse e-mail ou faire corriger une autre donnée inexacte, le titulaire du compte, ou le parent pour un élève mineur, écrit à son enseignant ou à contact@criona.fr. Criona transmet la demande à chaque enseignant de l’élève et fait la correction à leur demande.

Le parent d’un élève mineur, et l’élève lui-même à partir du mois qui suit ses 18 ans, retire un enseignant ou autorise à nouveau un enseignant refusé depuis son espace. Retirer un enseignant supprime ce qu’il avait sur l’élève, et retirer le dernier supprime le compte de l’élève, et celui de son parent s’il n’a plus d’enfant sur Criona. Une fois majeur, l’élève peut aussi retirer l’accès de son parent.

Le compte d’un parent n’est ni archivé ni supprimé par un enseignant. Il est archivé quand il ne suit plus aucun élève actif, puis supprimé à la fin du délai de conservation, ou avec son dernier enfant. Le parent peut aussi en demander la suppression à son enseignant ou à contact@criona.fr, et Criona la fait sur l’instruction de l’enseignant.

Droit d’opposition à la mesure du temps passé (article 21 du RGPD) : l’élève ou ses parents peuvent s’y opposer à tout moment, sans avoir à se justifier. Depuis la page « Mon compte » de Criona, l’élève pour son propre compte et le parent pour chacun de ses enfants, l’opposition s’applique aussitôt. Sinon, la personne l’écrit à son enseignant ou à Criona ; pour un élève suivi par plusieurs enseignants, Criona l’applique. La mesure s’arrête alors pour le compte de l’élève, plus aucun temps n’est mesuré, et tout le temps déjà mesuré est effacé de Criona, puis des sauvegardes dans les délais dits plus haut. Seul reste noté, chez chaque enseignant, le dernier jour où l’élève a ouvert un de ses cours, pour que le compte ne soit pas archivé par erreur. Les cours continuent normalement, et la mesure ne reprend qu’à la demande de la famille, auprès de l’enseignant.

Le responsable du traitement vous répond dans un délai d’un mois. Une pièce justificative peut vous être demandée en cas de doute raisonnable sur votre identité.

10Élèves mineurs

Le compte d’un élève mineur n’est créé qu’avec l’accord d’un parent, qui accepte l’invitation de l’enseignant après avoir lu les conditions d’utilisation et la présente politique, et déclare être le parent ou le représentant légal de l’enfant. Tant que le parent n’a pas accepté, ce que l’élève mineur a saisi reste dans l’invitation et disparaît avec elle. Le parent décide pour son enfant jusqu’au mois de ses 18 ans. Ensuite, l’élève décide seul.

Les droits décrits plus haut peuvent être exercés par l’élève lui-même ou par le titulaire de l’autorité parentale. Pour le droit d’accès, le parent reçoit le fichier de l’enfant décrit sous « Vos droits », qu’il télécharge depuis « Mon compte », sans ce qui en est retiré pour respecter la vie privée de l’enfant. Seul l’enfant reçoit le fichier complet.

11Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), en ligne sur https://www.cnil.fr/fr/plaintes ou par courrier à CNIL, Service des plaintes, 3 place de Fontenoy, 75007 Paris.

12Modifications

Cette politique porte la date de sa version en bas de page. Toute modification importante est signalée aux utilisateurs avant de s’appliquer.