Politique de confidentialité

cahier.online, by Drafted By, est un service numérique indépendant exploité au sein de l’Union européenne et responsable du traitement des données personnelles collectées via le service.

Contact : [email protected]

Nous appliquons le principe de minimisation : seules les données nécessaires au service sont traitées.

• Adresse e-mail de l’enseignant·e — création du compte, connexion et rattachement du handle (base : contrat).
• Contenu du cahier (classes, devoirs, échéances « Pour le » et, le cas échéant, informations relatives aux élèves saisies par l’enseignant·e) — édition et affichage de la page publique du handle (base : exécution du service demandé par l’enseignant·e).
• Documents joints aux devoirs — mise à disposition des élèves (base : contrat).
• Informations de profil facultatives (nom affiché, matière, établissement, photo) — personnalisation de la page publique (base : contrat).
• Données de paiement (e-mail, pays, référence de transaction) transmises par Stripe. Nous ne recevons jamais votre numéro de carte bancaire (base : contrat et obligation légale de facturation).
• Cookie de session — authentification (base : contrat).
• Données d’usage et de diagnostic (pages vues, événements produit, erreurs techniques) — amélioration du service (base : intérêt légitime).

Le service ne crée pas de compte élève et ne demande pas directement d’informations aux élèves. Les informations présentes dans le cahier sont celles que l’enseignant·e choisit de saisir ou de synchroniser.

• Cookie de session (httpOnly) : nécessaire à l’authentification, exempté de consentement.
• Umami : mesure d’audience auto-hébergée, sans cookie et sans identification individuelle.
• PostHog (UE) : mesure des pages vues, sessions et actions réalisées dans le produit. PostHog utilise un identifiant pseudonyme conservé dans le stockage local et un cookie afin de reconnaître les visites et utilisateurs dans le temps.

Aucun cookie publicitaire n’est déposé.

Nous faisons appel aux prestataires suivants, chacun limité à sa finalité :

• Stripe — encaissement des paiements (international).
• Cloudflare — distribution du trafic et stockage des documents (R2, Union européenne).
• Cloudflare Email Sending — envoi des e-mails de connexion (international).
• PostHog — mesure produit (Union européenne).
• Sentry — suivi des erreurs techniques (Union européenne).

Les transferts éventuels hors Union européenne sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne ou des mécanismes de protection équivalents.

• Les données sont stockées sur une infrastructure située dans l’Union européenne.
• Les communications sont protégées par HTTPS (TLS 1.2+).
• Les mots de passe ne sont jamais stockés : la connexion se fait par Google ou par lien magique à usage unique. Les clés d’API partenaires sont conservées sous forme de condensat (SHA-256).

• Compte et contenu du cahier : jusqu’à leur suppression par l’utilisateur ou la suppression du compte.
• Documents joints : supprimés automatiquement passé l’échéance du devoir associé. L’objet R2 est supprimé avant sa référence en base ; si le stockage est indisponible, la référence est conservée et le nettoyage est retenté lors de la prochaine exécution planifiée.
• Données de facturation : conservées le temps imposé par les obligations comptables et fiscales.
• Journaux serveur : 30 jours.
• Sauvegardes PostgreSQL : rotation selon le calendrier de sauvegarde. Une restauration ne republie pas un devoir échu, et la purge idempotente est rejouée avant de considérer le nettoyage finalisé.
• Données d’usage PostHog et données de diagnostic Sentry : conservées au niveau de l’événement ou de l’utilisateur pseudonyme selon les durées configurées auprès de ces prestataires, puis supprimées ou agrégées.

Conformément au Règlement général sur la protection des données (RGPD), vous disposez d’un droit d’accès, de rectification, de suppression, de portabilité et d’opposition sur vos données.

Pour les exercer, écrivez à [email protected]. Nous répondons dans un délai de 30 jours. Vous pouvez également saisir la CNIL.