Politique de confidentialité

Pour les données des élèves, des parents et du personnel, le responsable du traitement est l'école : c'est elle qui décide quoi saisir et pourquoi. School OS est son sous-traitant et agit selon ses instructions.

Pour les données de compte de ceux qui se connectent (nom, adresse e-mail, journal de connexion) et pour la facturation de l'abonnement, School OS est lui-même responsable du traitement.

Un parent, un élève ou un enseignant qui veut exercer ses droits s'adresse d'abord à son école.

• Élèves : nom, prénoms, date de naissance, sexe, matricule, classe, école d'origine, et les pièces du dossier que l'école ajoute (acte de naissance, certificat, photo).
• Parents : nom, numéro de téléphone, adresse e-mail quand l'école en a une.
• Scolarité : notes, appréciations, bulletins, absences et retards, sanctions, emploi du temps, devoirs, décisions du conseil de classe.
• Finances : factures, paiements, bourses, montants dus. Quand un parent signale un paiement, le numéro Wave qu'il indique.
• Personnel : identité, contrat, affectations, absences.
• Comptes : nom, adresse e-mail, mot de passe, rôle et permissions. Le mot de passe n'est jamais gardé en clair : seule une empreinte irréversible est enregistrée.
• Messages : le texte, le numéro du destinataire et l'état de chaque message préparé ou envoyé aux familles.
• Sécurité : l'adresse réseau (IP) d'une connexion, uniquement pour limiter les essais répétés.

Le service n'a aucun champ prévu pour la santé, la religion ou la biométrie, ni pour la localisation. Les élèves n'ont pas de compte : seuls les parents, le personnel et la direction se connectent.

• Gérer l'école : inscriptions, classes, notes, bulletins, absences, emploi du temps.
• Facturer les frais de scolarité et suivre les paiements.
• Prévenir les familles : absences, devoirs, factures, bulletins.
• Facturer l'abonnement à l'école.
• Protéger les comptes et le service contre les abus.

Les données ne servent ni à la publicité, ni au profilage, ni à la revente, ni à entraîner des modèles d'intelligence artificielle.

Deux traitements sont automatiques. Le calcul des moyennes et des rangs suit les coefficients réglés par l'école. Et l'accès aux notes d'un enfant est masqué quand une facture reste impayée après un préavis : les notes ne sont jamais supprimées, le parent peut toujours payer, et l'école peut lever le blocage à la main.

• Dans l'école : chaque personne voit ce que les permissions de son compte autorisent. Un enseignant voit ses classes, un parent voit ses enfants.
• Entre écoles : personne. Chaque lecture de données est limitée à l'école de la personne connectée.
• Chez School OS : l'équipe n'ouvre les données d'une école que pour un support demandé ou un incident. L'espace d'administration de la plateforme montre les abonnements, pas les notes ni les dossiers.

Nous nous appuyons sur des prestataires techniques. Voici ce que chacun reçoit :

• Supabase : la base de données et les documents des élèves. Les données sont stockées en Europe (Irlande).
• Vercel : l'exécution de l'application. Les données de l'école ne sont pas stockées chez lui.
• Cloudflare : les copies de sauvegarde de la base de données, stockées en Europe de l'Ouest.
• SendText : l'envoi des SMS. Il reçoit le numéro du destinataire et le texte du message.
• Resend : l'envoi des e-mails du compte (confirmation de l'adresse, mot de passe oublié). Il reçoit l'adresse du destinataire et le texte du message.
• SasPay : le paiement de l'abonnement de l'école. Il ne voit ni l'argent des parents, ni le contenu scolaire.
• Wave : les paiements des parents se font entre le parent et l'école, sur le compte Wave Business de l'école. Nous n'avons pas accès à ce compte.

Plusieurs de ces sociétés sont établies hors du Sénégal. Nous ne leur confions les données que dans la mesure où le service l'exige, et nous ne les transmettons à aucun autre destinataire.

• Données de l'école : conservées tant que l'école n'en demande pas la suppression, y compris après la fin du contrat. Un élève n'est jamais supprimé, il est archivé, pour qu'on retrouve son historique, ses bulletins et ses paiements des années plus tard.
• Bulletins : chaque version publiée est conservée, avec sa date.
• Sur demande de l'école : ses données sont supprimées de nos systèmes, copies de sauvegarde comprises, dans les 30 jours.
• Copies de sauvegarde quotidiennes : conservées, sans effacement automatique.
• Compteurs d'essais de connexion : la durée de leur fenêtre, 15 minutes pour une connexion et 1 heure pour la création d'une école.

• Toutes les connexions au site sont chiffrées (HTTPS).
• Les mots de passe sont enregistrés sous forme d'empreinte, jamais en clair, et les essais répétés sont limités.
• Les droits d'accès dépendent du rôle et des permissions, et sont vérifiés à chaque page et à chaque action, pas seulement à l'écran.
• Les écoles sont séparées : une école ne peut pas lire les données d'une autre.
• Une copie de la base est faite chaque nuit chez un second hébergeur, puis relue pour s'assurer qu'elle s'ouvre.
• Les accès aux services techniques se font par des clés limitées à leur usage.

Aucun système n'est infaillible. Si un incident touche des données personnelles, nous prévenons l'école concernée dès que nous le savons, et au plus tard sous 72 heures, avec ce que nous savons et ce que nous faisons. Il revient ensuite à l'école d'informer les personnes touchées, et la Commission de Protection des Données Personnelles (CDP) si la loi l'exige.

Toute personne dont les données sont traitées peut demander à les consulter, à les faire corriger, à s'opposer à leur traitement ou à demander leur suppression, dans les limites de la loi.

Pour un parent, un élève ou un enseignant, la démarche se fait auprès de l'école. Elle peut nous demander de l'aider, et nous lui répondons sous 30 jours au plus. Certaines données restent tant qu'une obligation légale ou l'intérêt de l'école le justifie, par exemple une facture ou un bulletin publié.

Ces droits viennent de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel. En cas de désaccord, il est possible de saisir la Commission de Protection des Données Personnelles (CDP).

L'application (espace école et espace parent) n'utilise que les cookies techniques de la connexion (session et sécurité). Elle ne contient ni cookie publicitaire, ni outil de mesure d'audience, ni traceur de réseau social.

Sur la page d'accueil publique seulement, un traceur de Meta (le Pixel) peut mesurer les visites venues de nos publicités sur Facebook et Instagram, ainsi que les clics vers l'inscription ou WhatsApp. Il dépose un cookie et transmet à Meta des informations sur la visite (pages vues, appareil, adresse IP), sans aucune donnée d'école, d'élève ou de parent. Il peut être bloqué dans les réglages du navigateur ou par un bloqueur de publicités.

La version en vigueur porte sa date en haut de la page. Si un changement modifie ce que nous faisons des données, nous prévenons les écoles au moins 30 jours avant.

Pour toute question sur ce document :

• Éditeur : Hassane (personne physique)
• Adresse : HLM Fass, Dakar, Sénégal
• E-mail : hassaneseybou9@gmail.com
• Téléphone : 76 499 41 16