Politique de confidentialité

Le service ScolIA (Intranet pour établissements scolaires) est édité par [Raison sociale à compléter]. Contact : contact@scolia.fr.

Délégué à la protection des données : dpo@scolia.fr.

Pour les données scolaires traitées via la plateforme, l'établissement scolaire abonné est en principe le responsable de traitement ; ScolIA agit comme sous-traitant au sens du RGPD, sauf pour les données de compte, facturation et support liées à l'abonnement.

Selon les modules activés par l'établissement, ScolIA peut traiter notamment :

• Identifiants de compte (e-mail, nom, rôle, établissement), mots de passe hachés et sessions d'authentification
• Données relatives aux élèves, familles et personnels (état civil, coordonnées, classes, dossiers administratifs) lorsque l'établissement les saisit ou les importe
• Documents administratifs et métadonnées associées (dépôts, classifications, validations)
• Plannings, absences, demandes, tickets, réservations et réservations de créneaux (dont rendez-vous d'inscription)
• Logs techniques nécessaires à la sécurité et au bon fonctionnement (adresses IP, horodatages, journaux d'erreur)

Lorsque l'établissement connecte un compte Google technique au module de prise de rendez-vous d'inscription de ScolIA, l'application accède aux API Google Calendar via OAuth. Nous demandons uniquement les autorisations nécessaires à cette fonctionnalité :

• https://www.googleapis.com/auth/calendar.events — lire et modifier les événements des agendas partagés avec le compte technique
• https://www.googleapis.com/auth/calendar.readonly — lire la liste des agendas et des événements disponibles
• https://www.googleapis.com/auth/userinfo.email et openid — identifier le compte Google connecté (adresse e-mail)

Données Google effectivement utilisées : identifiant / e-mail du compte Google connecté ; jetons OAuth (access token et refresh token) ; identifiants d'agendas partagés ; titres, dates/heures, descriptions et participants des événements concernés par la prise de rendez-vous d'inscription (création, mise à jour, libération ou annulation de créneaux).

Nous n'accédons pas aux e-mails Gmail, aux fichiers Drive, aux contacts Google, ni à d'autres services Google hors Calendar pour ce module.

Les données Google Agenda sont utilisées exclusivement pour :

• Afficher aux familles les créneaux d'inscription disponibles sur les agendas partagés par l'établissement
• Réserver, confirmer, modifier ou libérer un créneau lorsqu'un parent ou l'administration le demande
• Enrichir l'événement Google avec les informations utiles au rendez-vous (identité de l'élève / contact, lien vers le dossier d'inscription le cas échéant)
• Envoyer les confirmations et rappels liés au rendez-vous (e-mail / fichier .ics) depuis ScolIA

Ces données ne sont pas utilisées pour de la publicité, du tracking publicitaire, de la revente, ni pour entraîner des modèles d'IA à des fins indépendantes du service rendu à l'établissement.

Les jetons OAuth Google (refresh token) sont stockés de façon sécurisée côté serveur, associés à l'établissement, afin de permettre la synchronisation sans redemander le consentement à chaque action. Les autres données métier (réservations, élèves, etc.) sont hébergées principalement chez Scaleway (France — Paris (fr-par)).

Google reçoit les appels API nécessaires (lecture / écriture d'événements) lorsque le module Agenda est connecté. Des sous-traitants techniques (hébergement, messagerie, OCR / IA, stockage objet) peuvent intervenir pour le fonctionnement global de ScolIA, sous instructions contractuelles.

ScolIA ne vend pas les données Google utilisateur et ne les transfère pas à des tiers à des fins marketing.

L'utilisation par ScolIA des informations reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences Limited Use. En particulier :

• Les données Google ne sont utilisées que pour fournir ou améliorer les fonctionnalités visibles de prise de rendez-vous d'inscription
• Elles ne sont pas utilisées pour servir des publicités, y compris des publicités personnalisées ou retargeting
• Elles ne sont pas cédées à des courtiers en données ni utilisées pour déterminer la solvabilité ou à des fins de prêt
• Les transferts à des sous-traitants n'ont lieu que pour opérer / sécuriser le service, avec des obligations contractuelles adaptées
• Les humains n'accèdent aux données Google que pour le support demandé par l'établissement, la sécurité, le respect de la loi, ou lorsque les données ont été agrégées / anonymisées

• Fournir l'intranet et les workflows demandés par l'établissement
• Authentifier les utilisateurs et sécuriser les sessions
• Assurer le support, la sécurité, la facturation et la conformité du service

Traitement fondé principalement sur l'exécution du contrat avec l'établissement (et le traitement confié par l'établissement pour les données scolaires) et, le cas échéant, sur l'intérêt légitime (sécurité, prévention des abus, amélioration du service) ou le consentement (modules optionnels ou connexions tierces comme Google Agenda, initiées par l'établissement).

Les données métier sont conservées pendant la durée du contrat avec l'établissement, puis archivées ou effacées selon les exigences légales et les instructions de l'établissement.

Les jetons Google sont conservés tant que la connexion Agenda est active pour l'établissement. Ils peuvent être révoqués à tout moment : déconnexion depuis le paramétrage RDV inscriptions dans ScolIA, ou révocation des accès depuis le compte Google (myaccount.google.com/permissions). Après révocation, les appels API Google cessent ; les réservations déjà enregistrées dans ScolIA peuvent être conservées selon les règles de l'établissement.

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Pour les exercer :

• Données scolaires / famille : contactez en priorité votre établissement
• Questions relatives à ScolIA ou au DPO : dpo@scolia.fr

Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

Des cookies ou stockage local techniques (session, authentification, préférences, protection CSRF OAuth) sont nécessaires au fonctionnement. Aucun cookie publicitaire tiers n'est déposé sans consentement.

Cette politique peut être mise à jour pour refléter l'évolution du service ou des exigences légales / de Google. La date de dernière mise à jour figure en tête de page. En cas de changement substantiel portant sur les données Google, nous mettrons à jour cette page avant de soumettre à nouveau une vérification OAuth le cas échéant.