01 Introduction
SchoolTrack est une application de gestion des présences pour sorties scolaires, développée dans le cadre d'un travail de fin d'études (TFE Bachelier IT, EPHEC). Elle permet aux établissements scolaires belges de suivre la présence de leurs élèves lors d'activités hors de l'école — visites, voyages, activités sportives.
La présente politique décrit les données traitées, les finalités, les durées de conservation, les mesures de protection mises en place et les droits dont disposent les personnes concernées. Elle est rédigée en application du Règlement (UE) 2016/679 (RGPD) et de la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.
Le responsable du traitement est l'établissement scolaire qui utilise la plateforme. SchoolTrack agit en qualité de sous-traitant technique.
02 Données collectées
Trois catégories de données sont traitées par la plateforme. Aucune donnée sensible (santé, opinions, origine) n'est collectée.
2.1 Données relatives aux élèves
| Donnée | Finalité | Base légale |
|---|---|---|
| Nom, prénom | Identification de l'élève dans la liste de classe | Mission d'intérêt public |
| Classe, école | Affectation au voyage et aux checkpoints | Mission d'intérêt public |
| Identifiant NFC / QR | Scan de présence sur le terrain | Mission d'intérêt public |
| Email parent (optionnel) | Envoi du QR code de l'élève | Consentement |
| Horodatages des scans | Suivi en temps réel et journal post-sortie | Mission d'intérêt public |
2.2 Données relatives au personnel scolaire
| Donnée | Finalité | Base légale |
|---|---|---|
| Nom, prénom, email pro | Authentification et notifications | Contrat / mission d'intérêt public |
| Rôle (direction, enseignant, secrétariat) | Contrôle d'accès | Contrat / mission d'intérêt public |
| Mot de passe (haché bcrypt) | Authentification | Contrat |
| Secret 2FA TOTP | Sécurité du compte direction | Intérêt légitime (sécurité) |
2.3 Données techniques
| Donnée | Finalité | Durée |
|---|---|---|
| Adresse IP du dashboard | Détection d'intrusion, journal d'audit | 12 mois |
| User-agent navigateur | Diagnostic technique, journal d'audit | 12 mois |
| Identifiant de session JWT | Authentification du dashboard | 30 minutes |
| Logs serveur (erreurs) | Maintenance technique | 30 jours |
03 Principes de traitement
Le traitement des données respecte les principes de l'article 5 du RGPD :
- Licéité, loyauté, transparence : les données sont collectées sur des bases légales définies et expliquées aux personnes concernées.
- Limitation des finalités : les données ne sont utilisées que pour la gestion de la sortie scolaire concernée.
- Minimisation : seules les données strictement nécessaires sont collectées. Pas de date de naissance, pas d'adresse, pas de numéro de téléphone élève.
- Exactitude : l'établissement maintient les listes à jour ; les corrections sont possibles à tout moment via le dashboard.
- Limitation de conservation : les données sont supprimées selon les durées définies à la section 6.
- Intégrité et confidentialité : chiffrement de bout en bout, contrôle d'accès, traçabilité (cf. section 4).
04 Mesures de protection
4.1 Chiffrement
| Couche | Standard | Portée |
|---|---|---|
| Transport | TLS 1.3 | Mobile ↔ serveur, dashboard ↔ serveur |
| Base mobile | SQLCipher AES-256 | Données en cache hors-ligne sur l'appareil |
| Base serveur | AES-256 (chiffrement disque) | Données persistantes côté infrastructure |
| Mots de passe | bcrypt (cost 12) | Hachage à sens unique, jamais en clair |
4.2 Contrôle d'accès
L'accès est restreint par rôles : direction (toutes les classes de l'école), enseignant (uniquement ses sorties), secrétariat (gestion des listes), super-admin (maintenance technique, journal d'audit). Le compte direction exige obligatoirement un second facteur (TOTP via application d'authentification).
4.3 Traçabilité
Toute consultation et toute modification de données personnelles sont enregistrées dans un journal d'audit immuable. Ce journal contient l'identifiant de l'utilisateur, l'action, la date et l'adresse IP. Il est conservé 12 mois et peut être communiqué à l'autorité de protection des données sur demande motivée.
05 Droits des personnes
Conformément aux articles 15 à 22 du RGPD, les élèves, leurs représentants légaux et les membres du personnel disposent des droits suivants. Ces droits s'exercent auprès du DPO de l'établissement.
5.1 Droit d'accès — art. 15
Obtenir la confirmation que des données vous concernant sont traitées, et en recevoir une copie.
5.2 Droit de rectification — art. 16
Faire corriger des données inexactes ou incomplètes (orthographe d'un nom, classe erronée, etc.).
5.3 Droit à l'effacement — art. 17
Demander la suppression des données lorsqu'elles ne sont plus nécessaires, sous réserve des obligations légales de conservation.
5.4 Droit à la limitation — art. 18
Demander le gel temporaire du traitement, par exemple pendant la vérification d'une demande de rectification.
5.5 Droit d'opposition — art. 21
S'opposer au traitement pour des motifs tenant à votre situation particulière. L'établissement réévaluera alors la nécessité du traitement.
06 Durées de conservation
| Catégorie | Durée | Point de départ |
|---|---|---|
| Liste de classe et identifiants NFC/QR | Année scolaire en cours | Création |
| Horodatages des scans d'une sortie | 3 mois | Fin de la sortie |
| Compte personnel (enseignant, direction) | Tant que la personne exerce | Création du compte |
| Journal d'audit | 12 mois | Date de l'événement |
| Logs techniques (erreurs, IP) | 30 jours | Date du log |
07 Sous-traitants
Trois sous-traitants techniques interviennent dans la chaîne de traitement. Chacun est lié par un contrat conforme à l'article 28 du RGPD et localisé en Union européenne.
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Brevo (Sendinblue) | Envoi d'emails transactionnels (QR codes, réinitialisation de mot de passe) | Union européenne |
| One.com | Hébergement du serveur applicatif | Union européenne (Danemark) |
| Let's Encrypt | Émission des certificats TLS | Union européenne / international (autorité de certification) |
08 Cookies et stockage local NEW
SchoolTrack n'utilise aucun cookie tiers, aucun pixel publicitaire et aucun outil d'analyse comportementale (pas de Google Analytics, pas de Meta Pixel, pas de Hotjar, etc.). Aucun bandeau de consentement n'est requis : la plateforme ne dépose pas de cookie traceur.
8.1 Stockage local du dashboard
Pour permettre la session authentifiée, le dashboard utilise le localStorage du navigateur — strictement limité aux jetons techniques :
| Élément | Finalité | Durée |
|---|---|---|
| Token JWT d'accès | Authentification des requêtes API | 30 minutes |
| Token JWT de rafraîchissement | Renouvellement de session sans re-login | 24 heures |
| Préférences d'affichage | Tri par défaut, colonnes affichées | Jusqu'à effacement manuel |
8.2 Stockage local de l'application mobile
L'appli mobile utilise une base SQLite chiffrée par SQLCipher (AES-256) pour mettre en cache la liste de classe pendant la sortie. Cette base permet le mode hors-ligne. Elle est purgée automatiquement à la déconnexion et au plus tard 7 jours après la fin du voyage.
8.3 Comment effacer les données stockées
Sur le dashboard : se déconnecter purge le localStorage. Pour un effacement manuel, utiliser les paramètres de votre navigateur (« Données du site » ou « localStorage » pour le domaine du dashboard).
Sur le mobile : se déconnecter dans l'application purge la base chiffrée. La désinstallation purge également l'intégralité du stockage applicatif.
09 Violation de données
En cas de violation susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, l'établissement notifie l'Autorité de protection des données belge (APD) dans les 72 heures, conformément à l'article 33 du RGPD. Si le risque est élevé, les personnes concernées sont également informées dans les meilleurs délais (article 34).
SchoolTrack, en qualité de sous-traitant, s'engage à signaler toute violation à l'établissement responsable du traitement dans les 24 heures suivant sa découverte, avec un compte rendu détaillé (nature, volumétrie, mesures prises).
10 Contact
Pour exercer vos droits ou obtenir des informations complémentaires, adressez-vous au Délégué à la protection des données (DPO) de l'établissement scolaire. Les coordonnées du DPO sont communiquées par l'école.
En cas de désaccord persistant, vous pouvez introduire une réclamation auprès de l'Autorité de protection des données :
- Autorité de protection des données — Rue de la Presse 35, 1000 Bruxelles
- Site web : autoriteprotectiondonnees.be
- Email : [email protected]
11 Modifications
La présente politique peut être mise à jour pour refléter des évolutions techniques, réglementaires ou contractuelles. La date de la dernière révision figure en tête du document. En cas de modification substantielle, les utilisateurs du dashboard sont informés par email et un encart d'information apparaît à la connexion suivante.
L'historique des versions est conservé à des fins d'audit. La version courante prévaut sur toute version antérieure.