RGPD

Beneylu et le RGPD

Dernières mises à jour :

  • 20 mai 2019 : changement de DPD
  • 18 juin 2019 : réorganisation, compléments et précisions

Pour les professeurs utilisateurs de Beneylu School, une lecture digeste des informations ainsi que la réponse aux questions fréquentes sont disponibles sur cette page :
https://beneylu.com/fr/10-questions-de-professeurs-sur-la-securite/.

1 – À propos du RGPD

1.1. Qu’est ce que le RGPD

Le règlement n° 2016/679, dit Règlement Général sur la Protection des Données (RGPD), est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel.

Il renforce et unifie la protection des données pour les individus au sein de l’Union européenne.

En France, c’est la CNIL qui est chargée de vérifier l’application de ce règlement, pour plus d’informations : page dédiée du site Internet de la CNIL

1.2. Qu’est ce qu’une donnée personnelle ?

La CNIL définit une données personnelle comme :

Toute information identifiant directement ou indirectement une personne physique (ex. nom, n° d’immatriculation, n° de téléphone, photographie, date de naissance, commune de résidence, empreinte digitale…).

Il existe une confusion fréquente entre donnée personnelle et donnée sensible (opinion politique, état de santé, etc.). Beneylu ne traite aucune donnée sensible.

1.3. Comment puis-je exercer mes droits ?

En tant qu’utilisateur des services de Beneylu, vous disposez de droits fondamentaux :

  • Droit d’accès aux données : Vous disposez du droit d’accès à vos informations personnelles détenues par Beneylu.
  • Droit de rectification : Vous disposez du droit de rectifier vos informations personnelles détenues par Beneylu.
  • Droit d’opposition : Vous disposez du droit de vous opposer à l’utilisation de vos données personnelles détenues par Beneylu.
  • Droit d’effacement : Vous disposez du droit de demander l’effacement de vos données personnelles détenues par Beneylu.
  • Droit à la portabilité : Vous disposez du droit de récupérer vos données personnelles sous forme numérique, dans un format ouvert.

Afin d’exercer ces droits, vous pouvez contacter Beneylu à l’adresse : support@beneylu.com

1.4. Qui est le délégué à la protection des données ?

Le délégué à la protection des données (ou data protection officer) déclaré auprès de la CNIL est monsieur Benjamin Viaud, joignable à l’adresse dpd@beneylu.com.

Beneylu
3 rue des Chauffours
95000 Cergy
SIREN : 515 323 079

2 – Cadre général pour l’ENT Beneylu School

Ce chapitre est construit selon le modèle proposé par la CNIL et le travail d’inventaire élaboré dans le cadre du RU-003.

Bien que l’engagement de conformité au RU-003 n’ait plus de valeur juridique depuis l’entrée en application du RGPD, il reste à ce jour la meilleure base de travail concernant la protection des données au sein des ENT.

Le Ministère de l’Éducation nationale publie le SDET (Schéma directeur des espaces numériques de travail) qui encadre l’exploitation générale de ce type de plateforme.

2.1. Responsables de traitement concernés

Beneylu School est un « espace numérique de travail » pour l’école primaire. Le SDET est complété par l’acte réglementaire unique RU-003 qui précise que le responsable de traitement des données est :

le directeur académique des services de l’éducation nationale-DASEN, pour les écoles

En fonction des traitements de données, Beneylu peut se positionner comme sous-traitant ou comme responsable de traitement.

Beneylu se positionne comme :

  • sous-traitant pour ce qui concerne l’exploitation de la plateforme d’espace numérique de travail ;
  • responsable de traitement pour ce qui concerne les services de commercialisation de ses produits : emailing, gestion de la relation clients, gestion des abonnements, facturation.

2.2. Bases légales

Le RGPD prévoit qu’un traitement de données n’est licite que s’il remplit au moins l’une des 6 conditions prévues à l’Article 6 – Licéité du traitement.

Exploitation de l’ENT

La base légale de l’exploitation de l’ENT est la « mission d’intérêt public », pour laquelle le DASEN est responsable de traitement.

Commercialisation des produits

La base légale de la commercialisation des produits Beneylu est « l’exécution d’un contrat auquel la personne concernée est partie », pour laquelle Beneylu est responsable de traitement.

2.3. Objectifs poursuivis

Les ENT, qui permettent d’accéder, via un point d’entrée unifié, à des services et contenus numériques, ont pour objet de

  • Saisir et mettre à la disposition des élèves et de leurs parents, des étudiants, des enseignants, des personnels administratifs et plus généralement de tous les membres de la communauté éducative, des contenus éducatifs et pédagogiques, des informations administratives, relatives à la vie scolaire, aux enseignements et au fonctionnement de l’établissement ainsi que de la documentation en ligne ;
  • Permettre des échanges et des collaborations entre écoles et établissements d’un même ENT ainsi qu’avec des écoles et des établissements utilisant des ENT différents ;
  • Permettre un accès à des services externes à l’ENT, dits services tiers.

2.4. Catégories de personnes concernées

Outre les données créées lors de l’ouverture d’un compte ENT (identifiant et mot de passe), les catégories de données à caractère personnel pouvant être enregistrées dans un ENT sont les suivantes dans l’enseignement primaire et secondaire, ainsi que dans l’enseignement supérieur :

  • sur les élèves et les étudiants : civilité, noms, prénoms, date et lieu de naissance, ville et pays de naissance, identifiant national élève/étudiant (INE), photographie et coordonnées personnelles, tout élément concernant sa vie scolaire ou universitaire, sa scolarité, ses productions scolaires ou universitaires ;
  • sur les parents d’élèves : civilité, noms, prénoms, adresse postale, téléphones fixe et portable, télécopie, adresse électronique;
  • sur les personnels enseignants et non enseignants : civilité, noms, prénoms, date de naissance, situation professionnelle, structure de rattachement, coordonnées professionnelles, informations administratives les concernant, toute information concernant la scolarité des élèves ou des étudiants dont ils ont la charge ;

Les données utilisées dans les ENT peuvent être issues notamment de systèmes d’information mis en œuvre par les ministères de l’Éducation nationale et de l’enseignement supérieur et de la recherche ou de systèmes d’information mis en œuvre par les collectivités territoriales, soit fournies par les usagers des ENT.

2.5. Catégories de données collectées

État-civil, identité, données d’identification

Compte élève Compte parent Compte enseignant
Prénom X X X
Nom X X X
Documents médiathèque X X X
Messages reçus et envoyés X X X
Email X X
Numéro de téléphone X X
Avatar X X X
Date d’anniversaire X X X
Adresse IP X X X

Chaque utilisateur est également lié à des espaces de travail (groupe, classe, école, etc.) par des affectations.

L’obligation de traçabilité est décrite par le décret n°2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne.

Vie personnelle

Liens entre les élèves, leurs responsables légaux et leur fratrie.

Vie scolaire, vie professionnelle

L’annuaire académique fédérateur fournit des données personnelles supplémentaires utiles à l’exploitation technique de la plateforme, notamment la synchronisation des comptes :

  • Pour tous les comptes : une référence académique chiffrée
  • Pour les élèves : l’identifiant national de l’élève (INE)

La plateforme permet également l’édition du « livret scolaire unique » (LSU) de l’élève.

Informations d’ordre économique et financier

Aucune

Données de connexion

Adresses IP, nom et prénom, identifiant du terminal, horodatage des requêtes effectuées, type des requêtes effectuées, message d’erreur des services d’authentification externes.

Données de localisation (ex. déplacements, données GPS, GSM, …)

Aucune

Internet 

Présence de cookies pour des besoins d’authentification, d’affichage, de statistiques, de mesures d’audience, de monitoring et de fourniture de services tiers, parmi lesquels :

  • Beneylu : session utilisateur, affichage, exploitation technique de la plateforme. Durée jusqu’à 1 mois.
  • Google Analytics : mesure d’audience. Durée de 14 mois.
  • New Relic : monitoring technique. Durée de la session.
  • Intercom : assistance aux utilisateurs. Durée de 7 jours.
  • Segment : intermédiation avec les services tiers. Durée de 12 mois.

Données sensibles

Aucune

Origine des données

  • Import depuis les annuaires académiques fédérateurs
  • Import depuis des sources de données des porteurs de projet
  • Saisie par les utilisateurs

2.6. Durées de conservation des données

Comptes enseignants et gestionnaires

Lorsque tous ses abonnements ont expiré et après 1 an sans activité, le compte professeur et toutes les données personnelles associées sont supprimées : identifiant, profil, messages, notifications, documents.

Un email prévient de la suppression du compte professeur 2 mois avant, puis 7 jours avant.

Comptes élèves, parents et autres utilisateurs

Lorsque plus aucun abonnement n’est actif dans les espaces de travail auxquels l’utilisateur est attaché, son compte est désactivé.

Les données personnelles associées sont archivées 3 mois après la désactivation du compte Beneylu School, avant d’être supprimées.

2.7. Destinataires des données

Destinataires internes

Exclusivement les catégories de personnes susceptibles de disposer, dans la limite de leurs attributions respectives, d’un accès à l’ENT. Chaque catégorie d’utilisateur ne peut accéder qu’aux seules informations concernant ses fonctions au sein de l’établissement. Dans l’enseignement primaire :

  • les élèves, en ce qui concerne leurs informations personnelles et la vie scolaire ;
  • les personnes responsables d’élèves, en ce qui concerne la vie scolaire des enfants dont ils ont la charge ;
  • les délégués de parents d’élèves, en ce qui concerne la vie de l’école ou de l’établissement ;
  • les personnels enseignants, en ce qui concerne les informations relatives à la scolarité de leurs élèves ;
  • les personnels autres que les personnels enseignants, en ce qui concerne leurs fonctions dans l’établissement ;
  • les intervenants extérieurs, en ce qui concerne des activités scolaires ou périscolaires auxquelles ils participent et qui sont organisées en accord avec le responsable de l’établissement ;
  • les services municipaux dans le cadre de la préinscription scolaire et des activités organisées par les communes ;
  • les associations de parents d’élèves et les représentants des collectivités territoriales dans les instances délibératives de l’école ou de l’établissement, en ce qui concerne leur mandat ;
  • le ministre chargé de l’éducation nationale pour les seules données nécessaires à la mise en œuvre du traitement de données à caractère personnel dénommé « gestionnaire d’accès aux ressources » (GAR).

Organismes externes

Les fournisseurs proposant des services tiers via l’ENT en dehors du GAR et dans le respect des conditions strictement définies dans le SDET peuvent également être destinataires des seules données nécessaires au fonctionnement de ces services.

Sous-traitants

La liste détaillée des sous-traitants de Beneylu fait l’objet d’un chapitre dédié ci-après.

2.8. Transfert des données hors UE

Des données personnelles sont transmises hors de l’Union européenne vers les pays suivants:

  • Irlande
  • USA

Les entreprises américaines sous-traitantes de Beneylu étant certifiées « Privacy Shield », ces zones sont adéquates selon le RGPD.

Le chapitre dédié aux sous-traitants de Beneylu présente la liste de ces entreprises et les traitements de données associés.

La durée de conservation des données hors UE est allongée de sept jours pour prendre en compte le temps nécessaire aux suppressions en cascade.

2.9. Mesures de sécurité

Les mesures de sécurité organisationnelles et techniques sont prévues par le « Schéma directeur des espaces numériques de travail » (SDET) et respectées par Beneylu.

Contrôle d’accès des utilisateurs

En conformité avec le SDET

Mesures de traçabilité

En conformité avec le SDET

Mesures de protection des logiciels (antivirus, mises à jour et correctifs de sécurité, tests, etc.)

En conformité avec le SDET

Sauvegarde des données

En conformité avec le SDET

Chiffrement des données

En conformité avec le SDET

Contrôle des sous-traitants

La plateforme Beneylu School est exploitée par Beneylu et ses sous-traitants. Donc seuls Beneylu et ses sous-traitants ont accès à tout ou partie des données personnelles.

Le personnel de Beneylu, en fonction du niveau d’accès qu’il détient, peut accéder à des données personnelles :

  • L’équipe support, dans le but d’apporter une réponse personnalisée aux demandes des utilisateurs ;
  • L’équipe exploitation, pour assurer la maintenance et la mise à jour des bases de données.

Les sous-traitants sont tous adéquats au sens du RGPD, ils sont présentés au chapitre dédié.

3. Traitements de données personnelles sur Beneylu School

3.1. La plateforme Beneylu School recueille t-elle des données personnelles ?

Oui, l’exploitation de la plateforme Beneylu School nécessite de connaître des données personnelles, notamment à des fins d’authentification, de contrôle d’accès et de personnalisation des services.

Beneylu applique les principes de minimisation des données et de privacy by design, nous ne recueillons ainsi que les données utiles à l’exploitation des services que vous choisissez sur Beneylu School.

Les données personnelles recueillies par la plateforme Beneylu School sont strictement utilisées dans le cadre de l’exploitation du service.

3.2. Quelles sont les données personnelles recueillies par Beneylu School ?

L’acte réglementaire unique RU-003 précise les données personnelles qui peuvent être recueillies par un « espace numériques de travail ». Bien que l’engagement de conformité au RU-003 n’ait plus de valeur juridique depuis l’entrée en application du RGPD, il reste à ce jour la meilleure base de travail concernant la protection des données au sein des ENT.

Les données personnelles recueillies par Beneylu School sont les suivantes :

Données personnelles – Compte « enseignant »

  • Nom
  • Prénom
  • Email
  • Affectations aux espaces de travail
  • Documents stockés sur la médiathèque
  • Messages reçus et envoyés
  • Avatar
  • Date d’anniversaire
  • Adresse IP – obligation de traçabilité

Données personnelles – Compte « élève »

  • Nom
  • Prénom
  • Affectations aux espaces de travail
  • Documents stockés sur la médiathèque
  • Messages reçus et envoyés
  • Avatar
  • Date d’anniversaire
  • Adresse IP – obligation de traçabilité

Données personnelles – Compte « parent »

  • Nom
  • Prénom
  • Email
  • Affectations aux espaces de travail
  • Numéro de téléphone
  • Documents stockés sur la médiathèque
  • Messages reçus et envoyés
  • Adresse IP – obligation de traçabilité

L’obligation de traçabilité est décrite par le décret n°2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne.

Cas des plateformes Beneylu School synchronisées avec les annuaires académiques

Dans certaines académies, les porteurs de projet bénéficient de la synchronisation automatique des comptes utilisateurs de Beneylu School avec les informations mises à disposition par « l’annuaire académique fédérateur », selon une procédure sécurisée définie par le Ministère de l’Éducation nationale.

L’annuaire académique fédérateur fournit des données personnelles supplémentaires utiles à l’exploitation technique de la plateforme, notamment la synchronisation des comptes :

  • Pour un compte « enseignant » :
    • Une référence académique chiffrée
  • Pour un compte « élève » :
    • Une référence académique chiffrée
    • L’ identifiant national de l’élève (INE) – nécessaire pour les changements d’établissement et la génération des livrets scolaires
  • Pour un compte « parent » :
    • Une référence académique chiffrée
    • Numéro de téléphone – facultatif, utile pour l’application « Messages flash »

3.3. Comment sont utilisées les adresses email recueillies par Beneylu School ?

Adresse email – Compte « enseignant »

L’adresse email associée à un compte « enseignant » est utilisée pour :

  • La gestion de l’identité : activation de compte, authentification, gestion du mot de passe
  • L’information : notifications d’activité sur la plateforme, support utilisateur, informations sur l’abonnement,  l’exploitation et la vie de la plateforme

Adresse email – Compte « élève »

Aucune adresse email n’est associée aux comptes « élèves ».

Adresse email – Compte « parent »

L’adresse email associée à un compte « parent » est utilisée pour :

  • La gestion de l’identité : authentification, gestion du mot de passe
  • L’information : notifications d’activité sur la plateforme, support utilisateur, communications du porteur de projet

4 – Sous-traitants de Beneylu

Chaque sous-traitant est lui-même conforme au RGPD et engagé par contrat avec Beneylu.

4.1. À propos du Privacy Shield

Certains sous-traitants de Beneylu hébergent des données aux États-Unis, pays adéquat selon le RGPD pour les entreprises certifiées « Privacy Shield ».

Ils sont tous certifiés « Privacy Shield », le bouclier de protection des données UE – États-Unis. Selon la CNIL :

Le Bouclier de Protection des Données, mieux connu sous le nom de « Privacy Shield », est un mécanisme d’auto-certification pour les entreprises établies aux États-Unis qui a été reconnu par la Commission européenne comme offrant un niveau de protection adéquat aux données à caractère personnel transférées par une entité européenne vers des entreprises établies aux États-Unis. Ce mécanisme est par conséquent considéré comme offrant des garanties juridiques pour de tels transferts de données.

Les infrastructures d’exploitation principales des services Beneylu sont quant à elles hébergées en France, par Microsoft Azure France et OVH.

4.2. Microsoft Azure France

Microsoft Azure France est une entreprise française, spécialiste des services « cloud ».

Nous confions à Azure l’exploitation de l’infrastructure technique Beneylu : serveurs, sauvegardes et bases de données. Les données sont stockées en France dans les datacentres « France Central » de Microsoft Azure France.

Données personnelles concernées : toutes.

Beneylu est sous-traitant en ce qui concerne l’exploitation de l’ENT.

Politique de protection des données du sous-traitant : https://www.microsoft.com/fr-fr/trustcenter/CloudServices/Azure/GDPR

4.3. OVH

OVH est une entreprise française, spécialiste de l’hébergement de sites internet.

Nous confions à OVH l’exploitation de quelques services de Beneylu School comme les tâches asynchrones et le temps réel. Les données sont stockées en France dans les datacentres de Roubaix et de Gravelines.

Données personnelles concernées : toutes.

Beneylu est sous-traitant en ce qui concerne l’exploitation de l’ENT.

Politique de protection des données du sous-traitant : https://www.ovh.com/fr/protection-donnees-personnelles/gdpr.xml

4.4. Intercom

Intercom est une entreprise américaine, fournisseur de technologies de messagerie entre une plateforme et ses utilisateurs.

Nous utilisons Intercom pour la gestion personnalisée du support aux utilisateurs de Beneylu School.

Intercom est hébergé aux Etats-Unis, certifié « Privacy Shield » et donc  adéquat selon le RGPD (voir « À propos du Privacy Shield »).

Données personnelles concernées – comptes « adultes » uniquement : Nom, prénom, email, profil de la classe, profil de l’école, profil du projet, indicateurs d’activité.

Beneylu est sous-traitant en ce qui concerne le support aux utilisateurs de l’ENT.

Politique de protection des données du sous-traitant : https://www.intercom.com/terms-and-policies#eu-us

4.5. AWS

Amazon Web Services Ireland est une entreprise irlandaise, branche européenne des « services cloud aux entreprises » d’Amazon.

Nous confions à AWS Ireland l’envoi des emails de notification produits par Beneylu School.

AWS Ireland est hébergé en Irlande, pays membre de l’Union Européenne et par conséquent adéquat selon le RGPD.

Donnée personnelle concernée : adresse email, profil de l’espace de travail.

Beneylu est sous-traitant en ce qui concerne la gestion des notifications de l’ENT..

Politique de protection des données du sous-traitant : https://aws.amazon.com/fr/compliance/gdpr-center/

4.6. Mailchimp

Mailchimp est une entreprise américaine spécialisée dans l’emailing.

Nous confions à Mailchimp la gestion de nos campagnes d’emails, comme les newsletters par exemple.

Mailchimp est hébergé aux Etats-Unis, pays adéquat selon le RGPD et certifié « Privacy Shield » (voir « À propos du Privacy Shield »).

Données personnelles concernées : Nom, prénom, adresse email, fonction.

Beneylu est responsable de traitement de données en ce qui concerne les campagnes d’emails.

Politique de protection des données du sous-traitant : https://mailchimp.com/legal/privacy/

4.7. Stripe

Stripe est une entreprise américaine spécialisée dans le paiement en ligne.

Nous confions à Stripe la gestion des paiements en ligne.

Stripe est hébergé aux Etats-Unis, pays adéquat selon le RGPD et certifié « Privacy Shield » (voir « À propos du Privacy Shield »).

Données personnelles concernées – porteur de la carte de paiement : Nom, prénom, email, adresse IP.

Beneylu est responsable de traitement de données en ce qui concerne le paiement en ligne.

Politique de protection des données du sous-traitant : https://stripe.com/privacy-shield-policy

4.8. Autres technologies

Beneylu utilise d’autres technologies pour exploiter ses services en ligne. Ces technologies n’exploitent pas de données personnelles et ne sont donc pas référencées sur cette page.