Politique de confidentialité

1. Définitions

Pour faciliter la lecture, les termes suivants ont le sens qui leur est donné ci-dessous, y compris lorsqu'ils sont employés au singulier ou au pluriel :

• « Donnée personnelle » : toute information se rapportant à une personne physique identifiée ou identifiable (art. 4.1 du RGPD).
• « Traitement » : toute opération appliquée à des données personnelles (collecte, enregistrement, consultation, suppression, etc.).
• « Responsable du traitement » : la personne qui détermine les finalités et les moyens du traitement — ici, l'éditeur de EasyPrésence.
• « Sous-traitant » : la personne qui traite des données personnelles pour le compte du responsable du traitement (ex. hébergeur, prestataire d'e-mailing).
• « Personne concernée » : la personne physique dont les données sont traitées (enseignant, étudiant).
• « RGPD » : le règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données à caractère personnel.
• « CNIL » : la Commission nationale de l'informatique et des libertés, autorité de contrôle française.
• « Purge » : la suppression automatique et irréversible des signatures effectuée chaque nuit à 3 h 00.

2. Responsable du traitement

EasyPrésence est un service d'émargement numérique. Le responsable du traitement est l'éditeur du service, joignable à contact@easypresence.fr. Toute demande relative aux données personnelles est traitée dans un délai maximum d'un mois.

Compte tenu du volume de données traitées, de l'absence de suivi systématique à grande échelle des personnes concernées et de l'absence de traitement de données sensibles (art. 9 et 10 RGPD), la désignation d'un délégué à la protection des données (DPO) n'est pas une obligation légale pour ce service (art. 37 RGPD). Toute demande peut néanmoins être adressée directement au responsable du traitement à l'adresse ci-dessus, qui y répondra personnellement.

3. À qui s'adresse cette politique

Elle concerne deux publics, qui ne sont pas traités de la même façon.

• les enseignants et administrateurs, qui disposent d'un compte et dont les données sont conservées tant que le compte existe ;
• les étudiants, qui n'ont pas de compte et dont les données de présence sont supprimées automatiquement en moins de 48 heures.

Si vous utilisez le service dans le cadre de vos études ou de votre travail à l'Université de Rennes, l'établissement reste votre interlocuteur pour l'usage qu'il fait des feuilles de présence. Nous sommes l'outil, pas le décisionnaire.

4. Résumé en langage clair

Avant le détail juridique, voici l'essentiel en quelques phrases.

• On ne demande aux étudiants (sans création de compte) que ce qu'il faut pour prouver une présence : nom, prénom, position GPS ponctuelle au moment du scan (uniquement si l'enseignant l'a activée sur le formulaire et jamais via un code d'urgence), adresse IP et identifiant technique d'appareil.
• Les signatures et tentatives d'émargement sont effacées automatiquement chaque nuit à 3 h 00 dès qu'elles ont plus de 24 heures (soit une conservation réelle de 24 à 48 heures maximum).
• Aucune publicité, aucun suivi entre les sites, aucun outil d'analyse d'audience tiers, aucune revente de données.
• Si un enseignant connecte Google Agenda, le service lit uniquement en lecture seule les cours des 14 prochains jours sur les agendas cochés pour créer automatiquement les formulaires d'émargement, en écartant les événements privés ou personnels.
• L'assistant conversationnel ne conserve aucun historique sur nos serveurs et le fournisseur du modèle (Groq) n'entraîne pas ses modèles sur vos questions.
• Tout enseignant peut télécharger l'intégralité de ses données, révoquer Google Agenda et supprimer son compte définitivement en un clic depuis ses paramètres.

Ce résumé ne remplace pas le reste de la page : en cas de différence, c'est le texte détaillé qui fait foi.

5. Données collectées

5.1 Comptes enseignants / administrateurs

• Adresse e-mail et mot de passe haché (jamais stocké en clair).
• Identifiant Google, jeton OAuth chiffré et trace technique de la dernière synchronisation (horodatage last_sync_at, nombre de formulaires créés last_sync_created et éventuel message d'échec last_sync_error) si connexion à Google Agenda.
• Rôle applicatif (admin, super-admin) stocké dans une table dédiée.
• Horodatage des connexions, à des fins de sécurité.
• Si vous ajoutez une clé d'accès (passkey) : identifiant de la clé, clé publique, nom choisi, date de création et dernière utilisation. La clé privée et les données biométriques ne sont pas transmises à l'application.
• Si vous activez l'authentification à deux facteurs (A2F) : le secret TOTP est géré par le service d'authentification (Supabase Auth) et n'est jamais accessible à l'application ; seuls dix codes de récupération à usage unique sont conservés en base, hachés, et sont régénérables à volonté depuis les réglages.
• Si vous êtes ajouté comme collaborateur d'un formulaire : votre identifiant de compte et le formulaire concerné, le temps de la collaboration.

5.2 Étudiants signataires

• Nom et prénom saisis au moment de la signature.
• Position GPS approximative au moment précis de la signature (lorsque la vérification GPS est activée sur le formulaire par l'enseignant), utilisée uniquement pour vérifier la présence sur le lieu du cours. Elle n'est jamais suivie dans le temps ni conservée après la purge. La précision demandée est celle du GPS de l'appareil (typiquement 10 à 50 m en extérieur) ; le service attend un premier fix précis et, à défaut, conserve le meilleur fix obtenu dans un délai de 20 secondes.
• Adresse IP (vérifiée côté serveur pour l'anti-doublon et la détection de VPN, et affichée uniquement sous forme tronquée/masquée à l'enseignant lorsqu'aucune liste d'inscrits n'est importée) et empreinte technique d'appareil (anti-doublon).
• Empreinte d'appareil : un identifiant aléatoire est déposé dans un cookie ur_device_id (voir §46), puis combiné à l'identifiant du formulaire et haché. Le cookie ne contient aucune information vous concernant et ne permet pas de vous identifier hors du service.
• Navigateur et système d'exploitation (en-tête User-Agent), utilisés uniquement pour lier une signature à la session qui l'a produite et détecter les automatisations.
• Horodatage de la signature et jeton QR consommé.
• En cas de signature par code d'urgence (voir §30) ou sur un formulaire dont l'enseignant a désactivé le contrôle GPS : aucune position GPS de votre appareil n'est demandée.

Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, biométrie, etc.) n'est collectée.

5.3 Listes d'étudiants (roster)

Un enseignant peut importer une liste de noms afin de rapprocher automatiquement les signatures. Ces listes sont sous la responsabilité de l'enseignant qui les importe et peuvent être supprimées à tout moment depuis son tableau de bord.

5.4 Google Agenda

Titre, description, lieu et horaires des évènements des 14 prochains jours sur vos agendas cochés (y compris agendas ADE abonnés), en lecture seule. La synchronisation s'effectue automatiquement (tâche planifiée et rattrapage à l'ouverture du tableau de bord, espacé d'au moins 5 minutes) ainsi qu'à la demande. Les évènements privés, confidentiels, marqués « disponible » ou contenant des mots-clés personnels (perso, médecin, RDV, famille…) sont automatiquement exclus.

5.5 Assistant IA

Les messages que vous envoyez à l'assistant sont transmis au fournisseur de modèle pour générer une réponse — actuellement Groq, qui héberge des modèles ouverts et ne les entraîne pas sur les données de ses clients (voir §18). N'y saisissez aucune donnée personnelle ou confidentielle : le service vous le rappelle et l'assistant est configuré pour refuser tout traitement de données personnelles. Les échanges ne sont pas conservés par le service au-delà de la session de navigation.

5.6 Contrôles anti-fraude

Pour vérifier qu'une signature correspond à une présence réelle, le service consulte, au moment de la signature uniquement :

• la cohérence entre votre position GPS et la localisation approximative associée à votre adresse IP (écart maximal toléré : 75 km) ;
• le caractère « proxy, VPN, Tor ou hébergement » de votre adresse IP, via le service ipwho.is (voir §18) — ces réseaux sont refusés.

Ces deux contrôles ne produisent aucun score, aucun profil et aucune donnée conservée : ils aboutissent à une acceptation ou à un refus immédiat.

6. Données de compte des enseignants

Pour un compte enseignant ou administrateur, nous conservons :

• l'adresse e-mail et le mot de passe (haché, jamais en clair) ;
• le fait que vous vous connectez avec Google, si vous avez choisi cette option, avec un jeton de rafraîchissement chiffré par dessus le chiffrement de la base ;
• l'état de l'authentification à deux facteurs : activée ou non ;
• vos clés d'accès (passkeys) : un identifiant public et un compteur de connexions, rien de biometrique ;
• l'heure d'envoi choisie pour les rappels ;
• vos réglages de nouveaux formulaires (salle et rayon par défaut) et vos salles enregistrées.

Ces données vivent dans votre compte : elles ne disparaissent pas à 24 h et ne sont visibles que de vous.

7. Données des étudiants

Un étudiant n'a pas de compte. À chaque signature, nous enregistrons son prénom, son nom, sa position GPS au moment du scan, son adresse IP, son navigateur et l'heure exacte. Ces informations sont effacées par la purge nocturne, au plus tard 48 h après le scan (voir §14).

Si l'enseignant a importé une liste d'étudiants, la feuille de présence croise cette liste avec les signatures reçues. La liste elle-même appartient à l'enseignant : c'est lui qui décide de l'importer, et elle est supprimée avec le formulaire.

Un étudiant ne peut pas demander la suppression de ses propres signatures, puisqu'elles n'existent déjà plus depuis longtemps au moment où il en fait la demande. Il peut en revanche demander à son enseignant de ne pas figurer sur une liste importée.

8. La position GPS, exactement

Lors d'une signature, le navigateur nous transmet votre latitude et votre longitude. Nous ne conservons que ce couple de coordonnées et l'heure à laquelle il a été relevé — pas l'historique de vos déplacements, pas la position avant ou après le scan.

La précision visée est de 100 mètres. Le navigateur est interrogé en mode strict, avec 20 secondes d'attente maximum : si aucun point n'est obtenu dans ce délai, la signature est refusée plutôt que validée sur une position approximative.

Si vous passez par un code d'urgence, aucune position n'est demandée : c'est la position de la salle enregistrée par l'enseignant qui est utilisée.

9. L'adresse IP, exactement

L'adresse IP sert à trois choses : vérifier que vous n'êtes pas sur un réseau anonymiseur, contrôler la cohérence avec votre position GPS, et limiter le nombre de tentatives. Elle est stockée avec la signature, puis effacée avec elle au bout de 24 heures.

Pour le contrôle VPN, l'adresse est transmise à ipwho.is au moment de la vérification. Ce service ne reçoit que l'adresse, sans nom ni identifiant de formulaire, et sa réponse n'est pas conservée.

Aucune géolocalisation par adresse IP n'est utilisée pour décider d'une présence : seul l'écart avec la position GPS est contrôlé (75 km maximum), pour détecter une fausse position.

10. Empreinte d'appareil, navigateur et hachages

Pour empêcher un même téléphone de signer deux fois le même formulaire, un identifiant aléatoire est déposé dans un cookie (ur_device_id). Il ne contient aucune information personnelle : 24 octets tirés au hasard.

Cet identifiant n'est pas stocké tel quel. Il est combiné à l'identifiant du formulaire puis haché en SHA-256, et seul ce hash est enregistré en base. Conséquence pratique : il est impossible de retrouver votre appareil à partir des données conservées, mais il reste possible de détecter un doublon.

Votre navigateur (nom et version) et votre système sont également enregistrés, car ils servent à lier une session de signature à l'appareil qui l'a ouverte. Le parcours code d'urgence ne conserve pas d'empreinte d'appareil.

11. Ce que nous ne collectons pas

Autant que ce qui est collecté, voici ce que le service ne fait pas :

• Aucun numéro de téléphone et aucun envoi de SMS : cette fonctionnalité a été supprimée du service.
• Aucun cookie publicitaire, aucune mesure d'audience tierce (pas de Google Analytics, Meta Pixel ou équivalent), aucun suivi entre les sites.
• Aucune revente ni location de données, à quelque fin que ce soit.
• Aucun entraînement de modèle d'IA sur vos données : le fournisseur de l'assistant s'y engage contractuellement, et les échanges avec l'assistant ne sont pas conservés.
• Aucune donnée biométrique : les clés d'accès (passkeys) et l'A2F laissent l'empreinte ou le visage sur votre appareil, sans jamais le transmettre.
• Aucun évènement d'agenda privé : seuls les évènements non privés des 14 prochains jours sont lus, et les évènements marqués « disponible » ou contenant des mots-clés personnels sont exclus.
• Aucune géolocalisation par adresse IP pour les étudiants : seule la position GPS de l'appareil fait foi ; l'IP sert uniquement aux contrôles décrits au §30.
• Aucune requête vers un fournisseur de polices lors de l'affichage des pages : les polices sont servies par le site lui-même.
• Aucune donnée de mineur de moins de 15 ans n'est recherchée ni traitée (voir §47).

12. Finalités et bases légales

• Authentification des enseignants — exécution du service (contrat).
• Création et gestion des émargements — mission d'intérêt public / intérêt légitime de l'établissement.
• Vérification GPS, IP et captcha (anti-fraude) — intérêt légitime à garantir la sincérité de l'émargement. Ce contrôle est proportionné : il ne dure que le temps de la signature, ne produit aucun profilage et les données sont purgées la nuit suivante (voir §32).
• Codes d'urgence — intérêt légitime : permettre à un étudiant sans téléphone, sans batterie ou sans réseau de ne pas être marqué absent. Le code est généré par l'enseignant, valable 12 heures et à usage unique.
• Synchronisation Google Agenda — consentement explicite de l'enseignant, révocable à tout moment.
• Export des présences par l'enseignant — exécution du service. L'export est généré à la demande et n'est pas stocké par le service.
• Envoi d'e-mails de service (maintenance, incidents) — intérêt légitime.

13. Durées de conservation

Concrètement : la preuve de présence doit être exportée (Excel) par l'enseignant le jour même. Une fois la purge passée, les données individuelles n'existent plus dans notre base et sont donc irrécupérables.

14. La purge quotidienne des signatures

Chaque nuit à 3 h du matin, une tâche planifiée s'exécute directement dans la base de données. Elle supprime définitivement :

• toutes les signatures de plus de 24 heures ;
• les défis de QR code consommés depuis plus de 24 heures ;
• les tentatives d'émargement, acceptées ou refusées, de plus de 24 heures.

Cette suppression est irréversible et ne laisse aucune sauvegarde : il n'existe aucun mécanisme de restauration. C'est pourquoi l'application vous avertit tant qu'une feuille de présence du jour n'a pas été exportée.

15. Ce qui n'est pas purgé, et pourquoi

Tout n'est pas effacé à 24 h, et il est utile de savoir quoi.

• Les lignes techniques de jetons QR encore valides (identifiant de formulaire, date d'expiration, statut de révocation) : elles ne contiennent aucune donnée personnelle et servent à empêcher la réutilisation d'un QR déjà scanné.
• Votre compte, vos formulaires, vos listes d'étudiants et vos salles enregistrées : ils ne disparaissent qu'à la suppression du compte ou du formulaire.
• Le journal des exports : la date et l'auteur d'un téléchargement, pour vous rappeler si vous avez déjà récupéré une feuille.

16. Durée de vie de votre compte

Un compte enseignant n'a pas de date d'expression automatique. Il reste actif tant que vous ne le supprimez pas, y compris si vous ne vous connectez pas pendant plusieurs mois.

En pratique, un compte inutilisé finit par être signalé par l'établissement, qui décide seul de le retirer de la liste des adresses autorisées. Ce retrait empêche toute nouvelle connexion, mais ne supprime pas les données déjà présentes : la suppression explicite reste la seule façon de les effacer.

17. Suppression de votre compte

Vous pouvez supprimer votre compte vous-même, depuis les Réglages. La confirmation demande de retaper votre adresse e-mail : une simple case à cocher ne protège pas d'un clic trop rapide sur un téléphone.

La suppression efface votre compte, vos formulaires, vos listes d'étudiants, vos salles enregistrées, vos préférences, vos jetons Google et vos abonnements aux notifications. Les signatures déjà purgées ne font pas partie de l'opération.

Cette action est irréversible. Pensez à télécharger vos données avant (voir §43).

18. Services tiers (sous-traitants)

EasyPrésence s'appuie sur les prestataires suivants. Chacun agit en qualité de sous-traitant, encadré par ses propres engagements contractuels et RGPD.

Les prestataires peuvent héberger des données hors de l'Union européenne. Dans ce cas, les transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne (art. 46 RGPD), une décision d'adéquation (art. 45 RGPD) et/ou le EU–US Data Privacy Framework.

19. Transferts internationaux de données

Le tableau ci-dessous détaille, pour chaque prestataire, le pays d'établissement principal et le mécanisme juridique encadrant un éventuel transfert hors de l'Espace économique européen (EEE), tel que documenté publiquement par chaque prestataire à la date de mise à jour de cette page.

Cette information est fournie à titre indicatif sur la base des engagements publics des prestataires ; elle peut évoluer si un prestataire change sa politique d'hébergement. La version à jour fait toujours foi.

20. Changement de sous-traitant

La liste des sous-traitants (§18) n'est pas figée. Si nous en changeons un, nous mettons cette page à jour et l'indiquons dans l'historique des versions (§49), avant que le nouveau service ne traite vos données.

C'est ce qui s'est produit au remplacement de Mistral AI par Groq pour l'assistant conversationnel : le changement a été publié ici, avec le nouveau mécanisme de transfert, plutôt que fait silencieusement.

Nous ne vendons pas le service à un tiers. En cas de reprise de l'outil par une autre structure, vous en serez informé et pourrez supprimer votre compte avant le transfert.

21. Où sont hébergées vos données

Le service est hébergé auprès de trois familles de prestataires, et nulle part ailleurs :

• Application et fonctions serveur — Vercel, avec un réseau de diffusion (CDN) qui peut traiter une requête depuis un point de présence proche de l'utilisateur.
• Base de données, authentification et stockage — Supabase, dans la région choisie à la création du projet. C'est là que se trouvent les comptes, les formulaires, les listes d'étudiants et les signatures (celles-ci pour 48 h maximum).
• Nom de domaine et boîtes aux lettres — Infomaniak, dont les données sont hébergées exclusivement en Suisse.

Aucune copie des données n'est conservée sur un poste personnel, une clé USB ou un service de stockage grand public.

22. Utilisation de Google API Services

L'usage par EasyPrésence des informations reçues depuis les API Google respecte la Google API Services User Data Policy, y compris les exigences de Limited Use. Nous demandons uniquement les trois permissions en lecture seule strictement nécessaires : https://www.googleapis.com/auth/userinfo.email (afficher le compte Google associé), https://www.googleapis.com/auth/calendar.events.readonly (lire les événements de cours à venir) et https://www.googleapis.com/auth/calendar.calendarlist.readonly (parcourir vos agendas cochés, y compris les emplois du temps universitaires ADE abonnés par URL). Aucune donnée Google n'est modifiée, revendue, utilisée pour de la publicité, transmise à un tiers, ni utilisée pour entraîner un modèle d'IA.

23. L'assistant conversationnel

L'assistant répond aux questions sur l'application. Il est exécuté par Groq, qui héberge des modèles ouverts et ne les entraîne pas sur les données de ses clients.

Ce qui est transmis : votre question, et rien d'autre. Ni votre nom, ni l'identifiant d'un formulaire, ni vos réglages. Les échanges ne sont pas conservés par le service au-delà de la session de navigation.

Groq est une société américaine : le transfert est encadré par un contrat de sous-traitance et des clauses contractuelles types (§19). Ne saisissez aucune donnée personnelle ou confidentielle dans l'assistant, même s'il est configuré pour refuser ce type de demande.

24. Les notifications push

Les rappels sont facultatifs. Si vous les activez, votre navigateur génère un abonnement composé d'un point de terminaison et de deux clés cryptographiques. Ces trois éléments sont enregistrés dans la table des abonnements, associés à votre compte.

Nous n'y ajoutons rien d'autre : pas de contenu de message stocké, pas d'historique. L'heure d'envoi du rappel se règle dans les Réglages (20 h par défaut), et le rappel ne porte que sur une seule chose : un formulaire ayant reçu au moins une signature aujourd'hui dont la feuille n'a pas encore été exportée aujourd'hui.

Vous pouvez désactiver les notifications à tout moment depuis les Réglages : l'abonnement est alors supprimé de la base et de votre navigateur.

25. Les codes d'urgence

Un code d'urgence est un code à 6 chiffres généré par l'enseignant, valable 12 heures et utilisable une seule fois. Il existe pour les cas où la signature normale est impossible : téléphone déchargé, GPS indisponible, position refusée.

Ce parcours enregistre le nom, le prénom, l'adresse IP et le navigateur — comme une signature normale — mais pas la position de l'étudiant : c'est la position de la salle enregistrée par l'enseignant qui est utilisée. Aucune empreinte d'appareil n'est conservée.

Le code est marqué comme utilisé au moment de la validation, de façon atomique : deux personnes ne peuvent pas l'utiliser en même temps. Il est supprimé 12 heures après sa génération, ou dès sa première utilisation.

26. L'export Excel et son journal

À chaque téléchargement, une ligne est ajoutée au journal des exports : le formulaire concerné, la date et l'heure, et l'auteur. Ce journal est là pour vous éviter de perdre une feuille de présence en croyant l'avoir déjà récupérée.

Le fichier exporté quitte le service au moment du téléchargement. Il n'est pas conservé de notre côté, et sa gestion relève ensuite de votre responsabilité et de celle de l'établissement.

L'export contient le prénom, le nom, le statut de présence et l'heure de signature (aucune adresse IP n'est incluse dans le fichier Excel exporté). L'export groupé produit un fichier par formulaire.

27. Les collaborations sur un formulaire

Un enseignant peut inviter un collègue à travailler sur un de ses formulaires. La collaboration est enregistrée par adresse e-mail, avec la personne qui a fait l'invitation.

Un collaborateur voit le formulaire, sa liste d'étudiants et les signatures du jour, exactement comme le propriétaire. Il ne voit pas vos autres formulaires, vos réglages ni votre compte. Vous pouvez retirer une collaboration à tout moment.

28. Les e-mails que nous vous envoyons

Le service n'envoie aucun e-mail aux étudiants. Aucune adresse d'étudiant n'est collectée pour l'envoi de messages, et aucune relance ne leur est adressée.

Les seuls e-mails partent du service vers les enseignants et administrateurs, et seulement dans trois cas : la réinitialisation d'un mot de passe, les messages administratifs, et la notification d'activation ou de désactivation du mode maintenance (envoyée à l'ensemble des adresses habilitées).

L'envoi est confié à Brevo, qui reçoit l'adresse du destinataire et le contenu du message. Aucun suivi d'ouverture n'est mis en place, et les adresses ne servent à rien d'autre. Les e-mails de confirmation de compte et de réinitialisation transitent par le service d'authentification, pas par Brevo.

29. Les formulaires récurrents

Un formulaire peut être programmé pour se recréer automatiquement chaque semaine. La programmation enregistre un titre, une description, le jour de la semaine, l'heure d'exécution, et si la liste d'étudiants doit être recopiée.

Ces informations sont des réglages, pas des données personnelles. Elles sont visibles du seul enseignant qui les a créées et supprimables à tout moment.

30. Détail des contrôles anti-fraude

Cette section décrit précisément ce qui est vérifié au moment d'une signature, afin que chacun sache à quoi s'attendre. Chaque contrôle aboutit à une acceptation ou à un refus motivé ; aucun ne produit de note, de profil ou de données conservées au-delà de la purge.

Un étudiant qui ne peut pas signer (téléphone déchargé, GPS indisponible, refus de position) n'est pas laissé sans solution : le code d'urgence prévu à cet effet est communiqué par l'enseignant, et le parcours est décrit dans les conditions d'utilisation.

31. Le journal des tentatives refusées

Chaque tentative de signature, acceptée ou refusée, laisse une ligne dans un journal technique : l'heure, le résultat, le motif de refus le cas échéant, l'adresse IP et le navigateur.

Ce journal existe pour deux raisons : comprendre pourquoi une signature légitime a échoué, et repérer une tentative de fraude. Il est purgé avec le reste, au bout de 24 à 48 h.

Il n'est pas consultable par les enseignants depuis l'interface : c'est une donnée d'administration, pas un outil de contrôle des présences.

32. Décisions automatisées et profilage

EasyPrésence ne réalise aucun profilage et ne prend aucune décision entièrement automatisée produisant des effets juridiques ou vous affectant de façon significative, au sens de l'article 22 du RGPD. Les seules vérifications automatisées (position GPS, empreinte d'appareil, captcha) servent uniquement à valider techniquement une signature au moment où elle est effectuée ; elles ne construisent aucun profil comportemental et ne sont conservées que le temps de la purge (48 heures maximum).

33. Faux positifs et contestation

Les contrôles décrits au §30 sont automatiques, donc imparfaits. Un GPS de mauvaise qualité en salle de cours, un réseau universitaire dont l'adresse IP sort d'une plage inattendue, ou un VPN activé sans le savoir peuvent faire refuser une signature pourtant honnête.

Dans ce cas, la marche à suivre est simple : utiliser le code d'urgence prévu par l'enseignant, qui lève tous les contrôles de position et de réseau. Si le problème se répète, signalez-le : un contrôle qui bloque des étudiants en règle est un défaut, pas une fonctionnalité.

Aucune décision définitive n'est prise par l'application. C'est l'enseignant qui valide la présence, et l'établissement qui tranche en cas de litige.

34. Sécurité

34.1 Mesures techniques

• Chiffrement en transit (TLS 1.2+) et au repos.
• Row Level Security (RLS) sur l'intégralité des tables de la base de données : un enseignant ne peut accéder qu'à ses propres formulaires et signatures, appliqué au niveau du moteur de base de données et non uniquement dans le code applicatif.
• QR codes rotatifs à usage unique, expirant après 30 secondes, avec validation serveur anti-rejeu. Une tolérance de 5 secondes seulement est appliquée après expiration, pour absorber un scan réalisé juste à la limite.
• Captcha Cloudflare Turnstile adaptatif et limitation de débit (rate limiting).
• En-têtes de sécurité HTTP (Content-Security-Policy restreignant les domaines autorisés, HSTS, X-Frame-Options, Referrer-Policy, Permissions-Policy).
• Mots de passe hachés (jamais stockés en clair), secrets d'accès (clés d'API, jetons OAuth) stockés côté serveur uniquement et jamais exposés au navigateur.
• Chiffrement applicatif supplémentaire des jetons de connexion (ex. refresh token Google) avant leur écriture en base, avec une clé de chiffrement distincte des identifiants de la base elle-même.
• Minimisation : purge automatique des signatures, au plus tard 48 h.
• Limitation de débit : au maximum 8 tentatives de signature par minute et par adresse IP, codes d'urgence inclus.
• Session de signature valable 5 minutes et liée à l'appareil qui l'a ouverte (navigateur et adresse IP) : un lien recopié vers un autre téléphone est refusé.
• Délai minimal de 1,5 seconde entre l'ouverture de la session et l'envoi de la signature, pour écarter les envois automatisés.
• Polices de caractères servies par le site lui-même : aucune requête vers un tiers lors de l'affichage des pages, donc aucune fuite d'adresse IP vers un fournisseur de polices.

34.2 Mesures organisationnelles

• Accès administrateur restreint aux seules personnes habilitées, avec authentification à deux facteurs (A2F) vérifiée côté serveur au niveau AAL2 dès qu'un facteur est activé sur le compte, et isolation stricte de chaque formulaire à son créateur et à ses co-titulaires déclarés.
• Opérations globales d'administration (maintenance, messagerie système, changement de marque) strictement réservées au seul compte propriétaire authentifié.
• Principe du moindre privilège : chaque composant technique (fonction serveur, tâche planifiée) n'accède qu'aux données strictement nécessaires à son rôle.
• Revue régulière des sous-traitants et de leurs engagements contractuels (voir §18).
• Journalisation des accès et actions sensibles à des fins de sécurité, conservée au maximum 30 jours (voir §13).

35. Ce que nous attendons de vous

La sécurité ne dépend pas que de nous. Quelques gestes comptent beaucoup.

• Un mot de passe unique, long, et utilisé nulle part ailleurs.
• L'authentification à deux facteurs activée, avec les codes de récupération conservés en lieu sûr.
• Ne pas partager un lien de signature, ni un code d'urgence.
• Se déconnecter des ordinateurs de salle partagés.
• Exporter vos feuilles de présence le jour même.

Nous ne vous demanderons jamais votre mot de passe par e-mail, et aucun message légitime ne vous demandera de le confirmer.

36. Signalement d'une faille de sécurité

Si vous découvrez une faille, signalez-la à contact@easypresence.fr plutôt que de la publier. Nous nous engageons à accuser réception sous 72 heures et à vous tenir informé de la correction.

Ne cherchez pas de faille sur des données qui ne sont pas les vôtres, et n'utilisez pas une faille pour consulter les présences d'autrui. Les signatures étant purgées sous 24 h, l'impact d'une faille sur les données de présence est de toute façon limité dans le temps.

37. Violation de données

En cas de violation de données à caractère personnel présentant un risque, la CNIL sera notifiée sous 72 heures et les personnes concernées informées dans les meilleurs délais (art. 33 et 34 RGPD).

38. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) : obtenir la confirmation qu'une donnée vous concernant est traitée, et en recevoir une copie.
• Droit de rectification (art. 16) : corriger une donnée inexacte ou incomplète (ex. faute d'orthographe dans un nom saisi lors d'une signature).
• Droit à l'effacement (art. 17) : demander la suppression de vos données, sous réserve des durées de conservation légitimes déjà décrites (art. 5).
• Droit à la limitation du traitement (art. 18) : demander le « gel » temporaire d'un traitement contesté.
• Droit d'opposition (art. 21) : vous opposer à un traitement fondé sur l'intérêt légitime, pour des motifs tenant à votre situation particulière.
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et couramment utilisé (ex. export CSV/Excel de vos propres signatures, quand elles existent encore).

38.1 Comment exercer ces droits

1. Écrivez à contact@easypresence.fr en précisant le droit que vous souhaitez exercer et, si possible, les éléments permettant de vous identifier (nom, e-mail associé au compte, cours concerné).
2. Une pièce d'identité peut être demandée en cas de doute raisonnable sur votre identité, uniquement pour éviter qu'un tiers n'accède à vos données à votre place — elle n'est pas conservée au-delà de la vérification.
3. Une réponse vous est apportée dans un délai maximum d'un mois, extensible de deux mois supplémentaires pour les demandes complexes (vous en seriez alors informé avec le motif du délai).
4. Compte tenu de la purge automatique nocturne, une demande d'accès, de rectification ou d'effacement portant sur une signature plus ancienne ne pourra techniquement pas aboutir : les données n'existent plus dans notre base au moment de la demande.

Vous pouvez révoquer à tout moment l'accès accordé à EasyPrésence depuis votre compte Google. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 51966, 75334 Paris Cedex 07), l'autorité de contrôle compétente en France, ou auprès de toute autre autorité de contrôle de l'Union européenne si vous résidez dans un autre État membre.

39. Droit d'accès

Vous pouvez demander une copie de toutes les données que nous détenons sur vous. La demande se fait par e-mail ; nous répondons sous un mois maximum.

Pour les enseignants, la réponse comprend le compte, les préférences, les salles enregistrées, les formulaires, les listes d'étudiants, les présences encore en base et les collaborations. Pour les étudiants, la réponse est simple : les signatures déjà purgées ont été effacées, et celles du jour sont effacées à leur tour — nous pouvons confirmer leur existence mais pas les restituer au-delà du délai.

40. Droit de rectification

Une erreur dans votre adresse e-mail se corrige directement dans les Réglages. Une erreur dans un prénom ou un nom sur une feuille de présence doit être corrigée à la source : la liste d'étudiants importée par l'enseignant.

Si la signature a déjà été purgée, il n'y a plus rien à corriger : les données n'existent plus.

41. Droit à l'effacement

Pour un enseignant, l'effacement se fait en supprimant le compte (§17) : la suppression est immédiate et complète. Pour un étudiant, l'effacement est automatique puisqu'aucune donnée ne dépasse 48 h.

Nous pouvons être amenés à conserver certaines informations si la loi l'exige — par exemple un journal technique exigé par une obligation légale de sécurité. Ce n'est pas le cas aujourd'hui : aucune donnée de présence n'est archivée au-delà de la purge.

42. Droit à la limitation du traitement

Vous pouvez demander de geler l'utilisation de vos données le temps qu'une contestation soit examinée. Concrètement, pour un enseignant, cela peut signifier suspendre l'envoi de rappels ou l'accès d'un collaborateur.

Pour les signatures, la question ne se pose pas : elles sont supprimées en moins de 48 h, ce qui est plus court que le délai d'examen d'une demande.

43. Droit à la portabilité

Le bouton « Télécharger mes données » des Réglages produit deux fichiers : un tableur avec un onglet par catégorie, et un fichier JSON lisible par une machine. Tout est généré dans votre navigateur, sans passer par nos serveurs.

Le format JSON est ouvert et structuré, ce qui permet de réimporter vos données dans un autre outil sans dépendre de nous.

44. Droit d'opposition

Vous pouvez vous opposer à un traitement fondé sur notre intérêt légitime. Les deux cas concernés sont la limitation de débit et la détection de doublon, qui n'ont pas d'autre base légale disponible.

S'opposer à la détection de doublon revient à demander qu'une même personne puisse signer plusieurs fois le même formulaire : nous ne pouvons pas l'accorder sans rendre l'émargement inutile. En revanche, vous pouvez refuser la position GPS et utiliser le code d'urgence, qui ne la demande pas.

45. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris, ou via son site cnil.fr.

Nous préférons néanmoins que vous nous écriviez d'abord : la plupart des situations se règlent en quelques jours, et nous répondons sous un mois maximum.

46. Cookies et stockage local

EasyPrésence utilise uniquement des cookies et un stockage local strictement nécessaires au fonctionnement du service et à la prévention de la fraude. Aucun cookie publicitaire, aucune mesure d'audience tierce : conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL, ces traceurs strictement nécessaires sont exemptés de consentement préalable, donc aucune bannière cookies n'est affichée.

47. Mineurs

Le service s'adresse à un public d'enseignement supérieur. Il n'est pas destiné aux personnes de moins de 15 ans.

48. Nos engagements de transparence

• Cette page et les conditions d'utilisation sont datées et historisées : chaque changement est décrit dans le tableau des versions (§49).
• La liste des sous-traitants (§18) et le mécanisme de transfert de chacun (§19) sont publiés, y compris lorsqu'ils évoluent — c'est le cas du remplacement de Mistral AI par Groq pour l'assistant.
• L'état du service et les incidents connus sont publiés en temps réel sur la page statut.
• La purge automatique des signatures n'est pas une simple promesse : elle est exécutée par une tâche planifiée en base de données, chaque nuit à 3 h 00, et supprime les signatures, les défis consommés et les tentatives d'émargement de plus de 24 h. Comme elle ne tourne qu'une fois par nuit, une signature enregistrée juste après 3 h peut survivre jusqu'à la nuit suivante : la conservation réelle va donc de 24 à 48 heures.
• Toute question peut être posée directement au responsable du traitement (§50), qui répond sous un mois maximum.

49. Modifications et historique des versions

Cette politique peut évoluer, notamment en cas d'ajout d'une fonctionnalité traitant des données personnelles ou de changement de sous-traitant. La version en vigueur est celle publiée sur cette page, avec sa date de mise à jour. En cas de modification substantielle, les enseignants connectés en seront informés par un message dans l'interface d'administration.

50. Contact

Pour toute question relative à vos données, écrivez à contact@easypresence.fr.