Politique de confidentialité

1. Responsable du site et contact

Le responsable du traitement est l’éditeur du service pédagogique Faire Les 2kπ. Pour toute question sur cette politique, pour exercer un droit ou demander la suppression d’un compte et de ses données, utilise la page Contact. Le formulaire demande un prénom, un nom, une adresse e-mail, un sujet et un message afin que la demande puisse être identifiée et traitée.

2. Données collectées lors de la création et de la gestion d’un compte

Un compte classique utilise une adresse e-mail, un mot de passe haché par Django et, lorsqu’ils sont renseignés, un prénom et un nom. Le service conserve aussi l’état de vérification de l’adresse e-mail, les dates techniques associées au profil et les préférences nécessaires à l’espace personnel.

Ces données servent à créer et sécuriser le compte, authentifier l’utilisateur, réinitialiser son mot de passe, confirmer son adresse e-mail, afficher son espace et assurer le fonctionnement des fonctions réservées aux personnes connectées. Le mot de passe en clair n’est pas conservé.

3. Connexion avec Google

La connexion Google repose sur OpenID Connect et demande exactement les scopes openid, email et profile :

• openid permet de vérifier l’identité du compte Google et fournit un identifiant stable propre à ce compte ;
• email permet de recevoir l’adresse e-mail et son état de vérification ;
• profile autorise Google à retourner des informations standard de profil. L’implémentation actuelle de Faire Les 2kπ n’enregistre toutefois ni nom Google, ni photo de profil.

Après l’échange temporaire du code d’autorisation, l’application valide l’identité auprès de Google. Elle conserve uniquement l’identifiant Google stable (sub), l’adresse e-mail Google et l’indication que cette adresse a été vérifiée. Ces données servent exclusivement à créer ou retrouver le compte Faire Les 2kπ, éviter les doublons et sécuriser les connexions suivantes.

Pour une adresse Gmail ou une adresse rattachée à un domaine Google Workspace attesté par Google, cette vérification suffit à confirmer l’adresse dans Faire Les 2kπ. Lorsqu’un compte Google utilise une adresse fournie par un autre prestataire, Google reste l’identité de connexion mais Faire Les 2kπ envoie son propre lien de confirmation à cette adresse avant de la considérer comme confirmée localement.

Les données reçues de Google ne sont pas utilisées pour la publicité, le profilage commercial, l’envoi de messages ni l’accès à d’autres services Google. Faire Les 2kπ ne demande aucun scope Gmail ou YouTube, n’accède pas aux messages Gmail, aux contacts, aux fichiers Drive ou à l’historique YouTube, et ne conserve aucun jeton d’accès ou de renouvellement Google.

Lorsqu’une adresse e-mail existe déjà sur Faire Les 2kπ, le compte Google n’est lié qu’après une authentification locale réussie avec cette même adresse. Cette vérification évite de rattacher automatiquement Google au compte d’une autre personne.

4. Profil pédagogique, favoris et progression

Lorsque ces fonctions sont utilisées, le site enregistre le niveau scolaire principal, les options de Terminale, les autres niveaux suivis et certaines préférences d’affichage ou de recherche. Il peut également enregistrer les ressources ajoutées aux favoris et l’historique des ressources ou dossiers consultés, avec les dates de première et de dernière consultation.

Ces informations servent à personnaliser l’espace élève, retrouver les contenus utiles, reprendre une consultation et proposer une navigation adaptée. Elles ne sont pas fournies à Google dans le cadre de la connexion OAuth.

5. Suivi professeur-élève

Le site comprend des fonctions de demande de suivi, d’invitation, de classe et de groupe. Elles enregistrent les comptes concernés, l’état de la demande, les dates utiles et l’organisation de la classe. Un professeur ne peut consulter les informations pédagogiques prévues — notamment niveau, favoris ou ressources travaillées — qu’après le consentement explicite matérialisé par l’acceptation du lien de suivi.

Les adresses e-mail, identifiants Google, signalements privés et données de sécurité de l’élève ne sont pas affichés dans l’espace de suivi du professeur.

6. Contacts et signalements

Le formulaire de contact transmet le prénom, le nom, l’adresse e-mail, le sujet et le message au destinataire configuré pour Faire Les 2kπ. Si la personne est connectée, l’identifiant interne de son compte peut être joint au message pour permettre le suivi de sa demande. L’adresse IP et l’adresse e-mail sont utilisées temporairement dans le mécanisme anti-envoi répété.

Un signalement sur une ressource peut contenir le type de problème, le message libre, la page et la ressource concernées, une partie vidéo ou une question écrite, des instantanés du contexte éditorial et un contexte technique minimal. Le compte est associé au signalement lorsque l’utilisateur est connecté ; sinon, le signalement peut rester anonyme. L’adresse IP et l’identifiant de session sont utilisés temporairement pour limiter les envois répétés, sans être enregistrés comme champs du signalement.

Ces données sont utilisées uniquement pour répondre, diagnostiquer, trier et corriger le problème indiqué, ainsi que pour prévenir les abus.

7. Soutien, paiements et 2kπ+

Stripe traite les paiements du soutien ponctuel et du soutien 2kπ+. Lorsqu’un utilisateur connecté ouvre le paiement, Faire Les 2kπ peut transmettre à Stripe son adresse e-mail et un identifiant interne de compte, ainsi que le type de soutien ou la formule choisie. Stripe collecte directement les informations de paiement ; Faire Les 2kπ ne reçoit ni ne conserve le numéro complet de carte.

Pour attribuer et gérer les avantages 2kπ+, le site conserve les identifiants techniques Stripe du client, de l’abonnement, de la session, de la facture ou du paiement, le montant et la devise d’un soutien ponctuel, le plan, le statut, les périodes d’accès, l’état d’annulation ou de remboursement et les événements de webhook vérifiés nécessaires à la synchronisation. Stripe reste la source de vérité du paiement.

8. Vidéos YouTube

Les pages vidéo intègrent le lecteur depuis youtube-nocookie.com. Le navigateur communique alors directement avec YouTube/Google pour charger et utiliser le lecteur ; des données techniques telles que l’adresse IP, les informations du navigateur et les interactions avec le lecteur peuvent être traitées par ce service selon ses propres règles. Cette intégration est distincte de la connexion Google : Faire Les 2kπ ne demande aucun accès au compte YouTube de l’utilisateur et ne reçoit pas son historique YouTube.

9. Sessions, cookies et données techniques

Le site utilise les cookies techniques nécessaires de Django, notamment un cookie de session pour maintenir la connexion et les préférences de session, ainsi qu’un cookie de protection CSRF pour sécuriser les formulaires. En production, ces cookies sont transmis uniquement en HTTPS ; le cookie de session est inaccessible au JavaScript du navigateur et utilise la politique SameSite=Lax fournie par Django.

Des journaux techniques peuvent être produits pour exploiter, sécuriser et diagnostiquer le service. Les adresses IP peuvent aussi être traitées temporairement par les contrôles anti-abus des formulaires. Ces traitements techniques ne servent pas à la publicité.

10. Mesure d’audience interne

Le code comporte une mesure d’usage interne, désactivée par défaut. Si elle est activée, elle enregistre le type d’événement (page, ressource ou page de soutien), un identifiant de visiteur pseudonyme dérivé d’une valeur aléatoire de session, le fait que la visite soit authentifiée ou anonyme, le type d’appareil, le chemin consulté et, le cas échéant, le slug de la ressource.

Ce dispositif n’enregistre ni adresse IP, ni user-agent brut, ni clé étrangère vers le compte utilisateur. Les événements bruts sont prévus pour être conservés au maximum 30 jours et les agrégats statistiques non identifiants 365 jours. Il sert uniquement à comprendre l’usage global et améliorer le service et l’offre 2kπ+.

11. Destinataires et prestataires

Les données sont accessibles aux personnes habilitées à administrer Faire Les 2kπ, dans la limite de leurs besoins. Elles peuvent aussi être traitées par les prestataires strictement nécessaires :

• l’infrastructure d’hébergement, de base de données et de stockage configurée pour le site ;
• le service d’envoi d’e-mails configuré pour les confirmations, réinitialisations et contacts ;
• Google pour l’authentification choisie par l’utilisateur ;
• Stripe pour le paiement et la gestion des soutiens ;
• YouTube/Google pour l’affichage des vidéos intégrées.

Faire Les 2kπ ne vend pas les données personnelles et ne les communique pas à des régies publicitaires.

12. Conservation et suppression

Les données du compte, du profil, des favoris et de l’historique sont conservées tant que le compte reste actif ou qu’elles sont nécessaires au service. Les signalements sont conservés le temps nécessaire à leur traitement et à la traçabilité des corrections. Les données de paiement et d’abonnement sont conservées selon les besoins de gestion, de sécurité et les obligations applicables ; les données détenues directement par Stripe suivent aussi sa propre politique.

Il n’existe pas actuellement de bouton de suppression automatique du compte. Une demande peut être envoyée depuis la page Contact, en précisant l’adresse du compte et l’objet de la demande. Après vérification de l’identité, le compte et les données directement associées peuvent être supprimés. Certains signalements peuvent être conservés sans lien avec le compte, et certaines références de paiement ou de sécurité peuvent devoir être conservées lorsque leur maintien est nécessaire.

13. Sécurité

Le service utilise notamment le hachage des mots de passe, la protection CSRF, des sessions sécurisées, HTTPS en production, des contrôles d’accès à l’administration et la vérification des signatures des webhooks Stripe. Aucun système ne pouvant garantir un risque nul, les accès sont limités aux besoins du service et les incidents doivent être signalés depuis la page Contact.

14. Droits des utilisateurs

Selon la situation et les règles applicables, un utilisateur peut demander l’accès à ses données, leur rectification, leur effacement, la limitation de leur traitement, leur portabilité ou s’opposer à certains usages. Il peut aussi retirer un consentement lorsqu’un traitement repose sur celui-ci, notamment en révoquant un suivi professeur-élève.

Pour exercer ces droits, utilise la page Contact en indiquant l’adresse e-mail du compte et la demande concernée. Une preuve permettant de vérifier l’identité peut être demandée sans collecter plus d’informations que nécessaire.

15. Utilisateurs mineurs

Le service s’adresse notamment à des élèves susceptibles d’être mineurs. Les données demandées sont limitées aux fonctions pédagogiques et techniques décrites ci-dessus. Un mineur doit utiliser le service avec l’information et, lorsque cela est requis, l’accord de son représentant légal. Le suivi par un professeur reste soumis à une acceptation explicite et ne lui donne pas accès aux données privées exclues de l’espace pédagogique.

16. Évolution de cette politique

Cette politique peut être mise à jour lorsque le service, ses prestataires ou les obligations applicables évoluent. La date affichée en haut de la page identifie la version en vigueur.