Sécurité et protection des données

Confier à un logiciel les dossiers de ses élèves, les notes qui décident d'un passage en année supérieure et les paiements des familles suppose de savoir où ces données vivent, qui peut les lire et ce qu'il advient d'elles si la relation s'arrête.

Cette page répond à ces questions. Elle est écrite pour être lue par une direction, puis vérifiée par un prestataire informatique : les éléments qui relèvent d'un examen technique sont rassemblés en annexe.

En bref

Une base de données par établissement

Chaque établissement dispose de sa propre base de données, sur sa propre instance. Il n'existe aucune table commune où les élèves de plusieurs écoles cohabiteraient derrière un identifiant de client.

Deux conséquences pratiques :

1. Une erreur de filtrage ne peut pas exposer les données d'une autre école. Dans une base partagée, l'isolation repose sur une condition présente dans chaque requête, et une seule omission suffit à faire tomber la cloison. Ici, la cloison est l'infrastructure elle-même.
2. Un incident reste borné à un établissement. Une restauration, une migration ou une intervention se font sur une seule école, sans immobiliser les autres.

Le coût de ce choix est pour nous : il faut déployer et mettre à jour autant d'instances que d'établissements.

Où vos données sont hébergées

Les instances des établissements sont servies depuis des adresses enregistrées au nom de LWS (Ligne Web Services), en France. Ce site vitrine, lui, est servi par Vercel, depuis sa région iad1 (Washington, États-Unis) ; il ne détient aucun dossier d'élève.

La distinction compte : les données de vos élèves ne quittent pas l'hébergement français, même lorsque la page d'inscription qui les collecte est servie d'ailleurs.

Le registre RIPE donne le pays d'enregistrement de la plage d'adresses, non l'adresse du centre de données. Si vous avez besoin de la localisation physique exacte, pour une clause contractuelle ou une formalité, demandez-la par écrit : nous la tenons du prestataire.

Sauvegardes

Qui accède à quoi

Les mots de passe font au minimum huit caractères et mêlent lettres et chiffres. Ils sont conservés sous forme d'empreinte bcrypt, jamais en clair — y compris dans les sauvegardes.

La double authentification est disponible pour tous les comptes. Chacun l'active depuis son espace, en scannant un code avec Google Authenticator, Microsoft Authenticator ou FreeOTP, et repart avec huit codes de secours à usage unique, à imprimer pour le jour où le téléphone se perd.

Votre établissement choisit les fonctions pour lesquelles il l'exige : protéger une direction et une comptabilité sans imposer un téléphone à deux mille étudiants, dont beaucoup se connectent depuis un appareil partagé. Le réglage n'enferme personne dehors — tant qu'une personne n'a pas confirmé son second facteur, elle se connecte comme avant. Une école peut donc l'activer en pleine rentrée.

Les droits sont attribués par permission, non par fonction figée. Vous composez vos propres profils : un responsable de scolarité qui voit les inscriptions sans toucher à la comptabilité, un auditeur externe en lecture seule et pour une durée limitée. Aucune modification du logiciel n'est nécessaire.

Retirer les accès de quelqu'un qui part revient à désactiver son compte : l'accès est coupé, les écritures qu'il a passées restent attribuées à son nom dans le journal d'audit — ce qu'exige la tenue d'une comptabilité.

Les actions sensibles sont journalisées : qui a validé un paiement, modifié une note, annulé un encaissement, avec l'état avant et après. Ce journal ne peut pas être effacé depuis l'application.

Si vous nous quittez

Un établissement qui résilie repart avec ses données, dans un format qu'il peut relire.

L'export produit un fichier par table, au format tableur, qui s'ouvre directement dans Excel et LibreOffice sur le poste du secrétariat. S'y ajoutent les documents déposés dans la plateforme — bulletins, reçus, photos, logo — et un fichier d'en-tête qui énonce ce que le dossier contient et ce qu'il ne contient pas.

Le format n'est pas un détail : remettre un export de base de données brut à une école qui part revient à lui donner ses données sans le moyen de les lire.

Les empreintes de mots de passe et les jetons de connexion sont retirés de l'export. Ce ne sont pas des données de l'école mais les secrets qui protègent les comptes de ses utilisateurs, et une archive de ce genre circule par courriel et par clé USB. Un successeur fait réinitialiser les mots de passe ; il n'a jamais besoin des empreintes.

Qui est responsable de quoi

La répartition est fixée par la loi ivoirienne n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel.

Votre établissement est le responsable du traitement. C'est lui qui décide de tenir un fichier d'élèves, qui en fixe la finalité, qui accomplit les formalités auprès de l'Autorité de protection et qui répond aux demandes d'accès ou de rectification de ses élèves et de leurs familles.

KLASSCI intervient comme sous-traitant : nous traitons ces données pour le compte de l'établissement et sur ses instructions. La loi impose au responsable de traitement de choisir un sous-traitant présentant des garanties suffisantes de sécurité technique et d'organisation.

La répartition est développée, canal par canal, dans la politique de confidentialité.

Portée et limites

Quatre points, énoncés ici plutôt que découverts plus tard.

Les bases en exploitation ne sont pas chiffrées au niveau du support. Le chiffrement au repos protège contre le vol d'un disque ou la lecture d'un support mis au rebut, non contre un accès obtenu à un serveur en fonctionnement.

La limitation de débit du relais est un amortisseur, non une garantie. Elle divise l'effet d'une rafale de requêtes, elle ne le supprime pas. Une borne étanche suppose un magasin partagé entre les instances ; elle sera posée si un établissement est visé.

Aucune certification n'est revendiquée. Aucun audit externe, aucune homologation, aucun label n'a été obtenu à ce jour.

Le texte applicable est la loi ivoirienne n° 2013-450, non le RGPD. Les pratiques décrites ici en reprennent les principes et rencontrent souvent ceux du règlement européen, mais un établissement qui exige une conformité RGPD contractuelle doit poser la question explicitement.

Annexe technique

Cette section s'adresse à votre prestataire informatique.

Trajet des formulaires d'inscription

Les formulaires d'inscription et de réinscription sont servis par klassci.com ; les dossiers vivent dans l'instance de l'établissement. Entre les deux, un relais :

• Le secret partagé n'atteint jamais le navigateur. La famille s'adresse à klassci.com, qui signe l'appel et s'adresse à l'établissement.
• Chaque appel est signé par un HMAC-SHA256 couvrant l'horodatage, la méthode, le chemin et le corps exact. Une signature émise pour un point d'entrée n'est pas valable pour un autre.
• Seuls les champs attendus traversent. Le corps relayé est reconstruit champ par champ à partir d'une liste fermée, jamais repris tel quel.
• La limitation de débit s'appuie sur l'adresse constatée par la plateforme, jamais sur celle qu'un en-tête déclare.
• Les réponses « dossier introuvable » sont identiques quelle que soit la raison, afin que le formulaire ne puisse pas servir à deviner quels matricules existent.

Ce que le site conserve

Le relais n'enregistre aucun dossier. Il transmet, rend la réponse de l'établissement et n'en garde rien. Deux éléments seulement sont retenus, en mémoire vive et brièvement : un compteur de tentatives par adresse sur une minute glissante, et le catalogue des filières et niveaux publié par l'établissement, qui ne contient aucune donnée personnelle.

Les traces techniques consignent le code de l'établissement et la nature de l'incident, jamais le matricule ni la date de naissance : ce sont les deux moitiés d'un identifiant.

Transport et en-têtes

Toutes les pages sont servies en HTTPS, et une adresse d'instance qui ne commence pas par https:// est refusée par la configuration.

Les logos et couleurs affichés sur la page d'inscription d'une école ne sont acceptés que s'ils proviennent de l'instance de cette école, et les couleurs sont revalidées avant d'être écrites dans la page.

Références d'hébergement

Instances des établissements : LWS, France. Site vitrine : Vercel, région iad1. Les plages d'adresses et leurs références au registre sont communiquées sur demande écrite, avec la localisation physique.

Une question ?

Écrivez à contact@klassci.com. Les demandes d'un prestataire informatique mandaté par un établissement client — localisation physique des serveurs, détail d'une mesure, engagement contractuel — reçoivent une réponse écrite.