Qui est responsable

Syllabus est édité par Adam Belkacemi, entrepreneur individuel (EI), sous le nom commercial Esquisse Formation (voir les mentions légales).

Quand un établissement utilise Syllabus avec ses élèves, l’établissement est responsable du traitement et Esquisse Formation agit comme sous-traitant, sur ses instructions. Pour les comptes enseignants, Esquisse Formation est responsable du traitement.

Délégué à la protection des données : [à compléter si désigné]. Contact : adam@belkacemi.me

Données traitées

Élèves

prénom, nom (facultatif, visible du seul enseignant), classe ;
identifiant de connexion et code secret (le code est stocké sous forme hachée, illisible, y compris pour nous) ;
aucune adresse e-mail ;
sessions de lab : date, état, machines virtuelles attribuées ;
résultats de la vérification automatique (réussi ou non, note, message par vérification).
s'il rejoint sa classe avec le code de classe : le prénom et le nom (facultatif) qu'il saisit, le temps que l'enseignant accepte ou refuse sa demande.

Ce que l’élève tape dans la console de sa machine virtuelle n’est pas enregistré par Syllabus. Son enseignant peut suivre la console en direct, en lecture seule, pendant la séance.

Enseignants

nom, adresse e-mail, établissement ;
mot de passe, stocké sous forme hachée.

Journaux techniques

journaux du serveur web : adresse IP, date, page demandée ;
journaux de l’application : erreurs et événements techniques, sans contenu des pages.

Finalités et bases légales

Fournir le service d’enseignement demandé par l’établissement (mission d’intérêt public de l’établissement, article 6.1.e du RGPD) ou par l’enseignant (exécution du contrat, article 6.1.b). Les journaux techniques servent à la sécurité et au bon fonctionnement du service (intérêt légitime, article 6.1.f). Aucune donnée n’est vendue, utilisée à des fins publicitaires, ni traitée par une intelligence artificielle.

Durées de conservation

Machines virtuelles et leur contenu : supprimées à la fin de la session de lab (45 minutes par défaut).
Classe et données de ses élèves : jusqu’à l’archivage de la classe par l’enseignant, puis supprimées automatiquement 90 jours après l’archivage.
Demande pour rejoindre une classe : supprimée dès que l’élève a reçu son identifiant, et au plus tard une heure après son envoi.
Compte enseignant : tant qu’il est utilisé ; supprimé sur demande.
Journaux techniques : 14 jours.
Sauvegardes : chiffrées, conservées au plus 5 semaines (7 sauvegardes quotidiennes et 4 hebdomadaires). Une donnée supprimée disparaît donc des sauvegardes au plus tard 5 semaines après sa suppression.

Hébergement et services tiers

Le service, ses bases de données et ses sauvegardes chiffrées sont hébergés en France, chez Scaleway. Les données des comptes ne quittent pas l’Union européenne.

Les pages de l’espace connecté (élèves et enseignants) ne chargent aucune ressource depuis un service tiers : polices, scripts et styles sont servis par Syllabus.

Certaines pages publiques de présentation font encore appel à des services tiers, qui reçoivent alors l’adresse IP du visiteur :

des pages d’aperçu chargent la bibliothèque de styles Tailwind depuis cdn.tailwindcss.com (Tailwind Labs, États-Unis) ;
l’éditeur de code /ide télécharge Python (Pyodide) et SQL (sql.js) depuis cdn.jsdelivr.net, seulement quand on exécute du code ;
la page d’aperçu d’un cours peut afficher une vidéo depuis youtube-nocookie.com, seulement si un lien vidéo y est ajouté.

Nous travaillons à servir ces ressources nous-mêmes.

Sécurité

connexions chiffrées (HTTPS, TLS 1.2 et 1.3) ;
mots de passe et codes secrets hachés ;
une machine virtuelle par élève, isolée, sans accès à Internet ;
la vérification automatique n’exécute que des commandes définies à l’avance par le lab, jamais de commande libre ;
sauvegardes chiffrées avant leur envoi, restauration testée chaque semaine ;
administration du serveur par clé SSH uniquement.

Cookies

Syllabus n’utilise que deux cookies, strictement nécessaires : syllabus-session, qui vous garde connecté, et XSRF-TOKEN, qui protège les formulaires. Aucun cookie publicitaire ni de mesure d’audience. Ils ne demandent donc pas de consentement.

L’éditeur de code et la page de visio gardent aussi, dans le stockage local de votre navigateur, votre code et une préférence d’affichage. Ces informations ne nous sont pas transmises.

Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Élèves et familles : adressez-vous d’abord à l’enseignant ou à l’établissement, responsable du traitement. Enseignants : écrivez à adam@belkacemi.me.

Vous pouvez aussi adresser une réclamation à la CNIL (cnil.fr).

Sous-traitance (article 28 du RGPD)

Pour chaque établissement, un accord de sous-traitance peut être établi sur demande. Il précise :

l’objet, la durée et la nature des traitements ;
les mesures de sécurité décrites ci-dessus ;
la confidentialité des personnes autorisées ;
les sous-traitants ultérieurs : hébergement et sauvegardes chez Scaleway (France) ;
l’assistance pour répondre aux demandes d’exercice des droits ;
la notification des violations de données ;
la suppression ou la restitution des données en fin de contrat.

Demande : adam@belkacemi.me

Ce que nous savons de vous, et pourquoi.