1. Responsable du traitement
Le responsable du traitement des données sur ce site et au sein de l'infrastructure OhayoSchool est :
OhayoEducation GmbH i. G., c/o Heidelberg Intelligence Holding GmbH i. G., Dietmar-Hopp-Allee 23, 69190 Walldorf, Allemagne
Représentée par : Nicolas Richter
E-mail : info@ohayoschool.com
2. Contact pour la protection des données
Pour toute question relative à la protection des données et pour exercer vos droits en tant que personne concernée, vous pouvez nous joindre à datenschutz@ohayoschool.com.
Dès qu'un délégué à la protection des données aura été désigné, ses coordonnées seront ajoutées ici.
3. Données que nous traitons
3.1 Données des élèves
- Nom et prénom, classe, date de naissance
- Résultats d'évaluations cognitives (pseudonymisés, uniquement avec consentement)
- Données de progression des apprentissages issues des applications d'entraînement (type d'exercice, résultat, temps nécessaire)
- Données de présence et d'absence (registre de classe)
3.2 Données des enseignants
- Nom et prénom, adresse e-mail
- Qualifications, service d'enseignement, disponibilités
- Contenus de cours et données de planification
3.3 Données des parents
- Nom et prénom, adresse e-mail, numéro de téléphone
- Historique des échanges via le portail parents
- Motifs d'absence et justificatifs d'absence
3.4 Données techniques
- Adresse IP (anonymisée après 7 jours)
- Type de navigateur, système d'exploitation
- Données de session (heure de connexion, durée de la session)
3.5 Demandes via le site (formulaire de démo)
Lorsque vous demandez une démo via notre site, nous traitons les données que vous indiquez (nom, adresse e-mail, le cas échéant numéro de téléphone, établissement, type d'établissement, fonction et votre message) afin de traiter votre demande et de vous contacter. La base juridique est l'art. 6, par. 1, point b), du RGPD (mesures précontractuelles prises à votre demande). Les données sont conservées dans notre système de gestion de la relation client et supprimées dès qu'elles ne sont plus nécessaires au traitement de votre demande et qu'aucune obligation légale de conservation ne s'applique, ou plus tôt à tout moment à votre demande (un e-mail à datenschutz@ohayoschool.com suffit).
4. Bases juridiques du traitement
- Art. 6, par. 1, point b), du RGPD (exécution d'un contrat) : le traitement est nécessaire à l'exécution du contrat d'utilisation conclu avec l'établissement.
- Art. 6, par. 1, point a), du RGPD (consentement) : les évaluations cognitives ne sont réalisées qu'avec le consentement exprès des parents ou des représentants légaux.
- Art. 6, par. 1, point f), du RGPD (intérêt légitime) : les données techniques sont traitées pour assurer le fonctionnement et corriger les erreurs.
- Art. 6, par. 1, point c), du RGPD (obligation légale) : les données de facturation sont conservées conformément à la réglementation fiscale.
5. Destinataires des données
Les données personnelles ne sont communiquées qu'aux catégories de destinataires suivantes :
- Hébergeur (serveurs situés en Allemagne)
- L'établissement concerné en tant que client (dans le cadre du contrat de sous-traitance)
Les données ne sont pas communiquées à des tiers à des fins publicitaires ou de marketing. Les données ne sont pas transférées vers des pays tiers en dehors de l'UE/EEE.
6. Conservation et suppression
- Données des élèves : supprimées à la fin de l'année scolaire, sauf obligation légale de conservation. Les profils cognitifs sont supprimés immédiatement en cas de retrait du consentement.
- Données des enseignants : supprimées à la fin de la relation de travail, au plus tard 3 mois après la fin du contrat.
- Données des parents : supprimées lorsque l'enfant quitte l'établissement.
- Données techniques : les adresses IP sont anonymisées après 7 jours. Les données de session sont supprimées après 90 jours.
- À la fin du contrat : export complet des données sur demande. Suppression irrévocable de toutes les données après 90 jours.
7. Vos droits
En tant que personne concernée, vous disposez des droits suivants :
- Accès (art. 15 du RGPD) : vous pouvez à tout moment demander des informations sur les données personnelles que nous détenons vous concernant.
- Rectification (art. 16 du RGPD) : vous avez le droit de faire corriger des données inexactes.
- Effacement (art. 17 du RGPD) : vous pouvez demander la suppression de vos données, sauf si des obligations légales de conservation s'y opposent.
- Limitation (art. 18 du RGPD) : vous pouvez demander la limitation du traitement.
- Portabilité des données (art. 20 du RGPD) : vous avez le droit de recevoir vos données dans un format structuré et lisible par machine.
- Opposition (art. 21 du RGPD) : vous pouvez vous opposer au traitement de vos données pour des raisons tenant à votre situation particulière.
- Retrait du consentement (art. 7, par. 3, du RGPD) : vous pouvez à tout moment retirer tout consentement donné, avec effet pour l'avenir.
- Réclamation (art. 77 du RGPD) : vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle. L'autorité compétente est le Commissaire régional à la protection des données et à la liberté d'information du Bade-Wurtemberg.
8. Cookies et analyse d'audience
Dans l'application OhayoSchool (après connexion), nous n'utilisons que des cookies techniquement nécessaires (un cookie de session pour l'authentification) ; aucune analyse d'audience n'y a lieu.
Nous réalisons l'analyse de la portée et de l'utilisation de notre site public entièrement par nos propres moyens, sur nos propres serveurs en Allemagne. Aucun service tiers d'analyse ou de publicité n'est utilisé : ni service d'analyse d'audience d'un prestataire extérieur, ni traceurs de réseaux sociaux, ni cookies publicitaires. Les données ne sont ni transférées vers des pays tiers ni communiquées à des tiers. L'analyse comporte deux niveaux distincts.
8.1 Statistiques de base anonymes (sans cookies, sans consentement)
Lorsque vous consultez nos pages publiques, nous enregistrons des événements tels que les pages vues, les clics sur des boutons, les formulaires envoyés, les téléchargements et les liens sortants, chacun avec le chemin de la page, le référent (domaine uniquement), les paramètres de campagne (utm_*), une catégorie approximative d'appareil et l'origine approximative (pays, région, ville). Nous enregistrons aussi le temps passé sur une page et la profondeur de défilement atteinte, des mesures techniques de vitesse de chargement et des messages d'erreur abrégés lorsqu'un script de notre site échoue. Ces informations ne sont générées que pendant la consultation de la page, dans la mémoire de votre navigateur ; elles servent à mesurer la qualité des pages et à détecter les défauts techniques.
Nous déduisons l'origine de votre adresse IP en la comparant brièvement à une base de géolocalisation stockée localement sur notre serveur ; aucun service externe n'est interrogé à cette fin, et seule la localisation approximative est enregistrée, jamais l'adresse IP ni une position précise. Rien n'est enregistré sur votre appareil ni lu depuis celui-ci à cette fin (ni cookies, ni stockage local) ; le § 25 TDDDG n'est pas concerné.
Pour distinguer les visites répétées au cours d'une même journée, nous générons une courte empreinte à partir de votre adresse IP, de l'agent utilisateur et d'une valeur aléatoire qui change chaque jour puis est supprimée. L'adresse IP elle-même n'est utilisée que brièvement en mémoire et n'est jamais enregistrée. Cette courte empreinte nous permet de suivre l'enchaînement des pages vues au cours d'une journée afin de comprendre les parcours typiques sur notre site. Une fois la valeur aléatoire supprimée chaque jour, l'empreinte ne peut plus être attribuée à une personne et ne peut pas être reliée d'un jour à l'autre ; à ce niveau, il n'existe aucun lien avec vous en tant que personne ni avec une demande. Nous conservons les événements bruts pendant 14 mois au maximum ; ensuite, il ne reste que des chiffres journaliers agrégés, sans aucun lien avec une personne.
La base juridique est notre intérêt légitime à mesurer et à améliorer notre offre (art. 6, par. 1, point f), du RGPD). Si votre navigateur envoie un signal Global Privacy Control ou Do Not Track, nous le considérons comme une opposition (art. 21, par. 5, du RGPD) et n'enregistrons pas non plus ces statistiques de base. Vous pouvez en outre vous opposer à ce traitement à tout moment sans formalité (datenschutz@ohayoschool.com).
8.2 Statistiques étendues avec reconnaissance (uniquement avec votre consentement)
Uniquement si vous sélectionnez « Accepter » dans le bandeau d'information (art. 6, par. 1, point a), du RGPD, § 25, al. 1 TDDDG), nous traitons en plus :
- Reconnaissance : un cookie propre (oa_vid, identifiant aléatoire, durée de vie de 13 mois) relie vos visites d'une session à l'autre ; un identifiant de session dans le stockage de session de l'onglet du navigateur maintient la session en cours. Un autre cookie (oa_consent) enregistre uniquement votre décision (13 mois si vous consentez, 6 mois si vous refusez).
- Profil d'utilisation : sessions avec les pages que vous avez consultées, temps passé sur la page et temps de lecture effectif, profondeur de défilement, sections d'une page que vous avez regardées et pendant combien de temps, et positions des clics (cartes de chaleur). Pour chaque clic, nous enregistrons aussi l'élément sur lequel vous avez cliqué : son identifiant technique et son libellé visible. Nous détectons également des signes de problèmes d'ergonomie (clics répétés au même endroit, clics sur des éléments qui ne réagissent pas), des signes que vous avez l'intention de quitter la page, la copie de passages de texte (seulement la longueur, jamais le contenu), le passage à un autre onglet, ainsi que la taille de la fenêtre, la résolution d'écran et le réglage de langue de votre navigateur. Nous enregistrons en outre l'historique de votre source et de vos campagnes (premier et dernier contact).
- Comportement dans les formulaires sans contenu : nous enregistrons quels champs de formulaire vous sélectionnez, combien de temps vous y passez, combien de champs vous remplissez et à quel champ vous abandonnez éventuellement une saisie. Le contenu de vos saisies n'est jamais enregistré ni transmis, ni le texte, ni les valeurs sélectionnées, ni aucune partie de ceux-ci.
- Lien avec votre demande : si vous nous envoyez le formulaire de démo, nous relions l'historique collecté avec ce consentement (y compris les visites antérieures à l'envoi) à votre fiche de contact dans notre système commercial interne. Nos commerciaux voient alors votre activité sur le site dans la fiche et reçoivent des notifications, par exemple lorsque vous consultez de nouveau notre page de tarifs. L'objectif est de préparer et de personnaliser votre conseil (art. 6, par. 1, point a), du RGPD, et en outre point b) lorsqu'un contrat est en cours de préparation).
Votre session à l'écran n'est pas enregistrée. Les informations de localisation de la section 8.1 ne sont pas utilisées à ce niveau. Nous conservons les événements individuels à ce niveau pendant 24 mois au maximum ; ils sont ensuite automatiquement supprimés ou agrégés.
Retrait : à tout moment avec effet pour l'avenir sur ohayoschool.com/about/legal/cookie-settings (également via « Paramètres des cookies » en pied de page), si vous le souhaitez avec suppression immédiate de l'ensemble de votre historique de visites. Après le retrait, l'enregistrement à ce niveau s'arrête côté serveur ; le cookie est supprimé.
8.3 Paramètres de campagne dans les demandes par formulaire
Indépendamment de votre consentement, lorsque vous envoyez un formulaire, nous ajoutons à votre demande les paramètres de campagne contenus dans la barre d'adresse (utm_source, utm_medium, utm_campaign) afin de pouvoir en attribuer l'origine. La base juridique est la préparation d'un contrat (art. 6, par. 1, point b), du RGPD).
9. Catégorie particulière : évaluations cognitives
Les résultats d'évaluations cognitives sont traités comme des données particulièrement sensibles :
- Traitement uniquement avec le consentement exprès et éclairé des parents ou des représentants légaux
- Pseudonymisation au niveau de la base de données : les noms réels ne peuvent pas être déduits
- Accès uniquement par l'enseignant de la classe concernée et par l'enfant lui-même
- Aucune communication à des tiers
- Suppression immédiate en cas de retrait du consentement
- Les modèles d'IA sont entraînés avec des données anonymisées et agrégées, jamais avec des données individuelles
10. Sous-traitance
Les établissements utilisent OhayoSchool sur la base d'une sous-traitance conformément à l'art. 28 du RGPD. Un contrat de sous-traitance (DPA) fait partie de chaque contrat d'utilisation. L'établissement reste le responsable du traitement au sens du RGPD ; OhayoSchool est le sous-traitant.
11. Mesures techniques et organisationnelles
- Chiffrement de toutes les données en transit (TLS 1.3) et au repos (AES-256)
- Serveurs situés exclusivement en Allemagne
- Architecture en microservices : chaque service n'a accès qu'aux données nécessaires à sa fonction
- Audits de sécurité et tests d'intrusion réguliers
- Sauvegardes chiffrées automatisées
- Contrôle d'accès basé sur les rôles (RBAC)
12. Modifications de cette politique de confidentialité
Nous nous réservons le droit de mettre à jour cette politique de confidentialité afin de l'adapter aux évolutions du droit ou de notre service. Vous trouverez toujours la version en vigueur sur cette page. En cas de modifications importantes, nous en informerons les utilisateurs inscrits par e-mail.