Politique de Confidentialité

1. Introduction

CodWingz, éditeur de l'application Tifox, s'engage à protéger la vie privée des utilisateurs de l'application mobile Tifox et du site web tifox-maternelle.fr. Cette politique décrit comment nous collectons, utilisons et protégeons vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD).

2. Responsable du traitement et sous-traitant

CodWingz intervient sous deux qualités au sens du RGPD :

• Responsable de traitement (article 4.7 du RGPD) pour les données du compte enseignant (inscription, authentification, facturation, support, statistiques techniques anonymisées).
• Sous-traitant (article 4.8 du RGPD) pour les données pédagogiques saisies dans l'application (élèves, classes, observations, photos, évaluations). Ces données sont traitées uniquement sur instruction de l'enseignant et de son établissement, qui sont responsables de traitement pour ces données.

Les données des élèves relèvent de l'établissement scolaire, qui en est responsable de traitement au titre de sa mission d'intérêt public (article 6.1.e du RGPD). Au sein d'un groupe d'école (voir les CGU, article 13), CodWingz exécute, en qualité de sous-traitant, les instructions données par la direction du groupe agissant pour le compte de l'établissement. La direction du groupe d'école n'est elle-même à aucun moment responsable de traitement.

Coordonnées de CodWingz :

3. Données collectées

3.1 Données de l'enseignant (utilisateur)

• Nom et prénom
• Adresse email
• Nom de l'établissement scolaire
• Niveau de classe

3.2 Données des élèves

Ces données sont traitées par CodWingz en qualité de sous-traitant (article 28 du RGPD), sur instruction de l'enseignant et de son établissement.

• Prénom et nom (optionnel)
• Date de naissance
• Niveau scolaire (TPS, PS, MS, GS, CP, CE1, CE2, CM1, CM2)
• Photos
• Observations pédagogiques
• Évaluations et compétences acquises
• Données du cahier de réussite
• Coordonnées des représentants légaux renseignées par l'enseignant (nom, adresse email, téléphone), utilisées pour le suivi et, si l'enseignant le décide, pour lui transmettre le cahier de réussite

3.3 Données techniques

• Identifiant d'instance de l'application (app-instance ID)
• Firebase Installation ID
• Token FCM (pour les notifications push)
• Données Crashlytics : rapports de crash, informations sur l'appareil, adresse IP

4. Finalité du traitement

Les données sont collectées pour :

• Gestion des comptes : Création et authentification des comptes enseignants
• Fonctionnement de l'application : Gestion des classes, élèves et cahiers de réussite
• Suivi pédagogique : Enregistrement des observations, compétences et progrès
• Partage avec les familles : communication des réussites aux parents, avec l'autorisation des représentants légaux. L'enseignant peut transmettre le cahier de réussite d'un élève à chaque représentant légal, qui reçoit par email un lien personnel, à durée limitée et révocable à tout moment. Le document transmis est figé à la date de l'envoi
• Amélioration du service : Analyse des bugs et optimisation de l'application
• Envoi de notifications push : Informations importantes sur votre compte et le service
• Traitement des paiements et gestion des abonnements : Gestion des transactions et suivi des souscriptions
• Support technique : Résolution des problèmes rencontrés

5. Base légale du traitement

• Compte enseignant : exécution du contrat de service entre l'enseignant et CodWingz (article 6.1.b du RGPD)
• Données des élèves : mission d'intérêt public relevant de l'éducation nationale (article 6.1.e du RGPD), sous la responsabilité de l'enseignant et de son établissement. CodWingz traite ces données pour leur compte au titre du contrat de sous-traitance (article 28 du RGPD).
• Photos des élèves : l'enseignant et son établissement sont responsables de recueillir les autorisations parentales (droit à l'image) conformément aux procédures de l'établissement.
• Firebase Analytics : intérêt légitime pour l'amélioration du service (article 6.1.f du RGPD)
• Données de facturation : obligation légale de conservation comptable pendant 10 ans (article 6.1.c du RGPD)

6. Durée de conservation

• Compte actif : les données sont conservées pendant toute la durée d'utilisation du compte
• Compte non vérifié : si l'adresse email n'est pas validée, le compte est automatiquement supprimé après 30 jours
• Compte inactif : les comptes sans activité depuis 24 mois sont supprimés après notification par email
• Après suppression du compte : toutes les données (classes, élèves, observations, photos) sont supprimées immédiatement. Les sauvegardes contenant ces données sont conservées pendant 30 jours maximum avant suppression définitive
• Élève ou classe supprimé par l'enseignant : les données correspondantes (état civil, contacts, observations rattachées, photos) sont retirées de l'application immédiatement, puis conservées 30 jours pour permettre de revenir sur une suppression involontaire. Passé ce délai, elles sont effacées définitivement, sans intervention nécessaire
• Liens de partage aux familles : le lien reste valable pendant la durée choisie par l'enseignant, au maximum jusqu'à la fin de l'année scolaire. Il est fermé automatiquement à son échéance, à la suppression de l'élève, ou immédiatement si l'enseignant le désactive. Le document transmis est effacé de nos serveurs 90 jours après la fermeture du lien
• Journal des consultations d'un lien de partage : date, résultat et adresse IP sous forme chiffrée irréversible, conservés 12 mois puis supprimés automatiquement. Ce journal répond à l'obligation de sécurité de l'article 32 du RGPD
• Logs techniques : conservés 14 jours maximum, puis supprimés automatiquement
• Données de facturation : les identifiants de transaction, montants et dates sont conservés 10 ans conformément aux obligations comptables légales. Les factures sont stockées chez Stripe et non sur nos serveurs

7. Partage des données avec des tiers

7.1 Hébergement et infrastructure

• Hébergement principal : Hostinger International Ltd. (Chypre, Union Européenne) - VPS localisé à Paris, France
• Stockage des sauvegardes : Scaleway (France)
• Email : Infomaniak (Suisse, décision d'adéquation UE)
• CDN / WAF : Cloudflare Inc. (USA, CCT + EU-US Data Privacy Framework). Le cache Cloudflare est explicitement désactivé pour les domaines applicatifs (API et application) : aucune donnée personnelle n'est mise en cache, le trafic transite uniquement (en TLS).

7.2 Services tiers

• Stripe (paiement) : traitement des transactions de paiement. Les données bancaires sont gérées exclusivement par Stripe et ne transitent pas par nos serveurs. Stripe est certifié PCI DSS Niveau 1 et applique les Clauses Contractuelles Types (CCT) et le EU-US Data Privacy Framework pour les transferts hors UE.
• Google (authentification) : si vous choisissez de vous connecter via Google, votre nom et email Google sont utilisés pour créer votre compte. Google applique les CCT et le EU-US Data Privacy Framework pour les transferts hors UE.
• Firebase Analytics (Google) : statistiques d'usage anonymisées (écrans consultés, fonctionnalités utilisées). Aucune donnée personnelle des élèves n'est collectée. Un identifiant technique lié à votre compte est utilisé uniquement pour améliorer l'expérience. Ces données ne sont jamais revendues.
• Firebase Crashlytics (Google) : rapports de crash et données techniques uniquement (modèle d'appareil, système d'exploitation). Aucune donnée des élèves n'est collectée. CCT + EU-US Data Privacy Framework.
• Firebase Cloud Messaging (Google) : envoi de notifications push. Seul un token technique est utilisé. CCT + EU-US Data Privacy Framework.
• Apple Inc. (achats in-app) : sur iOS, les achats peuvent être effectués via Apple In-App Purchase. Apple applique les Clauses Contractuelles Types (CCT) pour les transferts hors UE.

Aucune autre transmission : Les données des élèves restent strictement confidentielles et ne sont jamais transmises à des tiers à des fins commerciales ou publicitaires.

8. Sécurité des données

8.1 Mesures techniques

• Chiffrement des données en transit (HTTPS/TLS)
• Chiffrement des données au repos (AES-256) : fichiers photos, base de données et sauvegardes
• Authentification par tokens individuels révocables, vérification obligatoire de l'adresse email
• Sauvegardes automatiques quotidiennes chiffrées, stockées en France (Scaleway)
• Serveurs sécurisés en France

8.2 Mesures organisationnelles

• Accès restreint aux données
• Exigence d'un mot de passe d'au moins 8 caractères
• Journalisation des accès

8.3 Accès administrateur

En tant qu'éditeur et hébergeur de Tifox, CodWingz dispose d'un accès administrateur aux données dans un cadre strictement encadré :

Finalités d'accès autorisées :

• Support technique et résolution de bugs signalés
• Traitement des demandes RGPD (accès, rectification, suppression)
• Maintenance technique et sécurisation du service
• Prévention d'abus et respect des CGU

Garanties de sécurité :

• Seul le gérant de CodWingz dispose d'un accès administrateur
• Tous les accès sont tracés dans un journal d'audit
• Aucun accès à des fins commerciales, marketing ou analyse comportementale
• Obligation de confidentialité stricte

9. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : Obtenir une copie de vos données personnelles
• Droit de rectification : Corriger vos données inexactes ou incomplètes
• Droit à l'effacement : Demander la suppression de vos données
• Droit à la limitation : Limiter le traitement de vos données
• Droit à la portabilité : Récupérer vos données sur demande auprès de notre support
• Droit d'opposition : Vous opposer au traitement de vos données
• Droit de retirer le consentement : À tout moment, sans affecter la licéité du traitement

10. Exercer vos droits

• Par email : support@tifox-maternelle.fr
• Délai de réponse : Sous 1 mois maximum
• Pièces justificatives : Une copie de pièce d'identité peut être demandée

11. Réclamation

En cas de non-respect de vos droits, vous pouvez déposer une réclamation auprès de :

12. Cookies et technologies de suivi

• Application mobile : Nous n'utilisons PAS de cookies dans l'application mobile
• Site web : Le site tifox-maternelle.fr n'utilise aucun cookie de tracking ou de publicité

13. Transferts hors UE

Vos données personnelles (élèves, classes, observations) sont stockées et traitées exclusivement en France (Union Européenne).

Certains services tiers peuvent impliquer un traitement de données aux États-Unis, dans le cadre de garanties contractuelles (Clauses Contractuelles Types et EU-US Data Privacy Framework) :

• Stripe : traitement des paiements (données bancaires uniquement). CCT + EU-US Data Privacy Framework
• Google : authentification OAuth (nom et email, si vous choisissez cette méthode de connexion), Firebase Analytics (événements d'usage anonymisés), Firebase Crashlytics (rapports de crash) et Firebase Cloud Messaging (notifications push). CCT + EU-US Data Privacy Framework
• Apple Inc. : achats in-app sur iOS. Clauses Contractuelles Types (CCT)
• Cloudflare : CDN et protection WAF. CCT + EU-US Data Privacy Framework

Aucune donnée relative aux élèves n'est transférée en dehors de l'UE.

14. Registre des activités de traitement

Conformément à l'article 30.2 du RGPD, CodWingz tient un registre des catégories d'activités de traitement effectuées pour le compte des responsables de traitement (enseignants, établissements, académies). Ce registre est disponible sur demande des autorités compétentes (CNIL) et des responsables de traitement, à l'adresse support@tifox-maternelle.fr.

15. Demandes des parents et responsables légaux

Les parents ou responsables légaux d'un élève dont les données sont traitées dans Tifox peuvent exercer les droits RGPD (accès, rectification, effacement, opposition) selon la procédure suivante :

• Voie principale : adresser la demande à l'enseignant ou à la direction de l'établissement scolaire, qui est responsable de traitement et dispose de la maîtrise des données.
• Voie subsidiaire : si la demande ne peut aboutir par cette voie, CodWingz peut être contacté directement à support@tifox-maternelle.fr avec une copie de la pièce d'identité du demandeur et un justificatif de l'autorité parentale. CodWingz répond dans un délai maximum d'un mois, après vérification de la légitimité de la demande, et tient l'établissement informé.

16. Contact

Pour toute question concernant cette politique de confidentialité :

• Email : support@tifox-maternelle.fr
• Téléphone : +33 7 69 36 69 66