Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur ce site est :

Nom: Julien Kunze / EPS Multi-Tools
Adresse: 52 rue du Général de Gaulle, 77760 La Chapelle-la-Reine
E-mail: julienkunze@jkwebcreation.fr

2. Données collectées

Nous collectons les données suivantes lors de l'utilisation du service :

Données de compte : prénom, nom, adresse e-mail, établissement (optionnel) et mot de passe chiffré (bcrypt), lors de l'inscription.
Données pédagogiques : noms, prénoms, sexe et niveau des élèves saisis par l'enseignant.
Données d'usage : résultats et sessions sauvegardées dans les outils, notes et compétences du carnet de bord, séquences d'enseignement (thèmes, objectifs, situations d'apprentissage, appel des élèves, évaluations).
Codes QR générés par l'outil Tournoi : des QR codes sont créés à la demande de l'enseignant pour chaque match afin de permettre la saisie des scores depuis un appareil mobile. Ces QR codes encodent uniquement un identifiant de match et les noms des équipes. Ils ne contiennent aucune donnée personnelle. Les scores saisis via QR code sont transmis à l'application comme tout autre résultat de match.
Numéros de dossard (outil Arrivées Cross) : les numéros de dossard et les temps d'arrivée enregistrés lors d'une course sont stockés dans le compte de l'enseignant. Ces données ne comportent pas de nom d'élève sauf si l'enseignant associe manuellement un dossard à un élève de sa classe.
Tokens d'accès élèves : lorsque l'enseignant active la fonctionnalité « Accès élèves », un identifiant technique unique de 24 caractères (token) et un code court de 7 caractères sont générés par élève. Ces identifiants permettent à l'élève d'accéder à sa propre fiche sans compte. Ils ne contiennent aucune information personnelle en eux-mêmes et peuvent être régénérés à tout moment par l'enseignant.
Données d'abonnement individuel (via le site web) : statut de l'abonnement, dates de début et de fin, identifiants techniques Stripe (customer ID, subscription ID) nécessaires à la gestion du service premium.
Données d'abonnement individuel (via l'App Store Apple) : lorsque la souscription est effectuée depuis l'application iOS, Apple agit en qualité de marchand de référence. EPS Multi-Tools reçoit uniquement un identifiant de transaction Apple (original_transaction_id) et le statut de l'abonnement via les notifications Apple (App Store Server Notifications). Aucune donnée bancaire n'est transmise à EPS Multi-Tools.
Données du Pack Établissement : nom et ville de l'établissement, nom et adresse e-mail du contact administrateur, nombre de sièges, identifiants Stripe de l'abonnement établissement. Pour chaque membre invité : adresse e-mail d'invitation, token d'invitation (valable 7 jours, usage unique), date d'acceptation, rôle (admin/membre) et statut (actif/en attente/révoqué).
Code de vérification OTP : lors de chaque nouvelle connexion, un code à 6 chiffres à usage unique est généré et envoyé par e-mail. Ce code est stocké temporairement en session serveur (10 minutes maximum) et effacé automatiquement après vérification ou expiration. Il n'est pas conservé en base de données.
Token d'appareil de confiance : lorsque l'utilisateur choisit « Se souvenir de cet appareil pendant 30 jours », un jeton aléatoire est généré. Sa valeur brute est placée dans un cookie sécurisé sur l'appareil (eps_td) ; seule son empreinte (SHA-256) est conservée en base de données, ce qui rend le jeton inutilisable même en cas de fuite de la base.
Données techniques : logs de connexion (adresse IP, horodatage) nécessaires à la sécurité du service.

Données bancaires : EPS Multi-Tools ne collecte et ne stocke aucune donnée bancaire (numéro de carte, IBAN…). Les paiements sont intégralement traités par Stripe, prestataire certifié PCI-DSS. Seuls des identifiants techniques Stripe sont conservés côté EPS Multi-Tools.

3. Finalités du traitement

Finalité	Base légale (RGPD art. 6)
Création et gestion du compte enseignant	Exécution du contrat (6.1.b)
Fourniture des outils pédagogiques	Exécution du contrat (6.1.b)
Gestion de l'abonnement premium individuel et facturation via Stripe (souscription web)	Exécution du contrat (6.1.b)
Gestion de l'abonnement premium souscrit via l'App Store Apple (réception des notifications de statut Apple, activation/désactivation du premium)	Exécution du contrat (6.1.b)
Gestion du Pack Établissement : souscription, activation, invitations des membres, révocations	Exécution du contrat (6.1.b)
Envoi d'e-mails transactionnels liés à l'abonnement (confirmation d'activation, échec de paiement, confirmation d'annulation, invitation Pack Établissement)	Exécution du contrat (6.1.b)
Envoi de l'e-mail de réinitialisation du mot de passe	Intérêt légitime (6.1.f)
Traitement des demandes de contact	Consentement (6.1.a)
Envoi de la newsletter (actualités, nouvelles fonctionnalités)	Consentement (6.1.a) — désinscription possible à tout moment via le lien en bas de chaque e-mail
Partage des données pédagogiques de l'élève avec l'élève lui-même via lien sécurisé (fonctionnalité « Accès élèves »), sur décision exclusive de l'enseignant	Intérêt légitime de l'enseignant (6.1.f) — l'enseignant maîtrise ce qui est partagé et peut désactiver la fonctionnalité à tout moment
Envoi du code OTP par e-mail lors de chaque nouvelle connexion (vérification en deux étapes)	Intérêt légitime (6.1.f) — sécurisation des accès au compte
Mémorisation d'un appareil de confiance (cookie `eps_td`, 30 jours) sur demande explicite de l'utilisateur	Intérêt légitime (6.1.f) — confort d'usage activé par l'utilisateur lui-même
Sécurité et prévention des fraudes	Intérêt légitime (6.1.f)

4. Données relatives aux élèves

Les données des élèves (nom, prénom, sexe, niveau, résultats, carnet de bord) sont saisies et gérées exclusivement par l'enseignant, dans le cadre de son activité professionnelle. Elles ne sont pas partagées avec des tiers commerciaux et sont supprimées à la demande.

L'enseignant agit en qualité de responsable de traitement pour les données de ses élèves et s'engage à respecter les obligations RGPD applicables dans le cadre scolaire (notamment celles issues du cadre réglementaire de son établissement et de la CNIL).

4.1 Fonctionnalité « Accès élèves »

Cette fonctionnalité optionnelle permet à l'enseignant de partager avec chaque élève l'accès à sa propre fiche pédagogique (résultats, notes du carnet de bord, compétences). L'enseignant choisit précisément ce qui est visible (outils, colonnes du carnet) et peut désactiver l'accès à tout moment.

Accès sans compte : l'élève accède à sa fiche via un lien unique ou un code court de 7 caractères. Aucun compte, aucune adresse e-mail n'est requis de sa part.
Lien non indexé : les pages élèves portent la balise noindex, nofollow ; elles ne sont pas référencées par les moteurs de recherche.
Données affichées : uniquement les données pédagogiques de l'élève concerné, sélectionnées par l'enseignant.
Révocation : l'enseignant peut à tout moment désactiver l'accès ou régénérer les codes (les anciens liens deviennent immédiatement inopérants).
Responsabilité : l'enseignant s'engage à ne diffuser les codes ou liens qu'aux élèves concernés et à désactiver la fonctionnalité lorsque cela n'est plus nécessaire.

Attention : toute personne connaissant le lien ou le code d'un élève peut accéder à sa fiche tant que l'accès est actif. Il appartient à l'enseignant de s'assurer que les codes sont distribués de manière sécurisée et de régénérer les codes en cas de doute.

5. Durée de conservation

Données de compte : conservées pendant toute la durée d'activité du compte, puis supprimées sous 30 jours après clôture.
Données pédagogiques : conservées jusqu'à suppression par l'enseignant ou clôture du compte.
Tokens d'accès élèves : conservés tant que la fonctionnalité « Accès élèves » est utilisée. Invalidés immédiatement lors d'une régénération par l'enseignant. Supprimés avec les données de l'élève ou à la clôture du compte.
Données d'abonnement individuel (Stripe) : les identifiants Stripe et le statut d'abonnement sont conservés pendant la durée de l'abonnement, puis archivés 5 ans conformément aux obligations comptables et fiscales françaises (art. L123-22 Code de commerce).
Données d'abonnement individuel (Apple) : l'identifiant de transaction Apple (original_transaction_id) et le statut d'abonnement sont conservés pendant la durée de l'abonnement, puis archivés 5 ans (obligations comptables).
Données du Pack Établissement : les données de l'établissement et les memberships actifs sont conservés pendant la durée de l'abonnement, puis archivés 5 ans (obligations comptables). Les tokens d'invitation expirés ou utilisés sont supprimés immédiatement après usage ou à expiration. Les adresses e-mail d'invitation des membres révoqués sont conservées à titre d'historique le temps de la durée de l'abonnement.
Token de réinitialisation de mot de passe : valable 1 heure, supprimé après utilisation.
Code OTP de connexion : stocké en session uniquement, valable 10 minutes, effacé après vérification réussie ou expiration. Jamais conservé en base de données.
Token d'appareil de confiance : l'empreinte (hash SHA-256) est conservée en base de données pendant 30 jours, puis supprimée automatiquement. Le cookie correspondant expire simultanément sur l'appareil de l'utilisateur.
Logs techniques : 12 mois.

6. Partage et sous-traitants

Vos données ne sont ni vendues, ni cédées à des tiers à des fins commerciales.

Les sous-traitants techniques auxquels nous faisons appel sont :

Hébergeur : Hostinger France SARL — serveurs situés en Union européenne.
Service d'envoi d'e-mails : Hostinger SMTP (smtp.hostinger.com) — utilisé pour les e-mails transactionnels (réinitialisation de mot de passe, notifications d'abonnement, formulaire de contact).
Prestataire de paiement (web) : Stripe, Inc. (354 Oyster Point Blvd, South San Francisco, CA 94080, États-Unis) — utilisé pour le traitement des paiements par carte bancaire et la gestion des abonnements souscrits via le site web. Stripe est certifié PCI-DSS niveau 1 et EU-US Data Privacy Framework. Seuls des identifiants techniques (customer ID, subscription ID) sont partagés ; aucune donnée bancaire ne transite par nos serveurs. Politique de confidentialité Stripe.
Prestataire de paiement (application iOS) : Apple Inc. (One Apple Park Way, Cupertino, CA 95014, États-Unis) — utilisé pour le traitement des abonnements souscrits via l'App Store (In-App Purchase). Apple agit en qualité de marchand de référence pour ces transactions. EPS Multi-Tools reçoit uniquement un identifiant de transaction (original_transaction_id) et les notifications de statut d'abonnement. Aucune donnée bancaire n'est transmise à EPS Multi-Tools. Politique de confidentialité Apple.

7. Transferts hors Union européenne

L'hébergement et l'envoi d'e-mails sont assurés par Hostinger, dont les infrastructures sont situées au sein de l'UE.

Dans le cadre du traitement des paiements, des données sont transmises à des prestataires dont le siège social est situé aux États-Unis :

Stripe, Inc. — pour les abonnements souscrits via le site web. Ce transfert est encadré par la certification de Stripe au cadre EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023) et par les clauses contractuelles types (CCT) intégrées aux conditions de service de Stripe.
Apple Inc. — pour les abonnements souscrits via l'App Store. Apple est certifié au cadre EU-US Data Privacy Framework et encadre les transferts par des clauses contractuelles types (CCT) approuvées par la Commission européenne. Politique de confidentialité Apple.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Droit d'accès

Obtenir une copie de vos données

Droit de rectification

Corriger des données inexactes

Droit à l'effacement

Demander la suppression de vos données

Droit à la limitation

Restreindre certains traitements

Droit à la portabilité

Récupérer vos données dans un format lisible

Droit d'opposition

Vous opposer à certains traitements

Pour exercer ces droits, contactez-nous à julienkunze@jkwebcreation.fr en précisant l'objet "Demande RGPD". Vous pouvez également adresser une réclamation à la CNIL.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement des mots de passe (bcrypt), connexion HTTPS, accès restreint aux données, vérification en deux étapes (code OTP à 6 chiffres envoyé par e-mail à chaque nouvelle connexion), tokens de réinitialisation à usage unique avec expiration automatique. Les tokens d'accès élèves sont générés par fonctions cryptographiques sécurisées (96 bits d'entropie) et sont invalidés immédiatement en cas de régénération. Les paiements sont traités via Stripe, certifié PCI-DSS niveau 1 — aucune donnée bancaire n'est stockée sur nos serveurs.

10. Cookies

Ce site n'utilise que des cookies strictement nécessaires à son fonctionnement :

Cookie	Finalité	Durée	Consentement requis
`PHPSESSID`	Session d'authentification	Session	Non (technique)
`REMEMBERME`	Maintien de la connexion ("Se souvenir de moi")	7 jours	Non (fonctionnel, activé par l'utilisateur)
`eps_td`	Mémorisation de l'appareil de confiance — permet d'éviter la saisie du code OTP lors des connexions suivantes depuis le même appareil, sur demande explicite de l'utilisateur	30 jours	Non (strictement fonctionnel, activé par l'utilisateur au moment de la vérification OTP)

Lors du paiement, vous êtes redirigé vers les pages sécurisées de Stripe qui peuvent déposer leurs propres cookies. Ces cookies sont soumis à la politique de confidentialité de Stripe et ne sont pas contrôlés par EPS Multi-Tools. Aucun cookie de suivi, de publicité ou d'analyse n'est utilisé sur notre site.

11. Application mobile EPS Multi-Tools

Cette section s'applique spécifiquement à l'application mobile EPS Multi-Tools disponible sur Google Play Store et App Store. Elle complète la présente politique de confidentialité pour les traitements propres à l'application.

11.1 Données collectées par l'application

L'application collecte et traite les mêmes catégories de données que le site web (section 2), auxquelles s'ajoutent :

Token d'authentification (JWT) : un jeton d'accès sécurisé est généré lors de la connexion et stocké localement sur l'appareil (stockage chiffré). Il est utilisé pour authentifier les requêtes vers l'API EPS Multi-Tools. Sa durée de validité est limitée et il est supprimé à la déconnexion.
Cache local : les données de classes et d'élèves sont mises en cache sur l'appareil pour permettre un accès rapide et un fonctionnement hors connexion partiel. Ces données sont une copie locale des données hébergées sur nos serveurs.
Données de séance temporaires : les résultats en cours de séance (chronomètres, scores, etc.) sont stockés temporairement sur l'appareil jusqu'à leur synchronisation avec le serveur.

11.2 Autorisations requises

L'application peut demander les autorisations suivantes selon les fonctionnalités utilisées :

Permission	Outil concerné	Usage	Données transmises au serveur
Caméra	Vidéo différée, Photo Finish, Tournoi (QR code), Arrivées Cross (QR code)	— Vidéo différée : capture locale avec délai réglable. Aucun enregistrement. — Photo Finish : tranche de pixels analysée localement pour construire le bandeau d'arrivée. Aucun enregistrement. — Tournoi : lecture d'un QR code de match pour saisir les scores. Aucune image n'est sauvegardée. — Arrivées Cross : lecture d'un QR code de dossard pour enregistrer une arrivée. Aucune image n'est sauvegardée.	Aucune — ni le flux vidéo ni les images ne sont jamais enregistrés ni transmis. Seules les données décodées (identifiant de match ou numéro de dossard) sont transmises à l'application.
Réseau (Internet)	Tous les outils	Synchronisation des données avec l'API EPS Multi-Tools, authentification	Données de compte et données pédagogiques (voir section 2)
Stockage local	Tous les outils	Cache des classes/élèves, token JWT, résultats en attente de synchronisation	Aucune (stockage sur l'appareil uniquement)

Caméra : l'accès à la caméra n'est activé que lorsqu'un outil nécessitant la caméra est ouvert (Vidéo différée, Photo Finish, Tournoi ou Arrivées Cross), et uniquement si l'utilisateur l'autorise explicitement. Aucune image ni vidéo n'est sauvegardée ou transmise vers nos serveurs. Dans Photo Finish, seule une tranche de pixels (2 à 4 px de large) est utilisée localement. Dans les outils Tournoi et Arrivées Cross, la caméra sert uniquement à lire un QR code ; seule la donnée décodée (identifiant de match ou numéro de dossard) est transmise à l'application.

11.3 Finalités des traitements spécifiques à l'application

Finalité	Base légale (RGPD art. 6)
Authentification via token JWT	Exécution du contrat (6.1.b)
Mise en cache locale des données pédagogiques	Exécution du contrat (6.1.b)
Accès à la caméra pour la vidéo différée, la photo finish, la lecture de QR codes (Tournoi et Arrivées Cross)	Consentement (6.1.a) — permission explicite demandée à l'utilisateur
Synchronisation des résultats de séance	Exécution du contrat (6.1.b)

11.4 Données stockées localement sur l'appareil

L'application stocke les données suivantes localement sur votre appareil :

Token JWT : stocké dans le stockage sécurisé de l'appareil (Keychain sur iOS, EncryptedSharedPreferences sur Android). Supprimé automatiquement à la déconnexion.
Cache des classes et élèves : copie locale des données synchronisées depuis le serveur. Supprimé à la déconnexion ou sur demande.
Préférences de l'application : paramètres locaux (ex. classe sélectionnée par défaut). Ne contiennent pas de données personnelles sensibles.

Ces données locales ne sont pas partagées avec d'autres applications installées sur l'appareil.

11.5 Partage des données depuis l'application

L'application communique uniquement avec l'API officielle d'EPS Multi-Tools (epsmultitools.fr) via des connexions HTTPS chiffrées. Aucune donnée n'est transmise à des services tiers d'analyse, de publicité ou de suivi comportemental.

11.6 Suppression des données depuis l'application

Vous pouvez supprimer vos données de plusieurs façons :

Déconnexion : efface le token JWT et le cache local de l'appareil.
Désinstallation de l'application : supprime toutes les données stockées localement sur l'appareil.
Suppression du compte : depuis la section "Mon compte" (application ou site web), vous pouvez demander la suppression complète de votre compte et de toutes les données associées sur nos serveurs, conformément à la section 8 de cette politique.

Demande de suppression des données : pour toute demande de suppression de compte et des données associées, contactez-nous à julienkunze@jkwebcreation.fr en précisant l'objet "Suppression de compte". La suppression est effective sous 30 jours.

11.7 Données relatives aux mineurs

L'application est destinée aux enseignants d'EPS, âgés de plus de 18 ans. Elle n'est pas destinée à être utilisée directement par des élèves mineurs en tant que titulaires de compte. Les données nominatives des élèves (nom, prénom, sexe, niveau, résultats) sont saisies par l'enseignant dans le cadre de son activité professionnelle, sous sa responsabilité. Ces données ne sont en aucun cas commercialisées. La fonctionnalité « Accès élèves » de la version web permet à l'enseignant de partager, de façon contrôlée, les données d'un élève avec cet élève uniquement (voir section 4.1).

11.8 Abonnement premium via l'App Store (Apple In-App Purchase)

L'application iOS propose la souscription à l'abonnement premium via le système d'achats in-app d'Apple (In-App Purchase). Lorsque vous souscrivez depuis l'application :

Marchand de référence : Apple agit en qualité de marchand de référence pour la transaction. C'est Apple qui débite votre compte Apple et émet le justificatif de paiement.
Données transmises à EPS Multi-Tools : EPS Multi-Tools reçoit uniquement un identifiant de transaction (original_transaction_id) et les notifications de statut d'abonnement (activation, renouvellement, annulation) via les App Store Server Notifications. Aucune donnée bancaire ne transite par nos serveurs.
Gestion de l'abonnement : pour modifier ou résilier un abonnement souscrit via l'App Store, rendez-vous dans Réglages → [Votre prénom] → Abonnements sur votre appareil iOS. La résiliation via le portail Stripe d'EPS Multi-Tools n'est pas applicable aux abonnements Apple.
Remboursements : toute demande de remboursement pour un achat effectué via l'App Store doit être adressée directement à Apple via reportaproblem.apple.com.
Politique de confidentialité Apple : les données de paiement sont traitées par Apple conformément à sa politique de confidentialité.

11.9 Mises à jour de l'application

Les mises à jour de l'application peuvent modifier les autorisations requises, les données collectées ou les conditions d'abonnement. En cas de modification substantielle, un avertissement sera affiché dans l'application et cette politique de confidentialité sera mise à jour. La date de dernière mise à jour est indiquée en bas de page.