Iniprof - Documentation légale
Analyse d'impact (AIPD) - synthèse publique
Iniprof traite indirectement des données d'élèves et utilise l'IA générative : nous avons donc mené une analyse d'impact relative à la protection des données (AIPD, article 35 du RGPD), selon la méthode officielle de la CNIL. Cette page en publie la synthèse. Le document complet est conservé et tenu à la disposition de la CNIL.
Dernière mise à jour : 13 août 2026
Sommaire de cette page
Pourquoi nous publions notre AIPD
La loi n'oblige pas à publier une AIPD, seulement à la réaliser. À notre connaissance, aucun éditeur français d'outils pour l'école ne publie la sienne. Nous le faisons parce que nos utilisateurs sont des professeurs, que les personnes protégées sont des enfants et qu'une promesse de conformité ne vaut que si elle se vérifie. Cette synthèse écarte uniquement les détails techniques dont la publication faciliterait une attaque.
Pourquoi une AIPD était obligatoire
Le CEPD (lignes directrices WP248) impose une AIPD dès que deux critères de risque sont réunis. Iniprof en réunit deux :
- Personnes vulnérables : des données ordinaires d'élèves de 3 à 11 ans peuvent figurer dans les documents privés des professeurs (voir Données des élèves : vos droits) ;
- Usage innovant : l'IA générative est appliquée à la production de contenus pédagogiques.
L'analyse a été réalisée avant le lancement commercial, puis révisée à l'activation du paiement en ligne (août 2026). Elle sera révisée à chaque évolution significative (nouveau fournisseur d'IA, nouveau traitement touchant des élèves, cap d'échelle) et au minimum une fois par an.
La méthode suivie
- Méthode PIA de la CNIL (guides officiels, outil PIA open source de la CNIL utilisé pour l'instruction et la validation) : description systématique, principes fondamentaux, risques cotés en gravité × vraisemblance sur 4 niveaux, validation formelle ;
- Inventaire vérifié dans le code, pas déclaratif : chaque durée de conservation annoncée correspond à une purge automatique réellement implémentée (les écarts découverts pendant l'analyse ont été corrigés et déployés le jour même) ;
- Benchmark des meilleures DPIA publiées au monde pour dépasser le minimum réglementaire : DPIA néerlandaises SURF sur Google Workspace for Education et Microsoft 365 Copilot (les références du secteur), DPIA d'écoles britanniques (Seesaw, ClassDojo, Canva). Nous en avons repris les meilleurs éléments : analyse des rôles flux par flux, section dédiée aux enfants, risques spécifiques à l'IA générative, preuves testées plutôt qu'affirmées.
Les choix structurants de l'analyse
- Minimisation par construction : les données sensibles d'élèves (santé, difficultés, comportement, famille, INE) ne sont pas « interdites par le règlement », elles sont techniquement refusées à l'enregistrement, à l'envoi vers l'IA et à la publication. Ce qui n'est pas collecté ne peut pas fuiter.
- Deux régimes selon la nature de la donnée : ce qui identifie l'enfant (prénom, nom, classe, date de naissance, sexe) est hébergé en France avec une durée de conservation courte, année scolaire suivante au plus tard ; ce qui porte un jugement sur lui (observations, appréciations, évaluations) est chiffré de bout en bout, hors de notre portée. La date de naissance n'est acceptée que dans le champ prévu à cet effet, jamais dans un texte libre ni dans une demande à l'IA.
- Zéro donnée d'élève vers l'IA : filtre bloquant côté serveur avant chaque appel, fournisseur français (Mistral AI) avec conservation zéro (ZDR) activée et vérifiée et interdiction contractuelle d'entraînement.
- Carnet de maternelle chiffré de bout en bout : les observations sur les enfants sont chiffrées dans le navigateur du professeur et n'atteignent jamais nos serveurs - nous ne pouvons pas les lire.
- Chaîne de traitement 100 % France/UE, vérifiée jusqu'aux ressources chargées par les pages du site (liste des sous-traitants datée sur la page Données des élèves). Aucun transfert hors UE pour les données du service ; la mesure d'audience consentie et le paiement en ligne sont encadrés côté fournisseurs (détail dans la politique de confidentialité et l'analyse de transfert de la section 07).
- Les élèves ne sont pas des utilisateurs : l'analyse traite leur situation réelle (personnes concernées indirectes, incapables d'exercer seuls leurs droits) avec un circuit d'exercice des droits documenté pour les parents et une mention d'information fournie aux professeurs.
Les risques évalués et leur niveau
Échelles CNIL à 4 niveaux (négligeable, limitée, importante, maximale), du point de vue des personnes concernées. Niveaux résiduels après mesures :
| Risque | Gravité | Vraisemblance |
|---|---|---|
| Accès illégitime à des données | Importante | Négligeable |
| Modification non désirée de données | Limitée | Négligeable |
| Disparition de données | Importante | Négligeable |
| Contenu inexact généré par l'IA utilisé en classe | Limitée | Négligeable |
| Contournement des filtres par un utilisateur | Importante | Négligeable |
| Réidentification via un contenu publié | Importante | Négligeable |
| Conservation des requêtes par le fournisseur d'IA | Limitée | Négligeable |
Tous les risques résiduels sont à un niveau acceptable : aucune consultation préalable de la CNIL n'est requise (article 36 - elle ne s'impose que si un risque résiduel reste élevé). Les gravités « importantes » tiennent à une seule chose, assumée : des prénoms d'élèves peuvent exister dans des documents privés - c'est précisément pourquoi les vraisemblances sont ramenées à « négligeable » par les mesures ci-dessous.
Les mesures principales (18 au total)
- Filtres bloquants de données d'élèves à trois niveaux : enregistrement, IA, publication (avec modération humaine préalable de toute publication) ;
- ZDR et non-entraînement contractuels chez le fournisseur d'IA, vérifiés et archivés ;
- Chiffrement en transit partout ; carnet maternelle chiffré de bout en bout ;
- Connexion sans mot de passe (lien à usage unique), administration à authentification multiple ;
- Journaux pseudonymisés plafonnés à 12 mois, purges automatiques quotidiennes de plus d'une dizaine de catégories de données ;
- Droits en libre-service : export complet, suppression en 3 clics avec purge réelle vérifiée, page publique pour les non-inscrits et les parents ;
- Sauvegardes à triple rotation avec contrôle d'intégrité automatique, restauration testée, copie quotidienne chiffrée hors hébergeur ;
- Procédure de violation opérationnelle (notification CNIL 72 h, information des personnes, notification aux écoles responsables de traitement) ;
- Contrats article 28 vérifiés et archivés pour chaque sous-traitant ; aucun transfert hors UE pour les données du service. Le paiement en ligne, actif depuis août 2026, est couvert par l'analyse de transfert de la section 07.
Le détail des mesures de sécurité figure sur la page Sécurité et RGPD.
Validation et suite
L'AIPD v1.0 a été validée et signée par le responsable de traitement le 16 juillet 2026, dans l'outil PIA de la CNIL (rapport signé archivé).
Révision du 7 août 2026 : un avenant couvre l'option « documents d'appui importés » de la génération IA (lecture du fichier dans le navigateur, texte seul filtré et pseudonymisé, aucune conservation) : trois risques nouveaux analysés, tous ramenés à un niveau résiduel faible. Un second avenant, préparé le même jour, encadre l'activation du paiement en ligne ; son analyse de transfert figure ci-dessous (révision du 13 août 2026).
Révision du 8 août 2026 : un avenant encadre le module « Liste d'élèves », qui permettra au professeur de saisir le prénom, le nom, la classe, la date de naissance et le sexe de ses élèves pour fabriquer des supports de classe. Trois risques nouveaux ont été analysés (le fichier d'élèves qui s'installe dans la durée, la donnée qui déborde vers d'autres modules, la date de naissance qui devient une clé de rapprochement) et ramenés à un niveau résiduel faible par une durée de conservation courte, un cloisonnement strict et le maintien du refus d'envoi vers l'IA. L'avenant acte également le régime en deux étages : identité hébergée en France avec purge, jugement porté sur l'enfant chiffré de bout en bout, santé et INE refusés à la saisie.
Seconde révision du 8 août 2026 : le carnet de suivi peut désormais suivre le professeur sur ses propres appareils. Le serveur n'en reçoit que des octets chiffrés, accompagnés de la clé de données elle-même emballée par la phrase secrète puis par le code de secours : nous ne détenons aucune des deux, donc nous ne pouvons rien lire. L'activation est un choix explicite du professeur, jamais un réglage par défaut, parce que le carnet a été créé sous une promesse qu'on ne modifie pas dans son dos. Les photos ne sont jamais transmises. Le risque de perte du carnet, jusque-là élevé et supporté par le seul professeur, diminue ; le risque de confidentialité reste nul. L'article 34.3 dispense d'informer les familles en cas de violation portant sur ces données rendues incompréhensibles.
Révision du 13 août 2026 - activation du paiement en ligne et analyse de transfert. (Avenant préparé le 7 août, daté du jour de l'activation effective.) Le paiement est confié à Stripe Payments Europe Ltd. (Irlande, Union européenne), sous contrat de sous-traitance article 28 (DPA Stripe). Les coordonnées bancaires ne transitent jamais par Iniprof : la page de paiement et la carte sont traitées par Stripe (certifié PCI-DSS), Iniprof ne conserve qu'un identifiant client et l'historique de facturation. L'analyse de transfert conclut : traitement principal dans l'Union européenne ; dans des cas marginaux liés à la lutte anti-fraude, la maison mère américaine (Stripe Inc.) peut intervenir, ce transfert étant couvert par la décision d'adéquation UE-États-Unis du 10 juillet 2023 (Data Privacy Framework), à laquelle Stripe est certifié adhérent, avec les clauses contractuelles types en filet si cette décision venait à tomber. Aucune donnée d'élève ne touche ce traitement : le paiement ne concerne que le professeur ou l'école. Risque résiduel évalué : faible.
Engagements pris dans le plan d'action, avec échéances :
- Consultation des utilisateurs (article 35.9) : tenue, résultats annexés. 365 réponses anonymes de professeurs en août 2026 : 91 % approuvent le blocage des données sensibles d'élèves à l'enregistrement et 92 % jugent équilibré le régime des prénoms (tolérés dans les documents privés, jamais envoyés à l'IA) ; 2,5 % le trouvent trop restrictif, 5 % pas assez protecteur. La consultation reste ouverte dans l'application ;
- Analyse de transfert dédiée avant l'activation du paiement en ligne (Stripe) : réalisée et publiée ci-dessous (révision du 13 août 2026) ;
- Exercice annuel de simulation de violation de données (test chronométré de la procédure 72 h) ;
- Révision annuelle de l'AIPD et à chaque évolution significative du service.