Politique de confidentialité

Ce que cette page couvre

Cette politique couvre les deux surfaces de LECO :

• ce site de présentation, learning-connection.org ;
• l’application, app.learning-connection.org, où l’on crée un compte, où l’on publie des questions et des réponses, et où l’on garde un profil.

Une seule page, parce que c’est le même responsable, les mêmes prestataires et les mêmes droits. C’est aussi cette page que l’application affiche quand elle renvoie à sa politique de confidentialité. Quand une règle ne vaut que pour l’une des deux surfaces, c’est écrit.

Un responsable établi hors de l’Union européenne

Learning Connection est une société immatriculée au Cameroun, et c’est depuis le Cameroun que ce site et l’application sont administrés. Nous ne sommes pas établis dans l’Union européenne.

Cela ne retire rien à vos droits. Le RGPD s’applique au responsable du traitement établi hors de l’Union dès lors qu’il propose un service à des personnes qui s’y trouvent : c’est son article 3, paragraphe 2. LECO s’adresse en français et en italien à un public européen ; le règlement couvre donc ce traitement dans son intégralité, et tout ce que cette page décrit vaut comme si nous étions établis dans l’Union.

Cela change en revanche une chose de fond : vos données quittent l’Union européenne pour être traitées. La section consacrée aux transferts, au bas de cette page, dit ce qui les encadre.

Notre représentant dans l’Union européenne

L’article 27 du RGPD impose au responsable établi hors de l’Union de désigner par écrit un représentant dans l’un des États membres où se trouvent les personnes dont il traite les données.

Cette désignation n’a pas encore été faite. Tant que la ligne correspondante, en haut de cette page, ne nomme personne, il n’y a pas de représentant à qui écrire : adressez-vous à l’adresse de contact indiquée au même endroit, qui reste ouverte et à laquelle nous répondons nous-mêmes. Une fois le représentant désigné, son nom et son adresse apparaîtront à cette ligne, et vous pourrez vous adresser à lui exactement comme à nous. Une autorité de contrôle pourra en faire autant. Rien de tout cela ne remplace votre droit de saisir directement l’autorité de contrôle de votre pays.

Ce que nous collectons sur ce site

Le formulaire de ce site demande un nom et une adresse e-mail. Il n’envoie rien lui-même : il ouvre un message pré-rempli dans votre propre logiciel de messagerie, et c’est vous qui l’envoyez. Tant que vous ne l’envoyez pas, rien ne nous parvient. Ce site ne dépose aucun cookie et n’exécute aucun outil de mesure d’audience.

Ce que l’application collecte

• Votre identité : nom, adresse e-mail, nom d’utilisateur, date de vérification de l’adresse. Il n’y a pas de mot de passe : on se connecte par un lien à usage unique valable quinze minutes.
• Votre profil : prénom, nom, biographie (jusqu’à 2 000 caractères), langue, établissement, département, niveau d’études, année.
• Ce que vous publiez : questions, réponses, historiques de modification, messages dans les espaces de projet, commentaires, candidatures (motivation, compétences, disponibilité, message), propositions et livrables.
• Vos fichiers : avatars et pièces jointes, avec leur nom, leur type, leur taille et une empreinte.
• Des données techniques : votre adresse IP et votre agent utilisateur, conservés dans le registre des sessions et dans le journal d’activité. Un appareil reconnu est identifié par une empreinte SHA-256 calculée sur ces deux mêmes éléments.
• Votre comportement de lecture : ce que le fil vous a montré, le temps passé sur chaque élément, dix types d’interaction, vos affinités de sujet et de cours, et un vecteur d’intérêt de 1 024 dimensions par personne. Les visiteurs non connectés en font partie, rattachés à un identifiant dérivé de leur session.

L’inscription est ouverte à tous et ne demande qu’un nom et une adresse e-mail. Aucun âge n’est demandé ni vérifié, et aucune case de consentement n’est présentée à l’inscription : rien de ce qui suit ne repose donc sur un consentement que nous ne vous avons pas demandé.

Vos contributions et votre profil sont publics

N’importe qui, sans compte et sans être connecté, peut lire votre profil s’il en a le lien. C’est le point le plus surprenant de LECO, et il vaut mieux le lire ici que le découvrir.

Sont accessibles publiquement :

• votre profil : prénom et nom réels, biographie, avatar, établissement, département, niveau et année d’études, date d’inscription, nombre de projets publics ;
• un calendrier d’activité sur 365 jours, jour par jour, associé à votre nom ;
• la recherche, qui indexe votre nom d’utilisateur et votre nom réel : chercher votre nom réel vous trouve ;
• toutes les questions et toutes les réponses, y compris l’historique de leurs modifications, ainsi que le fil, les propositions, les projets, leurs mises à jour, leurs livrables et leurs ressources. Chaque question et chaque réponse affiche le nom complet et l’avatar de son auteur.

Aucun réglage ne rend un profil privé. Les deux seuls réglages de visibilité qui existent sont l’affichage de vos centres d’intérêt académiques sur le profil public, et l’inscription projet par projet. LECO n’est pas conçu pour contribuer anonymement, et ce n’est pas prévu.

Nous ajoutons dans la même mise à jour un fichier robots.txt et une balise noindex : les profils ne seront plus repris par les moteurs de recherche. Ils restent lisibles par toute personne qui en a le lien.

Sur quelles bases légales

• L’exécution du service, article 6.1.b du RGPD : votre compte, votre profil, ce que vous publiez, et les e-mails sans lesquels le service ne fonctionne pas.
• Notre intérêt légitime, article 6.1.f : la sécurité et la lutte contre les abus, le classement du fil, la mesure de fonctionnement et le suivi des erreurs. Vous pouvez vous y opposer.
• Votre consentement, article 6.1.a : le message que vous nous envoyez depuis ce site, et la lettre hebdomadaire, seul e-mail auquel il faut s’abonner. Il se retire à tout moment, et le retrait ne remet pas en cause la licéité de ce qui a été fait avant.

Aucune case de consentement n’est présentée à l’inscription. Nous ne prétendons donc pas que votre compte repose sur un consentement que vous auriez donné.

Le classement du fil, et ce qu’il déduit de vous

Le fil n’est pas chronologique. Un modèle d’intérêt est construit à partir de ce que vous ouvrez, de ce sur quoi vous vous arrêtez, et de ce que vous ignorez, qui compte comme un signal négatif. Les signaux perdent la moitié de leur poids tous les quatre-vingt-dix jours. Chaque personne a son propre vecteur d’intérêt, et plusieurs variantes de classement sont testées en parallèle, avec des groupes témoins. Les visiteurs non connectés sont classés de la même façon.

C’est du profilage. Ce n’est pas une décision automatisée produisant des effets juridiques ou vous affectant de manière significative au sens de l’article 22 du RGPD : le classement change l’ordre de ce qui s’affiche, rien d’autre. Vous pouvez demander à l’application pourquoi elle vous montre ce qu’elle vous montre, avec le paramètre ?explain=1 sur la requête du fil (GET /v1/feed?explain=1), et vous opposer à ce traitement à l’adresse de contact indiquée ci-dessus.

Qui reçoit vos données

Nous ne vendons, ne louons et n’échangeons rien. En dehors du responsable nommé plus haut, seules ces entreprises reçoivent des données, chacune pour une tâche précise :

• Resend — l’envoi des e-mails. Reçoit l’adresse du destinataire et le contenu complet du message, liens de connexion compris. Société américaine.
• Google Cloud — l’application entière : serveur, base de données, journaux, files de tâches et secrets. Johannesburg, en Afrique du Sud ; le planificateur et les files sont en Belgique.
• Google Gemini — le calcul des vecteurs sémantiques. Reçoit le titre et un extrait de 600 caractères des questions, réponses et propositions, dans la limite de 2 000 caractères. Point d’accès mondial, sans contrôle de région. Deux limites sont appliquées par le code : le texte envoyé ne contient ni nom ni identifiant, et seuls des contenus déjà publics partent, ce qui est revérifié juste avant l’envoi.
• Upstash — le cache et les files d’attente. Reçoit les sessions et les tâches en attente, adresses e-mail comprises tant qu’elles y transitent. Le Cap, en Afrique du Sud.
• Cloudflare — le rendu des pages, la façade de l’API, le stockage des fichiers, le redimensionnement des images et le test anti-robot. Ce test reçoit votre adresse IP.
• Le suivi des erreurs — les erreurs techniques, leurs traces et le fil des actions qui y ont mené. Reçues en Allemagne, dans l’Union européenne.

Deux services de bordure retirent votre adresse IP et vos en-têtes de géolocalisation avant que la requête n’atteigne le serveur applicatif.

Ce qui n’existe pas, et c’est vérifiable dans le code plutôt que promis : aucun outil de mesure d’audience tiers, aucun pixel publicitaire, aucun bouton ni traceur de réseau social, aucune prise d’empreinte du navigateur. La politique de sécurité du contenu n’autorise que nos propres scripts et celui du test anti-robot.

Où vos données se trouvent physiquement

• La base de données et le serveur applicatif : Afrique du Sud.
• Le cache et les files d’attente : Afrique du Sud.
• Le planificateur de tâches : Belgique.
• Les fichiers que vous téléversez et les archives d’export : chez Cloudflare, avec une préférence d’emplacement en Europe de l’Ouest.
• Le rendu des pages : chez Cloudflare, sans région fixée.
• Le calcul des vecteurs sémantiques : point d’accès mondial, sans région.

Ce que cela implique juridiquement est traité dans la section sur les transferts, au bas de cette page.

Cookies et stockage local

Ce site de présentation ne dépose aucun cookie.

L’application en dépose trois, tous les siens, tous nécessaires à son fonctionnement :

• leco-session — l’identifiant de session, posé aussi pour un visiteur non connecté ; 120 minutes, prolongées à chaque visite ;
• XSRF-TOKEN — la protection contre les requêtes forgées ; 2 heures ;
• locale — la langue de l’interface ; 1 an.

L’application garde aussi des choses dans votre navigateur : vos préférences d’affichage ; le brouillon de votre inscription, avec prénom, nom, établissement, cours et sujets ; et vos brouillons de rédaction, titres et textes non publiés compris. Le stockage de session retient la page vers laquelle vous rediriger après connexion.

Tout cela est déposé par nous, pour faire fonctionner le service, et rien de tout cela ne sert à vous suivre. C’est pourquoi aucune bannière de consentement ne vous est présentée : il n’y a rien à accepter ni à refuser. Vos sessions de navigation ne sont pas enregistrées ; seules les erreurs le sont.

E-mails et préférences de notification

L’application envoie vingt-neuf types de notifications, par e-mail et dans l’application. Un centre de préférences, dans les réglages, permet de les régler catégorie par catégorie — quarante-sept en tout.

Aucun e-mail ne contient de lien de désabonnement, et aucun en-tête de désabonnement n’est envoyé : le réglage se fait dans ce centre de préférences, ou en nous écrivant. Seule la lettre hebdomadaire demande à être activée ; tout le reste l’est par défaut.

Ces e-mails contiennent des données personnelles : l’alerte de connexion inclut votre adresse IP, et une notification de mention inclut le nom réel de la personne qui vous a mentionné ainsi qu’un extrait de 180 caractères.

Nos modèles d’e-mail ne contiennent aucun pixel de suivi et aucun paramètre de traçage dans les liens. En revanche, l’enregistrement des ouvertures et des clics est une option de compte chez notre prestataire d’envoi : nous ne l’avons pas vérifiée, et nous ne prétendons donc pas qu’elle est désactivée.

Vos droits

Le RGPD vous donne, sur les données qui vous concernent :

• le droit d’accès — savoir si nous détenons des données sur vous et en obtenir une copie (article 15) ;
• le droit de rectification — faire corriger ce qui est inexact ou incomplet (article 16) ;
• le droit à l’effacement — faire supprimer vos données (article 17) ;
• le droit à la limitation du traitement — en faire geler l’usage le temps d’une contestation (article 18) ;
• le droit à la portabilité — recevoir vos données dans un format lisible par machine, ou les faire transmettre à un autre responsable (article 20) ;
• le droit d’opposition — vous opposer à un traitement fondé sur l’intérêt légitime, dont le classement du fil (article 21) ;
• le droit de ne pas faire l’objet d’une décision automatisée produisant des effets juridiques (article 22). LECO n’en prend aucune : le classement décrit plus haut est du profilage, pas une décision de ce type.

Comment ces droits s’exercent aujourd’hui

Autant le dire franchement : l’application ne comporte aucun bouton pour supprimer votre compte, ni pour télécharger vos données. La suppression par vous-même est refusée par le code, et l’export n’existe que côté administration.

Tout passe donc par une demande écrite à l’adresse de contact indiquée ci-dessus. Un administrateur la traite à la main, après avoir vérifié votre identité. Nous nous engageons à répondre sous trente jours ; le RGPD nous accorde un mois, prolongeable de deux mois si la demande est complexe, auquel cas nous vous le disons avant l’échéance. Aucune pièce d’identité au-delà du strict nécessaire ne vous sera demandée.

Ce que l’effacement fait réellement

L’effacement anonymise votre compte ; il ne supprime pas tout, et vous avez le droit de savoir où passe la ligne.

Sont réellement supprimés : vos jetons de connexion, vos clés d’accès, les fichiers que vous avez téléversés, vos données de lecture du fil et vos affinités. Sont vidés : votre adresse e-mail, votre biographie, votre établissement, votre département, votre niveau et votre année. Votre prénom devient le mot Deleted, votre nom affiché devient Deleted user, et votre nom d’utilisateur est remplacé par un identifiant technique.

Ce que vous avez écrit reste. Questions, réponses, modifications, messages : tout cela est conservé et réattribué à Deleted user. C’est un choix, pas un oubli — une réponse retirée laisserait une discussion incompréhensible pour ceux qui la lisent ensuite.

Trois résidus connus, que nous préférons écrire ici : le journal d’activité conserve la trace des anciens changements de nom et d’adresse e-mail, et le nettoyage à 365 jours que sa configuration annonce n’est en réalité pas programmé ; votre entrée dans l’index de recherche survit probablement à l’anonymisation ; les lignes de mesure rattachées à un identifiant anonyme ne sont pas touchées. Écrivez-nous si vous voulez qu’ils soient traités : cela se fait à la main, comme le reste.

Combien de temps nous gardons quoi

Certaines données sont purgées automatiquement : les mesures de lecture du fil au bout de quatre-vingt-dix jours, les affinités sémantiques au bout de vingt et un jours, les archives d’export entre six et vingt-quatre heures, les liens de téléchargement au bout de cinq minutes.

Pour les données de compte, aucune durée n’est fixée. La configuration du service le dit elle-même : les valeurs en place sont opérationnelles et la politique de conservation reste à arrêter. Nous préférons l’écrire plutôt qu’annoncer un chiffre que rien n’applique. En attendant, vos données de compte sont conservées tant que le compte existe, et effacées quand vous le demandez.

Le message que vous nous envoyez depuis ce site arrive dans notre boîte aux lettres. Demandez-nous de le supprimer et il l’est.

Données de santé et données concernant d’autres personnes

LECO est un espace d’entraide universitaire, pas un dossier clinique. Vous ne devez pas y publier de données de patients, d’images cliniques identifiables, ni d’informations de santé concernant qui que ce soit d’autre. L’interface de rédaction vous le rappelle, la modération dispose d’un motif prévu pour ce cas, et un contenu de ce type est retiré.

Nous ne vous demandons aucune donnée sensible au sens de l’article 9 du RGPD, et nous vous demandons de ne pas en confier au service — ni sur vous, ni sur quelqu’un d’autre.

Réclamation auprès d’une autorité de contrôle

Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de l’autorité de contrôle de votre pays de résidence, de votre lieu de travail ou du lieu de la violation supposée. En France, c’est la Commission nationale de l’informatique et des libertés (cnil.fr) ; en Italie, le Garante per la protezione dei dati personali (garanteprivacy.it). Le Comité européen de la protection des données publie la liste complète des autorités nationales.

Transferts hors de l’Union européenne

Le responsable du traitement est établi au Cameroun. L’application, elle, tourne en Afrique du Sud : la base de données, le serveur applicatif et le cache y sont hébergés. Vos données quittent donc l’Union européenne dès que vous utilisez LECO, et ce n’est pas un cas particulier de ce traitement : c’est son fonctionnement ordinaire.

Ni le Cameroun ni l’Afrique du Sud ne font l’objet d’une décision d’adéquation de la Commission européenne. D’autres destinataires ajoutent leurs propres destinations : les États-Unis pour l’envoi des e-mails, un point d’accès mondial sans contrôle de région pour le calcul des vecteurs sémantiques. Un tel transfert n’est licite que s’il est assorti de l’une des garanties du chapitre V du RGPD, ses articles 44 à 49, et cette page doit dire laquelle s’applique.

La garantie qui encadrera ces transferts n’est pas encore arrêtée. Le choix entre les clauses contractuelles types de la Commission européenne et le consentement explicite prévu à l’article 49, paragraphe 1, point a, du RGPD est en cours, et nous préférons l’écrire ici plutôt que d’annoncer une base qui ne serait pas en place. En attendant, vous pouvez écrire à l’adresse de contact indiquée ci-dessus, ou à notre représentant dans l’Union européenne, pour savoir où en est cette décision — et, si la réponse compte pour vous, attendre qu’elle soit prise avant d’ouvrir un compte.

Suivi des erreurs techniques

Ce site et l’application signalent leurs erreurs techniques à Sentry (Functional Software, Inc.). Quand une page casse, un rapport part : le message d’erreur, la trace d’appels, l’adresse de la page, le fil des actions qui y ont mené, ainsi que votre adresse IP et votre agent utilisateur, que tout serveur reçoit du seul fait de la connexion. Les rapports de l’application sont reçus en Allemagne, dans l’Union européenne.

Seules les erreurs déclenchent une capture : vos sessions de navigation ne sont pas enregistrées. Ce traitement repose sur notre intérêt légitime (article 6.1.f du RGPD) à garder le service en état de marche ; sur ce site, l’envoi automatique de données personnelles par le SDK est désactivé. Vous pouvez vous y opposer à tout moment, à l’adresse de contact indiquée ci-dessus.