Politique de confidentialité
kaptik.fr — dernière mise à jour : août 2026
Kaptik traite des données personnelles d'organisateurs et de participants, dont des participants mineurs. Cette page décrit lesquelles, pourquoi, pendant combien de temps, et comment exercer ses droits. Elle est rédigée conformément au règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés ».
1. Qui est responsable de quoi
L'usage de Kaptik met en présence deux rôles distincts au sens du RGPD.
- L'établissement scolaire (ou l'organisateur qui agit dans le cadre de sa mission) est responsable de traitement
- C'est lui qui décide de créer des groupes, d'y inscrire des participants, de leur faire passer des quiz et des évaluations, et de conserver les scores. Il choisit les données saisies et la durée pendant laquelle il les garde dans l'outil.
- La SAS Aurly, éditrice de Kaptik, est sous-traitante
- Elle héberge le service et agit sur instruction de l'organisateur. Elle n'exploite les données des participants pour aucune finalité propre : ni publicité, ni statistique commerciale, ni entraînement de modèle, ni revente.
Pour les seules données du compte organisateur (identifiants, adresse de contact, préférences), la SAS Aurly est responsable de traitement.
2. Données traitées
| Donnée | Finalité | Base légale | Conservation |
|---|---|---|---|
| Nom et prénom du participant, groupe, année scolaire | Identifier une copie, rattacher les scores au bon participant, éditer les bilans | Mission d'intérêt public de l'établissement (art. 6.1.e) | Année scolaire en cours, puis suppression ou archivage par l'organisateur |
| Code personnel (6 caractères) | Permettre au participant de rejoindre une séance et de consulter ses scores sans compte | Mission d'intérêt public | Idem fiche participant |
| Adresse e-mail du participant (facultative) | Envoi du code personnel ou du lien d'une séance, à la demande de l'organisateur | Mission d'intérêt public | Idem fiche participant ; effaçable à tout moment |
| Lien personnel du participant (facultatif) | Ouvrir ses résultats et l'identifier en séance sans qu'il ait à saisir son code | Mission d'intérêt public | Idem fiche participant ; révocable à tout moment par l'organisateur |
| Pseudo et avatar (séances sans groupe) | Distinguer les participants pendant un jeu | Mission d'intérêt public | Durée de vie de la séance |
| Réponses, points, score, temps de réponse, séries | Correction, notation sur 20, suivi des compétences, statistiques de groupe | Mission d'intérêt public | Conservées tant que l'organisateur conserve la séance |
| Fichiers rendus par le participant (pièces jointes) | Évaluer une production demandée par l'organisateur | Mission d'intérêt public | Supprimés avec la séance |
| Copies papier scannées (images de la copie, écriture manuscrite) | Correction des évaluations sur papier | Mission d'intérêt public | Supprimées par l'organisateur après correction |
| Journal de connexion : condensat d'adresse IP, famille d'appareil, identifiant de navigateur, horodatage | Détecter une usurpation d'identité pendant une évaluation (code prêté, deux copies depuis un même appareil) | Intérêt légitime — intégrité de l'évaluation | 60 jours, purge automatique |
| Journaux techniques du serveur web (adresse IP, page demandée, horodatage) | Sécurité, diagnostic de panne, obligation légale de conservation des données de connexion | Obligation légale (art. 6 LCEN) et intérêt légitime | Conservation par l'hébergeur, 12 mois au plus |
| Compte organisateur : nom affiché, adresse e-mail, empreinte du mot de passe, rôle, dates d'inscription et de dernière connexion, jeton d'accès applicatif, thème | Authentification, droits d'accès, propriété des données, intégration d'outils tiers | Exécution du contrat | Durée du compte |
| Liens de connexion et d'invitation de l'organisateur (condensat, échéance) | Connexion sans mot de passe, ouverture d'un compte sur invitation | Exécution du contrat | Usage unique ; purge des liens périmés au bout de 7 jours |
Ce qui n'est jamais collecté
- Aucune adresse IP en clair : elle est transformée en condensat salé, comparable mais non réversible.
- Aucun en-tête de navigateur brut : seule une famille d'appareil est retenue (« iPhone · Safari »).
- Aucune donnée sensible au sens de l'article 9 du RGPD, aucune géolocalisation, aucun numéro de téléphone.
- Aucun profilage, aucune décision entièrement automatisée : un score est toujours validé par l'organisateur.
3. Cookies et stockage local
Kaptik ne dépose aucun cookie publicitaire ni de mesure d'audience, et n'utilise aucun outil de statistiques tiers. Aucune bannière de consentement n'est donc nécessaire : les seuls éléments déposés sont strictement nécessaires au fonctionnement.
| Élément | Type | Rôle | Durée |
|---|---|---|---|
kaptik_admin | Cookie | Maintenir la session de l'organisateur connecté | 30 jours |
kaptik:participant… | Stockage local | Reprendre une séance en cours après un rechargement de page | Jusqu'à la fin de la séance |
kaptik:student-code | Stockage local | Éviter au participant de retaper son code personnel | Jusqu'à effacement par le participant |
kaptik:browser | Stockage local | Identifiant aléatoire du navigateur, pour le journal de connexion | Jusqu'à effacement par le participant |
kaptik:outbox… | Stockage local | Garder une réponse non encore transmise au serveur, pour la réémettre après une coupure réseau | Jusqu'à l'acceptation de la réponse |
kaptik:show-prompt | Stockage local | Mémoriser l'affichage de l'énoncé sur le téléphone | Jusqu'à effacement par le participant |
Ces éléments restent sur l'appareil du participant et s'effacent en vidant les données du site dans le navigateur.
4. Destinataires et sous-traitants
Les données ne sont accessibles qu'à l'organisateur propriétaire de la séance. Aucun autre organisateur, aucun participant et aucun tiers n'y accède. Les prestataires techniques suivants interviennent :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Alwaysdata SARL | Hébergement du site, de la base de données et des fichiers | France |
| Serveur SMTP de l'établissement ou de l'éditeur | Envoi des codes personnels et des liens de séance, à la demande de l'organisateur | France |
| Anthropic PBC (facultatif, désactivé par défaut) | Transcription assistée de l'écriture manuscrite sur les copies papier scannées | États-Unis |
| Google Ireland Ltd. / Google LLC | Chargement des polices de caractères de l'interface (Google Fonts) | Irlande / États-Unis |
| Freepik Company (Flaticon) | Chargement des icônes de l'interface | Espagne |
| Hébergeur de la vidéo choisie par l'organisateur (YouTube, Vimeo, Dailymotion…) | Lecture d'une vidéo insérée dans une diapositive de projection | Selon l'hébergeur |
Les polices et les icônes sont chargées depuis les serveurs de diffusion de leurs éditeurs. Cette requête transmet à ces derniers l'adresse IP du visiteur et le type de son navigateur, comme toute image chargée depuis un autre site ; aucun cookie, aucun identifiant et aucune donnée de la séance ne leur sont transmis. Ces ressources ne servent qu'à l'affichage.
Une diapositive peut contenir une vidéo hébergée ailleurs. Le lecteur n'est alors chargé qu'au moment où cette diapositive est affichée. En séance vidéoprojetée, c'est l'écran de l'organisateur qui la charge, jamais les téléphones des participants ; dans une évaluation composée individuellement, c'est l'appareil du participant, qui transmet donc son adresse IP à l'hébergeur de la vidéo. Kaptik utilise le domaine sans traceur de YouTube (youtube-nocookie.com) et ne transmet aucune donnée de la séance. Un organisateur qui ne souhaite aucune requête vers un tiers n'insère pas de vidéo : le texte, les images et les documents restent hébergés ici.
La transcription assistée n'est active que si l'organisateur l'a configurée. Dans ce cas, seule l'image découpée d'une case de la copie est transmise, sans le nom du participant, sans son score et sans la réponse attendue. Ce transfert hors Union européenne est encadré par les clauses contractuelles types de la Commission européenne ; le prestataire n'utilise pas ces données pour entraîner ses modèles. Un établissement qui ne souhaite aucun transfert hors UE laisse simplement la fonctionnalité désactivée : la correction reste intégralement manuelle.
5. Durées de conservation
- Journal de connexion : 60 jours, effacement automatique.
- Fiches participants, séances, copies et scores : conservées tant que l'organisateur en a besoin ; il lui appartient de supprimer ou d'archiver les groupes en fin d'année scolaire. Il est recommandé de ne pas conserver les copies et les scores au-delà de l'année scolaire suivante.
- Compte organisateur : jusqu'à sa suppression, laquelle entraîne celle de ses quiz, groupes, séances et copies.
6. Sécurité
- Trafic chiffré (HTTPS) de bout en bout ; cookie de session signé,
httpOnlyetsecure. - Aucun accès direct à la base depuis le navigateur : tout passe par le serveur, qui vérifie la propriété de chaque ressource.
- Les fichiers rendus par les participants ne sont servis qu'au propriétaire de la séance, sans type exécutable.
- Adresses IP jamais stockées en clair ; limitation du nombre de tentatives de connexion.
- La vue participant ne reçoit jamais la bonne réponse avant son dévoilement, et un participant ne voit jamais la copie d'un autre.
7. Vos droits
Toute personne concernée dispose d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.
- Participants et responsables légaux : adressez-vous d'abord à l'organisateur ou à l'établissement, responsable de traitement. Le participant peut consulter à tout moment ses propres scores sur la page de résultats avec son code personnel.
- Organisateurs, ou à défaut de réponse de l'établissement : contact@kaptik.fr.
Une réclamation peut être adressée à la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
8. Participants mineurs
Kaptik est conçu pour un usage scolaire encadré. Les participants ne créent pas de compte, ne saisissent pas d'adresse e-mail et ne peuvent communiquer entre eux dans l'outil. Les données les concernant sont saisies par l'organisateur dans le cadre de sa mission : le traitement ne repose pas sur le consentement du participant, qui ne serait pas librement donné dans un contexte d'évaluation. L'information des familles relève de l'établissement, qui peut reprendre la présente page dans son registre et sa communication aux responsables légaux.
9. Modifications
Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en tête de page ; toute modification substantielle est signalée aux organisateurs dans leur espace.