Fiche pour l'école : vie privée et sécurité
Pour la direction, la ou le responsable de la protection des renseignements personnels et le service informatique d'une école ou d'un centre de services scolaire. Elle réunit les éléments factuels d'une évaluation des facteurs relatifs à la vie privée (ÉFVP) ; elle ne remplace pas celle de votre organisme.
État actuel : prototype en prévalidation. Seule la version de démonstration est en ligne : tout reste dans le navigateur de l'appareil, rien n'est envoyé à un serveur. La version en classe (plusieurs Chromebooks, base Firebase) n'est pas encore en service ; cette fiche la décrit telle qu'elle sera configurée, et sera mise à jour à sa mise en service. Le questionnaire de recherche « Ton avis » reste désactivé tant que le certificat d'éthique de l'ÉTS et les autorisations requises ne sont pas obtenus.
En bref
| L'outil | Un jeu de géographie en équipe pour le 1er cycle du secondaire (Forillon, 1970), dans le navigateur. Rien à installer. Une équipe de deux ou trois élèves par Chromebook. |
|---|---|
| Renseignements personnels des élèves | Aucun n'est demandé : pas de nom, pas de compte, pas de courriel, pas d'âge, pas d'école. Une équipe porte le nom d'un animal de Forillon. Seul risque résiduel : un prénom écrit malgré la consigne dans une réponse (voir « Risques »). |
| L'enseignant·e | Sans compte par défaut. La connexion Google est facultative (pour retrouver ses séances sur un autre ordinateur) ; son nom et son courriel restent chez Google et ne sont jamais écrits dans la base du jeu. |
| Où | La base de données au Canada (Montréal). La connexion anonyme chez Google, en partie aux États-Unis. Les pages du site sont des fichiers publics, sans donnée d'élève. |
| Combien de temps | Jusqu'à ce que l'enseignant·e efface la séance (un bouton), et au plus tard 30 jours après sa création (effacement automatique). |
| Ni publicité ni suivi | Aucune statistique de visite, aucun témoin tiers, aucun réseau social, aucun profilage, aucune décision automatisée au sujet d'un élève. Rien n'est vendu ni partagé. |
| Code source | Public, pour que votre service informatique puisse l'examiner : github.com/lanam-org/ou-passe-la-ligne. |
Les données, une à une
| Donnée | Renseignement personnel ? | Pourquoi | Où | Qui y a accès | Conservation |
|---|---|---|---|---|---|
| Réponses écrites d'une équipe (texte libre, 400 caractères au plus par réponse) | Non visé. La consigne, à l'écran, interdit tout prénom ; un élève pourrait quand même en écrire un. | Suivre la classe en direct, animer le retour en classe, imprimer le rapport de séance. | Cloud Firestore, Montréal | L'équipe (depuis son appareil) et l'enseignant·e de la séance | Effacées avec la séance ; 30 jours au plus |
| Fiche d'équipe : nom d'animal, étape atteinte, carte zonée, documents retenus, temps par étape, compteurs de gestes (retours en arrière, clics hors de la carte) | Non | Suivre la classe, reprendre la partie après un rafraîchissement. | Cloud Firestore, Montréal | L'équipe et l'enseignant·e de la séance | 30 jours au plus |
| Identifiant anonyme d'un appareil (suite de caractères créée par Firebase Authentication) | Pseudonyme : seul, il ne permet pas de savoir qui est l'élève. | Savoir quelle fiche d'équipe appartient à quel appareil. | Firebase Authentication (Google) | Tant que le projet existe | |
| Séance : code de cinq caractères, réglages, chrono, message à la classe, « bravos » de l'enseignant·e, identifiant technique de l'enseignant·e | Non | Faire fonctionner la séance. | Cloud Firestore, Montréal | L'enseignant·e ; les équipes qui ont le code lisent les réglages, sans les réponses attendues | 30 jours au plus |
| Compte Google de l'enseignant·e (facultatif) : nom, adresse courriel | Oui (adulte) | Retrouver ses séances depuis un autre ordinateur. | Firebase Authentication (Google) ; jamais dans la base du jeu | Tant que l'enseignant·e garde son accès ; supprimé sur demande | |
| Version du jeu de l'enseignant·e : questions ajoutées, corrections, minutes | Non (aucune donnée d'élève) | Reprendre ses réglages à chaque séance. | Cloud Firestore, Montréal | L'enseignant·e | Jusqu'à ce qu'elle ou il la supprime |
| Adresse IP de l'appareil | Peut l'être, selon le contexte | Envoyer les pages ; établir la connexion. | Journaux techniques de l'hébergeur des pages et de Google | Ces fournisseurs | Selon leurs politiques ; le site lui-même ne la conserve pas |
| Stockage du navigateur : affichage choisi, bulles d'aide vues, équipe et séance en cours | Non | Préférences ; reprendre après un rafraîchissement. | L'appareil seulement ; jamais envoyé | L'appareil | Jusqu'à l'effacement des données du navigateur |
Le cycle de vie
- Collecte : seulement ce que l'équipe fait dans le jeu et les réponses qu'elle écrit. Le site ne demande jamais d'information sur l'élève.
- Utilisation : faire fonctionner la séance, l'afficher à l'enseignant·e, imprimer le rapport. Les indicateurs de l'espace enseignant·e décrivent ce qu'une équipe a fait dans le jeu ; ils ne la notent pas.
- Communication : à personne d'autre que l'équipe et l'enseignant·e de la séance. Aucune donnée n'est exportée vers un tiers. L'export pour la recherche est désactivé.
- Conservation : le rapport de séance s'imprime ou s'enregistre en PDF, puis la séance s'efface ; rien ne doit rester en ligne.
- Destruction : « Effacer la séance » supprime les équipes, leurs réponses et la séance. Sans action de l'enseignant·e, chaque document porte une date d'effacement : la base le supprime 30 jours après la création de la séance.
Les fournisseurs, et où les données sont traitées
| Fournisseur | Service | Ce qu'il reçoit | Lieu |
|---|---|---|---|
| Cloud Firestore (base de données) | Séances, fiches d'équipe, réponses écrites | Canada : région northamerica-northeast1 (Montréal) | |
| Firebase Authentication (connexion) | Identifiants anonymes des appareils ; compte Google de l'enseignant·e s'il se connecte | Notamment aux États-Unis | |
www.gstatic.com | Le téléchargement du code public de Firebase | Réseau mondial de Google | |
| GitHub (Microsoft) | GitHub Pages (hébergement des pages) | Les demandes de pages, comme pour tout site web. Aucune donnée du jeu. | Notamment aux États-Unis |
Une partie du traitement se fait donc hors du Québec : la connexion anonyme et, le cas échéant, le compte Google de l'enseignant·e. Les réponses des équipes, elles, restent dans la base, à Montréal. Les données sont chiffrées pendant leur transport (HTTPS) et, chez Google Cloud, pendant leur stockage.
Votre organisme exige une entente écrite (confidentialité, destruction des données) ? Écrivez à la responsable.
Les mesures de sécurité
- Aucun compte élève : chaque appareil reçoit un identifiant anonyme ; l'équipe choisit un nom parmi quinze animaux, imposés par la base elle-même.
- Règles de la base : ce qui n'est pas autorisé est refusé. Une équipe ne lit et ne modifie que sa propre fiche ; seul·e l'enseignant·e qui a créé la séance lit toutes les fiches et peut tout effacer. Seuls les champs prévus sont acceptés (liste blanche) : personne ne peut ajouter un champ « prénom ». La taille des données est limitée.
- Réponses attendues réservées : les équipes ne les reçoivent jamais, ni dans le contenu du jeu, ni dans la séance.
- Pages protégées : une politique de sécurité du contenu (CSP) sur chaque page n'autorise que les scripts du site et ceux de Firebase. Le texte écrit par les élèves ou par l'enseignant·e s'affiche toujours comme du texte, jamais comme du code. Les polices font partie du site ; aucun service de statistiques ni de publicité.
- Effacement : un bouton pour l'enseignant·e, et l'effacement automatique après 30 jours.
- Vérifié avant chaque mise en ligne : une séance complète est jouée automatiquement dans un vrai navigateur (séance, équipes, réglages, effacement, hors-ligne, accessibilité) ; si une vérification échoue, rien n'est publié.
Les risques, et ce qui les réduit
| Risque | Ce qui le réduit |
|---|---|
| Un élève écrit un prénom, ou un renseignement sur lui, dans une réponse. | La consigne est à l'écran (« pas de prénom, ni ici ni dans vos réponses ») et l'enseignant·e la rappelle. Les réponses ne sont lues que par l'équipe et son enseignant·e, qui peut effacer la séance à tout moment ; sinon, effacement automatique en 30 jours. |
| Quelqu'un hors de la classe devine le code d'une séance. | Plus de 28 millions de codes possibles. Le code permet de lire les réglages de la séance et d'y créer sa propre fiche, jamais de lire les réponses des autres équipes. L'enseignant·e voit chaque équipe arriver en direct et peut fermer la séance. |
| Une équipe lit les réponses d'une autre équipe. | Refusé par les règles de la base. |
| Les données restent en ligne trop longtemps. | Effacement par l'enseignant·e, et automatique après 30 jours. |
| Communication hors du Québec. | Seulement des identifiants anonymes (et le compte Google de l'enseignant·e qui choisit de se connecter). Aucun nom d'élève n'existe dans le système. |
| Le Wi-Fi de l'école décroche. | Le jeu continue sur l'appareil ; ce que l'équipe fait part au retour du réseau. |
Droits et incidents
Une demande d'accès, de rectification ou d'effacement s'adresse à la responsable ; réponse dans les 30 jours. Comme les élèves sont anonymes, indiquer le code de la séance et le nom de l'équipe. Pour une séance en cours, le plus rapide est l'enseignant·e : son espace efface la séance en un clic.
En cas d'incident de confidentialité présentant un risque de préjudice sérieux, la responsable avise la Commission d'accès à l'information et les personnes concernées, comme la loi le prévoit. Le détail est sur la page Confidentialité et à propos.
Pour le filtre du réseau
Si le filtre de l'école bloque le site, voici les adresses à autoriser :
- l'adresse du site lui-même ;
- pour la version en classe :
www.gstatic.com,firestore.googleapis.com,identitytoolkit.googleapis.cometsecuretoken.googleapis.com; - pour la connexion Google de l'enseignant·e seulement :
apis.google.com,accounts.google.comet l'adressefirebaseapp.comdu projet.
Le site ne fait télécharger aucun programme et n'utilise aucun témoin tiers.