Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est SifG22, titulaire du domaine sifg.net ainsi que des sous-domaines et services associés, y compris la plateforme d'examens SifG Area, exploitée par SifG Edu.

Si un Délégué à la protection des données (DPO) venait à être formellement désigné, ses coordonnées seraient publiées dans cette section.

2. Champ d'application et services concernés

La présente politique s'applique à l'ensemble des services fournis par SifG22, notamment :

• sifg.net et ses sous-domaines institutionnels (blog, help, status).
• SifG Area (area.sifg.net) : plateforme d'examens en ligne gérée par SifG Edu. Elle permet de passer, gérer et corriger des épreuves, ainsi que de suivre la progression de l'utilisateur.
• SifG Edu (edu.sifg.net) : services éducatifs de l'écosystème.
• SifG22 pour Windows, distribuée via le Microsoft Store.
• Tous les autres produits et services identifiés sous la marque SifG22.

Certains services peuvent disposer de politiques spécifiques qui complètent ou précisent la présente politique. En cas de divergence, la politique spécifique du service concerné prévaut.

3. Données personnelles que nous traitons

Nous détaillons ci-dessous les catégories de données que nous traitons. Nous ne collectons que les données nécessaires à la fourniture du service et respectons en permanence les principes de minimisation, de limitation des finalités et d'exactitude énoncés à l'article 5 du RGPD.

3.1 Données de compte (inscription avec e-mail et mot de passe)

• Identifiants : nom ou nom d'utilisateur, adresse e-mail.
• Mot de passe : il n'est jamais stocké en clair. Seul son hash est conservé, généré au moyen d'algorithmes modernes résistants aux attaques par force brute (Argon2id ou bcrypt avec un facteur de coût élevé et un sel unique par utilisateur).
• Données facultatives : photo de profil, biographie, préférences de l'application.

3.2 Connexion via des fournisseurs externes (Google et GitHub)

Lorsque vous choisissez de vous connecter avec Google ou GitHub via OAuth 2.0 / OpenID Connect, nous recevons du fournisseur uniquement les données strictement nécessaires à la création ou à l'association de votre compte :

• Google : identifiant Google unique, adresse e-mail, nom et photo de profil publique (si vous les autorisez).
• GitHub : identifiant GitHub unique, nom d'utilisateur, adresse e-mail (si vous l'avez rendue publique ou en autorisez l'accès) et avatar.

Nous n'accédons ni à vos contacts, ni à vos dépôts privés, fichiers, messages, ni à aucune autre information de votre compte Google ou GitHub. L'authentification s'effectue directement auprès du fournisseur : nous ne connaissons jamais votre mot de passe Google ou GitHub.

3.3 Données générées par l'utilisation de SifG Area

• Examens et épreuves : examens auxquels vous vous inscrivez, dates, temps passé, réponses et notes obtenues.
• Progression scolaire : statistiques et indicateurs d'évolution au sein de la plateforme.
• Paramètres du compte : établissement, matière, niveau ou équipe, si vous les renseignez.

3.4 Données techniques et de sécurité

• Adresse IP et géolocalisation approximative (au niveau du pays ou de la ville) déduite de l'IP.
• Informations sur l'appareil et le navigateur (User Agent, système d'exploitation, langue).
• Dates et heures d'accès, événements de sécurité (tentatives échouées, changements de mot de passe).
• Données stockées dans des cookies et technologies similaires, comme indiqué dans la Politique de cookies.

3.5 Communications

Si vous nous contactez (par e-mail, formulaire ou centre d'aide), nous traitons le contenu du message et les données d'identification que vous fournissez afin de répondre à votre demande.

4. À quoi servent vos données

• Créer et gérer votre compte (identification, authentification, association avec Google ou GitHub si vous le choisissez).
• Fournir le service : accès à SifG Area, passage d'examens, stockage des résultats, de la progression, des paramètres et des préférences.
• Communiquer avec vous au sujet d'incidents, de mises à jour essentielles, de la récupération du mot de passe ou de modifications importantes de la politique.
• Répondre aux demandes et questions via le centre d'aide et l'adresse e-mail d'assistance.
• Garantir la sécurité du service : prévention de la fraude, détection des abus, surveillance des incidents et réponse aux accès non autorisés.
• Respecter les obligations légales : comptables, fiscales, en matière de protection des données ou découlant de demandes des autorités compétentes.
• Améliorer le service : analyse statistique agrégée et anonymisée de l'utilisation, sans profilage individuel.

Nous n'utilisons pas vos données à des fins publicitaires, nous ne les vendons pas et nous ne les cédons ni à des annonceurs ni à des data brokers. Nous ne procédons à aucun profilage produisant des effets juridiques ni à aucune prise de décision automatisée significative (voir section 11).

5. Base juridique du traitement

Nous traitons vos données sur la base des fondements juridiques suivants, prévus à l'article 6 du RGPD :

• Exécution d'un contrat (art. 6.1.b RGPD) : la création du compte, l'accès à SifG Area et la fourniture du service constituent un contrat entre l'utilisateur et SifG22.
• Consentement (art. 6.1.a RGPD) : pour les traitements facultatifs tels que les communications promotionnelles ou les cookies non nécessaires. Vous pouvez le retirer à tout moment, sans que cela n'affecte la licéité du traitement antérieur.
• Intérêt légitime (art. 6.1.f RGPD) : pour garantir la sécurité de la plateforme, prévenir la fraude et préserver l'intégrité des examens.
• Obligation légale (art. 6.1.c RGPD) : lorsqu'une disposition légale nous impose de conserver ou de communiquer certaines données.

6. Durées de conservation

Nous ne conservons vos données que pendant la durée nécessaire aux finalités décrites :

• Données de compte et de SifG Area : tant que le compte est actif.
• Après la suppression du compte : vos données sont anonymisées ou effacées, à l'exception de celles que nous devons conserver de manière bloquée en vertu d'obligations légales ou pour la constatation, l'exercice ou la défense de droits en justice, pendant les délais légalement prévus.
• Journaux de sécurité et d'accès : jusqu'à 12 mois, sauf si des incidents identifiés justifient une conservation plus longue.
• Communications avec l'assistance : le temps nécessaire au traitement de la demande puis, ultérieurement, jusqu'à 24 mois à des fins de qualité et de traçabilité.
• Décision relative aux cookies : jusqu'à 12 mois, conformément aux recommandations de l'AEPD.

Si votre compte reste inactif pendant une période prolongée, nous pouvons vous contacter et, à défaut de réponse, le supprimer automatiquement afin de minimiser les données.

7. Destinataires et communications

SifG22 ne vend, ne loue ni ne cède vos données personnelles à des tiers à des fins commerciales. Nous ne les partageons pas non plus avec des annonceurs, des régies publicitaires ou des plateformes marketing.

Vos données peuvent être communiquées à :

• Des sous-traitants qui fournissent des services à SifG22 (hébergement, envoi d'e-mails transactionnels, surveillance de la sécurité, authentification via des tiers). Ils agissent pour le compte de SifG22 dans le cadre d'un contrat de sous-traitance conforme à l'article 28 du RGPD. Voir section 8.
• Les autorités compétentes : juges, tribunaux, forces de l'ordre ou administrations publiques, en présence d'une obligation légale, d'une décision de justice ou d'une demande valable.
• Les fournisseurs d'identité fédérée (Google et GitHub) : si vous choisissez de vous connecter avec l'un d'eux, un échange minimal de données a lieu pour vous authentifier. Cet échange est également régi par les politiques de confidentialité de Google et de GitHub.

8. Sous-traitants

SifG22 fait appel à des prestataires technologiques de confiance pour fournir le service. Ils ne traitent vos données que pour le compte de SifG22, conformément à ses instructions, avec les mesures de sécurité appropriées et les engagements de confidentialité exigés par le RGPD.

Catégories habituelles de sous-traitants : hébergement cloud, bases de données, envoi d'e-mails transactionnels, authentification, surveillance et observabilité. La liste à jour des prestataires et des pays depuis lesquels ils fournissent leurs services peut être demandée à support@sifg.net.

9. Transferts internationaux

Certains prestataires avec lesquels nous travaillons (par exemple, Google ou GitHub pour la connexion fédérée) peuvent traiter des données dans des pays situés hors de l'Espace économique européen. Dans ce cas, nous garantissons un niveau de protection équivalent à celui de l'Union européenne au moyen de :

• Décisions d'adéquation de la Commission européenne (par exemple, l'EU-US Data Privacy Framework).
• Clauses contractuelles types approuvées par la Commission européenne.
• Autres garanties appropriées prévues aux articles 46 et 49 du RGPD.

10. Sécurité des données

SifG22 met en œuvre les mesures techniques et organisationnelles appropriées pour garantir la confidentialité, l'intégrité et la disponibilité des données, conformément à l'article 32 du RGPD, notamment :

• Communications chiffrées via HTTPS/TLS.
• Stockage des mots de passe uniquement sous forme de hash (Argon2id / bcrypt) avec un sel aléatoire par utilisateur.
• Contrôle d'accès fondé sur les rôles et principe du moindre privilège.
• Journalisation et surveillance des événements critiques.
• Mises à jour de sécurité régulières et revues des dépendances.
• Sauvegardes chiffrées et politiques de rétention.
• Procédures de réponse aux incidents et de notification à l'AEPD et, le cas échéant, aux utilisateurs concernés, dans un délai maximal de 72 heures, conformément aux articles 33 et 34 du RGPD.

Malgré ces mesures, aucun système n'est totalement infaillible : nous vous demandons d'utiliser des mots de passe robustes et de ne pas les communiquer à des tiers.

11. Décisions automatisées

Certains examens de SifG Area sont corrigés de manière automatisée (questions à choix multiples, réponses à clé objective, etc.). Cette correction automatique ne produit aucun effet juridique et ne vous affecte pas de manière significative au sens de l'article 22 du RGPD, puisque vous pouvez toujours demander un réexamen humain des résultats auprès de l'enseignant, de l'établissement ou du gestionnaire responsable de l'examen.

Nous ne procédons à aucun profilage à des fins publicitaires ni à aucune classification limitant l'accès à des services ou à des droits.

12. Vos droits

En tant que personne concernée, vous disposez des droits suivants :

• Accéder aux données personnelles que nous traitons à votre sujet.
• Rectifier les données inexactes ou incomplètes.
• Effacer les données lorsqu'elles ne sont plus nécessaires ou lorsque vous retirez votre consentement.
• Limiter le traitement dans certains cas.
• Vous opposer au traitement fondé sur l'intérêt légitime.
• Transférer vos données à un autre responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine.
• Retirer votre consentement à tout moment, sans effet rétroactif.
• Ne pas faire l'objet de décisions automatisées produisant des effets juridiques.

Vous pouvez exercer ces droits en écrivant à support@sifg.net ou depuis le centre d'aide. Nous traiterons votre demande dans un délai maximal d'un mois, pouvant être prolongé de deux mois dans les cas particulièrement complexes.

Si vous estimez que vos droits n'ont pas été correctement respectés, vous pouvez introduire une réclamation auprès de l'Agence espagnole de protection des données (AEPD), autorité de contrôle en Espagne.

13. Cookies et technologies similaires

L'utilisation des cookies sur nos sites et applications est régie par la Politique de cookies, qui précise quels cookies nous utilisons, dans quel but et comment vous pouvez les gérer ou retirer votre consentement à tout moment.

14. Mineurs

SifG Edu et SifG Area étant destinés au domaine éducatif, une partie des élèves peut être mineure. Conformément à l'article 7 de la LOPDGDD, en Espagne, le traitement des données personnelles d'un mineur de moins de 14 ans requiert le consentement des titulaires de l'autorité parentale ou de la tutelle.

Les établissements scolaires qui utilisent SifG Area avec des élèves de moins de 14 ans sont tenus de recueillir ce consentement et d'informer préalablement les intéressés du traitement. Dans ce cas, SifG22 agit en qualité de sous-traitant de l'établissement, en vertu du contrat correspondant.

Si vous apprenez qu'un mineur de moins de 14 ans a fourni des données sans le consentement de ses parents ou tuteurs, signalez-le-nous à support@sifg.net et nous procéderons à leur effacement.

15. Modifications de la politique

SifG22 peut mettre à jour la présente Politique de confidentialité afin de l'adapter aux évolutions réglementaires, jurisprudentielles ou de ses services. Lorsque les modifications sont substantielles, nous vous en informerons de manière visible (bandeau, e-mail ou avis dans l'application) dans un délai raisonnable. La date de la dernière mise à jour figure en haut de cette page.

16. Contact et réclamations

Pour toute question relative à la confidentialité, à l'exercice de vos droits ou pour toute réclamation, vous pouvez nous contacter via :

• E-mail : support@sifg.net
• Centre d'aide : help.sifg.net
• Formulaire de contact : À propos

Vous avez également le droit d'introduire une réclamation auprès de l'Agence espagnole de protection des données (AEPD) si vous estimez que votre droit à la protection des données a été enfreint.