Politique de confidentialité

Liréo est édité par une entité juridique en cours de constitution en Belgique. Dans l'attente de son immatriculation, Liréo est représenté par son fondateur.

Deux points de contact distincts :

• Questions RGPD · exercice des droits : rgpd@lireo.app
• Questions commerciales, support : hello@lireo.app

Liréo traite principalement des données d'élèves mineurs. À ce titre, nous prenons les engagements contraignants suivants :

• Liréo s'engage à ne jamais activerd'analytique comportementale, de suivi publicitaire ou de profilage sur les interfaces destinées aux élèves (portail élève).
• Liréo s'engage à ne jamais activerde session replay (enregistrement de navigation) sur les écrans contenant des données d'enfants, y compris sur le portail parent.
• Aucune donnée d'élève n'est partagée à des fins marketing, publicitaires ou commerciales, jamais.
• Les URL de consultation des bulletins sont des liens à usage unique, à expiration courte (15 minutes en consultation), avec journalisation IP.

Âge du consentement numérique: en Belgique, le seuil de consentement autonome au sens de l'article 8 RGPD est fixé à 13 ans. En deçà, le consentement d'un représentant légal est requis pour tout traitement fondé sur le consentement. Liréo ne fonde aucun traitement obligatoire sur le consentement d'un élève mineur.

Trois grandes familles de données :

3.1 Données d'identité et de compte

• Utilisateurs adultes (direction, enseignants, éducateurs, parents) : nom, prénom, email, rôle, école de rattachement, langue, préférences de notification, mot de passe haché (Argon2id).
• Élèves : nom, prénom, date de naissance, classe, année scolaire, identifiant interne École, représentants légaux.

3.2 Données scolaires

• Notes, appréciations, bulletins, absences, retards, journaux de classe, signatures électroniques (parents et équipe).
• Décisions de conseil de classe, attestations PEQ.
• Messages entre parents et enseignants, annonces école (valves numériques).

3.3 Catégories particulières (article 9 RGPD)

Le module Plan Individuel d'Apprentissage (PIA) peut inclure des données relatives à la santé des élèves (diagnostic, aménagements raisonnables). Ces données sont :

• Traitées sur la base cumulative de l'article 9.2.g RGPD (intérêt public important, décret FWB du 7 décembre 2017 sur les élèves à besoins spécifiques) et de l'article 9.2.b (obligations dans le domaine de l'éducation),
• Accessibles uniquement à l'équipe éducative référente, à la direction et aux représentants légaux,
• Journalisées intégralement dans le registre d'audit (toute consultation tracée).

Les bases légales mobilisées par les Écoles responsables :

• Article 6.1.c — obligation légale (décret Missions de 1997, décrets CESS/CE1D/CQ pour les bulletins certifiés, arrêté obligation scolaire pour les absences).
• Article 6.1.e— mission d'intérêt public confiée aux établissements scolaires par la Fédération Wallonie-Bruxelles.
• Article 6.1.b — exécution du contrat avec les représentants légaux (accès au portail parent).
• Article 6.1.a — consentement, pour les seuls traitements non obligatoires (notifications push, analytique produit sur les interfaces adultes).
• Article 9.2.g — intérêt public important, pour les données de santé liées au PIA.

Toutes les données de Liréo sont traitées exclusivement dans l'Union européenne. Les sauvegardes chiffrées sont conservées sur des serveurs situés en Allemagne.

Certains fournisseurs de l'infrastructure peuvent opérer une console d'administration ou un support technique depuis un pays tiers. Ces transferts résiduels sont encadrés par les Clauses Contractuelles Types (décision UE 2021/914) et limités par chiffrement au repos (AES-256) et en transit (TLS 1.3).

Liréo planifie une migration progressive vers une infrastructure souveraine basée en Allemagne ou en Belgique, opérée par des entités juridiques européennes. Calendrier indicatif : horizon 12 mois après la mise en production payante.

Au sens de l'article 28.4 RGPD, Liréo mobilise des sous-traitants ultérieurs par catégorie fonctionnelle :

• Hébergement applicatif et base de données — fournisseurs UE
• Stockage des fichiers et protection anti-bot — fournisseur UE
• Emails transactionnels — fournisseur UE
• Paiement par carte et facturation — fournisseur UE
• Monitoring technique (erreurs, disponibilité, analytique produit sur interfaces adultes) — fournisseurs UE
• Sauvegardes chiffrées — hébergeur souverain UE (Allemagne)

Chaque sous-traitant est encadré par un DPA signé et, le cas échéant, par les Clauses Contractuelles Types pour les transferts résiduels. La liste nominative détaillée(raison sociale, pays d'établissement, zone de traitement, référence DPA) est :

• Transmise de droit à chaque École cliente dans l'annexe de son contrat de sous-traitance,
• Fournie sur demande écrite motivée à un DPO scolaire ou à tout tiers justifiant d'un intérêt légitime (rgpd@lireo.app),
• Communiquée à l'Autorité de protection des données sur réquisition.

Les catégories publiques et la trajectoire d'infrastructure sont détaillées sur la page Crédits et transparence. Toute École cliente reçoit un préavis de 30 joursavant tout changement de sous-traitant, avec droit d'objection motivée.

Chaque catégorie de données est conservée pour une durée alignée sur la réglementation scolaire FWB ou sur l'obligation comptable belge. Purge automatisée par job nocturne. Les durées spécifiques aux bulletins et dossiers élèves sont indicatives et sous réserve de confirmation juridique en cours auprès d'un conseil spécialisé en droit scolaire FWB.

Vous disposez, conformément au RGPD, des droits suivants :

• Accès · obtenir une copie de vos données (ou de celles de votre enfant mineur),
• Rectification · faire corriger les données inexactes,
• Effacement · demander la suppression, sous réserve des obligations légales de rétention scolaire,
• Limitation · faire suspendre un traitement en cas de contestation,
• Portabilité · recevoir vos données dans un format structuré,
• Opposition · vous opposer aux traitements non obligatoires (analytique, notifications non-essentielles),
• Retrait du consentement · à tout moment pour les traitements fondés sur le consentement.

Aucune décision automatiséeà portée juridique n'est prise par Liréo. Les alertes de décrochage ou de risque d'échec sont strictement indicatives et destinées à l'équipe éducative.

Pour exercer vos droits : écrivez à rgpd@lireo.app. Pour les données concernant un élève, la demande est relayée à l'École (responsable du traitement) avec notre assistance. Délai de réponse : 1 mois (2 mois prolongeable en cas de complexité motivée).

Vous pouvez également introduire une réclamation auprès de l'Autorité de protection des données (APD) : autoriteprotectiondonnees.be.

Trois catégories, distinctes en terme de consentement :

• Cookies strictement nécessaires· session d'authentification, préférences de langue. Posés sans consentement, essentiels au fonctionnement du service.
• Cookies analytiques (PostHog) · activés uniquement après consentement explicite via bandeau, et uniquement sur les interfaces adultes (direction, enseignants, parents). Jamais sur le portail élève. Durée maximale : 12 mois.
• Aucun cookie publicitaire, aucun partage avec des régies tierces.

Mesures techniques mises en œuvre :

• Chiffrement en transit (TLS 1.3) et au repos (AES-256 sur R2, chiffrement Neon natif, age pour les dumps Hetzner).
• Authentification à deux facteurs (TOTP) obligatoire pour les comptes direction.
• Cloisonnement strict multi-tenant : chaque requête est scopée à l'école de l'utilisateur, avec tests d'isolation automatisés.
• Journal d'audit inaltérable de toutes les actions sensibles (création, modification, publication, signature).
• Sauvegardes chiffrées quotidiennes, test de restauration mensuel.
• Procédure de notification de violation sous 24 heures à l'École, assistance à la notification APD sous 72 heures.

• Contrat de sous-traitance (DPA) signé entre chaque École cliente et Liréo, consultable sur demande après connexion.
• Registre des activités de traitement(article 30.2 RGPD) tenu à jour, communicable sur demande motivée à l'APD.
• Analyse d'impact (DPIA) conduite pour les traitements à risque élevé (PIA, bulletins), révisée annuellement.
• Politique de cookies détaillée, accessible depuis le bandeau de consentement.

Toute évolution substantielle de cette politique (nouveau sous-traitant, nouvelle finalité, changement de durée de conservation) fait l'objet d'une notification :

• Aux Écoles clientes par email avec un préavis de 30 jours,
• Aux utilisateurs par bandeau dans l'application lors de leur prochaine connexion,
• Par publication d'une nouvelle version numérotée de la présente page (version en haut de page).

Les modifications mineures (corrections typographiques, clarifications) n'entraînent qu'un changement de date.