Confidentialité — brouillon
Inventaire technique des traitements de données et points restant à examiner avec un juriste.
Responsable et périmètre
À compléter : raison sociale/nom, CNPJ, adresse, canal de confidentialité et responsable effectif. suporte@for-muli-x.com est un placeholder dont la réception n’est pas vérifiée. Cet inventaire couvre l’API et le tableau de bord du dépôt ; hébergement, proxy, CDN et production n’ont pas été audités.
Données traitées
| Catégorie | Traitement observé et finalité |
|---|---|
| Compte | SQLite : ID, nom, adresse électronique, empreinte du mot de passe avec sel (scrypt), forfait, expiration, indicateur d’administration et date de création. Authentification et gestion ; le mot de passe n’est pas enregistré en clair. |
| Domaines et clés | Domaine, lien au compte et création ; empreinte SHA-256 de la clé, préfixe, création et révocation. Autorisation des appels ; la clé complète n’apparaît qu’une fois lors de sa création. |
| Utilisation | Mois UTC, compte, domaine et compteurs d’insertions/aperçus. Mesure du quota et de la consommation ; ce ne sont pas des enregistrements individuels de formules. |
| Session et récupération | ID de session et validité en base ; cookie formulix_sessao du tableau de bord : 7 jours, HttpOnly, SameSite=Lax ; Secure dépend du HTTPS et de la configuration. Jeton de récupération sous forme d’empreinte, à usage unique, valable 30 minutes ; la réinitialisation révoque les sessions. |
| Sécurité | L’IP en mémoire limite les tentatives de connexion, d’inscription et de récupération sur une fenêtre de 15 minutes ; ce n’est pas un historique persistant dans SQLite. La connexion HTTP expose aussi des données réseau à l’infrastructure. |
| Paiements | SQLite : ID du paiement, compte, forfait, mois, montant, statut et dates. Le tableau de bord envoie à Mercado Pago l’adresse électronique du payeur, les articles, le prix et la référence compte/forfait/mois, puis vérifie le statut pour activer le forfait. |
| Courriels | SMTP reçoit le destinataire et le message de récupération avec lien/jeton temporaire ou l’avis d’expiration avec forfait/échéance. SQLite enregistre le compte, le forfait, l’échéance et la date d’envoi de l’avis. |
Contenu envoyé pour calcul
L’API reçoit les formules, paramètres mathématiques/chimiques, données graphiques et, sur demande, le HTML/RTF du collage Word. Cela peut arriver dès les aperçus, avant confirmation, ainsi que lors des insertions. La clé publique et Origin accompagnent les requêtes.
Dans les routes analysées, le contenu est traité en mémoire sans enregistrement dans SQLite ni dans des fichiers par la routine de calcul. Le résultat revient au navigateur. Le contenu conservé et les PNG restent dans la plateforme du client selon son enregistrement et son téléversement.
Cela ne garantit pas l’absence de toute trace : le code écrit des erreurs dans la console lors de certaines défaillances. Les journaux d’exceptions peuvent contenir des détails du traitement. Proxy, hébergement, observabilité, sauvegardes et journaux de production nécessitent une vérification distincte. N’envoyez ni noms d’élèves, ni documents complets, ni autres données personnelles inutiles.
Partage et tiers
Mercado Pago reçoit les données de paiement décrites ci-dessus et traite les paiements hors de Formulix. Le schéma SQLite local ne garde ni numéros de carte, ni CVV, ni coordonnées bancaires complètes. SMTP reçoit les données nécessaires aux messages. L’exploitant doit identifier les prestataires d’hébergement, de courriel et de CDN, ainsi que leurs localisations.
Si la plateforme charge le client ou MathJax depuis un CDN externe, le navigateur adresse des requêtes au prestataire. Cette documentation ne charge ni polices, ni outils d’analyse, ni scripts externes. L’ajout éventuel de traceurs au déploiement final n’a pas été vérifié. Transferts internationaux, sous-traitants ultérieurs, conditions et délais des prestataires : non vérifiés.
Finalités et bases légales à réviser
La proposition à valider consiste à traiter compte, accès, utilisation et achat pour l’exécution du contrat ; les enregistrements légalement exigés pour une obligation légale ; la sécurité avec une base adaptée à sa finalité et aux droits des personnes. L’exploitant doit documenter les bases définitives, la nécessité et les durées. Aucun consentement général à tous les traitements n’est présumé.
Pour les contenus scolaires, définir contractuellement les rôles de responsable du traitement et de sous-traitant, et les instructions de l’établissement. Les données des mineurs nécessitent une analyse spécifique et la prise en compte de leur intérêt supérieur. Le texte d’origine se réfère à la LGPD brésilienne.
Révision locale à prévoir : déterminer les textes applicables selon le pays, l’établissement et les personnes concernées : RGPD pour l’Union européenne, Loi Informatique et Libertés en France ; LPRPDE et, selon le cas, Loi 25 au Québec ou règles provinciales au Canada ; législation nationale pertinente dans chaque pays d’Afrique francophone. Ce sont des points à examiner avec un juriste, sans affirmation de conformité.
Conservation et suppression
La session expire logiquement après 7 jours et la récupération après 30 minutes. Les sessions expirées sont nettoyées lors de la création de sessions ; les récupérations expirées, lors de nouvelles récupérations. L’expiration ne signifie pas l’effacement immédiat de toutes les copies.
Aucune politique générale de conservation/suppression automatique des comptes, usages mensuels, paiements ou avis n’est définie. Le tableau de bord analysé n’a pas de parcours public d’exportation ou de suppression de compte. L’utilitaire de sauvegarde copie la base ; calendrier, stockage et destruction ne sont pas définis. La table d’utilisation n’a pas de suppression en cascade par compte : une future suppression doit traiter explicitement l’historique.
À définir : durées par finalité, obligations légales applicables, anonymisation/destruction et traitement des sauvegardes/journaux, sans promettre une suppression instantanée.
Droits des personnes
La procédure définitive doit permettre de demander confirmation du traitement, accès, rectification, informations sur le partage et autres droits applicables de l’article 18 de la LGPD, notamment suppression/anonymisation lorsque possible. Un canal fonctionnel, une vérification proportionnée de l’identité, une prise en charge et une réponse sont à définir ; le tableau de bord n’a pas de parcours automatisé. Les droits et procédures locaux restent également à examiner.
Sécurité et incidents
Le code utilise des empreintes de mots de passe/clés, une restriction d’origine/domaine, une limitation des requêtes et une session HttpOnly. Cela ne constitue ni audit de sécurité ni certification de conformité. HTTPS, accès à la base, sauvegardes, contrôles des prestataires et réponse aux incidents doivent être vérifiés lors du déploiement.
Avant publication
Compléter identité et contacts, cartographier prestataires et lieux, fixer bases légales et conservation, définir droits et contrats scolaires, puis faire réviser par un juriste. Publier une version approuvée avant de demander une acceptation ou de présenter ces textes comme une politique définitive dans les catalogues.