Qui nous sommes
Echelio est une plateforme d’évaluation de code pour les écoles. Dans cette politique, « nous » désigne Echelio.
Elle couvre le site et l’application Echelio. Pour toute question sur vos données, écrivez à [email protected].
Notre rôle : responsable de traitement et sous-traitant
Echelio est utilisé par des écoles et d’autres organismes de formation. Pour les données de ses enseignants et de ses étudiants (classes, questions, réponses, résultats), l’organisation est le responsable de traitement : elle décide pourquoi et comment les données sont utilisées. Echelio agit comme son sous-traitant : il traite ces données pour le compte de l’organisation et selon ses instructions.
Pour son propre site et pour les comptes nécessaires à la connexion et à la sécurité du service, Echelio est le responsable de traitement. Cela couvre les données de compte et de connexion, les traces de sécurité et les e-mails envoyés par le service.
Si vous êtes étudiant, votre école est votre premier interlocuteur pour vos résultats et pour l’usage de vos données dans votre formation. Vous pouvez aussi nous écrire.
Ce que nous collectons et pourquoi
Nous collectons seulement ce dont le service a besoin. Cette liste reflète ce que l’application enregistre.
- Compte : votre nom, votre adresse e-mail et une empreinte de votre mot de passe (jamais le mot de passe lui-même), votre rôle (enseignant ou étudiant) et l’état actif du compte.
- Organisation et classes : l’organisation à laquelle vous appartenez et votre rôle en son sein, les classes dont vous faites partie, ainsi que le nom et les dates de chaque classe.
- Invitations : les adresses e-mail que des enseignants invitent dans une classe ou avec lesquelles ils partagent un dossier, et si l’e-mail d’invitation a été envoyé, et quand.
- Ce qu’écrivent les enseignants : questions, cas de test, solutions, quiz, dossiers, compétences et évaluations planifiées.
- Ce que produisent les étudiants dans les évaluations de code : le code qu’ils écrivent, enregistré au fil de la frappe, chaque exécution et chaque soumission avec son heure, le résultat de chaque cas de test (temps d’exécution et mémoire compris), la note et la sortie des cas de test visibles.
- Réponses aux quiz : chaque réponse, le résultat automatique, le résultat final et la personne qui l’a fixé.
- Activité pendant l’évaluation : le moment où un étudiant a rejoint, terminé, exécuté les exemples ou soumis, et, uniquement si l’enseignant a activé l’option pour cette évaluation, chaque sortie de la page de l’évaluation et sa durée.
- Correction et progression : les corrections des enseignants, le verdict et le motif court d’une correction par IA lorsqu’un enseignant l’a demandée (le motif est réservé à l’enseignant), et les niveaux de compétence qu’Echelio calcule à partir des résultats d’un apprenant.
- Traces de sécurité : pour limiter les tentatives de devinettes de mots de passe et de codes, nous conservons pendant 24 heures l’adresse e-mail et l’adresse réseau des connexions échouées et des demandes de réinitialisation de mot de passe, ainsi qu’une empreinte de l’adresse réseau et de l’identifiant du navigateur pour les tentatives de code de session.
- Préférences : la langue que vous choisissez pour l’interface.
Nous n’affichons pas de publicité, nous ne vendons pas de données personnelles et nous n’utilisons pas de traceurs d’analyse d’audience. Echelio ne crée pas de profils à des fins de marketing.
Bases légales
Au titre du RGPD et des lois semblables, nous nous appuyons sur les bases suivantes.
- L’exécution d’un contrat (fournir le service à l’organisation et à ses membres), pour les données de compte et pour les données traitées pour le compte de l’organisation.
- Les intérêts légitimes, pour assurer la sécurité du service, prévenir les abus et la triche pendant les évaluations, et corriger les défauts.
- Les obligations légales, lorsque la loi nous impose de conserver ou de communiquer des informations.
Pour les données dont elle est responsable, l’organisation choisit elle-même sa base légale, par exemple sa mission d’enseignement ou son contrat avec l’étudiant. Nous ne nous appuyons pas sur le consentement pour l’usage ordinaire d’Echelio.
Qui voit vos données
L’accès dépend du rôle, et une organisation ne voit jamais les membres ni les résultats d’une autre organisation.
- Les enseignants voient les classes qu’ils enseignent, ainsi que le code, les réponses, les résultats et l’activité d’évaluation de leurs étudiants. Ils voient les questions et les quiz partagés avec eux.
- Les administrateurs de l’organisation gèrent les membres et les réglages de leur propre organisation.
- Les étudiants voient leur propre travail et leurs propres résultats.
- Un enseignant peut ouvrir un affichage de classe en direct sur un écran. Il montre les noms et les scores des participants aux personnes présentes dans la salle.
Prestataires
Nous faisons appel aux prestataires ci-dessous pour faire fonctionner Echelio. Chacun ne traite les données personnelles que pour fournir son service.
- Hetzner Online GmbH (Nuremberg, Allemagne) : Héberge l’application, sa base de données, sa file de tâches et le serveur qui exécute le code des étudiants. Détient toutes les données décrites plus haut.
- Resend (États-Unis) : Distribue les e-mails envoyés par Echelio : invitations à une classe, affectations d’évaluations, invitations à un dossier et liens de réinitialisation de mot de passe. Reçoit l’adresse e-mail du destinataire et le contenu du message.
- OpenRouter (États-Unis) : Seulement lorsqu’une organisation a ajouté sa propre clé OpenRouter et qu’un enseignant utilise une fonction d’IA. Reçoit le texte décrit plus bas et transmet chaque requête au fournisseur de modèle qu’il sélectionne.
- jsDelivr (diffusé dans le monde entier) : Un réseau public de diffusion de contenu qui distribue les fichiers de l’éditeur de code. Votre navigateur le contacte à l’ouverture de l’éditeur : il voit donc votre adresse réseau et des informations sur votre navigateur.
Exécution du code. Echelio exécute lui-même le code des étudiants, sur son propre serveur chez Hetzner Online GmbH, à Nuremberg, Allemagne. Lorsqu’un étudiant exécute ou soumet du code, le code et les données de test vont à ce serveur, qui l’exécute dans un bac à sable isolé avec des limites de temps et de mémoire et renvoie la sortie. Aucune autre entreprise ne le reçoit, et rien qui identifie l’étudiant n’est envoyé avec.
Fonctions d’IA. Elles sont désactivées tant qu’une organisation n’a pas ajouté sa propre clé OpenRouter, et ne s’exécutent que lorsqu’un enseignant les utilise. La rédaction de quiz par IA envoie la demande de l’enseignant (sujet, niveau, types de questions, langue) et le début des questions déjà présentes dans le quiz, pour que le modèle ne les répète pas. La correction par IA envoie, pour chaque réponse ouverte qu’un enseignant a choisi de corriger, la question, le code éventuellement affiché avec elle, les notes de correction, l’explication et la réponse de l’étudiant. Elle n’envoie ni nom, ni adresse e-mail, ni numéro de compte. Si un étudiant écrit des données personnelles dans une réponse, ce texte est envoyé aussi. OpenRouter transmet chaque requête au fournisseur de modèle qu’il sélectionne pour le modèle choisi (par exemple, le fournisseur du modèle DeepSeek). La clé appartient à l’organisation : son compte OpenRouter et ce fournisseur de modèle traitent le texte selon leurs propres conditions.
E-mails. Echelio n’envoie que des e-mails de service (invitations, affectations d’évaluations, réinitialisations de mot de passe). Il n’envoie ni lettre d’information ni publicité.
Transferts internationaux
Les serveurs d’Echelio, y compris celui qui exécute le code, sont à Nuremberg, Allemagne. Resend et OpenRouter sont aux États-Unis, en dehors de l’Espace économique européen, et les fournisseurs de modèles auxquels OpenRouter transmet les requêtes peuvent aussi être ailleurs.
Ces transferts reposent sur les garanties contractuelles que ces prestataires proposent.
Durée de conservation
Certains enregistrements expirent d’eux-mêmes ; le reste est conservé tant que l’organisation utilise Echelio.
- Les sessions de connexion durent 7 jours au plus, puis sont supprimées.
- Les liens de réinitialisation de mot de passe sont valables une heure et sont supprimés une fois expirés.
- Les traces de tentatives échouées sont supprimées au bout de 24 heures.
- Les comptes, les classes, les questions et les résultats sont conservés tant que l’organisation utilise Echelio. Ils sont supprimés immédiatement lorsqu’elle cesse de l’utiliser, et les données d’un étudiant sont supprimées immédiatement lorsque son compte est supprimé.
- Les copies de sauvegarde sont conservées 30 jours au plus, puis définitivement supprimées. D’ici là, elles servent uniquement à restaurer le service après un incident.
Comment nous protégeons les données
Ces mesures font partie de l’application.
- Les mots de passe ne sont conservés que sous forme d’empreintes bcrypt. Les jetons de session de connexion et de réinitialisation de mot de passe ne sont conservés que sous forme d’empreintes.
- Le cookie de connexion n’est pas lisible par les scripts de la page et n’est envoyé que sur des connexions sécurisées en production.
- Le code des étudiants s’exécute sur un serveur d’exécution distinct, dans un bac à sable limité en temps, en mémoire et en sortie.
- La clé d’IA d’une organisation est chiffrée avant d’être enregistrée, et seuls ses quatre derniers caractères sont affichés ensuite.
- Les tentatives de connexion, de réinitialisation de mot de passe et de code de session sont limitées en fréquence.
- Chaque personne ne voit que ce que son rôle et son organisation permettent, et les cas de test cachés ne sont jamais envoyés au navigateur des étudiants.
Vos droits
Vous avez le droit :
- d’accéder aux données personnelles que nous détenons sur vous et d’en obtenir une copie ;
- de faire corriger des données inexactes ;
- de faire effacer vos données, lorsque la loi le prévoit ;
- de vous opposer à un traitement fondé sur les intérêts légitimes et de demander la limitation du traitement ;
- de recevoir les données que vous avez fournies dans un format portable, lorsque la loi le prévoit ;
- d’introduire une réclamation auprès de l’autorité de protection des données de votre pays (en France, la CNIL).
Pour exercer ces droits, écrivez à [email protected]. Nous pouvons vous demander de justifier de votre identité, et nous répondons dans un délai d’un mois.
Pour les données dont une organisation est responsable, nous lui transmettons votre demande ou nous vous orientons vers elle, car c’est elle qui décide du sort de ces données.
Mineurs et étudiants
Echelio ne fixe pas d’âge minimum. Les étudiants l’utilisent par l’intermédiaire de leur école ou de leur organisme de formation, et le fait qu’ils aient moins de 18 ans dépend de l’école.
L’organisation décide qui utilise Echelio. Elle est chargée d’informer les étudiants et de recueillir tout consentement parental exigé par sa législation.
Modifications de cette politique
Lorsque nous modifions cette politique, nous mettons à jour la date en haut de la page. En cas de changement important, nous en informons aussi les administrateurs des organisations dans l’application ou par e-mail.
Contact
Pour toute question sur cette politique ou sur vos données, écrivez à [email protected]. Les coordonnées de l’éditeur figurent dans les mentions légales.