Chapitre 8.5 — Atelier : la politique de FormaCampus

⏱️ TL;DR — On assemble tout. Rédiger une politique de confidentialité ne commence jamais par l’écriture : ça commence par identifier ses traitements réels. Pour FormaCampus, on en dénombre cinq principaux — comptes, scolarité/suivi, prospection, support, analytics (mesure d’audience) — plus les sous-traitants et l’aide par IA. On les cartographie (finalité, base légale, données, destinataires, durée), on en tire le plan du chapitre 8.2, puis on rédige quelques sections types, en langage clair (chapitre 8.4). À la fin, tu as une méthode reproductible : cartographier d’abord, rédiger ensuite — et une politique qui ressemble à ton produit, pas à un modèle.

🎯 Objectifs

• Identifier les traitements réels d’un service à partir de son fonctionnement.
• Cartographier chaque finalité (base légale, données, destinataires, durée).
• Dérouler le plan de la politique à partir de cette cartographie.
• Rédiger des sections types en langage clair, prêtes à adapter.

Étape 1 — Identifier les traitements (avant d’écrire une ligne)

La règle d’or du chapitre 8.2 : la politique se construit à partir du registre, pas d’un modèle. Or le registre naît d’une question simple, posée sur chaque fonctionnalité : « quelle donnée personnelle je manipule, et pour quoi faire ? » Déroulons FormaCampus.

En observant ce que fait vraiment la plateforme, cinq traitements principaux émergent :

1. Gestion des comptes — créer et faire vivre le compte d’un utilisateur (stagiaire, enseignant, parent).
2. Scolarité & suivi pédagogique — inscriptions aux formations, résultats, progression, attestations.
3. Prospection commerciale — newsletter et information sur les nouvelles formations.
4. Support — le chat et les tickets d’assistance.
5. Mesure d’audience (analytics) — comprendre l’usage de la plateforme pour l’améliorer.

À quoi s’ajoutent les sous-traitants qui interviennent en travers de ces finalités : hébergeur, prestataire d’e-mailing, outil de mesure d’audience, solution de visio, et le modèle d’IA d’aide et de correction. Chacun est un destinataire à déclarer, et certains posent la question du transfert hors UE.

⚠️ Piège — Sauter cette étape et « écrire la politique » directement. On produit alors soit un copier-coller générique (chapitre 8.2), soit un texte qui oublie un traitement bien réel — typiquement l’analytics (« ce n’est que des stats ») ou l’IA (« c’est juste une fonctionnalité »). Or l’analytics dépose des traceurs (Partie 7) et l’IA fait traiter des productions d’apprenants par un tiers : deux traitements à nommer dans la politique. Ce qu’on n’identifie pas, on ne peut pas l’annoncer — donc on n’est pas transparent.

Étape 2 — Cartographier chaque finalité

Pour chaque traitement, on remplit la même grille — celle qui alimentera et le registre et la politique.

Cette grille n’invente rien : elle reformule ce que la plateforme fait déjà. Les cases « base légale » renvoient à la Partie 4 (le choix se fait finalité par finalité), les durées se codent ensuite en tâches de purge (Partie 1), et les destinataires hors UE déclenchent l’analyse de transfert (Partie 13). La politique, elle, va traduire cette grille en texte lisible.

💡 Réflexe — Garde une traçabilité entre les trois artefacts : chaque ligne de cette grille doit exister dans le registre (art. 30), dans la politique (version publique) et, si besoin, dans le code (durée de conservation en cron, consentement journalisé). Quand les trois disent la même chose, tu es non seulement conforme mais capable de le démontrer — c’est l’accountability (chapitre 1.4) rendue concrète.

Étape 3 — Dérouler le plan

On reprend le squelette du chapitre 8.2 et on le remplit avec la cartographie. Le plan de FormaCampus ressemble à ceci :

# Politique de confidentialité — FormaCampus
Dernière mise à jour : [date]  ·  Version : [x.y]
 
## 1. Qui est responsable de vos données
   - FormaCampus, [coordonnées] · Contact DPO : [coordonnées du DPO]
   - Note : selon le contexte, FormaCampus est responsable de traitement
     (son site, sa prospection) ou sous-traitant (données confiées par une
     école ou un organisme) — voir la section concernée.
 
## 2. Ce que nous faisons de vos données (par usage)
   2.1 Gérer votre compte
   2.2 Gérer votre scolarité et votre suivi
   2.3 Vous informer de nos formations (prospection)
   2.4 Vous apporter de l'aide (support)
   2.5 Mesurer l'audience de la plateforme
   2.6 L'aide et la correction par intelligence artificielle
 
## 3. Qui accède à vos données
   - Destinataires internes habilités
   - Sous-traitants : hébergeur, e-mailing, mesure d'audience, visio, IA
   - Transferts hors UE et garanties (le cas échéant)
 
## 4. Combien de temps nous conservons vos données
   - Tableau des durées par usage
 
## 5. Vos droits et comment les exercer
   - Accès, rectification, effacement, limitation, opposition, portabilité
   - Retrait du consentement · Réclamation auprès de la CNIL
 
## 6. Cookies et traceurs → gestionnaire de consentement
## 7. Vos données si vous avez moins de 15 ans (information adaptée)
## 8. Modifications de cette politique + historique des versions

Deux choix de FormaCampus méritent attention. La section 1 annonce d’emblée la dualité responsable / sous-traitant (le fil rouge du cours) : c’est honnête et ça évite la confusion. Et la section 7 prévoit une information adaptée aux mineurs (chapitre 8.4), parce que le côté scolaire traite des données d’enfants.

Étape 4 — Rédiger : un extrait de section type

Passons à l’écriture. Voici la sous-section 2.3 — prospection et la sous-section 2.6 — IA, rédigées en langage clair (chapitre 8.4), avec les mentions dues (chapitre 8.1). C’est un extrait ; on réplique le même moule pour les autres finalités.

### 2.3 Vous informer de nos formations (prospection)
 
Nous utilisons votre adresse e-mail et votre prénom pour vous envoyer notre
newsletter et vous présenter nos nouvelles formations.
 
- Pourquoi : vous tenir informé de notre offre.
- Sur quelle base : votre consentement (case cochée à l'inscription) — ou,
  si vous êtes déjà client, notre intérêt légitime à vous proposer des
  services proches. Vous pouvez vous y opposer à tout moment.
- Qui reçoit ces données : notre prestataire d'e-mailing, qui agit pour
  notre compte et sur nos instructions.
- Combien de temps : jusqu'à ce que vous vous désinscriviez, et au plus
  tard [durée] après notre dernier contact.
- Comment reprendre la main : cliquez sur « se désinscrire » dans chaque
  e-mail, ou écrivez-nous. C'est aussi simple que de s'inscrire.
 
### 2.6 L'aide et la correction par intelligence artificielle
 
Pour vous aider pendant vos exercices et proposer des corrections, nous
faisons appel à un outil d'intelligence artificielle fourni par un
prestataire. Le contenu que vous soumettez (vos réponses, vos textes) est
transmis à cet outil uniquement pour produire l'aide ou la correction.
 
- Pourquoi : vous fournir une assistance et un retour pédagogique.
- Qui reçoit ces données : notre prestataire d'IA, sous contrat, qui n'a pas
  le droit de les réutiliser pour ses propres finalités.
- Hors de l'Union européenne : si ce prestataire traite vos données hors UE,
  nous encadrons ce transfert par des garanties appropriées (voir section 3).
- Vos productions ne servent pas à vous cibler par de la publicité.

Remarque le style : « nous / vous », phrases courtes, une puce par mention, finalité précise, et pour l’IA la mention explicite du destinataire, du transfert possible et de l’absence de réutilisation — exactement les points sensibles à ne pas noyer.

🧭 Sur FormaCampus — Cet atelier boucle le fil rouge de la partie. FormaCampus dispose maintenant d’une cartographie de ses cinq traitements, d’un plan de politique qui assume sa dualité responsable/sous-traitant, de sections rédigées en langage clair, et d’une section mineurs adaptée. Il reste à brancher cette politique aux points de collecte (chapitre 8.3), à la versionner (chapitre 8.2) et à la garder synchrone avec le registre (Partie 11). La transparence de FormaCampus n’est plus une page décorative : c’est le reflet exact de ce que fait le produit.

🔒 Côté personne concernée — Le test final d’une politique, c’est le point de vue de la personne. Un stagiaire doit pouvoir répondre, en la lisant : qui a mes données, pour quoi, qui d’autre les voit, combien de temps, et comment je dis stop ? Si l’extrait ci-dessus permet à un parent de comprendre en trente secondes que les productions de son enfant passent par un outil d’IA sans servir à de la publicité, alors la politique a fait son travail : transformer une obligation légale en confiance vérifiable.

📚 Le texte — L’atelier applique tout le socle de la partie : le contenu des mentions vient des articles 13/14, la forme (clair et accessible) de l’article 12, la cohérence avec le registre de l’article 30, et le tout se rattache au principe de transparence (art. 5.1.a) et de responsabilité (art. 5.2). Les bases légales mentionnées relèvent de l’article 6 (choix par finalité, Partie 4) ; le transfert hors UE de l’outil d’IA relève du chapitre V (Partie 13).

✏️ Exercices

Exercice 1 — Cartographie un traitement oublié. FormaCampus ajoute une fonction visio pour les cours en direct, qui enregistre les sessions. Remplis la grille : finalité, données, base légale probable, destinataire, durée.

Exercice 2 — Rédige une section type. Écris, en langage clair et avec les mentions dues, la sous-section 2.4 — support (données du chat d’assistance).

Exercice 3 — Le test du parent. Prends l’extrait « 2.6 — IA » ci-dessus. Un parent le lit. Cite les cinq questions auxquelles il doit pouvoir répondre, et vérifie qu’elles y sont.

🧠 Quiz de révision

Partie suivante : Partie 9 — Sécurité des données — informer, c’est bien ; protéger, c’est indispensable. On passe des mots aux mesures : chiffrement, contrôle d’accès, pseudonymisation — comment sécuriser concrètement les données qu’on vient de promettre de bien traiter.