Registre des activités de traitement

Article 30 du RGPD — dernière mise à jour : 21/08/2026

VOLTA agit comme sous-traitant des établissements scolaires pour les données d'élèves (l'établissement reste responsable de traitement) et comme responsable de traitement pour les comptes professionnels, la facturation et la sécurité du service. Ce registre est mis à disposition des établissements pour alimenter leur propre registre et peut être annexé à un accord de sous-traitance (DPA).

Contact du responsable / référent protection des données : contact@voltaens.com. Hébergement des données dans l'Union européenne.

1. Gestion des comptes enseignants / DDFPT

Finalité: Création, authentification et administration des comptes professionnels.
Base légale: Exécution du contrat (CGU) — obligation légale pour la facturation.
Personnes concernées: Enseignants, DDFPT, administrateurs d'établissement.
Catégories de données: Email, nom, prénom, établissement, référentiels enseignés, photo de profil (facultative), rôle, journaux de connexion, facteurs d'authentification renforcée (MFA).
Durée de conservation: Durée du compte, puis suppression 12 mois après la dernière connexion (alerte à 11 mois). Factures : 10 ans.
Destinataires: Éditeur VOLTA, hébergeur (Lovable Cloud, UE), Stripe (paiement), Resend (emails).

2. Suivi pédagogique des élèves

Finalité: Évaluation par compétences, bilans, CCF, classes et groupes.
Base légale: Mission d'intérêt public éducatif.
Personnes concernées: Élèves de lycée professionnel et de BTS.
Catégories de données: Nom, prénom, classe, statut majeur/mineur, année de naissance, email élève, email du représentant légal, habilitations, résultats d'évaluation, bilans, appréciations.
Durée de conservation: Durée de la formation ; archivage 3 ans maximum puis suppression définitive automatique. Suppression immédiate possible par l'enseignant.
Destinataires: Enseignants de la classe, DDFPT en lecture seule, élève concerné, hébergeur.

3. Comptes et espace élève

Finalité: Accès sécurisé de l'élève à ses compétences, bilans, PFMP et portfolio.
Base légale: Mission d'intérêt public éducatif ; publication contrôlée par l'enseignant.
Personnes concernées: Élèves.
Catégories de données: Email, identifiant de compte, jetons de vérification, date de dernière connexion, notifications.
Durée de conservation: Supprimé avec la fiche élève ou sur demande ; jetons de vérification : 30 jours.
Destinataires: Élève concerné, enseignants de la classe, hébergeur.

4. PFMP et recherche de stage

Finalité: Suivi des périodes de formation en milieu professionnel et fiches de recherche d'entreprise.
Base légale: Mission d'intérêt public éducatif.
Personnes concernées: Élèves, tuteurs et contacts en entreprise.
Catégories de données: Entreprise, SIRET (facultatif), coordonnées professionnelles du tuteur, dates de période, étapes de progression, visites planifiées, consentement au parcours dématérialisé.
Durée de conservation: Durée de la formation, puis 3 ans d'archivage maximum.
Destinataires: Enseignants, DDFPT (lecture seule), élève, tuteur destinataire des documents.

5. Conventions de PFMP et signature électronique

Finalité: Édition, transmission, signature et archivage probatoire des conventions.
Base légale: Exécution d'une mission d'intérêt public et obligation contractuelle tripartite.
Personnes concernées: Élèves, représentants légaux, tuteurs, chefs d'établissement, enseignants.
Catégories de données: Identité et email des signataires, PDF de la convention, image de signature manuscrite, codes OTP hachés, adresse IP, agent utilisateur, horodatage, empreinte SHA-256 du document, journal de traçabilité.
Durée de conservation: 5 ans après la fin de la période (valeur probatoire), puis suppression.
Destinataires: Parties signataires, établissement, hébergeur, prestataire d'envoi d'emails.

6. Portfolio professionnel

Finalité: Valorisation des activités réalisées et des preuves associées, revue par l'enseignant.
Base légale: Mission d'intérêt public éducatif.
Personnes concernées: Élèves.
Catégories de données: Descriptions d'activités, contexte, autonomie, difficultés, réussites, pièces jointes (photos, PDF) déposées par l'élève, retours de l'enseignant.
Durée de conservation: Durée de la formation, puis 3 ans d'archivage maximum ; suppression à la demande.
Destinataires: Élève, enseignants de la classe, hébergeur (stockage privé).

7. Facturation, abonnements et dons

Finalité: Gestion des licences établissement, abonnements et dons.
Base légale: Exécution du contrat et obligation légale comptable.
Personnes concernées: Enseignants, établissements, donateurs.
Catégories de données: Email, identifiants Stripe, montant, statut d'abonnement. Aucune donnée bancaire n'est stockée par VOLTA.
Durée de conservation: 10 ans (obligation comptable).
Destinataires: Stripe, éditeur VOLTA.

8. Communications et emails

Finalité: Emails de service (invitations, OTP, notifications) et newsletter facultative.
Base légale: Exécution du contrat pour les emails de service ; consentement pour la newsletter.
Personnes concernées: Enseignants, élèves, tuteurs, signataires.
Catégories de données: Email, contenu du message, statut d'envoi, désabonnements et emails supprimés.
Durée de conservation: Journaux d'envoi : 12 mois. Liste de désabonnement : conservée pour respecter l'opposition.
Destinataires: Prestataire d'envoi d'emails, éditeur VOLTA.

9. Sécurité et journalisation

Finalité: Prévention des accès non autorisés, audit des actions d'administration.
Base légale: Intérêt légitime (sécurité du service).
Personnes concernées: Tous les utilisateurs.
Catégories de données: Horodatage, action, identifiant utilisateur, adresse IP, appareil de confiance MFA.
Durée de conservation: 12 mois.
Destinataires: Éditeur VOLTA (administrateurs habilités).

Mesures de sécurité communes

Chiffrement des échanges (TLS) et des mots de passe.
Cloisonnement par utilisateur via des règles de sécurité au niveau des lignes (RLS).
Authentification renforcée (MFA) pour les rôles DDFPT et administrateur.
Codes de signature à usage unique, limitation des tentatives, scellement SHA-256 des documents signés.
Purge automatique des données au terme des durées indiquées.
Aucune régie publicitaire, aucun traceur tiers.

Voir aussi la politique de confidentialité et la notice d'information élèves et représentants légaux.