Ce que nous stockons, et pourquoi
Les donnees conservees
- Votre adresse email de connexion.
- Les adresses destinataires des rappels (souvent les deux parents).
- Votre identifiant et votre mot de passe du portail de la cantine.
- Les jours ou vous souhaitez etre rappele.
- Les jours ou vous attendez une cantine ou un periscolaire, et le cas echeant la semaine que vous avez mise en pause.
- La date des dernieres verifications et des rappels envoyes.
Les prenoms de vos enfants sont lus sur le portail au moment de la verification pour rediger le rappel. Ils ne sont pas enregistres.
Le mot de passe du portail
Il est chiffre (AES-256-GCM) avant d'etre enregistre. La cle de chiffrement ne se trouve pas dans la base de donnees : une copie de la base ne permet donc pas de retrouver les mots de passe. Le chiffre est de plus lie a votre compte, il ne peut pas etre reutilise ailleurs. L'interface ne le reaffiche jamais et aucune page ne permet de le relire : vous pouvez seulement le remplacer.
Il faut etre clair : le service est techniquement capable de dechiffrer votre mot de passe. C'est inevitable, puisqu'il doit se connecter au portail a votre place pendant que vous n'etes pas la. Ce n'est donc pas du « chiffrement de bout en bout », et nous ne pretendons pas etre dans l'incapacite de lire ce mot de passe. Le dechiffrement n'a lieu qu'au moment d'interroger le portail.
Le code de ce service est public : cette promesse est vérifiable plutôt que déclarative. Vous pouvez lire précisément ce qui est fait de votre mot de passe sur le dépôt du code source.
Ce que nous ne faisons pas
- Aucune reservation n'est posee a votre place : le service se contente de lire.
- Aucune donnee n'est vendue, ni utilisee a des fins publicitaires ou statistiques.
- Aucun cookie de mesure d'audience, aucun traceur.
- L'administrateur du service voit la liste des comptes et leur etat de fonctionnement, jamais les identifiants des familles.
Les prestataires techniques
Faire fonctionner le service demande trois intermediaires. Aucun ne recoit votre mot de passe du portail, qui ne quitte jamais l'application.
- L'hebergeur execute l'application et heberge la base de donnees : il detient donc l'ensemble des donnees listees plus haut.
- Le service d'envoi recoit les adresses destinataires et le contenu des rappels, prenoms des enfants compris, puisque c'est lui qui expedie les messages.
- Sentry (heberge dans l'Union europeenne) recoit les erreurs techniques, pour que les pannes se voient au lieu de passer inapercues. Il ne recoit ni votre adresse, ni les prenoms de vos enfants : les rapports d'erreur ne portent qu'un identifiant de compte anonyme, et les adresses mail comme les liens personnels en sont retires avant l'envoi.
Ce filtrage n'est pas une intention : il est ecrit dans le code, sous lib/supervision, et verifie par des tests automatises que vous pouvez lire sur le depot du code source.
Supprimer vos donnees
La suppression de votre compte efface l'ensemble des donnees ci-dessus, y compris le mot de passe chiffre. Ecrivez a l'administrateur du service pour en faire la demande.