Politique de confidentialité

2.1 Les données des élèves et des membres d’une école, l’école est responsable

Lorsqu’une école utilise Vivi pour gérer ses élèves, ses cours, ses présences et ses paiements, c’est l’école qui est responsable du traitement. C’est elle qui décide :

• quelles personnes sont inscrites dans l’application,
• quelles informations sont saisies à leur sujet,
• à quelles fins elle les utilise,
• combien de temps elle les conserve,
• qui, parmi son personnel, y a accès.

Vivi intervient comme sous-traitant : Vivi héberge et fait fonctionner le logiciel, et n’agit sur ces données que sur instruction de l’école et pour lui fournir le service. Vivi ne les utilise pas à ses propres fins : ni prospection, ni revente, ni profilage, ni entraînement de modèles d’intelligence artificielle.

Conséquence pratique pour un élève ou un parent : pour demander l’accès à des données, leur correction ou leur suppression, il faut s’adresser à l’école. Vivi ne peut pas donner suite directement à une telle demande sans l’accord de l’école, sauf, précisément, à violer la confidentialité qu’il doit à celle-ci. Vivi assiste l’école pour lui permettre de répondre (section 9).

2.2 Les données des clients, prospects et visiteurs, Vivi est responsable

Vivi est en revanche responsable du traitement pour :

• les données des personnes qui créent un compte pour leur école (administrateurs et propriétaires d’école) : identité, contact, facturation, support ;
• les données des personnes qui remplissent le formulaire d’intérêt sur le site public (prospects) ;
• les journaux techniques nécessaires au fonctionnement et à la sécurité du service.

L’identité complète du responsable du traitement figure en section 1 des mentions légales.

3.1 Données des élèves et participants (école responsable)

Deux points méritent d’être signalés explicitement plutôt que noyés dans le tableau.

Le rôle leader / follower. L’application enregistre, pour chaque personne, si elle danse en leader ou en follower. C’est une information fonctionnelle, elle sert à équilibrer les cours, et non une donnée d’état civil. Elle est toutefois, dans certaines pratiques de danse, corrélée au genre. Vivi la traite strictement comme une préférence de pratique, ne la déduit d’aucune autre donnée et ne l’utilise à aucune autre fin. Les écoles sont invitées à en faire autant.

Les commentaires libres. Ce champ est à la disposition de l’école et Vivi n’en contrôle pas le contenu. Une école pourrait y inscrire des informations sensibles au sens de la loi, une blessure, un état de santé, une situation familiale. Vivi recommande expressément aux écoles de ne pas y consigner de données de santé ni d’informations relatives à la vie privée d’un mineur, et de s’en tenir à des éléments d’organisation. L’application n’est pas conçue pour héberger des données sensibles et n’a pas été évaluée pour cet usage.

Ce que l’application ne collecte pas : date de naissance, adresse postale, numéro d’assurance, coordonnées bancaires, photographie, donnée de santé, donnée biométrique, donnée de géolocalisation.

3.2 Données des clients et prospects (Vivi responsable)

3.3 Données techniques

Les serveurs conservent des journaux techniques (adresse IP, horodatage, page ou requête appelée, code de réponse, agent utilisateur) nécessaires au fonctionnement du service, au diagnostic des pannes et à la détection des abus. Ces journaux ne servent à aucune mesure d’audience ni à aucun profilage.

4.1 Finalités

4.2 Base légale

Le droit suisse, contrairement au droit européen, n’exige pas qu’un traitement repose sur l’une des bases légales d’une liste fermée : un traitement conforme aux principes de licéité, de bonne foi, de proportionnalité, de finalité, d’exactitude et de sécurité est en principe admissible sans consentement, tant qu’il ne porte pas une atteinte illicite à la personnalité.

Vivi documente néanmoins les bases suivantes, qui correspondent à celles du règlement européen lorsqu’il s’applique (section 4.3) :

4.3 Application du droit européen

Vivi est un service suisse, soumis à la loi fédérale sur la protection des données (LPD, révisée, en vigueur depuis le 1er septembre 2023).

Le règlement européen (RGPD) peut par ailleurs s’appliquer, pour deux raisons distinctes qu’il vaut la peine de ne pas confondre :

1. Par les prestataires d’hébergement. Les serveurs et la base de données se trouvent en Allemagne. Les prestataires qui les exploitent y sont soumis au RGPD pour ce stockage.
2. Par la clientèle, le cas échéant. Si Vivi propose son service à des écoles établies dans l’Union européenne, ou traite les données de personnes qui s’y trouvent dans ce cadre, le RGPD s’applique à ces traitements au titre de son champ d’application territorial.

Vivi s’adresse à ce jour à des écoles suisses. Si des clients européens sont acquis, la nécessité de désigner un représentant dans l’Union européenne devra être réexaminée.

Par prudence, la présente politique est rédigée de manière à respecter les exigences d’information les plus élevées des deux régimes.

5.1 Ce que fait Vivi

• L’application ne s’adresse jamais directement aux enfants : elle est utilisée par le personnel de l’école, qui saisit les informations. Vivi ne fait aucune publicité ni aucune sollicitation en direction des mineurs.
• Aucun compte d’accès n’est nécessaire pour être inscrit à un cours. Une fiche d’élève peut exister sans adresse e-mail ni mot de passe : un enfant peut donc suivre des cours sans qu’aucun identifiant ne soit créé à son nom.
• Aucun profilage, aucune publicité ciblée, aucune mesure d’audience n’est effectué sur les personnes inscrites, mineures ou majeures.
• Les données collectées sont volontairement réduites au minimum : ni date de naissance, ni adresse postale, ni photographie, ni donnée de santé (section 3.1). L’application ne connaît d’ailleurs pas l’âge des personnes inscrites.

5.2 Ce qui relève de l’école

Puisque l’école est responsable du traitement (section 2.1), il lui appartient :

• de recueillir l’accord des représentants légaux lorsque cet accord est nécessaire pour inscrire un enfant et traiter ses données ;
• d’informer les familles de l’usage qui est fait des données, en s’appuyant le cas échéant sur le présent document ;
• de répondre aux demandes des élèves et de leurs parents (accès, correction, suppression) ;
• de s’abstenir de saisir des informations sensibles concernant un mineur dans les champs de commentaires libres.

5.3 Repères juridiques

En droit suisse, il n’existe pas de régime spécifique aux données des mineurs. La validité du consentement d’un mineur s’apprécie selon sa capacité de discernement (art. 19 du Code civil) : un mineur capable de discernement peut consentir seul aux actes qui relèvent de ses droits strictement personnels, tandis que les représentants légaux consentent pour l’enfant qui ne l’est pas encore. Les exigences sont d’autant plus élevées que le traitement est complexe ou touche à des données sensibles.

En droit européen, lorsqu’un traitement repose sur le consentement et vise un service en ligne offert directement à un enfant, l’autorisation du titulaire de l’autorité parentale est requise en dessous d’un âge fixé entre 13 et 16 ans selon les États. Cette règle vise les services offerts directement aux enfants, ce qui n’est pas le modèle de Vivi, où l’école est l’interlocuteur, mais elle éclaire le niveau de prudence attendu.

6.1 À l’intérieur de l’école

Seules les personnes disposant d’un compte au sein d’une école accèdent aux données de cette école, selon leur rôle (propriétaire, encadrant, participant). Les espaces des différentes écoles sont cloisonnés : une école ne peut pas accéder aux données d’une autre.

6.2 Sous-traitants effectivement utilisés

GitHub n’héberge aucune donnée personnelle d’élève ni de compte : uniquement le code de l’application.

Cloudinary n’héberge aucune donnée personnelle non plus : uniquement les images de logo qu’une école dépose elle-même, et rien d’autre. Aucun nom, aucune adresse, aucune présence, aucun paiement ne transite par ce service. Le fichier est envoyé par notre serveur, jamais par le navigateur, et l’adresse de diffusion obtenue est publique par nature : c’est précisément ce qui permet à une école d’imprimer son logo sur une affiche d’inscription ou un bulletin de versement.

L’entité contractante est « Cloudinary, Inc. », aux États-Unis, et non la société israélienne « Cloudinary Ltd. » du même groupe. La distinction n’est pas de la précision pour la précision : Israël bénéficie d’une décision d’adéquation, les États-Unis non, et les deux situations n’appellent pas la même base de transfert. Le transfert repose donc sur les clauses contractuelles types, comme pour les autres prestataires dont le siège est aux États-Unis (voir section 7).

La localisation du stockage est définie par le prestataire sur le compte, et non par Vivi ; elle est précisée sur demande à l’adresse de contact. Un document de conformité ne pose pas d’hypothèse sur un lieu d’hébergement. Le siège américain de l’entité contractante suffit de toute façon à fixer la base de transfert ci-dessus, quelle que soit la région de stockage, et rappelons qu’aucune donnée personnelle n’est déposée chez ce prestataire.

Le logo est supprimé chez Cloudinary lorsque l’école le retire ou le remplace, et lors de la suppression de l’école.

La configuration de la mesure d’audience, périmètre couvert, données transmises et durée de conservation compris, est décrite en détail en section 11.2.

Cette liste est exhaustive à la date de mise à jour du présent document.

6.3 Services tiers dont l’activation dépend de la configuration

Par souci de transparence, et parce qu’une politique de confidentialité qui anticipe vaut mieux qu’une politique qui se découvre en retard :

Ce document sera mis à jour avant la mise en service effective de l’un ou l’autre.

6.4 Autres communications

Les données peuvent en outre être communiquées :

• à des conseils professionnels tenus au secret (avocat, fiduciaire), en cas de besoin ;
• à une autorité lorsque la loi l’exige ou en réponse à une décision judiciaire ;
• à un repreneur, en cas de cession de l’activité, auquel cas les personnes concernées en seraient informées.

Les données ne sont ni vendues, ni louées, ni échangées, et ne servent ni à de la publicité ni à l’entraînement de modèles d’intelligence artificielle.

6.5 Accès technique de l’éditeur

Un accès administrateur permet à l’équipe Vivi d’intervenir dans l’espace d’une école lorsque c’est nécessaire au support ou au diagnostic d’un incident. Cet accès est restreint aux administrateurs de la plateforme, journalisé et horodaté (ouverture et fermeture de session). Il n’est utilisé qu’en cas de nécessité technique et ne donne lieu à aucune exploitation des données à d’autres fins.

9.1 Quels droits

Toute personne dispose, en droit suisse, des droits suivants :

• Droit d’accès : savoir si des données la concernant sont traitées et en obtenir copie, ainsi que les informations nécessaires pour faire valoir ses droits.
• Droit à la rectification : faire corriger des données inexactes.
• Droit à la suppression : demander l’effacement des données, sous réserve des obligations légales de conservation.
• Droit d’opposition : s’opposer à un traitement déterminé.
• Droit à la remise ou à la transmission des données (portabilité) : obtenir les données fournies, dans un format électronique courant, ou en demander la transmission à un tiers.
• Droit de ne pas faire l’objet d’une décision individuelle automatisée. Vivi ne prend aucune décision automatisée produisant des effets juridiques ni ne pratique de profilage.

Lorsque le règlement européen s’applique (section 4.3), s’y ajoutent notamment le droit à la limitation du traitement et le droit de retirer un consentement à tout moment, sans effet sur ce qui a été fait auparavant.

L’exercice de ces droits est gratuit, sauf demande manifestement infondée ou excessive.

9.2 Comment les exercer

Si vous êtes élève dans une école, ou parent d’un élève : adressez-vous directement à votre école. C’est elle qui décide du traitement et qui doit vous répondre. Vivi lui apporte l’assistance technique nécessaire.

Si vous êtes client de Vivi, ou avez rempli un formulaire sur le site : écrivez à hello@viviapp.io.

Une réponse est apportée dans les meilleurs délais et, sauf circonstance particulière, dans un délai de 30 jours. Vivi peut demander des éléments permettant de vérifier l’identité du demandeur, afin de ne pas communiquer des données à la mauvaise personne.

11.1 Ce qui n’est jamais fait

Aucune publicité, aucun pixel de réseau social, aucune régie publicitaire, aucun courtier en données. Les données ne sont ni vendues, ni louées, ni échangées, et ne servent pas à l’entraînement de modèles d’intelligence artificielle.

11.2 Mesure d’audience

Ce tableau décrit la configuration réellement déployée par le socle de mesure d’audience, et non une intention. Chacune de ses lignes se vérifie, dans le code ou dans la console du prestataire.

Ce que le masquage protège, et ce qu’il suppose. Le masquage de l’espace des écoles repose désormais sur un marquage explicite des zones sensibles, et non plus sur un masquage aveugle de tout le texte. Cette approche a un défaut connu, assumé par l’éditeur et écrit ici plutôt que passé sous silence : un écran ajouté sans marquage afficherait des données d’élèves dans un enregistrement. Deux contrôles automatisés s’y opposent, exécutés à chaque modification du code. Le premier refuse toute donnée personnelle affichée hors d’une zone marquée. Le second fait constater par l’outil lui-même que le marquage masque bien le texte qu’il couvre, descendants compris. Leur portée exacte, y compris ce qu’ils ne peuvent pas voir, est documentée dans le code de ces contrôles.

Interrupteur d’arrêt. L’outil ne se charge que si une clé de projet est présente dans l’environnement du serveur, et les clés de l’environnement de test et de la production sont distinctes. Sans clé, aucun appel ne part vers le prestataire : le code du SDK n’est même pas téléchargé par le navigateur.

Frontière posée par l’éditeur : la mesure d’audience porte sur l’usage du produit par les écoles clientes et les visiteurs du site public. Elle ne vise pas à suivre l’activité individuelle des élèves.

Le seul écran partagé, et ce qui s’y passe. L’écran de connexion est le même pour un membre d’une école et pour un élève : il n’existe pas deux portes. Ce que cela implique, dit sans détour : une page vue y est comptée sans que l’on sache qui est derrière, et elle ne porte rien d’autre que l’adresse de cette page. En revanche, aucun enregistrement de session n’y démarre tant qu’un compte d’école n’a pas été identifié : un élève qui se connecte n’est jamais enregistré, ni sur cet écran, ni ensuite sur sa fiche.

Point d’attention pour toute évolution. Étendre la mesure au parcours des élèves changerait la nature du traitement : il ne s’agirait plus d’analyser l’usage d’un service par un client, mais l’activité de personnes qui n’ont aucune relation contractuelle avec l’éditeur et dont certaines sont mineures. Une telle extension relèverait de la responsabilité de l’école, exigerait une base de licéité propre, une information des personnes et de leurs représentants légaux, et devrait être réexaminée avant toute mise en œuvre. L’absence d’intention commerciale à l’égard des élèves ne dispense d’aucune de ces obligations.

La page publique d’une école, et ce qui y est compté. Chaque école cliente dispose d’une page publique à son nom (/i/<nom-de-l-école>), qu’elle diffuse par affiche, par lien ou par code QR, et sur laquelle une personne intéressée peut s’inscrire. Cette page est restée hors de toute mesure jusqu’au 26 août 2026, pour la raison que dit l’encadré ci-dessus : elle porte un formulaire où une personne, parfois mineure, tape son prénom, son nom, son adresse e-mail et son numéro de téléphone.

Le réexamen demandé par cet encadré a eu lieu, et il a abouti à une extension délibérément étroite, destinée à répondre à une seule question, celle qu’une école se pose sur son propre matériel de promotion : combien de personnes ont vu cette page, et par quel chemin sont-elles arrivées.

Ce qui y est collecté, et cette liste est complète : l’adresse de la page, le nom public de l’école concernée, les paramètres de campagne éventuellement présents dans le lien (ce qui distingue le scan d’une affiche d’une arrivée directe), le site de provenance sous la seule forme de son nom de domaine (par exemple www.google.com), et les données techniques du navigateur listées plus haut dans ce tableau.

Et ce que la mesure générale collecte ailleurs mais PAS ici, parce que c’est le point sur lequel cette page se distingue de tout le reste du périmètre. Si vous arrivez depuis un moteur de recherche, l’outil sait normalement extraire les mots que vous avez tapés et les transmettre dans une donnée dédiée, en plus de l’adresse complète du référent qui les répète. C’est décrit plus haut pour le site public et l’espace des écoles, où les personnes mesurées sont le personnel d’une école cliente. Sur la page publique d’une école, ces mots sont supprimés avant tout envoi, et l’adresse de provenance est réduite à son nom de domaine : ni la requête, ni le chemin ne partent. Une personne qui cherche un cours pour son enfant ne transmet donc rien de ce qu’elle a écrit. C’est un filtrage technique, vérifié par un contrôle automatisé qui rejoue une arrivée depuis un moteur de recherche.

Ce qui n’y est jamais collecté, et qui fait la différence avec le reste du périmètre :

• aucun enregistrement de session, dans aucune circonstance. Un enregistrement ouvert sur une page précédente est fermé avant même que la page ne soit mesurée ;
• aucun profil de personne, aucune identification, aucun rattachement possible entre la visite et le compte créé ensuite. Les visites sont comptées, les personnes ne le sont pas ;
• rien de ce qui est tapé dans le formulaire. Aucune capture automatique du contenu, du texte cliqué ou des champs n’est active sur cette page, et cette absence est vérifiée par un contrôle automatisé qui remplit réellement le formulaire et constate que rien n’en sort ;
• rien de ce qui est tapé dans un moteur de recherche pour arriver ici, ni l’adresse complète qui le répète.

Ces quatre bornes sont des frontières techniques, vérifiées à chaque modification du code, et non des consignes. L’école cliente voit le nombre de visites de sa seule page depuis son espace d’administration ; le décompte est borné côté serveur à l’école connectée.

L’encadré ci-dessus reste valable pour tout le reste : cette extension ne mesure pas un parcours d’élève et n’en ouvre pas la porte. Elle mesure la fréquentation d’une page de promotion, et toute évolution qui irait au-delà relève du même réexamen préalable.

11.3 Cookies strictement nécessaires

Ces cookies ne permettent pas de suivre la navigation sur d’autres sites.

L’outil de mesure d’audience décrit en 11.2 ne dépose aucun cookie. Il inscrit un identifiant technique aléatoire dans le stockage local du navigateur, sur le seul domaine de Vivi. Cet identifiant ne permet pas davantage de suivre une navigation sur d’autres sites, et vider les données du site le supprime.

13.1 Contact

Pour toute question relative à la présente politique ou au traitement de vos données :

E-mail

hello@viviapp.io

Adresse postale

voir la section 1 des mentions légales.

Vivi n’a pas désigné de délégué à la protection des données (conseiller à la protection des données au sens du droit suisse). Cette désignation est facultative.

13.2 Réclamation auprès de l’autorité

Toute personne qui estime que le traitement de ses données n’est pas conforme peut adresser une dénonciation à l’autorité de surveillance suisse :

Préposé fédéral à la protection des données et à la transparence (PFPDT)

Feldeggweg 1, 3003 Berne, Suisse

www.edoeb.admin.ch

Les personnes résidant dans l’Union européenne peuvent, lorsque le règlement européen s’applique, saisir l’autorité de contrôle de leur État de résidence.

Ces voies ne remplacent pas la possibilité d’agir devant les tribunaux civils compétents.

Droit suisse

• Loi fédérale sur la protection des données (LPD), RS 235.1, en vigueur depuis le 1er septembre 2023, texte officiel sur Fedlex
• Art. 19 LPD, devoir d’informer lors de la collecte, commentaire article par article
• Art. 12 LPD, registre des activités de traitement, commentaire article par article
• Art. 17 LPD, dérogations à la communication à l’étranger, commentaire article par article
• PFPDT, communication de données à l’étranger et liste des États à protection adéquate (annexe 1 OPDo), edoeb.admin.ch
• PFPDT, guide relatif à l’annonce des violations de la sécurité des données (art. 24 LPD), document PDF
• PFPDT, rôle et coordonnées, edoeb.admin.ch
• SECO / PME, présentation de la nouvelle loi sur la protection des données, kmu.admin.ch

Droit européen

• Champ d’application territorial du RGPD (art. 3) et cas des entreprises suisses, analyse
• PFPDT, le RGPD et ses conséquences sur la Suisse, document PDF
• CEDIDAC (UNIL), le RGPD et la Suisse, bulletin n° 72

Mineurs

• Commentaire de l’art. 6 al. 6 et 7 LPD, consentement et capacité de discernement, onlinekommentar.ch
• Rosenthal / Studer / Lombard, la nouvelle loi sur la protection des données, document PDF
• Protection des données à l’école et dans les établissements de formation, sidd.swiss
• RTS, absence de loi spécifique aux mineurs en Suisse, rts.ch

Prestataires

• DigitalOcean, politique de confidentialité et cadres de transfert, digitalocean.com/legal/privacy-policy
• Databricks / Neon, politique de confidentialité (Neon, LLC couverte par la certification DPF), databricks.com/legal/privacynotice