Où vont vos données ?

Cette page s'adresse aux enseignants qui veulent savoir ce que Corico fait des données avant de l'utiliser, et aux personnes qui les conseillent (délégué à la protection des données, direction, référent numérique).

Le principe : Corico n'a ni base de données, ni comptes, ni stockage de fichiers. Tout ce qui doit durer est dans votre propre espace Nextcloud de l'ENT. Le serveur de Corico ne fait que relayer les échanges entre votre navigateur et ce Nextcloud, et n'en garde rien.

À savoir avant tout : un QR code suffit pour écouter

Les liens des mémos sont sensibles et ne sont protégés ni par une connexion, ni par un code personnel. Quiconque scanne le QR code accède à l'audio.

Ce choix est volontaire : l'élève écoute sans compte ni application. Il a une conséquence directe : le QR code ne vérifie pas qui écoute. Le lien est impossible à deviner, mais il suffit de l'obtenir une fois :

• un camarade qui scanne la copie d'un autre, ou une photo de cette copie, peut écouter le mémo ;
• une photo partagée dans une conversation de classe donne l'accès à tout le groupe, jusqu'à l'expiration du lien ;
• l'accès ne laisse aucune trace visible par l'enseignant dans l'outil.

Ce qu'il faut en tirer :

• Dans le mémo : parlez du travail, sans nom d'élève et sans rien que vous ne diriez pas si un camarade l'entendait. Pas de note, de situation personnelle, de santé ou de famille.
• À la remise : rendez les copies en main propre et prévenez les élèves qu'une photo du QR code donne accès au mémo.
• Planche d'étiquettes : tant que les QR codes n'ont pas été collés, elle associe chaque nom d'élève à son lien. Gardez-la avec vous, puis détruisez-la. Il en va de même pour le PDF.
• En cas de fuite : supprimez le lien de partage dans Nextcloud. L'accès est coupé immédiatement, et le QR code imprimé ne fonctionne plus.

L'application affiche cet avertissement partout où un QR code apparaît, et sur la page qui génère le PDF, avant le téléchargement.

Ce qui va où

Le mot « serveur » ou « relais » ne vous dit rien ? Tout est expliqué dans Comment ça marche et dans le glossaire.

Qui voit quoi

Donnée	Votre appareil	Site de la page (hébergement français)	Relais (VPS OVH)	Nextcloud de l'ENT
Mot de passe d'application	Stocké	Jamais	Transite, jamais conservé	Le vérifie
Clé de chiffrement	Stockée	Jamais	Jamais	Jamais
Son des mémos	Jusqu'au dépôt, en brouillon	Jamais	Transite, jamais conservé	Stocké, non chiffré
Noms d'élèves, listes de classe	En clair	Jamais	Transitent chiffrés	Stockés chiffrés
Noms des classes et des devoirs	En clair	Jamais	Transitent, jamais conservés	Noms de dossiers, en clair
Lien entre élève et mémo	En clair	Jamais	Transite chiffré	Stocké chiffré
Votre identifiant Nextcloud	Stocké	Jamais	Transite, jamais conservé	Le connaît déjà
Adresse IP	—	Journaux de l'hébergeur	Vue le temps de la connexion ; empreinte gardée 15 minutes au plus	Celle du relais, ou de l'élève qui écoute

« Transite » veut dire que la donnée passe en mémoire vive le temps de la requête, puis disparaît. Le relais n'écrit rien sur disque. Le son est converti en MP3 sur votre appareil, avant son envoi.

Ce qui reste sur votre appareil

La caméra, seulement si vous scannez le QR code de Nextcloud sur un téléphone, et seulement pendant ce scan : l'image est lue sur le téléphone, puis oubliée. Rien n'en est envoyé ni gardé.

Sur votre appareil : cela dépend de ce que vous avez dit qu'il est (un appareil personnel ou partagé). Sur un appareil personnel, l'accès à Nextcloud, les listes, les liens entre élèves et mémos, les mémos pas encore déposés et la clé de chiffrement sont gardés dans le navigateur, comme des fichiers sur votre disque, et le mot de passe d'application y est en clair, sauf si vous avez choisi un mot de passe local : il scelle alors le tout, et n'est gardé nulle part. Sur un appareil partagé, ils restent dans la mémoire de la page et rien n'en est écrit sur l'appareil : fermer la page, ou 30 minutes sans activité, les oublie. Corico demande au navigateur de ne pas proposer de retenir le mot de passe d'application, sans pouvoir l'interdire dans tous les navigateurs. La langue et le thème choisis sont gardés aussi, et sur le site de la documentation la langue de lecture. Il n'y a pas de compte chez nous. Un bouton efface tout cela si vous le souhaitez, et révoquer le mot de passe d'application coupe l'accès de tous les appareils.

Tant que l'outil est ouvert et affiché, il récupère la sauvegarde chiffrée une fois par minute, pour vous signaler ce que vos autres appareils ont fait : chaque fois la même demande, par le relais, qui n'en garde rien.

Pour que l'outil s'ouvre sans réseau, le navigateur garde aussi une copie de ses fichiers, jamais de vos données. Cette copie se met à jour toute seule.

La clé n'existe que sur vos appareils. Pour en ajouter un, l'outil crée un lien qui contient l'accès à Nextcloud et la clé, chiffrés par un code de 8 caractères à transmettre à part ; ce lien n'est jamais envoyé à un serveur et quitte aussitôt la barre d'adresse. Avec son code, il ouvre tout, et vos appareils partagent le même mot de passe d'application : en révoquer un coupe tous les appareils. Après la perte d'un appareil, la clé peut être changée. Si la clé est effacée partout, la sauvegarde ne peut plus être lue et il faut repartir de zéro. Les mémos restent dans Nextcloud et les QR codes imprimés continuent de fonctionner.

Ce que le relais fait, et rien d'autre

Le relais existe pour une seule raison technique : le Nextcloud de l'ENT n'autorise pas une page web d'un autre site à lui parler directement (CORS).

• Il ne stocke rien sur disque. Pas de base de données, pas de fichier, pas de cache. Le service tourne sans aucun dossier où écrire, et le système l'en empêche.
• Il ne journalise pas les requêtes. Il n'écrit qu'une ligne à son démarrage. Ni identifiant, ni nom de fichier, ni adresse IP dans ses journaux.
• Il garde, 10 minutes au plus, la moitié du secret d'un lien d'association. Quand vous associez un appareil, le relais tire un nombre au hasard, le garde en mémoire, le donne une seule fois à l'appareil qui ouvre le lien, puis l'oublie : après cela, ou après 10 minutes, le lien et son code n'ouvrent plus rien. Ce nombre ne contient rien de vous, ni compte ni donnée ; l'adresse qui l'a demandé n'est gardée que sous forme d'empreinte, pour limiter les abus, et part avec lui.
• Il freine les abus, avec une exception à connaître. Pour limiter les requêtes et les mots de passe refusés, il garde en mémoire vive, pendant 15 minutes au plus, une empreinte de votre adresse IP : une valeur non réversible, calculée avec un secret tiré à chaque démarrage. Elle n'est jamais écrite sur disque ni associée à un nom.
• Il n'a pas de comptes. Votre identifiant et votre mot de passe accompagnent chaque requête et ne sont jamais gardés entre deux requêtes.
• Il ne parle qu'à un seul serveur. La destination est fixée dans sa configuration, le système bloque toute autre adresse, et seules les opérations utiles passent : déposer et lire des fichiers du seul dossier Corico, créer un lien en lecture seule sur l'un d'eux, vérifier le compte. Il peut aussi supprimer un mémo quand vous le demandez, et rien d'autre qu'un mémo : seulement les fichiers portant les noms que l'outil donne à ses sons, jamais votre sauvegarde. Il ne peut rien voir d'autre dans votre Nextcloud, ni rien y supprimer d'autre. Tout le reste est refusé.
• Il ne suit pas les redirections, pour que votre mot de passe ne parte jamais vers un autre serveur.
• Il n'ajoute ni statistiques, ni traceurs, ni publicité. La page non plus : elle ne charge rien depuis un site tiers.

Ce à quoi vous devez faire confiance

Dire « rien n'est stocké » ne veut pas dire « aucun risque ». Voici les limites, sans détour.

• Le relais voit passer votre mot de passe d'application et le son des mémos. Il ne les garde pas, mais celui qui administre le serveur pourrait modifier le code pour le faire. Il faut donc faire confiance à son administrateur : aujourd'hui, Romain Casati.
• L'hébergeur de la page sert le code qui s'exécute dans votre navigateur. Un code modifié pourrait lire la clé de chiffrement. La politique de sécurité de la page limite ses connexions au relais, mais cette politique est servie par le même hébergeur : elle ne protège pas contre lui.
• Les sons ne sont pas chiffrés sur Nextcloud, car les élèves doivent pouvoir les écouter. Les fichiers portent un nom aléatoire, mais une voix peut citer un prénom : ne dites pas le nom de l'élève dans le mémo.
• Les noms de vos classes et de vos devoirs sont en clair sur Nextcloud, comme noms des dossiers où les mémos sont rangés, Corico/2nde 3/DS 1/. Aucun nom d'élève n'y figure. Un élève qui ouvre son lien ne voit que le fichier, jamais son dossier.
• Un QR code peut exister avant son mémo. Si vous imprimez avant de corriger, un fichier et son lien public sont créés dans votre dossier pour chaque élève, avec seulement deux notes de musique dedans. Son nom est aléatoire, et rien n'y dit pour qui il est : le lien entre eux reste dans votre sauvegarde chiffrée. Le mémo remplace ensuite ce fichier à la même adresse.
• Un seul QR code pour l'année, si vous le choisissez. Le lien appartient alors à l'élève, pas à un mémo : celui qui l'a entend tout ce que vous publiez pour lui, jusqu'à ce que vous en créiez un nouveau, ce qui coupe aussitôt l'ancien. Les mémos non publiés sont des fichiers privés, sans lien.
• Un mémo refait garde son lien. Le nouveau son remplace l'ancien à la même adresse, et le QR code imprimé continue de fonctionner. Nextcloud garde normalement l'ancien son dans l'onglet « Versions » du fichier, visible par vous seul : supprimez-le là s'il doit vraiment disparaître.
• Le lien du QR code est public. Toute personne qui obtient le QR code ou le lien peut écouter le mémo, sans compte, jusqu'à son expiration. Le lien est impossible à deviner, mais une photo de la copie suffit à le transmettre.
• Les journaux des hébergeurs existent. L'hébergement de la page et l'ENT tiennent leurs propres journaux (adresses IP, pages demandées, horaires). La partie secrète du lien d'association n'y figure pas, car elle n'est jamais envoyée au serveur.
• Un appareil associé donne accès à tout. Il garde le mot de passe d'application et la clé. Protégez-le, et révoquez le mot de passe dans Nextcloud en cas de perte.

Combien de temps les données restent

Donnée	Durée
Lien de partage d'un mémo	Expire le 30 juin de l'année scolaire
Fichier son sur Nextcloud	Jusqu'à ce que vous le supprimiez : l'expiration ne l'efface pas
Listes chiffrées	Jusqu'à ce que vous les supprimiez
Sur le relais	Le temps de la requête ; 15 minutes au plus pour l'empreinte de l'adresse IP
Sur votre appareil	Jusqu'à ce que vous l'effaciez, avec le bouton prévu

L'expiration coupe l'accès des élèves, mais ne supprime pas le fichier. Le ménage de fin d'année se fait depuis l'outil : supprimer un devoir supprime ses mémos et leurs liens. Nextcloud les garde ensuite un temps dans sa corbeille, visible de vous seul.

Ce que l'élève partage en écoutant

L'élève scanne le QR code et arrive directement sur le Nextcloud de l'ENT. Il ne passe ni par le relais ni par le site de Corico, et n'a besoin ni de compte ni d'application. Seul l'ENT voit cette connexion.

Comment vérifier par vous-même

1. Regardez le trafic. Ouvrez les outils de développement du navigateur, onglet Réseau, et utilisez l'outil : les seules connexions doivent aller vers le site de la page et api.corico.infobrisson.fr.
2. Regardez votre Nextcloud. Tout ce que l'outil crée se trouve dans le dossier Corico. Vous pouvez le lire, le supprimer et révoquer les liens depuis l'interface habituelle.
3. Coupez l'accès à tout moment. Supprimer le mot de passe d'application dans Nextcloud retire immédiatement à l'outil tout accès à votre espace.
4. Lisez le code du relais : server/app.ts et server/main.ts, quelques dizaines de lignes, sont écrits pour être relus.

Cadre réglementaire

Cette page décrit le fonctionnement technique et n'est pas un avis juridique. Un mémo sur le travail d'un élève, souvent mineur, est une donnée personnelle. Avant un usage en classe, parlez-en au délégué à la protection des données de votre établissement ou de votre académie, et à votre direction. Cette page peut leur être transmise telle quelle.