Sécurité et traçabilité

Toutes les communes partagent la même plateforme, mais chacune ne voit que ses propres données. Ce cloisonnement se fait à l’accès aux données, pas dans les écrans : aucun écran ne peut l’oublier, et des tests dédiés le vérifient.

Les données sont hébergées en France, dans la région de Paris de Google Cloud, contractée auprès de Google Cloud France. Un accès de l’hébergeur depuis un pays tiers, pour son support, est encadré par les clauses contractuelles types de la Commission européenne.

Un profil ouvre des ressources (familles, réservations, facturation, quotients…), en lecture ou en écriture, à un niveau : la classe, l’établissement, le gestionnaire ou la commune. L’enseignant fait l’appel de sa classe, l’agent de cantine pointe ses sites, le régisseur facture, l’association ne voit que ses activités.

Les revenus des familles ont leur propre verrou : lire les factures n’ouvre pas les quotients, et un avis d’imposition ne s’ouvre qu’avec ce droit dédié, que les profils terrain n’ont jamais. Côté famille, les écrans parlent en tranche ; le quotient n’apparaît que sur la facture. Les messages sont cloisonnés eux aussi : la mairie ne lit pas ceux de l’école, administrateur compris, ni l’inverse.

Chaque agent choisit son mot de passe par un lien à usage unique. Les profils sensibles saisissent ensuite un second code : administration, réglages de la commune, revenus et justificatifs, session guichet, facturation. Les profils de terrain et la démonstration publique s’en passent.

Chaque modification est enregistrée avec son auteur, sa date et sa cause : l’annulation de quarante réservations renvoie à la fermeture exceptionnelle qui l’a déclenchée, pas à quarante gestes anonymes. Au guichet, le geste est attribué à l’agent qui agit pour la famille.

Deux consultations sont tracées aussi, parce qu’elles font sortir des données : l’ouverture d’un justificatif, et l’export d’une liste avec ses lignes, ses colonnes et ses filtres. Chaque fiche porte sa chronologie ; le journal complet est dans Administration → Activité.

Rien n’est à installer ni à mettre à jour chez vous, et la commune de 400 habitants profite de la même infrastructure que la ville de 80 000. La capacité suit l’affluence ; avant une ouverture d’inscriptions, dont l’heure est connue, nous la renforçons à l’avance.

Nous rejouons ce moment à l’échelle d’une ville : 2 500 familles en une demi-heure, dont près d’un tiers devant l’écran à l’heure dite. Chacune a eu sa réponse, en 0,1 s pour la moitié d’entre elles, sans une erreur affichée — et sans une place de trop ni une liste d’attente dans le désordre.

Les mises à jour se font sans coupure : la nouvelle version ne prend le relais qu’une fois prête. Une demande envoyée deux fois — réseau qui coupe, double clic — n’est enregistrée qu’une fois : une place ne compte jamais double. Plus de 2 000 tests automatiques couvrent le produit.

L’objectif de disponibilité est de 99,5 % en moyenne mensuelle. Les maintenances programmées sont annoncées au moins quarante-huit heures à l’avance, hors des heures d’ouverture de vos services. Les données sont sauvegardées automatiquement ; un test de restauration documenté est mené avant l’ouverture aux familles, puis chaque année.

Le support répond par mail, en jours ouvrés : sous quatre heures ouvrées pour un incident bloquant, sous un jour ouvré pour le reste. C’est la personne qui écrit le logiciel qui répond.

La commune doit rendre ses téléservices accessibles et en publier la déclaration. L’Espace Famille a été audité en août 2026, par un contrôle automatisé dans les deux thèmes et une revue au clavier. Sa déclaration, publiée dans l’espace de chaque commune, le dit partiellement conforme : 37 critères respectés, 3 non conformes, 25 encore à évaluer.

Cet audit est interne, pas une certification ; la vérification par lecteur d’écran est inscrite au schéma pluriannuel remis à la commune, et chaque évolution repasse par le contrôle automatisé. L’Espace Pro et ce site ne sont pas encore audités ; l’Espace Pro le sera avant la première mise en service, et se pilote déjà au clavier.

Le foyer déclare ses personnes autorisées — grand-parent, voisine, garde d’enfant — avec leur téléphone, pour tout le foyer ou pour un enfant, depuis l’Espace Famille ou au guichet.

Les autorisations — sorties, partir seul, prise et diffusion de l’image, soins et transport d’urgence — sont signées en ligne par les titulaires de l’autorité parentale. Pour l’image, chaque titulaire décide, et un seul refus suffit. Pour les autres, l’accord d’un titulaire suffit, mais le refus de l’autre l’emporte. Révoquer, c’est signer la décision inverse : l’historique des signatures sert de preuve.

Le guichet transcrit les formulaires papier signés, et la décision garde la trace de l’agent qui l’a saisie. Sur le terrain, la feuille d’appel affiche l’essentiel — « Part seul », sorties, contacts, personnes autorisées —, même sans réseau.

Triboux ne garde que ce qui sert le service : le certificat médical joint à une absence, à accès restreint et conservé un an ; l’attestation d’AEEH si la famille la fournit, dont seule la période de droit reste ; et, pour un enfant accueilli avec un PAI, le seul fait qu’il existe et sa date de fin. Une pastille « PAI » sur les feuilles d’appel renvoie alors l’équipe au protocole, rangé avec le traitement.

Le choix de repas — sans porc, sans viande, panier repas — n’apparaît que là où il sert : la fiche de l’enfant, la feuille d’appel de la cantine et la commande, en effectifs sans nom. Aucune liste ni aucun export ne retrouve les enfants concernés.

Ne sont jamais demandés : la fiche sanitaire, le document du PAI, le carnet de vaccination, les allergies, un jugement, un livret de famille. Le motif d’une absence est une catégorie — maladie, raison familiale, autre —, jamais un champ libre.

La commune est responsable de traitement : ce sont ses données, et les familles s’adressent à elle pour exercer leurs droits — accès, rectification, effacement, limitation, opposition. Triboux est son sous-traitant au sens de l’article 28 du RGPD : il traite les données sur instruction, et pour rien d’autre — ni revente, ni statistiques vendues ailleurs, ni entraînement d’une intelligence artificielle.

Une demande d’accès se solde par l’extraction complète du dossier, en une archive que la commune remet à la famille. Mentions légales et politique de confidentialité sont publiées dans chaque Espace Famille ; l’analyse d’impact (AIPD) précède toute ouverture publique.

Pour les messages de l’école, la commune et la direction académique sont responsables conjointes, comme pour l’espace numérique de travail ; une convention fournie avec le pack de conformité fixe leurs rôles.

Un contrat de sous-traitance est annexé à l’abonnement, et tout nouveau sous-traitant est notifié trente jours avant de prendre effet. L’homologation de sécurité du téléservice reste une décision de la commune ; Triboux en fournit le dossier technique.

Chaque catégorie de données a sa durée de conservation, tirée du tableau de gestion des archives publiques et des textes applicables : Triboux la propose, la commune la valide à la mise en service. L’unité de conservation est le dossier du foyer, qui porte une seule échéance — la plus tardive de celles qui s’appliquent —, car une facture ne peut pas survivre aux faits qui la justifient.

Deux contenus suivent leur propre durée : le fichier d’un justificatif, détruit à son échéance une fois la donnée vérifiée enregistrée, et le texte d’un message, effacé douze mois après l’envoi. Dans les deux cas, la trace reste au dossier.

Les données d’une commune sont des archives publiques : rien ne se détruit sans le visa du directeur des archives départementales (code du patrimoine, article R. 212-14). Triboux ne détruit donc jamais un dossier de lui-même ; seuls le fichier d’un justificatif et le texte d’un message suivent leur propre durée.

Quand la relation avec le foyer a cessé, le dossier prend son échéance ; passée cette date, il devient éliminable. Les dossiers échus sont rassemblés dans un bordereau sans aucun nom — objet, dates extrêmes, volumes —, que la commune fait viser avant que la destruction s’exécute. Il en reste une ligne au journal des éliminations, sans donnée personnelle : « dossier éliminé le 12 mars, bordereau n° 12, visa AD92/2036/0412 ».

Un gel de conservation — accident, contentieux, contrôle CAF ou de la chambre régionale des comptes — suspend toutes les échéances d’un dossier jusqu’à sa date de fin. C’est lui qui porte les conservations longues : le dossier du jour d’un accident se garde jusqu’aux vingt-huit ans de l’enfant, sans imposer cette durée à tous.