Sécurité et traçabilité

L’infrastructure est mutualisée — c’est elle qui tient les pics d’ouverture des inscriptions d’été — mais l’isolation entre communes est imposée à la racine du système, au niveau de l’accès aux données lui-même : ce n’est pas un filtre d’affichage qu’un écran pourrait oublier.

Le sens du défaut est ce qui compte. Toute lecture de données porte la commune de la session, ajoutée par la couche d’accès et non par l’écran qui la demande ; en l’absence de commune, la condition ne rapporte rien du tout. Un écran nouveau, une requête oubliée, une erreur de code ne peuvent donc pas laisser filtrer les données d’une autre commune — au pire ils ne montrent rien. Le même verrou s’applique à l’écriture : la commune est posée à la création et ne se change jamais après.

Hébergement en France, sur la région parisienne de Google Cloud (europe-west9). Pas de transfert hors Union européenne.

Le service est accessible en continu, avec un objectif de disponibilité de 99,5 % en moyenne mensuelle. Les maintenances programmées sont annoncées au moins quarante-huit heures à l’avance et planifiées hors des heures d’ouverture de vos services — jamais un mardi à 11 h, quand les effectifs de cantine se comptent.

La base de données est sauvegardée automatiquement. Avant l’ouverture aux familles, nous réalisons un test de restauration documenté, puis le renouvelons chaque année.

Le support passe par mail, en jours ouvrés : un incident bloquant — service inaccessible, sujet de sécurité — est pris en compte sous quatre heures ouvrées, les autres demandes sous un jour ouvré. En face, il n’y a pas de premier niveau qui transmet : c’est la personne qui écrit le logiciel qui répond.

Chaque autorisation croise une ressource (familles, réservations, facturation, quotients…), un verbe (lire, écrire) et un niveau : la classe, l’établissement, le gestionnaire ou la commune. L’enseignant lit sa classe et fait l’appel ; l’agent de cantine pointe ses sites ; le régisseur travaille la facturation ; le gestionnaire associatif ne voit que ses activités.

Les données de ressources ont un verrou de plus : lire les factures n’ouvre pas les quotients — les deux droits sont séparés. Un avis d’imposition et le résumé extrait lors de sa vérification exigent le droit de lire les ressources ; ce résumé reste également masqué dans les listes et les exports sans cette habilitation. Les profils terrain n’y accèdent jamais, et côté famille seule la tranche circule, jamais le quotient brut.

Les profils fournis rendent cette séparation concrète. Une direction générale peut consulter les menus de la semaine et changer de date, sans voir de commande de publication. L’agent de restauration habilité retrouve, sur le même écran, le collage et l’enregistrement. Les autorisations complémentaires restent des choix explicites de l’administrateur.

Le foyer déclare ses personnes autorisées — grand-parent, voisine, garde d’enfant — avec leur qualité et un téléphone : l’information qui compte au portail, celle qu’on compose en cas de doute. Valables pour tout le foyer ou ciblées sur un enfant, elles se gèrent depuis l’Espace Famille comme depuis le guichet.

Les autorisations elles-mêmes — partir seul, prise de vue, diffusion de l’image : deux consentements distincts — sont des décisions signées dans l’app par les titulaires de l’autorité parentale. Pour le droit à l’image, le produit demande la décision de chaque titulaire : un refus fait foi, une signature manquante laisse « en attente ». Pour partir seul, la dernière décision enregistrée l’emporte. Et révoquer, c’est signer une décision inverse : la chaîne des signatures reste entière, c’est elle qui fait preuve.

Les familles restées au papier ne sont pas laissées de côté : le guichet transcrit le formulaire signé, et la décision garde la trace de l’agent qui l’a enregistrée. Sur le terrain, la feuille d’appel restitue l’essentiel — badge « Part seul », personnes autorisées, téléphones et notes — y compris sans réseau lorsqu’elle a été chargée sur l’appareil. Une note est une précision à relire, pas une règle automatique de jour ou d’horaire.

La meilleure donnée sensible est celle qu’on ne collecte pas. Une seule pièce de santé existe dans le produit : le certificat médical joint à une absence déclarée — accès restreint, conservation d’un an, destruction tracée. Rien d’autre.

Ne sont donc ni demandés ni stockés : la fiche sanitaire de liaison, le PAI d’un enfant à besoins particuliers, le carnet de vaccination, un jugement, un livret de famille. Ces pièces restent en dehors de l’outil — la fiche sanitaire n’a pas vocation à être informatisée, et le PAI reste chez la personne qui dirige l’accueil.

Le motif d’une absence est une catégorie générique — maladie, raison familiale, autre — jamais un champ libre où se glisserait un diagnostic. Le même principe court partout : les allergies et les régimes particuliers ne passent pas par les menus, et le calendrier auquel un parent s’abonne mentionne une absence sans jamais son motif.

Toute écriture émet un événement d’audit, et les faits métier sont nommés : réservation confirmée, campagne ouverte, facture émise, fermeture appliquée. Les cascades restent reliées à leur cause — l’annulation de quarante réservations pointe vers la fermeture exceptionnelle qui l’a déclenchée, pas vers quarante gestes anonymes.

Deux consultations laissent elles aussi leur trace, parce qu’elles font sortir de la donnée : l’ouverture d’un justificatif — qui a regardé quel avis d’imposition, et quand — et l’export d’une liste en tableur, avec le nombre de lignes sorties, les colonnes retenues et les filtres appliqués. Un outil qui trace l’ouverture d’une pièce mais pas la sortie du fichier entier ne répond pas à la question que pose un délégué à la protection des données.

Chaque fiche porte sa chronologie ; le journal global se consulte dans Administration. Et en session guichet, les gestes sont attribués à l’agent agissant au nom de la famille. Quand un parent conteste une annulation, la réponse est dans le système — qui, quand, au nom de qui — pas dans un mail perdu.

Une commune est tenue de rendre ses téléservices accessibles, d’en publier la déclaration et de tenir un schéma pluriannuel. L’audit de l’Espace Famille a été mené en août 2026 — vérification automatisée de l’échantillon de pages, dans les deux thèmes, doublée d’une revue experte au clavier — et la déclaration est publiée dans l’espace de chaque commune, accessible sans compte : état partiellement conforme, 92 % des critères évalués respectés, non-conformités restantes écrites telles quelles. Le schéma pluriannuel est remis à la commune avec le pack de conformité, et chaque évolution de l’interface repasse par le contrôle automatisé avant de partir.

La franchise reste de mise : cet audit est interne et outillé, pas une certification — la restitution complète par lecteur d’écran fera l’objet d’une campagne dédiée, inscrite au schéma pluriannuel. L’Espace Pro, lui, n’est pas encore audité : extranet d’agents, il entre dans la même obligation communale et passera la même recette avant la première mise en service réelle. Ce qui compte déjà au quotidien : l’Espace Pro se pilote au clavier, palette de commandes comprise ; les menus et les tarifs sont consultables sans compte ; et l’Espace Famille est conçu d’abord pour le téléphone, qui est l’écran réel de la plupart des parents.

L’accessibilité ne se résume d’ailleurs pas à l’écran. Une commune dont le portail est le seul canal exclut de fait une partie de ses administrés : c’est pour cela que le guichet reste un canal complet, pas une roue de secours — la session guichet, où l’agent fait avec la famille dans ses propres écrans, est décrite sur la page La vie de l’agent.

Le produit gère des données de mineurs ; il est conçu en minimisation. Les données de santé sont strictement bornées : le motif d’absence est une catégorie générique, le certificat médical un document à accès contrôlé et à conservation courte — jamais un champ libre qui se remplit de diagnostics. Les justificatifs suivent une politique de rétention par type de pièce, et leur purge est une opération tracée : le fichier est détruit, la preuve de la destruction reste.

Mentions légales et politique de confidentialité sont publiées dans chaque Espace Famille ; l’analyse d’impact (AIPD) est prévue avant toute ouverture publique. Et la réversibilité est contractuelle : vos données partent avec vous, en export complet — pas de captif.

Chaque catégorie de données a sa durée. Celles ci-dessous viennent du tableau de gestion des archives publiques et des textes applicables ; elles sont proposées par Triboux et validées par la commune à la mise en service — ce sont ses archives, donc sa décision. À l’échéance, la donnée est éliminée avec une trace, ou versée à la commune quand le tableau de gestion prévoit une conservation d’archives : jamais effacée en silence.

L’unité de conservation est le dossier d’un foyer, pas la ligne ni l’exercice : une facture émise ne peut pas survivre à la destruction des faits qui la justifient. Un dossier porte donc une seule échéance — la plus tardive de celles qui lui sont applicables — et rien ne s’élimine par tranches à l’intérieur d’un dossier vivant. Les durées intermédiaires (les quatre ans du recouvrement, les six ans du contrôle CAF) fondent des étapes juridiques réelles, mais elles ne commandent aucune destruction.

Les données d’une commune sont des archives publiques. Leur destruction n’est à la discrétion de personne — ni de la mairie, ni a fortiori de son éditeur : aucune élimination, papier ou électronique, n’est permise sans le visa préalable du directeur des archives départementales (code du patrimoine, article R212-14). C’est ce que passe sous silence tout logiciel qui purge seul à l’échéance.

Le produit suit donc trois temps. Quand la relation avec le foyer a cessé — plus d’inscription vivante, aucun enfant scolarisé, compte soldé —, le dossier prend son échéance. Passée cette date, il devient éliminable ; il n’est pas détruit pour autant. Les dossiers échus sont rassemblés dans un bordereau agrégé : objet, dates extrêmes, volumes — jamais un nom de famille. La commune le fait viser, saisit la référence du visa, et la destruction s’exécute.

Il en reste une ligne au journal des éliminations, exportable, qui survit au dossier sans conserver aucune donnée personnelle : « ce dossier a été éliminé le 12 mars, bordereau n° 12, visa AD92/2036/0412 ». Un bordereau peut attendre son visa aussi longtemps qu’il le faut — « échu, non éliminé » est un état normal, pas un retard à rattraper.

Un gel de conservation prend le pas sur tout le reste : accident, contentieux, contrôle CAF ou de la chambre régionale des comptes. Motivé, borné par une date de fin, il suspend toutes les échéances du dossier — purge des fichiers comprise — et l’exclut de tout bordereau. C’est lui qui porte les conservations longues attachées à un fait précis : le dossier du jour d’un accident se garde jusqu’aux vingt-huit ans de l’enfant, sans qu’il faille garder tous les dossiers vingt-huit ans pour les quelques-uns qui le méritent.

La commune est responsable de traitement : ce sont ses données, ses finalités, et c’est à elle que les familles s’adressent. Triboux est sous-traitant au sens de l’article 28 du RGPD — il traite pour le compte de la commune, sur instruction, et ne fait rien d’autre avec les données : ni revente, ni statistiques revendues ailleurs, ni entraînement d’un modèle d’intelligence artificielle.

Un contrat de sous-traitance est annexé à l’abonnement : finalités, catégories de données, durées, mesures de sécurité, sous-traitants ultérieurs, sort des données à la fin. La liste des sous-traitants tient en deux lignes, et tout ajout est notifié trente jours avant de prendre effet.

Une décision ne se sous-traite pas : l’homologation de sécurité du téléservice appartient à la commune, qui l’adopte au vu des risques ; Triboux en fournit le dossier technique support. Elle figure au contrat, avec le reste de ce qui reste à sa charge.

Les droits des familles — accès, rectification, effacement, limitation, opposition — s’exercent auprès de la commune, qui reste leur interlocuteur ; Triboux fournit les moyens techniques de les honorer. Un droit d’accès se solde par l’extraction complète du dossier — foyer, enfants, réservations, présences, factures, justificatifs — en une archive que la commune remet à la famille, sous le même double verrou que l’ouverture d’une pièce fiscale. La portabilité, elle, ne figure pas dans cette liste : l’article 20 ne s’applique pas à un traitement fondé sur une mission d’intérêt public. La réversibilité de la commune, elle, est bien garantie — c’est un autre sujet, contractuel.