Sécurité | Aiyori

Ce qu’Aiyori reçoit en garde, c’est l’historique du travail d’enfants.

Nous décrivons ici comment nous le protégeons : les principes et les mécanismes essentiels. Les réglages qui pourraient faciliter un usage malveillant sont volontairement omis. Nous n’écrivons pas que nous faisons ce que nous ne faisons pas.

Principes de base

Recueillir peu d’informations. L’élève utilise Aiyori sans adresse e-mail. Pour la date de naissance, nous ne conservons que « l’année et le mois ».
Limiter qui peut voir. Seuls l’élève, ses parents et les enseignants de sa classe voient les informations d’un élève.
Ne pas conserver indéfiniment. Les fichiers tels que les photos, les vidéos et les enregistrements de voix sont supprimés automatiquement au bout de 365 jours.
Ni publicité ni suivi. Aucun composant d’analyse ou de publicité n’est intégré, ni dans l’application ni sur le Web.

Connexion

Enseignants et parents: Connexion au moyen d’un code à 6 chiffres reçu par e-mail. Comme il n’y a pas de mot de passe, un compte ne peut pas être détourné à cause d’un mot de passe réutilisé ou divulgué.
Le code expire rapidement, et l’émission d’un nouveau code annule l’ancien.
Élèves: Connexion avec trois éléments : le code de la classe, l’identifiant et le code PIN. Le code PIN n’est enregistré que sous une forme irréversible. Ni Aiyori ni l’enseignant ne peuvent le lire.
Protection contre les essais en série: Après plusieurs erreurs de suite, la connexion est bloquée pendant un certain temps. Le nombre de codes émis est lui aussi limité.
Que l’erreur porte sur la classe, l’identifiant ou le code PIN, la réponse est la même : elle ne donne aucun indice.
Ne pas révéler si un compte existe: L’affichage ne change pas selon que l’adresse e-mail est enregistrée ou non.
Enregistrement des codes: Pour les codes de vérification et les codes d’invitation, seule une valeur transformée de façon irréversible est enregistrée. La base de données ne permet pas de retrouver le code d’origine.

Après la connexion

Durée de la connexion: La connexion est revérifiée à intervalles courts. Si elle reste longtemps inutilisée, elle prend fin automatiquement.
En cas d’usage frauduleux: Si des informations de connexion semblent avoir été utilisées de façon frauduleuse, toutes les connexions de cet appareil sont invalidées.
Verrouillage de l’écran: Les écrans de l’enseignant et des parents peuvent être protégés par Face ID, Touch ID ou le code de l’appareil (activé par défaut).
Empêcher les envois usurpés: Pour toute opération d’écriture, nous vérifions que l’envoi provient bien d’une page d’Aiyori (protection CSRF).

Séparation entre les classes

De nombreuses classes utilisent le même système. Que leurs données ne se mélangent pas est donc ce à quoi nous accordons le plus d’importance.

Mécanisme: La séparation par classe est intégrée au socle du logiciel. Les données d’une autre classe restent hors d’atteinte, sans dépendre de la façon dont chaque écran ou chaque fonction est écrit.
Ce que voit une autre classe: Si l’on désigne un élève ou un devoir d’une autre classe, la réponse est la même que pour un élément « inexistant ». On ne peut même pas savoir s’il existe.
Vérification: À chaque modification du programme, des tests automatiques vérifient que rien n’est visible d’une classe à l’autre.

Qui peut voir quoi

Rôle	Ce qu’il peut voir	Ce qu’il ne peut pas faire
Élève	Les devoirs qui lui sont distribués, ses travaux rendus et ses notes, ses messages avec l’enseignant	Voir les informations des autres élèves (sauf les surnoms et temps aux cartes de mots, si l’enseignant choisit de les afficher). Il n’y a aucun écran relatif à l’argent.
Parent	Les devoirs, les travaux rendus, les notes, le suivi du travail et les messages avec l’enseignant de l’enfant auquel il est relié par un code d’invitation	Écrire dans les messages. Voir les informations des autres enfants.
Enseignant de la classe	Les devoirs, les travaux rendus, les messages et les frais de cours des élèves de sa classe	Voir les informations des autres classes.
Enseignant ajouté	Comme l’enseignant de la classe	Réglages de la classe, fermeture de la classe, invitation d’enseignants, paiement.

Chiffrement

Communications: Entre l’appareil et Aiyori, tout est chiffré en HTTPS (TLS). Les communications avec la base de données et avec l’espace de stockage des fichiers sont chiffrées elles aussi, et les connexions non chiffrées sont refusées.
Stockage: La base de données et l’espace de stockage des fichiers sont chiffrés dans leur ensemble, selon une méthode robuste et largement utilisée.
Noms et adresses e-mail: En plus du chiffrement de l’ensemble du stockage, les noms, les adresses e-mail et les données de même nature sont chiffrés un à un dans l’application avant d’être enregistrés. La base de données seule ne permet pas de les lire.

Fichiers et vidéos

Envoi et réception: Les photos, les PDF, les enregistrements de voix et les vidéos transitent par un accès à durée limitée, réservé à la personne concernée. Cet accès expire rapidement.
Vérification à chaque ouverture: À chaque ouverture d’un fichier, nous vérifions que la personne a le droit de le voir à ce moment-là.
Espace de stockage: Il est configuré pour ne pas être accessible directement de l’extérieur. Il n’existe aucune URL publique.
Ce qui est accepté: Seuls les fichiers aux formats et aux tailles prévus sont acceptés. Ils sont vérifiés de nouveau sur le serveur après réception.
Vidéos des cours: À chaque lecture, nous vérifions que cette personne a le droit de voir cette vidéo. Sans cette autorisation, la vidéo elle-même ne peut pas être récupérée.
Les vidéos de cours restent dans Aiyori: Les vidéos envoyées par les enseignants sont diffusées sans aucun site de vidéos externe. Aucune publicité, aucune vidéo suggérée. Le lecteur YouTube n’est intégré, avec le réglage sans cookies, que lorsqu’un enseignant distribue une vidéo YouTube.

Durée de conservation et effacement

Suppression après 365 jours: Les fichiers tels que les photos, les vidéos, les enregistrements de voix et les PDF sont supprimés automatiquement 365 jours après leur envoi. Passé ce délai, ils ne peuvent plus être ouverts, même avant le traitement de suppression.
Ce qui reste: Les notes, les commentaires, les réponses aux questions, les messages écrits. Les vidéos de cours que l’enseignant a marquées « Garder comme support de cours ».
Désinscription: Après 30 jours, les travaux rendus, les messages, le suivi du travail et le nom sont effacés.
Fermeture de la classe: Tous les élèves sont désinscrits et, après 30 jours, la classe entière est effacée.
Supprimer soi-même: Les enseignants et les parents peuvent supprimer leur propre compte, après vérification par un code reçu par e-mail.

Ce qui protège les enfants

Accord parental: Avant 16 ans, l’élève ne peut ni rendre de photos, de vidéos ou d’enregistrements de sa voix, ni échanger de messages individuels avec l’enseignant, tant qu’un parent n’a pas donné son accord. L’accord est enregistré et peut être retiré par la suite, sur le Web.
Des messages visibles par les parents: Les parents peuvent lire tous les messages entre l’enfant et l’enseignant. Ils peuvent aussi les suspendre.
Pas de lien entre élèves: Aucune fonction ne permet à un élève d’en contacter un autre.
Sortie vers un autre site: Avant d’ouvrir un lien vers un autre site, nous affichons la destination pour vérification. Aux moins de 13 ans, nous disons : « avec un adulte de la maison ».
Liens des cours en direct: Seuls les liens Zoom, Google Meet, Microsoft Teams et Whereby sont acceptés.
Signaler: Ce qui inquiète ou a déplu peut être signalé à Aiyori depuis l’écran. L’enseignant n’est pas informé de ce signalement.
Pas de question d’argent: Ni facture ni paiement ne s’affichent sur l’écran de l’élève.
Texte des notifications: Pour que l’on sache de quel enfant et de quoi il s’agit, les notifications indiquent le nom affiché de l’enfant et le titre du devoir. Elles ne contiennent ni le texte des messages, ni les notes, ni les commentaires de l’enseignant, ni le montant des frais de cours. Parents et enseignants peuvent masquer le nom et le titre dans les réglages. Les rappels de paiement ne mentionnent aucun nom.

Publicité et suivi

Nous n’affichons pas de publicité. Nous ne vendons pas de données. (YouTube peut ajouter des publicités aux vidéos YouTube distribuées par un enseignant.)
Aucun composant externe d’analyse de l’utilisation ou de publicité (SDK, balises) n’est intégré, ni sur le Web ni dans l’application iPhone et iPad. Cette application repose uniquement sur les fonctions standard d’Apple.
Les seules informations transmises à des sociétés externes sont l’adresse e-mail, pour l’envoi des e-mails (Amazon Web Services), et le texte des mots, pour produire la lecture vocale des cartes de mots (Google). Le texte des mots ne contient aucune information sur les élèves. Quand un enseignant importe des formulaires Google, son navigateur les lit directement chez Google ; ni les informations du compte Google ni les réponses aux formulaires ne parviennent à Aiyori.

Journalisation et surveillance

Journal des opérations: Pour la correction, le renvoi des copies, l’inscription, la suspension et la désinscription des élèves, la réinitialisation du code PIN, l’accord parental, l’enregistrement des paiements, etc., nous enregistrons « qui a fait quoi, et quand ». Ce journal ne reçoit que des ajouts ; il n’est jamais modifié.
Opérations d’Aiyori: Les opérations qu’Aiyori effectue sur une classe ou sur des données sont consignées dans le même journal, avec leur motif.
Journaux techniques: Les journaux de fonctionnement ne contiennent ni texte des contenus, ni adresse e-mail, ni code.
Surveillance: L’état du système est surveillé en permanence. En cas d’anomalie, Aiyori est alerté.
Sauvegardes: La base de données est sauvegardée automatiquement chaque jour, et les sauvegardes sont conservées pendant une durée déterminée. Elle est configurée de façon à ne pas pouvoir être supprimée par erreur.

Où fonctionne Aiyori

Emplacement des données: Japon (Amazon Web Services, région de Tokyo).
Base de données: Elle est placée dans un espace sans accès direct depuis Internet. Seuls les programmes d’Aiyori peuvent s’y connecter.
Programmes: Ils fonctionnent avec les seuls droits nécessaires, jamais avec des droits d’administrateur.
Mises à jour: Si une nouvelle version pose un problème, le retour à la version précédente est automatique.
Contrôles à chaque modification: À chaque modification du programme, nous exécutons la vérification des types et les tests automatiques (séparation des classes, accord parental et effacement compris).

Informations de paiement

Aiyori n’enregistre aucun numéro de carte. Il n’existe d’ailleurs aucun endroit où l’enregistrer.
Pour le paiement par carte, les données de carte sont conservées directement par le prestataire de paiement (Stripe), et les frais vont directement sur le compte de l’enseignant. Nous ne conservons jamais les frais.

En cas d’incident

Nous avons fixé à l’avance la marche à suivre en cas de fuite d’informations, ou de risque de fuite.
Nous en arrêtons la cause et nous prévenons, dans les 24 heures, les enseignants des classes concernées.
Conformément à la loi, nous faisons le signalement à la Commission japonaise de protection des informations personnelles et nous informons les personnes concernées et leurs parents.