Ce que Plateau enregistre, et ce qu’il n’enregistre pas

Un élève, dans Plateau, est un pseudonyme que vous choisissez : eleve-01, rayon-3, ce que vous voulez. Il n’y a nulle part de nom, de prénom, d’adresse électronique, de date de naissance ni d’identifiant d’établissement. Ce n’est pas une promesse d’usage : la base n’a pas de colonne où les mettre.

Quand vous collez une liste, Plateau n’accepte d’emblée que ce qui ne peut pas être un état civil — une ligne qui porte un chiffre, ou la forme eleve-01 qu’il propose. Ce qui porte un signe franc d’identité est refusé. Tout le reste, y compris un simple patronyme ou un identifiant d’ENT comme marie.dupont, vous est présenté comme douteux et n’entre qu’après une confirmation ligne par ligne. Rien n’est nettoyé en silence.

La correspondance entre un pseudonyme et un élève réel reste chez vous, sur votre feuille ou dans votre cahier. Plateau ne la demande pas et ne peut pas la reconstituer.

Votre adresse électronique professionnelle, indispensable pour vous envoyer votre lien de connexion. Vos classes, vos élèves pseudonymes, vos instances et l’état de votre abonnement.

Aucun mot de passe : Plateau n’en demande pas, donc n’en stocke aucun. La connexion se fait par un lien à usage unique, valable quinze minutes. La base ne garde que l’empreinte de ce lien et celle de votre session, jamais leur valeur.

Un mot de passe d’application WordPress ou une clé d’API Odoo est chiffré avant d’entrer en base, en AES-256-GCM, avec une clé maîtresse qui ne se trouve pas dans la base. Il n’est déchiffré qu’au moment d’appeler votre instance, dans le processus de fond.

Il n’est jamais renvoyé à votre navigateur — l’écran ne le réaffiche pas, même à vous —, jamais écrit dans un journal, jamais transmis à un modèle de langage, et vous pouvez le révoquer d’un geste. Une base volée sans la clé maîtresse ne rend aucun de ces secrets.

Quand un élève dialogue avec un personnage du scénario, ce qu’il écrit et ce que le personnage répond sont conservés, rattachés à son pseudonyme et à sa mission. C’est nécessaire : sans la conversation, il n’y a ni continuité d’un tour à l’autre, ni possibilité pour vous de relire ce qui s’est dit, ni matière pour l’évaluation. C’est aussi ce qui vous permet de voir un message inquiétant.

Ces conversations sont visibles par vous seul, dans vos classes. Elles disparaissent avec l’élève ou la classe : supprimer une classe supprime ses élèves, leurs missions, leurs conversations, leurs audits et leurs retours, en une seule opération et sans reste.

Dites à vos élèves ce que cette page dit : ce qu’ils écrivent à un personnage est lu par leur professeur. Ce n’est pas une messagerie privée, et l’écran d’entrée le leur rappelle.

Les personnages, la rédaction d’un diagnostic d’audit et la proposition d’un retour passent par un modèle de langage fourni par Anthropic, société américaine. C’est le seul sous-traitant de Plateau qui voie le contenu d’un échange — Plateau en a un second, pour le paiement, qui n’en voit rien et qui est décrit à la section suivante.

Ce qui part vers ce modèle : le texte du scénario, la fiche du personnage, et ce que l’élève a écrit sous son pseudonyme. Ce qui n’en part jamais : aucun secret d’instance, aucune adresse électronique, et rien qui ressemble à un état civil — un contrôle automatique inspecte chaque texte avant l’envoi et bloque l’appel plutôt que de laisser passer.

Le traitement a lieu sur l’infrastructure d’Anthropic, principalement aux États-Unis. Anthropic indique ne pas utiliser les contenus reçus par son interface de programmation pour entraîner ses modèles, et applique ses propres durées de conservation. Si ce point est bloquant pour votre établissement, la couche d’intelligence artificielle peut être désactivée : Plateau installe alors les scénarios et contrôle le travail rendu, sans dialogue et sans texte rédigé.

Chaque appel laisse une trace d’exploitation — service, modèle, nombre de jetons, coût, durée — pour que vous voyiez ce que vous dépensez. Cette trace ne contient aucun contenu : ni la question, ni la réponse, ni un extrait.

Le paiement est traité par Stripe, société de droit américain, et c’est le second et dernier sous-traitant de Plateau. Il reçoit ce qu’une facture exige : votre nom, votre adresse électronique et votre adresse de facturation, que son écran de paiement vous demande et qui n’est jamais saisie dans Plateau.

Vos coordonnées bancaires — numéro de carte, coordonnées de prélèvement — sont saisies chez lui, sur ses pages, et ne transitent jamais par Plateau, qui n’en conserve rien. Ce que Plateau garde de votre abonnement tient en quelques colonnes : son état, la période payée, le montant, et les identifiants techniques qui permettent de retrouver votre dossier chez Stripe.

Ces informations sont traitées et conservées par Stripe, y compris aux États-Unis, selon ses propres conditions et ses propres durées de conservation, notamment celles que la comptabilité impose. C’est également lui qui émet, numérote et conserve vos factures : vous les téléchargez depuis votre espace de paiement, et Plateau n’en garde pas de copie.

Aucune donnée d’élève ne part chez Stripe : ni pseudonyme, ni classe, ni travail rendu, ni conversation. Il ne sait rien de vos élèves, et pas davantage qu’il en existe.

Quand un élève entre dans sa classe, Plateau note la connexion pour que vous puissiez repérer une entrée sous le pseudonyme d’un autre. L’adresse réseau est tronquée avant d’être écrite — deux octets sur quatre — de sorte qu’elle distingue une connexion faite depuis l’établissement d’une connexion faite d’ailleurs, sans identifier un abonné. L’adresse complète n’entre jamais en base et ne figure donc dans aucune sauvegarde.

Les compteurs qui limitent le nombre de tentatives ne gardent qu’une empreinte cryptographique, dont on ne remonte à rien.

Quatre cookies, tous strictement nécessaires : celui de votre session, celui de la session d’un élève, celui qui retient la classe entre le code et le choix du pseudonyme, et celui qui garde la page que vous demandiez avant de vous connecter. Aucun cookie de mesure d’audience, aucun cookie publicitaire, aucun traceur tiers. C’est la raison pour laquelle Plateau ne vous demande pas votre consentement : il n’y a rien à consentir.

Les liens de connexion et les sessions expirées sont effacés automatiquement. Les classes, les élèves pseudonymes et leurs travaux restent tant que vous les gardez : c’est vous qui décidez, et une classe supprimée l’est vraiment, sans copie conservée ailleurs.

Les traces d’appel au modèle, qui ne contiennent aucun contenu, sont conservées plus longtemps : elles servent à suivre la dépense.

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, et la fermeture de votre compte. Écrivez à l’adresse indiquée dans les mentions légales. La suppression d’un compte n’est pas encore automatisée : elle se demande, et elle est faite à la main.

Une famille qui exercerait ses droits pour son enfant s’adresse à l’établissement, pas à Plateau : Plateau ne détient aucune donnée permettant d’identifier un élève, et ne pourrait donc pas répondre à une demande nominative. La seule clé est votre liste de correspondance, qui reste chez vous.

Vous pouvez aussi saisir la Commission nationale de l’informatique et des libertés.

Les instances WordPress et Odoo sur lesquelles travaillent vos élèves appartiennent à vous ou à votre établissement, et leur hébergeur a sa propre politique. Plateau y écrit ce que le scénario prévoit, tient la liste de ce qu’il a posé, et sait le retirer. Il ne supprime jamais ce qu’un élève a modifié : dans ce cas il le laisse en place et vous le signale.

En cas de violation de données, vous êtes prévenu par courriel à l’adresse de votre compte, avec ce qui est connu au moment de l’envoi : ce qui a été atteint, ce qui ne l’a pas été, et ce que vous avez à faire. Sans attendre d’en savoir plus.