Labo Codex : où vivent vos données ?

Cette page explique ce que devient l'information que vous saisissez dans Labo Codex. La première partie s'adresse à vous, qui utilisez l'application. La dernière s'adresse à une direction ou à un service informatique qui doit évaluer l'outil. La politique complète, technique et détaillée, est fournie sur demande à labo@codexnumeris.org.

Où vivent les données de vos élèves

En une phrase : elles restent sur votre appareil. Labo Codex ne les envoie nulle part, et personne – moi compris – ne peut les consulter.

Ce que ça veut dire concrètement

Quand vous saisissez un nom, une note, une observation ou la photo d'un travail, tout cela s'écrit dans la mémoire de votre navigateur, sur votre ordinateur ou votre tablette. Aucune copie ne part vers un serveur. Une fois la page chargée, vous pouvez couper le réseau : l'application continue de fonctionner.

Il n'y a ni traceur, ni statistique d'usage, ni service externe appelé pendant que vous travaillez.

Ce que je vois, moi

Rien. Je n'ai aucun moyen de savoir quels élèves vous suivez, quelles notes vous attribuez, ni ce que vous faites dans l'application. Ce n'est pas une promesse de bonne conduite : il n'existe aucun canal par lequel cette information pourrait me parvenir.

Ce qui est enregistré quand vous entrez sur le site

Une chose, et une seule : votre adresse courriel, avec la date de votre dernière visite.

À l'entrée, vous saisissez votre adresse et vous recevez un code par courriel. La porte est ouverte à tout le monde – il n'y a ni liste d'invités, ni sélection, ni refus. Elle ne sert pas à filtrer qui entre, mais à savoir qui utilise l'outil : comme l'application est hors ligne, c'est le seul moyen que j'aie de pouvoir vous joindre pour signaler une mise à jour ou vous inviter à la communauté de pratique.

Votre adresse n'est jamais reliée à vos données pédagogiques. Elle n'est ni publiée, ni transmise à qui que ce soit. Pour la faire retirer, écrivez à labo@codexnumeris.org : c'est sans condition, et vous pouvez continuer d'utiliser l'application ensuite.

Quand vous projetez en classe

Un mode d'affichage anonyme remplace les noms par des identifiants à l'écran, le temps de la projection. Il est réversible et ne change rien aux données elles-mêmes.

Ce que vous pouvez demander

Écrire à labo@codexnumeris.org pour savoir ce que je détiens sur vous, le faire corriger ou le faire effacer. Pour les données de vos élèves, c'est différent : elles sont sous votre garde, dans le cadre des règles de votre établissement. Je n'y ai pas accès, et je ne peux ni les fournir ni les supprimer à votre place.

Et vous, êtes-vous soumis à une loi ?

Votre situation ne change pas parce que vous utilisez Labo Codex. Un enseignant de cégep qui tient les notes de ses élèves le fait dans le cadre d'un organisme public – les collèges d'enseignement général et professionnel sont nommés à l'article 6 de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels – et c'est l'établissement qui répond de ces renseignements.

Autrement dit : saisir vos notes dans Labo Codex ou dans un chiffrier sur le même ordinateur, c'est la même situation. L'outil déplace l'endroit où vivent les données ; il ne crée aucune obligation nouvelle.

Une réserve, par honnêteté : que la responsabilité incombe à l'établissement et non à vous à titre personnel est une lecture des textes, et non un avis validé. Ce qui est établi, c'est que les cégeps sont des organismes publics au sens des articles 3 et 6 de cette loi. En cas de doute sur votre propre situation, c'est le responsable de la protection des renseignements personnels de votre cégep qui tranche.

Il n'en retire aucune non plus. Si votre cégep encadre les appareils autorisés, les durées de conservation ou la déclaration d'un incident, ces règles s'appliquent ici comme ailleurs – et le fait que les données restent sur votre appareil les rend plus visiblement de votre ressort.

Ce que ça vous demande

Le revers de « rien ne sort » : votre appareil devient votre coffre. Voici ce que ça change pour vous.

D'abord : vous ne travaillez pas dans un fichier

C'est le point qui surprend le plus, et il vaut la peine d'être compris avant tout le reste.

Avec un document Word, le fichier est le document. Vous l'ouvrez depuis votre clé USB, vous écrivez dedans, vous enregistrez : la clé contient la version à jour.

Labo Codex ne fonctionne pas ainsi. Votre travail vit dans le navigateur, pas dans un fichier. Vous ouvrez l'application, vous saisissez, tout s'enregistre au fur et à mesure – mais ça s'enregistre dans la mémoire du navigateur, sur cet appareil-là.

Le fichier codex, celui que vous mettez sur une clé, est une copie prise à un moment donné. Une façon de se le représenter : le navigateur est votre établi, la clé USB est votre mallette. Vous ne travaillez pas dans la mallette. Vous en sortez votre travail en arrivant, vous l'y remettez en partant.

Trois conséquences.

La clé ne suit pas votre séance toute seule. Selon votre navigateur, deux situations :

• Sur Chrome ou Edge, si vous avez ouvert votre codex avec le sélecteur de fichier de l'application, celle-ci garde une poignée sur le fichier et le réécrit automatiquement toutes les cinq minutes, sans rien vous demander. La mallette se tient à jour.
• Sur Safari, et donc sur iPad, cette poignée n'existe pas : le navigateur ne la permet pas. C'est vous qui renvoyez votre travail vers le fichier, en fin de séance.

Dans les deux cas, le va-et-vient ne se fait que dans un sens automatiquement : du navigateur vers le fichier. L'inverse – reprendre votre travail depuis la clé – est toujours un geste que vous posez à l'ouverture, et l'application fusionne alors les deux versions plutôt que d'en écraser une.

Le coffre, c'est le navigateur. Sur le même ordinateur, Safari et Chrome sont deux coffres séparés : ce que vous saisissez dans l'un n'apparaît pas dans l'autre. Prenez-en un et gardez-le.

Ce qui vide le navigateur vide le codex. Nettoyer les « données de sites », recréer un profil, ou travailler en navigation privée – dans ce dernier cas, tout disparaît à la fermeture de la fenêtre.

L'appareil doit être le vôtre

Labo Codex écrit sous votre session de navigateur. Il faut donc une session qui vous appartient, un appareil verrouillé par mot de passe ou code, et un disque chiffré – FileVault sur Mac, BitLocker sur Windows, chiffrement par défaut sur iPad dès qu'un code d'accès est défini.

Un poste de laboratoire en compte commun, un ordinateur de prêt, un navigateur partagé : à éviter. Non pas parce que l'application y fonctionnerait mal, mais parce que vos données y resteraient après votre départ, accessibles à la personne suivante.

Si vous devez quand même le faire – dépannage, salle de classe – faites-le en navigation privée, ou effacez les données avant de quitter le poste (voir plus bas).

La sauvegarde est à vous

Personne ne sauvegarde à votre place. Il n'y a pas de copie dans un nuage à récupérer en cas de pépin.

Deux gestes, complémentaires :

• Le codex, votre outil de travail quotidien, qui s'enregistre tout seul au fil de la saisie.
• La sauvegarde, votre filet : Réglages → Données → Exporter le Codex. Un fichier unique qui contient tout – cours, élèves, présences, évaluations, configurations.

Faites-en une de temps en temps, et rangez-la ailleurs que sur l'appareil lui-même. Un navigateur qui nettoie ses données de site, un profil recréé, un ordinateur remplacé : dans ces trois cas, la sauvegarde est ce qui reste.

C'est aussi par elle que vous passez d'un appareil à l'autre : vous exportez sur l'ancien, vous importez sur le nouveau. Rien ne suit tout seul – c'est le prix de « rien ne part ».

L'effacement est à votre main

Réglages → Données → Réinitialiser toutes les données. L'application demande deux confirmations, puis vous fait écrire « EFFACER » en toutes lettres. Tout part : élèves, notes, travaux, configurations.

C'est irréversible, et c'est la contrepartie heureuse du modèle : vous n'avez personne à qui demander, aucun formulaire de suppression à remplir, aucun délai de traitement. Vous effacez, c'est effacé, pour de bon.

Pour une direction ou un service informatique

Cette section s'adresse à qui doit évaluer l'outil avant d'en autoriser l'usage. Elle donne les faits vérifiables ; la politique complète, technique et détaillée, est fournie sur demande.

Architecture

Labo Codex est une application web statique : HTML, CSS et JavaScript servis tels quels, sans cadriciel et sans composante serveur. Il n'existe aucune base de données centrale, aucun compte applicatif, aucune interface de programmation vers laquelle des données pourraient remonter.

Les données pédagogiques sont écrites dans le stockage du navigateur de l'usager (IndexedDB pour les enregistrements et les fichiers binaires, localStorage pour les préférences), et, sur les navigateurs qui le permettent, dans un fichier d'archive que l'usager désigne lui-même sur son disque ou sa clé.

Une fois la page chargée, l'application ne requiert plus le réseau. Elle peut être ouverte hors ligne, et même servie depuis un serveur interne à l'établissement.

Mesures en place : politique de sécurité du contenu restreinte à script-src 'self' – aucun script d'origine externe ne peut s'exécuter ; aucun appel à un service tiers pendant l'usage ; aucune police ni bibliothèque chargée depuis un réseau de diffusion externe ; aucune télémétrie, aucun pixel de suivi, aucune balise analytique.

Hébergement et transferts hors Canada

Aucune donnée d'élève ne transite par ces services, ni en usage normal, ni en cas d'incident : il n'existe pas de chemin technique par lequel elles pourraient le faire. Le transfert transfrontalier se limite aux métadonnées d'accès au site lui-même. Les journaux de Cloudflare ne sont pas hébergés au Canada.

Le transport est chiffré de bout en bout (HTTPS / TLS 1.3).

Ce qui est conservé côté serveur

La règle d'accès est ouverte à toute adresse : il n'y a ni liste d'invités, ni sélection, ni refus. Le dispositif ne sert pas à filtrer l'entrée, mais à disposer d'un moyen de joindre les personnes qui utilisent l'outil – l'application étant hors ligne, il n'en existe aucun autre. La liste des adresses n'est ni publiée, ni transmise à un tiers.

Le retrait d'une adresse s'obtient sans condition en écrivant à labo@codexnumeris.org, et n'empêche pas de continuer à utiliser l'application.

Chiffrement au repos

Les données vivant sur l'appareil de l'enseignant, leur chiffrement au repos est celui de l'appareil : FileVault sur macOS, BitLocker sur Windows, chiffrement matériel sur iPadOS dès qu'un code d'accès est défini. L'établissement garde donc la main : les politiques de chiffrement de parc s'appliquent sans adaptation.

Limite assumée : le fichier d'archive que l'enseignant produit pour transporter son travail n'est pas chiffré. Sur une clé USB, sa confidentialité repose sur celle de la clé. Le chiffrement de cette archive figure à la feuille de route et n'est pas encore livré.

Anonymisation

Deux mécanismes distincts, à ne pas confondre.

À l'affichage, un mode masque les noms à l'écran, le temps d'une projection en classe. Il est réversible et purement visuel : le stockage reste identifiant.

À l'extraction, quand l'enseignant produit un jeu de données destiné au partage ou à la recherche, un traitement plus profond s'applique : noms remplacés par des identifiants séquentiels, numéros d'admission supprimés – jamais hachés, un numéro d'admission étant trop court pour qu'un hachage résiste à une attaque par force brute –, numéros de groupe génériques, photos et documents de travaux exclus par défaut, l'écriture manuscrite étant biométriquement identifiante.

Limite reconnue, et documentée comme telle : dans un groupe d'environ 25 élèves avec une dizaine de productions, un profil de résultats est quasi unique. L'anonymisation ne protège pas contre une ré-identification par quelqu'un qui connaît la composition du groupe. La règle opérationnelle qui en découle est de ne pas publier ouvertement de profils individuels, même anonymisés.

Signalements de problèmes

Les rapports produits par la fonction de signalement intégrée sont archivés localement, au maximum vingt, avec rotation automatique ; l'usager peut les consulter et les supprimer un à un. Ils ne contiennent par construction ni nom d'élève, ni numéro d'admission, ni note, ni contenu de travaux. Le seul vecteur possible de renseignement personnel est la description rédigée librement par l'usager ; le formulaire l'invite explicitement à désigner les élèves par une lettre plutôt que par leur nom.

Régime applicable

Le responsable du traitement est Grégoire Bédard, enseignant en littérature au Cégep de Drummondville, joignable à labo@codexnumeris.org.

Les droits reconnus par la Loi 25 – accès, rectification, effacement, portabilité, retrait du consentement – sont honorés sur simple demande à cette adresse, avec un délai de réponse de 30 jours.

Note sur le régime formel. La Loi sur la protection des renseignements personnels dans le secteur privé encadre, selon son article 1, les renseignements personnels qu'une personne recueille, détient, utilise ou communique « à l'occasion de l'exploitation d'une entreprise au sens de l'article 1525 du Code civil » – soit l'exercice d'une activité économique organisée. Labo Codex est conduit à titre personnel, hors d'une telle exploitation ; la loi ne trouve donc vraisemblablement pas application. Cette lecture reste à confirmer par un juriste. Elle ne change rien à ce qui précède : les droits sont honorés volontairement, et l'architecture décrite ici va au-delà de ce qu'un service hébergé aurait à garantir.

Un avis a été demandé au responsable de la protection des renseignements personnels du Cégep de Drummondville ; il n'est pas encore reçu.

Ce qui déclencherait une révision complète

La posture décrite suppose un mainteneur individuel et une application hors ligne. Elle serait reprise à zéro, avec un dispositif de conformité complet, si l'une de ces conditions se réalisait : portage de l'outil par une organisation ; base d'usagers débordant le cercle collégial ; évolution de l'architecture vers un traitement de données pédagogiques côté serveur.

Ce que vous pouvez demander à voir

Le dépôt de code n'est pas ouvert au public : son historique contient des exports de travaux d'élèves réels, et le rendre accessible exposerait ces données. C'est une limite assumée, et elle a sa contrepartie – les pièces sur lesquelles repose cette page sont fournies sur demande à labo@codexnumeris.org, à une direction comme à un service informatique :

• la politique de confidentialité complète, technique et détaillée ;
• le registre des incidents de confidentialité, tenu depuis l'ouverture du projet ;
• un accès en lecture au code source pour une évaluation, sur entente.

L'application est distribuée sous licence Creative Commons BY-NC-SA 4.0.

Ce qui n'est pas encore fait

Par souci d'exactitude : l'évaluation des facteurs relatifs à la vie privée est en préparation, non disponible ; l'avis du responsable institutionnel est attendu ; le chiffrement du fichier d'archive n'est pas livré ; et le projet repose sur un seul mainteneur – la pérennité de cette politique tient à un engagement personnel, non à une structure.