CleverMontessori : Politique de confidentialité

Dernière mise à jour : 24 octobre 2026

La présente Politique de confidentialité explique comment CleverMondays, éditrice du service CleverMontessori (« le Service »), traite les données personnelles. Elle complète les Conditions générales d'utilisation et s'adresse au personnel des établissements utilisateurs ainsi qu'aux familles dont les données figurent dans le Service.

1) Responsable du traitement et rôles

CleverMontessori est un outil professionnel utilisé par des établissements (« l'Établissement ») pour gérer la vie de leurs ambiances et communiquer avec les familles. La répartition des rôles au sens du RGPD est la suivante :

• CleverMondays est responsable de traitement pour les données de compte et d'abonnement du personnel de l'Établissement (identité, authentification, facturation, journaux techniques).
• L'Établissement est responsable de traitement pour les données qu'il saisit dans le cadre de son activité : données relatives aux enfants, aux familles et aux inscriptions, et contenus publiés (lettres d'information, photographies d'ambiance). Pour ces données, CleverMondays agit en qualité de sous-traitant au sens de l'article 28 du RGPD et ne les traite que sur instruction de l'Établissement, pour les seules finalités du Service (voir les CGU, article 6).

Responsable de traitement : CleverMondays, société éditrice du Service. Les mentions légales complètes (identité, siège social, hébergeur) figurent sur la page Mentions légales.
Contact : page de contact

CleverMondays n'a pas désigné de Délégué à la protection des données (DPO) à ce stade. Toute demande relative aux données personnelles peut être adressée via le formulaire de contact.

2) Données que nous traitons

Données de compte du personnel

• Adresse e-mail, prénom, nom
• Mot de passe (stocké sous forme de hash) ou identifiant de connexion via un fournisseur tiers (Google) si vous utilisez ce mode de connexion
• Photo de profil et avatar (si vous en ajoutez un)
• Rôle au sein de l'organisation et appartenance à l'établissement
• Horodatages techniques (date d'inscription, dernière connexion)
• Adresse IP et type de navigateur lors des opérations sensibles (connexion, paiement, suppression)
• Préférence de langue et de thème

Données saisies par l'Établissement

• Données relatives aux enfants (prénom, nom, ambiance, dates utiles à la scolarité) et à leurs familles (contacts parents)
• Notes médicales et informations de santé saisies par le personnel au sujet d'un enfant (par exemple allergies, régimes alimentaires, traitements ou consignes de soin), lorsque l'Établissement choisit d'en renseigner
• Inscriptions et rattachement des enfants aux ambiances
• Contenus publiés par le personnel : lettres d'information, textes, photographies d'ambiance
• Informations de partage (quelles familles ont accès à quelles ambiances)

Ces données sont saisies et maîtrisées par l'Établissement. Aucune analyse automatique du contenu des photos ou des textes n'est effectuée à des fins commerciales. Les seules opérations automatiques portent sur le traitement technique des images (conversion au format WebP, redimensionnement, compression). Voir les CGU, article 3.

Données de paiement et d'abonnement

• Identifiant client auprès du prestataire de paiement, associé à l'organisation
• Statut d'abonnement, formule, nombre d'enfants facturés, dates de période, statut de résiliation
• Historique de factures (consultable depuis le portail client du prestataire de paiement)

Les données bancaires (numéro de carte, etc.) ne transitent jamais par nos serveurs : elles sont collectées et stockées exclusivement par notre prestataire de paiement.

Données techniques d'utilisation

• Journaux applicatifs minimaux (erreurs, requêtes refusées) à des fins de stabilité et de sécurité
• Statistiques agrégées et anonymes d'usage

Aucun outil d'analyse comportementale tiers (Google Analytics, etc.) n'est intégré au Service.

3) Finalités et bases légales (RGPD)

Pour les traitements dont CleverMondays est responsable :

• Fournir le Service (exécution du contrat, art. 6.1.b RGPD) : création et gestion des comptes du personnel, authentification, gestion des abonnements et paiements, support.
• Sécurité et bon fonctionnement (intérêt légitime, art. 6.1.f RGPD) : journaux techniques, prévention des abus, lutte contre le spam.
• Respect d'obligations légales (art. 6.1.c RGPD) : conservation comptable, réponses aux demandes des autorités compétentes.

Pour les données relatives aux enfants et aux familles, la base légale est déterminée par l'Établissement responsable de traitement (par exemple l'exécution de sa mission ou le consentement des familles). CleverMondays héberge et traite ces données pour le compte de l'Établissement, sur ses instructions.

4) Données concernant les enfants et les familles

Le Service est utilisé par le personnel des établissements ; ni les enfants ni les familles ne créent de compte de gestion. Lorsque l'Établissement le permet, une famille peut accéder en lecture seule aux contenus publiés pour les ambiances où son enfant est inscrit.

C'est l'Établissement, en qualité de responsable de traitement, qui détermine quelles données d'enfants et de familles sont saisies, sur quelle base légale, et qui en informe les familles. Il lui appartient notamment :

• de disposer d'une base légale et, le cas échéant, du consentement requis (en particulier pour la publication de photographies d'enfants) ;
• d'informer les familles du traitement de leurs données et de celles de leurs enfants ;
• de répondre aux demandes d'exercice de droits portant sur ces données.

Certaines de ces données peuvent constituer des données de santé (notes médicales), qui relèvent des catégories particulières de données au sens de l'article 9 du RGPD. Il revient à l'Établissement de s'assurer qu'il dispose d'un fondement approprié pour les traiter, par exemple le consentement explicite des familles ou la sauvegarde des intérêts vitaux de l'enfant.

CleverMondays met à disposition les outils techniques de stockage, de partage et de suppression, assiste l'Établissement dans ses obligations (article 6 des CGU), mais n'évalue pas le bien-fondé de chaque publication.

5) Sous-traitants et destinataires

Les données sont traitées par CleverMondays et par des sous-traitants sélectionnés pour leur conformité au RGPD, relevant des catégories suivantes :

• Prestataire de paiement (établi dans l'Union européenne) : traitement des paiements et gestion des abonnements ; il stocke les données bancaires et les factures.
• Prestataire de stockage de fichiers (établi en France, région de Paris) : conservation des fichiers téléversés (photographies notamment).
• Hébergeur applicatif (établi en France) : hébergement du Service et de sa base de données.
• Prestataire d'envoi d'e-mails : e-mails de confirmation, réinitialisation de mot de passe, notifications, et communications de l'Établissement adressées aux familles.
• Services de notifications push mobiles (fournis par les plateformes iOS et Android) : acheminement des notifications vers les applications mobiles, lorsque l'utilisateur les active.

L'identité de l'hébergeur applicatif et du prestataire de stockage de fichiers figure sur la page Mentions légales. La liste nominative complète des sous-traitants est communiquée à l'Établissement sur simple demande, et tout ajout ou remplacement lui est notifié (voir les CGU, article 6). CleverMondays ne vend aucune donnée personnelle, ne partage aucune donnée à des fins publicitaires, et ne transfère aucune donnée à des courtiers de données.

6) Transferts hors UE

La base de données et les fichiers téléversés sont conservés en France. Certains sous-traitants listés ci-dessus sont établis ou traitent des données hors de l'Union européenne :

• le prestataire de paiement et les services de notifications push peuvent traiter certaines données depuis les États-Unis ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre EU-US Data Privacy Framework auquel ils adhèrent ;
• le prestataire d'envoi d'e-mails est établi aux États-Unis : le contenu des e-mails (adresse du destinataire, nom, titre et extrait des communications) transite par ses serveurs.

7) Cookies et stockage local

Le Service utilise un nombre limité de cookies et d'éléments de stockage local, tous strictement nécessaires :

• Cookie de session : maintient votre connexion. Indispensable à l'authentification. Durée : session ou jusqu'à déconnexion.
• Préférences locales (thème clair/sombre, dernière langue choisie) stockées dans le navigateur.

Aucun cookie publicitaire ni traceur tiers n'est utilisé. Aucune bannière de consentement n'est requise pour ces cookies strictement nécessaires.

8) Durées de conservation

• Comptes et données de l'organisation : conservés tant que le compte est actif. À la suppression du compte ou de l'organisation, les données personnelles et les contenus sont effacés sous 30 jours, sauf obligation légale contraire.
• Contenus supprimés par l'Établissement (communications, photos) : placés dans la corbeille de l'Établissement, où ils restent restaurables pendant 30 jours, puis effacés définitivement, fichiers compris. Une communication est effacée avec tout ce qu'elle contient (photos, documents joints, commentaires et réactions). Les copies de sauvegarde suivent la règle « Sauvegardes techniques » ci-dessous.
• Comptes inactifs : peuvent être supprimés après notification, après une période d'inactivité prolongée.
• Données comptables et factures : conservées 10 ans à compter de la clôture de l'exercice (art. L123-22 du Code de commerce).
• Journaux techniques : conservés au plus 12 mois.
• Sauvegardes techniques : les fichiers supprimés ou remplacés restent dans une copie de sauvegarde au plus 90 jours, puis sont effacés ; les sauvegardes de la base de données sont écrasées par cycle.

9) Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.

Pour les données relatives aux enfants et aux familles, la demande doit être adressée à l'Établissement responsable de traitement ; CleverMondays l'assiste pour y répondre. Pour votre propre compte, la marche à suivre dépend de votre rôle (voir « Suppression de votre compte et de vos données » ci-dessous). Nous répondons dans un délai d'un mois (pouvant être prolongé de deux mois pour les demandes complexes, conformément à l'article 12 du RGPD).

Suppression de votre compte et de vos données

Vous pouvez demander à tout moment la suppression de votre compte et des données personnelles associées. La marche à suivre dépend de votre rôle :

• Vous dirigez un établissement (compte propriétaire) : adressez votre demande à CleverMondays via la page de contact. Nous fermons votre compte et supprimons les données associées.
• Vous êtes membre de l'équipe d'un établissement (éducateur·rice, etc.) : votre compte est géré par votre établissement : adressez votre demande au·à la responsable de votre établissement, qui peut supprimer votre accès.
• Vous êtes parent : les données concernant votre enfant sont gérées par son établissement, responsable du traitement : adressez votre demande directement à l'établissement de votre enfant.

Les demandes adressées à CleverMondays sont traitées dans un délai maximum de 30 jours. Certaines données peuvent être conservées au-delà lorsque la loi l'impose (voir « Durées de conservation »).

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) : cnil.fr/fr/plaintes.

10) Sécurité

CleverMondays met en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les données : mots de passe stockés sous forme de hash, transport chiffré (HTTPS), contrôle d'accès, principes du moindre privilège, journalisation des opérations sensibles.

Aucun service en ligne ne peut garantir une sécurité absolue. En cas de violation de données, CleverMondays en informe l'Établissement concerné sans délai injustifié après en avoir eu connaissance, et apporte son assistance dans les conditions des articles 33 et 34 du RGPD.

11) Modifications de la Politique

Cette Politique peut être mise à jour pour refléter l'évolution du Service ou des obligations légales. Les modifications significatives sont signalées par une nouvelle date « dernière mise à jour » et, lorsque pertinent, par une information dédiée.

12) Contact

Pour toute question relative à cette Politique : page de contact.