Passerelle

Vos données personnelles

Passerelle est l'outil de la MFR de Salins-les-Bains pour organiser les stages de ses jeunes : recherche de stage, conventions, signatures, visites et attestations. Cette page explique, pour chacun, quelles données sont utilisées, pourquoi, qui les voit, combien de temps elles sont gardées et comment exercer vos droits, conformément au règlement général sur la protection des données (RGPD) et à la loi Informatique et libertés.

Qui est responsable ?

MFR de Salins-les-Bains, 15 Hameau Blégny, 39110 Salins-les-Bains, représentée par son directeur, Mickaël Rubens, est responsable des traitements décrits ici. Pour toute question sur vos données, adressez-vous à Pierre Sattonnay, pierre.sattonnay@mfr.asso.fr (standard : 03 84 73 06 66).

Pourquoi ces données, et sur quelle base ?

Établir et suivre les périodes de formation en milieu professionnel (conventions, horaires, visites, attestations) : obligation légale et mission d'enseignement de l'établissement (code rural et de la pêche maritime, articles R.715-1 et suivants ; code de l'éducation ; code du travail pour les mineurs).
Faire signer la convention par chacune des parties : exécution de la convention de stage.
Accompagner le jeune (carnet de suivi de l'équipe, démarches, conseils) : mission d'enseignement et d'accompagnement de l'établissement.
Sécuriser l'outil (connexions, journal des actions) : intérêt légitime de l'établissement à protéger les données qui lui sont confiées.

Aucune donnée n'est vendue, utilisée à des fins publicitaires ou soumise à une décision automatisée. Passerelle ne dépose aucun cookie publicitaire ni de mesure d'audience : le seul cookie est celui de la session, supprimé à la déconnexion ou à la fermeture du navigateur.

Pour les jeunes

Données utilisées : nom, prénom, sexe, date de naissance, classe et formation, adresse, téléphone, adresse mail de l'établissement, tuteur ; tes démarches, tes structures favorites et tes notes personnelles ; tes conventions, horaires de stage et attestations.
Qui les voit : toi ; ton tuteur et les membres de l'équipe de la MFR chargés de ton suivi ; la structure qui t'accueille voit seulement ton nom, ta classe, les dates du stage et ce que prévoit la convention.
Ton numéro INE n'apparaît jamais dans ton espace, dans une adresse web ni chez le prestataire de signature.
Ce que tu notes sur une structure est privé : ni les structures ni les autres jeunes ne le voient.
Le carnet de suivi où l'équipe note l'accompagnement ne t'est pas visible, ni à ta famille ni aux structures ; tu peux en demander communication à la direction.
À l'internat, le surveillant de nuit voit ta chambre, le dîner et tes allergies, l'aide à la prise de ton traitement, ta fiche sanitaire et ce qui compte la nuit (jamais ta scolarité), et le numéro de ta famille pour l'appeler en cas de besoin. Il écrit dans le cahier de transmission, qui rejoint ton carnet de suivi, mais ne lit pas le carnet. Une transmission peut être affichée une journée sur l'écran de la salle des moniteurs (ton prénom, jamais ta santé ni ta famille) ; le cahier est effacé au bout d'un an, la note reste au carnet. La répartition des chambres est effacée au bout de deux ans ; les exercices d'évacuation, sans rien de ta santé, restent au registre de sécurité.
Exercices et alertes (incendie, mise à l'abri, intrusion) : l'équipe fait l'appel sur son téléphone avec ton nom, ta classe et l'endroit où ta classe se trouvait d'après l'emploi du temps ; rien de ta santé ni de ta famille. Les noms de l'appel sont effacés au bout de deux ans ; les chiffres et le retour d'expérience restent au registre de sécurité.
L'aide (Conseils → Aide → « Poser une question », si ta classe y a accès) : ta question part au service d'intelligence artificielle avec les passages de ton mode d'emploi qui s'en approchent ; les noms des jeunes sont remplacés par un code, rien de ton dossier ne part, et la conversation s'efface quand tu te déconnectes.
L'assistant (« Poser une question à l'assistant », si ta classe y a accès) : ta question part au service d'intelligence artificielle de la MFR, sans aucun nom de jeune (ils sont remplacés par un code), avec ce que Passerelle sait de toi sans te nommer : ta classe, ton âge, ta prochaine période de stage, tes métiers favoris, tes vœux et ce qui ressort de ton test d'orientation. Jamais ton nom, ton adresse, ta famille, ta santé ni rien d'un autre jeune. La conversation n'est gardée que le temps de ta connexion ; la MFR note seulement la date et le coût.
Trouver un apprentissage : pour chercher les offres d'apprentissage, Passerelle envoie aux services La bonne alternance (ministère du Travail), France Travail et La Bonne Boîte le centre de ta commune (ou son code), la distance, les métiers recherchés et le niveau de diplôme ; jamais ton nom, ta classe ni ton adresse. Une offre que tu gardes est effacée au bout d'un an ; « J'ai postulé » s'ajoute à tes démarches.
Structures proposées par ton tuteur : ton tuteur peut te proposer des structures à contacter et t'en envoyer la liste dans Google Chat, depuis son compte de la MFR vers le tien (le nom, l'adresse et le téléphone des structures, rien d'autre). Ce que tu notes pour chacune s'ajoute à tes démarches, que ton tuteur peut suivre ; ta famille voit la liste dans son espace et peut la recevoir par mail. Si tu l'actives (Conseils → Mes notifications), ton téléphone reçoit une notification avec le nom de la structure proposée, rien d'autre ; tu peux la couper à tout moment. La liste est effacée deux ans après la dernière proposition.
Ton compte n'est jamais supprimé en cours de scolarité : il est suspendu ou archivé à ton départ.

Pour les familles et représentants légaux

Données utilisées : nom, adresse, téléphone et adresse mail du représentant légal, repris du dossier d'inscription. Depuis le dossier élève de Gesti, la MFR reprend aussi chaque parent ou tuteur (lien avec le jeune, adresse, numéros, mails, profession et situation familiale) et la photo d'identité du jeune pour le trombinoscope de l'équipe ; l'INE n'y sert qu'à reconnaître le jeune et n'est pas gardé, le numéro de sécurité sociale n'est jamais lu. Ces données restent dans Passerelle, lues par l'équipe seulement.
Pourquoi : le représentant légal d'un jeune mineur au premier jour du stage signe la convention ; celui d'un jeune majeur reçoit la copie signée pour information.
Qui les voit : l'équipe de la MFR. Vos coordonnées figurent sur la convention que signent les parties ; elles ne sont jamais transmises à la structure d'accueil par le formulaire qu'elle remplit.
Vœux d'orientation de 3ème : la famille approuve les vœux de son jeune sur un lien personnel, sans mot de passe ; la MFR garde sa réponse, le nom tapé en signature, la date et l'adresse de connexion. Le lien ne montre que le prénom, le nom, la classe et les vœux du jeune ; l'équipe peut le remplacer ou le couper à tout moment. La fiche de vœux est gardée l'année de la procédure et l'année suivante, puis effacée.
Espace des familles : avec l'identifiant (prénom.nom) et le mot de passe donnés par le secrétariat, la famille suit les stages, les recherches (dont les structures que le tuteur propose à son jeune, où elle peut noter une démarche faite avec lui ; elle cherche des lieux de stage comme l'équipe et ajoute des structures aux favoris de son jeune, qui les voit avec son tuteur — ses gestes sont notés au journal ; pour l'assistant de recherche, seules la classe, l'âge, la période et les souhaits écrits partent au service, jamais un nom ni une adresse ; elle peut déposer une demande de convention, avec les coordonnées de la structure et de la personne qui signera, que le tuteur vérifie), l'orientation et le planning de son jeune, lit ce que l'équipe choisit de lui publier (jamais le carnet de suivi en entier, jamais une donnée de santé), demande une modification de ses coordonnées et dépose des documents. Le mot de passe n'est jamais gardé en clair ; cinq essais manqués bloquent le compte un quart d'heure. Une modification n'est prise en compte qu'après vérification par le secrétariat. Les demandes traitées sont effacées après un an, les documents deux ans après le départ du jeune, le compte un an après le départ du dernier jeune de la famille.
Notifications sur le téléphone : la famille qui le demande dans son espace relie son téléphone (ou installe l'application des familles) ; la MFR garde l'adresse technique d'envoi que fournit le navigateur, le nom du modèle (« Chrome sur Android ») et les sujets choisis — absences et retards, conventions, rendez-vous, informations de l'équipe, covoiturage. Une notification ne dit que le prénom du jeune et l'essentiel (jamais un motif d'absence ni le contenu d'une information) ; les mails continuent d'arriver. Un téléphone se retire à tout moment ; il est oublié quand le service d'envoi le dit désinscrit, et avec le compte.
Covoiturage entre familles en cours d'année : seulement si la famille donne son accord dans son espace. Les autres familles qui ont aussi accepté voient alors le prénom du parent, le prénom et la classe du jeune, les communes, le jour et l'heure de ses trajets (semaines à la MFR, début et fin des stages, sorties) ; le téléphone et le mail donnés ne s'affichent qu'à leur demande, et chaque affichage est noté. Jamais une adresse précise. La MFR met les familles en relation, elle n'organise pas les trajets. Retirer son accord efface ses trajets et ses coordonnées partagées ; un trajet passé s'efface après trente jours, le journal des affichages après un an.
Réunions enregistrées : une réunion de l'équipe, du conseil d'administration, du bureau ou d'une commission peut être enregistrée pour en rédiger le compte rendu, après en avoir informé les participants (« Pause, hors compte rendu » coupe l'enregistrement). Le son est transcrit par le service de Mistral AI (serveurs en Europe) ; le son et la transcription restent dans Passerelle, réservés à la direction, au secrétaire et au bureau, et sont effacés à la validation du compte rendu, au plus tard quatre-vingt-dix jours après la séance. Jamais sur le Drive ni dans un mail.
Rencontres parents-moniteurs : la famille reçoit, aux adresses que la MFR connaît, un lien personnel pour choisir les personnes de l'équipe qu'elle veut rencontrer et réserver un horaire chez chacune — ou, pour une session planifiée, dire quand elle est disponible, la MFR établissant ensuite le planning —, sans compte. La MFR garde les rendez-vous, ses disponibilités et les personnes choisies, un mot facultatif de la famille et la date d'ouverture du lien ; la page ne montre que le prénom et la classe du jeune et les personnes de l'équipe, avec ce qu'elles enseignent. Pour préparer l'entretien, le moniteur dispose d'une fiche qui reste à l'équipe, jamais remise à la famille : ce que Passerelle sait de l'année du jeune (stages, heures, évaluations, absences, encouragements, notes du carnet de suivi non réservées, informations déjà publiées à la famille, vœux d'orientation). Pour la synthèse, et pour corriger, résumer ou développer ses notes, ces éléments partent au service d'intelligence artificielle de la MFR le temps de la rédaction, les noms des jeunes en codes, sans adresse ni téléphone — jamais une note réservée, une note « santé, bien-être », ni une donnée de Prendre soin. La synthèse de l'entretien que le moniteur choisit d'ajouter rejoint le carnet de suivi (lisible de l'équipe, jamais du jeune ni de sa famille). Rendez-vous, liens, fiches et notes de l'entretien sont effacés un an après la session ; la note du carnet suit les règles du carnet.

Pour les administrateurs de l'association

Données utilisées : nom, prénom, mail, téléphone, fonction au conseil, collège ou qualité, commissions, fin du mandat ; l'adresse, la date et le lieu de naissance et la profession que demandent les statuts et la déclaration des dirigeants en préfecture ; la pièce d'identité (obligatoire) et le permis de conduire (facultatif) remis à l'association ; l'adhésion de l'année (date, montant, mode de règlement) ; les réponses aux convocations et les pouvoirs donnés ; les présences aux séances (récapitulatif pour le président) ; les réponses aux sondages et aux votes ; les procès-verbaux signés (nom tapé, date, adresse de connexion) ; les messages laissés dans les commissions ; la date de la dernière venue dans l'espace. Un membre peut avoir un identifiant et un mot de passe donnés par la MFR : le mot de passe n'est jamais gardé en clair, cinq essais manqués bloquent le compte un quart d'heure. Les pièces ne s'ouvrent que par le membre lui-même, la gestion de l'espace et la direction, et chaque ouverture est notée ; elles sont effacées un an après la fin du mandat.
Pourquoi : faire vivre l'association — convoquer, tenir le registre des délibérations, partager les documents, consulter les membres.
Qui les voit : les membres de l'association et la direction. Le mail et le téléphone d'un administrateur ne figurent dans l'annuaire qu'avec son accord, qu'il peut retirer à tout moment ; un vote anonyme ne montre que des totaux. Aucune donnée d'une famille n'y figure, sauf ses réponses aux invitations de l'association (ci-dessous), et d'un jeune seulement son prénom et sa classe sur la carte des stages : « la MFR en chiffres » ne donne que des nombres.
Invitations aux familles (repas, fête, matinée de travaux, commission ou conseil ouverts, jury…) : le bureau de l'association et la direction envoient l'invitation aux adresses mail que la MFR connaît pour chaque famille (celles du dossier du jeune et de l'espace des familles), avec un lien personnel pour répondre sans compte. La famille dit si elle vient et, selon ce que demande l'invitation, combien de personnes, les repas, une allergie ou un régime, un besoin d'accessibilité, le covoiturage, ce qu'elle apporte, les créneaux choisis, un téléphone pour le jour même, un message. Seuls le bureau et la direction voient ces réponses, avec le nom du foyer et le prénom et la classe du jeune ; elles ne servent qu'à préparer l'événement et sont effacées six mois après, seuls les totaux restant. L'assistant qui rédige le mail et la lettre ne reçoit que la description de l'événement, jamais une famille.
Connexion : un lien personnel, à usage unique, valable trente minutes, envoyé à la demande, ou l'identifiant et le mot de passe remis par la MFR ; le téléphone garde ensuite la connexion quatre-vingt-dix jours au plus, jusqu'à la déconnexion. Un membre sorti du conseil n'entre plus et n'est plus connecté nulle part. La carte des jeunes en stage montre les structures d'accueil et, pour chacune, le prénom et la classe des jeunes qui y sont cette semaine — jamais leur nom de famille ni leurs coordonnées.
Questions aux comptes rendus (Assistant IA) : un administrateur peut interroger les comptes rendus validés des réunions auxquelles il est convoqué ; la question et les passages des comptes rendus qui s'en approchent partent au service d'intelligence artificielle de la MFR (aujourd'hui Mistral AI, entreprise française, serveurs en Europe) le temps de la réponse. La question et la réponse ne sont pas gardées ; le journal note seulement la date, l'adresse de la personne et le coût, douze mois.
Aide de l'assistant pour le bureau et le secrétaire : pour préparer l'ordre du jour, rédiger le mot d'une convocation ou d'une invitation, ranger les notes de séance, corriger le compte rendu ou appliquer la remarque d'un administrateur, les textes de la réunion (intitulés, notes, décisions, remarques, et la photo des notes quand on la joint) partent au même service le temps de la réponse ; rien n'y est gardé, la proposition revient dans la page et n'est enregistrée que par la personne.
Combien de temps : les procès-verbaux et documents sont l'histoire de l'association et sont gardés ; la fiche d'un ancien membre est gardée inactive pour l'historique des séances ; les liens de connexion passés sont effacés au bout d'une semaine.

Pour les personnes qui louent nos locaux

Données utilisées : le nom, les coordonnées et, le cas échéant, l'association ou l'entreprise du client ; la période, les locaux et la manifestation ; les échanges avec l'équipe ; le devis et le contrat.
Pourquoi : répondre à la demande, établir le devis et le contrat, organiser la location.
Qui les voit : le secrétariat et la direction. Les autres membres de l'équipe voient les dates et les locaux occupés, jamais le nom du locataire. Le calendrier en ligne dit seulement si un jour est disponible.
Combien de temps : une demande restée sans suite est effacée trois ans après le dernier échange ; la fiche d'un client qui a loué est gardée dix ans après sa dernière location (pièces comptables). Le lien de demande de réservation envoyé au téléphone (coordonnées et dates déjà dites) vaut trente jours et s'efface au bout de trois mois ; un appel noté par l'équipe en l'absence du secrétariat s'efface trois mois après avoir été traité, et au plus tard un an après.

Pour les personnes qui paient par carte en ligne

Données utilisées : ce qui est payé (commande, frais de dossier, location), le montant, le nom et le mail de la personne, la référence de la transaction et les derniers chiffres de la carte que donne le prestataire. Le numéro de la carte est saisi chez le prestataire, Easytransac : la MFR ne le voit jamais.
Pourquoi : noter le règlement, envoyer le reçu, tenir les comptes de la MFR.
Qui les voit : la direction et la comptable ; l'équipe de la procédure voit le règlement noté (commande réglée, arrhes reçues…).
Combien de temps : le mail s'efface treize mois après le paiement ; le reste est une pièce comptable, gardée dix ans.

Pour les familles qui commandent lors d'une vente des jeunes

Données utilisées : le nom, le prénom, le téléphone et le mail de la personne qui commande, l'adresse si la commande est livrée à domicile, le jeune qui a présenté la vente, les articles choisis (et les prénoms à graver), le règlement.
Pourquoi : préparer, remettre et encaisser la commande, envoyer sa confirmation, et dire à la classe ce que chaque jeune a vendu.
Qui les voit : la direction et les membres de l'équipe qu'elle a choisis pour suivre la vente. Les fournisseurs ne reçoivent que les quantités et les prénoms à graver, jamais les coordonnées. La famille revoit sa commande au lien de sa confirmation.
Combien de temps : les coordonnées et les prénoms gravés sont effacés un an après la date limite de la vente ; seuls les montants restent, sans nom, pour les comptes de la classe.

Pour les familles qui se renseignent ou candidatent

Données utilisées : le nom, le prénom et l'adresse du jeune, ceux de ses responsables légaux et leurs coordonnées, sa scolarité, les classes envisagées, et ce que la famille choisit de confier lors des échanges (projet, situation familiale, besoins particuliers).
Pourquoi : répondre à la famille, préparer l'entretien et l'éventuelle entrée du jeune à la MFR, et l'accompagner au mieux s'il y entre.
Qui les voit : l'équipe de la MFR seulement. La tablette d'accueil des portes ouvertes ne permet que de saisir la fiche de contact et de revoir celles de la journée.
Test de positionnement : les réponses du jeune servent à l'accompagner, pas à le sélectionner. Les indices qui en sont tirés sont des signaux à explorer avec la famille, jamais un diagnostic. Le jeune ne voit pas ses résultats ; ils restent avec sa fiche et s'effacent avec elle.
Handicap, besoins particuliers et santé : ce que la famille confie sur un handicap, un trouble ou la santé du jeune (notification MDPH, PAP, PPS, PAI, bilans, messages) est rangé, chiffré, dans l'outil « Prendre soin » de la MFR : lu par la seule référente handicap et la direction, chaque consultation étant notée. L'équipe reçoit seulement ce qui l'aide à accompagner le jeune (besoins, aménagements décidés), jamais un diagnostic ni un document médical. Rien n'est transmis à une structure d'accueil sans l'accord écrit de la famille. Le dossier d'un jeune qui n'entre pas à la MFR est effacé six mois après la rentrée visée. Une copie de sauvegarde, chiffrée par un mot de passe que seule la direction détient, est gardée sur l'espace de stockage de la MFR (Google Drive) et effacée avec le dossier. La référente peut indiquer comment adapter les supports écrits du jeune (police, taille, couleurs, consignes simplifiées…) : la mise en forme est faite par la MFR elle-même ; pour préparer un cours adapté, seules les consignes d'adaptation sont demandées au service d'intelligence artificielle de la MFR, avec la liste des besoins partagés avec l'équipe, sans le nom du jeune ni aucun diagnostic ; le nom est écrit ensuite par la MFR sur la feuille du jeune.
Fiche sanitaire et traitements : la fiche sanitaire (vaccinations, médecin, allergies, traitements, personnes à prévenir, autorisation de soins) est remplie par la famille sur un lien personnel ; elle est lue par l'équipe de la MFR pour une urgence, une sortie ou l'internat, chaque ouverture étant notée, et n'est transmise qu'à un professionnel de santé qui soigne le jeune (envoi noté). Pour la cuisine, seuls le prénom et les allergies alimentaires ou le régime sont affichés ; pour aider un jeune à prendre son traitement (la MFR ne donne pas de médicament), l'écran et la tablette de la cuisine et l'écran de la salle des moniteurs montrent le prénom, le médicament et la dose, et chaque prise est notée (qui a aidé le jeune, à quelle heure). Effacées deux ans après le départ du jeune.
Scolarité passée : ce que l'équipe sait de la scolarité précédente (décrochage, harcèlement, exclusion) ne sert qu'à préparer l'accueil du jeune. Ces informations restent dans l'équipe, ne sont jamais transmises à une structure d'accueil, et s'effacent avec la fiche.
Pièces du dossier : les documents déposés par la famille (identité, carte Vitale d'un parent, RIB, attestations…) sont gardés hors de tout accès public, lus par l'équipe seulement, et s'effacent avec la fiche. Le lien de dépôt est personnel ; la MFR peut le remplacer à tout moment. Une fois le jeune inscrit, ses pièces, sa fiche et son dossier signé sont archivés sur le Drive partagé de la MFR, lisible de l'équipe seulement.
Bourse : pour estimer le droit à la bourse et préparer la demande, la MFR note le revenu fiscal de référence et le nombre d'enfants à charge que la famille lui confie ; le numéro fiscal n'est jamais enregistré.
Covoiturage : seulement sur accord signé de la famille d'un inscrit, et retirable à tout moment. Les autres familles qui ont signé le même accord, proches et aux mêmes semaines, voient les seules informations que la famille a choisi de partager (nom, prénom du jeune, classe, commune, téléphone, mail) ; rien d'autre. La MFR met en relation, elle n'organise pas les trajets. Après un retrait (sur le lien personnel, par téléphone à la MFR ou par l'équipe), les informations sont effacées ; le consentement signé et la date du retrait restent conservés comme preuve, puis supprimés deux ans après la rentrée. Téléphone et mail ne s'affichent qu'à la demande : la MFR note quelle famille a affiché les coordonnées de quelle autre, et quand, pour pouvoir agir en cas d'abus ; ce journal est supprimé avec le reste du recrutement.
Kit de rentrée : la famille indique sur un lien personnel les fournitures qu'elle a déjà (pour un réinscrit, ce qu'il garde de l'an dernier, signé par un responsable légal : nom, date et heure, adresse IP). La remise du kit est signée par le jeune ou le parent présent. Ces réponses, signatures et règlements sont effacés deux ans après la rentrée.
Chiffres partagés : le tableau de bord du recrutement transmis au conseil d'administration ne contient que des comptes (étapes, classes, origines, départements), jamais un nom ni une commune.

Pour les structures d'accueil

Données utilisées : dénomination, SIRET, adresse, activité ; nom, fonction, téléphone et adresse mail du responsable et du maître de stage ; horaires proposés, travaux confiés, assurance, déclaration de dérogation ; attestation de fin de stage.
Pourquoi : établir la convention, la faire signer, préparer la déclaration de dérogation aux travaux réglementés, organiser les visites, délivrer l'attestation de stage.
Qui les voit : l'équipe de la MFR ; les jeunes de l'établissement voient la fiche de la structure (nom, activité, adresse, téléphone de la structure) pour chercher un stage, jamais les coordonnées personnelles du responsable ou du maître de stage, ni les notes de l'équipe.
Les coordonnées de la structure sont recopiées dans la convention au moment de la validation : une modification ultérieure ne réécrit pas un document déjà signé.
La position de la structure sur la carte est calculée à partir de son adresse par le service public de géocodage (Géoplateforme de l'IGN), qui fournit aussi le fond de la carte de recherche ; aucune donnée personnelle ne lui est transmise.
Offres de stage ou d'apprentissage déposées sur notre site : l'offre (intitulé, missions, dates, classes visées), la structure (nom, SIRET, adresse) et le contact choisi pour les jeunes (nom, fonction, téléphone, mail). L'équipe de la MFR la relit ; une fois publiée, l'offre et ce contact sont montrés aux jeunes des classes visées, à leurs familles et à l'équipe, pour qu'ils vous joignent, et la structure rejoint la base de la MFR. Rien n'est transmis ailleurs. L'offre et le contact sont effacés un an après la fin de l'offre (ou un an après un refus) ; le lien reçu par mail permet de dire à tout moment que l'offre est pourvue.

Pour les établissements qui répondent à nos enquêtes

Données utilisées : coordonnées professionnelles de l'établissement ; nom, fonction, téléphone et adresse mail de la personne qui répond ; ses réponses ; s'il le demande, où le recontacter.
Pourquoi : mesurer l'intérêt du territoire pour une formation et recontacter les établissements qui le souhaitent (intérêt légitime de l'association).
Qui les voit : la direction et les personnes auxquelles elle a confié un lien de consultation personnel ; rien n'est transmis à l'extérieur.

Pour qui se connecte au Wi-Fi de la MFR

Données utilisées : l'adresse du compte Google de la MFR (jeune ou équipe), ou la référence de la location, ou le fait qu'un code de dépannage a servi ; l'adresse matérielle (MAC) et l'adresse IP de l'appareil, son type, la date et la durée de l'accès. Ni l'historique de navigation ni le contenu des échanges.
Pourquoi : ouvrir l'accès à Internet aux seules personnes autorisées, et tenir le journal des connexions que la loi impose à qui fournit un accès à Internet au public (article R10-13 du code des postes et des communications électroniques).
Où et combien de temps : sur le serveur de la MFR, dans les locaux, jamais chez un prestataire ; un an et un mois, puis effacé automatiquement. Communiqué seulement à l'autorité judiciaire qui le demande.

Pour l'équipe de la MFR

Données utilisées : nom, prénom, fonction, adresses mail, ligne directe, rôles, classes suivies ; historique de connexion ; auteur des actions enregistrées dans le journal.
Accès : chacun ne voit que les jeunes de son périmètre (tutorés, classes suivies, remplacements en cours) ; la direction voit l'ensemble. Les notes restreintes du carnet ne sont lisibles que par leur auteur et la direction.
Passerelle dans Outlook : le complément que chacun ajoute à son Outlook ne garde rien d'un jeune ; il demande à Passerelle, avec un jeton personnel (gardé en empreinte seulement, coupé après quatre mois sans usage ou depuis « Passerelle dans Outlook »), les adresses d'un jeune, de sa famille et de ses stages, et qui sont les personnes d'un mail. Un mail rangé (dans le carnet de suivi ou sur la fiche d'une convention, réservés à l'équipe) reste dans Passerelle, comme une pièce jointe rangée (jointe à la note du carnet, ou convention et attestation signées sur la fiche du stage). Pour une proposition de l'assistant, l'objet et le texte du mail, et le texte de trois pièces jointes au plus (lues par le service de lecture des documents), partent au service d'intelligence artificielle sans les adresses, les numéros ni les noms (le jeune et ses camarades en code, les adultes par leur rôle) ; rien n'est enregistré sans la validation du tuteur. Le rangement d'un mail à l'envoi passe par un ticket à usage unique posé dans le mail, valable douze heures. Une suite à donner du carnet confiée à un intervenant qui se sert du complément part, avec son échéance, en invitation d'agenda vers sa seule messagerie de la MFR : le prénom et l'initiale du nom du jeune, ce qu'il faut faire (rien du contenu d'une note réservée) et le lien vers Passerelle ; jamais le texte de la note.
Passerelle dans Word : le volet installé par la direction pour l'équipe ne garde rien d'un jeune ; avec le même jeton personnel, il demande à Passerelle l'adresse postale d'une famille, d'une structure ou d'un organisme du carnet d'adresses de la MFR, et la pose dans le document ouvert. Pour un publipostage, le courrier type part à Passerelle, qui le remplit pour chaque famille choisie et le rend aussitôt (ou le garde une heure pour un seul téléchargement) ; pour un envoi, le document part en PDF aux seules adresses connues du jeune, et une note du carnet de suivi garde le mail et le document. Pour adapter un cours, le document ouvert est lu par Passerelle, qui rend une version mise en forme pour chaque jeune d'après ce que la référente partage dans Prendre soin (jamais le diagnostic) ; réécrire, retoucher un texte ou préparer un cours passe par l'assistant : seul le texte part, les noms des jeunes, des candidats et des parents remplacés par des codes, et rien n'y est gardé. Une copie rangée dans Passerelle (carnet, documents de l'association, base de l'Assistant) suit les règles de l'endroit où elle est rangée ; un document à faire signer part chez le prestataire de signature de la MFR. Un tableau de données demandé depuis Word suit les règles des questions aux données de l'Assistant IA : l'assistant n'écrit que la lecture, Passerelle l'exécute sur ses copies sans nom, et un tuteur n'obtient que ses jeunes.
L'aide de Passerelle (Aide → « Poser une question ») : l'assistant répond d'après les seules notices d'utilisation, qui ne montrent que le site école aux personnes fictives. La question part au service d'intelligence artificielle de la MFR avec les passages des notices qui s'en approchent, les noms des jeunes écrits dans la question remplacés par un code ; aucune donnée de Passerelle ne part. La conversation n'est gardée que le temps de la connexion ; le journal de l'Assistant note la date, l'usage et le coût, jamais le texte.
Assistant IA : la base documentaire (référentiels, manuels, règlements, comptes rendus de l'association) ne contient aucune donnée d'un jeune ni d'une famille ; ses fichiers sont rangés sur le Drive Google de l'établissement, dans des dossiers partagés selon les droits de chacun. Une question et les passages des documents qui s'en approchent partent au service d'intelligence artificielle de la MFR (aujourd'hui Mistral AI, serveurs en Europe), qui ne les garde pas pour s'entraîner ; pour comprendre une question qui fait suite, les derniers échanges de la conversation partent avec elle. La conversation, et les documents Word, PDF ou Excel tirés des réponses, ne sont gardés que le temps de la connexion. Les graphiques et schémas sont dessinés par Passerelle ; quand la direction les permet, une illustration est demandée au service d'images de Mistral par sa seule description (jamais un nom) ; dessins et illustrations sont effacés soixante jours après leur dernier usage. Le journal de l'Assistant (date, adresse de la personne, usage, coût — jamais le texte) est lu par la direction et effacé au bout de douze mois. Les supports de cours préparés, au nom de chaque jeune quand le moniteur en coche, ne sont lus que par leur auteur et sont effacés au bout de soixante jours ; le nom du jeune n'est jamais envoyé au service : seules partent les consignes d'adaptation de la référente handicap et ses besoins partagés, sans nom ni diagnostic. Le moniteur peut joindre des documents (page de manuel, article…) : seul leur texte est gardé avec le support, les noms des jeunes de la classe en sont retirés. Un moniteur peut faire relire la copie d'un jeune (« Relire un devoir ») pour estimer si elle a été produite avec une intelligence artificielle : les pages, mises en image et réécrites par Passerelle (sans leurs métadonnées), partent au service qui lit l'écriture, les lignes que le moniteur a masquées (un nom, une adresse) effacées en blanc ; puis la transcription part pour l'analyse, avec le texte du sujet que le moniteur a joint et relu (lu sur son poste, jamais le fichier), le nom du jeune et de ses camarades remplacés par un code. Le service ne garde rien ; chez nous, la copie, sa transcription et l'analyse ne sont lues que par le moniteur qui l'a déposée et sont effacées au bout de soixante jours. Avec une consigne ou un sujet, le service écrit aussi deux réponses au même devoir, pour comparaison : il ne reçoit pour cela que la consigne et le sujet, et rien n'en est gardé que les expressions communes avec la copie. Les copies d'une classe peuvent se relire en une fois : les noms écrits en tête des copies partent alors avec les images au service qui lit l'écriture, et Passerelle reconnaît chaque jeune parmi ceux de la classe, sur son propre serveur ; à l'analyse, les noms partent en code. Après l'échange avec le jeune, le moniteur peut noter un constat (écrit par le jeune, produit avec une IA, ne sait pas) : il est gardé trois ans, sans texte ni nom, pour mesurer la fiabilité de l'outil et ajuster son calcul. Le résultat est une estimation, jamais une preuve, et aucune décision ne se prend sur lui seul. Pour le GEVA-Sco, la référente handicap peut demander à l'assistant une synthèse des regards de l'équipe : partent les cotations de la grille et les mots des moniteurs, sans leur nom ni celui du jeune ; jamais son identité, sa famille, son dossier, ses documents ni sa santé. Chaque moniteur peut aussi dicter son regard en vrac pour que l'assistant le range dans la grille, aux mêmes conditions. La référente peut aussi faire préremplir la fiche d'accompagnement d'après l'avis qu'elle a donné sur un test inclusion : part le texte de son avis, le nom et le prénom du jeune remplacés par « le jeune », jamais son identité, sa famille, les résultats chiffrés du test ni ses documents. Elle peut enfin dicter, taper ou coller ses notes, ou joindre des documents (lus sur son poste), pour que l'assistant propose de quoi remplir la fiche de suivi : part son texte et celui des documents, le nom et le prénom du jeune remplacés par « le jeune », noms et adresses de la famille, téléphones, mails, numéros et date de naissance retirés, et la liste des champs de la fiche — jamais ce qui y est déjà écrit ni le fichier lui-même. Rien n'est gardé par le service. Les notes d'un entretien du recrutement, tapées ou dictées en vrac, peuvent être rangées par l'assistant dans la grille de l'entretien : le jeune et sa famille y partent sous un code, le texte n'est pas gardé, et rien de la santé ni du handicap ne s'y écrit. Pour dire si des fiches de structures en double sont le même lieu de stage, l'assistant reçoit ce qui décrit chaque établissement (dénomination, raison sociale, adresse, SIRET, activité, nombre de conventions) : jamais un responsable, un maître de stage, un téléphone, un mail ni un jeune. Pour essai, la direction peut faire lire à l'assistant les données de Passerelle (stages, conventions, visites, carnet de suivi, structures, locations…) : les noms des jeunes, des candidats et de leurs parents sont remplacés par un code avant l'envoi et remis par la MFR à l'écran ; l'adresse précise, les téléphones et les mails des familles, l'INE, la santé, le handicap et les revenus des familles ne partent jamais (la commune de résidence, oui).
Saisies en cours : un long formulaire commencé est gardé au fil de la frappe dans le navigateur et, pour le reprendre sur un autre poste, sur Passerelle au nom de la seule personne qui l'écrit ; effacé à l'envoi, par « L'oublier », et de lui-même après sept jours. Jamais pour Prendre soin, la veille de nuit, un mot de passe ni en « Voir comme ».
Lecture hors ligne : sur l'appareil d'un membre de l'équipe, les quelques pages ouvertes depuis moins d'un jour (tableau de bord, Ma semaine, visites, fiche d'une convention ou d'une structure, stages des jeunes ; trente au plus) restent lisibles sans réseau. Elles sont effacées à la déconnexion, quand une autre personne se connecte sur l'appareil, et d'elles-mêmes après un jour ; jamais pour un jeune, Prendre soin ni la veille de nuit. La direction peut couper cette lecture dans les réglages.
Lecture facilitée : la police, la taille et l'espacement qu'un jeune choisit pour son espace sont gardés sur sa fiche, sans autre information ; rien n'en est déduit et ce choix n'est jamais transmis.
Notifications sur l'appareil : chacun choisit s'il en reçoit (Mon compte → Mes notifications, ou le menu à son nom) et pour quoi. Passerelle garde, pour chaque appareil inscrit, l'adresse que donne son navigateur, ses deux clés de chiffrement, le nom du navigateur et la date du dernier envoi ; l'appareil est oublié d'un clic, ou de lui-même dès que son navigateur ne l'accepte plus. Le message (le titre, quelques mots et le prénom du jeune concerné, jamais son nom ni une donnée de santé) est chiffré pour cet appareil seul : le service qui le transmet ne peut pas le lire.
Ressources humaines : la fiche de chaque salarié (fonction, contrat, temps de travail, coordonnées professionnelles), ses coordonnées personnelles et la personne à prévenir (chiffrées dans la base), ses justificatifs (permis, diplômes, formations, visite médicale ; rangés chiffrés sur le serveur), ses formations (demandées, suivies, ce qu'elles ont apporté, attestation chiffrée) et ses entretiens professionnels (souhaits d'évolution, suites, compte rendu chiffré), qui partent avec la fiche. Chacun lit son contrat et ses justificatifs ; seules la direction et les personnes du secrétariat qu'elle désigne tiennent et voient les fiches de l'équipe, et chaque ouverture de la fiche ou d'une pièce d'un autre est notée au journal des ressources humaines (gardé trois ans). Une fiche peut naître d'un accusé de DPAE : il est lu sur le poste, le numéro de sécurité sociale y est effacé du texte avant l'envoi, le salaire n'est pas repris et le fichier n'est pas gardé. La fiche porte aussi l'état civil, le numéro de sécurité sociale et les coordonnées bancaires (IBAN, BIC, titulaire, banque), pour la paie et les déclarations de l'employeur : chiffrés dans la base, masqués à l'écran, montrés en clair à la direction et au secrétariat sur leur demande (chaque consultation notée au journal), jamais montrés au salarié dans l'outil. Ils se reprennent des pièces que remet le salarié, comme la date d'embauche, le poste, le temps de travail, les décharges et les missions se reprennent de ses contrats, avenants et lettres de mission (les montants en euros en sont effacés : le salaire n'est jamais lu) : chaque pièce est lue sur le poste de la personne qui la dépose, où le numéro de sécurité sociale et l'IBAN sont repérés puis effacés du texte ; seul le reste (sorte de pièce, dates, état civil, adresse, banque, contrat) est confié à l'assistant d'intelligence artificielle de la MFR (Mistral AI, serveurs en Europe), qui ne garde rien. Chaque valeur est relue avant d'être enregistrée ; les pièces rangées sont chiffrées comme les autres justificatifs. Les justificatifs sont copiés chaque nuit sur un Drive réservé à la direction, jamais sur celui de l'équipe ; ils sont effacés deux ans après la sortie du salarié. Le planning de travail de chacun (horaires prévus jour par jour, ses changements, leurs motifs et qui les a faits) est préparé par la direction et le secrétariat, et se lit par le salarié une fois partagé ; un planning repris de JourOff n'en garde pas le fichier. Le planning signé (en ligne par DocuSeal, ou sur papier déposé) et sa preuve sont rangés chiffrés et copiés sur le Drive de la direction. Une fiche supprimée par la direction emporte ses justificatifs, l'histoire du contrat et ses plannings ; seule la trace de la suppression reste au journal. Les congés et absences de chacun (congés payés, repos compensateur, arrêts, événements familiaux) sont tenus par la direction et le secrétariat, lus par le salarié pour lui-même : seules leurs dates, leur durée et la réception du justificatif sont notées, jamais un motif médical. Les heures déclarées chaque semaine (heures d'arrivée et de départ, le mot qui explique un écart au planning, la décision de la direction et son motif, chaque version datée avec son auteur) se lisent par le salarié pour lui-même, par la direction et le secrétariat ; la direction seule les valide ou les corrige. Une visite de stage ou une réunion de l'association lui est proposée d'après ce qu'il a saisi, jamais comptée d'office. Les demandes de récupération, de congé et de télétravail (dates, mot du salarié, réponse et motif de la direction) se lisent par le salarié, la direction et le secrétariat ; les écrans de l'équipe disent seulement « Absent » ou « Télétravail », jamais le motif. La charge des moniteurs reprend des agendas de Gesti les cours passés (date, durée, classe), rangés semaine par semaine ; elle se lit par le moniteur pour lui-même, par la direction et le secrétariat. Le classeur de l'année de l'équipe et le bilan de chacun (temps de travail, face-à-face, congés et absences, formations, justificatifs, en PDF pour l'entretien professionnel) sont composés à la demande, sans être gardés : le salarié télécharge le sien, la direction et le secrétariat ceux de l'équipe, chaque export noté au journal. Ni le salaire ni un motif médical ne sont enregistrés.
Règles : n'exporter ou imprimer des données personnelles que pour le besoin du suivi ; ne jamais les transmettre en dehors de l'établissement sauf aux destinataires prévus ci-dessous ; signaler sans délai à la direction toute perte ou fuite.

Qui d'autre reçoit des données ?

OVH, hébergeur de Passerelle et de sa base, en France.
Google Workspace de l'établissement : connexion au compte mfr-salins.com, envoi des mails et sauvegarde des documents officiels (conventions signées, attestations, comptes rendus de visite) sur un Drive partagé de l'établissement, lisible par l'équipe et modifiable par la direction seulement.
Signature électronique : le serveur de signature électronique DocuSeal, installé et administré par l'établissement reçoit la convention et le nom et l'adresse mail des signataires, rien de plus.
Intelligence artificielle : Mistral AI (France, serveurs en Europe) reçoit, le temps de répondre, une question de l'équipe ou d'un administrateur et les passages des documents de la MFR qui s'en approchent — jamais une donnée d'un jeune ni d'une famille.
Notifications : le service de distribution du navigateur de chaque appareil inscrit (Google pour Chrome et Edge, Apple pour Safari, Mozilla pour Firefox) transmet des messages chiffrés qu'il ne peut pas lire.
Administrations, lorsque la loi le prévoit : inspection du travail (déclaration de dérogation, transmise par la structure elle-même), caisse de MSA en cas d'accident, ministère chargé de l'agriculture pour l'allocation PFMP (plateforme Aplypro).

Combien de temps ?

Conventions, attestations, horaires et documents signés : pendant la scolarité du jeune, puis cinq ans, durée pendant laquelle ils peuvent être demandés (contrôle, accident, allocation).
Carnet de suivi, démarches et notes : pendant la scolarité du jeune ; archivés avec son compte à son départ.
Fiches des structures : tant que la structure accueille des stagiaires ; les coordonnées personnelles d'un ancien maître de stage sont supprimées sur simple demande.
Recrutement : la fiche d'un jeune qui n'est pas entré à la MFR est effacée automatiquement deux ans après la rentrée visée ; celle d'un jeune inscrit rejoint son dossier.
Prendre soin (handicap, besoins particuliers, santé) : dossier chiffré, lu par la référente handicap et la direction ; archivé au départ du jeune et effacé automatiquement deux ans après ; pour un jeune qui n'est pas entré à la MFR, six mois après la rentrée visée. Le journal des consultations est gardé trois ans.
Assistance (demandes d'aide, pannes, idées, avec leurs captures d'écran et pièces jointes) : lues par le seul gestionnaire et l'auteur de la demande ; effacées automatiquement deux ans après leur clôture.
Infrastructure et travaux (pannes déclarées, avec le nom de la personne qui les signale et une photo éventuelle) : lues par la personne qui a déclaré, l'entretien et la direction ; effacées automatiquement cinq ans après leur clôture. Le registre de sécurité, les documents des bâtiments et les bons d'intervention signés sont gardés comme preuves de sécurité.
Qualité (Qualiopi) : les anciens élèves, stagiaires et candidats à la VAE (nom, prénom, naissance, adresse, téléphone, classe ou organisme, année de sortie), repris de Gesti ou de Passerelle pour leur envoyer les enquêtes d'insertion, de poursuite d'études et de satisfaction — préparées et, si la direction le règle, envoyées d'elles-mêmes à chaud, à froid ou six mois après la sortie ; les réponses aux enquêtes (anonymes quand l'enquête l'est) ; les sous-traitants (organisme ou formateur, son contact, son contrat, sa certification, l'évaluation de sa prestation), gardés tant que la MFR travaille avec eux et effacés par la direction ; les invités des conseils de perfectionnement et leurs réponses ; les messages de veille arrivés de la fédération (expéditeur, objet, texte, lien), un écarté effacé après un an, le texte d'un retenu après deux ans. Lus par la direction et les personnes chargées de la qualité ; jamais transmis à un autre organisme. Les anciens sont effacés quatre ans après leur sortie ; les liens et la rattache nominative des réponses deux ans après la clôture de l'enquête (les résultats restent, anonymes) ; les adresses des invités deux ans après le conseil. Les stagiaires de la formation continue et les candidats à la VAE (nom, prénom, coordonnées, entreprise, financement, positionnement, parcours, résultat, documents du dossier) : lus par la direction et les personnes chargées de la qualité ; leurs coordonnées sont effacées cinq ans après la fin de l'action ou le jury, le reste est gardé comme preuve pour la certification Qualiopi. Les réclamations, difficultés et incidents rapportés à la MFR (nom et coordonnées de leur auteur, ce qu'il a dit ou écrit, le mail d'origine s'il vient d'Outlook, le jeune concerné, l'analyse, la réponse et son avis) : notés par l'équipe, lus par la personne qui les a notées, celle qui en est chargée, la direction et les personnes chargées de la qualité ; le nom, les coordonnées et le mail d'origine sont effacés cinq ans après la clôture, la réclamation et ses délais restent au registre.
Carnet de bord des véhicules de service (conducteur, heures de départ et de retour, compteur, communes et motif du déplacement) et amendes : lus par le conducteur, la personne chargée de l'entretien et la direction — l'analyse, la recherche du conducteur à un instant donné et les amendes par la direction seule ; aucune position GPS n'est relevée. Effacés automatiquement trois ans après le trajet (l'amende close, trois ans après l'infraction). Les frais des véhicules (factures d'entretien, pleins avec le nom de qui les a notés) sont des pièces comptables : lus par l'entretien et la direction, effacés dix ans après.
Enquêtes auprès des établissements : réponses et coordonnées des répondants effacées automatiquement deux ans après la clôture de l'enquête.
Historique des connexions : douze mois, puis effacé automatiquement.
Journal des actions : trois ans, puis effacé automatiquement.
Mails rangés depuis Outlook : trois ans, puis effacés automatiquement (la note du carnet suit la règle du carnet).
Journal de l'Assistant IA (qui, quand, pour quoi, combien — jamais la question ni la réponse) : douze mois, puis effacé automatiquement.
Supports de cours de l'Assistant IA (et le texte des pièces jointes du moniteur, jamais le fichier) : soixante jours, puis effacés automatiquement.

Sécurité

Connexion par le compte Google de l'établissement, sans mot de passe propre à l'outil ; échanges chiffrés (HTTPS) ; droits vérifiés sur le serveur à chaque page ; documents rangés hors de l'espace public du site ; liens personnels, propres à chaque structure et à chaque signataire, qui ne donnent accès qu'à la convention concernée.

Vos droits

Vous pouvez demander à accéder à vos données, les faire rectifier, en obtenir la limitation, vous opposer à un traitement fondé sur l'intérêt légitime, ou demander leur effacement lorsque la loi n'impose pas de les conserver. Adressez votre demande à Pierre Sattonnay, pour la direction de la MFR de Salins-les-Bains (pierre.sattonnay@mfr.asso.fr) : une réponse vous est donnée dans un délai d'un mois. Pour un jeune mineur, la demande peut être faite par son représentant légal.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr).