La présente politique décrit comment la plateforme Ilimo (site app.ilimo.ma et application mobile Ilimo) collecte, utilise et protège les données à caractère personnel de ses utilisateurs (personnel d'établissement, enseignants, parents, élèves), conformément à la Loi n°09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.
1. Responsable du traitement et sous-traitant
Chaque établissement scolaire utilisant Ilimo est responsable du traitement des données qu'il collecte et gère via la plateforme (dossiers élèves, parents, personnel). Ilimo agit en qualité de sous-traitant technique : les données sont traitées uniquement sur instruction de l'établissement, pour la fourniture du service, et à aucune autre fin. Ilimo ne vend ni ne loue aucune donnée personnelle.
2. Données collectées
- Données de compte : nom et prénom (en français et en arabe), adresse email, téléphone, mot de passe (haché), rôle et établissement de rattachement.
- Données d'identification de l'élève (saisies par l'établissement) : date et lieu de naissance, sexe, nationalité, adresse postale, code interne à l'établissement, identifiant Massar le cas échéant, photo d'identité le cas échéant, ainsi que le nom et le téléphone d'une personne à contacter en cas d'urgence.
- Données d'identification du parent ou tuteur : adresse postale, ville, numéro de CIN ou de passeport le cas échéant, profession et employeur le cas échéant.
- Données de scolarité : classe, notes, appréciations, absences et justificatifs, dossiers de discipline, emploi du temps, inscriptions.
- Données de santé de l'élève : allergies alimentaires, à la seule fin de la restauration scolaire, ainsi que les justificatifs d'absence lorsque la famille transmet un certificat médical. Ces données ne sont accessibles qu'aux personnels de l'établissement qui en ont besoin, ne sont jamais utilisées à d'autres fins et ne sont transmises à aucun tiers.
- Données financières : factures, paiements et avoirs ; références de règlement, y compris le numéro et la banque d'un chèque remis à l'établissement ; coordonnées du compte bancaire de l'établissement lorsqu'il les enregistre.
- Données du personnel (module Ressources humaines, lorsqu'il est activé par l'établissement) : adresse postale, date de naissance, numéro de CIN, matricule CNSS, poste, type de contrat, salaire de base, bulletins de paie, congés et absences.
- Contenus utilisateur : fichiers déposés (devoirs, ressources pédagogiques, pièces justificatives), messages et annonces.
- Données techniques : journal d'audit des opérations sensibles — nature de l'opération, utilisateur, date, adresse IP, navigateur, et valeurs modifiées avant et après changement — ainsi que les rapports d'erreur nécessaires au diagnostic technique.
- Notifications : jetons d'appareil si vous activez les notifications (révocables à tout moment).
L'application mobile ne demande aucune permission d'accès à la géolocalisation, aux contacts, au calendrier, au micro ou à l'appareil photo : sa seule permission est l'accès à Internet. Ilimo n'utilise aucun outil publicitaire ni aucun traceur à des fins de marketing.
3. Finalités et base légale
- Fournir le service de gestion scolaire (exécution du contrat entre l'établissement et Ilimo) ;
- Communiquer avec les familles et le personnel (intérêt légitime de l'établissement) ;
- Assurer la sécurité de la plateforme et la traçabilité des accès (obligation légale et intérêt légitime) ;
- Facturation et gestion de l'abonnement de l'établissement (exécution du contrat).
4. Durée de conservation
Les données sont conservées pendant la durée du contrat de l'établissement avec Ilimo, puis supprimées ou anonymisées dans un délai maximal de 12 mois après la fin du contrat, sauf obligation légale de conservation plus longue (données comptables notamment). Les comptes désactivés à la demande de leur titulaire sont traités selon la procédure décrite sur la page Suppression de compte.
5. Hébergement, sous-traitants et transferts
Les données de gestion scolaire sont hébergées dans l'Union européenne : traitement applicatif et fichiers déposés chez Vercel (région de calcul et de stockage à Paris, France), base de données chez Neon (Francfort, Allemagne). Elles transitent exclusivement en HTTPS/TLS et sont chiffrées au repos en AES-256 par l'hébergeur, qui est certifié SOC 2 et ISO 27001.
Ilimo fait appel aux sous-traitants techniques suivants, chacun pour la seule finalité indiquée :
- Vercel — hébergement de l'application et des fichiers déposés — société américaine, calcul et stockage en France ;
- Neon — base de données — Francfort, Allemagne ;
- Sentry — détection des erreurs techniques — instance européenne, Allemagne. Sentry enregistre également un échantillon des sessions à des fins de diagnostic : 5 % des sessions et la totalité des sessions ayant rencontré une erreur. Ces enregistrements sont produits avec masquage systématique de tout texte affiché et blocage des images et médias : ils permettent de reconstituer l'enchaînement des actions, non de lire le contenu des écrans ;
- Pusher — actualisation en temps réel des notifications — Irlande (Union européenne) ;
- Resend — envoi des emails de notification — États-Unis ;
- Google (Firebase Cloud Messaging) — acheminement des notifications vers les téléphones — États-Unis.
L'ensemble de ces traitements a lieu hors du Maroc : à ce titre, ils relèvent des articles 43 et 44 de la Loi 09-08 et de la formalité correspondante auprès de la CNDP. Parmi eux, seuls Resend et Google Firebase Cloud Messaging traitent des données hors de l'Union européenne ; les données qui leur sont confiées se limitent aux éléments nécessaires à l'envoi d'une notification. Ilimo fournit à chaque établissement les éléments nécessaires à ces démarches.
Ilimo applique le contrôle d'accès par rôle, l'isolation des données entre établissements et la journalisation des accès. La base de production dispose d'une capacité de restauration à tout instant des sept derniers jours, complétée par des sauvegardes quotidiennes conservées trente jours.
6. Vos droits
Conformément à la Loi 09-08, vous disposez d'un droit d'accès, de rectification, d'opposition et d'effacement de vos données. Vous pouvez les exercer :
- directement auprès de votre établissement scolaire (responsable du traitement) ;
- via la fonctionnalité « Mes droits (Loi 09-08) » de votre espace, lorsqu'elle est activée ;
- ou en écrivant à support@ilimo.ma.
7. Contact
Pour toute question relative à la présente politique ou à vos données : support@ilimo.ma — voir aussi la page Support.