Politique de confidentialité

1. Responsable du traitement

Le responsable des traitements décrits dans la présente politique est Marwan BOUALI, entrepreneur individuel, SVsansT, 6 place des Orphelins, 67000 Strasbourg, France.

Contact vie privée : dpo@svsanst.com.

2. Principes appliqués

SVsansT applique des principes de minimisation, séparation des données, limitation des accès, sécurité, durée de conservation proportionnée et traçabilité. Les données ne sont pas vendues à des annonceurs. Elles ne sont pas utilisées pour constituer des profils publicitaires intersites.

3. Données traitées

3.1 Compte et identité

Identifiant de compte, nom, prénom, type de compte, e-mail lorsqu’il existe, statut, niveau scolaire, établissement déclaré ou rattaché, préférences, informations de profil et historique nécessaire à la gestion du compte.

3.2 Authentification et sécurité

Empreintes de mots de passe, sessions, adresses IP ou données techniques lorsqu’elles sont nécessaires à la sécurité, journaux de connexion, événements de sécurité, rate limiting, signalements et traces d’audit.

3.3 Données pédagogiques

Progression, résultats de quiz et certifications, contenus attribués, tâches, révisions, compétences, historique d’apprentissage, classes, travaux et autres données nécessaires aux fonctionnalités pédagogiques.

3.4 Paiement et facturation

Identité du payeur, bénéficiaire, plan, état de l’abonnement, factures, avoirs, historique des paiements et identifiants Stripe. SVsansT ne conserve pas le numéro complet d’une carte bancaire.

3.5 Communications

Préférences de notification, e-mails opérationnels, inscriptions à la newsletter, listes de diffusion, événements d’envoi, livraison, ouverture et clic lorsque ces informations sont fournies par Brevo, ainsi que la preuve d’une désinscription.

3.6 Fichiers et médias

Documents, images, pièces jointes, devoirs, justificatifs et fichiers déposés dans les fonctionnalités qui le permettent. Certaines catégories font l’objet d’une suppression accélérée après utilisation, notamment certains justificatifs de vérification ou fichiers temporaires.

4. Finalités et bases légales

• Exécution du contrat ou mesures précontractuelles : création et gestion du compte, fourniture des fonctionnalités, abonnements, facturation, support, espaces pédagogiques et services demandés.
• Intérêt légitime : sécurité, prévention de la fraude et des abus, amélioration technique, mesure d’audience interne limitée, modération, continuité du service et défense des droits.
• Consentement : communications facultatives, cookies facultatifs, traitements reposant explicitement sur un accord retirables à tout moment.
• Obligation légale : comptabilité, facturation, réponse aux autorités, gestion de certains incidents et conservation imposée par la loi.
• Protection des personnes : lorsque la sécurité d’un mineur ou d’une personne nécessite le traitement limité d’un signal grave, dans le cadre permis par la loi et les intérêts en jeu.

5. Mineurs, parents et établissements

SVsansT traite des données d’élèves et peut accueillir des comptes créés par un établissement sans adresse e-mail personnelle. Les comptes scolaires sont conçus pour préserver la progression et permettre un rattachement ou détachement de l’établissement sans perdre inutilement l’historique pédagogique.

Un responsable légal lié à un enfant peut accéder aux fonctions explicitement prévues pour la gestion familiale, notamment certains paramètres et la facturation. Ce rattachement ne signifie pas que toutes les données privées de l’enfant lui sont automatiquement ouvertes. Les permissions sont gérées par fonctionnalité.

6. Mon espace et intelligence artificielle

Lorsque l’assistant pédagogique est utilisé, le texte de la conversation, le contexte pédagogique utile et les fichiers nécessaires peuvent être transmis au service OpenAI afin de produire une réponse. Les appels sont configurés côté serveur et les requêtes de génération utilisent le paramètre de non-conservation applicative prévu par l’intégration lorsque celui-ci est disponible.

SVsansT peut enregistrer dans ses propres bases la conversation, les résumés pédagogiques, mémoires de difficulté ou de maîtrise et métadonnées nécessaires afin de fournir la continuité demandée par l’utilisateur. Ces données ne sont pas utilisées pour afficher de la publicité.

Les conversations ne sont pas rendues accessibles par défaut au parent ou à l’établissement. Un mécanisme de sécurité peut analyser le contexte afin de détecter certains signaux graves. Une éventuelle transmission à un adulte ou une structure est limitée, décidée humainement et ne donne pas un accès général à la conversation.

7. Professeurs particuliers et SVsansT Gestion

Pour les professeurs particuliers, SVsansT traite les informations publiques de profil et d’annonce, les matières, niveaux, disponibilités et éléments de vérification. L’adresse complète utilisée pour positionner une zone géographique est privée et n’est pas destinée à être affichée précisément dans l’annuaire.

Les documents de vérification sont accessibles uniquement aux personnes habilitées pendant leur examen et sont supprimés selon la politique prévue pour ce contrôle. Un badge indique uniquement le niveau de vérification effectivement réalisé.

Dans SVsansT Gestion, des données relatives aux relations professeur-élève, planning, séances, devoirs, documents, messages et factures déposées par le professeur peuvent être traitées afin de fournir le service demandé.

8. Contributeurs, chercheurs et auteurs

Les espaces de contribution peuvent traiter le profil public, l’organisation, la fonction, les domaines scientifiques, identifiants professionnels tels qu’ORCID, justificatifs de vérification, historiques de relecture et acceptations de conventions de contribution. Les contenus publiés peuvent rester accessibles tant qu’ils font partie du catalogue éditorial, sous réserve des droits de l’auteur et des nécessités d’archivage.

9. Newsletter et communications

Les communications indispensables au fonctionnement d’un compte ou d’un service peuvent être envoyées sur la base de l’exécution du contrat ou de l’intérêt légitime. Les newsletters et communications promotionnelles facultatives sont gérées séparément.

Chaque destinataire peut se désinscrire via le lien prévu dans les messages concernés. Une désinscription n’efface pas nécessairement immédiatement l’adresse : une trace limitée peut être conservée dans une liste d’opposition afin d’éviter un nouvel envoi non souhaité.

10. Mesure d’audience

SVsansT utilise une mesure d’audience interne destinée à comprendre la fréquentation, les appareils, parcours et performances du site. Lorsqu’elle est utilisée sous le régime de l’exemption applicable à la mesure d’audience, elle est limitée au compte de SVsansT, sans suivi intersites et avec des données destinées à produire des statistiques internes. Un mécanisme d’opposition est disponible dans le gestionnaire de cookies.

11. Destinataires et prestataires

Les données sont accessibles aux seules personnes habilitées au sein de SVsansT et, selon les fonctionnalités utilisées, aux prestataires techniques nécessaires :

• Hostinger : hébergement et infrastructure ;
• Backblaze B2 / stockage compatible S3 : stockage de certains fichiers et médias ;
• Stripe : paiement, abonnements et facturation ;
• Brevo : envoi d’e-mails, newsletters et suivi technique des campagnes ;
• OpenAI : génération et certaines fonctions d’assistance IA ;
• services scientifiques, cartographiques ou médias externes uniquement lorsqu’ils sont nécessaires à la fonctionnalité utilisée.

Ces prestataires n’accèdent aux données que pour les finalités nécessaires à leur service et selon leurs engagements contractuels ou leur propre rôle légal.

12. Transferts hors Espace économique européen

Certains prestataires internationaux peuvent traiter des données depuis des pays situés hors de l’Espace économique européen. Dans ce cas, SVsansT s’appuie sur les mécanismes de transfert prévus par le RGPD et sur les garanties mises en place par le prestataire concerné, notamment lorsqu’une décision d’adéquation ou des clauses contractuelles types sont applicables.

13. Durées de conservation

Les durées dépendent de la finalité. À titre de politique opérationnelle :

• données de compte : pendant la vie du compte puis conservation limitée des éléments nécessaires à la preuve ou aux obligations légales ;
• sessions actives : jusqu’à expiration ou révocation, avec une durée opérationnelle généralement limitée à environ 30 jours ;
• mesure d’audience détaillée : jusqu’à 25 mois ;
• newsletter : pendant l’abonnement, puis conservation limitée de la preuve de désinscription ou de l’opposition, pouvant aller jusqu’à 3 ans ;
• support et propositions : généralement jusqu’à 24 mois après clôture, puis archivage limité si nécessaire ;
• données contractuelles et factures : pendant la relation puis selon les durées légales, notamment comptables ;
• pièces jointes temporaires de l’assistant IA : purge accélérée, typiquement sous 30 jours lorsqu’elles ne sont plus nécessaires ;
• alertes de sécurité liées à l’IA : durée opérationnelle limitée, typiquement 12 mois, sauf dossier nécessitant une conservation différente.

Une suppression peut être différée lorsqu’une donnée est nécessaire pour établir, exercer ou défendre un droit, respecter une obligation légale ou traiter un incident de sécurité.

14. Droits des personnes

Selon le traitement et la base légale, vous pouvez exercer les droits d’accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement et définition du sort de certaines données après décès dans les conditions prévues par la loi.

La demande peut être effectuée depuis les outils disponibles dans le compte ou à dpo@svsanst.com. Une preuve d’identité peut être demandée uniquement lorsqu’elle est nécessaire pour éviter de transmettre des données à la mauvaise personne.

En cas de difficulté persistante après contact avec SVsansT, vous pouvez saisir la CNIL.

15. Sécurité

SVsansT met en œuvre des mesures adaptées à la nature du service : contrôle d’accès côté serveur, séparation de bases, chiffrement ou coffre de secrets, requêtes préparées, protections CSRF/XSS/SQLi, limitation de débit, journalisation, contrôle des sessions, stockage privé de fichiers et sauvegardes selon les composants concernés.

Aucune plateforme ne peut garantir un risque nul. En cas de violation de données présentant les critères prévus par le RGPD, les notifications requises sont effectuées auprès de l’autorité et, le cas échéant, des personnes concernées.

16. Mise à jour de la politique

Cette politique peut évoluer avec les fonctionnalités, prestataires ou obligations légales. La version publiée sur cette page est la version en vigueur. Les changements importants font l’objet d’une information adaptée lorsqu’elle est requise.