Politique de
Confidentialité

La présente Politique de confidentialité décrit la manière dont Scolasio (ci-après « nous ») collecte, utilise, conserve et protège vos données personnelles lorsque vous utilisez notre site web, notre application web et nos applications mobiles, notamment l'application iOS Scolasio (ensemble, ci-après « le Service »).

En accédant ou en utilisant le Service, vous acceptez la présente Politique de confidentialité. Si vous n'êtes pas d'accord avec ses termes, nous vous invitons à ne pas utiliser le Service.

Nous nous engageons à traiter vos données personnelles en conformité avec le Règlement (UE) 2016/679 relatif à la protection des données personnelles (« RGPD »).

Nous collectons uniquement les données nécessaires au fonctionnement du Service :

• Identification : nom, prénom, adresse e-mail (pour la création et la gestion de votre compte), ainsi que l'identifiant et les informations de profil (nom, adresse e-mail, éventuellement masquée) transmis par Google ou Apple lorsque vous utilisez « Continuer avec Google » ou « Continuer avec Apple ».
• Profil éducatif : niveau scolaire, classe, matière, objectifs, centres d'intérêt et informations renseignées lors de l'onboarding, utilisées pour personnaliser votre expérience d'apprentissage.
• Contenu soumis : messages et conversations que vous échangez avec le prof IA, photos prises avec l'appareil photo ou choisies dans votre photothèque, documents importés (PDF, images, textes) et réponses rédigées lors des examens blancs. Ces contenus sont traités par un service d'intelligence artificielle tiers (voir § 3) et conservés pour vous permettre de retrouver votre historique (voir § 8).
• Documents publiés : fiches, résumés et quiz que vous choisissez de partager, ainsi que le nom d'auteur affiché publiquement avec eux.
• Signalements, blocages et suggestions : les contenus que vous signalez (réponse de l'IA ou document), le motif choisi, les auteurs que vous bloquez et les messages envoyés depuis la rubrique Suggestions.
• Consentements : date d'acceptation des conditions d'utilisation, de votre accord pour l'utilisation de l'IA et, avant 15 ans, de la confirmation de l'accord d'un parent.
• Données techniques : logs de connexion, adresse IP, type de navigateur, appareil, et, en cas de plantage de l'application mobile, un rapport d'erreur associé à votre identifiant de compte.
• Paiement : nous ne stockons jamais vos informations bancaires. Les abonnements souscrits sur le web sont traités par Stripe, prestataire tiers sécurisé et conforme aux normes PCI-DSS. Les abonnements souscrits dans l'application mobile sont encaissés par l'App Store d'Apple : seul Apple reçoit vos données de paiement. Nous n'en recevons, par l'intermédiaire de RevenueCat, qu'un identifiant de transaction, le produit acheté, le montant, la devise et la date d'expiration de l'abonnement.

Les fonctionnalités d'intelligence artificielle du Service (prof IA, création de flashcards, examens blancs et leur correction, plans de révision) reposent sur un service tiers : Google LLC, via ses modèles Gemini proposés sur Google Cloud Vertex AI.

Lorsque vous utilisez ces fonctionnalités, nous transmettons à Google :

• les messages que vous écrivez au prof IA et l'historique de la conversation,
• les photos et documents que vous joignez,
• vos réponses aux examens blancs, pour leur correction,
• des informations de profil pour adapter les réponses : votre prénom, votre classe, votre objectif, vos centres d'intérêt, l'humeur que vous indiquez, ainsi que la matière, le chapitre ou l'examen travaillé (et votre âge si vous avez renseigné une date de naissance sur le web),
• un identifiant technique de compte. Votre nom de famille et votre adresse e-mail ne sont pas transmis.

Google traite ces données pour notre compte, en qualité de sous-traitant, uniquement pour produire le contenu que vous demandez. Sur le site web uniquement, le texte des podcasts générés par l'IA est en outre transmis à OpenAI pour sa synthèse vocale ; aucun contenu que vous avez rédigé n'y est envoyé. L'application iOS ne transmet aucune donnée à OpenAI.

Votre accord : dans l'application mobile, rien n'est envoyé au service d'IA avant que vous ayez donné votre accord sur un écran dédié, qui précise les données envoyées et leur destinataire. Si vous refusez, les fonctionnalités d'IA restent désactivées et le reste du Service fonctionne. Vous pouvez retirer votre accord à tout moment depuis Profil > Sécurité > Utilisation de l'IA.

Les réponses générées peuvent contenir des erreurs : vérifiez les informations importantes.

Vos données sont traitées pour les finalités suivantes :

Sur le site web uniquement, et avec votre consentement, nous pouvons utiliser certaines données (ex. votre adresse e-mail, sous forme hachée) pour créer des audiences publicitaires sur des plateformes tierces (ex. Meta, TikTok, Google). Les données collectées par l'application iOS ne sont jamais utilisées à des fins publicitaires ni partagées avec ces plateformes, et l'application ne vous suit pas à travers les applications et sites d'autres sociétés.

Vous pouvez retirer votre consentement à tout moment en nous contactant (voir § 12).

Nous ne vendons jamais vos données personnelles. Nous partageons certaines données uniquement avec les destinataires suivants, chacun pour la seule finalité indiquée :

• Vercel et Supabase, pour l'hébergement du Service, de la base de données et des fichiers,
• Google LLC (Google Cloud, Vertex AI et modèles Gemini), pour les fonctionnalités d'intelligence artificielle, avec votre accord : messages, photos, documents, réponses aux examens blancs, prénom et informations scolaires (voir § 3),
• OpenAI, pour la synthèse vocale des podcasts du site web : uniquement le texte généré par l'IA,
• Google et Apple, lorsque vous choisissez de vous connecter avec leur service : ils nous transmettent un identifiant, votre nom et votre adresse e-mail (qu'Apple permet de masquer),
• PostHog, pour la mesure d'audience du site web (pages consultées, interactions),
• Stripe, pour le traitement des paiements liés à l'abonnement premium,
• Apple, lorsque vous souscrivez un abonnement depuis l'application mobile : l'achat est encaissé par l'App Store, qui traite vos données de paiement selon sa propre politique de confidentialité,
• RevenueCat, pour la gestion et la synchronisation de ces abonnements souscrits dans l'application mobile (identifiant de compte, historique d'achat, statut de l'abonnement),
• Sentry, pour la collecte des rapports d'erreur et de plantage de l'application mobile (identifiant de compte, type d'appareil, version du système d'exploitation, trace technique de l'incident),
• Brevo, pour la gestion de nos communications par e-mail,
• des prestataires marketing (ex. Meta, TikTok, Google), pour les seuls utilisateurs du site web ayant donné leur consentement à la publicité ciblée (jamais pour les données de l'application iOS),
• les autorités compétentes, si la loi l'exige.

Nous sélectionnons ces prestataires, y compris le fournisseur d'intelligence artificielle, de manière à ce qu'ils assurent à vos données un niveau de protection identique ou équivalent à celui garanti par la présente Politique et par le RGPD, et nous les encadrons par des engagements contractuels en ce sens.

Si des transferts hors Union européenne sont nécessaires (ex. hébergement ou prestataires situés aux États-Unis ou à Singapour), ils seront encadrés par des clauses contractuelles types validées par la Commission européenne.

• Compte et profil : conservés tant que votre compte est actif, puis supprimés dans un délai de 2 mois après la suppression du compte.
• Messages et conversations : conservés tant que votre compte est actif afin de vous permettre d'accéder à votre historique, puis supprimés avec le compte.
• Documents publiés : conservés jusqu'à ce que vous les supprimiez ou que votre compte soit supprimé.
• Signalements et blocages : conservés 12 mois, pour le traitement des signalements et la sécurité des utilisateurs.
• Données techniques (logs) : conservées 12 mois maximum.
• Consentements publicitaires : conservés jusqu'au retrait de votre consentement.

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• droit d'accès et de copie,
• droit de rectification,
• droit à l'effacement (« droit à l'oubli »),
• droit d'opposition,
• droit à la limitation du traitement,
• droit à la portabilité,
• droit de retirer votre consentement à tout moment (pour les traitements fondés sur celui-ci).

Vous pouvez exercer ces droits depuis les paramètres de votre compte ou en nous contactant à l'adresse mentionnée au § 12. Vous pouvez supprimer votre compte et les données associées à tout moment : dans l'application mobile, depuis Profil > Sécurité > Supprimer mon compte ; sur le web, depuis les paramètres de votre compte. Vous pouvez retirer votre accord pour l'utilisation de l'IA depuis Profil > Sécurité > Utilisation de l'IA.

En cas de litige non résolu, vous avez le droit d'introduire une réclamation auprès de la CNIL ( www.cnil.fr).

Le Service est destiné aux élèves à partir du collège, aux lycéens et aux étudiants.

Avant 15 ans, conformément à l'article 45 de la loi Informatique et Libertés, l'utilisation du Service et le traitement des données personnelles qui en découle supposent l'accord préalable d'un titulaire de l'autorité parentale : lors de l'inscription, l'élève concerné confirme avoir obtenu cet accord. À partir de 15 ans, l'utilisateur consent seul au traitement de ses données.

Dans l'application iOS, aucune date de naissance n'est demandée : la classe choisie à l'inscription permet de savoir si l'accord d'un parent est requis. Sur le web, la date de naissance est demandée à l'inscription pour vérifier cette condition et adapter les contenus au niveau scolaire. Elle n'est utilisée à aucune autre fin et n'est jamais transmise à des fins publicitaires.

Un titulaire de l'autorité parentale peut à tout moment exercer, pour le compte du mineur, l'ensemble des droits décrits au § 9 — notamment l'accès aux données, leur rectification et la suppression du compte — en écrivant à contact@scolasio.com.

Si nous apprenons qu'un compte d'élève de moins de 15 ans a été créé sans l'accord d'un parent, nous supprimons ce compte et les données associées.