Politique de Confidentialité 🔒

1. Transparence Totale sur Nos Partenaires

ORBITECH AI ACADEMY s'engage à une transparence absolue sur la protection de tes données. Cette politique est basée sur les DPA 2026 signés avec nos partenaires techniques (Supabase, Anthropic, Stripe), pas sur des approximations.

Responsable du Traitement

Partenaires Techniques Certifiés

2. Intelligence Artificielle : Données Réelles 2026

2.1 Politique API Commerciale (Notre Usage)

2.2 Différence Cruciale : API vs Interface Web

2.3 Protections Techniques

• Chiffrement en transit : TLS 1.3 pour tous les échanges client↔serveur
• Authentification sécurisée : API key stockée côté serveur uniquement
• Pas de persistance IA : Aucun stockage côté fournisseur après traitement
• Filtrage automatique : Données sensibles filtrées avant envoi

2.4 Documents et Images (Scan IA, PDF Analyzer)

• Aucune conservation : Tes fichiers ne sont jamais stockés sur nos serveurs ni chez le fournisseur IA
• Traitement éphémère : Le fichier est analysé puis immédiatement supprimé de la mémoire
• Pas d'entraînement : Tes documents ne servent JAMAIS à entraîner l'IA
• Chiffrement : Transit sécurisé TLS 1.3 pendant l'envoi

3. Infrastructure : Hébergement RGPD

3.1 Conformité RGPD Infrastructure 2026

3.2 Configuration Sécurisée ORBITECH

3.3 Architecture de Données

• Tables utilisateurs : Données personnelles minimales chiffrées
• Conversations : Stockage chiffré AES-256 au repos (Supabase eu-west-3)
• Logs système : Pseudonymisés et durée limitée
• Métadonnées : Logs pseudonymisés, séparés des données identifiantes
• Accès granulaire : Principe du moindre privilège strict

3.4 Transferts et Localisation

Données utilisateurs : Stockées exclusivement en Union Européenne (AWS Paris via Supabase). En revanche, le traitement par l'IA transite par l'API Anthropic, dont les serveurs peuvent être situés aux États-Unis (voir ci-dessous). DPA Supabase signé avec SCCs, UK Addendum et Swiss Addendum.

Traitement IA : Les requêtes vers l'assistant IA transitent via l'API Anthropic (Claude). Les serveurs de traitement peuvent être situés aux USA. Ces transferts sont conformes au RGPD grâce au DPA signé avec SCCs Module 2 et 3. Suppression 30 jours post-résiliation, zéro entraînement IA (interdit contractuellement).

Paiements : Stripe (SPEL) avec DPA signé. PCI-DSS Level 1, SOC 1 et SOC 2, chiffrement AES-256, TLS 1.2. Notification incident sous 48h (RGPD/UK GDPR). Logs de synchronisation paiement : supprimés automatiquement après 24 heures (aucune rétention).

Roadmap 2026 : Migration prévue vers AWS Bedrock EU pour un traitement IA 100% européen. Adéquation UE-UK renouvelée jusqu'à décembre 2031.

4. Données Collectées (Minimales)

4.1 Données d'Inscription (Strictement Nécessaires)

• Prénom : Personnalisation interface (ex: "Bonjour Marie")
• Nom : Identification compte et initiales
• Email : Authentification et communications essentielles
• Niveau scolaire : Adaptation pédagogique de l'IA
• Mot de passe haché : Sécurité compte (bcrypt avec salt)

4.2 Données de Conversation (Chiffrées)

• Messages utilisateur : Questions posées à l'IA éducative
• Réponses IA : Guidance pédagogique fournie par notre système
• Métadonnées : Horodatage, session ID chiffré
• Contexte pédagogique : Matière détectée, niveau adapté

4.3 Données Techniques (Sécurité)

• Adresse IP : Sécurité, détection fraude, géolocalisation pays
• User-Agent : Compatibilité technique navigateur
• Logs connexion : Horodatage, sécurité compte
• Statistiques usage : Nombre questions, temps session (anonymisées)

4.4 Données NON Collectées

5. Finalités du Traitement

5.1 Finalités Principales

• Service d'assistance IA éducative : Guidance pédagogique personnalisée via IA
• Gestion comptes utilisateurs : Authentification, profils, statistiques personnelles
• Amélioration du service : Optimisation interface (données anonymisées uniquement)
• Support utilisateur : Assistance technique et pédagogique

5.2 Finalités Techniques

• Sécurité système : Prévention fraude, détection intrusions
• Obligations légales : Conformité RGPD, logs LCEN
• Communications essentielles : Notifications sécurité, mises à jour critiques

6. Bases Légales RGPD

6.1 Exécution du Contrat (Art. 6.1.b RGPD)

Base principale : Le traitement est nécessaire à l'exécution du contrat de service d'assistance IA éducative. Sans tes données (email, niveau, conversations), le service ne peut être fourni.

6.2 Consentement (Art. 6.1.a RGPD)

Pour les utilisateurs 15+ ans : consentement libre lors de l'inscription. Pour les moins de 15 ans : autorisation parentale obligatoire avec double validation.

6.3 Intérêt Légitime (Art. 6.1.f RGPD)

• Sécurité du service : Prévention fraude, protection utilisateurs
• Amélioration produit : Optimisation interface (données anonymisées)
• Support technique : Résolution problèmes, maintenance

6.4 Obligation Légale (Art. 6.1.c RGPD)

• Logs connexion : Conservation 1 an (LCEN)
• Coopération judiciaire : Si réquisition légale
• Comptabilité : Facturation premium (Code général impôts)

7. Mesures de Sécurité Techniques

7.1 Chiffrement Multi-Couches

7.2 Architecture Sécurisée

• Infrastructure sécurisée : Isolation complète API IA
• Row Level Security : Accès données strictement limité
• Authentification renforcée : MFA disponible pour administrateurs
• Principe moindre privilège : Accès minimal nécessaire
• Monitoring 24/7 : Détection anomalies en temps réel

7.3 Certifications Partenaires

7.4 Gestion des Incidents

En cas de violation de données : notification CNIL sous 72h et information utilisateurs concernés sous 48h maximum si risque élevé pour leurs droits.

8. Conservation des Données

8.1 Durées de Conservation Précises

• Conversations NON sauvegardées : Suppression automatique après 30 jours - Aucune exploitation, nettoyage quotidien automatique
• Conversations sauvegardées manuellement : Conservation 30 jours à partir de la date de sauvegarde. Un compteur indique le temps restant dans ton espace personnel. Jamais exploitées ni analysées - stockées uniquement pour ton historique personnel. Tu peux re-sauvegarder pour réinitialiser le compteur.
• Données compte actif : Pendant utilisation + 1 an après inactivité
• Données chez Anthropic (IA) : Suppression 30 jours après résiliation du contrat (DPA 2026)
• Logs techniques de synchronisation paiement : Suppression automatique après 24 heures - Aucune rétention des données de synchronisation Stripe, purge automatique quotidienne
• Logs sécurité infrastructure : 1 an (obligation LCEN)
• Données facturation (Stripe) : 10 ans (obligation comptable)

8.2 Suppression Automatique

8.3 Droit à l'Effacement Facilité

Suppression sous 48h : Bouton "Supprimer définitivement" dans paramètres. Processus irrévocable avec certificat de destruction émis automatiquement.

9. Tes Droits RGPD Facilités

9.1 Exercice Simplifié de Tes Droits

9.2 Droit d'Accès (Art. 15 RGPD)

Export auto instantané : Toutes tes données personnelles disponibles en format JSON structuré via ton espace perso. Aucune attente, aucun justificatif.

9.3 Droit de Rectification (Art. 16 RGPD)

Modification en temps réel : Prénom, nom, niveau scolaire modifiables instantanément. Prise d'effet immédiate sur tous systèmes.

9.4 Droit à l'Effacement (Art. 17 RGPD)

9.5 Droit à la Portabilité (Art. 20 RGPD)

Export multi-format : Conversations et données en JSON, CSV, TXT. Compatible avec autres services IA éducative. Téléchargement instantané.

9.6 Droit d'Opposition (Art. 21 RGPD)

• Intérêt légitime : Opposition via paramètres avec prise d'effet immédiate
• Communications : Désinscription en un clic permanent
• Profilage : Non applicable (on ne profile pas)

10. Transferts Internationaux

10.1 Localisation Géographique

10.2 Garanties Contractuelles

10.3 Fournisseurs et Transferts

Sociétés US mais conformité EU : Nos fournisseurs techniques sont américains mais proposent des DPA RGPD-conformes pour services commerciaux. Tes données transitent chiffrées et sont supprimées selon politiques strictes.

10.4 Transparence sur les Transferts