Politique de confidentialité

My Smart AI Teacher (« nous », « notre », « nos ») exploite la plateforme accessible à l'adresse https://mysmartaiteacher.com (le « Service »). Cette politique de confidentialité explique comment nous collectons, utilisons, partageons et protégeons vos informations personnelles.

Cette politique est conforme au Règlement Général sur la Protection des Données (RGPD - UE 2016/679), au California Consumer Privacy Act (CCPA/CPRA), à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE - Canada), et à la Loi 25 du Québec.

Responsable du traitement : My Smart AI Teacher.

Point de contact unique (RGPD / Loi 25 / CCPA) : [email protected]

Pour les résidents de l'UE : vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente (CNIL en France, ICO au Royaume-Uni, etc.).

Données fournies directement : adresse email, prénom, nom, date de naissance, mot de passe (haché), photo de profil (si Google OAuth).

Données de transaction : ID Stripe, montant, devise, date d'achat, plan acheté, crédits restants. Les numéros de cartes ne transitent jamais par nos serveurs (gérés par Stripe — PCI DSS Level 1).

Données techniques : adresse IP (anonymisée pour rate-limiting), user-agent, langue préférée, fuseau horaire approximatif.

Données d'usage du Coach IA : prompts envoyés et réponses générées, conservés pour permettre la reprise de conversation. Ces données ne sont jamais vendues ni utilisées pour entraîner des modèles tiers.

Données d'analyse (uniquement avec consentement) : heatmaps et enregistrements de session anonymisés via Microsoft Clarity ; événements de conversion via X Pixel et Google Tag Manager.

Fourniture du Service : création de compte, authentification, accès au contenu acheté, fonctionnement du Coach IA.

Gestion des paiements et de la facturation via Stripe.

Communication transactionnelle : confirmations d'achat, codes de connexion (magic links), changements importants du Service.

Newsletter (uniquement avec opt-in explicite) : nouvelles fonctionnalités, contenu pédagogique, offres promotionnelles.

Amélioration du Service : analyse anonymisée de l'usage (uniquement si consentement analytics donné).

Mesure publicitaire : suivi de conversion (uniquement si consentement marketing donné).

Obligations légales : conservation des factures (10 ans en France), réponse aux demandes des autorités compétentes.

Exécution du contrat (art. 6.1.b RGPD) : création de compte, paiement, accès au Service.

Consentement (art. 6.1.a RGPD) : cookies non-essentiels, newsletter, prospection commerciale.

Obligations légales (art. 6.1.c RGPD) : conservation comptable, lutte contre la fraude.

Intérêt légitime (art. 6.1.f RGPD) : sécurité du Service, prévention des abus, statistiques agrégées.

Compte utilisateur : actif tant que le compte existe. Supprimé sous 30 jours après demande d'effacement (art. 17 RGPD).

Données de facturation : 10 ans (obligation comptable).

Conversations Coach IA : durée du contrat + 30 jours.

Logs techniques : 6 mois maximum.

Données analytics (Clarity) : 12 mois.

Cookies de consentement : 6 mois (recommandation CNIL).

Nous faisons appel à des sous-traitants situés en UE, aux États-Unis et au Canada. Chacun est lié par un accord conforme à l'article 28 RGPD.

Hébergement et base de données : Supabase (UE/US — SCCs en place).

Paiement : Stripe Inc. (Irlande pour UE / US — DPA disponible).

Emails transactionnels et newsletter : Mailjet (France).

Captcha : Cloudflare Turnstile (US — SCCs).

Analytics (avec consentement) : Microsoft Clarity (US — SCCs).

Marketing (avec consentement) : X Corp. (US), Google LLC (US) via Google Tag Manager — SCCs.

Aucun sous-traitant n'a le droit d'utiliser vos données pour ses propres finalités.

Certains sous-traitants sont basés aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types (SCCs) de la Commission européenne et, le cas échéant, par le Data Privacy Framework EU-US.

Pour les résidents canadiens, nous appliquons les mesures équivalentes prévues par la LPRPDE et la Loi 25 (Québec).

Nous utilisons trois catégories de cookies :

• Cookies strictement nécessaires (toujours actifs) : authentification, sécurité CSRF, préférences de langue. Base légale : exécution du contrat / intérêt légitime.

• Cookies de mesure d'audience (opt-in) : Microsoft Clarity pour comprendre l'usage. Base légale : consentement.

• Cookies marketing (opt-in) : X Pixel, Google Tag Manager pour la mesure publicitaire. Base légale : consentement.

Vous pouvez modifier vos préférences à tout moment via le lien « Préférences cookies » en pied de page. Nous honorons automatiquement le signal Global Privacy Control (GPC) émis par votre navigateur.

Droit d'accès : obtenir une copie de vos données. Téléchargement automatique disponible dans Mon Compte > Vos données.

Droit de rectification : corriger des informations inexactes via Mon Compte.

Droit à l'effacement (droit à l'oubli) : supprimer votre compte via Mon Compte > Zone dangereuse.

Droit à la portabilité : export JSON disponible dans Mon Compte.

Droit à la limitation du traitement.

Droit d'opposition au traitement basé sur l'intérêt légitime.

Droit de retirer votre consentement à tout moment.

Droit d'introduire une réclamation auprès d'une autorité de contrôle.

Pour exercer ces droits, contactez-nous à [email protected]. Nous répondons sous 30 jours maximum.

Si vous résidez en Californie, vous bénéficiez de droits supplémentaires :

• Droit de savoir quelles catégories de données nous collectons et avec qui nous les partageons.

• Droit de demander la suppression de vos données.

• Droit de corriger des données inexactes.

• Droit de refuser la « vente » ou le « partage » de vos informations personnelles à des fins publicitaires (Do Not Sell or Share My Personal Information).

• Droit de ne pas subir de discrimination pour avoir exercé vos droits.

Pour exercer le droit d'opt-out, visitez : /privacy-choices. Nous honorons également le signal Global Privacy Control.

LPRPDE (fédéral) : vous avez le droit d'accès, de rectification et de retrait de consentement. Vous pouvez déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada.

Loi 25 du Québec : depuis le 22 septembre 2024, le consentement pour les cookies non-essentiels doit être explicite et granulaire. Vous avez également un droit à la désindexation et à la cessation de la diffusion. Vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec.

Notre responsable de la protection des renseignements personnels est joignable à [email protected].

Notre offre « Formation IA Ado » est destinée aux mineurs de 13 ans et plus. Pour les mineurs de moins de 16 ans en UE (ou 13 ans aux États-Unis sous COPPA), le consentement d'un parent ou tuteur légal est requis.

Si vous pensez qu'un mineur a fourni des données sans consentement parental, contactez-nous immédiatement à [email protected] pour suppression.

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données : chiffrement TLS 1.3 en transit, chiffrement at-rest sur Supabase et Stripe, rate-limiting, captcha Cloudflare Turnstile, principe du moindre privilège, accès SQL via Row Level Security.

Aucun système n'étant infaillible, en cas de violation de données affectant vos droits, nous vous notifierons sous 72 heures conformément à l'article 33 RGPD.

Nous pouvons mettre à jour cette politique. La date « Dernière mise à jour » en haut indique la version. Pour les changements substantiels (nouveau sous-traitant majeur, nouvelle finalité, etc.), nous vous informerons par email ou bannière in-app au moins 30 jours avant l'entrée en vigueur.

Pour toute question relative à cette politique ou pour exercer vos droits :

Email : [email protected]

Adresse postale : disponible sur demande à l'adresse ci-dessus.

Délai de réponse standard : sous 30 jours (parfois étendu à 90 jours pour les demandes complexes, avec notification motivée).