Politique de confidentialité
Dernière mise à jour : 6 novembre 2026
Cette politique explique comment corollAIre traite tes données personnelles, conformément au règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.
Pressé(e) ? L'essentiel tient sur une page : la confidentialité en clair.
1. Responsable du traitement
[À COMPLÉTER], [À COMPLÉTER] (voir les mentions légales). Contact pour toute question sur tes données : contact@corollaire.app. [À COMPLÉTER si un délégué à la protection des données (DPO) est désigné.]
2. Données collectées
- Compte : adresse e-mail, mot de passe (stocké haché par notre prestataire d'authentification), nom ou pseudo, filière, année, prépa et ville.
- Entraînement : messages échangés avec l'examinateur IA, réponses écrites, notes, points forts et faibles, progression sur les flashcards, historique des sessions.
- Audio et scans (uniquement avec ton accord) : enregistrements vocaux envoyés pour transcription (jamais conservés par corollAIre) et photos de brouillons ou de copies (conservées 30 jours avec la khôlle notée, puis effacées).
- Arena et battles : pseudo, classement Elo, XP, réponses de battle, classes et tournois rejoints, signaux anti-triche (temps de réponse, changements d'onglet, score de confiance).
- Abonnement : offre souscrite, statut et dates, identifiants client et abonnement Stripe. Nous ne recevons jamais tes numéros de carte.
- Retours : messages envoyés via le formulaire de feedback et l'adresse e-mail éventuellement saisie.
- Mesure d'usage : une quinzaine d'événements (khôlle démarrée, notée, indice demandé, page tarifs vue…) avec des informations non identifiantes (filière, banque, note, nombre d'indices). Jamais ton e-mail, ton nom, ton adresse IP ni le texte de tes réponses. Aucun cookie ni stockage dans ton navigateur.
- Données techniques : compteurs d'usage de l'IA (quotas et limitation d'abus), journaux techniques de l'hébergeur (adresse IP, date, page demandée).
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer ton compte, fournir les khôlles, corrections, flashcards et battles | Exécution du contrat (CGU) |
| Transcrire ta voix et analyser tes scans par l'IA | Consentement, retirable à tout moment |
| T'envoyer des rappels hors de l'appli (notification ou e-mail) | Consentement, par canal, retirable à tout moment |
| Gérer les abonnements, paiements et factures | Exécution du contrat ; obligation légale (comptabilité) |
| Classements et battles entre utilisateurs | Exécution du contrat |
| Sécurité, quotas, prévention de la triche et des abus | Intérêt légitime (protéger le service et l'équité des classements) |
| Mesurer l'usage du service pour l'améliorer (statistiques internes) | Intérêt légitime ; tu peux t'y opposer par e-mail |
| Traiter tes retours et améliorer le service | Intérêt légitime |
corollAIre ne vend pas tes données, n'affiche pas de publicité et n'utilise aucun traceur publicitaire ni outil de mesure d'audience tiers. Les notes générées par l'IA ne produisent aucun effet juridique sur toi : elles sont purement indicatives.
Rappels. Tu choisis dans ton profil (rubrique Rappels) de recevoir, le soir, un message au plus par jour : série qui s'arrête, rival Arena qui te dépasse, résultat de ligue. Rien n'est envoyé sans ton accord, enregistré avec sa date. Les notifications passent par le service de ton navigateur (Google, Apple ou Mozilla), qui ne reçoit qu'un message chiffré ; les e-mails passent par Brevo. Tu coupes tout depuis ton profil, ou par le lien en bas de chaque e-mail, sans te connecter.
4. Destinataires et sous-traitants
Tes données sont accessibles à l'équipe de corollAIre dans la limite de ses besoins, et traitées pour notre compte par les sous-traitants suivants :
| Prestataire | Rôle | Pays |
|---|---|---|
| Supabase | Base de données, authentification | France (Paris, région eu-west-3) |
| Vercel | Hébergement de l'application, journaux techniques | États-Unis et UE (réseau mondial) |
| Stripe | Paiement et facturation | Irlande, États-Unis |
| Brevo (Sendinblue) | Envoi des rappels par e-mail, si tu les as activés | France, UE |
| Service de notification de ton navigateur (Google, Apple, Mozilla) | Acheminement des notifications, si tu les as activées (contenu chiffré) | États-Unis, UE |
| Groq | IA : dialogue, correction, transcription audio, lecture de scans | États-Unis |
| OpenAI | IA : dialogue, correction, transcription, lecture de scans (en secours de Groq) | États-Unis |
Aucune de tes données n'est envoyée vers un fournisseur situé en Chine : le fournisseur DeepSeek, compatible avec notre code, est désactivé pour tout ce qui concerne les élèves.
Les autres utilisateurs voient ton pseudo, ta prépa, ta filière et tes scores dans les classements, battles et classes que tu rejoins. Le professeur d'une classe voit les statistiques de ses membres.
5. Intelligence artificielle et transferts hors UE
Pour générer les réponses de l'examinateur, nous transmettons à un fournisseur d'IA l'énoncé, l'historique récent de la conversation, ta réponse, ta filière et ton niveau. Jamais ton e-mail, ton nom, ton pseudo, ta prépa ni ton identifiant : pour l'IA, tu es « l'élève ». Les photos sont nettoyées de leurs métadonnées (position GPS, modèle de téléphone, date) avant l'envoi.
Ta voix et tes scans ne sont envoyés qu'après ton consentement explicite, demandé à la première utilisation, vérifié par nos serveurs à chaque envoi et modifiable dans Profil → Mes données.
Pas d'entraînement sur tes données. Les conditions d'API de Groq et d'OpenAI leur interdisent d'utiliser ce que nous leur envoyons pour entraîner leurs modèles. Groq ne conserve pas les requêtes par défaut et nous activons en plus son option « rétention zéro » ; OpenAI peut les conserver au maximum 30 jours pour détecter les abus, puis les efface. [À VÉRIFIER : réglages « Data controls » confirmés sur les deux comptes.]
Ces fournisseurs étant situés aux États-Unis, les transferts sont encadrés par la décision d'adéquation UE-États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, et à défaut par les clauses contractuelles types de la Commission européenne (art. 46 RGPD). Tu peux en obtenir une copie en écrivant à contact@corollaire.app. [À VÉRIFIER : certification DPF de chaque prestataire et signature des DPA.]
Évite d'écrire ou de photographier des informations personnelles (visage, nom, adresse) dans tes réponses : elles ne sont pas nécessaires à l'entraînement.
6. Durées de conservation
| Données | Durée |
|---|---|
| Compte et données d'entraînement | Tant que le compte est actif ; suppression après 3 ans sans connexion, précédée d'un e-mail d'avertissement. [À COMPLÉTER : purge d'inactivité à mettre en place.] |
| Audio | Jamais conservé par corollAIre (transmis pour transcription, puis oublié) |
| Scans de brouillons | 30 jours, puis effacement automatique (la note et la correction restent) |
| Mesure d'usage | 13 mois, puis effacement automatique |
| Réglages de rappels et appareils abonnés aux notifications | Jusqu'à ce que tu les désactives ; un appareil qui n'existe plus est retiré au premier envoi |
| Journal des rappels envoyés (date, canal, sujet) | 90 jours, puis effacement automatique |
| Compteurs de quotas | 12 mois, puis effacement automatique |
| Retours (feedback) | 3 ans ; anonymisés dès la suppression du compte |
| Journaux techniques de l'hébergeur | Selon la durée fixée par Vercel et Supabase, 12 mois au maximum |
| Factures et données de paiement | 10 ans chez Stripe (obligation comptable, art. L123-22 du Code de commerce), même après suppression du compte |
À la suppression de ton compte, tout est effacé immédiatement, sauf les factures (obligation légale) et les retours, qui sont anonymisés.
7. Tes droits
Tu disposes d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (pour les traitements fondés sur l'intérêt légitime), ainsi que du droit de retirer ton consentement à tout moment et de définir des directives sur le sort de tes données après ton décès.
- Directement depuis l'application : Profil → Mes données permet de télécharger toutes tes données (fichier JSON), de retirer ton accord pour l'audio et les scans, et de supprimer définitivement ton compte. Ton profil se modifie depuis la même page.
- Par e-mail : contact@corollaire.app. Nous répondons sous un mois au plus.
- Tu peux introduire une réclamation auprès de la CNIL (cnil.fr/fr/plaintes).
8. Mineurs
Le service s'adresse aux élèves de CPGE, qui ont déjà le baccalauréat : la très grande majorité a 17 ans ou plus. En France, l'âge du consentement numérique est de 15 ans (art. 45 de la loi Informatique et Libertés). Il ne concerne que les traitements fondés sur ton consentement, ici l'envoi de ta voix et de tes scans à l'IA. En créant un compte, tu déclares avoir au moins 15 ans ; si ce n'est pas le cas, ce consentement doit être donné avec un titulaire de l'autorité parentale. Un mineur ne peut souscrire une offre payante qu'avec l'accord de ses parents (voir les CGU).
9. Sécurité
Connexions chiffrées (HTTPS), mots de passe hachés, cloisonnement des données par utilisateur au niveau de la base (Row Level Security), clés d'accès aux services conservées côté serveur uniquement.
10. Cookies
Voir la politique cookies.