Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement est l'éditeur de Nabla, identifié dans les mentions légales. Pour toute question relative à tes données ou pour exercer tes droits : contact@nabla-prepa.fr.

2. Données traitées

Nabla traite les catégories de données suivantes :

• Identité et compte : nom, adresse e-mail, mot de passe (stocké sous forme de condensat, jamais en clair), photo de profil si tu en ajoutes une.
• Parcours scolaire : filière, année, établissement, spécialité, concours visé, écoles visées, objectif principal — tous facultatifs sauf la filière et l'année.
• Données pédagogiques : progression dans les cours et exercices, résultats de révision, notes que tu saisis, agenda, sessions de travail, XP et badges.
• Productions : réponses rédigées lors des colles et simulations d'oral, y compris les enregistrements vocaux transmis pour transcription.
• Données techniques : journaux de connexion et informations de session nécessaires à la sécurité du service.
• Données de facturation : en cas d'abonnement, un identifiant client Stripe et l'état de l'abonnement. Nabla ne stocke jamais tes coordonnées bancaires.

3. Finalités et bases légales

Chaque traitement repose sur une base légale précise :

• Fourniture du service (compte, contenus, progression) — exécution du contrat (art. 6.1.b RGPD).
• Personnalisation des recommandations et du plan de travail — exécution du contrat, avec un réglage « Personnaliser mon expérience » qui te permet de la désactiver à tout moment depuis Réglages › Confidentialité.
• Historique d'activité (flux, calendrier de régularité) — exécution du contrat, désactivable depuis le même écran.
• Gestion des abonnements et facturation — exécution du contrat et obligations comptables (art. 6.1.b et 6.1.c).
• Notifications et e-mails d'information — ton consentement, retirable réglage par réglage.
• Sécurité, prévention des abus et limitation de charge — intérêt légitime (art. 6.1.f).

4. Traitements assistés par intelligence artificielle

La génération des plans de travail, des colles et des corrections repose sur un modèle de langage exploité par un prestataire tiers (OpenAI). Les éléments de contexte transmis se limitent à ce qui est nécessaire : filière, année, progression, points faibles, échéances et, le cas échéant, ta réponse à corriger. Si tu désactives « Personnaliser mon expérience », ce contexte est réduit à ta filière et à ton année : les notes, les points faibles et l'historique ne sont plus transmis. Ces traitements n'emportent aucune décision automatisée produisant des effets juridiques à ton égard au sens de l'article 22 du RGPD : les contenus produits sont des suggestions pédagogiques.

5. Destinataires et sous-traitants

Tes données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins publicitaires. Elles sont accessibles aux sous-traitants strictement nécessaires au fonctionnement du service :

• Supabase — Hébergement de la base de données et authentification. Localisation : Union européenne (région Francfort).
• Vercel — Hébergement et diffusion de l'application. Localisation : États-Unis — clauses contractuelles types.
• Stripe — Paiement et gestion des abonnements. Localisation : Irlande / États-Unis — clauses contractuelles types.
• OpenAI — Génération des plans de travail et des corrections de colles. Localisation : États-Unis — clauses contractuelles types.

6. Transferts hors Union européenne

Certains sous-traitants sont établis aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification du prestataire au Data Privacy Framework.

7. Durées de conservation

Les données sont conservées le temps strictement nécessaire :

• Compte et données pédagogiques : pendant toute la durée de vie du compte, puis supprimées sous 30 jours après sa suppression.
• Compte inactif : suppression après 3 ans sans connexion, après information préalable par e-mail.
• Enregistrements vocaux des colles : transmis pour transcription puis non conservés ; seule la transcription textuelle est enregistrée avec ta session.
• Données de facturation : 10 ans, en application des obligations comptables (art. L.123-22 du Code de commerce).
• Journaux techniques de sécurité : 12 mois au maximum.

8. Tes droits

Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de tes données après ton décès. Deux de ces droits s'exercent directement dans l'application, sans démarche : Réglages › Confidentialité te permet d'exporter l'intégralité de tes données au format JSON, et de supprimer définitivement ton compte. Pour les autres demandes : contact@nabla-prepa.fr. Une réponse te sera apportée dans un délai d'un mois. Si tu estimes, après nous avoir contactés, que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).

9. Mineurs

Nabla s'adresse à des étudiants de classes préparatoires, dont une partie est mineure. Le service n'est pas destiné aux enfants de moins de 15 ans. Si tu as moins de 15 ans, la création d'un compte requiert l'autorisation du titulaire de l'autorité parentale, conformément à l'article 45 de la loi Informatique et Libertés.

10. Sécurité

Les échanges sont chiffrés en transit (HTTPS). L'accès aux données est cloisonné par utilisateur au niveau de la base de données, au moyen de politiques de sécurité au niveau des lignes. Les mots de passe ne sont jamais stockés en clair. Les paiements sont intégralement traités par Stripe : aucune donnée bancaire ne transite par nos serveurs.

11. Modification de cette politique

Cette politique peut être modifiée pour refléter une évolution du service ou de la réglementation. En cas de modification substantielle, tu en seras informé par e-mail ou par une notification dans l'application avant son entrée en vigueur.