Politique de confidentialité

Le responsable du traitement au sens de la DSGVO (RGPD) est :

RH Group GmbH
Südliche Münchner Str. 60c
82031 Grünwald
Allemagne
E-mail: info@preparaio.com
Téléphone: +49 89 74044725

Nous ne traitons des données à caractère personnel que dans la mesure où cela est nécessaire pour fournir un site web fonctionnel et nos contenus pédagogiques, ou lorsqu'une autorisation légale le permet. Lors de la visite du site web, notre hébergeur enregistre automatiquement des données d'accès (adresse IP, date, User-Agent) dans des journaux de serveur afin de maintenir le fonctionnement du site et de prévenir les attaques (Art. 6 Abs. 1 lit. f DSGVO). Les journaux sont supprimés au bout de 30 jours au maximum.

Lors de l'inscription, nous traitons l'adresse e-mail, le nom d'affichage et les métadonnées d'authentification pour l'exécution du contrat (Art. 6 Abs. 1 lit. b DSGVO). Ces données sont conservées jusqu'à ce que tu supprimes ton compte, au plus tard 3 ans après ta dernière activité.

Nous traitons les réponses, la progression, le profil de compétences et les résultats des examens blancs pour fournir la prestation contractuelle (Art. 6 Abs. 1 lit. b DSGVO), ainsi que pour améliorer les contenus pédagogiques (Art. 6 Abs. 1 lit. f DSGVO, intérêt à garantir la qualité des exercices). Ces données sont conservées jusqu'à la suppression du compte ; les statistiques agrégées anonymisées (sans lien avec une personne) sont conservées au-delà de cette date.

Les paiements sont traités par Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlande) en tant que sous-traitant. Sont transmis : nom, adresse email, données de paiement et adresse IP. Base juridique : art. 6, § 1, b) RGPD (exécution du contrat). Détails dans la politique de confidentialité de Stripe sur stripe.com/privacy.

IA textuelle (expression écrite) : Les réponses libres aux exercices d'expression écrite sont transmises pour évaluation via le Lovable AI Gateway à des fournisseurs de modèles d'IA (Google Ireland Ltd. pour les modèles Gemini et OpenAI Ireland Ltd. / OpenAI, L.L.C. pour les modèles GPT). Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat). Sont transmis la réponse elle-même, l'énoncé de l'exercice et un identifiant pseudonyme de l'apprenant — aucun nom réel, aucune adresse e-mail ni donnée de paiement. Selon les accords conclus avec les fournisseurs, les données saisies ne sont pas utilisées pour entraîner les modèles.

Transcription vocale (expression orale) : Les enregistrements audio des exercices d'expression orale sont transmis à ElevenLabs, Inc. (169 Madison Ave, New York, NY 10016, USA) pour transcription automatique. Seul le fichier audio accompagné d'un identifiant pseudonyme de l'apprenant est transmis. Base juridique : Art. 6 Abs. 1 lit. b DSGVO.

Synthèse vocale (compréhension orale) : Pour générer les fichiers audio de compréhension orale, nous transmettons les textes des exercices (aucune donnée à caractère personnel) à ElevenLabs, Inc. ainsi qu'à OpenAI en solution de remplacement (Text-to-Speech). Les fichiers audio générés sont ensuite mis en cache dans notre base de données située dans l'UE.

Aucun entraînement des modèles : Conformément aux accords de sous-traitance ou de traitement des données conclus avec les fournisseurs, ni les données d'entrée ni les données de sortie ne sont utilisées pour entraîner les modèles d'IA.

• Hébergement, base de données, authentification, stockage de fichiers, e-mails d'authentification : Supabase (via Lovable Cloud), région UE.
• Traitement des paiements : Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlande (avec transfert à Stripe Inc., USA).
• Évaluation des textes par IA (via Lovable AI Gateway) : Google Ireland Ltd. (Gemini) et OpenAI Ireland Ltd. / OpenAI, L.L.C. (GPT).
• Transcription et synthèse vocales : ElevenLabs, Inc., USA ; OpenAI (uniquement comme solution de secours pour la synthèse vocale).
• Envoi d'e-mails (transactionnels et rappels d'apprentissage) : Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) en tant que prestataire d'envoi d'e-mails, connecté techniquement via le Lovable Connector-Gateway. Sont transmis l'adresse e-mail du destinataire, l'objet, le contenu de l'e-mail ainsi que les en-têtes techniques d'envoi (notamment le lien de désinscription).
• Mesure d'audience (uniquement avec consentement) : Google Ireland Ltd. pour Google Analytics 4 et Microsoft Ireland Operations Ltd. pour Microsoft Clarity.
• Mesure d'audience marketing (uniquement avec consentement) : Google Ireland Ltd. / Google LLC pour Google Ads Conversion Tracking et TikTok Technology Ltd. (Irlande) / TikTok Pte. Ltd. pour le pixel TikTok et la TikTok Events API côté serveur.

Nous ne vendons aucune donnée et ne transmettons des données à caractère personnel qu'aux prestataires susmentionnés dans le cadre de la fourniture de nos prestations. Dans la mesure où ces prestataires traitent des données à caractère personnel pour notre compte, le traitement est régi par les conditions de sous-traitance applicables du fournisseur concerné. Pour Resend, selon son Data Processing Addendum (DPA) publié, le DPA fait partie intégrante du contrat client et devient contraignant dès la conclusion de celui-ci.

Certains des prestataires utilisés (notamment ElevenLabs, la société mère d'OpenAI, Google LLC, Microsoft Corporation, TikTok Pte. Ltd., Stripe Inc., Resend) sont établis aux USA ou transfèrent en partie des données à des sociétés de leur groupe qui y sont établies. Selon le fournisseur, ces transferts sont encadrés par les clauses contractuelles types de l'UE (Art. 46 Abs. 2 lit. c DSGVO) et/ou — dans la mesure où le fournisseur concerné y est certifié — par l'EU-U.S. Data Privacy Framework (décision d'adéquation du 10 juillet 2023). Pour Resend, selon les informations actuellement publiées par le fournisseur (DPA et page d'information sur le RGPD), les données sont stockées aux USA et les transferts depuis l'EEE sont encadrés par les clauses contractuelles types de l'UE intégrées au DPA ainsi que par la participation à l'EU-U.S. Data Privacy Framework. Malgré ces mesures de protection, un accès par les autorités américaines en vertu du droit local ne peut pas être totalement exclu.

Tu disposes à tout moment d'un droit d'accès (Art. 15), de rectification (Art. 16), d'effacement (Art. 17), de limitation du traitement (Art. 18), de portabilité des données (Art. 20) et d'opposition (Art. 21 DSGVO). Pour exercer ces droits, contacte-nous sans formalité particulière à info@preparaio.com.

Tu disposes également d'un droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données. L'autorité compétente pour nous est :

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach

Techniquement nécessaires (sans consentement, § 25 Abs. 2 Nr. 2 TDDDG) : session de connexion (jeton d’authentification Supabase), choix de la langue et du thème, enregistrement du consentement, cookies de panier et de paiement de Stripe lors du processus de paiement.

Statistiques – uniquement avec consentement (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) :

• Google Analytics 4 (Google Ireland Ltd.) pour la mesure pseudonyme de l’audience. Anonymisation des adresses IP activée ; durée de conservation : 14 mois.
• Microsoft Clarity (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) pour analyser l’utilisation de nos pages — aussi bien les pages publiques que l’espace d’apprentissage accessible après connexion. Clarity enregistre les clics, les défilements, les mouvements de souris et les consultations de pages, et en crée des cartes de chaleur et des enregistrements de sessions. Les textes saisis et les contenus des pages sont masqués et ne sont donc pas transmis en clair. Les informations sur l’appareil et le navigateur, l’adresse IP tronquée, la localisation approximative et les horodatages sont également traités. Cookies ou identifiants : notamment _clck, _clsk, CLID, MUID ; durée de conservation selon Microsoft : jusqu’à 1 an. La base juridique est ton consentement (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Un transfert à Microsoft Corporation aux États-Unis est possible (voir section 8). Plus d’informations : Déclaration de confidentialité de Microsoft. Tu peux retirer ton consentement à tout moment via les paramètres des cookies en pied de page.

Marketing – uniquement avec consentement :

• Google Ads Conversion Tracking (Google Ireland Ltd. / Google LLC) pour mesurer l’efficacité des annonces publicitaires.
• Pixel TikTok (TikTok Technology Ltd., Irlande) pour mesurer la portée des campagnes sur TikTok.
• TikTok Events API (mesure des conversions côté serveur) : lorsque tu t’inscris ou souscris un abonnement, nous transmettons également l’événement correspondant (inscription ou achat) directement de notre serveur à TikTok, afin que l’efficacité des campagnes publicitaires reste mesurable même lorsque le pixel est bloqué. Les données transmises sont : une adresse e-mail et un identifiant utilisateur hachés de manière cryptographique (SHA-256), ainsi que, pour les achats, le montant de l’achat, la devise et le code de l’examen, avec dans chaque cas un horodatage et un identifiant d’événement pour éviter les doubles comptages. Aucune donnée en clair et aucune donnée de paiement. La base juridique est ton consentement (Art. 6 Abs. 1 lit. a DSGVO) ; sans consentement au marketing, cette transmission n’a pas lieu. Tu peux retirer ton consentement à tout moment via les paramètres des cookies en pied de page — la transmission cesse alors pour tous les événements futurs.

Nous utilisons le Google Consent Mode v2 avec le réglage par défaut « denied ». Sans consentement, aucun script d’analyse ni de marketing (y compris Microsoft Clarity) n’est chargé et aucun cookie correspondant n’est déposé. La personnalisation des annonces reste désactivée en permanence.

État actuel : Aucun choix effectué pour le moment. Tu peux modifier ou révoquer ton choix à tout moment :

Finalité : si tu actives expressément cette fonction, nous t’envoyons des rappels d’apprentissage personnalisés par e-mail — par exemple des notifications concernant les révisions à effectuer, les pauses prolongées dans ton apprentissage, ta série de jours d’apprentissage, les tâches en attente ou le compte à rebours avant l’examen. À cette fin, nous analysons tes données d’apprentissage et de progression (notamment la dernière activité, les révisions à effectuer, l’état de ta série, la date de l’examen, l’examen visé et le paramètre de langue).

Base juridique : exclusivement ton consentement (Art. 6 Abs. 1 lit. a DSGVO). Sans ce consentement, aucune analyse à des fins de rappel ni aucun envoi n’a lieu. Le bouton est désactivé par défaut ; un paramètre général relatif aux e-mails défini par le passé ne vaut pas consentement à cette fin.

Caractère facultatif : le consentement est facultatif et ne constitue pas une condition d’utilisation de Preparaio ni de conclusion d’un contrat. Le fait de ne pas le donner n’entraîne aucun désavantage pour ton accès aux contenus d’apprentissage.

Retrait : tu peux retirer ton consentement à tout moment — dans les paramètres du compte, sous « Notifications », ou via le lien de désinscription figurant dans chaque e-mail de rappel (sans connexion, y compris via la désinscription en un clic du logiciel de messagerie). Le retrait prend effet pour l’avenir : la licéité des traitements déjà effectués n’est pas remise en cause. Le retrait concerne exclusivement les rappels d’apprentissage. Tu continues à recevoir les e-mails nécessaires relatifs au compte, au contrat et aux paiements (par exemple les e-mails d’inscription et de connexion, les confirmations d’achat, les notifications de facturation, les invitations de ton école de langues et les notifications relatives à la sécurité), car ils ne reposent pas sur ce consentement.

Fréquence : l’envoi est limité par le système au moyen de plafonds configurables — tant par jour que sur une fenêtre glissante de 7 jours. Au sein d’un cycle d’envoi, le moteur de règles donne la priorité au rappel approprié pour chaque apprenant, afin que les rappels ne se cumulent pas dans un même cycle d’envoi. Nous ne mentionnons délibérément aucune valeur chiffrée fixe ici, car ces plafonds peuvent être ajustés pour des raisons opérationnelles.

Preuve du consentement : pour respecter notre obligation de preuve (Art. 7 Abs. 1 DSGVO), nous consignons, en limitant les données au minimum, quand tu as donné ou retiré ton consentement : date et heure, événement (accordé/retiré), origine (paramètres ou lien de désinscription), version du texte de consentement et langue. Nous ne conservons à cette occasion aucune adresse IP, aucun User-Agent ni aucune copie de l’e-mail. Ces preuves sont automatiquement supprimées après 3 ans.

Liens de désinscription : le lien de désinscription contient un jeton aléatoire sans contenu informatif — ni l’adresse e-mail, ni le nom, ni l’identifiant utilisateur ne peuvent en être déduits. Côté serveur, nous ne conservons qu’un hachage cryptographique (SHA-256) du jeton. Les jetons sont valables 90 jours, révocables à tout moment et supprimés 30 jours après leur expiration ou leur révocation.

Aucune mesure de suivi : les e-mails de rappel ne contiennent aucun pixel de suivi ni aucun paramètre de suivi lié à une personne dans les liens. Pour l’envoi technique, nous utilisons le prestataire d’envoi d’e-mails mentionné à la section 7.

Durée de conservation des journaux d’envoi : pour chaque e-mail de rappel, nous conservons un journal technique d’envoi (finalité, statut, adresse du destinataire, date et heure), qui sert à éviter les doublons, à respecter les plafonds et à fournir une assistance. Ces journaux sont automatiquement supprimés 180 jours après l’envoi. Les journaux relatifs aux e-mails obligatoires (compte, achat, invitation) ne sont pas concernés.

Nous adaptons cette déclaration dès que le cadre juridique ou nos traitements évoluent. Dernière mise à jour : 2026-06-14.