Polynotion est un service destiné aux familles et utilisé par des enfants. La protection de leurs données est une priorité. Cette politique explique quelles données nous traitons, pourquoi, avec qui, combien de temps, et quels sont vos droits.
PRISMATEUS SASU, 2121 avenue de Fréjus, 06210 Mandelieu-la-Napoule, immatriculée au RCS de Cannes sous le n° 107 480 543, est responsable des traitements décrits ci-après.
Contact pour toute question relative aux données : contact@polynotion.fr
PRISMATEUS n'a pas désigné de délégué à la protection des données, les critères de l'article 37 du RGPD n'étant pas réunis.
Le Parent (ou représentant légal), majeur, crée le compte et souscrit l'abonnement.
L'Enfant utilise un profil créé et administré par le Parent, auquel il accède par un code défini par le Parent. Il ne peut pas créer de compte seul.
Conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, le traitement des données d'un enfant de moins de 15 ans repose sur le consentement du titulaire de l'autorité parentale.
| Donnée | Origine |
|---|---|
| Adresse email | Saisie à l'inscription |
| Mot de passe (stocké uniquement sous forme de condensat par Supabase Auth) | Saisie à l'inscription |
| Identifiant de famille, date de création | Généré |
| Préférences (thème, notifications, récapitulatifs) | Saisie |
| Adresses email destinataires des récapitulatifs | Saisie |
| Donnée | Origine |
|---|---|
| Prénom ou pseudonyme | Saisi par le Parent |
| Classe | Saisie par le Parent |
| Code d'accès du profil | Défini par le Parent |
| Identifiants techniques du profil | Générés |
Nous ne demandons ni nom de famille, ni date de naissance, ni adresse, ni photographie d'identité, ni établissement scolaire.
Nous ne collectons pas volontairement de données sensibles au sens de l'article 9 du RGPD (santé, origine, convictions, vie sexuelle…). Un enfant peut toutefois en évoquer spontanément dans une conversation. Nous ne filtrons pas les messages avant leur envoi : le programme scolaire lui-même aborde la maladie, la mort, la violence ou la famille, et un filtre couperait l'élève en plein exercice.
Si un enfant exprime une détresse, des idées suicidaires, des violences subies ou un harcèlement, Emy prend son propos au sérieux et l'oriente vers le 3114, le 119 ou le 3018 selon la situation. Ces contenus suivent les durées de conservation ci-dessous et peuvent être supprimés à tout moment sur demande.
| Finalité | Base légale (RGPD) | Données |
|---|---|---|
| Créer et gérer le compte, authentifier | Exécution du contrat (art. 6.1.b) | §3.1, §3.2 |
| Fournir l'accompagnement pédagogique, adapté à la classe | Exécution du contrat ; consentement parental pour l'enfant (art. 8) | §3.2, §3.3 |
| Afficher la progression, les badges et les synthèses | Exécution du contrat | §3.3 |
| Envoyer les récapitulatifs par email | Consentement, désactivable à tout moment | §3.1, §3.3 |
| Facturer et gérer l'abonnement | Exécution du contrat ; obligation légale (art. 6.1.c) | §3.4 |
| Sécurité, prévention des abus, maîtrise des coûts | Intérêt légitime (art. 6.1.f) | §3.4 |
| Améliorer le service | Intérêt légitime, sur données agrégées ou anonymisées | §3.3 |
| Répondre au support et aux demandes d'exercice des droits | Exécution du contrat ; obligation légale | §3.1 |
| Communications commerciales | Consentement, révocable à tout moment | Email du Parent |
Nous n'utilisons pas les données à des fins de publicité ciblée, de profilage commercial ou de revente. Aucune donnée n'est vendue ni cédée.
Pour produire une réponse : le message de l'enfant, la conversation en cours, son prénom ou pseudonyme, sa classe, et le cas échéant la photographie de l'exercice, sans ses métadonnées.
Chaque séance s'ouvre sur un message fixe, affiché par l'application et non écrit par l'IA, qui rappelle à l'enfant qu'il s'adresse à une intelligence artificielle et qu'elle peut se tromper.
Aucune décision produisant des effets juridiques ou significatifs n'est prise de manière exclusivement automatisée (article 22 du RGPD). Emy ne note pas l'élève et ses réponses ne constituent pas une évaluation scolaire.
Les données sont accessibles au personnel habilité de PRISMATEUS et aux sous-traitants suivants, liés par un contrat conforme à l'article 28 du RGPD :
| Sous-traitant | Rôle | Localisation du traitement | Encadrement |
|---|---|---|---|
| Supabase Pte. Ltd. | Base de données, authentification | France (Paris) | Clauses contractuelles types |
| Google Cloud (Vertex AI) | Réponses d'Emy, analyse des photographies | Union européenne | Cloud DPA ; Data Privacy Framework et clauses types pour tout accès hors UE |
| Mistral AI SAS | Voix, recherche sémantique, synthèses | Union européenne | Société de l'UE |
| Railway Corp. | Hébergement de l'API | Union européenne | Clauses contractuelles types |
| Vercel Inc. | Hébergement du site et de l'application | Réseau mondial | Clauses contractuelles types |
| Stripe Payments Europe Ltd. | Paiement, facturation | Irlande (UE) | Société de l'UE |
| Brevo SAS | Emails (récapitulatifs, messages de service) | France | Société de l'UE |
| Infomaniak Network SA | Messagerie de contact | Suisse | Décision d'adéquation |
Les polices de caractères du site et de l'application sont hébergées par nos soins : aucune requête n'est adressée à un service de polices tiers.
Les données peuvent en outre être communiquées aux autorités administratives ou judiciaires sur réquisition légale.
| Donnée | Durée |
|---|---|
| Compte Parent et Profils Enfants | Durée de vie du compte. Suppression sous 30 jours après une demande de suppression, et au plus tard 12 mois après la fin de l'abonnement |
| Conversations, mot pour mot | 30 jours, puis effacement ; la synthèse de la séance reste disponible |
| Synthèses de séance | 12 mois |
| Séances non terminées | Après 7 jours d'inactivité : synthétisées si elles comptent plus de 6 messages, supprimées sinon |
| Photographies d'exercices | Non conservées après leur analyse |
| Enregistrements vocaux | Non conservés |
| Progression, badges, notions acquises | Durée de vie du profil |
| Journaux d'usage | 12 mois, puis suppression automatique |
| Factures et pièces comptables | 10 ans (art. L. 123-22 du Code de commerce) |
| Échanges avec le support, preuves d'exercice des droits | 3 ans |
| Preuves de consentement | 3 ans après la fin de la relation |
| Prospects | 3 ans à compter du dernier contact |
Le Parent peut supprimer à tout moment un Profil Enfant ou son compte depuis son espace, ou demander la suppression d'une séance à contact@polynotion.fr. Au terme de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifierons la CNIL sous 72 heures et vous informerons dans les meilleurs délais (articles 33 et 34 du RGPD).
Polynotion n'utilise aucun cookie publicitaire ni traceur de mesure d'audience.
Sont utilisés :
Vous disposez des droits d'accès, de rectification, d'effacement (renforcé pour les données collectées lorsque la personne était mineure), de limitation, d'opposition au traitement fondé sur l'intérêt légitime, de portabilité, de retrait du consentement à tout moment, et du droit de définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Le Parent exerce ces droits pour l'ensemble du foyer à contact@polynotion.fr. Nous répondons sous un mois, délai prolongeable de deux mois pour une demande complexe. Une preuve d'identité peut être demandée en cas de doute raisonnable.
Depuis l'espace Parent, vous pouvez directement modifier ou supprimer un Profil Enfant, désactiver les récapitulatifs par email, et supprimer votre compte (Paramètres → Supprimer mon compte). La suppression du compte est immédiate et définitive : elle emporte les profils de toute la famille et résilie l'abonnement.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
Toute modification substantielle est notifiée par email au moins 30 jours avant son entrée en vigueur, et la date en tête du document est mise à jour. Les versions antérieures sont communicables sur demande.
Pour toute question relative à cette politique ou à vos données :
contact@polynotion.fr