Polynotion est un service destiné aux familles et utilisé par des enfants. La protection de leurs données est une priorité. Cette politique explique quelles données nous collectons, pourquoi, combien de temps nous les conservons et quels sont vos droits.
PRISMATEUS SASU, 2121 avenue de Fréjus 06210 Mandelieu, immatriculée sous le n° 107480543, est responsable des traitements décrits ci-après.
Contact pour toute question relative aux données : contact@polynotion.fr
Le Parent (ou représentant légal), majeur, crée le compte et souscrit l'abonnement.
L'Enfant dispose d'un profil créé et administré par le Parent. Il ne peut pas créer de compte de manière autonome.
Conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, le consentement et les autorisations nécessaires sont recueillis auprès du titulaire de l'autorité parentale.
| Donnée | Origine |
|---|---|
| Adresse email | Saisie à l'inscription |
| Mot de passe (stocké sous forme de condensat chiffré par Supabase Auth) | Saisie à l'inscription |
| Identifiant de famille, date de création | Généré |
| Préférences de compte (thème, notifications, récapitulatifs) | Saisie |
| Adresses email destinataires des récapitulatifs | Saisie |
| Donnée | Origine |
|---|---|
| Prénom (ou pseudonyme) | Saisi par le Parent |
| Classe / niveau scolaire | Saisi par le Parent |
| Code d'accès du profil | Généré / défini par le Parent |
| Identifiants techniques du profil | Générés |
Nous ne demandons ni nom de famille, ni date de naissance, ni adresse postale, ni photographie d'identité, ni nom d'établissement scolaire.
Nous ne collectons ni ne traitons volontairement de données sensibles au sens de l'article 9 du RGPD (santé, origine, opinions, religion, orientation sexuelle). Merci de ne pas en communiquer via le chat. Si de telles données étaient transmises spontanément, elles seraient supprimées sur simple demande.
| Finalité | Base légale (RGPD) | Données concernées |
|---|---|---|
| Créer et gérer le compte, authentifier | Exécution du contrat (art. 6.1.b) | §3.1, §3.2 |
| Fournir l'accompagnement pédagogique et personnaliser les réponses selon l'âge et la classe | Exécution du contrat | §3.2, §3.3 |
| Afficher la progression, les badges et les synthèses au Parent | Exécution du contrat | §3.3 |
| Envoyer les récapitulatifs par email | Exécution du contrat / consentement (paramétrable et désactivable) | §3.1, §3.3 |
| Facturer et gérer les abonnements | Exécution du contrat + obligation légale (art. 6.1.c) | §3.4 |
| Assurer la sécurité, prévenir la fraude et les abus | Intérêt légitime (art. 6.1.f) | §3.4 |
| Améliorer le service et la qualité pédagogique | Intérêt légitime, sur données anonymisées ou agrégées | §3.3 |
| Répondre aux demandes de support | Exécution du contrat / intérêt légitime | §3.1 |
| Envoyer des communications commerciales | Consentement, révocable à tout moment | Email du Parent |
Nous n'utilisons pas les données personnelles à des fins de publicité ciblée, de profilage commercial, ni de revente. Aucune donnée n'est vendue ni cédée à des tiers à des fins marketing.
Les réponses de l'IA sont générées par des modèles de langage fournis par notre prestataire tiers Mistral AI. Pour produire une réponse, le contenu de la conversation en cours, le prénom, la classe et les éléments pédagogiques pertinents sont transmis à ce prestataire.
Nous sélectionnons nos prestataires de manière à ce que :
Aucune décision produisant des effets juridiques ou significatifs n'est prise de manière exclusivement automatisée au sens de l'article 22 du RGPD. Les réponses générées peuvent comporter des erreurs et ne constituent pas une évaluation scolaire.
Les données sont accessibles au personnel habilité de Prismateus et aux sous-traitants suivants, liés par un accord de traitement conforme à l'article 28 du RGPD :
| Sous-traitant | Rôle | Localisation | Encadrement des transferts |
|---|---|---|---|
| Supabase Inc. | Base de données, authentification | France (AWS Paris) | CCT Module 2 |
| Vercel Inc. | Hébergement du frontend | UE / Global | CCT |
| Railway Corp. | Hébergement de l'API | UE | CCT |
| OpenAI Ireland Ltd. | Génération des réponses | Global (US) | CCT Module 2 |
| Mistral AI SAS | STT, TTS, embeddings, résumés | UE principalement | DPA intégré aux CGU |
| Stripe Payments Europe Ltd. | Paiement et facturation | Irlande (UE) | Entité EU, pas de CCT requise |
| Brevo SAS | Envoi des emails transactionnels | France (UE) | Entité EU, pas de CCT requise |
Certains de ces prestataires sont établis hors de l'Union européenne. Les transferts correspondants sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par des mesures techniques complémentaires (chiffrement en transit et au repos).
Les données peuvent en outre être communiquées aux autorités administratives ou judiciaires sur réquisition légale.
| Donnée | Durée |
|---|---|
| Compte Parent et Profils Enfants | Durée de vie du compte, puis suppression sous [30] jours après demande de suppression, ou [12] mois après résiliation de l'abonnement |
| Historique des conversations et synthèses | [12] mois glissants, ou jusqu'à suppression par le Parent |
| Photographies d'exercices | Le temps du traitement, puis suppression sous [30] jours |
| Progression, badges, notions acquises | Durée de vie du profil |
| Journaux techniques et de sécurité | [12] mois maximum |
| Factures et pièces comptables | 10 ans (obligation légale, art. L. 123-22 du Code de commerce) |
| Prospects et contacts commerciaux | 3 ans à compter du dernier contact |
| Preuves de consentement | 3 ans |
Au terme de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :
En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans les 72 heures et vous informerons dans les meilleurs délais, conformément aux articles 33 et 34 du RGPD.
Polynotion n'utilise aucun cookie publicitaire ni traceur tiers à des fins de mesure d'audience commerciale.
Sont utilisés :
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :
Ces droits s'exercent pour l'ensemble du foyer par le Parent titulaire du compte, à l'adresse contact@polynotion.fr. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe. Une preuve d'identité pourra être demandée en cas de doute raisonnable.
Une partie de ces droits est directement actionnable depuis l'espace Parent : modification des profils, suppression d'un Profil Enfant, suppression du compte, désactivation des récapitulatifs.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
Cette politique peut évoluer. Toute modification substantielle sera notifiée par email au moins 30 jours avant son entrée en vigueur, et la date de dernière mise à jour figurant en tête du document sera actualisée. Les versions antérieures sont conservées et communicables sur demande.
Pour toute question relative à cette politique ou à vos données :
contact@polynotion.fr