Vos données, en toute transparence

Politique de confidentialité — version du 21 septembre 2026.

Qui est responsable ?

Seghour Rayan, personne physique, porte le projet Zupelma sans société constituée à ce stade. Pour vos données et vos droits : privacy@zupelma.fr.

Ce que nous utilisons, et pourquoi

Votre adresse email, votre compte et, si vous le renseignez, votre nom d’affichage permettent de vous connecter et de recevoir les emails de sécurité. Votre mot de passe est géré par Supabase Auth ; Zupelma ne le conserve pas en clair.

Vos matières, fichiers PDF, textes extraits, notions, questions, réponses, sessions, progrès, objectifs d’examen et temps quotidien servent à préparer vos révisions et à retrouver votre travail. Ces traitements sont nécessaires à l’exécution du service demandé. Les objectifs d’examen sont facultatifs.

Candidatures à la bêta

La candidature est distincte du compte Zupelma. Avec votre consentement, nous conservons votre email, votre filière/niveau facultatif, l’indication d’un examen prochain, votre déclaration de majorité, la date/version du consentement et le code de provenance de la campagne, pendant 90 jours au maximum ou jusqu’à votre retrait. La filière ne constitue pas un critère de sélection. Aucune newsletter, aucun document à fournir, aucune création automatique de compte. Ces données passent par Netlify et sont stockées dans un espace privé Supabase, accessible à l’administration uniquement. Les lieux de traitement et transferts sont décrits ci-dessous.

Pour prévenir les abus, un identifiant dérivé de votre adresse réseau, protégé par une clé serveur et renouvelé chaque jour, limite les soumissions. L’application ne stocke pas votre adresse IP brute dans la liste de candidature. Les compteurs sont conservés jusqu’à la purge quotidienne suivante ; les logs techniques des hébergeurs restent soumis aux durées décrites ci-dessous. Ce contrôle relève de notre intérêt légitime à sécuriser le formulaire.

Vous pouvez retirer votre consentement, demander l’accès, la rectification ou la suppression en écrivant à privacy@zupelma.fr. Nous vérifions votre identité de manière proportionnée avant de répondre. Le retrait n’affecte pas la licéité du traitement antérieur. Les candidatures ne sont pas incluses automatiquement dans l’export d’un compte : demandez-les à cette même adresse. La suppression du compte peut être accompagnée de la suppression de la candidature après vérification.

La page de candidature compte aussi les chargements par jour et par code de campagne, sans cookie, adresse réseau ni identifiant de visiteur dans ce compteur. Ces totaux agrégés sont conservés 90 jours pour évaluer l’intérêt porté à la bêta ; ils ne mesurent pas des personnes uniques.

Vos cours et l’intelligence artificielle

Les PDF restent dans un espace privé Supabase. Leur texte est extrait sur le serveur Zupelma. Lorsque vous demandez une analyse ou des questions, les extraits nécessaires sont transmis à OpenAI. Les résultats sont conservés pour éviter les demandes répétées. Vos réponses aux questions sont corrigées sans nouvel appel à OpenAI.

L’API est utilisée sans conservation de l’objet de réponse (store: false). OpenAI n’utilise pas les données API pour entraîner ses modèles par défaut, mais peut conserver des données de contrôle des abus jusqu’à 30 jours, ou davantage dans les cas prévus par sa politique. Ce réglage n’est donc pas une garantie de conservation nulle. Politique de données OpenAI.

Mesure d’usage et retours

Des événements internes limités (inscription, cours préparé, révision commencée ou terminée, objectif et retour dans l’application) permettent de comprendre si le service est utile. Ils sont rattachés à un identifiant de compte et à des dates, sans contenu de cours, réponse, adresse email ni suivi publicitaire. Ils ne sont pas anonymes tant que ce rattachement existe. Nous retenons l’intérêt légitime à améliorer et sécuriser le service ; vous pouvez vous y opposer en nous écrivant.

Le formulaire « Donner mon avis » est facultatif. Seuls le type de retour, votre message, sa date et l’identifiant de compte sont conservés pour améliorer le service. N’y transmettez pas de données sensibles. Aucun outil de relecture de session ni pixel publicitaire tiers n’est installé. Les cookies de session sont nécessaires à la connexion.

Provenance des vidéos : un choix facultatif

Avec votre consentement, un cookie Zupelma valable 30 jours mémorise un reçu aléatoire de provenance. Nous conservons uniquement la plateforme, le canal, la campagne, le code public de la vidéo et la date du consentement. Ces codes sont prédéfinis : aucun nom, email, contenu PDF, réponse, adresse IP ou identifiant publicitaire n’entre dans cette mesure. Sans votre accord, aucun reçu n’est créé et votre inscription reste possible.

La première provenance acceptée est conservée pendant votre navigation, puis rattachée à votre nouveau compte pour mesurer inscription, premier cours, première révision et retour. Elle n’est jamais remplacée par une autre vidéo. Elle reste avec votre compte jusqu’au retrait du consentement ou à sa suppression ; elle figure dans votre export. Les reçus non utilisés expirent après 30 jours et sont purgés quotidiennement et à la prochaine collecte, avec revue mensuelle complémentaire. Les totaux journaliers sans identifiant sont conservés au maximum 365 jours, puis purgés quotidiennement et à la prochaine collecte.

Accepter cette mesure ne vaut pas consentement à recevoir des emails commerciaux. Les clics des plateformes ne sont pas assimilés aux visites : seuls les arrivées consenties et les événements effectivement enregistrés peuvent être rapprochés. Le choix de refus est mémorisé 30 jours pour ne pas vous solliciter de nouveau. Vous pouvez retirer votre consentement ici ; connectez-vous pour effacer aussi la provenance déjà rattachée à votre compte.

Offre et compteurs d’usage

Nous conservons l’offre de ton compte, ses limites et les consommations nécessaires à leur application : type d’opération, mois et état, sans ajouter le contenu des cours. Ces données servent à fournir l’offre choisie et à empêcher les doubles décomptes ou abus. Elles sont incluses dans ton export et effacées avec ton compte.

Les limites atteintes, consultations de Premium et clics d’intérêt sont mesurés dans les mêmes analytics internes. Aucun achat n’est déduit de ces clics. Ton choix de thème reste dans le stockage local de ton navigateur, sans transmission publicitaire.

Où vont les données ?

Netlify héberge l’application et exécute ses traitements serveur dans l’Ohio, aux États-Unis, sur l’offre actuelle. Le traitement des PDF et les échanges nécessaires avec Supabase et OpenAI passent donc par cet hébergeur. Les fichiers restent stockés durablement dans l’espace privé Supabase ; aucune copie supplémentaire des cours n’est conservée par l’application sur disque chez Netlify.

Supabase fournit la base, l’authentification et le stockage privé dans la région Irlande (eu-west-1), vérifiée pour le projet actuel. OpenAI traite les extraits nécessaires à l’analyse. Resend transmet les emails transactionnels : l’envoi est configuré depuis l’Irlande, mais Resend indique stocker ses données de compte, emails et journaux aux États-Unis. OVHcloud gère le domaine et la redirection du contact de confidentialité vers la messagerie du responsable, opérée par Google.

Better Stack vérifie uniquement la disponibilité d’une adresse technique Zupelma et son état global, puis avertit le responsable par email en cas d’incident. Aucun compte étudiant, cours, réponse ou journal de navigation ne lui est transmis par l’application.

Des traitements et accès peuvent avoir lieu hors de l’Espace économique européen. Le contrat de traitement Netlifyfait partie de ses conditions de service ; il prévoit les mécanismes de transfert applicables et, lorsque nécessaire, les clauses contractuelles types européennes. Les accords de traitement de Supabase, OpenAI et Resend encadrent également les traitements et transferts nécessaires à leurs services. Vous pouvez nous demander des informations sur ces garanties. Nous ne promettons pas un hébergement exclusivement français ou européen. Les données ne sont ni vendues ni utilisées pour la publicité.

Combien de temps ?

Vos données de révision sont conservées pendant l’utilisation du compte, jusqu’à leur suppression ou celle du compte. Une revue manuelle mensuelle repère les comptes inactifs depuis 12 mois ; le responsable avertit leur titulaire 30 jours avant suppression. Cette procédure n’est pas automatisée. Les événements d’usage sont supprimés au-delà de 365 jours lors de l’activité du service, avec une revue manuelle mensuelle en complément. Les retours sont revus chaque mois et supprimés au plus tard après 12 mois.

Les limites anti-abus utilisent des compteurs quotidiens. Les journaux applicatifs ajoutés par Zupelma contiennent un code d’incident et une date, sans contenu étudiant ; la conservation dépend aussi de l’hébergeur. Netlify Free donne accès à un historique de logs de fonctions de 24 heures ; cette fenêtre de consultation ne garantit pas à elle seule l’effacement de tous les journaux techniques du fournisseur. Supabase Free annonce un jour de conservation des journaux API/base accessibles et n’inclut pas de sauvegarde restaurable par le responsable. Resend annonce 30 jours pour ses emails et logs sur l’offre Free. La suppression dans l’application concerne les données actives ; elle n’efface pas instantanément toutes les copies techniques des fournisseurs, soumises à leurs obligations contractuelles et légales. Aucun délai unique d’effacement de ces copies n’est garanti par Zupelma. Gardez les originaux de vos cours.

Les compteurs techniques sont revus et purgés manuellement après 30 jours, hors incident en cours. Le suivi des demandes de confidentialité est supprimé 12 mois après leur clôture, sauf nécessité légale justifiée ; les justificatifs d’identité éventuellement nécessaires sont supprimés après vérification.

Exporter, supprimer, exercer vos droits

Dans Paramètres, vous pouvez exporter vos données principales en JSON (compressé si nécessaire) et supprimer votre compte avec confirmation et mot de passe. Téléchargez aussi vos PDF depuis chaque cours. La suppression retire les fichiers du stockage actif, les données de révision, les objectifs, les retours et les événements rattachés au compte. Si elle est interrompue, relancez-la pour terminer ; les écritures restent bloquées entre-temps. Si votre export dépasse la taille de téléchargement de la bêta, contactez-nous pour obtenir vos données complètes avant toute suppression.

Vous disposez, selon les conditions applicables, des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Écrivez à privacy@zupelma.fr. Nous visons une réponse dans le délai légal d’un mois et ne demandons une vérification d’identité que si nécessaire. Vous pouvez adresser une réclamation à la CNIL. Aucune décision produisant des effets juridiques sur vos études n’est prise automatiquement.

Évolution de cette politique

Cette politique décrit le service destiné aux personnes majeures. Toute évolution importante sera indiquée sur cette page. Elle n’a pas fait l’objet d’une validation par un avocat.