Données personnelles
Politique de confidentialité
Ce qui est collecté, pourquoi, pour combien de temps, avec qui, et comment revenir dessus.
Dernière mise à jour : 24 octobre 2026
1. Responsable du traitement
Nom : Pierre Delattre Forme juridique : Paušalni obrt (micro-entreprise de droit croate) OIB : 45238003414 Siège social : Ul. Antuna Matije Reljkovića 3, 43500, Daruvar, Croatie Contact vie privée : info.bacbox@gmail.com ou en remplissant le formulaire de contact disponible sur le site
En tant que responsable de traitement établi dans l'Union européenne, nous sommes soumis au Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679).
2. Données collectées
Compte et identité : nom, email (optionnel : avatar). Le formulaire d'inscription ne comporte qu'un seul champ de nom, libre : aucun prénom n'est demandé séparément. Achats & facturation : offre souscrite, factures, statut de paiement. Aucune donnée de carte n'est stockée par bacbox.org. Apprentissage : réponses aux exercices et aux quiz, notes, commentaires, historique d'activité, fichiers remis, photos de copies manuscrites soumises pour analyse (fonctionnalité « Analyse de mes copies »), photos de fiches et de cours importées pour l'oral (fonctionnalités « Photographie ta fiche » et « Photographie ton cours »), enregistrements audio des entraînements à l'oral, transmis pour être transcrits (voir §6). Profil scolaire : réponses au diagnostic d'entrée (dont la classe et le niveau estimé), date du bac, date de l'oral, objet d'étude en cours et date du prochain contrôle (si vous les indiquez), canal par lequel vous êtes arrivé sur le site, manière dont vous avez connu Bacbox et ce qui vous amène sur Bacbox. Données techniques : logs, identifiant de session, adresse IP, user agent, horodatages. Cookies / traceurs : voir Politique Cookies. Support : contenu des échanges (email, formulaire de contact, messagerie du site). Déclaration facultative sur la lecture et l'attention : voir §2.1. Contact d'un parent : voir §2.2.
2.1 Déclaration facultative sur la lecture et l'attention
Le dernier écran du diagnostic d'entrée pose une question : « Est-ce que l'une de ces situations te concerne ? ». L'élève peut cocher « Dyslexie / dysorthographie », « TDAH / trouble de l'attention », « Trouble du spectre de l'autisme », « J'ai un tiers-temps aux examens », ou « Aucune / je ne sais pas ».
Ces déclarations peuvent relever des données de santé, catégorie particulière au sens de l'article 9 du RGPD. Nous les traitons donc dans un cadre explicite.
| Ce qui est collecté | Une liste de cases cochées, parmi les cinq ci-dessus. Rien d'autre : ni diagnostic, ni justificatif, ni document médical, ni nom de praticien. Seule exception : l'ancien questionnaire de profil, qui n'est plus proposé, posait la même question avec une case « Autre » et un texte libre. Si vous y aviez répondu, ce texte est encore enregistré sur votre compte. Il n'est affiché que dans l'administration, pour l'équipe Bacbox, et il disparaît avec le compte. |
| Finalité, et elle seule | Poser une fois les réglages d'affichage et de rythme du compte : mise en page adaptée à la lecture, et minuteurs de l'entraînement à l'oral et du mode examen à l'écrit majorés d'un tiers si le tiers-temps est déclaré. Dans ce cas, sur une compétence encore fragile (peu travaillée récemment, ou pas encore réussie au niveau facile), les exercices recommandés de compréhension du texte et d'analyse des procédés sont proposés en version facile ; les autres restent inchangés, et aucun exercice n'est retiré de la liste. Ces déclarations ne servent à aucune évaluation du niveau et n'influencent aucune note de correction ; seul effet indirect : un exercice fait au niveau facile fait un peu moins monter le niveau affiché sur le radar. |
| Base légale | Consentement explicite de la personne concernée (article 9.2.a du RGPD), donné en cochant. |
| Caractère facultatif | Entièrement facultatif. On passe l'écran sans rien cocher, « Aucune / je ne sais pas » est une réponse valide, et aucun justificatif n'est demandé. |
| Si l'élève ne répond pas | Il accède au service exactement de la même façon. L'affichage, les minuteurs et les exercices recommandés gardent leurs réglages par défaut, et l'affichage reste modifiable à tout moment dans « Adapter l'affichage ». |
| Destinataires | Personne, en dehors de l'hébergeur qui stocke la base et de l'équipe Bacbox, qui peut les voir dans son outil d'administration. Ces déclarations ne sont transmises à aucun prestataire d'IA, à aucun outil de paiement, à aucun outil d'emailing. |
| Conservation | Enregistrées sur la fiche du compte, elles suivent la durée « Données de compte » du §8 et disparaissent avec le compte. |
| Revenir dessus | Les réglages d'affichage se modifient à tout moment dans « Adapter l'affichage ». La majoration des minuteurs et le niveau facile des exercices recommandés ne s'y modifient pas : pour les retirer, ou pour effacer la déclaration, écrivez-nous (§9). Nous retirons alors aussi les réglages qu'elle avait posés. |
2.2 Contact d'un parent
Un élève peut demander qu'un résumé de ses progrès soit envoyé à un parent.
- Ce qui est collecté : l'adresse email du parent, saisie par l'élève (ou par l'équipe Bacbox, à la demande de l'élève), la date de confirmation par le parent, la date d'un éventuel retrait et, dans ce cas, une empreinte de l'adresse (voir ci-dessous).
- Finalité : envoyer ce résumé. Aucune prospection.
- Base légale : consentement (article 6.1.a du RGPD). Le résumé n'est envoyé qu'après que le parent a confirmé lui-même, en pressant un bouton dans un email qui lui est adressé : ouvrir l'email ne vaut pas confirmation.
- Retrait : chaque email porte un lien de désinscription en un clic. Au retrait, l'adresse du parent est effacée. Nous gardons une empreinte de l'adresse, qui ne permet pas de la retrouver, pour ne plus écrire au parent au sujet de l'élève. Ce mécanisme ne s'applique pas aux retraits antérieurs au 24 octobre 2026.
- Destinataires : notre prestataire d'envoi d'emails, pour l'acheminement.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fournir le service (création et gestion du compte, accès aux leçons et aux exercices) | Exécution du contrat (art. 6.1.b RGPD) |
| Gestion des achats & facturation | Exécution du contrat / Obligation légale (comptable) |
| Corrections & suggestions assistées par IA | Exécution du contrat / Intérêt légitime (amélioration pédagogique) |
| Lecture par l'équipe Bacbox des textes libres « Autre chose », « Je sais ce que je veux travailler » et des autres champs libres du §5, pour comprendre les demandes et améliorer les contenus | Intérêt légitime (art. 6.1.f RGPD) |
| Sécurité, prévention de la fraude, journalisation | Intérêt légitime (art. 6.1.f RGPD) |
| Suivi des achats par des événements envoyés depuis nos serveurs : paiements, remboursements, réservations de places de cohorte, rattachement d'un achat à un compte (voir §6) | Exécution du contrat (art. 6.1.b RGPD) |
| Suivi du fonctionnement du service par des événements envoyés depuis nos serveurs : courriels liés au compte non délivrés (vérification ou changement d'adresse, réinitialisation du mot de passe, invitation), supervision de l'intelligence artificielle, des tâches planifiées et du stockage des photos (voir §6) | Intérêt légitime : sécurité et bon fonctionnement du service (art. 6.1.f RGPD) |
| Amélioration du service (statistiques agrégées anonymisées) | Intérêt légitime |
| Prospection par email | Consentement (opt-in) (art. 6.1.a RGPD) |
| Cookies non essentiels (mesure d'audience, publicité) | Consentement (art. 6.1.a RGPD) |
| Réglages d'affichage et de rythme d'après la déclaration facultative du §2.1, niveau des exercices recommandés si le tiers-temps est déclaré, et suggestions d'aménagements sur le tableau de bord | Consentement explicite (art. 9.2.a RGPD) |
| Envoi d'un résumé de progrès à un parent (§2.2) | Consentement (art. 6.1.a RGPD) |
| Ne plus écrire à un parent désinscrit (§2.2) | Intérêt légitime (art. 6.1.f RGPD) |
4. Fonctionnalités d'IA : transparence
Vos contenus pédagogiques (réponses, extraits de consignes, métadonnées) peuvent être traités par des systèmes d'intelligence artificielle afin de générer corrections et suggestions.
La correction de vos copies, leur analyse (notation par critères, diagnostic) et la plupart des retours de l'intelligence artificielle sont produits par Microsoft, sur des serveurs situés en France ; les traitements ont lieu dans l'Union européenne. Si ce service est indisponible, saturé ou refuse la demande, celle-ci est alors transmise à OpenAI, qui la traite aux États-Unis (voir §6 et §7). La lecture des photos (copies, fiches et cours pour l'oral) consiste à transcrire le texte qu'elles contiennent. Cette lecture est confiée à Microsoft seul, dans l'Union européenne, et jamais à OpenAI, même lorsque Microsoft est indisponible. Les fichiers PDF importés pour l'oral ne sont pas envoyés tels quels à un prestataire d'intelligence artificielle : nos serveurs en extraient le texte, et seul ce texte est transmis à Microsoft, qui en tire une fiche. Les fiches ainsi obtenues, à partir d'une photo ou d'un PDF, sont ensuite traitées comme vos autres travaux : leurs retours sont produits par Microsoft, ou par OpenAI en secours.
- Les sorties d'IA peuvent comporter des erreurs : une vérification humaine peut être requise.
- Décisions automatisées : aucune décision produisant des effets juridiques au sens de l'art. 22 RGPD n'est prise sans intervention humaine.
5. Protection des mineurs (Article 8 RGPD)
Bacbox s'adresse aux élèves de Première, typiquement âgés de 15 à 18 ans.
- Seuil de consentement : conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, le seuil de consentement numérique en France est fixé à 15 ans.
- Les utilisateurs de 15 ans et plus peuvent consentir eux-mêmes au traitement de leurs données.
- Pour les utilisateurs de moins de 15 ans, le consentement d'un titulaire de l'autorité parentale est requis (voir les CGU, §3.2).
- Une seule catégorie particulière au sens de l'article 9 du RGPD peut être traitée : la déclaration facultative sur la lecture et l'attention décrite au §2.1. Elle est recueillie sur consentement explicite, elle est facultative, et elle ne sert qu'aux réglages décrits au §2.1 (affichage, minuteurs, niveau des exercices recommandés) et à vous suggérer, sur le tableau de bord, le guide du tiers-temps et le mode allégé. Aucune autre donnée sensible n'est collectée.
- Champ libre « Autre chose » (page Ma progression) : le formulaire demande de ne pas y écrire d'informations personnelles ni de santé. Le texte n'est lu que par l'équipe Bacbox, pour comprendre la demande ; il n'est transmis à aucun prestataire d'intelligence artificielle ni outil de mesure d'audience, et il est supprimé avec le compte.
- Champ « Je sais ce que je veux travailler » (après le diagnostic d'entrée) : le formulaire demande de ne pas y écrire d'informations personnelles ni de santé. Le texte est transmis à un prestataire d'intelligence artificielle listé au §6 (Microsoft, ou OpenAI en secours), seulement pour trouver la leçon et l'exercice qui correspondent le mieux à la demande. Les prestataires d'intelligence artificielle traitent les textes soumis pour produire un retour, pour notre compte et sur instruction, dans le cadre de leurs conditions professionnelles. Le texte n'est envoyé à aucun outil de mesure d'audience. L'équipe Bacbox le lit pour comprendre la demande et améliorer les contenus.
- Ces deux textes sont lus par l'équipe Bacbox pour améliorer les contenus, sur la base de l'intérêt légitime (§3). Ils sont conservés le temps indiqué pour chacun au §8, et jamais plus longtemps pour cette lecture.
- Autres champs libres : le motif facultatif que vous pouvez écrire quand vous écartez un exercice proposé, votre réponse « Autre » à la question sur ce qui vous amène, votre classe, si vous l'écrivez parce qu'elle ne figure pas dans la liste du diagnostic, et, si vous aviez répondu à l'ancien questionnaire de profil, ce que vous y aviez écrit après « Autre ». L'équipe Bacbox peut les lire pour comprendre les besoins. Ces champs ne sont transmis à aucun prestataire d'intelligence artificielle ni à aucun outil de mesure d'audience, et ils sont supprimés avec le compte.
Si vous êtes parent ou tuteur et estimez qu'un mineur a créé un compte sans autorisation, contactez-nous : info.bacbox@gmail.com ou en remplissant le formulaire de contact disponible sur le site.
6. Destinataires des données
Nous recourons à des sous-traitants pour opérer le service, strictement pour notre compte :
| Destinataire | Finalité | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement du site | États-Unis (clauses contractuelles types) |
| Supabase, Inc. | Hébergement de la base de données et du stockage des fichiers, dont les photos de copies manuscrites, de fiches et de cours pour l'oral, les fichiers PDF importés pour l'oral et les enregistrements audio des entraînements à l'oral | Union européenne (Francfort, eu-central-1) |
| Stripe, Inc. | Paiement. Nous ne lui transmettons, en plus des informations nécessaires au paiement, que l'identifiant de votre compte. Les paiements et abonnements créés avant le 23 octobre 2026 peuvent aussi porter, chez Stripe, l'origine de votre visite (paramètres de campagne, site de provenance, identifiant de clic publicitaire), votre date d'inscription et des indicateurs d'usage de la période d'essai. Bacbox ne lit plus ces informations et ne les complète plus. | États-Unis (clauses contractuelles types) |
| OpenAI, Inc. | IA : correction en secours, autres retours | États-Unis (clauses contractuelles types) |
| Mistral AI SAS | IA : transcription des enregistrements audio | Union européenne |
| Microsoft Ireland Operations Ltd (Azure OpenAI Service) | IA : correction et analyse des copies, lecture des photos (copies, fiches et cours pour l'oral), retours (prestataire principal) | Union européenne, avec transferts encadrés par clauses contractuelles types le cas échéant |
| Resend, Inc. | Emails transactionnels | États-Unis (clauses contractuelles types) |
| PostHog Ltd | Mesure d'audience (si vous y consentez) ; suivi du service par des événements envoyés depuis nos serveurs, indépendamment de votre consentement (voir ci-dessous) | Union européenne |
| Google LLC (Google Ads) | Mesure d'audience et publicité : une seule balise Google, chargée dès qu'une des deux catégories est acceptée. Témoins _gcl_* et _gac_* sous la publicité, _ga, _gid et _ga_* sous la mesure d'audience. Les deux catégories de consentement restent distinctes | États-Unis (clauses contractuelles types) |
| Vercel Inc. | Mesure d'audience agrégée, sans cookie et sans identifiant de visiteur ; voir la Politique Cookies | États-Unis (clauses contractuelles types) |
| Cloudflare, Inc. | Vérification anti-robots du formulaire d'inscription (adresse IP et signaux techniques du navigateur) ; diffusion des vidéos du site | États-Unis (clauses contractuelles types) |
Les prestataires d'intelligence artificielle traitent les textes soumis pour produire un retour, pour notre compte et sur instruction, dans le cadre de leurs conditions professionnelles. Le prestataire effectivement appelé dépend du type de travail soumis et peut évoluer parmi ceux listés ci-dessus ; cette liste est mise à jour avant tout changement.
Depuis nos serveurs, nous envoyons aussi à PostHog des événements de suivi du service, quel que soit votre choix concernant la mesure d'audience. Ils servent à exécuter le contrat, ainsi qu'à assurer la sécurité et le bon fonctionnement du service (voir §3). Ils concernent : un paiement (produit, montant, devise, référence de la session de paiement ou de l'abonnement), un remboursement (montant, motif), la réservation d'une place de cohorte, le rattachement d'un achat à votre compte, un courriel lié à votre compte non délivré (vérification ou changement d'adresse, réinitialisation du mot de passe, invitation). Ces événements portent l'identifiant de votre compte ou, à défaut (par exemple pour un achat fait sans compte), une référence chez notre prestataire de paiement. Ils ne contiennent ni vos textes, ni votre adresse électronique, ni votre nom, ni votre adresse IP, ni l'origine de votre visite (paramètres de campagne, site de provenance, identifiant de clic publicitaire). Les événements de supervision de l'intelligence artificielle, des tâches planifiées et du stockage des photos ne portent pas l'identifiant de votre compte. Le rattachement d'un achat à votre compte, lui, porte cet identifiant, même lorsqu'une tâche planifiée l'effectue. Les autres statistiques d'usage envoyées depuis nos serveurs (inscription, progression dans les exercices, révision, tuteur, commentaire, dissertation, oral, envoi d'un résumé à un parent, export d'un travail) dépendent de votre choix sur la mesure d'audience : sans votre accord, elles ne sont pas envoyées.
Aucune donnée de carte bancaire n'est stockée par bacbox.org.
7. Transferts internationaux
Certains sous-traitants sont situés aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types (CCT) adoptées par la Commission européenne, conformément à l'article 46.2.c du RGPD.
8. Durées de conservation
| Catégorie | Durée |
|---|---|
| Données de compte | Durée de vie du compte ; supprimées avec le compte, sauf la trace technique des paiements : références chez le prestataire, offre, date et identifiant du compte, sans adresse email en clair. Elle sert à ne pas traiter deux fois un paiement et à traiter un remboursement. Les pièces comptables restent conservées 10 ans par notre prestataire de paiement (voir §14) |
| Travaux d'élèves | Durée de vie du compte ; supprimés avec le compte |
| Photos de copies manuscrites (« Analyse de mes copies ») | 30 jours après l'analyse, puis suppression automatique ; 7 jours pour un envoi non finalisé. La transcription et le résultat d'analyse suivent la durée « Travaux d'élèves » |
| Photos de fiches et de cours pour l'oral (« Photographie ta fiche », « Photographie ton cours ») | Supprimées dès que vous validez la transcription d'une fiche photographiée, ou dès que vous finalisez la fiche tirée d'un cours photographié ; sinon, supprimées après 7 jours sans activité sur une fiche non finalisée. Le texte de la fiche suit la durée « Travaux d'élèves ». Un brouillon dont la transcription n'a jamais été validée est supprimé en entier, transcription comprise, après 7 jours sans activité |
| Enregistrements audio des entraînements à l'oral | Supprimés dès qu'ils sont transcrits ; sinon, supprimés automatiquement, en général dans les 12 heures qui suivent l'enregistrement. La transcription suit la durée « Travaux d'élèves » |
| Fichiers PDF importés pour l'oral | Supprimés dès que vous abandonnez l'import, ou au plus tard 6 heures après la validation du texte extrait ou la création de la fiche tirée d'un cours ; sinon, supprimés après 7 jours sans activité sur une fiche non finalisée. Le texte de la fiche suit la durée « Travaux d'élèves » |
| Logs techniques / sécurité | 12 mois |
| Déclaration facultative du §2.1 | Durée de vie du compte ; supprimée avec lui |
| Texte libre « Autre chose » (§5) | Durée de vie du compte ; supprimé avec lui |
| Texte libre « Je sais ce que je veux travailler » (§5) | 12 mois après l'envoi, puis suppression automatique ; supprimé plus tôt avec le compte |
| Autres champs libres (§5) | Durée de vie du compte ; supprimés avec lui |
| Messages échangés avec l'équipe dans la messagerie du site | Durée de vie du compte ; supprimés avec lui. L'email qui prévient l'équipe de chaque message (votre nom, votre adresse email et le début du message) n'est pas supprimé avec le compte |
| Adresse email d'un parent (§2.2) | Jusqu'au retrait, puis effacée |
| Empreinte de l'adresse d'un parent désinscrit (§2.2) | Conservée pour ne plus lui écrire, même après la suppression du compte de l'élève |
| Cookies de mesure d'audience et de publicité, et choix de consentement | 13 mois maximum (recommandation CNIL) |
| Données de facturation | 10 ans, chez notre prestataire de paiement (obligation légale comptable) |
| Prospection (opt-in) | Jusqu'au retrait du consentement ou 3 ans après dernier contact |
9. Vos droits (RGPD)
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
- Droit de rectification : corriger des données inexactes ou incomplètes.
- Droit à l'effacement : demander la suppression de vos données (« droit à l'oubli »).
- Droit à la limitation : restreindre le traitement dans certains cas.
- Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
- Droit d'opposition : vous opposer au traitement fondé sur l'intérêt légitime.
- Droit de retirer votre consentement : à tout moment, sans affecter la licéité du traitement antérieur.
Pour exercer ces droits, contactez-nous à : info.bacbox@gmail.com ou en remplissant le formulaire de contact disponible sur le site.
Nous répondrons dans un délai d'un mois, conformément à l'article 12.3 du RGPD.
10. Réclamation auprès de la CNIL
Si vous estimez que le traitement de vos données n'est pas conforme au RGPD, vous pouvez déposer une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
CNIL 3, place de Fontenoy – TSA 80715 75334 Paris Cedex 07 https://www.cnil.fr/fr/plaintes
11. Sécurité
Mesures techniques et organisationnelles raisonnables : chiffrement TLS, contrôles d'accès, sauvegardes, séparation des environnements, journaux d'audit, principe du moindre privilège.
En cas d'incident de sécurité présentant un risque pour vos droits et libertés, nous notifierons la CNIL et, si nécessaire, vous informerons conformément au RGPD.
12. Cookies & traceurs
Les cookies strictement nécessaires au fonctionnement du site sont déposés sans consentement. Les cookies analytiques/marketing ne sont déposés qu'avec votre consentement.
Détails, durées et gestion des préférences : Politique Cookies.
13. Prospection / communications
Aucun marketing sans votre consentement préalable (opt-in). Vous pouvez vous désabonner à tout moment via le lien présent dans nos emails ou en écrivant à info.bacbox@gmail.com.
14. Gestion du compte et suppression
Vous pouvez supprimer votre compte depuis votre espace personnel ou en écrivant à info.bacbox@gmail.com ou en remplissant le formulaire de contact disponible sur le site.
La suppression du compte n'entraîne pas l'effacement immédiat des pièces comptables, conservées 10 ans par notre prestataire de paiement, ni des journaux de sécurité (durée limitée, voir §8).
15. Modifications
Nous pouvons modifier la présente Politique pour des raisons légales ou techniques. En cas de changement substantiel, nous vous informerons (email, bannière ou notification). La version opposable est celle publiée à la date de votre utilisation.