Données personnelles
Politique de confidentialité
Ce qui est collecté, pourquoi, pour combien de temps, avec qui, et comment revenir dessus.
Dernière mise à jour : 11 septembre 2026
1. Responsable du traitement
Nom : Pierre Delattre Forme juridique : Paušalni obrt (micro-entreprise de droit croate) OIB : 45238003414 Siège social : Ul. Antuna Matije Reljkovića 3, 43500, Daruvar, Croatie Contact vie privée : info.bacbox@gmail.com ou en remplissant le formulaire de contact disponible sur le site
En tant que responsable de traitement établi dans l'Union européenne, nous sommes soumis au Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679).
2. Données collectées
Compte et identité : nom, email (optionnel : avatar). Le formulaire d'inscription ne comporte qu'un seul champ de nom, libre : aucun prénom n'est demandé séparément. Achats & facturation : offre souscrite, factures, statut de paiement. Aucune donnée de carte n'est stockée par bacbox.org. Apprentissage : réponses aux exercices et aux quiz, notes, commentaires, historique d'activité, fichiers remis, photos de copies manuscrites soumises pour analyse (fonctionnalité « Analyse de mes copies »). Données techniques : logs, identifiant de session, adresse IP, user agent, horodatages. Cookies / traceurs : voir Politique Cookies. Support : contenu des échanges (email/formulaire). Déclaration facultative sur la lecture et l'attention : voir §2.1. Contact d'un parent : voir §2.2.
2.1 Déclaration facultative sur la lecture et l'attention
Le dernier écran du diagnostic d'entrée pose une question : « Est-ce que l'une de ces situations te concerne ? ». L'élève peut cocher « Dyslexie / dysorthographie », « TDAH / trouble de l'attention », « Trouble du spectre de l'autisme », « J'ai un tiers-temps aux examens », ou « Aucune / je ne sais pas ».
Ces déclarations peuvent relever des données de santé, catégorie particulière au sens de l'article 9 du RGPD. Nous les traitons donc dans un cadre explicite.
| Ce qui est collecté | Une liste de cases cochées, parmi les cinq ci-dessus. Rien d'autre : ni diagnostic, ni justificatif, ni document médical, ni nom de praticien. |
| Finalité, et elle seule | Poser une fois les réglages d'affichage et de rythme du compte : mise en page adaptée à la lecture, et minuteur d'entraînement à l'oral majoré d'un tiers si le tiers-temps est déclaré. Ces déclarations ne servent à aucune évaluation du niveau, n'influencent aucune note et ne changent aucun contenu pédagogique. |
| Base légale | Consentement explicite de la personne concernée (article 9.2.a du RGPD), donné en cochant. |
| Caractère facultatif | Entièrement facultatif. On passe l'écran sans rien cocher, « Aucune / je ne sais pas » est une réponse valide, et aucun justificatif n'est demandé. |
| Si l'élève ne répond pas | Il accède au service exactement de la même façon. Seuls les réglages d'affichage restent à leur valeur par défaut, et ils restent modifiables à tout moment dans « Adapter l'affichage ». |
| Destinataires | Personne, en dehors de l'hébergeur qui stocke la base. Ces déclarations ne sont transmises à aucun prestataire d'IA, à aucun outil de paiement, à aucun outil d'emailing. Notre outil de mesure d'audience ne reçoit qu'un indicateur oui/non, jamais le détail de ce qui a été coché. |
| Conservation | Enregistrées sur la fiche du compte, elles suivent la durée « Données de compte » du §8 et disparaissent avec le compte. |
| Revenir dessus | Les réglages d'affichage se modifient à tout moment dans « Adapter l'affichage ». Pour effacer la déclaration elle-même, il suffit de nous écrire : voir §9. |
2.2 Contact d'un parent
Un élève peut demander qu'un résumé de ses progrès soit envoyé à un parent.
- Ce qui est collecté : l'adresse email du parent, saisie par l'élève, la date de confirmation par le parent, et la date d'un éventuel retrait.
- Finalité : envoyer ce résumé, et rien d'autre. Aucune prospection.
- Base légale : consentement (article 6.1.a du RGPD). Le résumé n'est envoyé qu'après que le parent a confirmé lui-même, en pressant un bouton dans un email qui lui est adressé : ouvrir l'email ne vaut pas confirmation.
- Retrait : chaque email porte un lien de désinscription en un clic. Au retrait, l'adresse du parent est effacée ; seule la date du retrait est conservée, afin de ne plus jamais lui écrire.
- Destinataires : notre prestataire d'envoi d'emails, pour l'acheminement.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fournir le service (création et gestion du compte, accès aux leçons et aux exercices) | Exécution du contrat (art. 6.1.b RGPD) |
| Gestion des achats & facturation | Exécution du contrat / Obligation légale (comptable) |
| Corrections & suggestions assistées par IA | Exécution du contrat / Intérêt légitime (amélioration pédagogique) |
| Sécurité, prévention de la fraude, journalisation | Intérêt légitime (art. 6.1.f RGPD) |
| Amélioration du service (statistiques agrégées anonymisées) | Intérêt légitime |
| Prospection par email | Consentement (opt-in) (art. 6.1.a RGPD) |
| Cookies non essentiels (mesure d'audience, publicité) | Consentement (art. 6.1.a RGPD) |
| Réglages d'affichage et de rythme d'après la déclaration facultative du §2.1 | Consentement explicite (art. 9.2.a RGPD) |
| Envoi d'un résumé de progrès à un parent (§2.2) | Consentement (art. 6.1.a RGPD) |
4. Fonctionnalités d'IA : transparence
Vos contenus pédagogiques (réponses, extraits de consignes, métadonnées) peuvent être traités par des systèmes d'intelligence artificielle afin de générer corrections et suggestions.
- Les sorties d'IA peuvent comporter des erreurs : une vérification humaine peut être requise.
- Décisions automatisées : aucune décision produisant des effets juridiques au sens de l'art. 22 RGPD n'est prise sans intervention humaine.
5. Protection des mineurs (Article 8 RGPD)
Bacbox s'adresse aux élèves de Première, typiquement âgés de 15 à 18 ans.
- Seuil de consentement : conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, le seuil de consentement numérique en France est fixé à 15 ans.
- Les utilisateurs de 15 ans et plus peuvent consentir eux-mêmes au traitement de leurs données.
- Pour les utilisateurs de moins de 15 ans, le consentement d'un titulaire de l'autorité parentale est requis.
- Une seule catégorie particulière au sens de l'article 9 du RGPD peut être traitée : la déclaration facultative sur la lecture et l'attention décrite au §2.1. Elle est recueillie sur consentement explicite, elle est facultative, et elle ne sert qu'à régler l'affichage. Aucune autre donnée sensible n'est collectée.
Si vous êtes parent ou tuteur et estimez qu'un mineur a créé un compte sans autorisation, contactez-nous : info.bacbox@gmail.com ou en remplissant le formulaire de contact disponible sur le site.
6. Destinataires des données
Nous recourons à des sous-traitants pour opérer le service, strictement pour notre compte :
| Destinataire | Finalité | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement du site | États-Unis (clauses contractuelles types) |
| Supabase, Inc. | Hébergement de la base de données et du stockage des fichiers, dont les photos de copies manuscrites | Union européenne (Francfort, eu-central-1) |
| Stripe, Inc. | Paiement | États-Unis (clauses contractuelles types) |
| OpenAI, Inc. | IA : corrections, suggestions et lecture des copies photographiées | États-Unis (clauses contractuelles types) |
| Mistral AI SAS | IA : transcription des enregistrements audio | Union européenne |
| Microsoft Ireland Operations Ltd (Azure OpenAI Service) | IA : corrections et suggestions, prestataire mobilisable en complément ou en remplacement d'OpenAI | Union européenne, avec transferts encadrés par clauses contractuelles types le cas échéant |
| Resend, Inc. | Emails transactionnels | États-Unis (clauses contractuelles types) |
| PostHog Ltd | Mesure d'audience (si consentement) | Union européenne |
| Google LLC (Google Ads) | Mesure d'audience et publicité : une seule balise Google, chargée dès qu'une des deux catégories est acceptée. Témoins _gcl_* et _gac_* sous la publicité, _ga, _gid et _ga_* sous la mesure d'audience. Les deux catégories de consentement restent distinctes | États-Unis (clauses contractuelles types) |
| Vercel Inc. | Mesure d'audience agrégée, sans cookie et sans identifiant de visiteur ; voir la Politique Cookies | États-Unis (clauses contractuelles types) |
Les prestataires d'intelligence artificielle traitent les textes soumis pour produire un retour, pour notre compte et sur instruction, dans le cadre de leurs conditions professionnelles. Le prestataire effectivement appelé dépend du type de travail soumis et peut évoluer parmi ceux listés ci-dessus ; cette liste est mise à jour avant tout changement.
Aucune donnée de carte bancaire n'est stockée par bacbox.org.
7. Transferts internationaux
Certains sous-traitants sont situés aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types (CCT) adoptées par la Commission européenne, conformément à l'article 46.2.c du RGPD.
8. Durées de conservation
| Catégorie | Durée |
|---|---|
| Données de compte | Durée de vie du compte + 3 ans après suppression |
| Travaux d'élèves | Durée de vie du compte + 1 an |
| Photos de copies manuscrites (« Analyse de mes copies ») | 30 jours après l'analyse, puis suppression automatique ; 7 jours pour un envoi non finalisé. La transcription et le résultat d'analyse suivent la durée « Travaux d'élèves » |
| Logs techniques / sécurité | 12 mois |
| Déclaration facultative du §2.1 | Durée de vie du compte ; supprimée avec lui |
| Adresse email d'un parent (§2.2) | Jusqu'au retrait ; effacée au retrait, seule la date du retrait est conservée |
| Cookies de mesure d'audience et de publicité, et choix de consentement | 13 mois maximum (recommandation CNIL) |
| Données de facturation | 10 ans (obligation légale comptable) |
| Prospection (opt-in) | Jusqu'au retrait du consentement ou 3 ans après dernier contact |
9. Vos droits (RGPD)
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
- Droit de rectification : corriger des données inexactes ou incomplètes.
- Droit à l'effacement : demander la suppression de vos données (« droit à l'oubli »).
- Droit à la limitation : restreindre le traitement dans certains cas.
- Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
- Droit d'opposition : vous opposer au traitement fondé sur l'intérêt légitime.
- Droit de retirer votre consentement : à tout moment, sans affecter la licéité du traitement antérieur.
Pour exercer ces droits, contactez-nous à : info.bacbox@gmail.com ou en remplissant le formulaire de contact disponible sur le site.
Nous répondrons dans un délai d'un mois, conformément à l'article 12.3 du RGPD.
10. Réclamation auprès de la CNIL
Si vous estimez que le traitement de vos données n'est pas conforme au RGPD, vous pouvez déposer une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
CNIL 3, place de Fontenoy – TSA 80715 75334 Paris Cedex 07 https://www.cnil.fr/fr/plaintes
11. Sécurité
Mesures techniques et organisationnelles raisonnables : chiffrement TLS, contrôles d'accès, sauvegardes, séparation des environnements, journaux d'audit, principe du moindre privilège.
En cas d'incident de sécurité présentant un risque pour vos droits et libertés, nous notifierons la CNIL et, si nécessaire, vous informerons conformément au RGPD.
12. Cookies & traceurs
Les cookies strictement nécessaires au fonctionnement du site sont déposés sans consentement. Les cookies analytiques/marketing ne sont déposés qu'avec votre consentement.
Détails, durées et gestion des préférences : Politique Cookies.
13. Prospection / communications
Aucun marketing sans votre consentement préalable (opt-in). Vous pouvez vous désabonner à tout moment via le lien présent dans nos emails ou en écrivant à info.bacbox@gmail.com.
14. Gestion du compte et suppression
Vous pouvez supprimer votre compte depuis votre espace personnel ou en écrivant à info.bacbox@gmail.com ou en remplissant le formulaire de contact disponible sur le site.
La suppression du compte n'entraîne pas l'effacement immédiat des pièces comptables (conservées 10 ans) ni des journaux de sécurité (durée limitée cf. §8).
15. Modifications
Nous pouvons modifier la présente Politique pour des raisons légales ou techniques. En cas de changement substantiel, nous vous informerons (email, bannière ou notification). La version opposable est celle publiée à la date de votre utilisation.