Politique de confidentialité

Quelles données, pourquoi, combien de temps, et tes droits. Tes données restent dans ton établissement.

Version du 20 septembre 2026, applicable au 20 octobre 2026. Elle t'est communiquée 30 jours avant son application (article 8 des CGU). Jusqu'au 20 octobre 2026, la version en vigueur reste celle du 30 avril 2026.

1 · Responsable du traitement

Nuur ABDULLA (entrepreneur individuel), siège : 273 avenue de la République, apt 5, immeuble Seusse, 97440 Saint-André, La Réunion.
Contact : [email protected]
Délégué à la protection des données (DPO) : [email protected]

2 · Données collectées

À l'inscription

Identifiants : e-mail, nom, mot de passe (jamais stocké en clair : seule son empreinte scrypt est gardée)
Profil : rôle (apprenti, formateur, direction d'établissement), cursus, établissement
Inscription : date de création, vérification e-mail

Pendant l'usage

Activité pédagogique : leçons consultées, quiz passés, scores, devoirs rendus, sujets d'entraînement demandés, photos de TP, exports PDF
Échanges avec Shuhari : tes questions et les réponses, transmises au prestataire d'IA pour produire la réponse ; ton historique de recherche reste sur ton appareil. Les avis que tu donnes sur une réponse (note, commentaire) sont conservés.
Données techniques : adresse IP, version du client, journaux d'erreurs
Paiement : aucun de ta part. Seuls les établissements sont facturés, selon leur contrat.

Cloisonnement : les données d'un établissement ne sont jamais montrées à un autre établissement. Shuhari ne lit que les cours de ton cursus.

3 · Finalités

Fournir le service (compte, cours, mentor Shuhari, exports)
Personnaliser l'apprentissage (progression, révisions proposées)
Sécuriser la plateforme (anti-abus, journalisation des accès)
Gérer le contrat et la facturation des établissements
Améliorer le service (statistiques anonymisées sur les cours les plus consultés)

Aucune donnée n'est vendue à des tiers, ni utilisée pour de la publicité ciblée. Certains prestataires nécessaires au service sont établis hors de l'Union européenne : la liste, ce qui leur est transmis et les garanties applicables sont au point 8.

4 · Bases légales

Exécution du contrat (art. 6.1.b RGPD) pour la fourniture du service
Intérêt légitime (art. 6.1.f) pour la sécurité et l'amélioration
Consentement (art. 6.1.a) pour les communications marketing optionnelles
Obligation légale (art. 6.1.c) pour la facturation et la conservation comptable

5 · Durée de conservation

Compte actif : tant que ton accès est ouvert
Compte supprimé : effacé de la base aussitôt ; une copie subsiste dans les sauvegardes quotidiennes (les 30 dernières sur le serveur) et, jusqu'à 10 ans, dans la copie de sauvegarde hors du serveur. Ces copies ne sont ni consultées ni utilisées : toute restauration efface à nouveau les comptes supprimés entre-temps, consignés dans un registre qui ne contient qu'un identifiant technique et une date.
Avis sur les réponses de Shuhari (et les extraits de l'échange noté) : 6 mois, puis effacés ; effacés aussitôt avec le compte
Journaux d'accès (dont l'adresse IP) : 14 jours
Profilage pédagogique (points faibles et points forts déduits de tes réponses) : 5 ans, puis effacé ; tes scores et leurs dates restent, ils font la preuve de ton parcours
Journaux des services : effacés par rotation (trois fichiers de 10 Mo par service)
Factures des établissements : 10 ans (obligation comptable)

6 · Tes droits

Conformément au RGPD et à la loi Informatique et Libertés modifiée, tu disposes des droits :

Accès : savoir quelles données nous avons sur toi
Rectification : corriger les données inexactes
Effacement : demander la suppression (« droit à l'oubli »)
Limitation : geler le traitement le temps d'une vérification
Portabilité : récupérer tes données dans un format réutilisable
Opposition : refuser certains traitements (intérêt légitime)
Retrait du consentement à tout moment

Pour exercer ces droits : [email protected]. Réponse sous un mois maximum. En cas de désaccord, tu peux saisir la CNIL.

7 · Sécurité

Chiffrement TLS sur tous les flux. Mots de passe jamais stockés en clair (empreinte scrypt). Hébergement en France (Hostinger, Paris). Sauvegardes quotidiennes : les 30 dernières sur le serveur, et une copie hors du serveur pour repartir après un sinistre, chiffrée avec une clé qui n'est jamais conservée sur nos serveurs.

8 · Prestataires et transferts hors UE

Le service s'appuie sur les prestataires ci-dessous, et sur aucun autre. Chacun ne reçoit que ce qui lui est nécessaire.

Prestataire	Rôle	Ce qui lui est transmis	Où	Garanties
Hostinger	Serveur de la plateforme et base de données	Toutes les données du service	Serveur à Paris ; société établie à Chypre (UE)	Aucun transfert hors UE
Cloudflare	Distribution de l'application et de l'API, DNS, protection anti-robot	Les échanges entre ton navigateur et le serveur passent par son réseau	États-Unis, réseau mondial	Clauses contractuelles types et Data Privacy Framework
Google	Modèle de langage du mentor, des fiches et des synthèses ; connexion par compte Google si tu la choisis	Tes questions au mentor et les extraits de cours utiles ; le texte des cours ; ton identité Google si tu utilises ce mode de connexion	États-Unis	Clauses contractuelles types et Data Privacy Framework ; voir l'encadré ci-dessous
Resend	Envoi des courriels du service	L'adresse de destination et le contenu du message	États-Unis	Clauses contractuelles types et Data Privacy Framework
GitHub	Dépôt du code ; emplacement de la copie de sauvegarde hors serveur	Les sauvegardes, chiffrées avant d'y être déposées	États-Unis	Clauses contractuelles types et Data Privacy Framework ; la clé de déchiffrement n'y est jamais déposée

Pendant la phase pilote, à savoir. Le service utilise aujourd'hui l'offre gratuite du fournisseur du modèle de langage. Sur cette offre, Google se réserve le droit de réutiliser ce qui lui est envoyé et ce qu'il renvoie, y compris pour améliorer ses modèles, avec une relecture humaine possible : ce que tu écris à Shuhari et ce qu'il te répond peuvent donc être lus et réutilisés par Google. N'y écris rien que tu ne dirais pas devant ta classe, aucune donnée de santé, aucune donnée d'identité. Au premier contrat d'établissement, le service passe à l'offre payante, dont les entrées et les sorties ne servent pas à entraîner les modèles ; cette page le dira le jour où ce sera fait.