← Nafiy EdTech VERSION DU 2026-09-20 · APPLICABLE AU 2026-10-20 · COMPLÉTÉE LE 2026-10-02

Conformité · Nafiy EdTech

Politique de confidentialité

Quelles données, pourquoi, combien de temps, et tes droits. Tes données restent dans ton établissement.

Version du 20 septembre 2026, applicable au 20 octobre 2026. Elle t'est communiquée 30 jours avant son application (article 8 des CGU). Jusqu'au 20 octobre 2026, la version en vigueur reste celle du 30 avril 2026. Complément du 2 octobre 2026 : informations sur l'hébergement, les prestataires et les durées de conservation mises à jour pour refléter le service réel. Ce complément informe ; il ne modifie aucune condition d'utilisation.

1 · Responsable du traitement

Nuur ABDULLA (entrepreneur individuel), siège : 273 avenue de la République, apt 5, immeuble Seusse, 97440 Saint-André, La Réunion.
Contact : contact@nafistudio.net
Délégué à la protection des données (DPO) : dpo@nafistudio.net

2 · Données collectées

À l'inscription

Identifiants : e-mail, nom, mot de passe (jamais stocké en clair : seule son empreinte scrypt est gardée)
Profil : rôle (apprenti, formateur, direction d'établissement), cursus, établissement
Inscription : date de création, vérification e-mail

Pendant l'usage

Activité pédagogique : leçons consultées, quiz passés, scores, devoirs rendus, sujets d'entraînement demandés, photos de TP, exports PDF
Échanges avec Shuhari : tes questions et les réponses, transmises au prestataire d'IA pour produire la réponse ; ton historique de recherche reste sur ton appareil. Les avis que tu donnes sur une réponse (note, commentaire) sont conservés.
Données techniques : adresse IP et navigateur de connexion, version du client, journaux d'erreurs
Paiement : aucun de ta part. Seuls les établissements sont facturés, selon leur contrat.

Cloisonnement : les données d'un établissement ne sont jamais montrées à un autre établissement. Shuhari ne lit que les cours de ton cursus.

3 · Finalités

Fournir le service (compte, cours, mentor Shuhari, exports)
Personnaliser l'apprentissage (progression, révisions proposées)
Sécuriser la plateforme (anti-abus, journalisation des accès)
Gérer le contrat et la facturation des établissements
Améliorer le service (statistiques anonymisées sur les cours les plus consultés)

Aucune donnée n'est vendue à des tiers, ni utilisée pour de la publicité ciblée. Certains prestataires nécessaires au service sont établis hors de l'Union européenne : la liste, ce qui leur est transmis et les garanties applicables sont au point 8.

4 · Bases légales

Exécution du contrat (art. 6.1.b RGPD) pour la fourniture du service
Intérêt légitime (art. 6.1.f) pour la sécurité et l'amélioration
Consentement (art. 6.1.a) pour les communications marketing optionnelles
Obligation légale (art. 6.1.c) pour la facturation et la conservation comptable

5 · Durée de conservation

Compte actif : tant que ton accès est ouvert
Compte supprimé : effacé de la base aussitôt, avec tes fichiers ; seules les images que tu as fournies pour un contenu partagé encore en ligne (un cours, par exemple) restent, sans lien avec toi. Une copie subsiste, jusqu'à 10 ans, dans la copie de sauvegarde hors du serveur, chiffrée. Ces copies ne sont ni consultées ni utilisées : toute restauration efface à nouveau les comptes supprimés entre-temps, consignés dans un registre qui ne contient qu'un identifiant technique et une date.
Avis sur les réponses de Shuhari (et les extraits de l'échange noté) : 6 mois, puis effacés ; effacés aussitôt avec le compte
Tes cours suivis, devoirs, copies, notes et messages : tant que ton compte existe, effacés avec lui
Adresse IP et navigateur de connexion : gardés avec ta session (7 jours sans connexion au plus), puis effacés au plus tard 7 jours après son expiration
Journal des actions d'administration : 12 mois ; 3 ans pour les actions de sécurité (comptes, accès, exports), sans adresse e-mail après un an
Profilage pédagogique (points faibles et points forts déduits de tes réponses) : 5 ans, puis effacé ; tes scores et leurs dates restent, ils font la preuve de ton parcours
Journaux techniques de l'hébergeur : selon ses conditions
Factures des établissements : 10 ans (obligation comptable)

6 · Tes droits

Conformément au RGPD et à la loi Informatique et Libertés modifiée, tu disposes des droits :

Accès : savoir quelles données nous avons sur toi
Rectification : corriger les données inexactes
Effacement : demander la suppression (« droit à l'oubli »)
Limitation : geler le traitement le temps d'une vérification
Portabilité : récupérer tes données dans un format réutilisable ; tu peux les télécharger toi-même depuis les paramètres de l'application, carte « Mes données » (fichier JSON)
Opposition : refuser certains traitements (intérêt légitime)
Retrait du consentement à tout moment

Pour exercer ces droits : dpo@nafistudio.net. Réponse sous un mois maximum. En cas de désaccord, tu peux saisir la CNIL.

7 · Sécurité

Chiffrement TLS sur tous les flux. Mots de passe jamais stockés en clair (empreinte scrypt). Hébergement dans l'Union européenne : base de données, fichiers et serveur de la plateforme chez Supabase, à Francfort (Allemagne). Une sauvegarde est faite chaque jour et déposée hors de notre hébergeur (GitHub) pour repartir après un sinistre, chiffrée avec une clé qui n'est jamais conservée sur nos serveurs, ni chez l'hébergeur, ni chez GitHub.

8 · Prestataires et transferts hors UE

Le service s'appuie sur les prestataires ci-dessous, et sur aucun autre. Chacun ne reçoit que ce qui lui est nécessaire.

Prestataire	Rôle	Ce qui lui est transmis	Où	Garanties
Supabase	Serveur de la plateforme, base de données et fichiers	Toutes les données du service	Données à Francfort (Allemagne, UE) ; société établie à Singapour	Données stockées dans l'UE ; un accès depuis l'extérieur de l'UE (assistance, maintenance) est encadré par les clauses contractuelles types de ses conditions de traitement des données
Cloudflare	Distribution du site et de l'application, relais vers le serveur de la plateforme, DNS, protection anti-robot	Les échanges entre ton navigateur et le serveur passent par son réseau	États-Unis, réseau mondial	Clauses contractuelles types et Data Privacy Framework
Google	Modèle de langage du mentor, des fiches, des synthèses et de l'aide à la correction ; connexion par compte Google si tu la choisis (Firebase) ; polices d'écriture et moteur d'affichage du site et de l'application	Tes questions au mentor et les extraits de cours utiles ; le texte des cours ; tes réponses aux devoirs, sans ton nom, quand ton formateur demande une proposition de correction ou lors de la prélecture automatique ; les documents que les formateurs importent ; ton identité Google si tu utilises ce mode de connexion ; ton adresse IP et ton navigateur pour les polices et le moteur d'affichage	États-Unis	Clauses contractuelles types et Data Privacy Framework ; voir l'encadré ci-dessous
Resend	Envoi des courriels du service	L'adresse de destination et le contenu du message	États-Unis	Clauses contractuelles types et Data Privacy Framework
GitHub	Dépôt du code ; emplacement de la copie de sauvegarde, hors de notre hébergeur	Les sauvegardes, chiffrées avant d'y être déposées	États-Unis	Clauses contractuelles types et Data Privacy Framework ; la clé de déchiffrement n'y est jamais déposée

Pendant la phase pilote, à savoir. Le service utilise aujourd'hui l'offre gratuite du fournisseur du modèle de langage. Sur cette offre, Google se réserve le droit de réutiliser ce qui lui est envoyé et ce qu'il renvoie, y compris pour améliorer ses modèles, avec une relecture humaine possible : ce que tu écris à Shuhari et ce qu'il te répond peuvent donc être lus et réutilisés par Google. N'y écris rien que tu ne dirais pas devant ta classe, aucune donnée de santé, aucune donnée d'identité. Au premier contrat d'établissement, le service passe à l'offre payante, dont les entrées et les sorties ne servent pas à entraîner les modèles ; cette page le dira le jour où ce sera fait.