← Nafiy EdTech VERSION DU 2026-09-20 · APPLICABLE AU 2026-10-20 · COMPLÉTÉE LE 2026-10-02

Conformité · Nafiy EdTech

RGPD & DPO

Conformité au Règlement Général sur la Protection des Données : sous-traitants, transferts, mesures, réclamation.

Version du 20 septembre 2026, applicable au 20 octobre 2026. Elle t'est communiquée 30 jours avant son application (article 8 des CGU). Jusqu'au 20 octobre 2026, la version en vigueur reste celle du 30 avril 2026. Complément du 2 octobre 2026 : informations sur l'hébergement, les prestataires et les durées de conservation mises à jour pour refléter le service réel. Ce complément informe ; il ne modifie aucune condition d'utilisation.

1 · Délégué à la protection des données (DPO)

Pour toute question relative à la protection de tes données ou à l'exercice de tes droits :

E-mail : dpo@nafistudio.net
Courrier : Nuur ABDULLA, 273 avenue de la République, apt 5, immeuble Seusse, 97440 Saint-André, La Réunion
Délai de réponse : 30 jours maximum (article 12 RGPD)

2 · Sous-traitants

Cinq prestataires, et aucun autre : Supabase (hébergement du serveur, de la base de données et des fichiers), Cloudflare (distribution, relais et DNS), Google (modèle de langage, connexion par compte Google, polices d'écriture), Resend (courriels) et GitHub (code, copie de sauvegarde chiffrée). Leur rôle, ce qui leur est transmis, leur pays et les garanties applicables sont détaillés au point 8 de la politique de confidentialité. Chacun est lié par les conditions de traitement des données de son service, au sens de l'article 28 du RGPD.

Une exception, dite franchement. Pendant la phase pilote, le modèle de langage est appelé par l'offre gratuite de son fournisseur : ces conditions-là n'offrent pas ce cadre et autorisent le fournisseur à réutiliser les échanges, avec une relecture humaine possible. Rien de confidentiel ne doit être écrit au mentor tant que le service n'est pas passé à l'offre payante, ce qui est prévu au premier contrat d'établissement.

Aucune donnée d'apprentissage n'est transmise d'un établissement à un autre. Le mentor ne lit que les cours du cursus de qui l'interroge.

3 · Transferts hors UE

Cloudflare, Google, Resend et GitHub sont établis aux États-Unis ; Supabase est établie à Singapour. Les transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, selon le prestataire, par sa certification au Data Privacy Framework, sauf l'exception dite ci-dessus pour le modèle de langage. Le serveur de la plateforme, la base de données et les fichiers restent dans l'Union européenne (Francfort) ; la copie de sauvegarde est chiffrée avant d'être déposée chez GitHub.

4 · Mesures techniques et organisationnelles

Chiffrement en transit (TLS) sur tous les flux
Mots de passe jamais stockés en clair (empreinte scrypt), sessions de 7 jours
Cloisonnement par établissement vérifié à chaque lecture et à chaque écriture, couvert par des tests automatisés ; l'équipe Nafiy peut ouvrir un établissement pour l'assister, et chaque ouverture est journalisée
Journalisation des actions d'administration, gardée 12 mois, et 3 ans pour les actions de sécurité (comptes, accès, exports), sans adresse e-mail après un an ; adresse IP de connexion gardée 7 jours au plus après la fin de ta session
Sauvegarde chiffrée chaque jour, déposée hors de notre hébergeur, avec une procédure de restauration écrite
Registre des effacements rejoué à toute restauration : un compte supprimé le reste, même après un retour en arrière
Accès minimal (principe du moindre privilège), fichiers privés par défaut
Mises à jour de sécurité : système et base de données maintenus par l'hébergeur ; dépendances du code suivies et mises à jour

5 · Notification de violation

En cas de violation de données susceptible d'engendrer un risque pour tes droits, nous t'informons sans délai indu (sous 72h pour la CNIL, cf. article 33 RGPD), avec les mesures prises et nos recommandations.

6 · Profilage automatisé

Tes réponses aux quiz et aux examens servent à repérer tes points faibles et tes points forts, et à te proposer des révisions. Aucune décision produisant des effets juridiques n'est prise automatiquement. Ces marqueurs sont effacés au bout de 5 ans (tes scores et leurs dates restent, ils font la preuve de ton parcours), et tu peux demander à les voir et à les faire corriger.

7 · Droit de réclamation

Si tu estimes que le traitement de tes données ne respecte pas le RGPD, tu peux saisir la CNIL (3 Place de Fontenoy, 75007 Paris, +33 1 53 73 22 22).