Politique de confidentialité

1 · Responsable du traitement

Nuur ABDULLA (entrepreneur individuel) — siège : 273 avenue de la République, apt 5, immeuble Seusse, 97440 Saint-André, La Réunion.
Contact : contact@nafistudio.net
Délégué à la protection des données (DPO) : dpo@nafistudio.net

2 · Données collectées

À l'inscription

• Identifiants : e-mail, nom, mot de passe (jamais stocké en clair : seule son empreinte scrypt est gardée)
• Profil : rôle (élève / formateur / admin / propriétaire), cursus, établissement
• Inscription : date de création, vérification e-mail

Pendant l'usage

• Activité pédagogique : leçons consultées, quizs passés, scores, photos TP, exports PDF
• Conversations SHUHARI : questions posées, réponses, historique de recherche (sur ton appareil ; tes questions sont transmises au prestataire d'IA pour produire la réponse, sans être conservées sur le serveur)
• Données techniques : adresse IP et navigateur de connexion (gardés avec ta session, puis effacés au plus tard 7 jours après son expiration), version du client, OS, logs d'erreurs
• Paiement : aucun paiement en ligne n'est ouvert à ce jour ; aucune donnée de carte n'est collectée

3 · Finalités

• Fournir le service (compte, cours, mentor SHUHARI, exports)
• Personnaliser l'apprentissage (Shuhari se souvient des oublis)
• Sécuriser la plateforme (anti-abus, journalisation des accès)
• Gérer le contrat et la facturation des établissements
• Améliorer le service (statistiques anonymisées sur les cours les plus consultés)

Aucune donnée n'est vendue à des tiers, ni utilisée pour de la publicité ciblée. Certains prestataires sont établis hors de l'UE : les transferts sont encadrés par les clauses contractuelles types, sauf pour le modèle de langage, appelé pendant la phase pilote par l'offre gratuite de Google, qui peut réutiliser ce qui lui est envoyé, avec une relecture humaine possible (voir la page RGPD).

4 · Bases légales

• Exécution du contrat (art. 6.1.b RGPD) pour la fourniture du service
• Intérêt légitime (art. 6.1.f) pour la sécurité et l'amélioration
• Consentement (art. 6.1.a) pour les communications marketing optionnelles
• Obligation légale (art. 6.1.c) pour la facturation et la conservation comptable

5 · Durée de conservation

• Compte actif : tant que l'abonnement est en cours
• Compte supprimé : effacé de la base aussitôt, avec tes fichiers ; une copie chiffrée subsiste dans la sauvegarde hors de notre hébergeur, et toute restauration efface à nouveau les comptes supprimés entre-temps
• Journal des actions d'administration : 12 mois, et 3 ans pour les actions de sécurité (comptes, accès, exports) ; journaux techniques de l'hébergeur : selon ses conditions
• Données comptables (factures des établissements) : 10 ans (obligation fiscale)
• Conversations avec Shuhari : non conservées sur le serveur, elles restent sur ton appareil

6 · Tes droits

Conformément au RGPD et à la loi Informatique et Libertés modifiée, tu disposes des droits :

• Accès — savoir quelles données nous avons sur toi
• Rectification — corriger les données inexactes
• Effacement — demander la suppression (« droit à l'oubli »)
• Limitation — geler le traitement le temps d'une vérification
• Portabilité — récupérer tes données dans un format réutilisable
• Opposition — refuser certains traitements (intérêt légitime)
• Retrait du consentement à tout moment

Pour exercer ces droits : dpo@nafistudio.net. Réponse sous un mois maximum. En cas de désaccord, tu peux saisir la CNIL.

7 · Sécurité

Chiffrement TLS sur tous les flux. Mots de passe jamais stockés en clair (empreinte scrypt). Hébergement dans l'Union européenne : base de données, fichiers et serveur de la plateforme chez Supabase, à Francfort (Allemagne). Une sauvegarde chiffrée est faite chaque jour et déposée hors de notre hébergeur (GitHub), avec une clé qui n'y est jamais déposée.

8 · Sous-traitants

Voir la page RGPD pour la liste complète.