RGPD & DPO

Conformité au Règlement Général sur la Protection des Données. Souveraineté de tes données.

Version du 30 avril 2026, en vigueur jusqu'au 20 octobre 2026. Elle est conservée ici pour mémoire. À partir du 20 octobre 2026, c'est la version du 20 septembre 2026 qui s'applique. Complément du 2 octobre 2026 : informations sur l'hébergement, les prestataires et les durées de conservation mises à jour pour refléter le service réel. Ce complément informe ; il ne modifie aucune condition d'utilisation.

1 · Délégué à la protection des données (DPO)

Pour toute question relative à la protection de tes données ou à l'exercice de tes droits :

E-mail : dpo@nafistudio.net
Courrier : Nuur ABDULLA, 273 avenue de la République, apt 5, immeuble Seusse, 97440 Saint-André, La Réunion
Délai de réponse : 30 jours maximum (article 12 RGPD)

2 · Sous-traitants

Nafiy EdTech fait appel à des sous-traitants liés par contrat conforme à l'article 28 RGPD :

Supabase (société établie à Singapour, données à Francfort, Allemagne) : serveur de la plateforme, base de données et fichiers
Cloudflare (États-Unis) : distribution du site et de l'application, relais vers le serveur, DNS, protection anti-robot
Google (États-Unis) : modèle de langage Gemini, qui fait fonctionner le mentor Shuhari ; connexion par compte Google ; polices d'écriture et moteur d'affichage
Resend (États-Unis) : envoi des courriels du service
GitHub (États-Unis) : code et copie de sauvegarde, chiffrée avant d'y être déposée

Aucune donnée d'apprentissage cross-établissement n'est transmise à un tiers. Le mentor SHUHARI n'utilise jamais les données d'un atelier pour répondre à un autre.

3 · Transferts hors UE

Cloudflare, Google, Resend et GitHub sont basés aux États-Unis ; Supabase est établie à Singapour, et les données restent à Francfort. Les transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne (CCT 2021/914/UE) et/ou par leur certification au Data Privacy Framework. Une exception : pendant la phase pilote, le modèle de langage est appelé par l'offre gratuite de Google, dont les conditions n'offrent pas ce cadre et l'autorisent à réutiliser les échanges, avec une relecture humaine possible.

4 · Mesures techniques et organisationnelles

Chiffrement en transit (TLS) ; au repos, assuré par l'hébergeur
Authentification (mots de passe jamais stockés en clair, empreinte scrypt, sessions de 7 jours)
Cloisonnement multi-tenant au niveau base de données + couche applicative
Journalisation des actions d'administration, gardée 12 mois, et 3 ans pour les actions de sécurité
Sauvegarde chiffrée chaque jour, déposée hors de notre hébergeur, avec une procédure de restauration écrite
Gestion des accès minimale (principe du moindre privilège)
Mises à jour de sécurité : système et base de données maintenus par l'hébergeur ; dépendances du code suivies et mises à jour

5 · Notification de violation

En cas de violation de données susceptible d'engendrer un risque pour tes droits, nous t'informons sans délai indu (sous 72h pour la CNIL, cf. article 33 RGPD), avec les mesures prises et nos recommandations.

6 · Profilage automatisé

Le mentor SHUHARI adapte ses réponses à ton historique d'apprentissage (cours consultés, oublis, niveau). Il ne s'agit pas d'un profilage à finalité discriminatoire. Aucune décision juridique automatisée n'est prise sur cette base. Tu peux demander à voir les données qui pilotent cette personnalisation et les corriger.

7 · Droit de réclamation

Si tu estimes que le traitement de tes données ne respecte pas le RGPD, tu peux saisir la CNIL (3 Place de Fontenoy, 75007 Paris, +33 1 53 73 22 22).