Politique de confidentialité

Spithai
Contact : support@spithai.be

Spithai collecte uniquement les données nécessaires au service de coaching scolaire :

• Compte parent : email, mot de passe, prénom et nom
• Profil élève : prénom, date de naissance (auto-déclarée, pour déterminer l'application du consentement parental), année scolaire, section — jamais de nom de famille, jamais d'établissement scolaire
• Sessions de coaching : résumé factuel de fin de session (le contenu détaillé des échanges reste privé, non accessible même au parent)
• Documents scolaires uploadés (cours, exercices) — les informations personnelles qu'ils pourraient contenir sont automatiquement détectées et retirées avant tout traitement
• Fiches de révision générées par l'IA
• Préférences d'interaction avec Spith (style, longueur, profil d'apprentissage)
• Données de paiement : gérées intégralement par notre prestataire de paiement (Mollie) — Spithai ne stocke jamais de numéro de carte bancaire ni d'IBAN

Aucune donnée non nécessaire n'est collectée : pas d'adresse postale, pas de photo.

• Fournir le service de coaching scolaire personnalisé via l'IA Spith
• Permettre aux parents de suivre la progression scolaire de leur enfant, via un résumé factuel — jamais le contenu détaillé des échanges
• Gérer l'abonnement et la facturation

Le traitement des données repose sur des bases légales distinctes selon la finalité :

• Exécution du contrat (Art. 6.1.b) : création de compte, fourniture du service de coaching, gestion de l'abonnement et de la facturation.
• Consentement (Art. 6.1.a et Art. 8) : liaison entre le compte d'un Élève de moins de 13 ans et celui d'un Parent, connexion via Google.
• Intérêt légitime (Art. 6.1.f) : prévention des abus à l'inscription (voir point « Sécurité »).

L'élève peut utiliser Spith dès son inscription. Le consentement du titulaire de l'autorité parentale devient obligatoire (Art. 8 RGPD, loi belge du 30 juillet 2018) dès lors qu'un parent est lié au compte de l'enfant, si celui-ci a moins de 13 ans. Pour les élèves de 13 ans et plus, le consentement est proposé mais n'est pas une condition légale d'accès au service.

• Mistral AI (France, UE) — génération des réponses de Spith
• Anthropic Claude, via AWS Bedrock (région Europe) — usage de secours et extraction de texte des documents. Traitement au sein de l'UE, jamais via l'API Anthropic directe
• Supabase, self-hosted sur infrastructure OVHcloud (Strasbourg, France) — stockage des données, 100% en UE
• Scalingo (France) — hébergement de l'application
• Mollie (Pays-Bas, UE) — traitement des paiements
• Brevo (France, UE) — envoi des emails transactionnels (confirmation, rappels, reçus)
• Google Ireland Ltd — uniquement si vous choisissez de vous connecter via « Continuer avec Google » : Google nous transmet alors votre email et votre prénom pour créer ou authentifier votre compte. Ce traitement, ainsi que le transfert de données associé, repose sur votre consentement explicite au moment de ce choix ; vous pouvez à tout moment utiliser l'authentification par email et mot de passe à la place
• Telegram — utilisé en interne pour des alertes opérationnelles (ex. incident technique, message envoyé via le formulaire de contact/retour). Le contenu d'un retour utilisateur passe par notre mécanisme de rédaction automatique des données personnelles (voir « Documents scolaires ») avant transmission ; en cas d'échec de cette rédaction, le contenu n'est pas transmis

L'ensemble de nos sous-traitants d'hébergement, de traitement IA et de paiement traitent vos données au sein de l'Union européenne (voir section 5). Seule la connexion via Google implique un transfert de données vers Google Ireland Ltd, susceptible de transiter vers les États-Unis. Ce transfert est encadré, selon le mécanisme en vigueur au moment du transfert, par une décision d'adéquation de la Commission européenne (le cas échéant dans le cadre du Data Privacy Framework UE-US) ou, à défaut, par des clauses contractuelles types approuvées par la Commission européenne, assorties de garanties techniques et organisationnelles complémentaires. Vous pouvez éviter ce transfert à tout moment en utilisant l'authentification par email et mot de passe plutôt que la connexion via Google.

• Cours uploadés, sessions de chat : jusqu'à la fin de l'année scolaire en cours + 3 mois
• Compte élève : supprimé automatiquement après 2 ans d'inactivité, ce qui entraîne la suppression de l'ensemble des données associées (fiches de révision, listes de vocabulaire, historique). Un compte reste actif tant que l'élève l'utilise ; la suppression peut aussi être demandée à tout moment
• Preuve de consentement parental : conservée tant qu'au moins un des comptes concernés (parent ou élève) existe encore
• Adresse IP (limitation des abus à l'inscription) : utilisée temporairement en mémoire, quelques minutes, jamais stockée en base de données

En tant que parent (représentant légal), vous disposez des droits suivants :

• Droit d'accès et à la portabilité : export complet des données de votre enfant, directement depuis votre espace, en un format lisible
• Droit à l'effacement : suppression du compte de votre enfant directement depuis votre espace. Si plusieurs parents sont liés à l'enfant, cette action nécessite de nous contacter avec un justificatif, pour éviter qu'un parent supprime unilatéralement l'accès de l'autre
• Droit de rectification : modifier le profil de votre enfant
• Droit à la limitation du traitement : demander la limitation temporaire du traitement en cas de contestation de l'exactitude des données ou de traitement que vous estimez illicite
• Droit d'opposition et de retrait du consentement : retirer le consentement à tout moment — y compris le consentement donné en vous connectant via Google, en repassant à une connexion par email et mot de passe

Pour exercer ces droits ou pour toute question : support@spithai.be. Nous répondons dans un délai d'un mois à compter de la réception de votre demande, prolongeable de deux mois pour les demandes complexes ou nombreuses (Art. 12.3 RGPD) ; vous en seriez alors informé.

Les préférences d'interaction avec Spith (style, longueur, profil d'apprentissage) ne servent qu'à adapter le ton et la forme des réponses de l'IA : elles ne donnent lieu à aucune décision automatisée produisant des effets juridiques ou vous affectant, ou affectant l'Élève, de manière significative, au sens de l'Art. 22 du RGPD.

• Mots de passe jamais stockés en clair
• Connexions chiffrées (HTTPS/TLS)
• Accès aux données limité par authentification stricte
• En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, l'Autorité de Protection des Données est notifiée dans les 72 heures, et vous êtes informé sans délai injustifié lorsque le risque est élevé (Art. 33 et 34 RGPD)

Autorité de Protection des Données (APD)
Rue de la Presse 35, 1000 Bruxelles
contact@apd-gba.be — www.autoriteprotectiondonnees.be

Cette politique peut être mise à jour. En cas de modification substantielle, vous serez informé par email.