Politique de confidentialité
Dernière mise à jour : 17 septembre 2026
1. Responsable du traitement
Prépare Mes Cours, by Drafted By, est un service numérique indépendant exploité au sein de l'Union européenne.
JEAN-DOMINIQUE MICHAEL CASANOVA Drafted_By (nom commercial : Drafted By), entreprise individuelle immatriculée en Pologne au registre CEIDG. Adresse professionnelle : ul. Dęblińska 2/73, 04-187 Warszawa, Pologne. NIP : 1133212109.
Contact : [email protected]
2. Données collectées
Nous collectons les données suivantes :
| Donnée | Finalité | Base légale |
|---|---|---|
| Nom, prénom, email | Création et gestion du compte | Contrat |
| Mot de passe (chiffré bcrypt) | Authentification | Contrat |
| Matières, niveaux, préférences pédagogiques | Personnalisation des cours générés | Contrat |
| Pseudonymes des élèves, noms de classes | Contextualisation pédagogique | Contrat |
| Cours générés et historique | Continuité pédagogique, progression | Contrat |
| Paramètres UTM (source, medium, campagne) | Mesure de l'acquisition marketing | Intérêt légitime |
| Éligibilité cahier.online, email et identifiants pseudonymes | Connexion au service partenaire et attribution unique du handle offert, uniquement à votre demande | Contrat |
| Données de navigation et d'usage (pages, interactions, session masquée) | Mesure produit PostHog (UE) | Intérêt légitime (PostHog) |
| Empreinte de carte bancaire (pseudonymisée) | Prévention des abus de paiement | Intérêt légitime |
Les élèves sont identifiés exclusivement par des pseudonymes. Nous demandons aux enseignants de ne jamais saisir le nom réel d'un élève.
Extension Chrome
L'extension Chrome « Prépare Mes Cours » (Chrome Web Store) permet de créer des cours depuis le navigateur. Elle communique exclusivement avec preparemescours.fr via une connexion chiffrée (HTTPS).
| Donnée | Stockage | Finalité |
|---|---|---|
| Jeton de session (JWT) | Local (chrome.storage, appareil) | Authentification API sans cookie navigateur |
| Email du compte connecté | Local (chrome.storage) | Affichage dans l'extension, parcours email non vérifié |
| Préférences du formulaire de création | Local (chrome.storage) | Pré-remplissage (matière, durée, classe, etc.) |
| Titre et URL de l'onglet actif | Serveur (lors de la génération) | Action « Faire de cette page un cours » (sur demande) |
| Texte sélectionné sur la page | Serveur (si sélectionnée par l'utilisateur) | Références pour la génération du cours |
| Événements d'usage anonymisés (extension) | PostHog (UE) | Amélioration produit (démarrage/fin/erreur de génération, sans contenu pédagogique) |
L'extension ne lit pas le contenu des pages sans action explicite de votre part. Déconnexion : bouton « Se déconnecter » dans le popup — supprime le jeton local. Permissions Chrome utilisées : stockage local, notifications (cours prêt), identité (OAuth Google/Apple), script temporaire sur l'onglet actif (capture de sélection).
3. Cookies et traceurs
La mesure produit de première partie PostHog est active afin de comprendre l'usage et la fiabilité du service. Elle utilise un stockage local et un cookie, puis un identifiant de compte après connexion. L'autocapture et l'enregistrement de session sont activés avec masquage des champs de saisie et exclusion des zones pédagogiques sensibles.
| Cookie | Finalité | Durée |
|---|---|---|
| cookie_consent | Mémoriser votre choix cookies | Permanente (localStorage) |
| pmc_session | Session d'authentification | 7 jours (cookie httpOnly) |
| PostHog (stockage local et cookie) | Mesure d'usage, diagnostic produit et session masquée | Selon la durée technique du traceur et la conservation décrite ci-dessous |
4. Utilisation de l'intelligence artificielle
Pour générer les cours, fiches élèves et exercices, nous transmettons les informations pédagogiques que vous saisissez (matière, niveau, durée, direction pédagogique, historique de cours) à des modèles de langage fournis par des prestataires tiers (voir tableau ci-dessous). Nous nous réservons le droit de changer de fournisseur ou de modèle à tout moment afin d'améliorer la qualité du service. Ce traitement est nécessaire à l'exécution du service.
Nous demandons des pseudonymes et déconseillons les noms, emails ou autres données identifiantes. Les consignes et documents importés peuvent néanmoins en contenir : leur contenu est transmis aux prestataires nécessaires à la génération.
5. Sous-traitants et transferts de données
| Sous-traitant | Service | Localisation | Données concernées |
|---|---|---|---|
| Google Gemini | Génération de contenu (LLM) | États-Unis | Contenu pédagogique fourni, pouvant contenir des données personnelles |
| OpenAI | Génération de contenu (LLM) | États-Unis | Contenu pédagogique fourni, pouvant contenir des données personnelles |
| OpenRouter | Routage API & embeddings sémantiques | États-Unis | Contenu pédagogique, texte indexé |
| Amazon SES | Emails transactionnels | AWS : région d’envoi Irlande | Adresse email, contenu des messages et métadonnées de livraison |
| Cloudflare | CDN, DNS, tunnel | International | Trafic réseau |
| PostHog Cloud EU | Analyse produit et sessions masquées | Union européenne | Événements d'usage, identifiant de compte après connexion |
| Stripe | Paiement et facturation | États-Unis / UE | Email, nom, données de paiement |
Mautic gère les contacts, préférences de communication et états de compte de PMC. Telegram reçoit des notifications opérationnelles pouvant inclure nom, email, état d’abonnement et métadonnées de génération (titre, matière, compteurs), pour le suivi du service. Les copies de notification et les échanges en boîte sont distincts des données applicatives. Ces opérations reposent sur le service demandé ou notre intérêt légitime de gestion ; les envois soumis à consentement respectent les préférences enregistrées.
Sentry traite les diagnostics techniques, avec un identifiant de compte pseudonyme lorsque nécessaire. Notre infrastructure privée et son stockage objet conservent les documents et exports associés au compte ; leur effacement suit la procédure décrite ci-dessous. Les échanges dans les boîtes MXroute et les archives historiques des prestataires restent des emplacements distincts. La conservation des contenus par les fournisseurs IA dépend des modèles et des conditions applicables ; le routage seul ne garantit pas une absence de conservation.
Depuis le 17 septembre 2026, les envois applicatifs utilisent Amazon SES dans la région d’envoi eu-west-1 (Irlande). MXroute héberge les boîtes de messagerie utilisées pour les échanges manuels et les réponses. Des archives de contacts et d’événements antérieurs restent chez Resend ; la migration ne signifie pas leur effacement. Les consentements, désinscriptions et exclusions applicables sont conservés dans nos systèmes.
Les transferts vers des pays hors UE sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne ou les mécanismes de protection équivalents mis en place par chaque sous-traitant.
cahier.online est un service distinct également exploité par Drafted By. Lorsque vous activez l'offre, Prépare Mes Cours lui transmet votre email et des identifiants pseudonymes pour ouvrir la session et appliquer l'avantage une seule fois. Si vous connectez ensuite volontairement l'Agenda avec une clé API cahier.online, les classes, devoirs, dates et liens sources du cahier de textes sont transmis à ce service. Cette connexion peut être révoquée à tout moment côté cahier.online.
6. Stockage et sécurité
- Les données sont stockées sur une infrastructure située dans l'Union européenne.
- Les mots de passe sont chiffrés avec bcrypt (salt 12).
- Les communications sont protégées par HTTPS (TLS 1.2+).
- Les tokens d'authentification expirent après 7 jours.
- L'accès aux données est restreint par des contrôles d'accès basés sur les rôles.
7. Durée de conservation
| Donnée | Durée |
|---|---|
| Compte utilisateur | Jusqu'à suppression du compte |
| Cours générés | Jusqu'à suppression par l'utilisateur ou du compte |
| Données analytics | PostHog : durée de projet, avec purge vérifiée lors de la suppression du compte |
| Marqueur technique de suppression | 90 jours, pour rejouer la suppression après restauration d'une sauvegarde |
| Dossiers de support et preuves opérationnelles détachées du compte | Durée nécessaire au traitement, à la sécurité et à la défense de droits ; accès restreint |
| Logs serveur | 30 jours |
| Identifiants d'abonnement et registre de livraison StoreKit | L'identifiant lié au compte est conservé tant que le compte abonné reste actif. Le registre de livraison des notifications StoreKit devient éligible à la suppression planifiée après 180 jours et est supprimé plus tôt avec le compte. Les notifications reçues après la suppression du compte ne sont pas conservées. |
| Éligibilité à l'offre cahier.online | Jusqu'à suppression du compte, afin de conserver l'avantage acquis et d'éviter une double attribution |
| Empreinte de carte bancaire | Jusqu'à suppression du compte |
8. Vos droits
Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :
- Droit d'accès : obtenir une copie de vos données personnelles
- Droit de rectification : corriger des données inexactes
- Droit de suppression : demander l'effacement de vos données
- Droit à la portabilité : recevoir vos données dans un format structuré
- Droit d'opposition : vous opposer au traitement de vos données
- Droit de retrait du consentement : retirer votre consentement aux cookies à tout moment
Un export JSON est disponible directement dans Paramètres → Compte. Il couvre le profil, les données pédagogiques, les documents (métadonnées), l'historique produit lié au compte et les communications associées ; les secrets d'authentification, jetons de notification et clés techniques en sont exclus.
La suppression depuis l'application suspend immédiatement le compte et invalide ses sessions. Elle est finalisée de manière asynchrone seulement après confirmation de l'effacement dans Agenda, l'index sémantique, le stockage objet et PostHog. Le marqueur minimal de rejeu ne contient ni email ni contenu. Les sauvegardes antérieures sont purgées selon leur rotation ; en cas de restauration, ce marqueur est rejoué avant remise en service afin d'éviter la réapparition d'un compte supprimé.
Pour exercer ces droits, contactez-nous à [email protected]. Nous répondrons dans un délai de 30 jours.
Vous pouvez également adresser une réclamation à la CNIL.