Confidentialité

Sur votre appareil

Pour fonctionner, Etapa range dans la mémoire de votre navigateur :

• votre prénom, si vous l'avez donné ;
• votre progression : les questions acquises, celles à revoir, vos scores ;
• le titre que vous préparez, si vous l'avez choisi ;
• l'examen blanc en cours, avec vos réponses ;
• le pass que vous avez acheté sur cet appareil : un numéro tiré au hasard, sans votre nom ni votre adresse ;
• le nombre d'examens blancs commencés, pour savoir si l'examen gratuit est déjà utilisé ;
• le nombre de diagnostics de départ commencés, pour savoir si le diagnostic gratuit est déjà utilisé ;
• le nombre de séries terminées, pour ne pas vous parler de soutien trop souvent ;
• vos réglages : thème, taille du texte ;
• les fenêtres du quartier que vous avez déjà vues s'allumer.

Le test de départ en cours reste seulement jusqu'à la fermeture de l'onglet.

Rien de cela ne nous est envoyé. Nous ne pouvons pas le lire. Ce n'est pas un cookie de publicité : c'est ce qui permet à l'application de se souvenir de vous.

Si quelqu'un d'autre utilise ce téléphone, il peut voir ces informations. Pensez à les effacer avant de prêter ou de rendre l'appareil.

Ce que « Tout effacer » efface

Dans Profil, le bouton « Tout effacer » efface de cet appareil :

• votre prénom ;
• votre progression et les fenêtres déjà vues ;
• le titre que vous préparez ;
• l'examen blanc en cours.

Il n'efface pas :

• votre pass, pour que vous ne perdiez pas ce que vous avez payé ;
• le nombre d'examens blancs commencés ;
• le nombre de diagnostics de départ commencés ;
• le nombre de séries terminées ;
• vos réglages de lecture et de thème.

Attention : tant que le pass reste, une autre personne qui utilise ce téléphone peut voir qu'un pass Etapa a été acheté.

Pour effacer vraiment tout, pass compris : effacez les données du site dans les réglages de votre navigateur. Sans compte, ce qui est effacé est perdu, pass compris.

L'hébergement du site

Pour vous envoyer une page, notre hébergeur reçoit, comme pour tout site internet, l'adresse internet (adresse IP) de votre appareil et des informations techniques sur votre navigateur.

Hébergeur

Cloudflare, Inc., aux États-Unis, qui sert le site depuis le centre le plus proche de vous [À CONFIRMER : son accord de sous-traitance, accepté et archivé]

Pourquoi

Afficher le site, et le protéger contre les attaques.

Base légale

Notre intérêt légitime à faire fonctionner et à protéger le site (RGPD, art. 6.1.f).

Combien de temps

[À COMPLÉTER : durée de conservation des journaux techniques chez l'hébergeur]

La mesure d'audience

Elle sert à savoir si Etapa est utile, et sur quels appareils on s'en sert. Nous la faisons nous-mêmes, sur notre propre petit serveur chez Cloudflare, notre hébergeur. Elle est la même avec ou sans compte.

Ce qui part, pour chaque page ouverte

• le nom de la page, regroupé : par exemple « examen » pour toutes les pages de l'examen, « achat » pour toutes celles de l'achat. Une page que nous n'avons pas prévue est comptée comme « autre ». Rien de ce qui suit le « ? » ou le « # » d'une adresse ;
• comme pour toute page demandée sur internet, votre navigateur envoie aussi l'adresse internet (adresse IP) de votre appareil et le nom de votre navigateur. Notre serveur n'en tire que deux choses : le pays, déduit par Cloudflare, et le type d'appareil (téléphone, tablette ou ordinateur). Puis il les oublie.

Ce que nous gardons

• des totaux par jour : combien de pages ont été ouvertes, pour chaque page regroupée, chaque pays et chaque type d'appareil ;
• rien d'autre : ni l'heure, ni l'adresse internet, ni le navigateur, ni la ville, ni le site qui vous a amené ici.

Ce qui ne part jamais

• vos réponses, vos scores, votre progression ;
• votre prénom, votre adresse email ;
• le titre que vous préparez.

Aucun cookie, aucun identifiant : rien n'est lu ni écrit sur votre appareil pour cette mesure. Un total par jour ne permet pas de retrouver une visite : nous ne pouvons pas savoir qui vous êtes. La mesure n'est jamais reliée à votre compte.

Base légale

Notre intérêt légitime à améliorer l'application (RGPD, art. 6.1.f).

Où

Dans une base de données de Cloudflare dont les données restent dans l'Union européenne.

Combien de temps

25 mois, puis les totaux sont effacés.

Pour vous y opposer

Un bloqueur de contenu dans votre navigateur peut bloquer l'adresse « /m » de ce site : plus aucune de vos pages ne sera comptée. Comme nous ne gardons que des totaux, nous ne pouvons pas retrouver vos visites pour les effacer.

Si vous nous écrivez

Si vous nous envoyez un email, par exemple pour signaler une erreur dans une question, nous recevons votre adresse email et votre message. Ils servent seulement à vous répondre et à corriger l'erreur. Ne nous racontez pas votre situation personnelle : nous n'en avons pas besoin.

Base légale

Notre intérêt légitime à vous répondre et à corriger le contenu (RGPD, art. 6.1.f).

Messagerie utilisée

[À COMPLÉTER : fournisseur de la boîte email de contact]

Combien de temps

[À DÉCIDER : durée de conservation des échanges, par exemple 12 mois après la dernière réponse]

Ce qui change avec un compte

Vous pouvez essayer Etapa sans compte. Le compte vous est demandé quand vous achetez un pass. Il sert à deux choses : garder votre pass, et retrouver votre progression sur un autre appareil.

Vous vous connectez de deux façons :

• avec votre adresse email : nous vous envoyons un code à 6 chiffres. Il n'y a pas de mot de passe ;
• avec Google : Google nous donne votre adresse email [À CONFIRMER : et votre nom, selon les réglages de connexion]. Google sait alors que vous utilisez Etapa. Nous n'affichons pas votre photo Google.

Quand vous créez votre compte, ce que vous avez fait sans compte sur cet appareil y est ajouté : votre prénom, le titre choisi et le journal de vos réponses. [À CONFIRMER : l'import se fait-il sans question, ou la personne peut-elle refuser ?]

Ce que garde votre compte

Votre compte

Votre adresse email, un numéro de compte, la date de création et la date de votre dernière connexion. Avec Google : aussi votre numéro de compte Google.

Votre prénom

Seulement si vous l'avez donné. Il sert au bonjour.

Le titre que vous préparez

Carte pluriannuelle, carte de résident ou naturalisation, si vous l'avez choisi. Il choisit la liste de questions. Lisez la carte suivante.

Le journal de vos réponses

Pour chaque réponse d'entraînement : la question, juste ou non, la date, et un numéro tiré au hasard pour l'appareil utilisé. Il garde « juste ou non », pas le choix que vous avez fait. Votre progression est recalculée à partir de ce journal.

Les examens blancs et les diagnostics commencés

La date de chaque examen blanc et de chaque diagnostic de départ lancé, et lequel des deux, rien d'autre. Ainsi, l'examen gratuit et le diagnostic gratuit comptent une seule fois, sur tous vos appareils. L'examen en cours et vos réponses d'examen restent sur l'appareil : ils ne sont pas gardés dans le compte.

Votre dernière activité

La date de votre dernière visite avec votre compte, et celle de l'email qui vous prévient avant d'effacer un compte inactif. Voir « Combien de temps ».

Vos achats

Le pass, son prix, la date d'achat, la date de fin. Voir « Vos achats ».

Pourquoi

Vous reconnaître, garder votre pass, et vous rendre votre progression partout.

Base légale

Le contrat entre vous et nous : c'est le service que vous demandez (RGPD, art. 6.1.b). Voir les conditions d'utilisation.

Où

Chez Supabase, sur des serveurs dans l'Union européenne, en Irlande.

Nous ne gardons pas votre nom de famille, votre adresse, votre nationalité, votre date de naissance, ni votre numéro de dossier.

Le titre que vous préparez

Nous vous le disons clairement : le titre que vous préparez montre que vous faites une démarche pour un titre de séjour ou pour la nationalité française. Avec votre prénom et votre adresse email, c'est une information personnelle importante.

C'est pourquoi :

• il n'est jamais envoyé à la mesure d'audience ;
• il ne sert qu'à choisir vos questions ;
• il n'est jamais donné à une administration, sauf si la loi nous y oblige ;
• vous pouvez le changer à tout moment, dans Profil.

Pour le retirer de votre compte sans le supprimer : [À DÉCIDER : un bouton « Retirer mon titre » dans Profil ; aujourd'hui, on peut changer de titre mais pas revenir à « aucun »]

[À VALIDER PAR UN AVOCAT : le titre préparé est-il une donnée sensible (RGPD, art. 9) ? Si oui, il faudra votre accord exprès et séparé avant de le garder dans le compte, et cette carte sera réécrite.]

Vos achats

Les achats ne sont pas encore ouverts. Ce qui suit sera vrai ce jour-là.

Quand vous achetez un pass, nous gardons : le pass, son prix, la date d'achat, la date de fin, la référence du paiement chez Stripe, et la preuve que vous avez coché la case d'accès immédiat, avec sa date.

Le paiement se fait chez Stripe. Stripe reçoit votre carte, votre adresse email, votre pays et l'adresse internet de votre appareil. Nous ne voyons jamais le numéro de votre carte. Stripe utilise aussi ces données pour ses propres besoins : lutter contre la fraude, et respecter ses obligations légales. Pour cela, Stripe est lui-même responsable : voir sa politique de confidentialité.

Base légale

Le contrat (RGPD, art. 6.1.b) ; puis, pour garder les traces de vente, nos obligations comptables (art. 6.1.c).

Les emails

Nous vous envoyons seulement des emails utiles au service :

• le code pour vous connecter ;
• la confirmation de votre achat ;
• un avertissement, un mois avant d'effacer un compte inactif ;
• un message important sur vos données ou sur ces règles, si la loi l'exige.

Jamais de publicité, jamais de relance du type « vous n'êtes pas venu depuis 5 jours ».

Ces emails sont envoyés par Scaleway, un prestataire français. Il voit votre adresse et le contenu du message.

Base légale

Le contrat (RGPD, art. 6.1.b) ; et la loi pour la confirmation d'achat et les alertes de sécurité (art. 6.1.c).

Qui peut voir vos données

• Vous : chaque compte ne peut lire que ses propres données.
• L'éditeur d'Etapa, une seule personne, pour faire marcher le service et répondre à vos demandes.
• Nos prestataires (carte suivante), seulement pour le travail que nous leur confions.
• Une autorité, seulement si la loi nous y oblige.

Personne d'autre. Nous ne faisons pas de profil de vous. Nous ne vendons pas, ne louons pas et ne prêtons pas vos données. Si Etapa change un jour de propriétaire, vos données ne partent pas sans que vous soyez prévenu. [À VALIDER PAR UN AVOCAT : rédaction de l'engagement en cas de cession]

Nos prestataires

Ils travaillent pour nous, sous contrat (RGPD, art. 28). Ils n'ont pas le droit d'utiliser vos données pour eux-mêmes, sauf Stripe et Google pour leurs propres obligations, comme dit plus haut.

Supabase

Garde les comptes, le prénom, le titre, le journal des réponses et les achats, et les parties classées du duel. Serveurs dans l'Union européenne, en Irlande. [À CONFIRMER : entité qui signe le contrat (Supabase Pte. Ltd., Singapour, selon son DPA)]

Stripe

Le paiement. [À CONFIRMER : entité Stripe nommée dans le contrat accepté, en principe Stripe Payments Europe, Limited, Irlande]

Scaleway SAS (Paris, France)

L'envoi des emails.

Vercel Inc. (États-Unis)

L'ancienne adresse du site, etapa.vercel.app, qui vous renvoie vers la nouvelle.

Cloudflare

L'hébergement du site, la mesure d'audience, et le petit serveur qui reçoit de Stripe la confirmation du paiement et ouvre votre pass. Et le serveur de jeu du duel, qui fait tourner les parties dans l'Union européenne. [À CONFIRMER : entité Cloudflare et son contrat de sous-traitance]

Google

Seulement si vous choisissez de vous connecter avec Google.

Hors de l'Union européenne

Vos données sont gardées en Europe. Mais certaines peuvent être lues hors de l'Union européenne, par exemple pour la maintenance :

• Supabase, Vercel et Cloudflare : protégés par les clauses contractuelles types de la Commission européenne (RGPD, art. 46) ;
• Stripe : transferts vers les États-Unis, couverts par le cadre de protection des données UE-États-Unis et par les clauses contractuelles types (RGPD, art. 45 et 46) ;
• Google : [À CONFIRMER : garanties de transfert de Google].

Plusieurs de ces sociétés sont américaines, ou liées aux États-Unis. Une loi américaine, le « Cloud Act », peut les obliger à remettre des données à la justice américaine, même si ces données sont gardées en Europe. Ce risque existe, et nous préférons vous le dire.

Pour le réduire, nous gardons le moins possible : pas de mot de passe, pas de nom de famille, pas d'adresse, pas vos choix de réponse(sauf ceux du duel classé, voir « Le duel »).

Pour obtenir une copie des garanties, écrivez-nous.

Combien de temps

Un compte qui ne sert plus

Effacé après 18 mois sans connexion. Au moins un mois avant, nous vous écrivons, et le compte n'est jamais effacé si cet email n'est pas parti. Pour le garder, il suffit de vous connecter. [À DÉCIDER : un compte dont le pass est encore ouvert, surtout « Jusqu'à l'examen », est-il effacé quand même ?]

Un compte que vous supprimez

Effacé tout de suite : compte, prénom, titre et journal des réponses. Les copies de sécurité s'effacent ensuite d'elles-mêmes, au plus tard après [À CONFIRMER : durée des copies de sécurité chez Supabase].

Les traces d'achat

Gardées 10 ans, même après la suppression du compte, parce que la loi impose de garder les pièces comptables (code de commerce, art. L. 123-22). Seulement : la date, le pass, le prix et la référence du paiement. Elles ne sont plus reliées à votre compte. [À CONFIRMER avec un expert-comptable : durée pour une micro-entreprise]

La preuve de la case d'accès immédiat

[À DÉCIDER : durée, au moins le délai pour contester l'achat]

Le code de connexion

Il ne sert qu'une fois, et pendant quelques minutes seulement. [À COMPLÉTER : durée exacte, 10 minutes au plus]

Les journaux techniques et d'envoi des emails

[À COMPLÉTER : durées chez Supabase, Cloudflare et Scaleway]

Télécharger ou supprimer votre compte

Dans Profil, sans avoir à nous écrire :

• « Télécharger mes données » : un fichier avec tout ce que garde votre compte (email, prénom, titre, journal des réponses, examens blancs et diagnostics commencés, achats, et au duel : votre joueur, vos parties classées et vos réponses).
• « Supprimer mon compte » : efface votre compte, votre prénom, votre titre, votre journal et vos examens blancs et diagnostics commencés, et au duel votre joueur et vos réponses. Si votre pass est encore ouvert, il est perdu.
• « Me déconnecter partout » : ferme votre compte sur tous vos appareils, par exemple après la perte d'un téléphone. Les autres appareils perdent l'accès au plus tard dans l'heure. Rien n'est effacé du compte.

Ce qui reste après la suppression : les traces d'achat (voir « Combien de temps »), et ce que Stripe garde de son côté pour ses obligations légales.

Supprimer le compte n'efface pas cet appareil. Pour l'effacer aussi : Profil, puis « Tout effacer ».

Connecté, « Tout effacer » efface de cet appareil ce qui est listé dans « Ce que Tout effacer efface », et vous déconnecte : votre pass quitte l'appareil avec le compte. Rien n'est effacé du compte ; vous retrouvez tout, pass compris, en vous reconnectant. Comme sans compte, le nombre d'examens blancs et de diagnostics commencés, le nombre de séries terminées et vos réglages restent sur l'appareil.

La sécurité

• tout circule chiffré entre votre appareil et nos prestataires (HTTPS) ;
• chaque compte ne peut lire que ses propres données ;
• pas de mot de passe chez nous, donc aucun mot de passe à voler ;
• le code de connexion ne sert qu'une fois ;
• nous ne disons jamais si une adresse email a un compte chez nous ;
• une seule personne a accès à l'administration : l'éditeur.

Si vos données étaient volées ou exposées, nous préviendrions la CNIL sous 72 heures, et vous aussi si le risque est élevé (RGPD, art. 33 et 34), par email ou par un message dans l'application.

Pendant une partie

• Pour savoir qui joue, l'application envoie au serveur de jeu votre jeton de connexion. Ce jeton contient votre adresse email et le numéro de votre compte. Le serveur vérifie le jeton et ne garde que le numéro de compte. Il n'enregistre jamais votre adresse email.
• Le serveur garde, le temps de la partie : le numéro de compte des deux joueurs, les dix questions, vos réponses et le temps de chacune. Une partie finie, amicale ou classée, est effacée du serveur de jeu une heure après la fin.
• L'autre joueur ne voit jamais votre prénom ni votre adresse email. En partie classée, il voit votre nom tiré au sort et votre cote.
• Comme pour toute page, le serveur de jeu reçoit l'adresse internet (adresse IP) de votre appareil. Notre code ne la lit pas et ne la garde pas. [À CONFIRMER : journaux du serveur de jeu chez Cloudflare en production, et leur durée]
• Sur votre appareil, l'application garde le numéro de la partie en cours et les questions déjà affichées, pour revenir dans la partie après une coupure de réseau.
• Vos réponses comptent dans votre progression, comme à l'entraînement : le journal garde la question et « juste ou non ».

Où

Chez Cloudflare. Les parties tournent et sont gardées sur des serveurs dans l'Union européenne.

Base légale

Le contrat : le duel est un service que vous demandez en jouant (RGPD, art. 6.1.b).

Les parties classées

Votre joueur

Un nom tiré au sort dans nos listes, par exemple « Platane-Ocre-27 ». Vous ne pouvez pas l'écrire, seulement en tirer un autre. Avec lui : votre cote, le nombre de vos parties, la date de votre dernière partie, et si vous avez choisi d'apparaître dans le classement.

Chaque partie

Les questions, les scores, le temps restant à chaque pendule, le résultat, les cotes avant et après, la date.

Vos réponses

Pour chaque question : le choix que vous avez fait, juste ou non, et le temps mis. À l'entraînement, nous ne gardons pas votre choix ; au duel classé, si. Il sert à vérifier qu'une partie a été jouée loyalement, et à vous laisser relire vos parties.

Le classement

Par défaut, votre nom n'est pas dans le classement : vous voyez votre cote, les autres ne voient rien. Si vous cochez « Apparaître dans le classement », votre nom tiré au sort, votre cote et votre nombre de parties deviennent visibles par tout le monde. Vous pouvez décocher quand vous voulez. Le bas du classement n'est jamais montré.

En différé

Une partie classée que vous avez jouée peut être rejouée en différé : une autre personne répond aux mêmes questions, face à vos réponses et à vos temps, sous votre nom tiré au sort. Le résultat compte au classement pour vous deux. Ce n'est jamais un robot : c'est votre partie, telle que vous l'avez jouée. Une partie n'est rejouée qu'une seule fois, et seulement dans les 30 jours.

Le contrôle automatique

Après chaque partie classée, un calcul regarde les temps de réponse et les résultats : des réponses toutes très rapides, des temps trop réguliers pour une personne, ou une réussite très improbable au vu des parties précédentes. Si un de ces signes apparaît, la partie est mise de côté : aucune cote ne bouge, elle ne compte pas au classement du mois et n'est pas rejouée en différé. Les deux joueurs en sont prévenus, sans accusation. Nous gardons la partie, le joueur et les signes relevés, jusqu'à 12 mois après sa dernière partie classée. Ils sont dans l'export de vos données.

Les signalements

Après une partie classée, un joueur peut la signaler, avec un motif choisi dans une liste, jamais un texte libre. L'autre joueur n'en est pas prévenu. Nous gardons qui signale, qui est signalé, la partie, le motif et la date. Un signalement seul ne met jamais une partie de côté. [À DÉCIDER PAR KALEB ET À VALIDER PAR UN AVOCAT (RGPD art. 22, DSA) : comment contester une partie mise de côté, et la file à part (un compte signalé par trois joueurs, ou mis de côté deux fois en 30 jours, ne joue plus qu'avec d'autres comptes dans ce cas et sort du classement public), aujourd'hui dans le code et dite nulle part]

Pourquoi

Faire jouer les parties, tenir la cote et le classement, garder des parties loyales.

Base légale

Le contrat, pour jouer et être classé (RGPD, art. 6.1.b) ; notre intérêt légitime à garder un classement loyal, pour le contrôle automatique et les signalements (art. 6.1.f) ; votre choix, que vous pouvez retirer, pour apparaître dans le classement. [À VALIDER PAR UN AVOCAT : base légale du classement public (contrat ou consentement), et âge minimum pour y apparaître]

Où

Chez Supabase, sur des serveurs dans l'Union européenne, en Irlande, comme votre compte.

Combien de temps

Jusqu'à 12 mois après votre dernière partie classée. Ensuite, votre nom tiré au sort, votre cote et vos réponses sont effacés ; les résultats des parties restent, sans votre nom. Les signalements : 12 mois. Si vous supprimez votre compte, votre joueur et vos réponses sont effacés tout de suite.

La cote du duel compare vos parties à celles des autres joueurs. Elle ne dit pas si vous réussirez l'examen, et nous ne nous en servons pour rien d'autre que le duel.