Politique de confidentialité

Dernière mise à jour : 22/10/2026

1. Responsable du traitement

[À REMPLIR — raison sociale], siège social [À REMPLIR]. Contact RGPD : contact@lyaah.fr

2. Données collectées

Données du parent (titulaire du compte)

• Email (pour authentification et communications transactionnelles)
• Mot de passe hashé (stocké par Supabase Auth, jamais en clair)
• Identifiants Stripe (customer ID, statut abonnement) — aucune donnée bancaire stockée par nous
• Date de création du compte

Données de l'enfant (renseignées par le parent)

• Prénom uniquement (pas de nom de famille demandé)
• Niveau scolaire (CP → 3ème)
• Préférences d'avatar (couleur)
• Messages échangés avec l'IA Lyaah (sessions de tutorat)
• Photos de devoirs envoyées — supprimées automatiquement sous 24h

3. Finalités du traitement

• Fournir le service de tutorat IA personnalisé (analyse de devoirs, adaptation au niveau)
• Gérer ton compte et ton abonnement
• T'envoyer des emails transactionnels (bienvenue, alertes paiement, fin d'essai)
• Améliorer la qualité du service (statistiques anonymisées uniquement)

4. Base légale

• Exécution contractuelle : compte, abonnement, sessions de tutorat
• Consentement parental : traitement des données de l'enfant mineur
• Obligation légale : conservation des factures (10 ans)

5. Durée de conservation

• Photos de devoirs : 24h maximum (suppression automatique du bucket Supabase et de la base)
• Messages de chat : conservés pendant la durée de l'abonnement, supprimés 30 jours après résiliation
• Données de compte : supprimées sur demande ou 30 jours après suppression du compte
• Factures et données comptables : 10 ans (obligation légale)

6. Destinataires

Tes données sont accessibles uniquement par :

• Toi (le parent titulaire du compte)
• L'équipe technique Lyaah (accès strictement limité et journalisé)
• Nos sous-traitants techniques : Supabase (hébergement DB/Storage), Vercel (hébergement app), Stripe (paiements), Resend (emails transactionnels), Anthropic (modèle IA Claude)

Aucune donnée n'est vendue à des tiers. Aucune publicité ciblée.

7. Transferts hors UE

Certains de nos sous-traitants (Vercel, Anthropic, Stripe) sont établis aux États-Unis. Les transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne ou le Data Privacy Framework. Supabase peut être hébergé en zone UE (vers AWS Europe).

8. Tes droits

Conformément au RGPD, tu disposes des droits suivants sur les données te concernant et sur celles de ton enfant mineur :

• Droit d'accès aux données
• Droit de rectification
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la limitation du traitement
• Droit à la portabilité
• Droit d'opposition
• Droit de retirer le consentement à tout moment

Pour exercer ces droits, contacte-nous à : contact@lyaah.fr. Nous répondons sous 30 jours maximum.

Tu disposes également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

9. Sécurité

Mesures techniques mises en œuvre :

• Chiffrement TLS/HTTPS pour toutes les communications
• Row Level Security (RLS) sur la base de données Supabase
• Bucket de stockage des photos en mode privé
• Aucune donnée d'enfant transmise à Stripe ou aux outils marketing
• Monitoring d'erreurs via Sentry (sans capture de contenu sensible)
• Mots de passe hashés par Supabase Auth (bcrypt)

10. Modifications

Cette politique peut évoluer. En cas de modification substantielle, nous t'en informerons par email.