L'Association Athénée s'engage à protéger vos données personnelles conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés. La présente politique décrit les données que nous traitons, pourquoi, avec qui elles sont partagées, combien de temps elles sont conservées et quels sont vos droits. Elle s'applique à l'ensemble de la plateforme Athénée et à l'application mobile Android io.athenee.mobile.
1. Responsable du traitement
Association Athénée — association loi 1901
Siège : 5 rue Dupaty, 33290 Blanquefort, France
Référent protection des données : Rodolphe Rivière
Contact : contact@athenee.io
2. Champ d'application
Cette politique couvre les sites *.athenee.io (Learn, Diagnostic, STEER, ClassClash, Lab, Argonauts, Milon) ainsi que l'application Android io.athenee.mobile, qui affiche ces mêmes services au sein d'une application. Un seul compte et une seule politique s'appliquent au web comme à l'application.
3. Données collectées
Compte & identité
Email, mot de passe (haché, géré par Supabase), prénom, nom, pseudo (affiché publiquement sur les classements), date de naissance / âge, niveau et filière scolaires, avatar, téléphone (facultatif), rôle, organisation / cohorte, formule d'abonnement et identifiant client de paiement, horodatage de consentement, demandes de suppression, dernière connexion, adresse IP (journaux de consentement et de sécurité), et le cas échéant les notes pédagogiques d'un coach ou animateur sur un élève.
Profil d'apprentissage & diagnostic
Réponses au diagnostic (jusqu'à 60 questions) et commentaires libres, scores par dimension (Tête / Cœur / Corps) et par étape, textes d'interprétation (profil d'apprenant), persona.
Santé & forme physique (application Milon) — données sensibles
Poids, taille, âge, sexe, niveau d'activité, objectif ; journal de séances (durée, effort perçu, calories estimées, notes), charges soulevées, planning d'entraînement. Ces données de santé ne sont traitées qu'avec votre consentement explicite (art. 9 RGPD) et servent uniquement à personnaliser vos entraînements et suivre vos progrès.
Informations financières (module Vie adulte)
Si vous utilisez le module budget : revenus, charges fixes, dépenses (courses, sorties, divers) et plans de repas. Traitées avec votre consentement, visibles de vous seul.
Contenu que vous créez
Flashcards, journal d'erreurs, fiches, notes Cornell (y compris fichiers/photos manuscrits importés), restitutions, retours d'examen (dont notes obtenues), cartes mentales, sessions pomodoro, favoris, badges ; questions de quiz créées et documents de cours importés (PDF/DOCX) ; réponses aux ateliers ; messages de retour ; inscriptions aux ateliers (dont code postal / ville pour la liste d'attente).
Photos & fichiers importés
Scans et photos de vos notes. Ces fichiers sont stockés dans des espaces privés, accessibles à vous seul (accès par lien signé à durée limitée).
Contenu transmis à l'IA (Google Gemini)
Pour les fonctionnalités d'IA, le contenu que vous soumettez (photos de cours/notes/exercices, documents importés, texte collé, prompts) et votre niveau scolaire sont transmis au modèle Google Gemini afin de générer le résultat demandé. Ces contenus ne sont pas utilisés pour entraîner les modèles, et aucune donnée qui vous identifie n'est transmise — ni votre nom, ni votre adresse e-mail, ni un identifiant de compte.
Données techniques & d'usage
Adresse IP, événements d'usage internes (mesure d'audience de la plateforme) et cookies (voir §9). Aucun enregistrement de session (« session replay ») n'est réalisé. Les erreurs techniques sont consignées dans les journaux de notre hébergeur, sans traitement par un tiers dédié.
Application mobile & appareil
L'application utilise les permissions Internet et notifications. Un jeton de notification (identifiant par appareil) ne serait collecté que si les notifications push étaient activées — ce qui n'est pas le cas au lancement. L'application n'accède ni à la caméra, ni à la géolocalisation, ni aux contacts, et n'utilise aucun identifiant publicitaire.
4. Finalités & bases légales
| Donnée | Finalité | Base légale | Conservation |
|---|---|---|---|
| Compte & identité | Créer et gérer votre compte, sécurité | Exécution du contrat ; intérêt légitime (sécurité) ; obligation légale | Durée du compte |
| Diagnostic & apprentissage | Fournir et personnaliser les services pédagogiques | Exécution du contrat | Durée du compte |
| E-mail & participation aux ateliers | Vous adresser des relances pédagogiques (reprise après une pause, cartes à réviser), recueillir votre retour après un atelier, et vous informer de l'échéance de votre adhésion | Intérêt légitime — opposition possible à tout moment via vos préférences d'e-mail (les e-mails de connexion, de sécurité et d'échéance d'adhésion continuent de partir) | Durée du compte ; retours d'atelier conservés 3 ans |
| Santé / forme (Milon) | Personnaliser vos entraînements, suivre vos progrès | Consentement explicite (art. 9) | Durée du compte / retrait du consentement |
| Informations financières | Fonction budget personnelle | Consentement | Durée du compte / retrait du consentement |
| Contenu & photos importés | Rendre le service (révisions, ateliers, IA) | Exécution du contrat / consentement | Durée du compte |
| Paiement | Gérer votre abonnement | Exécution du contrat ; obligation légale (comptabilité) | 10 ans (pièces comptables) |
| Technique / mesure d'audience | Sécurité, diagnostic d'erreurs, amélioration | Intérêt légitime (mesure d'audience exemptée de consentement : sans cookie, sans identifiant persistant, statistiques agrégées) | ≤ 13 mois |
5. Partage & sous-traitants
Nous ne vendons jamais vos données et ne les utilisons à aucune fin publicitaire. Elles ne sont partagées qu'avec les prestataires strictement nécessaires au fonctionnement du service :
- ◆ Supabase — base de données, authentification et stockage ; société Supabase Inc., données hébergées en Irlande (Union européenne).
- ◆ Vercel — hébergement des applications et mesure d'audience ; exécution en région Paris (Union européenne).
- ◆ Google (Gemini) — génération de contenus par IA : reçoit le contenu que vous soumettez et votre niveau scolaire, jamais votre nom, votre adresse e-mail ni un identifiant de compte.
- ◆ Stripe — traitement des paiements, assuré pour l'Union européenne par Stripe Payments Europe Ltd (Irlande) et certifié PCI-DSS ; nous ne stockons aucune donnée bancaire.
- ◆ Hostinger — serveur d'envoi de nos e-mails (SMTP du domaine athenee.io) : messages de compte et de sécurité, relances pédagogiques et suivi d'atelier.
- ◆ Firebase Cloud Messaging (Google) — notifications push (non actives au lancement ; le cas échéant, cette politique sera mise à jour).
Aucun transfert de données personnelles hors de l'Union européenne. Votre compte, vos réponses et vos contenus sont hébergés en Irlande, et les applications qui les traitent sont exécutées depuis la région Paris. Le service d'IA ne reçoit aucune donnée qui vous identifie : seulement le contenu que vous lui soumettez et votre niveau scolaire.
6. Durée de conservation
Compte actif : données conservées tant que le compte existe.
Après suppression du compte : effacement sous 30 jours.
Mesure d'audience / logs techniques : 13 mois maximum.
Pièces comptables : 10 ans (obligation légale).
7. Sécurité
Les données sont chiffrées en transit (HTTPS). L'accès est cloisonné par utilisateur au niveau de la base (règles de sécurité au niveau des lignes) ; les fichiers importés sont stockés dans des espaces privés. L'accès aux données par notre équipe est restreint et journalisé.
8. Vos droits & suppression du compte
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation, ainsi que du droit de retirer votre consentement à tout moment.
Suppression de votre compte et de vos données : à tout moment depuis votre page Profil(rubrique « Supprimer mon compte », qui permet aussi d'exporter vos données) — learn.athenee.io/profil — ou par email à contact@athenee.io. L'effacement est effectif sous 30 jours.
Vous pouvez introduire une réclamation auprès de la CNIL.
9. Cookies & traceurs
- ◆ Authentification (Supabase, cookies
sb-*) — strictement nécessaires, pas de consentement requis. Ils permettent de rester connecté sur l'ensemble des services*.athenee.io. - ◆ Mesure d'audience (Vercel Analytics, Vercel Speed Insights) et événements d'usage internes — sans cookie ni identifiant persistant, statistiques agrégées à notre seul usage, sans recoupement avec d'autres sites. À ce titre, cette mesure relève de l'exemption de consentement applicable à la mesure d'audience. Vous pouvez néanmoins nous écrire pour vous y opposer.
10. Mineurs
Utilisateurs de 15 ans et plus : consentement autonome.
Utilisateurs de moins de 15 ans : consentement parental obligatoire (art. 8 RGPD, art. 45 loi Informatique et Libertés).
Nous ne ciblons pas les enfants de moins de 13 ans. Les données sensibles (santé, budget) éventuelles d'un mineur bénéficient des mêmes protections renforcées et du consentement adapté.
11. Notifications push (application)
Les notifications push ne sont pas activées au lancement. Si elles le deviennent, elles seront proposées en opt-in (rappels d'entraînement ou de révision), désactivables à tout moment dans les réglages de votre appareil, et la présente politique ainsi que la déclaration de sécurité des données du Play Store seront mises à jour en conséquence.
12. Application mobile & Google Play
L'application io.athenee.mobile traite les mêmes catégories de données que le site (compte, apprentissage, santé/forme, informations financières, photos, activité). Elle demande uniquement les permissions Internet et notifications, ne collecte aucun identifiant publicitaire et n'accède ni à la caméra, ni à la géolocalisation, ni aux contacts.
La déclaration « Sécurité des données » (Data Safety) de la fiche Google Play reflète ces mêmes catégories et pratiques (données chiffrées en transit, possibilité de demander la suppression). Aucune donnée n'est vendue à des tiers.
13. Modifications
Nous pouvons faire évoluer cette politique. Toute modification substantielle sera signalée et la date de « Dernière mise à jour » ci-dessus sera actualisée.