Politique de confidentialité

1. Qui est responsable des données

Le responsable du traitement des données (et en même temps le vendeur des plans payants) est Filip Biskupski, exerçant une activité commerciale non enregistrée (art. 5 de la loi du 6 mars 2018 – Loi sur les entrepreneurs), sans numéro d'identification fiscale (NIP) ni numéro d'enregistrement (REGON). Nous fournirons une adresse de correspondance sur demande envoyée à l'adresse e-mail indiquée ci-dessous. Contact : support@biskupski.site. Écrivez à cette adresse pour toute question concernant vos données.

L'application ClassFlowy sur Android est publiée sur Google Play par Media Gears (compte développeur) au nom du responsable du traitement. Media Gears n'a pas accès à vos données dans ClassFlowy et ne les traite pas – Filip Biskupski reste le responsable du traitement, comme indiqué ci-dessus.

2. Quelles données nous collectons

• Compte : adresse e-mail, nom d'utilisateur, nom d'affichage optionnel, hash chiffré du mot de passe, date de création et date de dernière connexion du compte, et langue du compte (choisie dans les paramètres ou la langue de la page où vous vous êtes inscrit) – c'est dans cette langue que nous vous écrivons des e-mails, que répondent l'assistant et le Support et que s'ouvre la page de paiement.
• Connexion avec Google ou Apple (uniquement si tu choisis cette méthode) : de Google ou Apple, nous recevons l’identifiant de ton compte chez ce fournisseur, ton adresse e-mail (Google – et si elle est vérifiée ; Apple – il peut s’agir d’une adresse relais privaterelay.appleid.com) et ton prénom (Google – depuis ton profil ; Apple – seulement lors de la première connexion et seulement si tu le partages), que nous utilisons uniquement pour proposer un pseudo. Nous conservons l’identifiant, la dernière adresse chez le fournisseur, le prénom et les dates de connexion et de dernière utilisation – pour te reconnaître lors de ta prochaine connexion. Avec Sign in with Apple, nous pouvons aussi conserver un jeton de rafraîchissement chiffré d’Apple, uniquement pour pouvoir révoquer l’accès de ClassFlowy à ton compte Apple lorsque tu supprimes ton compte. Nous supprimons ces données lorsque tu déconnectes la méthode dans les réglages ou avec ton compte.
• Inscription avant de cliquer sur le lien : adresse e-mail, nom d'utilisateur, hash chiffré du mot de passe, confirmation d'âge et langue de la page où vous vous êtes inscrit (nous envoyons le lien dans cette langue) – uniquement pour confirmer votre adresse e-mail, pendant 48 heures maximum.
• Matériaux : enregistrements audio et vidéo, photos de tableau blanc, fichiers et notes que vous téléchargez, ainsi que les manuels scolaires (PDF, EPUB ou photos de pages) de votre bibliothèque.
• Résultats du traitement : transcriptions d'enregistrements, texte lu à partir de photos, résumés de leçons, texte des pages de manuels avec numéros de page.
• Conversations avec l'assistant : vos questions, réponses du modèle, et la « mémoire » de l'assistant – c'est-à-dire les faits qu'il a retenus sur votre apprentissage.
• Signalements de réponses de l'assistant : lorsque vous cliquez sur « Signaler » pour une réponse, nous enregistrons une copie de cette réponse et votre question précédente, le motif sélectionné et un commentaire – pour que l'administrateur puisse l'examiner. Le signalement disparaît avec le compte.
• Emploi du temps et calendrier : matières, heures, affectation des matériaux aux leçons.
• Support (chat d'aide) : vos messages au Support et les réponses du bot ou d'un consultant, et si le bot fait un signalement – son contenu, votre plan et si vous avez écrit depuis le site web ou l'application. Sans compte : un identifiant aléatoire dans le cookie work_help et votre adresse e-mail si vous la fournissez pour un signalement. Pour la limite quotidienne de messages sans compte, nous comptons un hash cryptographique d'une journée de votre adresse IP – nous ne sauvegardons pas l'adresse IP elle-même. Les détails figurent à la section « Support (chat d'aide) » ci-dessous.
• Données techniques : adresse IP lors de la connexion, de l'inscription et lors de l'envoi de messages à l'assistant et du téléchargement de matériaux (protection contre les bots et les abus), compteur d'utilisation des limites du plan.
• Notifications du serveur (uniquement si vous activez « Fin du traitement des matériaux » ou « Réponse de l'assistant prête » dans l'application mobile) : token de l'appareil – identifiant de l'installation de l'application fourni par Firebase Cloud Messaging – avec le type de système (Android ou iOS), la session de connexion à partir de laquelle le téléphone l'a signalé, et la date du signalement et du dernier envoi ; plus un court journal des signaux envoyés (type, identifiant de leçon ou conversation, heure) – sans aucun contenu, uniquement pour éviter d'envoyer trop de notifications.
• Paiements (si vous achetez un plan ou un pack) : ce que vous achetez, le montant, l'état et les dates de paiement, ainsi que les identifiants de paiement et d'abonnement dans la passerelle de paiement. Nous ne voyons pas votre numéro de carte, vos données BLIK ni vos identifiants bancaires.
• Lien partenaire (uniquement si vous avez d'abord visité ClassFlowy via un lien partenaire et créé un compte dans les 30 jours) : quel lien c'était et quand votre compte y a été assigné, ainsi que les enregistrements de paiement nécessaires aux règlements avec le partenaire. Seul l'administrateur de ClassFlowy les voit – le partenaire ne reçoit aucune donnée d'utilisateur.

Nous ne collectons pas de données de localisation, nous ne vous suivons pas sur d'autres sites, nous n'avons pas de publicités ni d'analyse externe.

3. Classes et partage

Avec d'autres comptes, nous ne partageons que de la connaissance, jamais de fichiers. Voici exactement ce qu'une classe, une personne avec laquelle une matière est partagée et un destinataire de lien voient – et ce que personne ne voit.

• Personne ne voit la transcription brute, le texte lu à partir d'une photo ou le texte d'un document – même pas vous. L'IA le traite pour rédiger un résumé de leçon, mais le texte brut lui-même ne quitte pas le serveur : pas dans l'interface, pas dans le chat, pas par un assistant connecté, pas dans les résultats de recherche. Vous pouvez toujours écouter, regarder ou télécharger votre fichier – vous ne verrez pas le texte lu depuis celui-ci. L'exception est les notes manuscrites : leur contenu est vos paroles, donc vous le voyez. L'autre exception est les manuels scolaires : le texte de leurs pages est le contenu du manuel, pas votre leçon, donc vous le voyez dans l'aperçu des pages, l'assistant l'utilise, et les personnes à qui vous avez partagé une matière contenant ce manuel le voient également (voir ci-dessous).
• Le résumé de leçon est sans perte, pas un résumé. Il contient toutes les connaissances de la leçon – définitions, exemples avec solutions, métaphores, citations, devoirs – organisées par thème. Il est destiné à remplacer l'enregistrement, il n'a donc pas d'horodatages ni de liste de matériaux.
• Une classe n'obtient que le résumé de leçon partagé, composé des matériaux non privés de ses membres, issus des matières que ceux-ci partagent avec elle, ainsi que les entrées de votre emploi du temps (matière, jour, numéro de leçon, salle, professeur) des matières que vous partagez avec elle. Par défaut, la classe ne reçoit rien de vous : vous ne partagez que les matières que vous marquez vous-même dans les paramètres de classe, et vous ne recevez des résumés partagés que de ces matières. Si vous avez rejoint la classe avant l'entrée en vigueur de cette version de la politique, vous y partagez toutes vos matières sauf celles que vous excluez, jusqu'à ce que vous passiez au marquage des matières. Personne – même pas nous – ne montre qui a contribué à quoi ni à qui appartient telle entrée de l'emploi du temps. Les fichiers ne sont vus que par leur propriétaire.
• Un matériau privé n'alimente que votre propre résumé de leçon – jamais un résumé de classe ni aucun partage. Une note que quelqu'un vous a envoyée est traitée de la même manière : elle ne peut pas être partagée davantage.
• Le sujet partagé et le lien de leçon ne montrent que la note à partager – jamais de fichiers, de matériaux ou de notes supplémentaires. Une matière partagée affiche également ses entrées de votre emploi du temps, sans le reste de celui-ci. Le seul ajout avec une matière partagée (et dans une classe) : le texte des pages de manuels rattachés à cette matière – le destinataire peut les parcourir et poser des questions à l'assistant à leur propos. Il ne peut pas télécharger le fichier du manuel, et un lien vers la leçon du manuel ne s'affiche pas. Lorsque votre plan cesse d'inclure les manuels ou que vous déplacez un manuel vers l'archive, les destinataires cessent de le voir. Lorsque vous ouvrez un lien de leçon en étant connecté, la leçon est ajoutée à votre compte, et la personne qui l'a partagée voit votre nom d'utilisateur sur la liste d'accès (et peut le révoquer). L'ouverture du lien enregistre un cookie d'accès technique pour cette leçon spécifique dans votre navigateur – les détails figurent dans la politique de cookies.
• La conversation partagée avec l'assistant est visible par tous ceux qui ont son lien (même sans compte) jusqu'à ce que vous la désactiviez – le lien montre une copie de vos questions et des réponses de l'assistant au moment du partage, sans pièces jointes, photos, nom d'utilisateur ni adresse e-mail.
• Une leçon envoyée à un ami (par nom d'utilisateur, e-mail ou lien) va à son calendrier en tant que sa propre note de texte. C'est une copie – elle reste chez lui même lorsque vous supprimez votre compte.
• Quitter une classe, exclure une matière, désactiver le partage d'une matière ou supprimer votre compte recalcule immédiatement les notes partagées de la classe à partir de zéro, sans votre contribution – sans avertissement et sans demander votre consentement. C'est le seul moyen de nous assurer que le matériau révoqué disparaît vraiment.

4. Pourquoi et sur quelles bases

• Maintien du compte et fourniture du service – parce que le contrat entre nous le couvre (art. 6(1)(b) RGPD).
• Traitement des matériaux par l'IA (transcription, lecture de photos, résumés de leçons, réponses de l'assistant) – c'est l'essence du service que vous demandez en téléchargeant un fichier ou en posant une question ; la base est la même que ci-dessus.
• Protection contre les bots et les abus, et surveillance des limites – notre intérêt légitime (art. 6(1)(f) RGPD).
• Assistant – réponses aux questions sur le service, signalements et conversation avec un consultant : avec un compte – exécution du contrat (art. 6(1)(b) RGPD) ; sans compte – notre intérêt légitime à répondre aux questions sur le service (art. 6(1)(f) RGPD).
• Envoi d'e-mails sur votre compte (lien pour créer un compte, confirmation d'e-mail, réinitialisation de mot de passe) – exécution du contrat. Nous n'envoyons pas de bulletins d'information ni de publicités.
• Notifications sur téléphone concernant les notes de leçon prêtes et les réponses de l'assistant prêtes – exécution du contrat, uniquement lorsque vous les activez dans l'application ; vous pouvez les désactiver à tout moment dans Paramètres → Notifications.
• Traitement des paiements pour les plans et les packs – exécution du contrat ; conservation des enregistrements de paiement – obligation légale en vertu des réglementations comptables et fiscales (art. 6(1)(c) RGPD).
• Lien partenaire – assignation d'un nouveau compte au lien partenaire par lequel quelqu'un nous a d'abord visité, et règlements avec les partenaires – notre intérêt légitime (art. 6(1)(f) RGPD).

Nous ne prenons pas de décisions vous concernant basées uniquement sur le traitement automatisé qui aurait des effets juridiques ou vous impacterait de manière similaire et significative (art. 22 RGPD), et nous ne vous profilons pas à des fins de marketing. Le seul mécanisme de prise de décision automatisée est le système anti-bot, qui peut rejeter une connexion, une inscription, une réinitialisation de mot de passe ou – sans compte – le premier message au Support, jugé comme une action de bot – il évalue uniquement les signaux techniques de votre navigateur, pas votre personne, et les matériaux d'IA sont générés à votre demande, jamais automatiquement.

5. Avec qui nous partageons les données

Voici les entités qui obtiennent réellement vos contenus. C'est une bonne idée de les connaître avant de télécharger un enregistrement :

• DeepInfra (USA) – reconnaît les intervenants dans les enregistrements, améliore leur transcription et, lorsque Soniox échoue ou ne prend pas en charge la langue du cours, traite elle-même les enregistrements en texte ; lit les photos de tableau blanc et les pages de manuels à partir de photos ou de scans, décrit les illustrations des manuels, calcule la similarité du contenu pour la recherche et génère les réponses de l'assistant. Les contenus des matériaux et des conversations y sont envoyés, y compris les conversations avec le Support (chat d'aide), et pour les conversations – également la langue dans laquelle le modèle doit répondre (de votre compte ou de votre navigateur). Les modèles par défaut (y compris Qwen, DeepSeek, Nvidia Nemotron) sont hébergés directement par DeepInfra – elle ne les transmet pas à Google ou à d'autres producteurs de modèles, ce qui est particulièrement important pour les photos de notes de mineurs. Les seules exceptions sont les options « Sonnet » et « Opus » dans le chat – voir le point suivant. Les modèles GPT ne passent pas par DeepInfra : voir le point sur OpenAI. Lorsque tu cliques sur « Lire à voix haute », DeepInfra reçoit aussi le texte de cette réponse et le convertit en audio (modèle Chatterbox) ; nous gardons l’audio généré uniquement dans la mémoire du serveur, une heure au maximum, et ne l’enregistrons pas sur disque.
• Anthropic PBC (USA), via DeepInfra – uniquement et exclusivement si vous choisissez l'option « Sonnet » ou « Opus » (modèles Claude Sonnet et Claude Opus) dans le chat. Votre contenu de conversation y est alors envoyé : vos messages, les photos qui y sont jointes, ainsi que les fragments de notes et de matériaux que l'assistant a utilisés pour répondre. Avec les niveaux Flash, Pro et Max et dans toutes les autres fonctionnalités de ClassFlowy (transcription, lecture de photos, résumés de leçons, recherche), rien ne va à Anthropic, et si un modèle Claude échoue, la réponse est terminée par un modèle hébergé par DeepInfra, jamais par un autre modèle Anthropic. Anthropic traite ces données selon sa propre politique de confidentialité.
• Soniox (Soniox Inc., USA) – convertit la parole en texte. Enregistrements et supports avec son, y compris le son des vidéos : notre serveur envoie à Soniox le fichier audio sous un nom aléatoire, avec la liste des langues à reconnaître, sans longs silences ; Soniox ne reçoit ni ton e-mail, ni ton pseudo, ni ton identifiant de compte. Dès que le texte nous revient, nous supprimons immédiatement chez Soniox le fichier et sa transcription. Si cela échoue, nous réessayons automatiquement après quelques heures, et Soniox supprime lui-même ces données au plus tard après 30 jours. Réponses en direct, uniquement si tu actives toi-même l'écoute (à partir du plan Plus) : le son du micro et le texte qui en découle circulent directement entre ton appareil et Soniox, grâce à un ticket de courte durée émis par notre serveur. Soniox reçoit en plus l'adresse IP de l'appareil, les langues à reconnaître et un identifiant de session aléatoire, mais pas ton e-mail, ton pseudo ni ton identifiant de compte, et selon sa politique de confidentialité il ne conserve pas ces données vocales en direct. Notes live, uniquement quand tu actives l'enregistrement dans la note : le son du micro circule directement de ton appareil vers Soniox, grâce à un ticket de courte durée émis par notre serveur ; Soniox reçoit l'adresse IP de l'appareil, les langues à reconnaître et un identifiant de session aléatoire, mais pas ton e-mail, ton pseudo ni ton identifiant de compte, et selon sa politique il ne conserve pas le son de la parole en direct ; seul le texte nous revient. Selon la documentation de Soniox, il n'utilise ni le son ni le texte de ces sessions pour entraîner ses modèles.
• OpenAI (OpenAI Ireland Ltd. et entités d'OpenAI aux États-Unis) – uniquement dans deux cas que tu choisis toi-même : quand tu actives le chat vocal avec l'assistant, ou quand tu choisis un modèle GPT dans le chat (Luna, Terra, Sol, Astra). Dans le chat vocal, l'audio circule directement entre ton appareil et OpenAI, donc OpenAI reçoit aussi l'adresse IP de l'appareil. Dans les deux cas, OpenAI reçoit le contenu de la conversation et le contexte qui lui est transmis : ton nom ou pseudo, la langue, tes matières, les prochains devoirs et contrôles, ce que l'assistant a retenu sur toi, les derniers messages de la conversation, les photos jointes aux messages et ce que l'assistant récupère dans tes données pour répondre (par exemple calendrier, notes, transcriptions de documents et, si tu connectes le carnet numérique, aussi les changements qui en proviennent). Selon la documentation d'OpenAI, les données envoyées via son API ne servent pas par défaut à entraîner des modèles, et les journaux de détection des abus sont conservés jusqu'à 30 jours. Sans ces deux choix, rien de tes conversations ou documents ne va vers OpenAI par cette voie ; un assistant que tu connectes toi-même est une autre question, décrite plus bas.
• Hetzner (Allemagne) – le serveur sur lequel s'exécute l'application et la base de données. Vos fichiers y sont stockés.
• Resend (USA) – envoie les e-mails de votre compte (lien pour créer un compte, confirmation d'e-mail, réinitialisation de mot de passe), lorsque la clé Resend est configurée sur le serveur – c'est le cas en production aujourd'hui, car Hetzner (voir ci-dessous) bloque par défaut les ports SMTP sortants. Sans cette clé, le même courrier est envoyé directement par Namecheap Private Email (USA) via SMTP, à partir de l'adresse system@biskupski.site. Dans les deux cas, le fournisseur reçoit votre adresse e-mail et le contenu de ce seul message système, jamais le contenu des matériaux. De la même manière, un message à l'administrateur concernant un nouveau signalement du Support – avec le contenu du signalement et l'adresse e-mail de la personne qui l'a envoyé.
• Anty Bot (antybot.biskupski.site) – protection contre les bots. Elle vérifie la connexion, l'inscription et la réinitialisation du mot de passe (ouvertement, peut rejeter une tentative) et, en arrière-plan et sans bloquer quiconque, les messages à l'assistant et le téléchargement de matériaux (pour détecter les abus automatisés des limites). Elle vérifie également, une fois par conversation et de manière invisible, le premier message au Support sur le site – sans compte, elle peut le rejeter. Elle ne reçoit que les signaux techniques du navigateur et l'adresse IP – jamais le contenu des matériaux ni des conversations.
• Tavily (USA) – recherche sur le Web et récupération du contenu des pages. Dans une conversation, l'assistant l'utilise aussi sans demande distincte lorsque c'est nécessaire : lorsqu'une information a pu changer, lorsqu'un fait, une date ou un nom doit être vérifié, ou lorsqu'une question dépasse vos supports. Elle reçoit le contenu de votre requête (et lors de l'ouverture d'une page spécifique – l'adresse de la page), ainsi que l'identifiant de votre conversation et un hash cryptographique irréversible de l'identifiant de votre compte – ce sont des données techniques permettant au fournisseur de limiter les abus, elles ne peuvent pas être converties en vos données. Lors de la création d’une description de leçon, le modèle peut aussi envoyer à Tavily une courte requête sur un nom de famille ou un nom propre, afin de vérifier son orthographe dans un enregistrement ou une photo. Nous ne vérifions pas de cette façon les dates, les nombres, les termes ni les notions. Une telle requête ne doit pas contenir de données personnelles : nous filtrons les noms des élèves et des enseignants, le nom de l'école et de la classe ainsi que les longues citations issues des supports, et Tavily ne reçoit alors aucun identifiant de votre compte ni de votre conversation. Les résultats servent uniquement à corriger l'orthographe ; nous n'ajoutons aucune information nouvelle issue de ceux-ci à la description.
• Passerelle de paiement (platnosci.biskupski.site) – système de paiement géré par le propriétaire de ClassFlowy, uniquement lorsque vous achetez quelque chose. Elle reçoit l'identifiant de votre compte, votre adresse e-mail, ce que vous achetez et son prix, ainsi que la langue dans laquelle la page de paiement doit s'ouvrir (à partir de la langue de votre compte).
• Stripe – opérateur de paiement via lequel la passerelle accepte les paiements. Vous fournissez les données de votre carte, BLIK ou Przelewów24 directement sur la page de Stripe ; Stripe les traite selon sa propre politique de confidentialité, et ces données ne sont pas transmises à ClassFlowy.
• Google (service Firebase Cloud Messaging, USA) – fournit les notifications sur téléphone, uniquement si vous activez « Fin du traitement des matériaux » ou « Réponse de l'assistant prête » dans l'application (les deux sont désactivés par défaut). Elle reçoit le token de l'appareil (identifiant de l'installation de l'application) et un signal vide : le type d'événement et un identifiant aléatoire de la leçon ou de la conversation (et lorsque le téléphone se connecte à ce service – également son adresse IP). Jamais le contenu des matériaux, notes, transcriptions, noms de matières, titres ni conversations – le texte de la notification est assemblé par le téléphone lui-même, après avoir récupéré les données de notre serveur. Les rappels des devoirs et des tests continuent d'être planifiés par le téléphone lui-même, sans Google. Sans activer ces notifications, l'application ne se connecte pas à Firebase.
• Google (Google Sign-In, États-Unis) et Apple (Sign in with Apple, États-Unis) – uniquement si tu te connectes ou crées un compte de cette façon. Nous te redirigeons vers la page du fournisseur (ou l’appli ouvre sa fenêtre de connexion), et le fournisseur nous confirme ton identité avec les données décrites ci-dessus. Nous n’envoyons au fournisseur que ce dont la connexion a besoin (l’identifiant d’appli de ClassFlowy, un code à usage unique), et à Apple – lorsque tu supprimes ton compte ou déconnectes Apple – une demande de révocation de l’accès. Nous ne partageons avec eux ni les supports ni le contenu des conversations. Google et Apple traitent les données de ton compte de leur côté, en tant que responsables distincts, selon leurs propres politiques de confidentialité.
• Un assistant IA auquel vous vous connectez (p. ex. Claude – Anthropic, ChatGPT – OpenAI, Gemini – Google) – uniquement avec votre consentement, les détails ci-dessous.

« Pour que la note de leçon puisse distinguer les paroles du professeur et des élèves, l'enregistrement passe également par la reconnaissance du locuteur (modèle Nemotron, DeepInfra), qui étiquette les fragments comme « professeur » ou « élève 1, 2, 3… ». Cette distinction ne fonctionne que dans le cadre d'un seul enregistrement – nous ne sauvegardons pas les noms ni les caractéristiques vocales, donc aucune étiquette n'est liée à une personne spécifique ni à un autre enregistrement ; les étiquettes ne vont que dans la note. »

La photo de tableau blanc ou de notes est lue non pas par un modèle, mais par plusieurs à la fois – tous hébergés par DeepInfra – et leurs lectures sont combinées en un seul texte par un autre modèle DeepInfra, qui ne reçoit que les lectures (pas la photo elle-même) et n'invente rien de ce qui ne figure pas dans au moins l'une d'elles. Plusieurs modèles à la fois se trompent moins souvent sur les nombres et les dates qu'un seul modèle.

Lorsque DeepInfra transcrit l'enregistrement, dans une leçon de langue étrangère, le fragment d'enregistrement que la reconnaissance vocale a d'abord entendu comme polonais, nous le vérifions une deuxième fois avec la langue de la leçon forcée (et vice versa) – de cette façon, les phrases en langue étrangère ne sont pas perdues dans la reconnaissance qui « entend » par défaut le polonais.

Transfert en dehors de l'Espace économique européen : DeepInfra, Anthropic (uniquement avec les options « Sonnet » et « Opus »), Namecheap/Resend, Tavily et Google (Firebase Cloud Messaging – uniquement avec les notifications du serveur activées) opèrent aux USA, en dehors de l'EEE. Nous leur transmettons des données sur la base des clauses contractuelles types de ces fournisseurs (mécanisme de garanties prévu à l'art. 46 RGPD) – c'est un mécanisme de transfert de données documenté publiquement auquel se réfère chacun de ces fournisseurs. Soniox (enregistrements et supports avec son, ainsi que l'écoute dans Réponses en direct) a également son siège aux États-Unis ; lors du transfert de données hors de l'EEE, il applique les garanties contractuelles décrites dans sa politique de confidentialité. OpenAI (uniquement avec le chat vocal et les modèles GPT) : notre contrat est conclu avec OpenAI Ireland Ltd., et les données qu'elle transfère hors de l'EEE, y compris vers les États-Unis, sont protégées par des clauses contractuelles types ou une décision d'adéquation de la Commission européenne.

Nous ne vendons pas de données et ne les transmettons à personne à des fins publicitaires.

6. Assistants IA connectés (MCP)

Vous pouvez connecter à ClassFlowy un assistant externe – par exemple Claude, ChatGPT ou Gemini. Cela ne se produit que lorsque vous commencez la connexion vous-même, vous connectez à ClassFlowy et cliquez sur « Autoriser » sur l'écran de consentement. Sans cela, aucun assistant n'a accès à vos données.

• Ce que reçoit l'assistant : ce qu'il demande pendant votre conversation avec lui – calendrier, emploi du temps, matières, leçons avec descriptions et notes, devoirs et évaluations, texte des pages de manuels (les vôtres et ceux partagés avec vous via une matière), entrées de base de connaissances, résultats de recherche et calculs. Les données sont envoyées à la société qui dirige cet assistant et sont soumises à sa politique de confidentialité.
• Ce qu'il ne reçoit jamais : les transcriptions d'enregistrements et le texte lu à partir de photos, les fichiers d'origine ni vos conversations avec l'assistant de ClassFlowy.
• Ce qu'il peut changer : si vous laissez la case cochée sur l'écran de consentement – ajouter une note à la leçon ; ajouter, modifier ou supprimer un devoir ou une évaluation ; modifier le sujet, la matière, la date et les horaires d'une leçon (une leçon déplacée à un jour où vous avez déjà une leçon de cette matière est fusionnée avec elle) ; renommer un matériel ou le déplacer vers une autre leçon ; modifier une entrée de votre propre emploi du temps ; enregistrer ou supprimer une entrée de base de connaissances. La modification s'applique immédiatement, sans validation dans ClassFlowy. Sans ce consentement, l'assistant ne fait que lire.
• Ce que nous ne recevons pas : votre conversation avec cet assistant. Nous ne voyons que les appels d'outils de ClassFlowy – ce qui a été récupéré ou enregistré – et les comptons dans la limite de votre plan.
• Ce que nous conservons : le nom de l'application et le domaine auquel l'accès revient, la date de connexion et la date d'utilisation la plus récente, ainsi que les tokens d'accès – uniquement sous forme de hashs cryptographiques.
• Comment révoquer l'accès : dans Paramètres → Chatbots, cliquez sur « Déconnecter » – cela fonctionne immédiatement. Bloquer le compte coupe également toutes les connexions.

7. Support (chat d'aide)

Sur le site /pomoc (également sans compte) et dans l'application (Paramètres → Aide), vous pouvez demander au Support – un bot qui répond en fonction de notre documentation et des données de votre compte, qui, après votre confirmation par un bouton, effectue des actions sur votre compte et, lorsqu'il ne peut pas aider seul, fait un signalement à l'administrateur.

• Qui lit vos messages : un modèle de langage hébergé par DeepInfra rédige les réponses – le contenu de votre message à partir de cette conversation y est envoyé (pour une conversation plus longue, ce même modèle résume d'abord), les fragments de notre documentation et la langue dans laquelle il doit répondre (à partir de votre compte, la langue de votre page choisie ou les paramètres de votre navigateur). Lorsque vous êtes connecté, le modèle voit aussi les données du compte nécessaires à la réponse : forfait, limites et utilisation, solde, paiements, état du traitement, ainsi que les noms des cours, des matières et des matériaux. Il voit aussi l'historique du compte : titres et dates des conversations avec l'assistant, noms et état des matériaux, paiements, exports et suppressions. Il ne voit le contenu d'une conversation avec l'assistant que si vous l'interrogez à son sujet. Il ne voit jamais le contenu des notes ni les transcriptions brutes.
• Actions sur le compte : le Support ne modifie rien de lui-même. Une action n'est exécutée qu'après votre clic sur « Confirmer » sur la carte dans le chat. Nous enregistrons le nom de l'action, ses paramètres et le résultat, avec la conversation.
• Pour calculer un remboursement, nous enregistrons quelles fonctions hors forfait Standard ont été utilisées pendant une période (seulement le nom et la date) et le plus grand espace de stockage occupé chaque jour (seulement le nombre d'octets, 400 jours). Sans le contenu de vos fichiers et de vos conversations.
• Historique de la conversation : nous sauvegardons l'intégralité de la conversation et l'administrateur peut la lire – pour aider, vérifier le signalement et surveiller la qualité des réponses. L'administrateur peut également prendre le relais sur la conversation et répondre personnellement (vous verrez alors « Vous discutez avec un consultant »).
• Signalement (catégorie, titre, description, étapes et résultat en cas de bug) contient qui l'a envoyé – votre compte et son e-mail ou, sans compte, l'adresse e-mail que vous avez fournie dans la conversation – votre plan et si vous avez écrit depuis le site web ou l'application. L'administrateur reçoit un e-mail sur le nouveau signalement.
• N'écrivez pas dans le chat de mots de passe, de données de carte ou d'autres données sensibles – ils ne servent à rien.
• Photos : les photos et captures d'écran envoyées au Support sont réduites, débarrassées de leurs données EXIF et stockées chiffrées avec la conversation. Elles ne parviennent au modèle chez DeepInfra que dans la réponse à laquelle vous les joignez. Vous et l'administrateur pouvez les voir ; elles disparaissent avec la conversation (12 mois) ou avec le compte. Certaines actions, vous les confirmez avec le mot de passe de votre compte. Nous vérifions le mot de passe immédiatement et ne l'enregistrons pas dans la conversation ni ne le transmettons au modèle. Nous conservons un court historique des suppressions (ce qui a été supprimé et quand) afin que le Support puisse répondre à ce qui s'est passé ; nous le gardons un an.
• Combien de temps : nous conservons les conversations avec le Support pendant 12 mois à partir du dernier message, et les signalements pendant 12 mois à partir du dernier changement ; puis nous les supprimons automatiquement. Ils disparaissent immédiatement avec le compte.

8. Promotions de démarrage (une par personne)

Les promotions de démarrage (premier mois gratuit ou moins cher et bonus à la première recharge du solde – conditions de paiement, point 3a) sont disponibles une fois par personne. Pour contrôler cela, même quand quelqu'un supprime son compte et en crée un nouveau, lors d'un achat ou d'une recharge avec promotion, nous enregistrons :

• Quoi : un hash unidirectionnel (HMAC-SHA-256 avec la clé secrète du serveur) de votre adresse e-mail après normalisation (minuscules ; pour les adresses Gmail sans points ni « + ajouts »), le type de promotion utilisé, la date et l'identifiant de paiement. L'adresse e-mail elle-même ne figure pas dans cet enregistrement, et le hash ne peut pas être reconverti en adresse. Lorsque l'opérateur de paiement commence à fournir l'empreinte de la carte (un identifiant de carte sans le numéro), nous enregistrerons également son hash.
• Pourquoi et sur quels fondements : pour que la promotion soit vraiment unique – notre intérêt légitime justifié légalement (art. 6(1)(f) RGPD) : prévention de l'abus de promotion.
• Combien de temps : 24 mois à partir de l'utilisation de la promotion, même après suppression du compte (l'enregistrement n'est pas lié au compte) ; puis nous le supprimons automatiquement.
• Contestation : vous pouvez contester (support@biskupski.site) – nous supprimerons alors le hash, mais les promotions de démarrage suivantes ne seront plus disponibles pour cette adresse, car sans l'enregistrement, il n'y a aucun moyen de vérifier que c'est la première fois.

9. Import de l’emploi du temps depuis Librus et VULCAN

En modifiant ton emploi du temps, tu peux le synchroniser avec le carnet numérique Librus (Librus Synergia, exploité par Librus sp. z o.o., Pologne). Tu le fais toi-même avec le bouton « Synchroniser avec Librus » – rien ne se passe automatiquement.

• Ce que nous envoyons à Librus : l’identifiant (ou l’e-mail du compte Librus Rodzina) et le mot de passe que tu saisis dans la fenêtre d’import – uniquement pour te connecter et télécharger l’emploi du temps. Nous ne les conservons pas : ils n’existent que dans la mémoire du serveur le temps d’une seule requête et n’atteignent ni la base de données ni les journaux. Il en va de même pour les jetons d’accès renvoyés par Librus après la connexion.
• Ce que nous téléchargeons : l’emploi du temps des prochaines semaines (matières, jours, horaires, salles, noms des enseignants, remplacements et cours annulés) et la liste des comptes élèves liés au compte (le nom de l’élève – seulement pour qu’un parent puisse choisir l’enfant ; nous ne le conservons pas).
• Ce que nous enregistrons : les créneaux de l’emploi du temps (matière, jour, numéro du cours, horaires des sonneries, salle, enseignant) – comme si tu les avais saisis à la main, marqués comme provenant de Librus. Nous te montrons d’abord la liste des changements ; une fois confirmée, ton emploi du temps est dès aujourd’hui celui de Librus, et les créneaux qui n’y figurent pas disparaissent de l’emploi du temps de la semaine. Les jours précédents du calendrier et les cours avec enregistrements, notes et documents restent inchangés. Jusqu’à ta confirmation (environ 10 minutes au plus), nous gardons l’emploi du temps téléchargé sur le serveur – sans l’identifiant, le mot de passe ni le nom de l’élève.
• Base légale : exécution du contrat à ta demande (art. 6, par. 1, point b du RGPD). Les noms des enseignants dans l’emploi du temps sont traités sur la base de notre intérêt légitime (art. 6, par. 1, point f du RGPD) – en tant que partie de ton emploi du temps, comme lors d’une saisie manuelle.
• Données des enfants : si tu te connectes avec un compte parent, tu importes l’emploi du temps de ton enfant. Fais-le uniquement en tant que parent ou tuteur. Les comptes des mineurs sont soumis aux règles de la section « Enfants et jeunes ».
• Librus est un prestataire indépendant et traite ta connexion selon ses propres règles. ClassFlowy n’est pas affilié à Librus ; nous utilisons la même méthode de connexion que l’application mobile Librus.

VULCAN (eduVULCAN). La synchronisation avec le carnet numérique VULCAN (UONET+ / eduVULCAN, exploité par VULCAN sp. z o.o., Pologne) fonctionne de la même façon – avec le bouton « Synchroniser avec VULCAN », lorsque cette option est activée. Les différences :

• Ce que nous envoyons à VULCAN : l’e-mail et le mot de passe du compte eduVULCAN – uniquement pour une seule requête, sans les enregistrer (comme ci-dessus). Pour télécharger l’emploi du temps, le serveur crée pour cet import une clé cryptographique à usage unique et l’enregistre auprès de VULCAN comme le fait l’application mobile du carnet ; c’est pourquoi un nouvel appareil peut apparaître dans la liste des appareils d’eduVULCAN. Nous n’enregistrons pas la clé – elle cesse d’exister après l’import.
• Ce que nous téléchargeons et enregistrons, base juridique, données des enfants : comme pour Librus ci-dessus – l’emploi du temps des prochaines semaines (avec remplacements et cours annulés) et la liste des élèves liés au compte (le nom uniquement pour choisir l’enfant, sans l’enregistrer) ; les créneaux indiquent qu’ils proviennent de VULCAN.
• VULCAN est un fournisseur indépendant et traite ta connexion selon ses propres règles. ClassFlowy n’est pas lié à VULCAN ; nous utilisons la même méthode de connexion que l’application mobile du carnet VULCAN.

Connexion permanente à Librus (formule Plus et supérieures). Dans Paramètres → Librus, tu peux connecter ton compte de façon permanente : les données du carnet scolaire se mettent alors à jour toutes seules dans ClassFlowy. C’est toi qui l’actives, et tu peux le désactiver à tout moment.

• Ce que nous conservons en permanence : ton identifiant et ton mot de passe Librus, la session de connexion (jeton) et le nom de l’élève dont le compte est connecté. Le tout chiffré (AES-256, clé conservée hors de la base de données) – la base ne contient que le texte chiffré. Rien de cela n’atteint les journaux ni qui que ce soit d’autre que Librus.
• Ce que nous téléchargeons et conservons : l’emploi du temps avec les remplacements et les cours annulés, l’agenda (contrôles, interros, événements), les devoirs, les notes (avec coefficient, catégorie, commentaire et enseignant), les absences et retards, les messages (reçus et envoyés : objet, expéditeur, destinataires, noms des pièces jointes et contenu – celui d’un message non lu seulement quand tu l’ouvres), les annonces de l’école et le numéro chanceux. Les pièces jointes ne sont téléchargées qu’à ta demande, via notre serveur, sans être enregistrées.
• Emploi du temps : il vient du carnet. À la connexion, nous te montrons tes cours absents de Librus : ceux que tu coches « garder » restent définitivement (comme les cours que tu ajoutes plus tard), et nous supprimons les autres de l’emploi du temps dès aujourd’hui. Les jours précédents du calendrier ne changent pas.
• À quelle fréquence : pendant les heures de cours (d’une demi-heure avant ton premier cours à une demi-heure après le dernier, selon ton emploi du temps) les messages, les notes, les remplacements et les annonces toutes les 15 minutes, et l’emploi du temps, les absences, l’agenda et les devoirs toutes les heures ; en dehors, tout toutes les 3 heures ; plus « Synchroniser maintenant ». Tu peux désactiver chaque type de données.
• Ce que nous faisons dans Librus en ton nom : uniquement ce que tu demandes – envoyer un message, répondre, marquer un message comme lu (l’ouvrir). Rien n’est envoyé tout seul.
• Qui le voit : toi seul(e). Les notes, messages, absences, annonces et devoirs n’arrivent jamais dans une classe, des partages ou des liens. Les membres de ta classe (et les personnes avec qui tu partages une matière) voient l’emploi du temps et les contrôles du carnet scolaire uniquement pour les matières que tu partages avec eux – comme n’importe quelle entrée de ton emploi du temps.
• Déconnexion : l’identifiant, le mot de passe, la session et le nom de l’élève sont supprimés immédiatement. Les données téléchargées restent sur ton compte mais ne se mettent plus à jour – tu peux les supprimer en même temps que la déconnexion ou en supprimant ton compte. Connecter le compte d’un autre élève supprime les données du précédent. Si Librus refuse le mot de passe enregistré, la synchronisation s’arrête et nous supprimons l’identifiant et le mot de passe.
• Données des enfants : en connectant le compte de ton enfant, tu nous confies ses notes, ses absences et ses messages – ne le fais qu’en tant que parent ou tuteur. Nous les traitons uniquement pour te les montrer.
• Base légale et durée : exécution du contrat – un service que tu actives toi-même (art. 6, par. 1, point b du RGPD) ; noms des enseignants et des expéditeurs de messages – notre intérêt légitime (art. 6, par. 1, point f du RGPD), en tant que partie de tes données du carnet scolaire. Nous conservons les données tant que ton compte existe ou jusqu’à ce que tu les supprimes ; de courts enregistrements des changements (pour les notifications) et des messages envoyés (sans leur contenu) – 30 jours.

Connexion permanente à VULCAN (formule Plus et supérieures). Lorsque cette option est activée, dans Paramètres → Carnet de notes, tu peux connecter de la même façon ton compte eduVULCAN de façon permanente. Pour l’instant, nous lisons seulement les données – nous ne modifions ni n’envoyons rien dans VULCAN. Les différences avec Librus :

• Ce que nous enregistrons de façon permanente : l’e-mail et le mot de passe du compte eduVULCAN, la clé cryptographique de l’« appareil » enregistré auprès de VULCAN lors de la connexion (clé privée et certificat), l’adresse du serveur du carnet et les identifiants de l’élève (établissement, élève, périodes), ainsi que le nom de l’élève. Le tout chiffré comme ci-dessus (AES-256, la base de données ne contient que le texte chiffré) et jamais dans les journaux.
• Un seul appareil : nous enregistrons la clé une fois, à la connexion (un nouvel appareil apparaît alors dans la liste des appareils d’eduVULCAN), et l’utilisons à chaque synchronisation – sans connexion par mot de passe. Nous n’utilisons le mot de passe que si VULCAN n’accepte plus la clé : nous en enregistrons alors une nouvelle une fois, et si cela échoue aussi, la synchronisation s’arrête et nous supprimons l’e-mail, le mot de passe et la clé.
• Ce que nous téléchargeons : l’emploi du temps avec les remplacements et les cours annulés, les contrôles et interrogations, les devoirs, les notes (avec coefficient, catégorie, commentaire et enseignant, y compris les notes prévisionnelles et finales), les absences et le numéro chanceux – sans messages ni annonces. À quelle fréquence, qui le voit, données des enfants, base légale et durée – comme pour Librus ci-dessus.
• Déconnexion : l’e-mail, le mot de passe, la clé et le nom de l’élève sont supprimés immédiatement ; les données téléchargées restent (tu peux les supprimer en même temps que la déconnexion). Nous ne connaissons pas de moyen de désenregistrer l’appareil chez VULCAN – tu peux le retirer de la liste des appareils sur eduvulcan.pl.
• VULCAN est un fournisseur indépendant (comme ci-dessus). Un compte ClassFlowy peut avoir une connexion permanente avec un seul carnet à la fois – Librus ou VULCAN.

10. Combien de temps nous conservons (rétention)

La règle est simple : nous conservons votre compte, vos matériaux, vos notes et vos conversations avec l'assistant aussi longtemps que votre compte existe. Nous ne les supprimons pas nous-mêmes – ni avec le passage du temps, ni à cause de l'inactivité. Ils disparaissent uniquement lorsque vous le demandez (suppression d'un seul matériau ou note) ou lorsque vous supprimez votre compte entier. Les exceptions à cette règle ne sont que celles requises par la loi, la sécurité du service lui-même ou le traitement des signalements – énumérées ci-dessous :

• Inscription dont le lien n'a pas été cliqué – 48 heures. Après cela, nous la supprimons et le compte ne se crée jamais (ce sont des données avant la création du compte, pas des données du compte).
• Tokens des e-mails (confirmation, réinitialisation du mot de passe, suppression du compte, libération d'espace) – ils expirent après 48 heures ou une heure et fonctionnent une fois – ce sont des données techniques à court terme qui sécurisent votre session, pas « matériaux, notes ou conversations ».
• Conversations avec le Support (chat d'aide) et signalements – c'est une correspondance avec l'assistance, pas vos matériaux : nous les conservons 12 mois à partir du dernier message (signalement – à partir du dernier changement), puis les supprimons automatiquement. La suppression du compte les supprime immédiatement. Les compteurs quotidiens des limites de messages (sans adresses IP) – quelques jours.
• Connexions avec les assistants IA : le token d'accès expire après une heure, le token d'actualisation après 30 jours à partir du dernier renouvellement ; nous supprimons les tokens expirés dans l'heure. La déconnexion de l'application les invalide immédiatement.
• Le token de l'appareil pour les notifications du serveur – nous le supprimons lorsque vous désactivez les deux types de ces notifications, vous vous déconnectez sur le téléphone ou vous n'ouvrez pas l'application pendant 60 jours, et immédiatement – lorsque Firebase signale que le token est invalide. Le journal des signaux envoyés (sans contenu, uniquement pour les limites) – 2 jours.
• Sur le plan Standard, nous supprimons le fichier audio/vidéo original immédiatement après le traitement (allocation 0,3 GB) ; sur le plan Plus, le fichier reste sous forme compressée (enregistrement en tant que son, film en 720p, photos et documents en version plus légère) – lors de la compression, rien n'est supprimé sans laisser une version plus petite. C'est une décision concernant uniquement le fichier source, figée au moment du téléchargement – la transcription, la note de leçon ou la description ne sont affectées par aucun de ces modes. À tout moment, vous pouvez également libérer consciemment de l'espace après vos fichiers (Paramètres → Fichiers) – c'est toujours votre décision, jamais notre automatique.
• Après suppression du compte, nous supprimons vos matériaux et vos notes. Les notes partagées des classes auxquelles vous apparteniez sont recalculées à partir de zéro, sans votre contribution. Les leçons que vous avez partagées directement ou par lien restent chez leur destinataire en tant que sa propre note – c'est déjà sa copie, indépendante de votre compte.
• Les enregistrements de paiement (quoi, quand et pour quel montant) restent même après suppression du compte – sans lien avec lui dans l'interface de ClassFlowy – aussi longtemps que l'exigent les réglementations comptables et fiscales (généralement quelques années à partir de la fin de l'année fiscale). C'est l'unique exception imposée par la loi, pas par notre décision. Nous annulons les abonnements actifs à la suppression du compte.
• Le hash de l'adresse e-mail d'une personne qui a utilisé une promotion de démarrage (sans l'adresse e-mail elle-même, section « Promotions de démarrage » ci-dessus) – 24 mois à partir de l'utilisation, même après suppression du compte, pour que la promotion soit une fois par personne.
• Lien partenaire : l'assignation de votre compte au lien – aussi longtemps que le compte existe ; les enregistrements de règlements – aussi longtemps que les enregistrements de paiement, après suppression du compte sans lien avec lui. Le cookie work-polecenie vit 30 jours, et le marqueur work-wizyta – 400 jours.
• Connexion permanente à Librus : identifiant, mot de passe et session – jusqu’à la déconnexion (ou jusqu’à ce que Librus refuse le mot de passe) ; données téléchargées du carnet scolaire – tant que le compte existe ou jusqu’à ce que tu les supprimes ; enregistrements des changements (pour les notifications) et des messages envoyés (sans contenu) – 30 jours (voir la section sur Librus ci-dessus).
• Connexion permanente à VULCAN : e-mail, mot de passe et clé de l’appareil – jusqu’à la déconnexion (ou jusqu’à ce que VULCAN refuse la clé et que l’enregistrement d’une nouvelle échoue) ; données téléchargées du carnet scolaire – tant que le compte existe ou jusqu’à ce que tu les supprimes ; enregistrements des changements (pour les notifications) – 30 jours (voir la partie sur VULCAN ci-dessus).

11. Vos droits

Vous avez le droit d'accéder à vos données, de les rectifier (corriger), de les supprimer, de limiter le traitement, de les porter et de vous opposer au traitement basé sur notre intérêt légitime (p. ex. protection contre les bots). Écrivez à support@biskupski.site – nous répondrons dès que possible. Vous pouvez obtenir gratuitement une copie de vos données en la demandant au Support ou par e-mail à cette adresse. Vous recevrez par e-mail un lien unique valable 7 jours, qui ne fonctionne qu'après connexion ; le paquet ZIP contient les données du compte au format JSON et vos fichiers dans leur forme d'origine, mais pas les transcriptions et lectures brutes. Nous préparons les copies dans une file d'attente : sans retard inutile, au plus tard sous 20 jours sur le forfait Standard et sous 7 jours sur les forfaits payants, une copie par période de 30 jours. Comment supprimer votre compte et ce qui se passe avec vos données, nous le décrivons sur la page Suppression de compte et de données (en bref : « Commencer la suppression du compte » dans les Paramètres ou un e-mail à notre adresse). Vous avez également le droit de porter plainte auprès du Président de l'Office de protection des données personnelles (Prezes Urzędu Ochrony Danych Osobowych, PUODO), ul. Stawki 2, 00-193 Varsovie, Pologne, si vous estimez que nous traitons vos données en violation de la loi.

12. Enfants et jeunes

La base du traitement de vos données est l'exécution d'un contrat pour l'utilisation du service (art. 6(1)(b) RGPD), et non votre consentement – c'est pourquoi l'article 8 du RGPD, qui établit un seuil de 16 ans (la Pologne ne l'a pas abaissé à 13) pour le consentement aux services de la société de l'information, ne s'applique pas directement ici. Cependant, comme la conclusion d'un contrat avec une personne mineure est soumise au Code civil, nous avons adopté nos propres règles plus prudentes.

Le service est utilisé par des élèves, mais n'est pas destiné aux enfants de moins de 13 ans – lors de la création d'un compte, vous devez cocher une déclaration (case à cocher) confirmant que vous avez au moins 13 ans. C'est une déclaration autonome – nous ne collectons pas la date de naissance ni rien qui permettrait de la vérifier. Si nous découvrons qu'un compte a été créé par une personne plus jeune, nous le supprimerons avec ses données.

Si vous avez entre 13 et 17 ans, vous avez une capacité juridique limitée (art. 10–22 du Code civil) – pour conclure avec nous un contrat valide (y compris l'achat d'un plan ou d'un pack), le consentement ou la confirmation ultérieure d'un parent ou tuteur est requis, sauf pour les petites affaires courantes de la vie quotidienne. Nous ne vérifions pas cela lors de l'inscription ni lors de l'achat – c'est une obligation qui pèse sur vous et sur le parent/tuteur, pas un mécanisme que nous vérifions techniquement. Un parent peut à tout moment demander un accès aux données de l'enfant, leur suppression ou le retrait d'un contrat non confirmé en écrivant à support@biskupski.site.

13. Sécurité

La connexion est chiffrée (HTTPS), nous conservons les mots de passe uniquement sous forme de hashs cryptographiques, les tokens des e-mails sont à usage unique et enregistrés sous forme de hashs. Les matériaux (fichiers) ne sont vus que par votre compte – avec d'autres, vous ne partagez que la note de leçon, jamais le fichier. Cependant, nous ne promettons pas une sécurité absolue – c'est un service géré en dehors des heures de travail sur un seul serveur.