Introduction
CEFRHub ("nous", "notre", "nos") s'engage à protéger votre vie privée. Cette politique explique comment nous collectons, utilisons et protégeons vos informations personnelles conformément à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA), à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25) et au Règlement Général sur la Protection des Données (RGPD).
1. Données que nous collectons
Nous collectons et traitons les données personnelles suivantes :
- Informations de compte : Adresse e-mail, nom (optionnel), mot de passe (chiffré), profil déclaré à l'inscription (optionnel : particulier, enseignant ou organisation)
- Résultats d'évaluation : Niveaux CECR attribués, analyses détaillées, recommandations personnalisées ; avec, pour un compte personnel, les 100 premiers caractères du texte soumis (ou le nom du fichier) et, pour un test de placement, le texte intégral. Les enregistrements audio ne sont jamais conservés.
- Métadonnées : Titre de l'évaluation, langue évaluée, type d'évaluation (oral/écrit), horodatage
- Données techniques : Adresse IP, type de navigateur, informations sur l'appareil
Les enregistrements audio (évaluation orale) ne sont jamais conservés : ils sont analysés puis abandonnés, sans transcription ni copie. Pour un compte personnel, nous conservons le résultat de l'analyse accompagné d'un court extrait de votre texte (100 premiers caractères) ou du nom du fichier soumis, jamais le texte intégral ; le résultat peut citer des passages de votre production. Pour un test de placement organisé par une organisation, le texte écrit est conservé en entier avec le résultat, accessible aux seuls administrateurs de cette organisation ; la réponse brute du modèle est conservée au plus 72 heures.
2. Comment nous utilisons vos données
Vos données sont utilisées pour :
- Fournir des services d'évaluation linguistique CECR
- Générer des recommandations d'apprentissage personnalisées
- Permettre le suivi de votre progression
- Améliorer la qualité de notre service
- Envoyer des mises à jour de service (avec votre consentement)
- Assurer la sécurité de la plateforme
3. Base légale du traitement
Nous traitons vos données sur les bases légales suivantes :
- Consentement : Pour l'envoi d'évaluations audio/texte à notre système d'IA
- Exécution du contrat : Pour fournir les services d'évaluation que vous avez demandés
- Intérêt légitime : Pour améliorer nos services et assurer la sécurité
- Obligation légale : Pour respecter les lois applicables
CEFRHub Technologies Inc., société fédérale canadienne, s'engage à protéger les données personnelles de tous ses utilisateurs dans le respect des législations les plus strictes applicables, dont la Loi 25 du Québec (pleinement en vigueur depuis septembre 2024). Cela inclut :
- Transparence sur les décisions automatisées : nos évaluations par IA sont clairement identifiées comme un traitement automatisé, et vous pouvez demander des informations sur la façon dont la décision a été prise
- Protection de la vie privée par défaut : seules les données personnelles strictement nécessaires sont collectées, et les paramètres de confidentialité sont réglés à leur niveau le plus protecteur par défaut
- EFVP réalisée : CEFRHub a réalisé une Évaluation des Facteurs relatifs à la Vie Privée (EFVP) au titre de la Loi 25 avant la mise en service de son système d'analyse IA. Ce document est disponible sur demande pour les clients institutionnels.
- Un responsable de la protection des renseignements personnels a été désigné pour superviser la conformité
4. Stockage et sécurité des données
Vos résultats et les extraits de texte conservés sont stockés au Canada (Montréal) ; les enregistrements audio ne sont jamais stockés. L'analyse linguistique est effectuée par Google Cloud Vertex AI dans la région de Montréal (northamerica-northeast1). Mesures de sécurité appliquées :
- Chiffrement des données en transit (HTTPS/TLS)
- Chiffrement des données au repos
- Contrôles d'accès et authentification renforcée
- Surveillance de sécurité continue
- Restauration de la base de données possible sur les 7 derniers jours
5. Partage des données et Sous-traitants
Vos données ne sont jamais vendues à des tiers. Elles sont traitées uniquement par les sous-traitants suivants ; chacun est encadré par les conditions de traitement des données du fournisseur. Pour Google Cloud et Firebase, l'avenant de traitement des données de Google Cloud, avec clauses contractuelles types, s'applique. Vos résultats et les extraits de texte conservés sont stockés au Canada (Montréal) ; les enregistrements audio ne sont jamais stockés. L'analyse linguistique est effectuée par Google Cloud Vertex AI dans la région de Montréal (northamerica-northeast1).
- Google LLC — Firebase : authentification, base de données, fonctions serveur, stockage de fichiers et hébergement du site. La base de données, le stockage de fichiers et les fonctions serveur sont situés à Montréal (Canada). Certifications : ISO 27001, SOC 2 Type II. Politique de confidentialité Firebase.
- Google LLC — Google Cloud Vertex AI : analyse linguistique par IA du contenu soumis. Lieu de traitement : région de Montréal, Canada (northamerica-northeast1). Données transmises : aucune donnée identifiante (nom, e-mail) n'est transmise à l'IA ; le contenu de la production elle-même est transmis. Vos contenus ne sont pas utilisés pour entraîner les modèles de Google (conditions de Google Cloud applicables à Vertex AI).
- Google LLC — Google Analytics 4 et Firebase Analytics : mesure d'audience du site et de l'application.
- Google LLC — Connexion avec Google : authentification unique (SSO), si vous choisissez de vous connecter avec un compte Google.
- Microsoft — Microsoft Entra ID : authentification unique (SSO), si vous choisissez de vous connecter avec un compte Microsoft.
- Stripe Inc. (États-Unis) : traitement sécurisé des paiements. Certifications : PCI DSS Niveau 1, SOC 2 Type II. Politique de confidentialité Stripe.
- Twilio SendGrid (États-Unis) : envoi de courriels transactionnels (confirmation de compte, notifications). Politique de confidentialité Twilio.
- Sentry (Functional Software Inc.) (Union européenne, Allemagne) : surveillance des erreurs et des performances. Sentry reçoit l'identifiant technique du compte et des informations techniques sur les erreurs ; les textes affichés à l'écran sont masqués. Politique de confidentialité Sentry.
6. Vos droits (RGPD, LPRPDE, Loi 25)
Selon votre juridiction et la législation applicable, vous avez le droit de :
- Accès : Demander une copie de vos données personnelles (RGPD, LPRPDE, Loi 25)
- Rectification : Corriger des données inexactes (RGPD, LPRPDE, Loi 25)
- Effacement : Demander la suppression de vos données — « droit à l'oubli » (RGPD, Loi 25)
- Portabilité : Exporter vos données dans un format lisible (RGPD, Loi 25)
- Opposition : Refuser le traitement à des fins marketing (RGPD, LPRPDE)
- Retrait : Retirer votre consentement à tout moment (RGPD, LPRPDE, Loi 25)
- Décisions automatisées : Demander des informations sur et contester les décisions prises uniquement par traitement automatisé (RGPD, Loi 25)
- Désindexation : Demander que vos renseignements personnels soient désindexés ou anonymisés (Loi 25)
Pour exercer ces droits : depuis votre profil (export complet, suppression du compte) ou en nous écrivant à : dpo@cefrhub.ai
7. Conservation des données
Vos évaluations sont conservées 2 ans à compter de leur création, puis supprimées automatiquement. Vous pouvez à tout moment télécharger l'ensemble de vos données depuis votre profil.
- Vous la demandez depuis votre profil ; pendant 30 jours, vous pouvez l'annuler
- Une fois ce délai écoulé, votre demande est traitée par CEFRHub : votre profil, vos évaluations personnelles et vos fichiers sont alors supprimés définitivement, et les sauvegardes techniques sont effacées sous 7 jours. Une confirmation écrite est disponible sur demande à dpo@cefrhub.ai
- Les évaluations que vous avez réalisées pour une organisation restent à cette organisation, sans lien avec vous
- Les registres financiers (factures, transactions) et les journaux de sécurité sont conservés sous forme pseudonymisée pendant la durée exigée par la loi
- Si vous avez souscrit un plan payant, votre fiche client reste conservée chez Stripe, notre prestataire de paiement, avec les registres de paiement
- Si vous avez utilisé l'essai gratuit, une empreinte pseudonymisée de votre compte est conservée pour que l'essai ne puisse pas être utilisé plusieurs fois (lutte contre les abus)
- Des données d'usage agrégées et anonymisées peuvent être conservées à des fins statistiques
9. Protection des mineurs
Nos services ne sont pas destinés aux personnes de moins de 13 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants de moins de 13 ans. En vertu du RGPD (Article 8), le consentement parental est requis pour les utilisateurs de moins de 16 ans dans l'Union européenne. En vertu de la LPRPDE, les enfants de moins de 13 ans ne peuvent généralement pas fournir un consentement valable. Si vous êtes un parent ou tuteur et pensez que votre enfant nous a fourni des données personnelles, veuillez nous contacter.
10. Modifications de cette politique
Nous pouvons mettre à jour cette politique de confidentialité périodiquement. Les modifications importantes seront notifiées par e-mail ou via des notifications sur la plateforme.
11. Nous contacter
Pour toute question concernant la confidentialité ou la protection des données :
Responsable de la protection des renseignements personnels : dpo@cefrhub.ai