Données et vie privée

Qui traite quoi, pourquoi, combien de temps, qui d'autre y accède, et comment tout consulter, exporter ou effacer. Cette page décrit ce que le logiciel fait, y compris ce qui n'est pas encore ouvert.

Qui est responsable

Le responsable du traitement est l'éditeur du site : [à compléter avant l'ouverture commerciale : nom et prénom de l'exploitant, obligatoires dès la première vente]. Pour toute question sur vos données : contact@canopee-math.fr (voir aussi la page Contact). Il n'y a pas de délégué à la protection des données désigné : l'échelle du service ne l'exige pas.

Le principe : vos données restent d'abord sur votre appareil

Canopée est construit en local d'abord : le compte et le travail de l'élève vivent dans le navigateur de votre appareil (localStorage et IndexedDB), et l'atelier fonctionne sans réseau une fois chargé. Tant que le compte n'est pas connecté au serveur, ces données ne quittent pas l'appareil.

Ce qui est gardé sur l'appareil

• Le compte du parent : votre nom, votre adresse e-mail, la date de création.
• Un profil par enfant : son prénom, sa classe, la date d'ajout, et ce que le test de départ a situé s'il a eu lieu : sa date, les notions présumées déjà sues et la notion par laquelle l'atelier commence. Une notion présumée n'est jamais comptée comme maîtrisée : elle reste à vérifier dans l'atelier. Les questions et les réponses de ce test ne sont pas gardées. Ni nom de famille, ni date de naissance, ni adresse, ni photo, ni établissement.
• Son travail : les exercices faits (notion, énoncé, réponse écrite, date) et un journal d'événements qui garde les tentatives avec la réponse telle qu'elle a été écrite, les réponses libres aux accroches, les indices reçus, les lectures et les dates de séance. Ce journal est la preuve de maîtrise que le produit promet : il n'est jamais réécrit, seulement complété.
• Deux champs techniques hérités d'un ancien modèle d'abonnement (un statut et une date de fin d'essai), que rien n'applique : l'offre à venir est un paiement unique.

Une ancienne version de l'écran de connexion gardait aussi la dernière adresse e-mail saisie. Ce n'est plus le cas : l'atelier ne l'écrit plus, et il l'efface des appareils où une version précédente l'avait laissée.

Durée : tant que vous ne les effacez pas. L'atelier permet de consulter ces données par catégorie, de les exporter en un fichier JSON lisible, d'effacer un élève ou de tout effacer. Deux précisions. L'export couvre le compte, profils et travaux compris, mais pas encore le journal d'événements, rangé à part. Et retirer un seul élève retire son profil et ses travaux, mais le journal d'événements de ce profil n'est aujourd'hui effacé que par l'effacement complet, qui emporte tout.

Ce qui est gardé sur le serveur, quand le compte est connecté

La connexion du compte sert à retrouver le parcours sur un autre appareil. Créer ce compte demande une adresse e-mail, un mot de passe, l'acceptation des conditions et de la présente notice, et votre déclaration que vous êtes titulaire de l'autorité parentale sur l'enfant : sans cela, le compte n'est pas créé. Le serveur garde alors, sur la base du contrat qui nous lie :

• Le compte du parent : adresse e-mail, mot de passe (haché, jamais en clair), dates de création et de vérification d'adresse.
• La preuve de ce que vous avez accepté : pour chacune des deux cases, la date et l'heure du geste et la version des textes en vigueur ce jour-là. Cette trace n'est jamais réécrite : accepter une version suivante ajoute une ligne, elle n'en efface aucune. Elle sert à démontrer que l'information vous a été donnée avant la collecte (article 5, 2 du RGPD), et rien d'autre.
• Chaque profil d'enfant : prénom et classe, rien d'autre. Un enfant n'a ni compte, ni adresse e-mail, ni mot de passe.
• Le journal de travail de chaque profil, identique à celui de l'appareil, réponses écrites comprises.
• Pour chaque appareil d'enfant : une empreinte de jeton (jamais le jeton lui-même) et des dates. Le code d'appairage qui relie un appareil vaut 15 minutes et ne sert qu'une fois.
• Les jetons des courriers de service (confirmation d'adresse : 24 heures ; mot de passe oublié : 1 heure), sous forme d'empreinte. Les lignes techniques expirées restent en base jusqu'à la suppression du compte.

Durée : tant que le compte existe. Supprimer un profil supprime physiquement son journal, ses appareils et ses codes ; supprimer le compte supprime tout, immédiatement et définitivement. Aucune purge automatique des comptes inactifs n'existe aujourd'hui : [à compléter avant l'ouverture commerciale : durée de conservation des comptes inactifs, à fixer].

Le seul cookie

Le site pose un seul cookie, canopee_session, quand le parent se connecte : il tient la session ouverte pendant 30 jours, n'est pas lisible par des scripts et n'est envoyé qu'à notre serveur. C'est un cookie strictement nécessaire au service : il est exempté de consentement, et c'est pourquoi il n'y a pas de bandeau. Il n'y a aucun cookie de mesure, aucun traceur, aucune ressource chargée depuis un tiers : les polices et les formules mathématiques sont servies par le site lui-même, et la mesure d'usage décrite juste après n'en pose aucun non plus.

La mesure d'usage pendant la bêta

Pendant la bêta, nous mesurons ce que les gens font sur le site et dans l'atelier, pour trouver ce qui bloque et le corriger. C'est une mesure fine : sont enregistrés la page ouverte, le bouton pressé, l'exercice commencé, le temps passé sur un écran, l'endroit où l'on s'arrête, et le message d'une erreur technique du navigateur, borné à 120 caractères et filtré des adresses e-mail et des suites de chiffres.

Ce qui n'est jamais enregistré : aucun texte écrit par votre enfant, ni ses réponses, ni ses saisies libres, ni ses questions au tuteur. Rien qui copie ce qui s'affiche à l'écran. Aucune adresse IP conservée, aucune position, aucun identifiant publicitaire, aucune empreinte de navigateur. Aucun cookie, et rien d'écrit dans votre appareil : c'est pourquoi il n'y a toujours pas de bandeau à cliquer.

Comment les pages d'une même visite sont reliées

Pour savoir qu'une même personne a vu la page d'accueil, puis le diagnostic, puis s'est arrêtée là, le serveur calcule une empreinte du jour à partir de l'adresse IP et du navigateur qui se présentent. Il ne garde que l'empreinte. La clé de ce calcul change chaque nuit et n'est conservée nulle part : le lendemain, personne, nous compris, ne peut refaire le calcul ni rattacher la visite d'hier à celle d'aujourd'hui.

Dans l'atelier, quand le profil d'un enfant est ouvert, la mesure est rattachée à ce profil. C'est ce qui permet de voir à quel écran un élève s'est arrêté, et de réparer cet écran.

Ce que nous comptons dans le journal de travail

Pour savoir si les élèves reviennent, et à quel rythme, nous comptons aussi dans le journal de travail que le serveur garde déjà pour chaque profil connecté : les jours où l'élève a travaillé, le jour de sa première séance, les jours où une notion a été prouvée ou retenue, et le temps écoulé avant son retour. Les jours sont ceux du calendrier de Paris, d'après l'horloge de l'appareil.

Ce décompte ne lit ni les réponses de votre enfant ni ce qu'il a écrit librement : la base les retire avant de transmettre quoi que ce soit au calcul. Il n'écrit rien et n'est gardé nulle part : il se refait à chaque lecture. Ce qu'il affiche ne porte ni prénom ni identifiant, chaque élève y apparaît sous un code tiré de son identifiant, et il n'est lu que par l'éditeur, derrière le même accès que le reste de cette mesure. Les comptes d'essai de l'éditeur en sont tenus à l'écart.

Pourquoi nous avons le droit de le faire

La base légale est l'intérêt légitime (article 6, 1, f du RGPD) : sans cette mesure, un défaut d'écran ne se voit qu'au moment où la famille abandonne, et elle n'a aucune raison de nous en avertir. Parce qu'il s'agit d'enfants, la balance a été pesée et elle est écrite : cette mesure ne sert qu'à corriger le produit, elle n'est vendue à personne, elle ne sert à aucune publicité, elle ne change rien à ce que l'enfant voit ni à ce qu'on lui propose, elle ne lui est jamais montrée, et elle n'entre pas dans la preuve de maîtrise, qui reste construite sur son seul travail.

Combien de temps, et qui la reçoit

30 jours, puis effacement automatique chaque nuit. S'y ajoutent les sauvegardes de la base, quatorze jours au plus, comme pour le reste. Le décompte du retour n'a pas de durée à lui : rien n'en est conservé, et le journal de travail dont il part suit la durée du compte.

Personne d'autre ne la reçoit. Elle est écrite sur notre serveur chez OVH, en France. Aucun outil d'analyse extérieur n'est utilisé.

Vous y opposer

Vous pouvez vous opposer à cette mesure à tout moment, pour votre foyer, en nous écrivant (article 21 du RGPD) : contact@canopee-math.fr. Pour une visite faite sans compte, nous ne pouvons pas savoir laquelle est la vôtre. Nous ne conservons rien qui permette de vous réidentifier, et nous ne demanderons pas de renseignement supplémentaire pour y arriver ; dans ce cas, l'article 11 du RGPD s'applique et les droits d'accès et d'effacement ne peuvent pas s'exercer sur ces lignes. La seule garantie qui reste, alors, est leur effacement au bout de 30 jours.

Journaux techniques et sauvegardes

Le serveur web tient un journal d'accès : adresse IP, page demandée, navigateur, date. Il sert à mesurer la fréquentation et à repérer les abus (intérêt légitime), il est lu uniquement sur le serveur et n'est transmis à personne. Chaque fichier de ce journal est effacé au plus tard 7 jours après sa rotation ; un fichier en cours d'écriture peut vivre un peu plus longtemps si le trafic est faible.

Une sauvegarde de la base est faite chaque nuit et les quatorze dernières sont gardées, sur le même serveur. Conséquence à connaître : après la suppression de votre compte, vos données peuvent subsister jusqu'à 14 jours dans ces copies avant de disparaître avec elles. Les sauvegardes ne servent qu'à restaurer le service après un incident, jamais à faire revivre un compte supprimé.

Sève, et ce qui est écrit par une IA

Dans l'atelier, l'aide qui accompagne les leçons et les exercices s'appelle Sève. Dans la leçon, et sur ordinateur dans l'exercice, son nom est suivi de la mention « un programme ».

Ce que Sève affiche vient de deux endroits. Soit du cours : des indices et des questions que nous avons écrits à la main, sur les erreurs classiques. Soit du modèle d'intelligence artificielle décrit plus bas, quand votre enfant demande de l'aide et que le cours n'a pas de réponse toute prête. Chaque texte rédigé par ce modèle porte, juste en dessous, la mention « écrit par une IA ». Quand une réponse fausse ne correspond à aucune erreur classique écrite dans le cours, le modèle peut aussi choisir, parmi les erreurs classiques de l'exercice, celle qui lui ressemble : Sève pose alors la question du cours qui lui correspond, et cette question porte la mention « question choisie par une IA ». Avant d'être affiché, tout texte, quelle que soit son origine, passe un contrôle fait sur l'appareil, qui écarte celui qui donnerait la réponse.

Qui d'autre reçoit des données

Jamais de publicité, jamais de revente, aucune mesure d'audience par un tiers. Cinq prestataires reçoivent ou recevront le strict nécessaire :

• OVH (Roubaix, France) héberge le serveur qui porte toutes les données ci-dessus.
• Stripe, prestataire de paiement : au moment d'un achat, il reçoit votre adresse e-mail et un identifiant de compte. Votre numéro de carte est saisi chez Stripe et ne passe jamais par Canopée. Stripe conserve les factures après la suppression du compte : c'est une obligation comptable.
• Un prestataire d'envoi d'e-mails reçoit votre adresse pour acheminer les messages de service (confirmation d'adresse, mot de passe oublié). Ce prestataire est Brevo, société française, et il achemine réellement ces messages depuis le 5 août 2026. Ces messages répondent toujours à un geste de votre part, et nous ne vous envoyons aucune prospection. Deux choses que Brevo fait et que nous ne pouvons pas désactiver sur cette offre : il remplace les liens de ces messages par des liens qui passent par lui, pour compter les clics, et il y ajoute une image invisible qui signale l'ouverture. C'est pourquoi l'adresse du lien de confirmation n'est pas celle de ce site.
• Google, seulement si vous choisissez « Continuer avec Google » pour créer votre compte ou vous connecter. Votre adresse e-mail est la seule donnée qui circule, dans un sens comme dans l'autre : Google apprend que cette adresse ouvre une session sur Canopée, et nous recevons de lui cette adresse et la confirmation qu'elle est bien la vôtre. Rien d'autre ne lui est demandé et rien d'autre ne nous est transmis : ni votre nom, ni votre photo, ni vos contacts, et aucune donnée de votre enfant, qui n'a pas de compte. Ce chemin est facultatif : le mot de passe reste disponible, et si vous ne pressez pas ce bouton, Google ne reçoit rien de nous.
• Le fournisseur du modèle du tuteur : quand votre enfant demande de l'aide, partent au fournisseur d'intelligence artificielle qui rédige la question suivante, sur la base du contrat qui nous lie : la notion travaillée, l'énoncé de l'exercice (ou, quand une erreur classique est reconnue, un diagnostic de cette erreur, qui remplace l'énoncé), ce que votre enfant a écrit, un extrait du cours, la liste des notions qu'il a prouvées et de celles en cours, et le numéro de l'échange. Et, sans que votre enfant ait rien demandé, quand une réponse fausse de l'entraînement ne correspond à aucune erreur classique écrite dans le cours : la notion, l'énoncé, la réponse de votre enfant et la liste des erreurs classiques de l'exercice, pour que le modèle choisisse celle qui lui ressemble ; jamais la bonne réponse, et le texte du modèle n'est pas affiché. Dans la leçon, quand votre enfant tape une question, surligne un passage ou appuie sur « Je ne comprends pas » (ce bouton peut appeler le modèle même quand le cours a déjà une réponse écrite) : la notion, le titre et le texte du pas qu'il lit, la question tapée ou le passage surligné, et la liste de ce que le cours peut afficher dessous ; les nombres qu'il a écrits et que le pas ne contient pas sont remplacés par une marque avant de partir, et jamais la question du pas ni sa réponse. Nous n'ajoutons jamais son prénom ni un identifiant ; ce que votre enfant tape lui-même part tel quel, et le champ de question de la leçon lui demande de ne pas y écrire son prénom. Ce fournisseur est DeepSeek, entreprise établie en Chine (raison sociale exacte, siège et représentant : à compléter avant l'ouverture de la vente). Aucun contrat de sous-traitance au sens de l'article 28 du RGPD n'est signé avec lui, et la section « Transferts hors de l'Union européenne » dit exactement ce que cela veut dire.
• Mistral AI, société française, fournit la voix qui lit à voix haute quand votre enfant appuie sur « Écouter ». Pour une leçon, c'est le texte de la leçon qui part chez Mistral pour être lu, une seule fois : l'enregistrement est ensuite gardé sur notre serveur et resservi. Pour une phrase de Sève (la phrase qui accompagne un exercice, une réponse de l'aide, un autre exemple ou un contre-exemple), c'est cette phrase, telle qu'elle est affichée, qui part au moment où votre enfant appuie sur « Écouter » ; elle peut citer les nombres qu'il a écrits. Rien d'autre ne part, et nous n'y ajoutons ni son prénom, ni un identifiant, ni votre adresse. L'enregistrement d'une phrase de Sève est gardé 30 jours sur notre serveur, sans rien qui dise quel élève l'a demandé, puis effacé. Cette lecture fonctionne dès que la clé de ce service est posée sur notre serveur ; tant qu'elle ne l'est pas, ou sans connexion, c'est la voix de l'appareil qui lit, et rien ne part chez Mistral.

Où en est chacun d'eux à la date de cette page. Le tuteur est ouvert aux familles de la bêta : ce qui est décrit ci-dessus part réellement chez le fournisseur du modèle dès que votre enfant demande de l'aide, dans un exercice ou dans la leçon, ou qu'une réponse fausse de l'entraînement ne correspond à aucune erreur classique du cours. La voix de Mistral ne lit que lorsque sa clé est posée sur notre serveur. L'envoi d'e-mails de service est actif : les messages de confirmation d'adresse et de mot de passe oublié partent réellement, acheminés par Brevo, depuis l'adresse contact@canopee-math.fr. Pour Stripe, rien n'est vendu pendant la bêta et le paiement n'est pas configuré sur le serveur : la page de paiement ne peut pas s'ouvrir, aucune donnée ne lui est transmise, et aucun paiement n'a jamais été encaissé. Cette page est mise à jour à chaque ouverture.

Transferts hors de l'Union européenne

Une partie de ce qui est écrit dans l'atelier quitte l'Union européenne, et voici laquelle.

Le tuteur. Le modèle qui rédige les relances est servi par DeepSeek, entreprise établie en Chine (raison sociale exacte, siège et représentant : à compléter avant l'ouverture de la vente). La Chine ne bénéficie d'aucune décision d'adéquation de la Commission européenne. Aucun contrat de sous-traitance et aucune clause contractuelle type ne sont signés avec ce fournisseur. Nous ne savons pas combien de temps il conserve ce qu'il reçoit, et il ne s'est pas engagé à ne pas s'en servir pour entraîner ses modèles.

Ce qui est maîtrisé, en revanche, c'est ce qui part : la notion travaillée, l'énoncé de l'exercice (ou, dès qu'une erreur classique est reconnue, un diagnostic de cette erreur, qui remplace l'énoncé), ce que votre enfant a écrit, un extrait du cours et la liste des notions travaillées ; dans la leçon, la question qu'il tape ou le passage qu'il surligne, ses nombres absents du pas remplacés par une marque. Nous n'y ajoutons jamais son prénom, un identifiant ni votre adresse ; ce qu'il tape lui-même part tel quel, et le champ de question de la leçon lui demande de ne pas y écrire son prénom.

C'est un choix de l'éditeur, pris le 3 août 2026, pour ouvrir la bêta avec le tuteur actif. L'aide part quand votre enfant la demande, et, sans demande, quand une réponse fausse de l'entraînement ne correspond à aucune erreur classique du cours (voir plus haut) ; tout le reste du parcours fonctionne sans elle. Un fournisseur européen sous contrat est prévu avant l'ouverture de la vente.

Stripe. Stripe, Inc. est un groupe américain. Le jour d'un achat, les données décrites plus haut lui sont transmises. Les garanties du chapitre V du RGPD qui encadrent ce transfert : [à compléter avant l'ouverture commerciale : garanties du chapitre V pour Stripe : référence du contrat de sous-traitance accepté, sa date, et le mécanisme de transfert retenu].

Google. Google LLC est un groupe américain. Ce transfert n'a lieu que si vous choisissez « Continuer avec Google », et il se limite à votre adresse e-mail : rien de ce que votre enfant écrit, et aucune donnée de son parcours, ne passe par là. Si vous ne pressez pas ce bouton, aucune donnée ne part chez Google. Les garanties du chapitre V du RGPD qui encadrent ce transfert : [à compléter avant l'ouverture commerciale : garanties du chapitre V pour Google : certification au cadre de protection des données UE / États-Unis à vérifier sur la liste officielle, avec sa date, ou le mécanisme retenu à défaut].

Tout le reste demeure en France, chez OVH : le compte, les profils, le journal de travail, la mesure d'usage et les sauvegardes.

Les enfants

Le compte est celui du parent : c'est vous qui le créez, en déclarant à l'inscription que vous êtes titulaire de l'autorité parentale sur l'enfant, et cette déclaration est conservée avec sa date. L'enfant n'a ni compte, ni adresse e-mail, ni mot de passe. Il accède à son profil par un code que vous lui remettez. Ce qui le concerne se limite à son prénom, sa classe et son travail ; rien de tout cela ne sert à autre chose qu'à lui montrer, et à vous montrer, ce qui est prouvé et ce qui reste à travailler. Vous pouvez consulter, exporter et effacer ses données à tout moment ; la section suivante dit ce que l'atelier fait seul et ce qui passe par un message.

Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition. Le plus court est dans l'atelier : consulter les données par catégorie, les exporter en JSON (l'export couvre le compte présent sur l'appareil, pas encore le journal d'événements), effacer un élève, ou tout effacer. « Tout effacer » supprime aussi le compte, les profils et le journal sur le serveur : la suppression y est physique et définitive, et l'écran ne l'annonce que si le serveur l'a confirmée. Seules les sauvegardes lui survivent, quatorze jours au plus (voir plus haut). Si le serveur ne répond pas, ou si votre connexion a expiré, l'écran vous le dit et vous pouvez réessayer ou nous écrire. Pour tout le reste, écrivez à contact@canopee-math.fr : réponse sous un mois au plus (article 12 du RGPD). Vous pouvez aussi y déposer des directives sur le sort de ces données après votre décès (article 85 de la loi Informatique et Libertés). Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : cnil.fr.