Politique de confidentialité

1. Responsable du traitement

Bit AI School est le nom commercial d’un projet de formation en ligne de Jordi Bravo, personne physique domiciliée au 8, Rue de Stavelot, L-2553 Luxembourg (Grand-Duché de Luxembourg). Il est le titulaire du site, le vendeur du cours et le responsable du traitement de tes données. Pour toute question juridique ou de confidentialité, tu peux écrire à hola@bitaischool.com.

2. Quels sont les données que nous recueillons

Si tu crées un compte : ton adresse email, un mot de passe (que nous stockons uniquement sous forme d’empreinte cryptographique PBKDF2, jamais en clair), éventuellement ton prénom, la langue utilisée, la date d’inscription et celle de ta dernière connexion.

Ton avancée dans le cours : les pages que tu as terminées, où tu t’es arrêté et l’état de tes exercices, pour que tu puisses reprendre au même endroit sur n’importe quel appareil.

Si tu nous donnes ton e-mail sans créer de compte (sur l’un des trois formulaires qui le demandent : à la fin de la leçon 3, en bas de la page du plan complet, ou à la fin d’une fiche de leçon ou d’un article) : l’adresse, le consentement coché, le texte exact que tu as accepté, la date et où en est la série de trois e-mails que tu as demandée.

Mesures minimales d’utilisation et d’attribution : des événements comme « accueil vu », « leçon commencée » ou « exercice terminé », avec un identifiant de visiteur aléatoire, la langue, la page et la date. Si tu arrives d’une campagne, nous conservons ses paramètres de campagne ou identifiants de clic, la page d’arrivée, uniquement le domaine référent — jamais l’adresse complète — et le pays approximatif indiqué par notre propre serveur de bordure. Nous ne stockons pas ton IP en clair ni les textes saisis dans les exercices. Ces données servent à nos propres statistiques ; la seule chose qui parte vers une plateforme publicitaire, ce sont les trois événements d’achat détaillés à la section 5.

Si tu achètes Bit AI School Complet : l'identifiant de l'opération, le montant, la devise, l'email associé à l'achat, le code d'achat et la date. Nous ne recevons ni ne stockons les données de ta carte bancaire : tu les saisis directement sur la page de paiement, qui est la seule à les traiter.

Si tu enregistres un intérêt pour ton entreprise : le nom de l’entreprise, ton nom, ton e-mail professionnel, la taille approximative de l’équipe, le besoin décrit et le texte de consentement accepté.

3. Pourquoi nous les utilisons et sur quelle base légale

Exécution du service (art. 6.1.b RGPD) : te donner accès à ton compte, garder ta session ouverte, enregistrer ta progression et t’envoyer les emails indispensables du compte (confirmation d’email et réinitialisation du mot de passe).

Consentement (art. 6.1.a RGPD) : t’envoyer, si tu as coché la case sur l’un de ces trois formulaires, une série de trois e-mails en neuf jours qui résume ce qu’enseignent les leçons et se termine par le prix et ses conditions. Nous enregistrons aussi depuis lequel des trois tu l’as demandée, pour savoir lequel sert et lequel ne sert pas. Au neuvième jour la série s’arrête d’elle-même et plus rien n’est envoyé. Chaque e-mail contient un lien de désabonnement qui fonctionne en un seul clic, sans formulaire ni question, et se désabonner n’affecte pas ton accès au cours. Nous n’envoyons rien à qui n’a pas coché cette case, et une adresse désabonnée ne revient pas dans la liste même si quelqu’un la saisit à nouveau dans le formulaire.

Intérêt légitime (art. 6.1.f RGPD) : statistiques globales pour savoir quelles leçons fonctionnent, savoir quelle campagne a amené une personne qui s’inscrit ou achète — pour ne pas dépenser en publicité à l’aveugle — et protection contre les abus grâce à des limites de requêtes. Ce rapprochement entre une visite et une personne se fait sur nos serveurs, pas dans ton navigateur, et nous n’en tirons aucun profil de toi et ne t’affichons aucune publicité dans le cours.

Consentement (art. 6.1.a RGPD) : mesurer l’efficacité de notre publicité. Ce n’est que si tu acceptes l’avis sur les cookies que nous chargeons le pixel de Meta dans ton navigateur et que nous envoyons à Meta les trois événements détaillés à la section 5. Si tu refuses, ou si tu n’as pas encore répondu à l’avis, rien n’est chargé et rien n’est envoyé : ni la visite, ni l’achat entamé, ni l’achat lui-même. Tu peux retirer ton consentement quand tu veux depuis « Cookies », en pied de page, avec le même clic que celui qui l’a donné ; le retirer n’affecte ni ton accès au cours ni la licéité de ce qui a été envoyé avant.

Consentement (art. 6.1.a RGPD) : conserver et répondre à une demande d’intérêt pour une entreprise. Le formulaire ne déclenche aucun suivi ni e-mail automatique.

4. Cookies

Nous utilisons trois cookies propres : aula_sid, qui garde ta session ouverte ; aula_lang, qui retient la langue que tu as choisie ; et aula_vid, un nombre aléatoire sans signification qui nous permet de compter les visites et de savoir quelle campagne t’a amené. Les trois sont httpOnly, Secure et SameSite=Lax ; celui de session dure 30 jours et celui de mesure 90. En outre, et uniquement si tu l’acceptes dans l’avis sur les cookies, le pixel de Meta est chargé ; il appartient à un tiers et dépose ses propres cookies (_fbp et, si tu arrives depuis une annonce, _fbc) pour mesurer notre publicité. Tant que tu ne l’acceptes pas, il n’est ni chargé ni contacté : il n’y a aucun autre traceur externe sur ces pages.

aula_vid ne demande pas ton consentement parce qu’il s’agit d’un cookie de mesure d’audience propre, exempté selon la délibération de la CNIL : nous seuls l’utilisons, pour nos propres statistiques, sans profilage et sans te suivre sur d’autres sites. Son numéro n’est cédé à personne, pas même à Meta : les envois de la section 5 ne le contiennent jamais, précisément pour que ce cookie reste ce qu’il dit être. Nous respectons malgré tout ton choix : si ton navigateur envoie un signal de non-suivi — celui du Global Privacy Control ou celui de « Do Not Track » —, nous ne le déposons pas, ta visite ne compte que dans le total et rien n’est envoyé à Meta non plus.

Si tu navigues sans compte, ta progression est enregistrée dans le stockage local de ton navigateur (ce n’est pas un cookie et cela n’est pas envoyé à nos serveurs tant que tu ne crées pas de compte et ne choisis pas de la conserver).

Ton choix est conservé un an dans le cookie aula_consent — et dans le stockage local de ton navigateur — et il dit seulement « accepté » ou « refusé » : il ne contient aucune donnée te concernant. Refuser coûte exactement autant qu’accepter, un clic, et ne pas répondre équivaut à refuser. Pour en changer, appuie sur « Cookies » en pied de page et l’avis revient avec les deux options. Si ton navigateur envoie un signal de non-suivi, le pixel n’est pas chargé même si tu avais accepté.

5. Avec qui nous partageons

Nous ne vendons ni ne cédons de données personnelles. Nous faisons appel uniquement aux sous-traitants strictement nécessaires : le fournisseur d’infrastructure qui héberge l’application et sa base de données (serveurs dans l’Union européenne) et le fournisseur d’envoi d’emails transactionnels. Les deux agissent sous contrat et uniquement selon nos instructions.

Si tu achètes, la page de paiement traite tes données de paiement en tant que responsable indépendant, selon sa propre politique, afin d'exécuter l'opération et de respecter la réglementation antifraude et comptable qui s'applique. Nous ne recevons en retour que la confirmation du paiement et les données minimales de l'opération.

Mesure de la publicité (Meta). Lorsque nous faisons la publicité du cours sur Facebook ou Instagram, nous envoyons à Meta Platforms Ireland Ltd. trois événements : la page de vente a été vue, un achat a été entamé, et un achat a été finalisé, ce dernier avec son montant et sa devise. Ils empruntent deux voies que Meta fond en une seule, car elles portent le même identifiant d’événement : ton navigateur, avec le pixel qui n’est chargé que si tu l’as accepté, et notre serveur. Pour que Meta puisse savoir à quelle annonce ils correspondent, chaque envoi porte l’identifiant du clic que Meta elle-même a ajouté à l’adresse en t’amenant ici, ainsi que ton e-mail et ton pays chiffrés en SHA-256, une fonction de hachage à sens unique : Meta reçoit l’empreinte, jamais la donnée lisible, et ne peut pas la retrouver. La finalité est unique : savoir quelles annonces fonctionnent. Nous ne lui envoyons ni ta progression, ni tes exercices, ni ton activité dans le cours, ni le numéro du cookie aula_vid. Meta traite ces informations en tant que responsable conjoint avec nous pour la mesure, et selon sa propre politique pour sa publicité ; elle peut les traiter hors de l’Union européenne au titre de la décision d’adéquation entre l’Union européenne et les États-Unis. Rien de tout cela ne se produit si tu refuses l’avis sur les cookies, si tu n’y as pas encore répondu ou si ton navigateur envoie un signal de non-suivi.

6. Combien de temps nous les conservons

Les données de ton compte et ta progression, tant que le compte existe. Si tu le supprimes, elles sont effacées immédiatement et de façon irréversible.

Les jetons de confirmation et de réinitialisation expirent respectivement en 24 heures et 60 minutes, et deviennent inutilisables dès la première utilisation.

Les événements d’utilisation et les données d’attribution sont conservés au maximum 24 mois, puis supprimés automatiquement. Les traces de consentement sont conservées aussi longtemps que nécessaire pour prouver qu’il a été donné. De chaque envoi à Meta nous ne gardons qu’une note technique — quel événement, quand, et s’il a été accepté — sans aucune donnée personnelle, effacée après les mêmes 24 mois ; ce que Meta conserve relève de sa propre politique.

Si tu nous as laissé ton e-mail sans compte, l’adresse et le suivi de la série sont conservés tant que tu ne te désabonnes pas ; dès que tu le fais, le désabonnement est enregistré et nous ne t’écrivons plus. Tu peux demander leur suppression complète en écrivant à hola@bitaischool.com.

Les données d'un achat sont conservées pendant les délais exigés par la réglementation commerciale et fiscale, même si tu supprimes ton compte. Dans ce cas, l'achat n'est plus associé à toi : il est conservé comme une écriture comptable sans lien avec aucun compte.

7. Tes droits

Tu peux accéder, rectifier, supprimer, limiter et t’opposer au traitement, ainsi que demander la portabilité de tes données. Depuis ton espace tu peux télécharger toutes tes données dans un fichier JSON et supprimer complètement ton compte, sans passer par aucun formulaire.

Tu peux aussi nous écrire à hola@bitaischool.com. Si tu estimes que ta demande n’a pas été prise en compte, tu peux déposer une réclamation auprès de l’autorité de contrôle du pays où tu résides habituellement —en Espagne, l’Agence espagnole de protection des données (aepd.es)— ou auprès de l’autorité chef de file du responsable, qui, celui-ci étant établi au Luxembourg, est la Commission nationale pour la protection des données (cnpd.public.lu).

8. Sécurité

L’application est toujours servie en HTTPS. Les mots de passe sont stockés avec PBKDF2-SHA256 et 210 000 itérations sur un sel aléatoire par utilisateur. Les sessions et les jetons à usage unique sont enregistrés sous forme d’empreinte SHA-256, jamais en clair. Lors de la réinitialisation du mot de passe, toutes les sessions ouvertes sont automatiquement fermées.

9. Mineurs

Le service s'adresse aux personnes de plus de 14 ans. Si nous détectons un compte appartenant à une personne de moins de cet âge sans autorisation de ses tuteurs, nous le supprimerons.

10. Modifications

Si nous modifions cette politique, nous mettrons à jour la date ci-dessus. Si le changement concerne la base légale ou les finalités, tu seras prévenu par email avant son entrée en vigueur.