Politique de confidentialité

Le responsable du traitement des données personnelles traitées par l'intermédiaire d'edumatch.ro est Călin Spiridon, personne physique établie en Roumanie, joignable à l'adresse office@edumatch.ro (« nous »). edumatch n'appartient à aucune société commerciale et n'a pas de but commercial ; le service est gratuit.

La présente politique décrit la façon dont nous traitons les données, conformément au règlement (UE) 2016/679 (RGPD), à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi Informatique et Libertés) pour les utilisateurs résidant en France, à la législation roumaine applicable au responsable du traitement (loi n° 190/2018 et loi n° 506/2004), ainsi qu'au règlement (UE) 2024/1689 sur l'intelligence artificielle en ce qui concerne les obligations de transparence.

Nous ne sommes pas tenus de désigner un délégué à la protection des données (DPO). Toutes les demandes relatives aux données s'adressent à office@edumatch.ro. Nous répondons dans un délai d'un mois ; pour les demandes complexes, ce délai peut être prolongé de deux mois, auquel cas nous t'en informons.

• Les élèves et les autres personnes qui créent un compte et passent le test (« utilisateurs »).
• Les parents et tuteurs qui reçoivent la demande d'accord pour un enfant de moins de 15 ans ou un collégien.
• Les visiteurs des pages publiques.
• Les personnes qui nous écrivent à office@edumatch.ro.

• Données du compte : le prénom, l'adresse email, le mot de passe (conservé uniquement sous forme chiffrée de manière irréversible ; nous ne pouvons pas le lire), la date de naissance, la classe, la ville, la langue du site, la version du site (pays) et le thème choisi (clair ou sombre).
• Données du test : les réponses à chaque question, le temps de réponse, la date de chaque session, les résultats calculés (scores par catégorie, correspondances), les formations, voies et métiers que tu enregistres, et les tests refaits d'une année à l'autre.
• Données de l'accord parental : l'adresse email du parent, le nom qu'il indique, la décision (accord ou refus), la date et l'heure, la version du texte accepté et une empreinte technique (une valeur dérivée cryptographiquement de l'adresse IP, et non l'adresse IP en clair, ainsi que le type de navigateur).
• Ton avis sur le résultat, si tu choisis de nous le donner : à quel point le profil te décrit et à quel point les recommandations te conviennent (notes de 1 à 5), les recommandations qui ne te correspondent pas, celle qui t'attire le plus, la formation ou la voie que tu aurais souhaitée et ton commentaire.
• Les réponses à la question de suivi, si tu l'as demandée : ce que tu as choisi après le collège ou après le lycée (voie, formation ou autre parcours), s'il s'agissait de ton premier choix, les raisons de ce choix et ta satisfaction, ainsi que la comparaison automatique avec les recommandations de tes tests.
• Les conversations avec le Conseiller IA (lorsqu'il est disponible) : tes questions et les réponses générées.
• Données techniques et de sécurité : journaux de fonctionnement (par exemple tentatives de connexion, erreurs), adresse IP dans les journaux du serveur, type d'appareil et de navigateur, pour une courte durée.
• Données d'utilisation (mesure d'audience) : pages visitées, durée de la visite, source du trafic, type d'appareil, localisation approximative à l'échelle de la ville, collectées par Google Analytics uniquement si tu acceptes les cookies de mesure d'audience (voir la Politique de cookies).
• La correspondance : ce que tu nous écris à office@edumatch.ro et nos réponses.

Nous ne demandons ni ne traitons de numéro de sécurité sociale, d'adresse postale, de numéro de téléphone, de photos, ni de données de santé, de religion, d'origine, d'orientation sexuelle ou d'autres catégories particulières de données. Merci de ne pas les saisir non plus dans le Conseiller IA ; si elles apparaissent malgré tout, nous les supprimons dès que nous les remarquons.

Nous traitons les données uniquement pour les finalités ci-dessous, chacune avec sa base légale prévue à l'article 6 du RGPD :

• Création et gestion du compte, test, résultats et recommandations personnalisées (y compris la comparaison des résultats d'une année à l'autre) : ton consentement (article 6, paragraphe 1, point a), donné lors de la création du compte. Pour les mineurs de moins de 15 ans, le consentement est donné conjointement par le mineur et par le titulaire de l'autorité parentale (article 8 du RGPD et article 45 de la loi Informatique et Libertés). Pour les collégiens, nous demandons l'accord d'un parent dans tous les cas.
• Communications liées au service (confirmation de l'email, email au parent, déblocage du test, rappel annuel pour refaire le test, avertissement avant la suppression d'un compte inactif, annonces de modifications importantes) : l'exécution du service que tu as demandé (article 6, paragraphe 1, point b) et notre intérêt légitime à le gérer (point f). Nous n'envoyons pas de prospection commerciale.
• Question de suivi (un email à ton entrée au lycée ou en première année d'études supérieures, avec un rappel si tu ne réponds pas) et comparaison de ton choix avec les résultats de tes tests : ton consentement (article 6, paragraphe 1, point a), donné séparément, avec le bouton « Oui, écrivez-moi », et que tu peux retirer à tout moment depuis ton compte ou le lien de l'email. Sans cet accord, nous ne t'écrivons pas.
• Conservation de la preuve de l'accord parental et de l'acceptation des conditions : l'obligation légale de pouvoir démontrer le consentement (article 6, paragraphe 1, point c, et article 7, paragraphe 1, du RGPD).
• Sécurité de la Plateforme et prévention des abus (limitation du nombre d'emails, blocage des faux comptes, journaux de sécurité) : l'intérêt légitime à protéger le service et ses utilisateurs (article 6, paragraphe 1, point f).
• Statistiques, recherche et amélioration du test : l'intérêt légitime à comprendre l'orientation des élèves et à maintenir un outil fiable (article 6, paragraphe 1, point f), avec les garanties de l'article 89 du RGPD. Les statistiques publiées ou transmises sont anonymisées (section 6).
• Mesure d'audience par Google Analytics : ton consentement aux cookies (article 6, paragraphe 1, point a, du RGPD et article 82 de la loi Informatique et Libertés).
• Réponse à tes demandes relatives aux données et à la correspondance ; respect des obligations légales, y compris envers les autorités : l'obligation légale (article 6, paragraphe 1, point c) et l'intérêt légitime (point f).

Nous n'utilisons pas les données à des fins de publicité, de prospection ou de profilage commercial, et nous ne les vendons pas.

Le test edumatch constitue, au sens de l'article 4, point 4, du RGPD, une forme de profilage : à partir de tes réponses, nous calculons un profil d'intérêts et de préférences et le comparons aux profils des formations et des métiers. Le seul objectif est ton orientation. Le profil n'est utilisé pour rien d'autre et n'est transmis ni aux établissements scolaires, ni aux établissements d'enseignement supérieur, ni aux employeurs.

Le résultat n'est pas une décision produisant des effets juridiques ou des effets similaires à ton égard au sens de l'article 22 du RGPD : il ne détermine ni une admission, ni des notes, ni l'accès à un service ; c'est une recommandation que tu peux suivre ou ignorer. Tu as à tout moment le droit de demander des explications sur le calcul du résultat et de demander qu'une personne le réexamine, en écrivant à office@edumatch.ro. Le fonctionnement du calcul est décrit dans la page Transparence de l'IA.

a) Des prestataires qui traitent les données pour notre compte (sous-traitants, article 28 du RGPD), uniquement sur nos instructions et sur la base d'un contrat de traitement des données :

• Supabase : base de données et authentification ; les serveurs sont situés dans l'Union européenne (Francfort, Allemagne).
• Vercel : hébergement et diffusion du site.
• Resend : envoi des emails liés au service (confirmation, accord parental, rappels).
• Anthropic : fournisseur du modèle de langage du Conseiller IA, lorsqu'il est disponible ; selon le contrat, il n'utilise pas les conversations pour entraîner ses modèles.
• Google (Google Analytics) : mesure d'audience, uniquement avec ton consentement aux cookies, avec l'adresse IP tronquée et sans fonctions publicitaires.

b) Les autorités publiques et d'autres entités, lorsque la loi nous y oblige ou nous le permet : juridictions, autorités judiciaires, autorités de protection des données (la CNIL en France, l'ANSPDCP en Roumanie), autres autorités sur demande légale, ainsi que des conseils juridiques ou techniques tenus au secret, lorsque c'est nécessaire à la défense de nos droits.

c) Des statistiques agrégées et anonymisées, à toute personne : nous calculons des statistiques sur des groupes d'au moins 50 élèves (par exemple, de quelles villes viennent les élèves, vers quels domaines ils s'orientent, comment les préférences évoluent d'une année à l'autre). Elles ne permettent d'identifier personne et ne sont donc plus des données personnelles. Nous pouvons les publier sur la Plateforme et les transmettre aux autorités publiques, aux établissements d'enseignement, aux chercheurs, à la presse, à des partenaires et à toute autre entité intéressée, gratuitement ou contre rémunération.

d) Des données pseudonymisées pour la recherche : nous pouvons mettre à la disposition d'institutions de recherche ou d'enseignement des jeux de données dont le nom, l'email et tout identifiant direct ont été supprimés, exclusivement pour une recherche d'intérêt public en matière d'orientation scolaire, sur la base d'un contrat, avec l'obligation de ne pas tenter de réidentification, de ne pas transmettre les données et de les traiter dans l'Union européenne (article 89 du RGPD).

e) Un successeur de la Plateforme : si edumatch est transféré à une société ou à un autre responsable de traitement, les données peuvent lui être transférées, pour les mêmes finalités. Nous te prévenons au moins 30 jours à l'avance, et tu peux demander la suppression de ton compte avant le transfert.

Nous ne vendons pas les données personnelles et ne les transmettons pas, sous une forme qui t'identifie, à des établissements scolaires, des établissements d'enseignement supérieur, des employeurs ou des agences de publicité.

Les données sont hébergées dans l'Union européenne. Certains prestataires (Vercel, Resend, Anthropic, Google) sont des sociétés établies aux États-Unis et peuvent accéder aux données depuis l'extérieur de l'EEE. Dans ces cas, le transfert a lieu uniquement dans les conditions du chapitre V du RGPD : sur la base de la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (pour les prestataires certifiés) ou des clauses contractuelles types approuvées par la Commission, complétées, le cas échéant, par des mesures supplémentaires. Tu peux demander une copie de ces garanties à office@edumatch.ro.

• Données du compte et du test : tant que le compte est actif.
• Comptes dont l'email n'est pas confirmé ou sans accord parental : supprimés automatiquement après 30 jours. Comptes dont l'accord a été refusé ou retiré : supprimés sur demande et, à défaut de demande, dans un délai de 30 jours au plus après le refus ; après un retrait, nous n'enregistrons plus rien de nouveau.
• Comptes inutilisés pendant 24 mois : supprimés automatiquement, après un email d'avertissement envoyé au moins 30 jours avant. Exception : si tu as demandé la question de suivi, le compte est conservé jusqu'à son envoi et 90 jours après (au plus 8 ans après la demande) ; si tu y renonces, la règle des 24 mois s'applique de nouveau.
• Avis sur le résultat et réponses de suivi : tant que le compte est actif, comme les autres données du test.
• Preuve de l'accord parental et de l'acceptation des conditions (email, nom, décision, date, version du texte) : 3 ans après la suppression du compte ou la dernière décision, afin de pouvoir démontrer la licéité du traitement ; elle est ensuite supprimée.
• Conversations avec le Conseiller IA : tant que le compte est actif ; tu peux aussi les supprimer depuis ton compte lorsque la fonction est disponible.
• Journaux techniques et de sécurité : 12 mois au plus.
• Données Google Analytics : 14 mois au plus, selon nos réglages.
• Correspondance : 3 ans après la fin de l'échange, à titre de preuve.

Lors de la suppression du compte, quel qu'en soit le motif, nous supprimons toutes les données qui t'identifient (nom, email, date de naissance, ville au niveau individuel, conversations). Les réponses et les résultats du test sont anonymisés de manière irréversible (définitivement séparés de tout identifiant) et conservés sans limitation de durée, exclusivement à des fins de statistiques et de recherche. Après anonymisation, ils ne sont plus des données personnelles et ne peuvent plus être reliés à toi.

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, tu as le droit :

• d'accès : savoir quelles données nous détenons sur toi et en recevoir une copie ;
• de rectification : corriger les données inexactes ;
• à l'effacement (« droit à l'oubli ») : demander la suppression de ton compte et de tes données ; si tu étais mineur lors de la collecte, ce droit s'exerce dans les meilleurs délais (article 51 de la loi Informatique et Libertés) ;
• à la limitation du traitement, dans les cas prévus par la loi ;
• à la portabilité : recevoir les données que tu nous as fournies dans un format structuré, couramment utilisé et lisible par machine ;
• d'opposition : t'opposer aux traitements fondés sur l'intérêt légitime, y compris aux statistiques ; nous cessons alors le traitement sauf motifs légitimes impérieux ;
• de retirer ton consentement à tout moment, sans que cela remette en cause la licéité du traitement antérieur ;
• de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires, et de demander une intervention humaine, des explications et de contester le résultat ;
• de définir des directives relatives au sort de tes données après ton décès (article 85 de la loi Informatique et Libertés) ;
• d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr, ou de saisir la justice.

Pour exercer tes droits, écris à office@edumatch.ro depuis l'adresse email du compte (ou, pour les parents, depuis l'adresse avec laquelle l'accord a été donné). Pour protéger les données, nous pouvons demander des vérifications d'identité supplémentaires avant de répondre. L'exercice des droits est gratuit, sauf demandes manifestement infondées ou excessives.

Les parents et tuteurs peuvent exercer ces droits au nom des enfants de moins de 15 ans. À partir de 15 ans, et s'il n'est plus collégien, l'élève gère seul son compte ; les données enregistrées jusque-là restent dans le compte, sauf demande de suppression.

Pour les mineurs de moins de 15 ans et pour tous les collégiens, le compte n'est activé qu'après l'accord d'un parent ou d'un tuteur légal, donné au moyen d'un lien unique envoyé à l'adresse indiquée par l'enfant, après que l'enfant a confirmé sa propre adresse. Le lien est valable 7 jours ; dans la base de données, nous ne conservons qu'une empreinte cryptographique de ce lien.

Avant de décider, le parent consulte l'information complète sur le traitement des données (articles 8, 12 et 13 du RGPD et article 45 de la loi Informatique et Libertés), qui reprend le contenu de la présente politique. Il peut retirer son accord à tout moment, depuis le lien reçu dans l'email de confirmation ou en nous écrivant. Nous faisons des efforts raisonnables, compte tenu des technologies disponibles, pour vérifier que l'accord vient d'un parent : l'email du parent doit être différent de celui de l'enfant, et le parent déclare sur l'honneur sa qualité.

Nous n'affichons pas de publicité aux enfants, ne leur envoyons pas de prospection et n'utilisons pas leurs données à des fins de profilage commercial. Si nous apprenons que nous avons collecté des données d'un enfant sans l'accord nécessaire, nous les supprimons.

Toutes les communications avec la Plateforme sont chiffrées (HTTPS). Les mots de passe sont conservés uniquement sous forme chiffrée de manière irréversible. L'accès à la base de données est limité par des règles strictes au niveau de chaque ligne : chaque compte ne voit que ses propres données, et les données de l'accord parental ne peuvent être lues que par le serveur. Les clés d'accès des prestataires sont conservées uniquement dans des environnements sécurisés, jamais dans le code source. Les tests ne peuvent pas être passés anonymement et ne peuvent pas être enregistrés sans l'accord nécessaire.

En cas de violation de données présentant un risque pour tes droits, nous t'en informons dans les meilleurs délais et nous la notifions à l'autorité de contrôle compétente dans les 72 heures, conformément aux articles 33 et 34 du RGPD.

Nous utilisons des cookies strictement nécessaires (session de connexion, langue, thème) et, uniquement avec ton accord, des cookies de mesure d'audience (Google Analytics). Les détails, y compris la façon de les accepter ou de les refuser, figurent dans la Politique de cookies.

Si nous modifions la façon dont nous utilisons les données, nous publions une nouvelle version, datée, et nous te prévenons par email ou sur la Plateforme. Si le changement concerne de nouvelles finalités nécessitant un consentement, nous le demandons de nouveau avant de les appliquer ; pour les mineurs de moins de 15 ans, nous le demandons au parent.