Politique de confidentialité

1. Qui sommes-nous ?

Le service accessible à l'adresse copilates.studio est édité par :

• Éditeur : [À COMPLÉTER — forme juridique, dénomination sociale, capital social]
• Immatriculation : [À COMPLÉTER — SIREN / RCS, numéro de TVA intracommunautaire]
• Siège social : [À COMPLÉTER — adresse postale complète]
• Directeur de la publication : [À COMPLÉTER — nom]
• Contact — protection des données : contact@copilates.studio
• Délégué à la protection des données (DPO) : [À COMPLÉTER — désigné ou non ; si oui, coordonnées]
• Hébergeur : Scalingo SAS — [À COMPLÉTER — adresse de Scalingo, localisation exacte des serveurs] — serveurs situés en France.

2. Nos deux rôles : responsable de traitement et sous-traitant

Copilates n'intervient pas au même titre selon les données concernées. Cette distinction détermine à qui vous devez vous adresser pour exercer vos droits.

Les obligations réciproques entre Copilates et chaque studio (instructions, confidentialité, sécurité, sous-traitants ultérieurs, sort des données en fin de contrat, assistance) sont définies dans un accord de sous-traitance : [À COMPLÉTER — référence de l’acte art. 28.3 — DPA autonome ou annexe aux CGU, et lien]

3. Pourquoi traitons-nous des données personnelles ?

Nous ne traitons de données personnelles que pour les finalités suivantes :

• Créer et gérer votre compte professeur et vous donner accès au service.
• Permettre au studio de gérer son activité : planning, catalogue de cours, tarifs, fiches élèves, réservations et portefeuilles de crédits.
• Permettre à un élève de consulter le planning de son studio, ses réservations et ses crédits.
• Gérer l'abonnement : souscription, paiement, facturation.
• Assurer la sécurité et le bon fonctionnement du service : authentification, journaux techniques, détection et correction des erreurs, prévention de la fraude.
• Répondre à vos demandes adressées à notre adresse de contact.

Nous ne procédons à aucune prospection commerciale, aucune mesure d'audience et aucune publicité. Vos données ne sont ni vendues, ni louées, ni cédées.

4. Quelles données traitons-nous ?

Trois précisions sur la minimisation des données :

• Aucun mot de passe n'est stocké. Les professeurs se connectent via leur compte Google, les élèves via un lien à usage unique envoyé par e-mail.
• La connexion Google ne nous transmet que votre adresse e-mail. Nous ne demandons aucune autre autorisation : ni votre nom, ni votre photo, ni vos contacts, ni votre agenda.
• Aucune donnée bancaire ne transite par nos serveurs. Les paiements sont intégralement traités par Stripe ; nous ne conservons ni numéro de carte, ni coordonnées bancaires.

5. Qu'est-ce qui nous autorise à traiter vos données ?

Chaque traitement repose sur l'une des bases légales de l'article 6 du RGPD :

• Exécution du contrat (art. 6.1.b) : création et gestion du compte, fourniture du service, gestion de l'abonnement.
• Obligation légale (art. 6.1.c) : conservation des pièces comptables et de facturation, conservation des données de connexion prévue par la loi pour la confiance dans l'économie numérique.
• Intérêt légitime (art. 6.1.f) : sécurité du service, prévention de la fraude, journaux techniques et correction des erreurs.

À ce jour, aucun traitement ne repose sur le consentement : nous n'envoyons pas de lettre d'information, ne déposons pas de cookie publicitaire et ne mesurons pas l'audience du site.

Pour les données des élèves, la base légale est déterminée par le studio responsable de traitement — le plus souvent l'exécution du contrat qui le lie à ses élèves. Copilates n'agit que sur ses instructions.

6. Pendant combien de temps conservons-nous vos données ?

À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

7. Qui peut avoir accès à vos données ?

• Le personnel habilité de Copilates, strictement limité aux personnes chargées de l'administration technique et du support, et dans la seule mesure nécessaire à leur mission.
• Votre studio, pour les données de ses propres élèves. Les données sont cloisonnées par studio : un studio n'accède jamais aux élèves d'un autre studio.
• Nos sous-traitants, listés à la section suivante, dans la limite de leur prestation.
• Les autorités, sur réquisition judiciaire ou administrative régulière.

En dehors de ces cas, vos données ne sont communiquées à aucun tiers.

8. Qui nous aide à traiter vos données ?

Authentification des professeurs. La connexion s'effectue via le service « Se connecter avec Google » de Google Ireland Limited. Google agit à ce titre comme responsable de traitement distinct, selon sa propre politique de confidentialité. Nous ne lui transmettons aucune donnée : c'est vous qui autorisez le partage de votre adresse e-mail. [À COMPLÉTER — qualification retenue pour Google et lien vers sa politique]

Transferts hors Union européenne. Les données hébergées et les données des élèves restent en France. Seuls les traitements confiés à Stripe et, le cas échéant, à Sentry peuvent impliquer un transfert hors de l'Union européenne. Ces transferts sont encadrés par les garanties appropriées prévues au chapitre V du RGPD. [À COMPLÉTER — mécanisme exact retenu pour chaque prestataire]

9. Comment vos données sont-elles sécurisées ?

Conformément à l'article 32 du RGPD, nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des échanges : l'intégralité du trafic est chiffrée en HTTPS.
• Hébergement en France, chez un prestataire français, avec une base de données non exposée publiquement.
• Absence de mot de passe : l'authentification repose sur un fournisseur d'identité ou un lien à usage unique et à durée limitée, ce qui supprime tout risque de fuite de mots de passe.
• Sessions de courte durée : une session expire au bout d'une heure.
• Cloisonnement des données par studio : chaque requête est restreinte au studio de l'utilisateur connecté.
• Journaux d'erreurs sans données personnelles : notre outil de supervision est configuré pour ne pas collecter d'informations identifiantes par défaut.
• Sauvegardes : [À COMPLÉTER — fréquence, durée de rétention et localisation des sauvegardes]

10. Cookies et traceurs

Copilates ne dépose que des cookies strictement nécessaires au fonctionnement du service, dispensés de consentement préalable au titre de l'article 82 de la loi n° 78-17 du 6 janvier 1978. Aucun cookie de mesure d'audience, de suivi ou de publicité n'est déposé.

Ressource externe. Le module de détection des erreurs techniques est chargé depuis le réseau de diffusion de notre prestataire de supervision. Ce chargement ne dépose aucun cookie, mais transmet votre adresse IP à ce prestataire lors de l'affichage de la page. [À COMPLÉTER — décision : auto-héberger ce module ou maintenir cette mention]

11. Quels sont vos droits ?

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve de nos obligations légales de conservation.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition : vous opposer à un traitement fondé sur notre intérêt légitime, pour des raisons tenant à votre situation particulière.
• Droit à la limitation : demander le gel temporaire d'un traitement.
• Directives post mortem : définir le sort de vos données après votre décès (art. 85 de la loi n° 78-17).

12. Points particuliers

• Absence de décision automatisée. Vos données ne font l'objet d'aucune prise de décision automatisée ni d'aucun profilage au sens de l'article 22 du RGPD.
• Élèves mineurs. Copilates ne collecte jamais de données directement auprès d'un mineur. Lorsqu'un studio inscrit un élève mineur, il lui appartient, en qualité de responsable de traitement, de recueillir l'autorisation du titulaire de l'autorité parentale.
• Violation de données. En cas de violation de données personnelles, nous notifions la CNIL dans les 72 heures lorsque la réglementation l'exige, informons sans délai les studios dont les élèves sont concernés, et informons directement les personnes lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

13. Modification de la politique de confidentialité

Copilates se réserve le droit de modifier la présente politique à tout moment, notamment en cas d'évolution de la réglementation applicable ou du service. La date de dernière mise à jour figurant en haut de cette page est actualisée à chaque modification. En cas de modification substantielle, les professeurs disposant d'un compte en sont informés [À COMPLÉTER — modalité : e-mail, bandeau dans l’application] avant son entrée en vigueur.