Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement au sens du RGPD, du UK GDPR et de la LPD suisse est Nico Jaroszewski, Schlosstalstrasse 202, 8408 Winterthur, Suisse, info@agenticschool.dev. Pour toute question relative à la protection des données, y compris l'exercice de vos droits, vous pouvez nous joindre à tout moment à cette adresse. Nous n'avons pas désigné de délégué à la protection des données, car nous n'y sommes pas tenus.

2. Champ d’application

Cette politique couvre le site web https://agenticschool.dev, la plateforme d'apprentissage Agentic School, nos e-mails et nos abonnements payants. Selon votre lieu de résidence, s'appliquent le RGPD de l'UE, le UK GDPR et le Data Protection Act 2018, la LPD suisse (nLPD) ou les lois des États américains sur la protection de la vie privée, en particulier celles de Californie (CCPA tel que modifié par le CPRA), de Virginie (VCDPA), du Colorado (CPA), du Connecticut (CTDPA), de l'Utah (UCPA), de l'Iowa (ICDPA), du Texas (TDPSA), du Montana (MCDPA), de l'Oregon (OCPA), du Delaware (DPDPA), du New Hampshire (NHDPA), du New Jersey (NJDPA) et du Maryland (MODPA). Nous accordons les droits décrits ci-dessous à toute personne, que les seuils d'une loi donnée nous soient applicables ou non.

3. Quelles données nous traitons

Selon la manière dont vous utilisez nos services, nous traitons les catégories de données personnelles suivantes :

• Données de compte et de profil : nom, adresse e-mail, nom d'utilisateur et informations de profil facultatives lorsque vous vous inscrivez via notre service d'authentification.
• Données d'apprentissage et d'utilisation : leçons enregistrées, mentions « j'aime », progression et séries ; stockées de manière anonyme dans votre navigateur et synchronisées avec votre compte après la connexion.
• Données de facturation et d'abonnement : formule, périodicité de facturation, nombre de sièges, statut de l'abonnement, dates de renouvellement, de résiliation et de paiement, réussite ou échec d'un paiement, ainsi que les identifiants de client et d'abonnement attribués par Stripe. Vous saisissez vos coordonnées de carte ou bancaires directement chez Stripe ; nous ne voyons ni ne stockons jamais votre numéro de carte complet.
• Données d'équipe : les adresses e-mail auxquelles le titulaire d'un abonnement Team attribue des sièges.
• Données de la newsletter et de la liste des membres fondateurs : adresse e-mail, prénom facultatif, langue, formule qui vous intéresse, formulaire utilisé et statut de votre inscription.
• Preuves de consentement : pour chaque inscription par e-mail, la version du texte de consentement que vous avez accepté, la date et l'heure de l'inscription et de votre clic de confirmation, la langue et la source, ainsi que les désinscriptions.
• Données de distribution des e-mails : quels e-mails nous vous avons envoyés, quand, et le statut de distribution communiqué par notre prestataire d'e-mails (envoyé, distribué, retardé, rejeté, signalement comme spam). Nous ne suivons ni l'ouverture des e-mails ni les clics sur les liens au moyen de pixels de suivi ou de liens de redirection ; les liens de nos e-mails ne contiennent que de simples paramètres de campagne (utm) qui indiquent de quel e-mail provient une visite.
• Contenus de la communauté : publications et commentaires, y compris les signalements à des fins de modération.
• Données de contact : nom, e-mail, entreprise et message lorsque vous utilisez le formulaire de contact.
• Données de consentement et de cookies : vos choix de consentement et le moment où vous les avez faits.
• Données d'utilisation et d'analyse : pages consultées, clics, référent et paramètres de campagne, type d'appareil et de navigateur, vitesse des pages et rapports d'erreurs ; avec votre consentement, également un identifiant pseudonyme et des enregistrements de session avec saisies masquées (voir section 6).
• Données techniques : adresse IP, informations sur l’appareil et le navigateur et journaux du serveur, pour la mise à disposition et la sécurité.

4. Finalités et bases juridiques

Nous ne traitons des données personnelles que lorsqu'une base juridique s'applique (art. 6, par. 1, RGPD et UK GDPR). Selon la LPD suisse, nous respectons les principes de licéité, de bonne foi, de proportionnalité et de limitation des finalités :

• Compte, plateforme d'apprentissage et abonnements payants, y compris le paiement, la facturation, les factures, le contrôle d'accès, les sièges Team et les e-mails de service liés au contrat (bienvenue, accès Pro, problèmes de paiement, confirmation de résiliation) : exécution d'un contrat et mesures précontractuelles (art. 6, par. 1, let. b).
• Newsletter et actualités pour les membres fondateurs : votre consentement (art. 6, par. 1, let. a), donné par double opt-in. Vous pouvez le retirer à tout moment en un clic, avec effet pour l’avenir.
• E-mails transactionnels que vous déclenchez en dehors d'un contrat, comme la confirmation du double opt-in : notre intérêt légitime (art. 6, par. 1, let. f) à une communication fiable et sûre au sujet de ce que vous avez demandé.
• Surveillance de la distribution et blocage des adresses qui rejettent nos e-mails ou les signalent comme spam : intérêt légitime à la délivrabilité et à ne pas envoyer d'e-mails non désirés.
• Conservation de la preuve de votre consentement : obligation légale et intérêt légitime (art. 7, par. 1, art. 6, par. 1, let. c et f).
• Analyse avec cookies ou stockage local, enregistrement de session et médias externes : votre consentement (art. 6, par. 1, let. a), révocable à tout moment.
• Mesure d'audience et de performance sans cookies et événements de chiffre d'affaires côté serveur : intérêt légitime à un site fonctionnel et à un suivi fiable (art. 6, par. 1, let. f) ; vous pouvez vous y opposer à tout moment.
• Sécurité, prévention des abus (par exemple limites de requêtes et pièges à spam dans les formulaires) et amélioration du produit : intérêt légitime (art. 6, par. 1, let. f).
• Conservation des factures et des pièces comptables et autres obligations légales : obligation légale (art. 6, par. 1, let. c ; art. 958f du Code des obligations suisse).

5. Cookies et stockage local

Les cookies nécessaires et le stockage local sont indispensables pour la connexion, la sécurité, le thème et l'enregistrement de vos choix. Les catégories facultatives (analyse, médias externes, marketing) ne sont activées qu'après votre consentement. Vous trouverez les détails et pourrez gérer vos choix dans les paramètres des cookies.

6. Analyse (PostHog UE) et mesure d'audience

Nous utilisons PostHog, un service d'analyse de produit de PostHog, Inc., 2261 Market St., #4008, San Francisco, CA 94114, États-Unis, en tant que sous-traitant sur la base de son accord de traitement des données. Notre projet PostHog est hébergé dans le cloud européen de PostHog à Francfort (Allemagne), et votre navigateur ne communique qu'avec notre propre domaine (agenticschool.dev/ingest), qui transmet les données à PostHog UE. Le fonctionnement dépend de votre choix dans les paramètres des cookies :

• Sans votre consentement (par défaut, après "Uniquement nécessaires" ou avec Global Privacy Control) : mesure sans cookies. Rien n'est stocké sur votre appareil ni lu depuis celui-ci : pas de cookies, pas de stockage local ni de session, pas d'enregistrement de session, pas de profil, aucun lien avec votre compte. Nous enregistrons les pages vues et quittées, le référent et les paramètres de campagne (utm), le type approximatif d'appareil et de navigateur, la taille de l'écran, la langue, la vitesse des pages (Core Web Vitals) et des rapports d'erreurs techniques. Un visiteur est compté au moyen d'un hachage que PostHog calcule sur ses serveurs à partir de l'adresse IP, des données du navigateur et d'un sel renouvelé chaque jour, de sorte que vous ne pouvez pas être reconnu le lendemain ; les adresses IP ne sont pas conservées. Base légale : notre intérêt légitime à disposer d'un site fonctionnel, rapide et sûr (art. 6, par. 1, let. f RGPD) ; vous pouvez vous y opposer à tout moment.
• Avec votre consentement (catégorie "Analyse") : PostHog enregistre en plus un identifiant aléatoire dans un cookie propriétaire et dans le stockage local (ph_..._posthog), son enregistrement de consentement (__ph_opt_in_out_...) et un identifiant d'onglet dans le stockage de session, afin de relier les visites dans le temps. Nous enregistrons alors aussi les sessions sous forme de replay pour détecter les problèmes d'utilisation : chaque champ de saisie est masqué et les zones spécialement marquées sont cachées, de sorte que ce que vous tapez n'est jamais enregistré. Lorsque vous êtes connecté, les événements sont liés à l'identifiant de votre compte, avec votre langue, votre formule et l'indication Pro ; jamais à votre nom ou à votre adresse e-mail. Nous conservons également votre première page d'arrivée, le référent, la campagne et la langue dans le stockage local (ae_first_touch_v1) pour mesurer quels contenus mènent aux inscriptions. Notre propre traceur Portfolio Analytics ne se charge lui aussi qu'avec ce consentement : il conserve un identifiant de session, l'heure de la dernière activité et les événements non envoyés dans le stockage local et l'identifiant de votre compte dans le stockage de session ; ses événements sont enregistrés dans notre base de données chez Convex dans l'UE (Irlande), et le script est fourni par Vercel Inc. (États-Unis). Base légale : votre consentement (art. 6, par. 1, let. a RGPD, art. 5, par. 3 de la directive ePrivacy et ses transpositions nationales, comme l'art. 82 de la loi Informatique et Libertés).
• Côté serveur, sans aucun accès à votre appareil : lorsque vous créez un compte ou lorsqu'un abonnement est souscrit, résilié ou qu'un paiement échoue, notre serveur envoie à PostHog un événement pseudonyme contenant l'identifiant de votre compte, la formule, la périodicité, le nombre de places et le montant, jamais votre nom ni votre adresse e-mail. Ces événements ne créent pas à eux seuls de profil d'analyse. Base légale : notre intérêt légitime à un suivi fiable du chiffre d'affaires et à l'amélioration de notre offre (art. 6, par. 1, let. f RGPD) ; vous pouvez vous y opposer à tout moment.
• Retrait : vous pouvez retirer ou modifier votre consentement à tout moment dans les paramètres des cookies. Nous arrêtons alors immédiatement l'enregistrement et supprimons de votre navigateur les cookies et entrées de stockage local de PostHog, l'entrée de première visite et le stockage de Portfolio Analytics ; la mesure se poursuit uniquement dans le mode sans cookies décrit ci-dessus.

7. Contenus intégrés (YouTube)

Les vidéos ne sont chargées qu'après votre consentement, via youtube-nocookie.com. Ce n'est qu'à ce moment que des données peuvent être transmises à Google/YouTube (y compris aux États-Unis). Sans consentement, aucun contenu externe n'est chargé.

8. Paiements avec Stripe

Les abonnements payants sont traités par Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlande, conjointement avec sa société affiliée Stripe, Inc. (États-Unis). Lors du paiement, vous saisissez vos coordonnées de paiement directement sur des pages hébergées par Stripe. Stripe agit en tant que responsable du traitement indépendant pour les données de paiement dont elle a besoin pour ses propres obligations légales (par exemple contrôles de lutte contre le blanchiment d'argent, prévention de la fraude, y compris un contrôle automatisé de la fraude, et règles des réseaux de paiement), conformément à sa propre politique de confidentialité sur https://stripe.com/privacy. Pour la gestion des abonnements, les factures, les reçus et le portail client, Stripe traite des données pour notre compte en vertu du Stripe Data Processing Agreement. Nous recevons de Stripe les données de facturation et d'abonnement énumérées à la section 3. Si le calcul des taxes est activé, Stripe traite également votre adresse de facturation et, pour les entreprises, votre numéro d'identification fiscale.

9. E-mails avec Resend

Nous envoyons tous les e-mails (confirmations de double opt-in, newsletter, e-mails relatifs au compte et à la facturation) via Resend (Plus Five Five, Inc., USA), en tant que sous-traitant en vertu de son Data Processing Addendum. Resend traite votre adresse e-mail, le contenu de l'e-mail et les événements de distribution. Le suivi des ouvertures et des clics est désactivé. Les rejets et les signalements comme spam nous sont communiqués afin que nous cessions d'écrire à cette adresse.

10. Newsletter, liste des fondateurs et double opt-in

Lorsque vous vous abonnez à la newsletter ou rejoignez la liste des membres fondateurs, nous vous envoyons d'abord un e-mail de confirmation (double opt-in). Vous n'êtes ajouté à la liste qu'après avoir cliqué sur le lien, valable 7 jours. Les inscriptions non confirmées sont supprimées après 30 jours. Chaque e-mail marketing contient un lien de désinscription en un clic, et les clients de messagerie compatibles affichent un bouton de désinscription (List-Unsubscribe). Vous pouvez également gérer toutes les listes dans les paramètres de votre compte ou sur notre page de préférences. Si vous vous inscrivez en étant connecté avec l'adresse e-mail vérifiée de votre compte, nous n'envoyons pas d'e-mail de confirmation, car cette adresse est déjà vérifiée. Les e-mails de service concernant un abonnement actif ne sont pas affectés par une désinscription.

11. Sous-traitants et destinataires

Nous faisons appel à des prestataires soigneusement sélectionnés. Lorsqu'ils traitent des données personnelles pour notre compte, ils le font en vertu de contrats de sous-traitance (Data Processing Addendum), y compris des règles relatives aux sous-traitants ultérieurs et aux transferts internationaux :

• Clerk : authentification, gestion des comptes et sécurité des sessions.
• Convex : base de données, fonctions serveur, données de progression, de communauté, de formulaires, d'abonnement et de journal des e-mails.
• Hostinger International Limited, 61 Lordou Vironos str., 6023 Larnaca, Chypre : hébergement de notre site sur un serveur privé virtuel, y compris les journaux techniques du serveur.
• PostHog, Inc. (États-Unis), hébergement dans l'UE (Francfort, Allemagne) : analyse de produit, suivi des erreurs, Web Vitals et, avec votre consentement, enregistrement de session (voir section 6).
• Vercel : fourniture du script Portfolio Analytics, uniquement après votre consentement à l'analyse (voir section 6). Vercel n'héberge pas notre site.
• Stripe : paiements, abonnements, factures et portail client (en partie en tant que responsable du traitement indépendant, voir section 8).
• Resend : envoi d'e-mails et communication des événements de distribution (voir section 9).
• Google/YouTube : diffusion de vidéos via youtube-nocookie.com après votre consentement.

12. Transferts internationaux

Certains prestataires (Clerk, Convex, Vercel, Stripe, Resend, Google, ainsi que PostHog en tant qu'entreprise américaine hébergée dans l'UE) traitent des données aux États-Unis ou dans d'autres pays situés hors de Suisse, de l'UE/EEE et du Royaume-Uni. Lorsqu'aucune décision d'adéquation ne couvre le transfert, celui-ci repose sur les clauses contractuelles types de l'UE, assorties de l'International Data Transfer Addendum du Royaume-Uni et des adaptations reconnues par le PFPDT suisse, ainsi que sur l'EU-US, l'UK-US et le Swiss-US Data Privacy Framework lorsqu'un prestataire est certifié. Vous pouvez nous demander une copie des garanties applicables. Notre site lui-même est hébergé par Hostinger, un prestataire établi dans l'UE (Chypre).

13. Durées de conservation

Nous ne conservons les données personnelles qu'aussi longtemps que nécessaire aux finalités ci-dessus ou que la loi l'exige :

• Données de compte et de profil : jusqu'à la suppression de votre compte ; elles sont ensuite anonymisées.
• Données d'abonnement : pendant la durée de l'abonnement, puis aussi longtemps que nécessaire pour la comptabilité et d'éventuelles prétentions.
• Factures, reçus et pièces comptables : 10 ans à compter de la fin de l'exercice, comme l'exige le droit commercial suisse (art. 958f du Code des obligations) et des règles comparables de l'UE. Cela s'applique également aux documents conservés par Stripe.
• Newsletter et liste des fondateurs : jusqu'à votre désinscription. Nous conservons la preuve du consentement (preuves de consentement et événement de désinscription) jusqu'à 3 ans après votre désinscription, afin de pouvoir prouver que nous étions autorisés à vous écrire, puis nous la supprimons.
• Inscriptions non confirmées : supprimées après 30 jours.
• Journaux de distribution des e-mails : 13 mois.
• Adresses bloquées après un rejet définitif ou un signalement comme spam : aussi longtemps que nécessaire pour ne plus leur écrire.
• Journaux du serveur : à court terme uniquement.
• Événements d'analyse (PostHog) : 7 ans au maximum, la durée maximale de conservation de notre formule PostHog ; enregistrements de session : 30 jours.
• Cookies d'analyse et stockage local dans votre navigateur (uniquement avec consentement) : jusqu'à 12 mois, ou jusqu'au retrait de votre consentement.

14. Vos droits (RGPD, UK GDPR, LPD)

Selon le droit applicable, vous disposez des droits suivants :

• Accès aux données que nous détenons à votre sujet.
• Rectification des données inexactes et complément des données incomplètes.
• Effacement et limitation du traitement.
• Portabilité des données dans un format courant (directement exportables dans votre compte).
• Opposition au traitement fondé sur des intérêts légitimes, et à tout moment à la prospection directe.
• Retrait du consentement avec effet pour l'avenir : un clic dans n'importe quel e-mail marketing, sur notre page de préférences ou dans les paramètres de votre compte.
• Réclamation auprès d'une autorité de contrôle : en Suisse le PFPDT, au Royaume-Uni l'ICO, dans l'UE l'autorité de protection des données de votre pays.

15. Informations complémentaires pour les résidents des États-Unis

Si vous résidez dans un État américain doté d'une loi globale sur la protection de la vie privée, vous disposez des droits suivants. Nous ne vendons pas de données personnelles, ne les partageons pas à des fins de publicité comportementale intercontextuelle, ne les utilisons pas pour de la publicité ciblée et ne vous profilons pas d'une manière produisant des effets juridiques ou des effets similaires significatifs. Nous ne traitons pas de données personnelles sensibles. Stripe, Resend et PostHog agissent en tant que nos prestataires de services ou sous-traitants ; les données d'analyse ne sont ni vendues ni partagées.

• Droit de connaître et d'accéder aux catégories et aux éléments spécifiques de données personnelles que nous collectons, utilisons et communiquons (voir section 3) ainsi qu'aux finalités (voir section 4).
• Droit à la suppression et droit à la rectification de vos données.
• Droit à la portabilité des données.
• Droit de refuser la vente, le partage, la publicité ciblée et le profilage : sans objet, car rien de tout cela n'a lieu.
• Droit de limiter l'utilisation des données personnelles sensibles : sans objet, car nous n'en traitons aucune.
• Droit de recours : si nous rejetons votre demande, répondez à notre décision dans un délai de 60 jours ; si nous la maintenons, vous pouvez vous adresser au procureur général (attorney general) de votre État. Demandes : info@agenticschool.dev.
• Droit à la non-discrimination pour l'exercice de ces droits. Vous pouvez également recourir à un mandataire autorisé.

16. Global Privacy Control (GPC)

Si votre navigateur envoie un signal Global Privacy Control, nous le traitons automatiquement comme un refus de la vente et du partage et désactivons toutes les catégories facultatives, sans que vous ayez à utiliser la bannière.

17. Sécurité des données

Nous protégeons vos données au moyen du chiffrement TLS, de contrôles d'accès et d'un traitement minimisant les données. Les coordonnées de paiement n'atteignent jamais nos serveurs, les webhooks de Stripe et de Resend sont vérifiés par signature, et les liens de confirmation ne sont stockés que sous forme de hachages cryptographiques. Aucune transmission sur Internet ne peut être garantie comme totalement sûre.

18. Enfants et mineurs

Notre offre ne s'adresse pas aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données concernant des enfants. Si nous avons connaissance d'un tel traitement, nous supprimons immédiatement les données.

19. Prise de décision automatisée

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou des effets similaires significatifs (art. 22 RGPD). Stripe peut contrôler automatiquement les paiements pour détecter la fraude, sous sa propre responsabilité ; si un paiement est refusé, contactez-nous ou contactez Stripe et une personne examinera le cas.

20. Modifications de cette politique

Nous mettons à jour cette politique de confidentialité lorsque des fonctionnalités, des prestataires ou la loi changent. La version publiée ici, à la date indiquée ci-dessus, fait foi.

21. Contact

Pour toute question, demande ou réclamation relative à la protection des données : info@agenticschool.dev, ou par courrier à Schlosstalstrasse 202, 8408 Winterthur, Suisse.