Politique de confidentialité

Le responsable du traitement est l'Institut Al-Isbaah ([forme juridique et siège — à compléter]). Pour toute question relative à vos données ou pour exercer vos droits : [email protected].

• Identité : nom, prénom, sexe (pour appliquer la non-mixité des cours), date de naissance pour les enfants, langue et pays.
• Coordonnées : adresse e-mail (vérifiée par un code à l'inscription), téléphone, fuseau horaire.
• Compte parent et lien avec le ou les enfants inscrits.
• Dossier pédagogique : sessions, créneaux, présences et absences, suivis de cours rédigés par le professeur, devoirs et copies rendues, notes et examens, attestations.
• Paiements : montant, moyen, statut et historique des relances. Les numéros de carte ne sont jamais conservés par l'institut : ils sont traités directement par Stripe ou PayPal.
• Échanges : messages au support, messages d'information, notifications, avis.
• Données techniques : journal des connexions et des actions dans l'espace en ligne, appareil et pays (déduit par l'hébergeur, l'adresse IP n'est pas conservée), journal des e-mails envoyés, et — avec votre accord — pages vues pour la mesure d'audience du site public.

• Exécution du contrat : inscription, organisation des cours, suivi pédagogique, examens, attestations, facturation et paiement, support.
• Obligation légale : conservation des pièces comptables et des factures.
• Intérêt légitime : sécurité du service, prévention des fraudes et des impayés, amélioration de la plateforme, rappels de cours.
• Consentement : mesure d'audience des visiteurs du site public (bandeau cookies) ; vous pouvez le retirer à tout moment.

Au sein de l'institut : le secrétariat et l'équipe pédagogique, selon la règle de non-mixité (le secrétariat des hommes et celui des femmes ne voient que les dossiers qui les concernent) et uniquement pour les besoins de leur mission. Le professeur ne voit que ses propres élèves.

Nos sous-traitants techniques, tenus à la confidentialité : Vercel (hébergement du site), Supabase (base de données et fichiers), Stripe, PayPal et Wise (paiements), Brevo, Amazon SES et Resend (envoi des e-mails). Vos données ne sont jamais vendues ni cédées à des fins commerciales.

Certains prestataires sont établis aux États-Unis (Vercel, Resend, Amazon Web Services). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre de protection des données UE–États-Unis.

Les données sont conservées le temps nécessaire à chaque finalité, puis supprimées automatiquement :

• Compte et dossier pédagogique (suivis, notes, devoirs, attestations) : pendant la scolarité, puis 12 mois après la dernière session ; le compte est ensuite supprimé (prévenu 3 jours avant)
• Paiements, factures et justificatifs : 10 ans (obligation comptable)
• Messages au support : 3 ans après la clôture du fil
• Journal des e-mails envoyés : 12 mois
• Notifications dans l'application : 12 mois
• Journal d'activité (historique des actions) : 24 mois
• Mesure d'audience du site (13 mois) : 13 mois
• Présence en ligne (battements de connexion) : 90 jours
• Codes de vérification d'adresse e-mail : 7 jours
• Brouillons d'inscription non terminés : 7 jours

Les journaux techniques sont purgés chaque nuit selon ces durées. Un compte élève sans aucune session depuis 12 mois est supprimé, l'élève en étant prévenu trois jours avant.

Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer : écrivez à [email protected] depuis l'adresse de votre compte, ou depuis votre espace (page « Mon profil »). Nous répondons dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

L'inscription d'un enfant est faite par son parent ou son représentant légal, qui dispose d'un compte parent lui donnant accès à l'espace de l'enfant. Les données de l'enfant ne sont utilisées que pour l'organisation et le suivi de ses cours.

Les échanges sont chiffrés (HTTPS). L'accès aux données est contrôlé par rôle et par des règles de sécurité appliquées directement dans la base de données ; les mots de passe sont stockés sous forme hachée ; les actions sensibles sont journalisées ; une sauvegarde de la base est réalisée chaque jour.

• Nécessaires au fonctionnement : la session de connexion à votre espace et vos préférences d'affichage (langue, choix mémorisés). Ils ne requièrent pas de consentement.
• Mesure d'audience interne du site public : un identifiant aléatoire est posé dans votre navigateur si vous acceptez le bandeau cookies. Aucune adresse IP, aucun contenu de page n'est transmis, et aucun traceur tiers (Google, Meta…) n'est utilisé. Votre choix est mémorisé six mois.
• Pour changer d'avis : supprimez les données de site de votre navigateur pour ce domaine, le bandeau vous sera proposé de nouveau.