Politique de confidentialité

1. Responsable du traitement

Atlas est exploité par Wuttipat Klinyam, Entrepreneur Individuel immatriculé en France sous le nom commercial Wynex Labs (SIREN 100 844 000, SIRET 100 844 000 00016, code APE 6201Z), dont le siège est situé au 59 Rue Georges Lardennois, 75019 Paris, France. Pour toute question relative au traitement de vos données à caractère personnel, vous pouvez nous contacter à l'adresse hello@wynexlabs.studio. Nous répondons aux demandes des personnes concernées dans un délai d'un mois conformément à l'article 12, paragraphe 3, du RGPD. Aucun délégué à la protection des données n'est désigné : les critères de l'article 37, paragraphe 1, ne sont pas remplis. Aucun représentant dans l'Union (article 27) n'est requis : le responsable du traitement est établi dans l'Union européenne.

2. Données que nous collectons

Nous ne collectons que les données nécessaires à la fourniture du service d'apprentissage Atlas :

• Données de compte : adresse e-mail, nom et informations relatives au fournisseur d'authentification (Google OAuth, Microsoft / Azure AD, lien magique par e-mail ou clé d'accès).
• Contenus téléversés : documents PDF que vous téléversez à des fins d'étude. Ils sont traités pour en extraire le texte, générer des questions de quiz et construire des cartes de connaissances.
• Données d'apprentissage : réponses aux quiz, copies d'essais, scores, historique de session, indicateurs de performance, progression sur les cartes de connaissances et planning des cartes mémoire, utilisés pour personnaliser votre expérience d'apprentissage.
• Données d'usage : horodatages de connexion, utilisation des fonctionnalités et indicateurs d'engagement, utilisés à des fins d'amélioration du service.
• Horodatage de confirmation d'âge : le moment où vous avez confirmé avoir au moins 15 ans ou utiliser Atlas sous la supervision d'un administrateur institutionnel.

3. Base juridique du traitement (article 6 du RGPD)

• Consentement : nous traitons vos données sur la base de votre consentement explicite, que vous pouvez retirer à tout moment.
• Exécution du contrat : traitements nécessaires à la fourniture du service d'apprentissage adaptatif auquel vous avez souscrit.
• Intérêt légitime : amélioration du service, supervision de la sécurité et prévention de la fraude.

4. Vos droits (RGPD)

Au titre du Règlement Général sur la Protection des Données, vous disposez des droits suivants :

• Droit d'accès (art. 15) : demander une copie de l'ensemble des données que nous détenons à votre sujet.
• Droit à la portabilité (art. 20) : exporter vos données dans un format structuré et lisible par machine (JSON) depuis vos Paramètres de compte.
• Droit à l'effacement (art. 17) : supprimer définitivement votre compte et toutes les données associées depuis vos Paramètres de compte.
• Droit de rectification (art. 16) : mettre à jour ou corriger vos informations personnelles.
• Droit à la limitation du traitement (art. 18) : demander que nous restreignions l'usage de vos données.
• Droit de retrait du consentement : retirer votre consentement à tout moment, sans incidence sur les traitements antérieurs.

5. Conservation des données

Nous conservons vos données tant que votre compte est actif. À la suppression du compte, l'ensemble des données personnelles et des contenus téléversés sont définitivement effacés sous 30 jours. Les données d'analyse anonymisées et agrégées peuvent être conservées à des fins d'amélioration du service. Les journaux opérationnels (utilisation des LLM, journaux d'audit) suivent une politique de conservation de 365 jours ; les notifications transactionnelles sont purgées après 90 jours.

6. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées (article 32 du RGPD), notamment le chiffrement en transit (TLS / HTTPS), le stockage chiffré sur Neon Postgres (région UE), des contrôles d'accès par rôle (étudiant / professeur / administrateur), des sessions d'authentification de courte durée, le masquage des informations personnelles dans la supervision d'erreurs, et la journalisation d'audit des accès aux données personnelles.

7. Traitement automatisé et notation par IA (art. 13(2)(f))

Atlas s'appuie sur des grands modèles de langage (LLM) pour plusieurs tâches pédagogiques. Nous le précisons explicitement afin que vous puissiez prendre une décision éclairée :

• Notation des essais : lorsque vous soumettez un essai ou une réponse rédigée, un LLM peut produire une note provisoire et un retour selon la grille fixée par votre enseignant.
• Étape de contrôle humain : les notes générées par IA ne sont pas transmises au carnet de notes du LMS tant qu'un enseignant ne les a pas examinées. Le flux de notation comporte quatre états (en attente → noté par IA → relu par professeur → final). Seules les notes à l'état « final » sont retournées au LMS.
• Opposition : un étudiant peut s'opposer à la notation par IA en contactant son enseignant, qui peut activer un flux de notation manuelle pour cet étudiant. Cela n'affecte aucune autre fonctionnalité d'Atlas.
• Autres usages de l'IA : génération de questions à partir des documents téléversés, construction de cartes de connaissances, OCR sur PDF scannés, et génération de plongements vectoriels (embeddings) pour la recherche sémantique. Ces usages ne produisent pas de notes et ne sont pas soumis au droit d'opposition, mais les garanties relatives au routage IA et aux transferts décrites au § 8 leur sont applicables.
• Garantie de l'article 22 du RGPD : chaque note d'essai passe par une révision professorale avant retour au LMS ; aucune décision produisant des effets juridiques ou similairement significatifs n'est donc prise sur le seul fondement d'un traitement automatisé au sens de l'article 22, paragraphe 1. Les garanties prévues à l'article 22, paragraphes 2(a) (nécessité contractuelle) et 2(c) (consentement explicite) sont respectées : la notation IA est configurée par votre instructeur, vous pouvez vous y opposer comme indiqué au point précédent, et vous pouvez toujours demander une notation strictement humaine.

8. Transferts internationaux de données

La base de données principale d'Atlas est hébergée dans l'Union européenne (Neon, eu-central-1). Nos inférences IA s'appuient sur des prestataires en région UE ; lorsque des données sont transférées hors EEE, nous indiquons explicitement les garanties applicables, car le chapitre V du RGPD l'exige :

• Les plongements vectoriels (modèle OpenAI text-embedding-3-small) sont routés via Azure-OpenAI-EU dans la région Sweden Central, sous notre locataire Microsoft : Microsoft héberge l'inférence à l'intérieur de l'EU Data Boundary, tout transfert hors EEE étant encadré par les Clauses Contractuelles Types européennes (DPA Microsoft Online Services).
• La notation des essais, le tuteur IA, les fiches de révision, la génération de questions et les autres tâches de contenu utilisent Google Vertex AI (modèles Gemini pris en charge) dans la multi-région UE. Tout transfert hors EEE est encadré par les Clauses Contractuelles Types européennes (DPA Google Cloud). Anthropic Claude a été mis hors service en juin 2026 et n'est plus utilisé.
• L'OCR sur PDF scannés et la génération de cartes de connaissances utilisent Mistral AI, UE par défaut (Suède en primaire, Irlande en secours) ; certaines fonctionnalités peuvent transférer hors EEE sous Clauses Contractuelles Types européennes (Module 4) selon le DPA de Mistral.

Tout transfert hors EEE repose sur les décisions d'adéquation de la Commission européenne, sur les Clauses Contractuelles Types ou sur le cadre EU-US Data Privacy Framework, complétés par des engagements contractuels de non-conservation lorsqu'ils sont proposés et par l'épinglage en région UE de notre base de données principale (Neon) et des inférences IA prises en charge. Voir le registre complet des sous-traitants pour la région et le mécanisme de transfert de chaque prestataire.

9. Cookies et technologies similaires

Atlas utilise un nombre volontairement minimal de cookies et d'éléments de stockage navigateur. Nous n'utilisons aucun cookie publicitaire, marketing ou de profilage comportemental — pas de Google Analytics, pas de pixel Meta / Facebook, pas de HubSpot, Mixpanel ni Hotjar. Tous nos cookies étant strictement nécessaires, exemptés au titre de l'article 82 de la LCEN, ou régis par un intérêt légitime documenté assorti d'un droit d'opposition, nous n'affichons pas de bannière de consentement aux cookies. Le tableau ci-dessous remplace l'information qu'une bannière aurait fournie.

Comment contrôler ces éléments : déconnectez-vous pour supprimer le cookie de session NextAuth. Effacez le stockage navigateur pour supprimer le cookie de locale. Pour vous opposer aux traitements fondés sur l'intérêt légitime (Vercel + Sentry), écrivez à hello@wynexlabs.studio avec pour objet « Opt-out analytique ».

10. Notification de violation de données

En cas de violation de données à caractère personnel, nous notifions l'autorité de contrôle compétente (la CNIL pour la France) dans un délai de 72 heures, conformément à l'article 33 du RGPD. Si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informons directement, conformément à l'article 34.

11. Contact et réclamations

Pour toute demande relative à la protection des données, vous pouvez contacter notre référent à l'adresse hello@wynexlabs.studio. Vous disposez également du droit d'introduire une réclamation auprès de votre autorité de contrôle locale — en France, il s'agit de la CNIL (Commission Nationale de l'Informatique et des Libertés).