Date de la version : 26 octobre 2026
La présente Politique explique, en termes simples, quelles données AI STEP collecte, pourquoi, qui d'autre les voit, combien de temps nous les conservons et ce que vous pouvez exiger de nous à tout moment.
Nous sommes un service ukrainien. La présente Politique est régie par le droit de l'Ukraine — en particulier la loi de l'Ukraine « Sur la protection des données personnelles », la loi de l'Ukraine « Sur le commerce électronique », la loi de l'Ukraine « Sur la protection des droits des consommateurs » et la loi de l'Ukraine « Sur le droit d'auteur et les droits voisins ». Si vous vous trouvez dans l'Espace économique européen ou au Royaume-Uni, le RGPD vous est applicable en complément, et nous décrivons vos droits au titre du RGPD ci-dessous.
Le présent texte français est une traduction fournie pour la commodité des utilisateurs internationaux. En cas de divergence, la version ukrainienne de la présente Politique prévaut juridiquement.
1.1. Le responsable du traitement est l'entrepreneur individuel (FOP) Riasna Sofiia Volodymyrivna (numéro d'identification fiscale 3872001402, Ukraine), qui exploite AI STEP — ci-après « nous », « notre », « AI STEP ».
1.2. Contacts pour toute question, demande ou plainte relative aux données : support@aistep.app. Écrivez à cette adresse e-mail pour tout ce qui concerne vos données — c'est le canal le plus rapide et celui que nous surveillons. Nous n'avons pas désigné de délégué à la protection des données (DPO) distinct : les demandes sont traitées directement par le propriétaire du service.
1.3. Ce qu'est le service, afin que vous compreniez pourquoi nous avons besoin de chaque donnée. AI STEP est un produit en ligne — un service web et une application mobile pour iOS et Android — pour apprendre à travailler avec les outils d'IA dans votre emploi, votre propre entreprise et vos activités complémentaires, accessible par abonnement. Il comprend : un programme d'apprentissage certifiant composé de cours sur les outils d'IA (au 13 octobre 2026 : 28 cours et 828 leçons ; chaque leçon est une courte tâche pratique dans une fenêtre de chat, avec une explication et une vérification) ; des certificats d'achèvement ; un Mentor IA (chat) ; des outils IA (prompts prêts à l'emploi pour une publication, un e-mail, un plan de contenu et similaires) ; et le suivi de la progression et de la série. Tout cela ne s'ouvre qu'avec un abonnement actif, y compris pendant une période d'essai.
1.4. Nous sommes un produit éducatif et nous ne garantissons aucun revenu. Nous enseignons des compétences. Nous ne promettons, ne garantissons ni ne prévoyons aucun gain, bénéfice, client ou emploi. Votre résultat dépend de vos propres efforts, de vos compétences et du marché. Tous les chiffres que vous voyez dans les leçons ou le marketing sont des illustrations, et non une promesse.
1.5. Un certificat d'achèvement dans AI STEP est un badge interne du service confirmant que vous avez terminé un cours au sein d'AI STEP. Ce n'est pas un diplôme accrédité ni un document d'enseignement reconnu par l'État. Nous stockons le fait de l'achèvement dans notre base de données, et rien de plus. Chaque certificat a un numéro et un code QR qui mène à une page publique de vérification ; cette page indique uniquement si le numéro est valide, le cours et la date de délivrance — pas votre nom.
1.6. Le service est destiné aux adultes, 18+. C'est un produit payant portant sur le travail, la gestion de sa propre entreprise et les activités complémentaires, et nous ne ciblons pas les mineurs ni ne les inscrivons sciemment.
1.7. Les paiements sur le site web par les clients en Ukraine sont encaissés directement via WayForPay (acquisition ukrainienne, cartes Visa / Mastercard), et nous traitons nous-mêmes les questions de facturation et les remboursements de ces paiements. Pour les clients hors d'Ukraine, les commandes sur le site web sont traitées par notre revendeur en ligne Paddle.com, Merchant of Record de ces commandes : Paddle encaisse le paiement, émet le reçu et assure le service client et les remboursements les concernant. Paddle traite les données de paiement en tant que vendeur officiel distinct selon son propre avis de confidentialité (paddle.com/legal/privacy). Selon votre pays, le vendeur officiel est Paddle.com Inc. (États-Unis), Paddle.com (Canada) Ltd. (Canada) ou Paddle.com Market Limited (reste du monde). Pour afficher le prix dans votre devise et calculer les taxes, Paddle reçoit votre adresse IP lors du paiement. Ce que Paddle reçoit de nous et ce que nous recevons de Paddle est indiqué dans le tableau du point 5.1.
1.8. Lorsque vous achetez dans l'application pour iOS ou Android, l'achat est effectué via le système d'achats intégrés de l'App Store (Apple) ou de Google Play (Google). Le paiement est traité par Apple ou Google, nous ne recevons jamais vos données de carte, et notre serveur vérifie le reçu d'achat auprès de la boutique pour ouvrir votre accès. Un abonnement acheté de cette manière est géré et résilié dans les paramètres d'abonnement de votre identifiant Apple ou de votre compte Google, et les remboursements le concernant suivent les règles de la boutique concernée. Les données que nous recevons à propos d'un tel achat, et pourquoi, sont décrites au point 5.8.
2.1. Nous ne collectons que ce dont le produit a réellement besoin. Voici la liste complète.
| Données | Quand elles sont collectées | Pourquoi nous en avons besoin | Base juridique |
|---|---|---|---|
| Réponses au questionnaire — sexe, tranche d'âge, nom, objectif, outils d'IA que vous connaissez, expérience, temps par jour, orientation de revenus et autres réponses sur votre travail et votre apprentissage | Lorsque vous parcourez le questionnaire d'intégration, avant ou après l'inscription | Pour construire votre plan et fixer votre rythme d'apprentissage quotidien. Toutes les réponses sont conservées sur votre appareil. Lorsque vous laissez votre e-mail, l'application envoie à notre serveur une requête qui peut inclure d'autres réponses au questionnaire, mais nous n'en stockons que votre nom, la clé technique de l'objectif et le segment technique : nous utilisons l'objectif pour choisir quels e-mails envoyer si vous avez accepté de les recevoir. Le serveur ne stocke pas les autres réponses (y compris celles concernant les revenus) | Mesures prises à votre demande avant la conclusion d'un contrat (avant l'existence d'un compte) / exécution du contrat (une fois que vous avez un compte) — art. 6(1)(b) du RGPD |
| Dans le formulaire de prospect et lors de l'inscription | Connexion au compte et identification, messages de service (accès, paiement, abonnement, réinitialisation du mot de passe) ; si vous laissez votre e-mail sans cocher la case marketing, un seul message de service avec votre plan ; avec un consentement distinct — des e-mails marketing. Le consentement est une case à cocher qui n'est pas précochée, et les e-mails marketing ne commencent qu'après que vous avez confirmé votre adresse avec le bouton de notre e-mail de confirmation | Exécution du contrat ; consentement pour le marketing — art. 6(1)(b), 6(1)(a) du RGPD | |
| Preuve du consentement marketing — l'heure à laquelle vous avez coché la case, la version du texte affiché à côté, le pays de la requête (déduit de la connexion réseau, et non de ce que vous saisissez) et l'heure à laquelle vous avez confirmé votre adresse | Lorsque vous cochez la case et lorsque vous appuyez sur le bouton de confirmation | Pour démontrer que vous avez consenti et quand, pour n'envoyer des e-mails marketing qu'aux adresses confirmées, et pour démontrer qu'une désinscription a été respectée | Obligation légale de démontrer le consentement ; intérêt légitime à se défendre contre des réclamations — art. 7(1), 6(1)(c), 6(1)(f) du RGPD |
| Nom | Dans le questionnaire (champ obligatoire) ou lorsque vous modifiez votre profil | Pour nous adresser à vous dans le service et sur le badge de certificat | Exécution du contrat — art. 6(1)(b) du RGPD |
| Données du compte, y compris le mot de passe sous forme de hachage | Lors de l'inscription et à chaque connexion | Authentification et sécurité du compte. Le mot de passe est stocké uniquement sous forme de hachage et est géré par Supabase Auth — nous ne voyons ni ne stockons jamais votre mot de passe en clair | Exécution du contrat ; intérêt légitime à la sécurité — art. 6(1)(b), 6(1)(f) du RGPD |
| Progression d'apprentissage et série — leçons ouvertes et terminées, résultats des quiz, cours terminés, jours de série | Pendant que vous utilisez le service | Pour reprendre l'apprentissage là où vous vous êtes arrêté, conserver la progression et la série, délivrer le badge d'achèvement | Exécution du contrat — art. 6(1)(b) du RGPD |
| Statut de l'abonnement et historique des paiements — date, montant, forfait, statut de la transaction, type de carte, les 4 derniers chiffres du numéro de carte, le pays de la banque émettrice ; pour un achat dans l'application pour iOS/Android — les données d'achat que nous recevons de la boutique : identifiants, produit, dates, statut, prix et devise (point 5.8). Jamais le numéro de carte complet, la date d'expiration ni le CVV | À chaque paiement, renouvellement, résiliation ou remboursement | Pour ouvrir et maintenir votre accès, gérer et arrêter le renouvellement automatique, traiter les remboursements, respecter les obligations comptables et fiscales | Exécution du contrat ; obligation légale — art. 6(1)(b), 6(1)(c) du RGPD |
| Solde et mouvements de crédits ✦ — le nombre de crédits mensuels et achetés, la date jusqu'à laquelle les crédits mensuels sont valables, un registre des crédits ajoutés et dépensés (date, montant, motif : ajoutés avec le forfait, pack acheté, fonctionnalité d'IA utilisée, remboursement ; une référence technique, sans le texte de vos requêtes) | Lorsque vous utilisez les fonctionnalités d'IA, recevez des crédits avec votre forfait ou achetez un pack de crédits | Pour afficher le solde, dépenser les crédits pour les fonctionnalités d'IA dans le bon ordre, rembourser la valeur des crédits non utilisés, régler les litiges | Exécution du contrat — art. 6(1)(b) du RGPD |
| Journal des achats — ce qui a exactement été acheté (un pack de crédits, un cours, un certificat), l'identifiant de la transaction, le montant et la devise, la date, le statut (accordé ou remboursé), le nombre de crédits accordés | Lorsque vous achetez un pack de crédits, un cours ou un certificat (sur le site web — via le service de paiement, dans l'application — via l'App Store ou Google Play) | Pour accorder ce que vous avez acheté sans l'accorder deux fois, le révoquer en cas de remboursement, tenir la comptabilité et les obligations fiscales, traiter les remboursements et les litiges | Exécution du contrat ; obligation légale — art. 6(1)(b), 6(1)(c) du RGPD |
| Enregistrement de votre consentement lors du paiement sur le site web — l'heure, la version des Conditions, le montant du premier débit, le montant et la période du renouvellement, la date du premier renouvellement, le texte décrivant le produit sur la page de paiement, le numéro de commande, l'adresse IP, le type de navigateur, les langues du navigateur, le fuseau horaire de l'appareil, le pays déduit de l'adresse IP (et, lorsque l'application les transmet, également le texte de la phrase à côté du bouton et le libellé du bouton). Aucune donnée de carte | Lorsque vous mettez en place un paiement sur le site web (un abonnement ou un achat ponctuel) | Pour montrer à votre banque ou au système de paiement ce qui vous a été affiché et ce que vous avez accepté si un paiement est contesté ; pour nous défendre contre des réclamations | Intérêt légitime à se défendre contre des réclamations et à démontrer le consentement — art. 6(1)(f), 7(1) du RGPD |
| Invitations d'amis (si le programme « Inviter un ami » est actif) — votre code d'invitation, le lien entre les comptes du parrain et de la personne invitée, la récompense accordée | Lorsque vous partagez votre code ou saisissez le code d'un ami | Pour accorder l'essai et les récompenses au titre de la section 24 des Conditions. Le parrain ne voit que le nombre de personnes invitées et le nombre de celles qui ont commencé à payer — pas de noms, d'e-mails ni de paiements | Exécution du contrat — art. 6(1)(b) du RGPD |
| Textes de vos requêtes à l'IA — ce que vous écrivez au Mentor IA et dans les outils IA | Au moment où vous envoyez une requête | Pour générer la réponse : le texte de la conversation en cours est transmis au fournisseur du modèle (point 5.1). Votre historique de chat est stocké uniquement sur votre appareil. Sur notre serveur, le texte d'une requête est traité pour être transmis au fournisseur du modèle et n'est pas stocké. L'exception est un signalement concernant une réponse : la question et la réponse, avec le motif et votre commentaire (si vous en avez écrit un), sont enregistrés avec le signalement et supprimés avec votre compte | Exécution du contrat — art. 6(1)(b) du RGPD |
| Images créées par le Mentor IA à votre demande | Lorsque vous demandez au Mentor IA de générer une image | Pour vous afficher l'image dans le chat. Les images sont conservées dans notre stockage (Supabase, UE) tant que votre compte existe et sont supprimées avec lui. Une image porte une étiquette lisible par machine indiquant qu'elle a été créée par l'IA si le fournisseur du modèle en a ajouté une | Exécution du contrat — art. 6(1)(b) du RGPD |
| Données Telegram (uniquement si vous avez lié notre bot vous-même) — identifiant du chat, nom d'utilisateur, date de liaison, vos messages au bot | Lorsque vous liez le bot via un lien depuis le service ou un e-mail, et lorsque vous lui écrivez | Pour vous envoyer des messages dans Telegram sur votre plan, le prix et les offres, et pour répondre à vos messages. Pour délier le bot, envoyez-lui « stop » ou bloquez-le | Consentement — art. 6(1)(a) du RGPD |
| Langue de l'interface | Lorsque vous choisissez une langue ou au premier chargement | Pour afficher le service dans votre langue et transmettre le code de langue au fournisseur d'IA afin que la réponse revienne dans cette langue | Exécution du contrat — art. 6(1)(b) du RGPD |
| Paramètres de notification — quelles notifications vous souhaitez (rappels de leçons, progression, offres) et l'heure du rappel ; sur le site web, si vous avez autorisé les notifications dans votre navigateur — l'abonnement push (l'adresse de livraison délivrée par le service push de votre navigateur et ses clés de chiffrement), le fuseau horaire, la langue et le type de navigateur | Lorsque vous activez ou modifiez les notifications | Pour n'envoyer que les notifications que vous avez autorisées, à votre heure locale, et ne pas envoyer les types que vous avez désactivés. Dans les applications iOS et Android, les rappels sont programmés sur votre appareil par son système d'exploitation : nous ne recevons aucun jeton push, et l'heure du rappel reste sur l'appareil (point 5.9) | Consentement — art. 6(1)(a) du RGPD : vous activez les notifications vous-même et pouvez les désactiver à tout moment |
| Événements d'utilisation du produit — par exemple l'ouverture d'une leçon, la fin d'un quiz, l'arrivée sur l'écran de paiement, la résiliation d'un abonnement | Pendant que vous utilisez le service | Pour voir où le produit dysfonctionne ou déroute les gens et y remédier ; pour détecter les abus. Notre analytique nous est propre, stockée dans notre propre base de données | Intérêt légitime — art. 6(1)(f) du RGPD |
| Journaux techniques — adresse IP, type de navigateur | Automatiquement, à chaque requête vers le service, du côté de Supabase / du fournisseur d'hébergement. En outre, lorsque vous laissez votre e-mail dans un formulaire, l'adresse IP de cette requête est enregistrée dans notre base de données avec l'événement | Fourniture du service, protection contre les attaques et les abus (y compris les inscriptions massives depuis une même adresse), enquête sur les incidents | Intérêt légitime — art. 6(1)(f) du RGPD |
| Rapports de plantage et d'erreur — type d'erreur, trace de la pile, version de l'application, version du système d'exploitation / du navigateur, un identifiant d'installation aléatoire (le même que dans nos événements analytiques). Pas d'adresse IP, pas d'en-têtes de requête, pas d'e-mail | Automatiquement, lorsque l'application plante ou qu'une erreur se produit | Pour trouver et corriger les défaillances. Les rapports ne contiennent ni nom, ni e-mail, ni adresse IP | Intérêt légitime — art. 6(1)(f) du RGPD |
2.2. Nous ne constituons pas de profils cachés au-delà de ce qui est énuméré ci-dessus, et nous n'enrichissons pas votre dossier avec des données achetées à des tiers.
2.3. Abonnement, renouvellement automatique et remboursements — ce que nous indiquons et quand. Il s'agit de conditions contractuelles plutôt que de conditions de confidentialité, mais elles expliquent les données de paiement ci-dessus, c'est pourquoi nous les énonçons ici aussi.
2.3.1. Le prix du forfait, la période de facturation et le fait que l'abonnement se renouvelle automatiquement vous sont indiqués avant le paiement, sur l'écran de paiement. Sur le site web, l'accès d'essai coûte ₴149 pour 3 jours puis se renouvelle automatiquement au prix du forfait sélectionné ; dans l'application pour iOS/Android, le prix et les conditions de tout essai sont ceux affichés par la boutique avant l'achat. Les prix actuels des forfaits (hebdomadaire, mensuel, annuel, avec et sans la promotion) sont toujours affichés avant le paiement.
2.3.2. Vous pouvez résilier à tout moment, vous-même : Profil → « Abonnement » → « Résilier l'abonnement » (pour un abonnement acheté dans l'application pour iOS/Android — dans les paramètres d'abonnement de votre identifiant Apple ou de votre compte Google). Pas d'appels, pas de lettres, pas d'explications requises. Après la résiliation, votre accès est maintenu jusqu'à la fin de la période que vous avez déjà payée.
2.3.3. Les remises sur le site web sont réelles (les applications pour iOS et Android n'ont ni roue des remises ni offre finale) : le prix promotionnel s'applique actuellement à tous les nouveaux abonnés, la roue des remises s'arrête toujours sur la remise la plus élevée de la plage 5–30 % et cette remise est réellement appliquée, et l'offre finale à la sortie est une offre réelle.
2.3.4. Remboursements des paiements sur le site web : dans les 14 jours suivant le paiement, nous remboursons à votre demande, sans demander de justification, à condition que vous n'ayez pas consommé une partie substantielle du contenu. Un achat dans l'application pour iOS/Android est remboursé par la boutique selon ses règles (voir la Politique de remboursement). Passé ce délai, les remboursements suivent la loi applicable. Le remboursement est effectué par le même moyen que celui que vous avez utilisé pour payer, au plus tard 14 jours à compter du jour où nous recevons votre demande — généralement plus vite. Nous le disons ouvertement : écrire à support@aistep.app est plus rapide et plus simple que d'ouvrir un litige de rétrofacturation (chargeback) auprès de votre banque, et nous préférons régler la question directement avec vous.
3.1. Exécution du contrat (art. 6(1)(b) du RGPD ; la loi de l'Ukraine « Sur la protection des données personnelles » et la loi de l'Ukraine « Sur le commerce électronique ») — création et gestion de votre compte, accès aux programmes, cours et leçons, enregistrement de la progression et de la série, fonctionnement du Mentor IA et des outils IA, gestion de l'abonnement, traitement des paiements et des remboursements, envoi de messages de service concernant votre accès et votre facturation. La même base couvre les mesures prises à votre demande avant la conclusion d'un contrat : nous traitons les réponses au questionnaire que vous donnez avant de vous inscrire afin de vous présenter un plan et une offre.
3.2. Intérêt légitime (art. 6(1)(f) du RGPD) — maintenir la sécurité du service, prévenir la fraude et l'abus de l'accès d'essai, vérifier qu'un achat intégré appartient à votre compte et n'est pas utilisé par un autre, enquêter sur les incidents et améliorer le produit à l'aide d'événements d'utilisation agrégés. Lorsque nous nous appuyons sur l'intérêt légitime, vous pouvez vous y opposer — voir le point 9.
3.3. Consentement (art. 6(1)(a) du RGPD) — la newsletter marketing, les notifications (point 5.9), les messages de notre bot Telegram si vous l'avez lié, et — si nous les connectons — les partenaires publicitaires et analytiques qui ne se chargent qu'après que vous les avez acceptés dans la bannière de consentement (point 5.6). Pour la newsletter marketing, le consentement est une case à cocher distincte qui n'est pas précochée, et la newsletter ne commence qu'après que vous avez confirmé votre adresse avec le bouton de notre e-mail de confirmation ; nous en conservons la preuve (point 2.1). Le consentement est volontaire, son refus ne bloque pas votre accès au produit payant, et vous pouvez le retirer à tout moment : pour la newsletter — avec le lien de désinscription présent dans chaque e-mail marketing ou un message à support@aistep.app ; pour le bot — en lui envoyant « stop » ; pour les partenaires — avec le lien « Paramètres des cookies » en pied de page du site. Le retrait n'affecte pas les traitements déjà effectués.
3.4. Obligation légale (art. 6(1)(c) du RGPD) — conservation des enregistrements de paiement et comptables pendant les durées requises par la législation comptable et fiscale ukrainienne, et réponse aux demandes légales des autorités.
4.1. Nous ne recevons ni ne stockons jamais votre numéro de carte, sa date d'expiration ni son CVV. Les données de carte sont saisies du côté de WayForPay (site web, clients en Ukraine), sur la page de paiement Paddle (site web, clients hors d'Ukraine) ou du côté de l'App Store / Google Play (achat dans l'application pour iOS/Android) et sont traitées par ce prestataire de paiement. De WayForPay, nous recevons et conservons : le numéro et le statut de la transaction, le montant, la date, le type de carte, les 4 derniers chiffres du numéro de carte, le pays de la banque émettrice, le motif de refus (le cas échéant) et l'identifiant de paiement récurrent. Nous en avons besoin pour la comptabilité, les remboursements, les litiges de carte et la prévention de la fraude, et nous les conservons aussi longtemps que les enregistrements comptables (point 6.2). Nous ne recevons jamais le numéro de carte complet, la date d'expiration ni le CVV. Pour un achat intégré, nous recevons le reçu d'achat de la boutique. De Paddle, nous recevons les identifiants de la transaction et de l'abonnement, le statut, le montant et la devise, le pays, la date du prochain débit, le type de moyen de paiement et les 4 derniers chiffres du numéro de carte.
4.2. Nous ne demandons pas et ne collectons pas intentionnellement de données de « catégorie particulière » — santé, origine raciale ou ethnique, opinions religieuses ou politiques, appartenance syndicale, vie sexuelle, données biométriques ou génétiques. Aucune fonctionnalité du produit n'en a besoin.
4.3. Veuillez ne pas mettre dans le chat IA : des informations médicales ou de diagnostic, vos coordonnées bancaires ou financières, des mots de passe, des numéros de documents ou des données personnelles d'autres personnes (clients, collègues, famille). Le Mentor IA est un outil d'apprentissage, et non un coffre-fort sécurisé, et le texte que vous envoyez devient partie d'une requête à un fournisseur d'IA externe (voir le point 5).
4.4. Avertissement sur l'IA — lisez ceci avant de vous fier à une réponse de l'IA. Les réponses du Mentor IA et les résultats des outils IA sont générés automatiquement. Ils peuvent être inexacts, obsolètes ou entièrement inventés, y compris des faits, des chiffres, des noms et des liens qui paraissent assurés. Vérifiez toujours tout ce qui est important avant d'agir en conséquence. L'IA ne donne pas de conseils médicaux, juridiques ou financiers, et elle ne doit pas être traitée comme telle. Ne vous fiez pas aux résultats de l'IA pour prendre des décisions qui concernent d'autres personnes.
4.5. Accès à votre appareil. L'application n'accède pas à l'appareil photo, au microphone, aux fichiers, aux contacts ni à votre position précise, et ne lit pas vos photos. Les étapes de leçon telles que « appuyez sur l'appareil photo » ou « partagez votre écran » sont des simulations à l'intérieur de la leçon qui montrent comment fonctionne l'outil réel. Les autorisations système que l'application peut demander sont : l'autorisation d'afficher des notifications — pas au premier lancement, mais après votre première leçon et seulement si vous choisissez d'activer les notifications après notre propre écran d'explication ; et, si vous le choisissez, l'autorisation d'ajouter l'image du certificat à Photos (ajout uniquement — l'application ne peut pas lire vos photos), qu'iOS demande lorsque vous choisissez vous-même « enregistrer » dans le menu de partage.
5.1. Voici la liste complète des destinataires. Chaque destinataire ne traite les données que pour la finalité indiquée dans le tableau et est tenu de les protéger à un niveau au moins égal à celui décrit dans la présente Politique : les sous-traitants — par leurs conditions de traitement des données conclues avec nous (y compris les clauses contractuelles types de la Commission européenne lorsque les données quittent l'EEE) ; les responsables du traitement indépendants (Apple, Google, Telegram, et les systèmes publicitaires et analytiques s'ils sont connectés — point 5.6) ainsi que Paddle, qui traite les données de paiement en tant que vendeur officiel pour les clients hors d'Ukraine — par leurs propres politiques de confidentialité.
| Destinataire | Ce qu'il reçoit | Pourquoi | Où a lieu le traitement |
|---|---|---|---|
| Supabase (Postgres, Auth, Edge Functions) | Comptes et hachages de mots de passe, statut de l'abonnement et historique des paiements, progression d'apprentissage et série, prospects, événements analytiques, signalements concernant les réponses de l'IA (avec la question et la réponse), images créées par le Mentor IA, journaux techniques (IP, navigateur) | Notre base de données, notre authentification et nos fonctions serveur — le stockage central du service | Hébergement dans l'UE (Francfort) |
| WayForPay — lorsque vous payez sur le site web en tant que client en Ukraine | Les données de carte que vous saisissez sur leur page (nous ne les voyons pas), le montant de la transaction, la devise, le forfait et le statut | Traitement des paiements, débits récurrents, remboursements, obligations d'acquisition | Ukraine |
| Paddle (Paddle.com Inc., Paddle.com (Canada) Ltd., Paddle.com Market Limited) — lorsque vous payez sur le site web en tant que client hors d'Ukraine | Les données de paiement et de carte que vous saisissez sur la page de paiement Paddle (nous ne les voyons pas), votre e-mail, votre pays et votre adresse IP (pour afficher le prix dans votre devise et calculer les taxes), le forfait, le montant et la devise. De notre part — un identifiant interne de votre compte AI STEP et le forfait que vous avez choisi. Ce que nous recevons de Paddle — point 4.1 | Merchant of Record des commandes hors d'Ukraine : traitement des paiements, factures et reçus, taxes, débits récurrents, remboursements et service client pour ces commandes | Royaume-Uni, États-Unis ou Canada, selon l'entité Paddle — voir la section 7. Paddle traite les données de paiement en tant que vendeur officiel distinct selon son propre avis de confidentialité (paddle.com/legal/privacy) |
| Apple (App Store) et Google (Google Play) — lorsque vous achetez dans l'application pour iOS/Android | Les données de paiement et de carte que vous saisissez du côté de la boutique (nous ne les voyons pas). De notre part — un identifiant interne de votre compte AI STEP (un code aléatoire sans votre nom ni votre e-mail) afin que l'achat soit lié à votre compte. Ce que nous recevons de la boutique — point 5.8 | Traitement des achats intégrés, des renouvellements, des résiliations et des remboursements ; notre serveur vérifie l'achat auprès de la boutique pour ouvrir et maintenir votre accès | Infrastructure d'Apple / de Google, éventuellement hors de l'EEE — voir le point 7. Pour le paiement lui-même, Apple et Google agissent en tant que responsables du traitement indépendants selon leurs propres politiques de confidentialité |
| OpenAI (actuellement) et/ou Anthropic | Uniquement le texte de la conversation en cours (vos messages et les réponses précédentes — au maximum les 20 derniers messages, en tant que contexte) et la langue de l'interface ; pour une image — le texte de la requête. OpenAI vérifie également votre dernier message avec son filtre de modération avant que la réponse ne soit générée. Pas de nom, pas d'e-mail, pas de données de paiement, pas d'identifiants de l'appareil, pas de géolocalisation | Pour générer la réponse du Mentor IA et les résultats des outils IA, et pour bloquer les requêtes interdites | Éventuellement hors de l'EEE — voir le point 7 |
| Sentry (Functional Software, Inc.) — surveillance des plantages | Rapports de plantage et d'erreur : type d'erreur, trace de la pile, version de l'application, version du système d'exploitation / du navigateur, un identifiant d'installation aléatoire (le même que dans nos événements analytiques). Pas d'adresse IP, pas d'en-têtes de requête ni de cookies, pas d'e-mail : l'envoi des données personnelles par défaut est désactivé, et les clés présentes dans les liens ainsi que les adresses e-mail sont retirées du texte du rapport avant son envoi | Pour être informés des plantages et des erreurs, les regrouper et les corriger. Nous n'envoyons pas à Sentry votre nom, votre e-mail ni votre adresse IP | Région UE (Francfort) ; la société exploitante est établie aux États-Unis, un accès depuis ce pays est donc possible — voir le point 7 |
| Resend — acheminement des e-mails | Votre adresse e-mail, l'objet et le texte de l'e-mail, les événements de livraison (livré, ouvert, lien cliqué, rejeté, marqué comme spam) | Pour envoyer les e-mails de service (confirmation d'inscription, réinitialisation du mot de passe, accès, paiement, abonnement) et — avec votre consentement distinct — la newsletter ; pour savoir si un e-mail est arrivé | Éventuellement hors de l'EEE, y compris aux États-Unis — voir le point 7 |
| Hetzner Online GmbH — hébergement du site web | Données techniques des requêtes vers aistep.app (adresse IP, type de navigateur, heure de la requête) — dans le cadre du fonctionnement du serveur web et de ses journaux ; sauvegardes chiffrées de la base de données | Hébergement du site web et de l'application dans le navigateur, protection contre les abus, conservation des sauvegardes | Allemagne (UE) |
| GitHub (Microsoft) — seconde copie de la sauvegarde | Un fichier chiffré contenant une sauvegarde de la base de données (conservé jusqu'à 30 jours) | Une seconde copie en cas de défaillance de notre infrastructure principale | États-Unis ; éventuellement hors de l'EEE — voir le point 7 |
| Namecheap (Private Email) — boîte aux lettres d'assistance | Les e-mails que vous envoyez à support@aistep.app (votre adresse, l'objet, le texte et les pièces jointes) et nos réponses | Pour recevoir vos messages et y répondre | États-Unis ; éventuellement hors de l'EEE — voir le point 7 |
| Telegram — uniquement si vous avez lié notre bot vous-même | Identifiant du chat et nom d'utilisateur, les messages du bot à votre attention et vos messages au bot (nous les transmettons à notre équipe d'assistance dans Telegram avec votre nom et votre e-mail afin de pouvoir vous répondre) | Acheminement des messages du bot et réponse aux vôtres | Infrastructure de Telegram, éventuellement hors de l'EEE — voir le point 7. Telegram agit en tant que responsable du traitement indépendant selon sa propre politique de confidentialité |
| CDN de Google (CanvasKit) — site web uniquement | Les données techniques inhérentes à toute requête de fichier par un navigateur — adresse IP, type de navigateur | Fourniture du moteur de rendu CanvasKit et des polices de substitution afin que l'interface web s'affiche correctement | CDN mondial de Google |
| Le service push de votre navigateur (Google, Mozilla, Apple ou Microsoft, selon le navigateur) — site web uniquement, si vous avez autorisé les notifications | L'adresse de livraison de votre abonnement push et la notification elle-même, chiffrée de sorte que le service push ne puisse pas la lire | Acheminement des notifications web vers votre navigateur | Infrastructure de l'éditeur du navigateur, éventuellement hors de l'EEE — voir le point 7 |
5.2. La police principale de l'interface est intégrée localement à l'application, et nous ne connectons pas le service Google Fonts. Sur le site web, en revanche, votre navigateur charge les fichiers du moteur de rendu (CanvasKit) et, si nécessaire, des polices de substitution depuis le CDN de Google ; Google voit votre adresse IP et le type de navigateur, comme pour toute requête (tableau ci-dessus, point 7). Notre analytique produit nous est propre et réside dans notre propre base de données ; les réseaux publicitaires et analytiques tiers ne sont pas connectés pour le moment — voir le point 5.6.
5.3. Nous ne vendons de données personnelles à personne, nous ne les louons pas et nous ne les échangeons pas contre des services.
5.4. Nous ne transmettons pas vos conversations avec l'IA pour l'entraînement de modèles d'IA. Nous envoyons une requête au fournisseur d'IA pour vous obtenir une réponse, et c'est la seule finalité de ce transfert.
5.5. Nous pouvons divulguer des données lorsqu'une loi de l'Ukraine nous y oblige — par exemple, une demande légale d'un tribunal ou d'une autorité publique agissant dans le cadre de ses pouvoirs. Nous ne divulguons que ce qui est effectivement exigé.
5.6. Systèmes publicitaires et analytiques tiers.
5.6.1. Pour le moment, nous ne connectons pas de systèmes publicitaires ou analytiques tiers au site web ni aux applications (tels que le pixel Meta, Google Analytics, Google Ads ou TikTok) et nous ne leur envoyons aucune de vos données.
5.6.2. Si nous décidons de les connecter, nous mettrons d'abord à jour la présente Politique (section 13) et ne les connecterons qu'après que vous aurez appuyé sur « Accepter » dans la bannière de consentement : sans votre consentement, leur code n'est pas chargé et rien ne leur est envoyé. Nous ne leur transmettrons pas vos réponses au questionnaire, vos conversations avec le Mentor IA, votre mot de passe ni vos données de paiement.
5.6.3. La bannière de consentement fonctionne déjà : les boutons « Accepter » et « Refuser » sont de taille et de poids égaux, et votre choix est mémorisé. Vous pouvez le modifier à tout moment : lien « Paramètres des cookies » en pied de page du site → « Refuser ».
5.7. Le fournisseur du modèle : consentement dans l'application, et où fonctionne le chat. Dans l'application iOS et Android, avant votre premier message au Mentor IA, nous demandons séparément votre consentement explicite à l'envoi du texte de vos requêtes au fournisseur du modèle — OpenAI et/ou Anthropic (point 5.1). La base juridique du traitement lui-même reste l'exécution du contrat (point 3.1). Le Mentor IA n'est pas disponible dans les pays et régions où les fournisseurs de modèles ne proposent pas leur service. Pour éviter d'ouvrir le chat là où les fournisseurs de modèles n'opèrent pas, le fuseau horaire de votre appareil est envoyé à notre serveur avec la requête ; nous ne le stockons pas dans votre compte et ne le lions pas à vous.
5.8. Achats dans l'App Store et Google Play.
5.8.1. Le paiement est encaissé par Apple ou Google. Pour les données de paiement (carte, adresse de facturation, historique des paiements dans la boutique), ils agissent en tant que responsables du traitement indépendants selon leurs propres politiques de confidentialité ; nous ne recevons jamais vos données de carte.
5.8.2. Pour lier l'achat à votre compte AI STEP, l'application transmet à la boutique un identifiant interne de votre compte — un code aléatoire qui ne contient ni votre nom ni votre e-mail.
5.8.3. Notre serveur vérifie chaque achat auprès de la boutique via l'App Store Server API (Apple) et la Google Play Developer API (Google), et reçoit des notifications serveur des boutiques (App Store Server Notifications ; notifications développeur en temps réel de Google Play acheminées via Google Cloud Pub/Sub) concernant les renouvellements, les résiliations, les problèmes de facturation et les remboursements — afin que votre accès soit correct même lorsque l'application est fermée.
5.8.4. De la boutique, nous recevons et stockons : les identifiants d'achat et de transaction (l'identifiant de transaction d'origine sur l'App Store, le jeton d'achat et le numéro de commande sur Google Play), le produit (forfait), les dates d'achat, de renouvellement et d'expiration, le statut du renouvellement automatique et le statut de l'abonnement (essai, actif, résilié, délai de grâce, expiré, remboursé), l'environnement (achat réel ou de test), et — pour les renouvellements et les remboursements — le prix et la devise tels que communiqués par la boutique. Google peut également mettre à notre disposition, dans la Google Play Console et ses rapports, les détails de la commande ainsi que le pays et le code postal de l'acheteur ; nous ne les utilisons que pour la comptabilité, les impôts, les remboursements et les litiges. Les rapports de ventes d'Apple ne vous identifient pas.
5.8.5. Bases juridiques : exécution du contrat — pour ouvrir et maintenir votre accès (art. 6(1)(b) du RGPD) ; obligation légale — enregistrements comptables et fiscaux (art. 6(1)(c)) ; intérêt légitime — vérifier qu'un achat appartient à votre compte et n'est pas utilisé par un autre (art. 6(1)(f)).
5.8.6. Conservation — voir le point 6.8. La suppression de votre compte AI STEP ne résilie pas l'abonnement de boutique (point 10.4).
5.9. Notifications et rappels.
5.9.1. Dans les applications iOS et Android, les rappels de leçons sont des notifications locales : l'application les programme sur votre appareil via le système d'exploitation. Nous ne recevons pas de jeton push, et l'heure du rappel est stockée uniquement sur l'appareil. L'autorisation système d'afficher des notifications n'est demandée qu'après notre propre écran d'explication, et l'application fonctionne pleinement sans elle.
5.9.2. Votre choix de types de notifications (rappels, progression, offres) est stocké sur l'appareil et sur notre serveur avec votre compte ou l'identifiant anonyme de votre appareil, afin que nous ne vous envoyions pas les types que vous avez désactivés. Les offres sont désactivées jusqu'à ce que vous les activiez vous-même.
5.9.3. Sur le site web, si vous autorisez les notifications dans votre navigateur, nous stockons l'abonnement push (l'adresse de livraison délivrée par le service push de votre navigateur et ses clés de chiffrement), votre fuseau horaire, votre langue et le type de navigateur, liés à votre compte ou à votre e-mail ; les notifications sont acheminées via le service push de votre navigateur (point 5.1).
5.9.4. Vous pouvez désactiver les notifications à tout moment — dans Profil → « Notifications » (sans abonnement actif — « Compte » → « Notifications »), ou dans les paramètres de votre appareil ou de votre navigateur.
6.1. Compte, progression d'apprentissage, série et badges de certificat — tant que votre compte existe. Si vous supprimez le compte, nous les supprimons (voir le point 10).
6.2. Enregistrements de paiement et comptables — pendant les durées requises par la législation comptable et fiscale ukrainienne (en règle générale, au moins 1,095 (mille quatre-vingt-quinze) jours à compter du dépôt de la déclaration fiscale pour laquelle ils ont été utilisés — point 44.3 du Code fiscal de l'Ukraine). Nous ne pouvons pas les supprimer plus tôt, même à votre demande, car leur conservation est une obligation légale ; à l'expiration du délai légal, ils sont supprimés.
6.3. Prospects (un e-mail, un nom, ainsi que la clé technique de l'objectif et le segment laissés sans inscription) — jusqu'à ce que vous retiriez votre consentement ou vous désinscriviez, après quoi nous retirons l'e-mail de la base d'envoi. Un prospect sans compte et sans activité est supprimé automatiquement après 24 mois. La preuve du consentement marketing (point 2.1) est conservée tant que votre e-mail figure dans la base d'envoi.
6.4. Textes des requêtes à l'IA — votre historique de chat est stocké uniquement sur votre appareil. Sur notre serveur, le texte d'une requête est traité pour être transmis au fournisseur du modèle et n'est pas stocké. L'exception est un signalement concernant une réponse : la question et la réponse sont enregistrées avec le signalement et supprimées avec votre compte. Du côté du fournisseur d'IA, la durée de conservation d'une requête transmise est régie par la propre politique de ce fournisseur, et non par la nôtre.
6.5. Journaux techniques — conservés pendant une courte période opérationnelle du côté de Supabase et de Hetzner (nos fournisseurs d'hébergement) et renouvelés automatiquement. L'adresse IP que nous enregistrons dans notre base de données avec un événement lorsque vous laissez votre e-mail dans un formulaire est conservée 7 jours.
6.6. Événements d'utilisation — conservés dans notre base de données tant qu'ils restent utiles aux décisions produit ; ils sont liés à votre compte et sont supprimés ou dé-identifiés lors de la suppression du compte.
6.7. Rapports de plantage et d'erreur — conservés du côté de Sentry pendant une durée de conservation limitée définie dans le projet (90 jours par défaut), puis supprimés automatiquement. Ils ne contiennent ni nom, ni e-mail, ni adresse IP, il n'y a donc rien à supprimer séparément lorsque vous supprimez votre compte.
6.8. Données relatives aux achats dans l'App Store et Google Play — l'enregistrement de l'abonnement (identifiants, forfait, dates, statut) est conservé tant que votre compte existe et est supprimé avec lui ; les enregistrements des renouvellements et des remboursements sont conservés en tant qu'enregistrements comptables (point 6.2) et, après la suppression du compte, ne sont plus liés à vous.
6.9. Données de notification — vos choix de notification sont conservés tant que votre compte (ou votre e-mail dans notre base d'envoi) existe ; un abonnement push de navigateur est désactivé lorsque vous désactivez les notifications ou lorsque le service push de votre navigateur signale qu'il n'est plus valide, et il est supprimé avec le compte auquel il est lié.
6.10. Crédits ✦ — le solde et le registre des crédits sont conservés tant que votre compte existe et sont supprimés avec lui.
6.11. Journal des achats (packs de crédits, cours, certificats : ce qui a été acheté, l'identifiant de la transaction, le montant, la date, le statut) — il s'agit d'enregistrements comptables, dont la durée est fixée par la législation comptable et fiscale (point 6.2) ; après la suppression du compte, l'enregistrement demeure sans aucun lien avec vous.
6.12. Enregistrement de votre consentement lors du paiement sur le site web — 3 ans après le dernier débit (pour une commande jamais payée, 3 ans à compter de la date de l'enregistrement). Lorsque vous supprimez votre compte, le lien entre l'enregistrement et le compte est retiré, mais l'adresse IP, le type de navigateur et le numéro de commande (qui contient l'identifiant interne du compte) sont conservés jusqu'à la fin de cette période : l'enregistrement est pseudonymisé, et non anonymisé.
6.13. Sauvegardes — une fois par semaine, nous effectuons une sauvegarde chiffrée de la base de données ; les copies sont conservées sur notre serveur (Hetzner) et sous forme de fichier de service dans GitHub pendant 30 jours au maximum. Après la suppression de votre compte, vos données disparaissent des sauvegardes au fur et à mesure de leur remplacement, dans un délai d'environ 30 jours.
7.1. Notre base de données et nos fonctions serveur sont hébergées dans l'UE (Francfort) par Supabase. Le site web est hébergé sur un serveur Hetzner en Allemagne (UE).
7.2. Les fournisseurs d'IA (OpenAI, Anthropic) peuvent traiter le texte de la requête transmise hors de l'EEE, y compris aux États-Unis. Pour ces transferts, nous nous appuyons sur les mécanismes juridiques disponibles en vertu du RGPD et du droit ukrainien — une décision d'adéquation lorsqu'elle couvre le destinataire, ou les clauses contractuelles types (CCT) de la Commission européenne figurant dans les conditions de traitement des données du fournisseur.
7.3. Quel que soit le mécanisme, nous appliquons la minimisation : seuls le texte de la conversation en cours et la langue de l'interface sont transmis au fournisseur d'IA (point 5.1), et tout transite par une connexion TLS chiffrée.
7.4. Sentry (rapports de plantage), Resend (acheminement des e-mails), GitHub (la sauvegarde chiffrée), Namecheap (la boîte aux lettres d'assistance), le service push de votre navigateur (notifications web, si vous les avez autorisées), lorsque vous payez sur le site web en tant que client hors d'Ukraine — Paddle, et — lorsque vous achetez dans l'application pour iOS/Android — Apple et Google peuvent également traiter des données hors de l'EEE, y compris aux États-Unis, sur les fondements décrits au point 7.2 : les clauses contractuelles types (CCT) figurant dans les conditions du fournisseur et/ou la décision d'adéquation au titre du cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework) lorsque le fournisseur y est certifié. Un rapport de plantage ne contient ni adresse IP, ni e-mail, ni autre identifiant direct (point 5.1). Telegram ne reçoit des données qu'après que vous avez lié le bot vous-même et les traite en tant que responsable du traitement indépendant selon sa propre politique de confidentialité, éventuellement aussi hors de l'EEE. Si vous ne souhaitez pas ce transfert, ne liez pas le bot, ou envoyez-lui « stop ».
8.1. La sécurité au niveau des lignes (Row Level Security, RLS) est activée dans notre base de données : les règles sont écrites de sorte que les requêtes d'un utilisateur n'atteignent que les lignes de cet utilisateur — votre progression et votre abonnement.
8.2. Les clés privées et les clés d'API résident uniquement sur le serveur (Supabase Edge Functions) et ne sont jamais transmises au navigateur ni intégrées à l'application cliente.
8.3. Chiffrement en transit — tout le trafic entre votre navigateur, notre service et nos sous-traitants passe par TLS.
8.4. Les mots de passe sont stockés uniquement sous forme de hachages, gérés par Supabase Auth. Personne de notre côté ne peut lire votre mot de passe.
8.5. L'accès est limité — l'accès administratif aux données de production n'est accordé qu'aux personnes qui en ont besoin pour l'assistance, la facturation et l'exploitation, et uniquement dans la mesure nécessaire.
8.6. Honnêtement : la sécurité absolue n'existe pas. Aucun service ne peut promettre que les données ne seront jamais compromises. Ce que nous pouvons promettre, c'est la minimisation, les mesures ci-dessus, et le fait que si une violation susceptible d'affecter vos droits se produit, nous vous en informerons ainsi que l'autorité de contrôle compétente, comme la loi l'exige.
9.1. Vous avez le droit :
9.1.1. de savoir et d'accéder — obtenir la confirmation des données vous concernant que nous traitons et en recevoir une copie ;
9.1.2. de rectification — corriger des données inexactes ou incomplètes (nom, e-mail, réponses au questionnaire) ;
9.1.3. d'effacement — faire supprimer vos données, à l'exception de celles que nous devons conserver en vertu de la loi (point 6.2) ;
9.1.4. à la limitation du traitement — par exemple pendant la résolution d'un litige sur l'exactitude ;
9.1.5. à la portabilité des données — recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine ;
9.1.6. d'opposition — au traitement fondé sur notre intérêt légitime, et à tout moment au marketing ;
9.1.7. de retirer votre consentement — pour la newsletter, les notifications, le bot Telegram et les partenaires publicitaires et analytiques, à tout moment et sans explication ;
9.1.8. de ne pas faire l'objet d'une décision prise exclusivement de manière automatisée produisant des effets juridiques à votre égard — nous ne prenons aucune décision de ce type.
9.2. Comment les exercer : écrivez à support@aistep.app depuis l'adresse e-mail de votre compte (c'est ainsi que nous vérifions qu'il s'agit bien de vous) et décrivez ce que vous souhaitez. Rien de plus formel n'est nécessaire.
9.3. Dans quel délai nous répondons : dans les 30 jours, comme l'exige le droit ukrainien. Pour les demandes au titre du RGPD — dans un délai d'un mois, qui peut être prolongé de deux mois supplémentaires au maximum pour les demandes complexes ou nombreuses, auquel cas nous vous informerons de la prolongation et de son motif au cours du premier mois.
9.4. Réclamations. Écrivez à support@aistep.app avec l'objet « Réclamation relative aux données » : nous accuserons réception dans les 30 jours (généralement dans les 3 jours ouvrés) et vous communiquerons le résultat. Vous pouvez également, à tout moment et sans nous contacter au préalable, déposer une plainte auprès d'une autorité de contrôle : en Ukraine — le Commissaire aux droits de l'homme du Parlement ukrainien ; dans l'EEE — l'autorité de protection des données de votre pays ; au Royaume-Uni — l'Information Commissioner's Office (ICO), ico.org.uk.
10.1. Vous pouvez supprimer votre compte de trois manières : vous-même dans l'application (Profil → « Supprimer le compte » ; sans abonnement actif — le bouton « Compte » (icône de personne) en haut de l'écran de paiement → « Supprimer le compte »), sur la page aistep.app/delete-account, ou en envoyant une demande depuis l'e-mail de votre compte à support@aistep.app. Nous n'exigeons aucun motif.
10.2. Ce qui est supprimé : le compte et les données de connexion (y compris le hachage du mot de passe), votre nom, la progression d'apprentissage, la série et les badges de certificat internes, les réponses au questionnaire, vos signalements concernant les réponses de l'IA avec la question et la réponse, les images créées pour vous par le Mentor IA, la liaison du bot Telegram (identifiant du chat et nom d'utilisateur), vos paramètres de notification et les abonnements push de navigateur liés à votre compte, l'enregistrement de votre abonnement (y compris les identifiants d'un achat dans l'App Store ou Google Play), votre solde et votre registre de crédits ✦, votre droit aux cours et certificats achetés, vos données dans le programme « Inviter un ami », et le lien entre les événements d'utilisation et vous. Votre historique de chat est stocké uniquement sur votre appareil : il n'est pas sur notre serveur, et il est effacé de l'appareil lorsque vous vous déconnectez.
10.3. Ce qui est conservé : les enregistrements de paiement et comptables (date, montant, forfait, statut de la transaction ; pour les achats dans l'App Store et Google Play — les enregistrements des renouvellements et des remboursements) — nous sommes tenus de les conserver pendant les durées comptables et fiscales légales, sans lien avec vous, et ils sont supprimés à l'expiration de ces durées. Les enregistrements des achats ponctuels (ce qui a été acheté, l'identifiant de la transaction, le montant, la date, le statut) sont également conservés, sans aucun lien avec votre compte. L'enregistrement de votre consentement lors du paiement sur le site web (point 2.1) perd son lien avec le compte lorsque vous le supprimez, mais est conservé jusqu'à la fin de la période prévue au point 6.12 (pseudonymisé). Les sauvegardes qui contiennent encore vos données sont remplacées automatiquement dans un délai d'environ 30 jours (point 6.13). Les données déjà transmises à un fournisseur d'IA sous forme de requête sont conservées du côté de ce fournisseur selon sa propre politique.
10.4. Un abonnement actif. Un abonnement acheté sur le site web est arrêté par nous lorsque vous supprimez votre compte : aucun débit supplémentaire n'est effectué. Un abonnement acheté dans l'application pour iOS/Android, nous ne pouvons pas l'arrêter — résiliez-le dans les paramètres d'abonnement de votre identifiant Apple ou de votre compte Google, sinon la boutique continuera à vous débiter. La suppression du compte ne rembourse pas en soi un paiement ; pour les remboursements, voir le point 2.3.4.
11.1. Ce que le service conserve dans votre navigateur est ce dont il a besoin pour fonctionner. Les cookies publicitaires et analytiques tiers sont distincts et ne se chargent qu'après votre consentement (point 5.6) : tant que vous n'avez pas appuyé sur « Accepter », ils ne sont pas déposés.
11.2. Stocké localement dans votre navigateur (localStorage / similaire) et de notre côté dans le cadre de votre compte :
11.2.1. réponses au questionnaire — pour que le parcours et le chemin d'apprentissage survivent à un rechargement de la page ;
11.2.2. progression d'apprentissage — pour qu'une leçon s'ouvre là où vous l'avez laissée ;
11.2.3. langue de l'interface — pour qu'on ne vous la redemande pas à chaque visite ;
11.2.4. l'état d'affichage des offres — pour qu'une promotion, la roue des remises ou l'offre finale ne vous soit pas montrée encore et encore ;
11.2.5. la session d'authentification — techniquement nécessaire, gérée par Supabase Auth ; sans elle, vous seriez déconnecté à chaque chargement de page ; 11.2.6. votre réponse à la bannière de consentement — pour que nous ne vous la redemandions pas à chaque visite et qu'un refus soit mémorisé ;
11.2.7. votre historique de chat avec le Mentor IA — conservé uniquement sur votre appareil (dans le navigateur ou l'application) pour que vous puissiez consulter les conversations précédentes ; il n'est pas sur notre serveur et est effacé lorsque vous vous déconnectez ;
11.2.8. dans les applications iOS et Android — la date et l'heure auxquelles vous avez accepté l'envoi de messages au fournisseur du modèle (point 5.7), vos choix de notification et l'heure du rappel (point 5.9).
11.3. Comment l'effacer : utilisez les paramètres de votre navigateur (effacement des données de site / cookies et stockage local pour notre domaine), ou le mode privé de votre navigateur. L'effacement vous déconnectera et pourra réinitialiser les réponses au questionnaire et les états d'offres stockés localement ; votre progression et votre abonnement restent en sécurité dans votre compte.
11.4. Le chargement du moteur de rendu CanvasKit depuis le CDN de Google implique une requête HTTP normale de votre navigateur vers Google, qui révèle par nature votre adresse IP et le type de navigateur à ce CDN. Il est nécessaire pour afficher l'interface.
12.1. AI STEP est destiné aux personnes âgées de 18 ans et plus. Nous ne collectons pas sciemment de données de mineurs et nous ne leur destinons pas le service.
12.2. Si vous pensez qu'une personne de moins de 18 ans a créé un compte, écrivez à support@aistep.app — nous vérifierons et supprimerons le compte ainsi que les données associées (à l'exception des enregistrements que la loi nous impose de conserver) ; pour les paiements sur le site web, nous remboursons l'argent (Conditions, point 4.3).
12.3. La classification par âge de l'application dans l'App Store et Google Play décrit son contenu ; elle ne modifie pas l'exigence d'âge du présent point : le service peut être utilisé à partir de 18 ans.
13.1. La présente Politique peut changer à mesure que le produit évolue — par exemple si nous ajoutons ou remplaçons un sous-traitant. La version en vigueur est toujours celle publiée dans le service, avec la date de version en haut.
13.2. Pour les modifications substantielles — nouvelles catégories de données, nouveau destinataire, nouvelle finalité — nous vous informerons à l'avance par e-mail et/ou par un avis dans le service, afin que vous puissiez les lire et décider.
13.3. Les corrections purement rédactionnelles (formulation, fautes de frappe, structure plus claire) entrent en vigueur dès leur publication avec une date de version mise à jour.
14.1. E-mail : support@aistep.app — accès, rectification, suppression, portabilité, opposition, retrait du consentement, questions de remboursement, signalements de sécurité. C'est le canal principal et le plus rapide.
14.2. Téléphone : +380 75 245 00 87 — le numéro de contact du responsable du traitement (point 14.3). Pour les paiements, les remboursements et les données personnelles, le canal principal et le plus rapide est l'e-mail ci-dessus : ainsi, chacun de nous conserve une trace écrite.
14.3. Responsable du traitement : entrepreneur individuel (FOP) Riasna Sofiia Volodymyrivna, numéro d'identification fiscale (RNOKPP) 3872001402, 08205, Ukraine, région de Kyiv, district de Boutcha, Irpin, rue Kobylianskoi Olhy, bâtiment 1v/9, appartement 16, téléphone +380 75 245 00 87.
14.4. Date de version de la présente Politique : 26 octobre 2026.
14.5. Point de contact unique pour les utilisateurs et pour les autorités, y compris aux fins du règlement de l'UE sur les services numériques (DSA) lorsqu'il nous est applicable : support@aistep.app. Nous acceptons les messages en ukrainien et en anglais, et nous répondons également en russe.