Politique de confidentialité

Dernière mise à jour : [À COMPLÉTER : date].

La présente politique décrit comment IBPrep collecte, utilise et protège les données personnelles de toute personne qui accède à la plateforme, crée un compte, souscrit un abonnement ou échange avec notre équipe, conformément au Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et à la loi Informatique et Libertés.

1. Responsable du traitement

Le responsable du traitement est l'éditeur d'IBPrep, identifié dans les mentions légales : [À COMPLÉTER : raison sociale et adresse du responsable du traitement]. Pour toute demande : [À COMPLÉTER : e-mail du DPO ou du contact responsable des traitements].

2. Données collectées

Selon vos interactions avec la plateforme, nous collectons :

Données de compte : nom, prénom, adresse e-mail, numéro de téléphone (facultatif), mot de passe (stocké uniquement sous forme hachée), école, niveau d'études, parcours et stages déclarés, URL LinkedIn (si renseignée), photo de profil, et, si vous choisissez la connexion LinkedIn, les éléments de votre profil LinkedIn que vous autorisez (identifiant OpenID, nom, adresse e-mail, photo).
Données de paiement : traitées par Stripe, notre prestataire de paiement (adresse e-mail, pays de facturation, montant, offre souscrite, identifiant de transaction, preuve d'acceptation des conditions générales de vente). Nous ne stockons jamais le numéro de carte bancaire.
Données de parcours : progression dans les modules, scores aux quiz et au Training, série de jours consécutifs, interactions communautaires.
Données d'usage des membres connectés : lorsque vous êtes connecté, les pages que vous consultez et certaines actions que vous effectuez sur la plateforme (par exemple ouvrir un retour d'entretien du Forum, une fiche de membre de la Communauté, filtrer ou consulter des offres, cliquer sur un lien de candidature) sont enregistrées et rattachées à votre compte. Ce suivi sert à mesurer l'usage réel du service, à l'améliorer et à afficher la dernière activité des membres (indicateur « En ligne » de la messagerie).
Données de navigation : date et heure d'accès, pages consultées, adresse IP tronquée avant tout enregistrement (nous ne conservons pas l'adresse IP complète), pays déduit de l'infrastructure d'hébergement, type d'appareil et de navigateur, source du trafic (paramètres UTM, page référente).
Données de profil professionnel : si vous nous avez communiqué l'adresse de votre profil LinkedIn, notre équipe consulte ce profil et en reprend les informations professionnelles qui y figurent : poste actuel, expériences et stages (entreprise, intitulé, dates), formations, langues. Ces informations proviennent donc de LinkedIn et non d'une saisie de votre part. Nous ne reprenons ni vos contacts, ni vos messages, ni vos publications, ni les informations d'autres personnes. Elles complètent votre fiche de membre et sont visibles des autres membres dans la Communauté, sauf si vous masquez votre profil de l'annuaire. Vous pouvez les corriger à tout moment depuis votre profil.
Messagerie entre membres : les demandes, messages et réponses que vous échangez avec d'autres membres (y compris dans les groupes d'école ou de promotion), vos disponibilités pour aider d'autres membres, ainsi que les blocages et signalements que vous effectuez. Ces contenus sont visibles des participants de la conversation. Notre équipe peut consulter les demandes et les signalements depuis le back-office, pour la modération, la sécurité des échanges et la réorientation d'une demande restée sans réponse vers un autre membre.
Journal des e-mails : pour chaque e-mail envoyé par la plateforme (coaching, événements, opportunités, messagerie, comptes rendus internes), nous conservons une trace : destinataire, objet, contenu, date, statut d'envoi et, le cas échéant, l'erreur rencontrée. Ce journal sert au support, à la vérification des envois et à éviter les doublons.
Enregistrement des calls de coaching : les calls de coaching réalisés dans la salle de la plateforme sont enregistrés (audio seulement), ce qui est annoncé à l'entrée de la salle (« Ce call est enregistré »). L'enregistrement est ensuite transcrit, et un compte rendu est produit par intelligence artificielle à partir de cette transcription. Enregistrement, transcription et compte rendu sont accessibles au coach et à l'équipe, pour assurer le suivi de votre accompagnement.
Appels avec notre équipe : lorsque vous participez à un appel avec notre équipe, l'appel peut être transcrit et un compte rendu peut être ajouté à votre fiche de contact. [À COMPLÉTER : confirmer les appels concernés et l'information donnée aux participants]

3. Finalités et bases légales

Finalité	Base légale
Fournir le service, créer et gérer votre compte, suivre votre progression	Exécution du contrat (art. 6.1.b RGPD)
Encaisser le paiement, émettre les factures et conserver la preuve d'acceptation des CGV	Exécution du contrat et obligation légale (art. 6.1.b et 6.1.c)
Vous envoyer des e-mails liés au service (confirmation, abonnement, notifications pédagogiques, coaching, événements, opportunités, messagerie) et en garder une trace	Exécution du contrat (art. 6.1.b) et intérêt légitime (art. 6.1.f) pour le journal des envois
Vous envoyer des communications marketing	Consentement (art. 6.1.a), que vous pouvez retirer à tout moment par le lien de désinscription présent dans chaque e-mail
Mesurer l'audience et l'usage de la plateforme, y compris l'usage des membres connectés	Intérêt légitime (art. 6.1.f) : comprendre et améliorer l'usage réel du service, avec IP tronquée et sans profilage publicitaire
Faire fonctionner la messagerie entre membres, la modérer et traiter les signalements	Exécution du contrat (art. 6.1.b) et intérêt légitime (art. 6.1.f) : sécurité des échanges entre membres
Prévenir la fraude, les abus et les incidents de sécurité	Intérêt légitime (art. 6.1.f)
Enregistrer et transcrire les calls de coaching et en produire un compte rendu, pour le suivi de votre accompagnement	[À COMPLÉTER : base légale à valider par un juriste : l'enregistrement est annoncé à l'entrée de la salle, sans option pour le refuser]
Transcrire les appels avec notre équipe	[À COMPLÉTER : base légale à valider par un juriste]
Compléter et tenir à jour votre profil professionnel à partir de votre profil LinkedIn, pour l'annuaire de la Communauté et la mise en relation entre membres	Intérêt légitime (art. 6.1.f) : faire fonctionner un réseau d'entraide fiable entre membres. Vous pouvez vous y opposer à tout moment en écrivant à l'adresse indiquée à l'article 1 ou en retirant votre lien LinkedIn de votre profil

4. Destinataires et sous-traitants

Vos données ne sont pas revendues. Elles sont partagées uniquement avec les prestataires techniques nécessaires au service, liés par des engagements contractuels conformes au RGPD :

Supabase : base de données, authentification, stockage de fichiers et temps réel de la messagerie.
LinkedIn : uniquement si vous choisissez de vous connecter avec LinkedIn (authentification OpenID).
Stripe : traitement des paiements et de la facturation.
Vercel : hébergement de l'application et exécution des traitements serveur (adresse IP et indicateurs techniques de navigation).
OpenAI : extraction et structuration d'informations à partir de textes (compte rendu d'un call de coaching ou d'un appel, descriptif d'offre, correction de quiz). Conformément aux conditions de l'API d'OpenAI, ces données ne sont pas utilisées pour entraîner ses modèles.
Anthropic (Claude) : outil d'assistance utilisé par notre équipe pour lire votre profil LinkedIn et en structurer les informations professionnelles. Conformément aux conditions commerciales d'Anthropic, ces données ne sont pas utilisées pour entraîner ses modèles.
VdoCipher : diffusion sécurisée des vidéos de cours (jeton de lecture éphémère).
GoHighLevel : CRM et envoi des e-mails transactionnels et marketing (coordonnées, historique d'achats, tags de parcours).
Daily : salle de visioconférence des calls de coaching, enregistrement audio et lancement de la transcription.
Deepgram : transcription des enregistrements des calls de coaching, par l'intermédiaire de Daily.
Granola : transcription des appels avec notre équipe.
Google (Drive) : archivage des transcriptions d'appel dans un espace dédié à notre équipe.
[À COMPLÉTER : vérifier cette liste avec les services réellement activés pour IBPrep]

5. Transferts hors Union européenne

Plusieurs de nos prestataires sont établis hors de l'Union européenne, notamment aux États-Unis (Vercel, Stripe, OpenAI, Anthropic, GoHighLevel, Daily, Deepgram, Granola, Google). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision d'exécution 2021/914) et, pour les prestataires éligibles, par leur certification au cadre « EU–US Data Privacy Framework ». Vous pouvez obtenir une copie des garanties applicables à un prestataire en écrivant à l'adresse indiquée à l'article 1.

6. Durées de conservation

Données de compte et de parcours : [À COMPLÉTER : durée (par exemple durée de l'abonnement puis 3 ans après la dernière activité)].
Données de profil professionnel : conservées avec vos données de compte et mises à jour périodiquement ; supprimées dès que vous retirez votre lien LinkedIn ou que vous vous opposez à ce traitement.
Messagerie entre membres : supprimée avec votre compte ; [À COMPLÉTER : durée de conservation des conversations et des signalements].
Journal des e-mails : [À COMPLÉTER : durée de conservation].
Données d'usage et de navigation : [À COMPLÉTER : durée de conservation].
Données de facturation : 10 ans, au titre des obligations comptables.
Enregistrements, transcriptions et comptes rendus des calls de coaching : [À COMPLÉTER : durée de conservation].
Transcriptions et comptes rendus des appels avec notre équipe : [À COMPLÉTER : durée de conservation].

7. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, du droit de retirer votre consentement à tout moment (sans effet rétroactif) et du droit de définir des directives relatives au sort de vos données après votre décès. Vous pouvez les exercer en écrivant à l'adresse indiquée à l'article 1. Une pièce d'identité pourra être demandée en cas de doute sur l'identité du demandeur.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), www.cnil.fr.

8. Cookies et traceurs

ib_visitor : cookie de mesure d'audience posé par notre serveur, HTTP-only, durée 13 mois, qui permet de reconnaître un même navigateur d'une visite à l'autre. L'adresse IP associée est tronquée avant tout enregistrement.
Cookies de session Supabase (préfixe sb-) : déposés uniquement si vous êtes connecté, pour maintenir votre session.
Cookies Stripe : déposés par Stripe sur son propre domaine lorsque vous accédez à la page de paiement.
[À COMPLÉTER : liste complète des cookies (préférences, autres traceurs éventuels) et dispositif de consentement si des cookies non strictement nécessaires sont utilisés]