Politique de confidentialité

1. Qui sommes-nous ?

Le service accessible à l'adresse copilates.studio est édité par :

• Éditeur : COPILATES, société par actions simplifiée (SAS) au capital de 1 500 euros
• Immatriculation : 109 470 666 R.C.S. Bordeaux — numéro de TVA intracommunautaire FR80109470666
• Siège social : 29 rue des Écoles, 33200 Bordeaux
• Directeur de la publication : Bertrand Bougon
• Contact — protection des données : contact@copilates.studio
• Délégué à la protection des données (DPO) : Thibaud Marazano — contact@copilates.studio
• Hébergeur : Scalingo SAS, 13 rue Jacques Peirotes, 67000 Strasbourg — serveurs situés en France, dans les datacenters de 3DS Outscale en région parisienne.

2. Nos deux rôles : responsable de traitement et sous-traitant

Copilates n'intervient pas au même titre selon les données concernées. Cette distinction détermine à qui vous devez vous adresser pour exercer vos droits.

Les obligations réciproques entre Copilates et chaque studio (instructions, confidentialité, sécurité, sous-traitants ultérieurs, sort des données en fin de contrat, assistance) sont définies à l'article 10 des conditions générales d'utilisation applicables aux professeurs, qui vaut acte de sous-traitance au sens de l'article 28.3 du RGPD.

3. Pourquoi traitons-nous des données personnelles ?

Nous ne traitons de données personnelles que pour les finalités suivantes :

• Créer et gérer votre compte professeur et vous donner accès au service.
• Permettre au studio de gérer son activité : planning, catalogue de cours, tarifs, fiches élèves, réservations et portefeuilles de crédits.
• Permettre à un élève de consulter le planning de son studio, ses réservations et ses crédits.
• Gérer l'abonnement : souscription, paiement, facturation.
• Assurer la sécurité et le bon fonctionnement du service : authentification, journaux techniques, détection et correction des erreurs, prévention de la fraude.
• Répondre à vos demandes adressées à notre adresse de contact.

Nous ne procédons à aucune prospection commerciale, aucune mesure d'audience et aucune publicité. Vos données ne sont ni vendues, ni louées, ni cédées.

4. Quelles données traitons-nous ?

Trois précisions sur la minimisation des données :

• Aucun mot de passe n'est stocké. Les professeurs se connectent via leur compte Google, les élèves via un lien à usage unique envoyé par e-mail.
• La connexion Google ne nous transmet que votre adresse e-mail. Nous ne demandons aucune autre autorisation : ni votre nom, ni votre photo, ni vos contacts, ni votre agenda.
• Aucune donnée bancaire ne transite par nos serveurs. Les paiements sont intégralement traités par Stripe ; nous ne conservons ni numéro de carte, ni coordonnées bancaires.

5. Qu'est-ce qui nous autorise à traiter vos données ?

Chaque traitement repose sur l'une des bases légales de l'article 6 du RGPD :

• Exécution du contrat (art. 6.1.b) : création et gestion du compte, fourniture du service, gestion de l'abonnement.
• Obligation légale (art. 6.1.c) : conservation des pièces comptables et de facturation, conservation des données de connexion prévue par la loi pour la confiance dans l'économie numérique.
• Intérêt légitime (art. 6.1.f) : sécurité du service, prévention de la fraude, journaux techniques et correction des erreurs.

À ce jour, aucun traitement ne repose sur le consentement : nous n'envoyons pas de lettre d'information, ne déposons pas de cookie publicitaire et ne mesurons pas l'audience du site.

Pour les données des élèves, la base légale est déterminée par le studio responsable de traitement — le plus souvent l'exécution du contrat qui le lie à ses élèves. Copilates n'agit que sur ses instructions.

6. Pendant combien de temps conservons-nous vos données ?

À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

7. Qui peut avoir accès à vos données ?

• Le personnel habilité de Copilates, strictement limité aux personnes chargées de l'administration technique et du support, et dans la seule mesure nécessaire à leur mission.
• Votre studio, pour les données de ses propres élèves. Les données sont cloisonnées par studio : un studio n'accède jamais aux élèves d'un autre studio.
• Nos sous-traitants, listés à la section suivante, dans la limite de leur prestation.
• Les autorités, sur réquisition judiciaire ou administrative régulière.

En dehors de ces cas, vos données ne sont communiquées à aucun tiers.

8. Qui nous aide à traiter vos données ?

Authentification des professeurs. La connexion s'effectue via le service « Se connecter avec Google » de Google Ireland Limited. Google agit à ce titre comme responsable de traitement distinct, selon sa propre politique de confidentialité. Nous ne lui transmettons aucune donnée : c'est vous qui autorisez le partage de votre adresse e-mail.

Transferts hors Union européenne. Les données hébergées et les données des élèves restent en France, et notre projet de supervision est hébergé dans l'Union européenne. Seuls les traitements confiés à Stripe, et les accès de support de Sentry, peuvent impliquer un transfert hors de l'Union européenne. Ces transferts sont encadrés par les garanties appropriées prévues au chapitre V du RGPD : l'adhésion de Stripe, Inc. et de Functional Software, Inc. (Sentry) au cadre de protection des données UE—États-Unis et, à défaut d'application de celui-ci, les clauses contractuelles types de la Commission européenne.

9. Comment vos données sont-elles sécurisées ?

Conformément à l'article 32 du RGPD, nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des échanges : l'intégralité du trafic est chiffrée en HTTPS.
• Hébergement en France, chez un prestataire français, avec une base de données non exposée publiquement.
• Absence de mot de passe : l'authentification repose sur un fournisseur d'identité ou un lien à usage unique et à durée limitée, ce qui supprime tout risque de fuite de mots de passe.
• Sessions de courte durée : une session expire au bout d'une heure.
• Cloisonnement des données par studio : chaque requête est restreinte au studio de l'utilisateur connecté.
• Journaux d'erreurs sans données personnelles : notre outil de supervision est configuré pour ne pas collecter d'informations identifiantes par défaut.
• Sauvegardes : la base de données est sauvegardée chaque jour, avec une conservation de 7 jours pour les sauvegardes quotidiennes et de 4 semaines pour les sauvegardes hebdomadaires. Elles sont réalisées et conservées par notre hébergeur, en France.

10. Cookies et traceurs

Copilates ne dépose que des cookies strictement nécessaires au fonctionnement du service, dispensés de consentement préalable au titre de l'article 82 de la loi n° 78-17 du 6 janvier 1978. Aucun cookie de mesure d'audience, de suivi ou de publicité n'est déposé.

Ressource externe. Le module de détection des erreurs techniques est chargé depuis le réseau de diffusion de notre prestataire de supervision. Ce chargement ne dépose aucun cookie, mais transmet votre adresse IP à ce prestataire lors de l'affichage de la page.

11. Quels sont vos droits ?

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve de nos obligations légales de conservation.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition : vous opposer à un traitement fondé sur notre intérêt légitime, pour des raisons tenant à votre situation particulière.
• Droit à la limitation : demander le gel temporaire d'un traitement.
• Directives post mortem : définir le sort de vos données après votre décès (art. 85 de la loi n° 78-17).

12. Points particuliers

• Absence de décision automatisée. Vos données ne font l'objet d'aucune prise de décision automatisée ni d'aucun profilage au sens de l'article 22 du RGPD.
• Élèves mineurs. Copilates ne collecte jamais de données directement auprès d'un mineur. Lorsqu'un studio inscrit un élève mineur, il lui appartient, en qualité de responsable de traitement, de recueillir l'autorisation du titulaire de l'autorité parentale.
• Violation de données. En cas de violation de données personnelles, nous notifions la CNIL dans les 72 heures lorsque la réglementation l'exige, informons sans délai les studios dont les élèves sont concernés, et informons directement les personnes lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

13. Modification de la politique de confidentialité

Copilates se réserve le droit de modifier la présente politique à tout moment, notamment en cas d'évolution de la réglementation applicable ou du service. La date de dernière mise à jour figurant en haut de cette page est actualisée à chaque modification. En cas de modification substantielle, les professeurs disposant d'un compte en sont informés par un bandeau affiché dans l'application avant son entrée en vigueur.