En bref : TomIA aide votre enfant à apprendre. Pour cela, nous traitons les données strictement nécessaires au tutorat, en France et en Europe autant que possible. Nous ne vendons jamais vos données, nous ne diffusons aucune publicité, et vous gardez le contrôle : consultation, correction et suppression sur simple demande.

1. Qui est responsable de vos données ?

Le responsable du traitement est Victor Lenain, entrepreneur individuel, éditeur de l'application TomIA (voir les mentions légales). Pour toute question relative à vos données personnelles ou pour exercer vos droits : contact@tomai.fr.

2. Quelles données collectons-nous ?

Compte parent : nom, prénom, adresse e-mail et mot de passe (stocké sous forme hachée). Si vous choisissez la connexion Google : prénom, nom et adresse e-mail transmis par Google.

Compte enfant :prénom, nom, identifiant de connexion choisi par le parent, niveau scolaire et date de naissance. Aucune adresse e-mail n'est demandée à l'enfant.

Contenus d'apprentissage :les messages échangés avec le tuteur, les photos et documents d'exercices envoyés, les messages vocaux et leur transcription, ainsi que les cartes de révision générées.

Personnalisation pédagogique :un profil d'apprentissage (points forts, difficultés, style d'apprentissage préféré), des résumés de sessions de travail conservés 90 jours, et la progression de révision.

Connexion Pronote (optionnelle) :si vous l'activez, les identifiants de connexion sont stockés chiffrés (AES-256-GCM). Les devoirs, notes et emplois du temps restent sur l'appareil de votre enfant : ils ne sont jamais stockés sur nos serveurs, et ne sont transmis à l'IA que le temps de préparer une réponse.

Données techniques :adresse IP et type de navigateur lors des connexions (sécurité du compte), données d'abonnement.

Site vitrine :votre adresse e-mail si vous vous inscrivez à la liste d'attente ou nous contactez.

3. Pourquoi, et sur quelle base légale ?

• Fournir le service de tutorat (compte, conversations, révisions) — exécution du contrat.
• Personnaliser la pédagogie(profil d'apprentissage, mémoire des sessions) — exécution du contrat ; voir la section 4 ci-dessous.
• Créer et gérer le compte d'un enfant— consentement du titulaire de l'autorité parentale et, conjointement, de l'enfant (article 45 de la loi Informatique et Libertés pour les moins de 15 ans).
• Connexion Pronote — consentement, activable et désactivable à tout moment.
• Facturation et abonnement — exécution du contrat et obligation légale (conservation comptable).
• Sécurité du service (journaux de connexion, limitation de débit) — intérêt légitime.
• Liste d'attente et contact — consentement.

4. Le profil d'apprentissage, expliqué simplement

Pour adapter ses explications, TomIA note au fil des conversations ce que l'élève maîtrise et ce qui lui pose des difficultés (par exemple « à l'aise en géométrie, fractions à consolider »). Ce profil sert uniquement à ajuster le tutorat. Il n'est jamais utilisé à des fins publicitaires, jamais partagé avec l'établissement scolaire, et ne produit aucune décision automatisée ayant un effet juridique (article 22 du RGPD). Vous pouvez le consulter ou demander son effacement à tout moment.

Pour toi, élève :Tom retient ce que tu sais déjà bien faire et ce qui est encore difficile, pour mieux t'expliquer. Personne d'autre ne voit ces notes, et tu peux demander à les effacer, toi-même ou avec tes parents.

5. Qui accède à vos données ?

Vos données ne sont jamais vendues ni louées, et nous ne diffusons aucune publicité. Elles sont traitées par les prestataires suivants, chacun limité à sa mission :

• Mistral AI(France) — modèles d'intelligence artificielle : traite les messages, photos d'exercices et transcriptions le temps de générer la réponse.
• Gladia (France) — transcription des messages vocaux.
• Scaleway (France, données stockées à Paris) — stockage des photos, documents et messages vocaux.
• Koyeb (Union européenne — Francfort) — hébergement du serveur applicatif et de la base de données.
• Qdrant— index des programmes scolaires officiels servant à la recherche pédagogique ; aucune donnée d'élève n'y est stockée.
• Vercel(États-Unis) — hébergement du site vitrine et de l'application web.
• RevenueCat(États-Unis) — gestion des abonnements : ne reçoit que des identifiants techniques pseudonymisés, jamais de nom ni d'adresse e-mail.
• Google — uniquement si vous choisissez la connexion Google.

6. Transferts hors de l'Union européenne

L'essentiel de vos données est traité en France et dans l'Union européenne. Les transferts vers les prestataires établis aux États-Unis (Vercel, RevenueCat) sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) ou, à défaut, par les clauses contractuelles types de la Commission européenne. Une copie de ces garanties peut être obtenue en écrivant à contact@tomai.fr.

7. Combien de temps conservons-nous vos données ?

• Compte et contenus d'apprentissage(messages, fichiers, profil, cartes de révision) : pendant l'utilisation du service, puis effacés dans un délai de 30 jours après la suppression du compte.
• Compte inactif : supprimé après 3 ans sans connexion, après relance par e-mail.
• Résumés de sessions de travail (mémoire pédagogique) : 90 jours.
• Sessions de connexion : 7 jours.
• Journaux techniques et de sécurité : 12 mois.
• Identifiants Pronote chiffrés: jusqu'à la déconnexion de Pronote ou la suppression du compte.
• Données de facturation : 10 ans (obligation comptable).

8. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, du droit de retirer votre consentement à tout moment, et du droit de définir des directives sur le sort de vos données après votre décès. L'enfant peut exercer ses droits lui-même ou par l'intermédiaire de ses parents.

Pour les exercer : contact@tomai.fr(réponse sous un mois ; une vérification d'identité pourra être demandée). Les comptes enfants peuvent être supprimés directement depuis l'espace parent de l'application ; la suppression du compte parent s'effectue sur demande à la même adresse. Vous pouvez également adresser une réclamation à la CNIL (cnil.fr).

9. Sécurité

Les échanges sont chiffrés (TLS). Les identifiants Pronote sont chiffrés en AES-256-GCM avec une dérivation de clé PBKDF2 à 600 000 itérations et un sel aléatoire par enregistrement. Le cache de l'application mobile est chiffré (ChaCha20-Poly1305) avec une clé conservée dans le stockage sécurisé du système (trousseau iOS / Keystore Android). Les cookies de session sont protégés (httpOnly, secure) et l'accès aux données d'un enfant est strictement réservé à son parent.

10. Protection des mineurs

TomIA est conçu pour des élèves mineurs, sous le contrôle de leurs parents : le compte enfant est créé par le parent, et pour les enfants de moins de 15 ans le traitement repose sur le consentement conjoint du parent et de l'enfant (article 45 de la loi Informatique et Libertés). Aucune publicité n'est diffusée, aucun profil n'est exploité à des fins commerciales, et l'information destinée aux élèves est rédigée en langage simple, conformément aux recommandations de la CNIL sur les droits numériques des mineurs.

11. Évolution de cette politique

En cas de modification substantielle de cette politique, vous serez informé par e-mail ou via l'application avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.