Politique de confidentialité
Dernière mise à jour : 31 juillet 2026 — version 2.0
Cette politique explique quelles données personnelles nous collectons lorsque vous utilisez l'application Blabla Darija (app.blabla-darija.com), pourquoi nous les collectons, combien de temps nous les conservons et quels sont vos droits.
L'essentiel en bref :
- Nous collectons uniquement les données nécessaires au fonctionnement du service d'apprentissage.
- Vos données sont hébergées dans l'Union européenne (Francfort, Allemagne).
- Aucune donnée n'est vendue ni partagée à des fins publicitaires.
- Vous pouvez supprimer votre compte, exporter vos données et les réinitialiser directement depuis l'application.
- Aucun cookie publicitaire, aucun pixel de réseau social, aucun outil de suivi tiers. Un seul traceur est soumis à votre accord : celui qui retient quel partenaire vous a fait découvrir l'application, pour le rémunérer. Vous pouvez le refuser, sans rien perdre du service.
1. Responsable de traitement
Le responsable du traitement de vos données est :
Blabla language LLC, société à responsabilité limitée de droit américain (Limited Liability Company) constituée dans l'État du Nouveau-Mexique, enregistrée auprès du Secretary of State du Nouveau-Mexique sous le numéro 3062907, dont le siège social est situé 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, États-Unis.
Contact pour toute question relative aux données personnelles : privacy@blabla-darija.com.
Bien que l'éditeur soit établi aux États-Unis, le Règlement général sur la protection des données (RGPD) s'applique à nos traitements, car l'Application s'adresse notamment à des utilisateurs situés dans l'Union européenne (article 3.2 du RGPD). Nous appliquons les garanties du RGPD à l'ensemble de nos utilisateurs, quel que soit leur pays de résidence (France, Belgique, Maroc, Canada, États-Unis, etc.). Vos données restent par ailleurs hébergées dans l'Union européenne, dans un centre de données situé à Francfort (Allemagne) — voir les sections 3 et 4.
Représentant dans l'Union européenne (article 27 du RGPD)
L'éditeur étant établi hors de l'Union européenne tout en proposant ses services à des personnes qui s'y trouvent, l'article 27 du RGPD lui impose en principe de désigner un représentant établi dans l'Union, qui sert de point de contact aux autorités de contrôle et aux personnes concernées pour toute question relative au traitement de leurs données.
Représentant dans l'Union européenne : désignation en cours — ses coordonnées seront publiées sur cette page dès sa nomination. Dans l'intervalle, toute demande peut être adressée directement à privacy@blabla-darija.com.
2. Données collectées, finalités et bases légales
Nous ne collectons que les données strictement nécessaires. Le tableau ci-dessous présente, pour chaque catégorie de données, la finalité poursuivie, la base légale (article 6 du RGPD) et la durée de conservation.
| Donnée | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Email et mot de passe (le mot de passe est haché, jamais stocké en clair) | Création et gestion du compte, authentification, emails transactionnels (confirmation d'inscription, réinitialisation du mot de passe, fin de la période premium) | Exécution du contrat (CGU) | Durée de vie du compte. Compte inactif : suppression après 2 ans d'inactivité, précédée d'un email d'avertissement. Effacement immédiat via « Supprimer mon compte ». |
| Prénom ou pseudo | Personnalisation de l'application et de la messagerie | Exécution du contrat | Durée de vie du compte |
| Photo de profil (optionnelle) | Personnalisation du profil et de la messagerie professeur-élève | Consentement (envoi volontaire, supprimable à tout moment depuis le profil) | Jusqu'au retrait de la photo ou à la suppression du compte (le fichier est effacé du stockage) |
| Fuseau horaire | Calcul des échéances de révision (système Leitner : jours de révision calculés en jour calendaire local) et affichage des horaires | Exécution du contrat | Durée de vie du compte |
| Données d'apprentissage : état des boîtes Leitner par carte, mots maîtrisés, réponses aux exercices, missions complétées, niveau | Fourniture du service pédagogique, reprise de session, suivi de progression, accompagnement par le professeur | Exécution du contrat | Durée de vie du compte. Purge possible à tout moment via « Réinitialiser mes données ». Des statistiques agrégées et anonymisées (sans lien avec vous) peuvent être conservées sans limite. |
| Messages de la messagerie professeur-élève (contenu, horodatage) | Accompagnement pédagogique ; modération et sécurité des échanges | Exécution du contrat ; intérêt légitime (modération) | Durée de vie du compte ; suppression à la clôture du compte. En cas de signalement ou de litige : archivage intermédiaire d'un an maximum. |
| Statut de la période premium (7 jours offerts) : date d'activation, date de fin | Gestion de l'accès aux fonctionnalités premium offertes | Exécution du contrat | Durée de vie du compte |
| Logs techniques : adresse IP, navigateur (user-agent), événements d'authentification, erreurs | Sécurité, détection d'intrusion et d'abus, débogage | Intérêt légitime (sécurité du service) | 12 mois maximum, puis suppression ou anonymisation |
| Mesure d'audience interne (pages consultées, événements d'usage agrégés, sans cookie tiers ni identifiant publicitaire) | Statistiques de fréquentation et amélioration du service, pour le compte exclusif de l'éditeur | Intérêt légitime (mesure d'audience exemptée de consentement, critères CNIL) | Données brutes : 13 mois maximum ; données agrégées : 25 mois maximum |
| Demandes de support (email, contenu de la demande) | Assistance aux utilisateurs | Exécution du contrat ; intérêt légitime | 2 ans après la clôture de la demande |
| Sexe (homme / femme), demandé à l'inscription | Attribution du professeur référent (les cours et l'accompagnement sont assurés par un professeur du même sexe) et adaptation des formes grammaticales du darija, qui varient selon le sexe de la personne qui parle | Exécution du contrat | Durée de vie du compte |
| Données de paiement : identifiant client et identifiant d'abonnement Stripe, montant, date, statut, quatre derniers chiffres de la carte. Nous ne voyons ni ne stockons jamais votre numéro de carte complet, saisi directement sur les pages sécurisées de Stripe | Gestion de l'abonnement, facturation, suivi des échecs de paiement et des remboursements | Exécution du contrat ; obligation légale (comptabilité) | Durée de l'abonnement, puis 10 ans pour les pièces comptables (article L123-22 du code de commerce) |
| Inscription au webinaire gratuit : prénom, adresse email, date, et le cas échéant le partenaire qui vous a amené | Vous envoyer le lien du direct et le rappel, mesurer la fréquentation | Consentement (vous remplissez le formulaire volontairement) | 24 mois après le dernier contact, ou immédiatement sur simple demande |
| Réservation d'un direct en petit comité : date choisie, palier, présence | Organiser la session, prévenir le professeur, gérer les places | Exécution du contrat | Durée de vie du compte |
Affiliation — côté visiteur : cookie bbd-ref (code du partenaire, page d'entrée, date du clic), cookie bbd-vis (identifiant aléatoire de visite), puis, si vous créez un compte, le rattachement de ce compte au partenaire et le montant des paiements servant de base à sa commission |
Rémunérer la personne qui vous a fait découvrir Blabla Darija. Aucun profilage publicitaire, aucun suivi sur d'autres sites | Consentement (bannière affichée avant tout dépôt ; refus possible en un clic, sans conséquence sur le service) | Cookies : 6 mois à compter du clic. Rattachement et commissions : 2 ans à compter du premier paiement, puis 10 ans pour les pièces comptables |
| Affiliation — côté partenaire : nom, email, présentation, audience, taux personnel, coordonnées de paiement (IBAN, Revtag, email PayPal…), adresse de facturation, numéro de TVA, historique des commissions et des virements | Gérer le programme partenaire, calculer et verser les commissions, établir les justificatifs | Exécution du contrat (convention de partenariat) ; obligation légale (comptabilité) | Durée du partenariat, puis 10 ans pour les pièces comptables. Les coordonnées bancaires sont supprimées à la fin du partenariat |
| Messages échangés entre un partenaire et l'équipe | Répondre aux questions du partenaire | Exécution du contrat | Durée du partenariat |
L'application ne collecte aucune donnée dite « sensible » (santé, opinions, religion, etc.) et ne demande aucune donnée bancaire : la version actuelle ne comporte aucun paiement.
3. Destinataires et sous-traitants
Vos données ne sont ni vendues ni louées. Elles sont accessibles :
- à l'équipe de Blabla language LLC, dans la limite de ses missions (support, modération, administration technique) ;
- à votre professeur, qui accède à votre progression pédagogique et aux messages que vous échangez avec lui, dans le cadre de votre accompagnement. Un professeur n'accède qu'aux données de ses propres élèves ;
- à nos sous-traitants techniques, listés ci-dessous, qui traitent les données pour notre compte et sur nos instructions, dans le cadre d'accords de sous-traitance conformes à l'article 28 du RGPD :
| Sous-traitant | Rôle | Localisation des données | Encadrement |
|---|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage des fichiers (photos de profil, audios) | Union européenne (centre de données de Francfort, Allemagne) | DPA incluant les Clauses Contractuelles Types ; un accès ponctuel du support technique depuis les États-Unis est encadré par ces mêmes clauses |
| Vercel Inc. | Hébergement de l'interface de l'application | États-Unis (diffusion mondiale) | Certification EU-US Data Privacy Framework et/ou Clauses Contractuelles Types (DPA) |
| ElevenLabs Inc. | Génération par synthèse vocale des audios de vocabulaire | États-Unis | DPA avec Clauses Contractuelles Types ; adhésion déclarée à l'EU-US Data Privacy Framework. Important : aucune donnée d'élève n'est transmise à ElevenLabs — seuls les textes des phrases pédagogiques (contenu éditorial, sans donnée personnelle) sont envoyés pour produire les audios. |
| Infomaniak Network SA | Hébergement du site vitrine et de la messagerie | Suisse | Décision d'adéquation de la Commission européenne (la Suisse assure un niveau de protection équivalent au RGPD) |
| Brevo (Sendinblue SAS) | Envoi des emails transactionnels (confirmation, rappels de direct, notifications de commission) | Union européenne (France) | Sous-traitant établi dans l'Union ; DPA conforme à l'article 28 |
| Stripe Payments Europe, Ltd. | Encaissement des abonnements et gestion de la facturation. Stripe agit comme responsable de traitement autonome pour la lutte contre la fraude et ses obligations réglementaires | Irlande (Union européenne), avec transferts intragroupe vers les États-Unis | DPA et Clauses Contractuelles Types ; certification EU-US Data Privacy Framework du groupe Stripe |
| Anthropic PBC | Rédaction assistée de synthèses internes destinées à l'équipe pédagogique, et reformulation, à la demande d'un professeur, du message qu'il s'apprête à envoyer | États-Unis | DPA avec Clauses Contractuelles Types. Les données transmises sont minimisées (chiffres agrégés, ou le seul texte que le professeur rédige) ; elles ne servent jamais à entraîner un modèle, en application des conditions professionnelles du prestataire |
4. Transferts de données hors de l'Union européenne
L'éditeur est établi aux États-Unis et certains de nos prestataires (hébergement de l'interface, synthèse vocale) sont des sociétés américaines. Les transferts qui en résultent sont encadrés par la certification EU-US Data Privacy Framework lorsque le prestataire y est inscrit, et en tout état de cause par les Clauses Contractuelles Types de la Commission européenne, intégrées aux accords de sous-traitance.
Points importants :
- votre base de données (compte, progression, messages) est hébergée dans l'Union européenne, dans un centre de données situé à Francfort (Allemagne) ; l'accès de l'équipe de l'éditeur à ces données, y compris depuis les États-Unis, est limité à ses missions (support, modération, administration technique) et protégé par les mesures décrites à la section 8 ;
- les textes envoyés à ElevenLabs pour la synthèse vocale ne contiennent aucune donnée personnelle : il s'agit exclusivement de phrases pédagogiques génériques, générées côté serveur, sans lien avec un utilisateur ;
- les données transitant par la Suisse (emails) bénéficient d'une décision d'adéquation de la Commission européenne.
5. Vos droits et comment les exercer
Conformément au RGPD et, pour les utilisateurs situés en France, à la loi Informatique et Libertés, vous disposez des droits suivants :
| Droit | Comment l'exercer |
|---|---|
| Effacement (art. 17) | Directement dans l'application : Profil → Supprimer mon compte. La suppression efface votre profil, votre progression, vos messages et votre photo de profil. Elle est définitive. |
| Effacement partiel de la progression | Directement dans l'application : Profil → Réinitialiser mes données. Votre compte est conservé, votre progression pédagogique est effacée. |
| Rectification (art. 16) | Directement dans l'application (profil : prénom/pseudo, photo, fuseau horaire) ou par email à privacy@blabla-darija.com. |
| Accès (art. 15) et portabilité (art. 20) | Par email à privacy@blabla-darija.com : nous vous fournissons une copie de vos données dans un format structuré et lisible (profil, progression, messages). Une fonction d'export intégrée à l'application est en cours de déploiement. |
| Limitation (art. 18) et opposition (art. 21) | Par email à privacy@blabla-darija.com. Vous pouvez notamment vous opposer à la mesure d'audience interne (voir la Politique cookies). |
| Retrait du consentement (art. 7) | À tout moment, sans justification. Exemple : la suppression de votre photo de profil depuis l'application vaut retrait du consentement pour ce traitement. |
| Directives post-mortem (art. 85 de la loi Informatique et Libertés) | Vous pouvez nous transmettre des directives relatives au sort de vos données après votre décès, par email à privacy@blabla-darija.com. |
Modalités : nous répondons dans un délai d'un mois à compter de la réception de votre demande (prorogeable de deux mois pour les demandes complexes, auquel cas vous en êtes informé). Pour les demandes par email, nous pouvons vous demander de justifier de votre identité ; l'envoi de la demande depuis l'adresse email associée à votre compte suffit en général.
Réclamation : si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir l'autorité de contrôle de votre pays de résidence. En France, il s'agit de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr — CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
6. Ce qui se passe quand vous supprimez votre compte
La fonction « Supprimer mon compte » déclenche l'effacement en cascade :
- de votre profil (email, prénom/pseudo, fuseau horaire) ;
- de votre progression pédagogique (boîtes Leitner, exercices, missions) ;
- de vos messages dans la messagerie professeur-élève ;
- de votre photo de profil (fichier supprimé du stockage) ;
- de votre adresse email des listes d'envoi transactionnelles.
Les logs techniques résiduels sont supprimés ou anonymisés au terme de leur durée de conservation (12 mois maximum).
7. Mineurs
L'application est destinée aux adultes. L'inscription est réservée aux personnes âgées de 15 ans et plus. En France, l'article 45 de la loi Informatique et Libertés fixe à 15 ans l'âge à partir duquel un mineur peut consentir seul au traitement de ses données pour les services en ligne. En dessous de 15 ans, l'inscription nécessite le consentement conjoint du mineur et du titulaire de l'autorité parentale : contactez-nous à privacy@blabla-darija.com avant toute inscription. Nous nous réservons le droit de fermer tout compte ne respectant pas cette condition d'âge.
8. Sécurité
Nous mettons en œuvre les mesures techniques et organisationnelles suivantes (article 32 du RGPD) :
- chiffrement TLS de toutes les communications ;
- hachage des mots de passe (bcrypt) — nous n'avons jamais accès à votre mot de passe en clair ;
- cloisonnement des accès en base de données (Row Level Security) : chaque utilisateur n'accède qu'à ses propres données, chaque professeur n'accède qu'à ses propres élèves ;
- limitation du nombre de tentatives de connexion ;
- sauvegardes chiffrées, hébergées dans l'Union européenne ;
- journalisation des accès d'administration.
En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons l'autorité de contrôle compétente (la CNIL pour les utilisateurs situés en France) dans les 72 heures et, si le risque est élevé, nous vous en informerons directement.
9. Cookies et traceurs
L'application utilise des traceurs strictement nécessaires à son fonctionnement (session de connexion, préférences d'affichage, mémorisation de votre choix en matière de cookies) et une mesure d'audience interne exemptée de consentement.
Un seul traceur est soumis à votre consentement : le cookie d'affiliation, qui retient quel partenaire vous a fait découvrir l'application afin de le rémunérer si vous vous abonnez. Une bannière s'affiche avant tout dépôt ; refuser est aussi simple qu'accepter, et le refus ne dégrade en rien le service. Aucun cookie publicitaire, aucun pixel de réseau social, aucun outil d'analyse tiers n'est déposé.
Le détail, cookie par cookie, figure dans la Politique cookies.
10. Intelligence artificielle : où elle intervient, où elle n'intervient pas
Par transparence sur les contenus et les traitements synthétiques (règlement européen sur l'intelligence artificielle, article 50) :
- Les audios de vocabulaire sont générés par synthèse vocale (ElevenLabs) à partir de voix professionnelles sous licence, puis vérifiés par nos professeurs. Aucune donnée personnelle d'utilisateur n'est utilisée pour les produire.
- Les synthèses internes de l'équipe (le point du jour affiché aux professeurs et à la direction) sont rédigées par un modèle d'Anthropic à partir de chiffres agrégés : nombre d'élèves, délais de réponse, notes moyennes. Aucun message d'élève, aucun nom, aucune adresse email ne lui est transmis.
- La reformulation d'un message par un professeur envoie uniquement le texte que ce professeur vient d'écrire, jamais l'historique de la conversation ni l'identité de l'élève. Le professeur reste libre d'utiliser ou d'ignorer la proposition : aucune décision automatisée n'est prise à votre sujet.
- Aucun profilage, aucune décision entièrement automatisée produisant des effets juridiques à votre égard n'est mis en œuvre (article 22 du RGPD). Votre progression pédagogique est calculée par des règles fixes et vérifiables (le système de révision Leitner), pas par un modèle.
- Vos données ne servent jamais à entraîner un modèle d'intelligence artificielle, ni les nôtres ni ceux de tiers.
11. Évolution de cette politique
Cette politique peut évoluer, notamment en cas de nouvelles fonctionnalités (par exemple l'introduction d'un abonnement payant, qui s'accompagnera d'une mise à jour décrivant les traitements liés au paiement). En cas de modification substantielle, vous serez informé par email ou par une notification dans l'application, au moins 15 jours avant l'entrée en vigueur. La date de dernière mise à jour figure en tête de ce document.
12. Contact
Pour toute question relative à cette politique : privacy@blabla-darija.com. Pour toute autre question : contact@blabla-darija.com.