Politique de Confidentialité, Allae
Ce document décrit le traitement des données personnelles dans l'application mobile et la webapp Allae. Pour le site allae.fr, voir la politique de confidentialité du site.
Dernière mise à jour : 28 août 2026
1. Préambule
La présente Politique de Confidentialité a pour objet d'informer les utilisateurs du Service Allae (ci-après « le Service ») des modalités de collecte, de traitement et de protection de leurs données personnelles, conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
Le Service comprend l'application mobile Allae ainsi que sa version accessible via navigateur web. Sauf mention contraire, les dispositions de la présente politique s'appliquent indifféremment à ces deux points d'accès.
Allae est un copilote d'apprentissage destiné aux étudiants de l'enseignement supérieur, fondé sur une planification automatisée des révisions.
2. Responsable de traitement
Le responsable du traitement des données à caractère personnel collectées via le Service est :
ALLAE EDUCATION, société par actions simplifiée (SAS) au capital de 1 500 euros, immatriculée au Registre du Commerce et des Sociétés de Rennes sous le numéro 105 352 140, SIRET 105 352 140 00013, dont le siège social est situé 30 rue Kératry, 35200 Rennes, France, représentée par Jared Gabriel Leterrier en qualité de Président (ci-après « Allae », « nous », « la Société »).
Pour toute question relative à la présente politique ou à l'exercice de vos droits, vous pouvez nous contacter à l'adresse [email protected].
3. Champ d'application
La présente politique s'applique à l'ensemble des utilisateurs du Service, exclusivement en France. Le Service n'est pas destiné à un usage en dehors du territoire français à ce stade.
4. Données collectées
Les données ci-dessous sont présentées par catégorie fonctionnelle, telle qu'elle résulte de l'architecture actuelle du Service.
4.1 Données de compte et d'identification
Nom, prénom, adresse email, mot de passe.
4.2 Données académiques et de planification
Filière d'étude (ex. PASS), établissement d'enseignement, fichier ou lien de calendrier universitaire (.ics/iCal) et son contenu (intitulés de cours, horaires, salles), créneaux, cours et examens saisis manuellement par l'utilisateur, notes libres associées à ces créneaux.
Lorsque l'import d'un fichier de calendrier universitaire échoue ou produit un résultat incorrect (par exemple lorsque le format utilisé par l'établissement d'enseignement de l'utilisateur n'est pas reconnu par le Service), le fichier ICS brut concerné peut être conservé temporairement à des fins d'analyse technique. Cette conservation a pour seul objet de fiabiliser la règle d'extraction applicable à ce format, afin de permettre, à terme, un import automatique correct pour l'utilisateur concerné et pour les autres utilisateurs relevant du même établissement. Seuls les fichiers ayant déclenché une anomalie ou un échec d'import font l'objet de cette conservation ; les fichiers dont l'import se déroule normalement ne sont conservés que le temps du traitement immédiat nécessaire à la génération du planning. Le fichier ainsi conservé est supprimé au plus tard 30 jours après sa collecte, que le traitement technique soit terminé ou non à cette échéance. Cette conservation temporaire poursuit une finalité strictement technique et ne fait l'objet d'aucun autre usage.
4.3 Données relatives à des tiers figurant dans un emploi du temps importé
Le fichier de calendrier universitaire importé par l'utilisateur peut contenir des données à caractère personnel de tiers, notamment les noms d'enseignants associés aux créneaux de cours. Allae n'est pas à l'origine de la collecte de ces données, qui proviennent du système d'information de l'établissement d'enseignement de l'utilisateur.
Ces données sont utilisées exclusivement pour l'affichage du planning au sein du compte de l'utilisateur ayant réalisé l'import ; elles ne sont ni publiées, ni communiquées à des tiers, ni utilisées à d'autres fins. Le traitement repose sur l'intérêt légitime d'Allae et de l'utilisateur à disposer d'un planning de révision fidèle à l'organisation réelle des enseignements (art. 6.1.f du RGPD).
Compte tenu du nombre de personnes concernées et de l'impossibilité pratique d'informer individuellement chaque enseignant dont le nom figure dans un fichier importé par un tiers, Allae se prévaut de l'exemption prévue à l'article 14.5.b du RGPD. Toute personne dont le nom figure dans un tel fichier peut exercer les droits décrits en section 12 en nous contactant à [email protected]. Ces données suivent la même durée de conservation que les données académiques et de planification (voir section 10).
4.4 Données de préférences d'apprentissage
Chronotype déclaré (matinal/équilibré/nocturne), capacité de travail déclarée (durée de concentration sans pause, disponibilité le week-end), défi principal déclaré (procrastination, volume de travail, stress, organisation), activités de temps libre déclarées.
4.5 Données de performance et de suivi des révisions
Feedbacks de fin de séance de révision (ressenti de difficulté et d'appétence pour la matière travaillée, durée réelle, note d'auto-évaluation), indice de maîtrise calculé par cours, statistiques d'usage (nombre de révisions, durée cumulée, taux de complétion, jours actifs).
Ces données alimentent l'algorithme propriétaire ICARE, qui ajuste automatiquement le placement des séances de révision dans le calendrier de l'utilisateur (voir section 6 « Décision automatisée et profilage »).
4.6 Données techniques et de connexion
Type et modèle d'appareil, système d'exploitation, localisation approximative (ville/pays, déduite de l'adresse IP), horodatage des connexions, journaux techniques nécessaires au fonctionnement et à la sécurité du Service.
4.7 Données de paiement
Le Service est proposé gratuitement au lancement. Aucune donnée de paiement n'est collectée à ce stade.
4.8 Cookies et traceurs
Aucun outil d'analytics ou de mesure d'audience n'est utilisé à ce jour. Les seuls cookies/traceurs déposés sont strictement fonctionnels (nécessaires au fonctionnement du Service, ex. maintien de la session de connexion). Conformément à la dispense prévue par la CNIL pour les cookies strictement nécessaires à la fourniture du service expressément demandé par l'utilisateur, aucun bandeau de consentement cookies n'est requis en l'état actuel.
5. Finalités et bases légales
| Catégorie de données | Finalité | Base légale |
|---|---|---|
| Compte et identification | Création, gestion et sécurisation du compte utilisateur | Exécution du contrat (art. 6.1.b) |
| Académiques et planification | Fourniture du service de planification de révisions | Exécution du contrat (art. 6.1.b) |
| Données de tiers (emploi du temps importé) | Affichage fidèle du planning importé | Intérêt légitime (art. 6.1.f) |
| Préférences d'apprentissage | Personnalisation de l'algorithme ICARE | Exécution du contrat (art. 6.1.b) |
| Performance et suivi des révisions | Calcul de l’indice de maîtrise, ajustement automatique du planning | Exécution du contrat (art. 6.1.b) |
| Performance et suivi des révisions | Génération de statistiques agrégées et anonymisées à destination des établissements partenaires, de concours/subventions, et de communication publique | Intérêt légitime (art. 6.1.f RGPD) et compatibilité des traitements statistiques (art. 5.1.b et art. 89 RGPD) |
| Techniques et de connexion | Sécurité, prévention de la fraude, bon fonctionnement technique | Intérêt légitime (art. 6.1.f) |
Ces statistiques agrégées ne sont jamais publiées ni transmises lorsque le groupe concerné comporte moins de 10 individus, afin d'exclure tout risque de ré-identification.
Les données mentionnées à la présente section sont nécessaires à la fourniture du Service ; leur non-communication empêche la création d'un compte ou l'utilisation de tout ou partie des fonctionnalités concernées.
6. Décision automatisée et profilage, algorithme ICARE
Conformément à l'article 13(2)(f) du RGPD, nous vous informons que vos données de performance et de suivi des révisions (difficulté ressentie, durée réelle de révision, note obtenue lors de vos entraînements) sont utilisées par l'algorithme propriétaire ICARE, qui organise vos séances de révision, et influencent en conséquence le placement de vos prochaines séances dans votre calendrier. Ces informations ne sont pas systématiquement demandées à chaque séance ; leur recueil varie selon l'étape du cycle de révision concernée. L'indice de maîtrise par cours qui vous est affiché est un indicateur de suivi personnel ; il n'intervient pas dans ce calcul.
Ce traitement constitue un profilage au sens de l'article 4(4) du RGPD. Les ajustements de planning sont appliqués directement par l'algorithme, à l'exception des décalages de séance qui font l'objet d'une confirmation de l'utilisateur. Ce traitement ne constitue pas une décision au sens de l'article 22 du RGPD : ses effets se limitent à une réorganisation du calendrier de révision personnel de l'utilisateur, sans produire d'effet juridique ni affecter l'utilisateur de manière significative comparable à celle visée par cet article.
Logique du traitement : ICARE prend en compte la difficulté ressentie, la durée réelle de révision et la note obtenue lors de l'entraînement associé, lorsque ces informations sont disponibles, combinées au temps écoulé depuis la dernière révision. Une bonne note tend à repousser la prochaine séance de révision de ce cours ; une note faible tend au contraire à la rapprocher.
7. Propriété intellectuelle de l'algorithme
L'algorithme ICARE, ses méthodes de calcul et son code source sont la propriété exclusive d'Allae Education. Toute tentative d'ingénierie inverse, de décompilation, d'extraction ou de reconstitution de la logique de cet algorithme par un utilisateur est strictement interdite, conformément aux conditions générales d'utilisation du Service.
8. Destinataires et sous-traitants
Vos données sont susceptibles d'être communiquées aux catégories de destinataires suivantes, dans la stricte limite de leurs missions respectives :
- Les membres habilités de l'équipe Allae, tenus à une obligation de confidentialité ;
- OVH SAS (hébergement des serveurs applicatifs et de la messagerie), société française, 2 rue Kellermann, 59100 Roubaix, hébergement localisé en France ;
- Cloudflare, Inc. (protection réseau, CDN, et proxy/DNS de l'ensemble du trafic), société de droit américain, 101 Townsend Street, San Francisco, CA 94107, États-Unis (voir section 9) ;
- Resend (PLUS FIVE FIVE, Inc.), société de droit américain, pour l'envoi des emails transactionnels (confirmation de compte, réinitialisation de mot de passe, notifications) (voir section 9) ;
- Les autorités administratives ou judiciaires, dans les cas prévus par la loi.
Allae s'engage à ne vendre aucune donnée personnelle à des tiers.
9. Transferts de données hors de l'Union européenne
L'hébergement des données est assuré par OVH SAS, sur des infrastructures situées en France. Le trafic applicatif transite par Cloudflare, Inc., société de droit américain, qui agit comme proxy/CDN devant les serveurs OVH. L'ensemble du trafic est en HTTPS (aucun HTTP en clair), mais Cloudflare, en tant que point de terminaison TLS côté client, a techniquement accès au contenu déchiffré des requêtes à son niveau, ainsi qu'aux adresses IP des utilisateurs. Ceci caractérise un transfert de données à caractère personnel vers les États-Unis au sens du chapitre V du RGPD.
Il en va de même pour Resend (PLUS FIVE FIVE, Inc.), société de droit américain utilisée pour l'envoi des emails transactionnels du Service, qui reçoit à ce titre l'adresse email et, le cas échéant, le nom des utilisateurs concernés.
Cloudflare, Inc. et Resend ont chacune certifié auprès du Département du Commerce des États-Unis leur adhésion aux principes du EU-U.S. Data Privacy Framework (« DPF »), Cloudflare bénéficiant en outre des certifications Global CBPR/Global PRP (vérifiable sur dataprivacyframework.gov, sur cloudflare.com/trust-hub/gdpr et sur resend.com/legal/dpa). En application de la décision d'adéquation de la Commission européenne du 10 juillet 2023, les transferts vers une entité américaine certifiée DPF sont couverts par une décision d'adéquation au sens de l'article 45 du RGPD.
10. Durées de conservation
| Catégorie de données | Durée de conservation |
|---|---|
| Données de compte | 3 ans |
| Données académiques et de performance | 3 ans |
| Fichier de calendrier universitaire (.ics), en cas d'échec ou d'anomalie d'import | 30 jours |
| Données de connexion/techniques | 3 ans |
| Données après suppression du compte | Suppression définitive sous 30 jours, sous réserve des obligations légales de conservation (comptabilité, etc.) |
11. Sécurité des données
Allae met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation, conformément à l'article 32 du RGPD :
- HTTPS/TLS forcé partout, aucun HTTP en clair ;
- authentification à deux facteurs activée sur tous les accès individuels permettant de gérer/consulter les données de production (pas de compte admin partagé) ;
- accès en écriture/lecture à la base de production limité à un seul compte de service pour l'API.
12. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données à caractère personnel : droit d'accès, droit de rectification, droit à l'effacement, droit à la limitation du traitement, droit à la portabilité, droit d'opposition, et droit de retirer votre consentement à tout moment pour les traitements qui en dépendent (sans effet rétroactif).
Ces droits s'exercent par une demande adressée à [email protected], traitée dans le délai légal d'un mois (prorogeable de deux mois pour les demandes complexes, art. 12.3 RGPD). Il n'existe pas et il n'est pas prévu de bouton d'export en libre-service ; le droit à la portabilité et le droit d'accès s'exercent donc exclusivement par cette voie.
Suppression de compte : le Service propose un mécanisme de suppression de compte directement accessible depuis les réglages, distinct de la simple déconnexion ou de la réinitialisation des données de planification. Cette suppression peut également être demandée, sans connexion préalable, depuis la page allae.fr/legal/app/suppression-compte.
Vous disposez également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou via son site cnil.fr, si vous estimez que le traitement de vos données constitue une violation du RGPD.
13. Utilisateurs mineurs
L'accès au Service est réservé aux personnes âgées d'au moins 15 ans. Lors de la création de son compte, l'utilisateur confirme avoir au moins 15 ans, dans les conditions prévues à l'article 3.1 des CGU.
14. Modification de la présente politique
Allae se réserve le droit de modifier la présente Politique de Confidentialité, notamment pour se conformer à toute évolution légale, réglementaire ou technique. Toute modification substantielle sera notifiée par email et par une bannière/pop-in au sein du Service, en plus de la mise à jour de la date en tête du présent document.
15. Contact
Pour toute question relative à la présente politique ou à l'exercice de vos droits : [email protected].