Confidentialité de l'application
Dernière mise à jour : 31 juillet 2026
Vulpi est utilisé par des enfants. Ce document dit exactement quelles données nous traitons, à qui elles sont transmises, combien de temps nous les gardons — et ce que nous ne faisons pas.
La présente politique porte sur l'application Vulpi, accessible à l'adresse app.vulpi.education. La navigation sur le site vitrine vulpi.education fait l'objet d'une politique distincte.
Ce document s'adresse aux parents comme aux élèves. Il emploie « vous » pour la personne qui le lit, et « l'Élève » pour l'enfant dont les données sont traitées — parce que ce n'est pas toujours la même personne.
Responsable du traitement
Le responsable du traitement est Mathieu Bila, entrepreneur individuel (micro-entreprise), immatriculé sous le SIRET 932 437 874 00013, dont le siège est situé 46 rue de la Pépinière, 63130 Royat (France). Contact : contact@vulpi.education.
Ce que nous ne faisons pas
Avant d'entrer dans le détail, quatre engagements :
- Nous ne vendons ni ne louons aucune donnée, à personne, jamais.
- Nous ne faisons aucun profilage publicitaire et n'affichons aucune publicité.
- L'application n'utilise aucun cookie et aucun outil de mesure d'audience appartenant à un tiers.
- Nous ne demandons ni nom de famille, ni adresse postale, ni numéro de téléphone, ni établissement scolaire à l'Élève.
Données que nous traitons
Données de compte
- Identifiant de connexion choisi par l'Élève.
- Mot de passe — jamais conservé en clair. Nous n'en gardons qu'une empreinte cryptographique irréversible (PBKDF2-HMAC-SHA256, 600 000 itérations, avec un sel propre à chaque compte).
- Adresse électronique, obligatoire, et l'horodatage du consentement donné lors de l'inscription.
- Prénom — le nom de famille n'est jamais demandé. Deux élèves peuvent porter le même prénom : ce n'est pas la clé du compte.
- Classe et, en terminale, filière (spécialité, complémentaires ou expertes).
- Date de naissance, demandée à l'inscription pour déterminer si un consentement parental est requis.
- Jetons de session — conservés sous forme d'empreinte, jamais en clair, avec une durée de validité glissante de quatre-vingt-dix (90) jours.
Données renseignées par l'Élève
- Objectif déclaré (suivre le programme, remise à niveau, se dépasser).
- Centres d'intérêt, jusqu'à douze, qui servent à thématiser les énoncés d'exercice.
- Préférence de police du tableau blanc.
Un mot sur la préférence de police. L'une des deux polices proposées est une police conçue pour les lecteurs dyslexiques. Choisir cette option peut donc révéler indirectement un trouble de l'apprentissage. Cette préférence n'est utilisée que pour l'affichage du tableau blanc, n'est transmise à aucun tiers, n'apparaît dans aucune statistique, et n'est visible ni du Parent ni de quiconque d'autre que l'Élève.
Données pédagogiques
- Séances de travail : l'énoncé travaillé, les messages échangés avec le prof, la durée, la date, et l'issue de la séance.
- Photographies d'énoncés et de brouillons envoyées par l'Élève.
- Dessins réalisés sur l'ardoise et contenu du tableau blanc.
- Enregistrements vocaux lorsque l'Élève dicte sa réponse — voir la section « Voix » ci-dessous.
- Progression : scores par notion, niveau de maîtrise par chapitre, blocages rencontrés, déclics conservés par l'Élève.
- Cagnotte et récompenses : pièces gagnées, récompenses définies par le Parent, récompenses débloquées.
- Programmes de révision en cours et terminés.
Données du compte Parent
Prénom, adresse électronique (qui sert d'identifiant), empreinte du mot de passe, horodatage du consentement, et le lien vers le ou les comptes de ses enfants.
Données d'abonnement
Un identifiant client fourni par notre prestataire de paiement, et l'état de l'abonnement (formule, statut, date de fin de période). Aucune donnée bancaire n'est traitée ni conservée par nos soins.
Journaux techniques
Nos serveurs enregistrent, pour des raisons de sécurité et de diagnostic, les adresses IP de connexion, les erreurs et les temps de réponse.
Finalités et bases légales
| Pourquoi | Base légale |
|---|---|
| Fournir le service pédagogique : créer le compte, mener les séances, mesurer la progression, tenir les fiches | Exécution du contrat |
| Traiter les données d'un Élève de moins de 15 ans | Consentement conjoint de l'Élève et du titulaire de l'autorité parentale |
| Envoyer les courriers électroniques de service : code de connexion, invitations, rattachement | Exécution du contrat |
| Gérer l'abonnement et la facturation | Exécution du contrat et obligation légale (conservation comptable) |
| Sécuriser le service : limitation du nombre de requêtes, protection contre les tentatives d'intrusion | Intérêt légitime à protéger le service et ses utilisateurs |
| Mesurer l'usage du produit de façon pseudonymisée, afin de l'améliorer | Intérêt légitime, au moyen d'une mesure interne sans cookie et sans tiers |
La voix
Deux traitements distincts, souvent confondus :
- La voix du prof — le texte affiché à l'écran est transmis à un prestataire de synthèse vocale, qui renvoie un extrait sonore. Aucune donnée de l'Élève n'est transmise à cette occasion : seul le texte du prof, que l'Élève lit déjà, quitte nos serveurs.
- La dictée — lorsque l'Élève choisit de dicter sa réponse plutôt que de la taper, l'enregistrement est transmis à un prestataire de transcription, qui renvoie le texte. Le texte apparaît alors dans la zone de saisie : l'Élève peut le corriger avant de l'envoyer. L'enregistrement sonore n'est conservé nulle part — ni fichier, ni journal, ni statistique, ni de notre côté ni au-delà du traitement immédiat.
La dictée n'est jamais déclenchée automatiquement : le microphone ne s'active que sur une action explicite de l'Élève, et l'application ne demande cette autorisation qu'à ce moment-là.
Ce que le Parent voit
Le tableau de bord Parent est volontairement limité. Le Parent accède à des indicateurs agrégés, aux étiquettes des séances récentes et au compte rendu rédigé par Vulpi. Il n'accède ni à l'énoncé travaillé, ni au contenu de la conversation, ni à la solution.
Ce n'est pas une limitation technique : c'est une décision de conception. Un enfant qui sait que chacune de ses erreurs sera lue n'ose plus se tromper — or apprendre suppose de se tromper. Cette restriction ne peut pas être levée à la demande.
Il en découle que, si vous exercez un droit d'accès en tant que titulaire de l'autorité parentale, nous vous communiquons l'intégralité des données de votre enfant. Nous en informons alors l'Élève, sauf lorsque son âge ou les circonstances ne le justifient pas.
Destinataires et sous-traitants
Nous faisons appel aux prestataires suivants, qui agissent sur nos instructions et pour notre compte :
| Prestataire | Rôle | Ce qu'il reçoit |
|---|---|---|
| Render | Hébergement de l'application et des données | L'ensemble des données. Serveurs situés à Francfort, dans l'Union européenne. |
| OpenRouter | Accès aux modèles de langage et de vision qui font fonctionner le prof | Le prénom, la classe et les centres d'intérêt de l'Élève, les énoncés, l'intégralité des messages échangés et les photographies de devoirs et de brouillons. |
| ElevenLabs, Cartesia, OpenAI | Synthèse de la voix du prof | Le texte du prof uniquement. Aucune donnée de l'Élève. |
| OpenAI | Transcription de la dictée | L'enregistrement vocal de l'Élève, le temps de la transcription. |
| Resend | Envoi des courriers électroniques de service | L'adresse du destinataire, le prénom, les codes de connexion et les liens d'invitation. |
| Stripe | Paiement de l'abonnement | L'adresse électronique et le prénom du Parent, et les données bancaires qu'il saisit directement chez eux. |
| Connexion avec un compte Google, lorsque ce moyen est choisi | L'adresse électronique vérifiée et le prénom, échangés de serveur à serveur. | |
| Google Fonts | Polices d'écriture | L'adresse IP et le type de navigateur, à l'occasion du chargement des polices. |
| Cloudflare (cdnjs) | Bibliothèques d'affichage des formules et des animations | L'adresse IP et le type de navigateur, à l'occasion du chargement des fichiers. |
Nous exigeons de chacun d'eux qu'il n'utilise les données que pour exécuter sa prestation, dans les conditions prévues par son contrat de sous-traitance.
Un point à connaître sur les modèles de langage. OpenRouter n'exécute pas lui-même les modèles : il répartit chaque requête entre plusieurs fournisseurs d'infrastructure. Nous lui demandons de refuser les fournisseurs qui conservent ou réutilisent les contenus transmis. Les échanges de l'Élève ne sont donc pas utilisés pour entraîner des modèles.
Transferts hors Union européenne
Les données sont hébergées dans l'Union européenne. En revanche, plusieurs de nos prestataires — notamment OpenRouter, OpenAI, Stripe, Google et Cloudflare — sont établis aux États-Unis ou peuvent y traiter des données. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par un mécanisme équivalent.
Mesure d'usage
Nous mesurons l'usage du produit avec un outil que nous avons écrit nous-mêmes, qui ne quitte pas nos serveurs. Aucun prestataire tiers n'y a accès. Les événements enregistrés sont pseudonymisés : le compte est remplacé par une empreinte calculée avec une clé secrète, et aucun identifiant, prénom, adresse électronique, énoncé ni message n'y figure. L'application ne dépose aucun cookie.
Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et données pédagogiques | Tant que le compte est actif, puis trente-six (36) mois après la dernière connexion, à l'issue desquels le compte est supprimé. |
| Historique des séances | Les vingt (20) séances les plus récentes, chacune limitée à soixante messages. Les plus anciennes sont écrasées automatiquement. |
| Déclics | Les trente (30) plus récents. |
| Enregistrements vocaux | Aucune conservation. |
| Photographies de devoirs | Le temps de la séance, puis conservées avec celle-ci dans la limite de l'historique ci-dessus. |
| Jetons de session | Quatre-vingt-dix (90) jours glissants. |
| Liens d'invitation et d'activation | Trente (30) jours ; quatorze (14) jours pour une demande de rattachement. |
| Événements de mesure pseudonymisés | Vingt-cinq (25) mois. |
| Journaux techniques | Douze (12) mois. |
| Pièces comptables et factures | Dix (10) ans, conformément à l'article L.123-22 du Code de commerce. |
En cas de demande de suppression, le compte et les données associées sont effacés dans un délai maximal de trente (30) jours, à l'exception des pièces comptables que la loi nous impose de conserver.
Sécurité
- Toutes les communications sont chiffrées en transit (HTTPS, avec HSTS).
- Les mots de passe ne sont jamais stockés : seule une empreinte PBKDF2-HMAC-SHA256 à 600 000 itérations, avec un sel unique par compte, est conservée. Les jetons de session sont eux aussi conservés sous forme d'empreinte.
- Les tentatives de connexion sont limitées et une adresse qui échoue de façon répétée est temporairement bloquée.
- Le nombre de requêtes est plafonné par heure afin de contenir les usages abusifs.
- Une politique de sécurité de contenu stricte s'applique : aucun script tiers ne peut s'exécuter dans l'application, qui ne peut pas non plus être affichée dans un cadre sur un autre site.
- Le serveur ne fait jamais confiance à un identifiant transmis par le navigateur : toute donnée d'Élève passe par une vérification du jeton de session.
En toute transparence : les données ne sont pas chiffrées au repos sur le disque de l'hébergeur, au-delà du chiffrement assuré par ce dernier au niveau de son infrastructure. Nous préférons l'écrire plutôt que de laisser croire à une protection supplémentaire.
Vos droits
Conformément au Règlement général sur la protection des données, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment. Un titulaire de l'autorité parentale peut exercer ces droits pour le compte de son enfant mineur.
Une partie de ces droits s'exerce directement dans l'application : l'Élève peut modifier son adresse électronique, sa classe et ses préférences, et le Parent peut défaire le rattachement.
Les autres demandes sont traitées manuellement. Il n'existe pas encore de bouton de suppression ou d'export dans l'application. Écrivez-nous à contact@vulpi.education en précisant l'identifiant ou l'adresse électronique du compte concerné : nous répondons sous un mois, et procédons à la suppression sous trente jours. Nous pouvons être amenés à vous demander un élément permettant de vérifier votre identité, afin de ne pas transmettre les données d'un enfant à un tiers.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL).
Décision automatisée
Le niveau de maîtrise affiché à l'Élève et au Parent est calculé automatiquement à partir des séances. Il s'agit d'un indicateur pédagogique interne au Service : il n'est transmis à aucun établissement scolaire, ne produit aucun effet juridique et n'affecte pas l'accès au Service.
Modification de cette politique
Nous pouvons faire évoluer ce document. Toute modification substantielle vous sera signalée par courrier électronique et lors de votre prochaine connexion. La date de dernière mise à jour figure en tête de page.
Contact
Pour toute question relative à vos données : contact@vulpi.education. Voir également nos conditions générales et nos mentions légales.