Politique de confidentialité

1. Responsable du traitement

Step SAS, dont les informations figurent dans les mentions légales. Contact pour toute question relative aux données personnelles : contact@step-agency.fr.

2. Données traitées

• Compte : adresse e-mail, nom d'affichage, pseudonyme, photo de profil et biographie facultatives, mot de passe (stocké sous forme chiffrée par notre prestataire d'authentification).
• Achat : nom, adresse de facturation, e-mail, montant et références de la transaction. Les données de carte bancaire sont traitées exclusivement par Stripe.
• Appareils : un identifiant aléatoire stocké dans un cookie technique, un libellé lisible de l'appareil (type, système, navigateur) et les dates d'utilisation.
• Connexions : adresse IP, pays approximatif déduit de l'adresse IP, navigateur, date et heure.
• Journaux de visionnage : leçon consultée, durée de lecture, appareil et adresse IP utilisés.
• Événements de sécurité : validations d'appareil, changements de session, tentatives refusées, signaux d'utilisation anormale.
• Apprentissage et communauté : progression, notes privées, commentaires, messages, réactions et signalements.
• Liste d'attente : adresse e-mail.

3. Finalités et bases légales

• Fournir la formation (création du compte, accès aux leçons, reprise de lecture, certificat, communauté, support) : exécution du contrat.
• Facturation et comptabilité : obligation légale.
• Sécurité du compte, lutte contre la fraude et le partage d'accès (limitation à deux appareils et à une session, codes de vérification, filigrane nominatif sur les vidéos, journaux de visionnage et événements de sécurité, détection d'usages anormaux) : intérêt légitime de Step à protéger ses contenus et les comptes de ses membres.
• Informer de l'ouverture de la formation (liste d'attente) : consentement, retirable à tout moment.
• E-mails liés au service (accès, codes, notifications que tu as activées) : exécution du contrat.

4. Durées de conservation

• Journaux de connexion, de visionnage et événements de sécurité (dont adresses IP) : 12 mois.
• Données du compte, progression et contributions : pendant toute la durée de l'accès, puis supprimées ou anonymisées dans un délai de 3 ans après la fin de l'accès ou la dernière activité, sauf demande de suppression anticipée.
• Factures et pièces comptables : 10 ans, conformément au Code de commerce.
• Codes de vérification d'appareil : valables 10 minutes, conservés sous forme chiffrée le temps de leur utilisation.
• Liste d'attente : jusqu'à l'ouverture des ventes et au plus 3 ans, ou jusqu'au retrait du consentement.

5. Destinataires et sous-traitants

Les données sont accessibles uniquement aux personnes habilitées de Step et aux prestataires techniques suivants, qui agissent sur instruction de Step :

• Supabase Inc. : Base de données, authentification, stockage des fichiers (Union européenne).
• Vercel Inc. : Hébergement et diffusion de l'application (États-Unis / Union européenne).
• Stripe Payments Europe Ltd : Paiement et facturation (Irlande (Union européenne)).
• VdoCipher Media Solutions : Hébergement et lecture protégée des vidéos, filigrane (Inde).
• Resend Inc. : Envoi des e-mails transactionnels (États-Unis).

Lorsque des données sont transférées hors de l'Union européenne, ces transferts sont encadrés par les garanties prévues par le RGPD (décision d'adéquation, notamment le Data Privacy Framework pour les États-Unis, ou clauses contractuelles types de la Commission européenne). Aucune donnée n'est vendue ni utilisée à des fins publicitaires.

6. Cookies

La Step Academy utilise uniquement des cookies et stockages strictement nécessaires à son fonctionnement : cookies de session d'authentification et cookie d'identification de l'appareil. Le lecteur vidéo peut utiliser des stockages techniques nécessaires à la lecture protégée. Aucun cookie publicitaire ni de mesure d'audience n'est déposé ; ces cookies ne nécessitent donc pas de consentement préalable.

7. Sécurité

Step met en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), cloisonnement des accès aux données, secrets et codes stockés sous forme chiffrée, journalisation des accès sensibles.

8. Tes droits

Tu disposes d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (notamment aux traitements fondés sur l'intérêt légitime, pour des raisons tenant à ta situation particulière), ainsi que du droit de définir des directives relatives au sort de tes données après ton décès. Pour les exercer, écris à contact@step-agency.fr. Une réponse t'est apportée dans un délai d'un mois.

Tu peux également introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Modifications

Cette politique peut évoluer. En cas de changement important, les membres en sont informés par e-mail ou sur la plateforme.