Politique de confidentialité
Dernière mise à jour : mars 2026 — Conforme RGPD (Règlement UE 2016/679) et loi Informatique et Libertés (loi n° 78-17 modifiée)1. Responsable du traitement
Sebastien Orlandini — Auto-entrepreneur
27 Boulevard Saint-Martin, 75003 Paris, France
SIRET : 933 770 703 00025
Email : support@tcodes.fr
En tant que micro-entreprise (moins de 250 salariés, moins de 10 millions € de CA), TCodes n'est pas soumis à l'obligation de désigner un DPO (Délégué à la Protection des Données). Le responsable du traitement est directement contactable à l'adresse ci-dessus pour toute question relative à vos données.
2. Données collectées
2.1 Données d'inscription (obligatoires)
- Adresse email (obligatoire — sert d'identifiant)
- Mot de passe (stocké chiffré avec bcrypt, 12 rounds — jamais en clair)
- Nom (facultatif — affiché dans l'interface)
- Profil métier déclaré à l'inscription (facultatif, usage statistique)
- Date et heure d'inscription
2.2 Données d'utilisation
- Documents interactifs achetés et progression associée (avancement, sections interactives complétées)
- Historique des achats et des accès débloqués
- Données de session (token de connexion HttpOnly, date de dernière connexion)
2.3 Données de paiement
- Les paiements sont gérés exclusivement par Stripe (PCI-DSS niveau 1). TCodes ne stocke jamais vos coordonnées bancaires.
- Nous conservons uniquement : l'identifiant client Stripe, les achats effectués et l'historique des factures (sans coordonnées bancaires).
2.4 Données techniques
- Cookie de session (nécessaire au fonctionnement, HttpOnly, Secure, SameSite=Lax, durée 30 jours)
- Adresse IP lors des requêtes API (logs hébergeur Vercel — durée de conservation standard Vercel)
- User-agent du navigateur (logs techniques)
2.5 Données analytics (avec consentement uniquement)
- Pages visitées, durée de session, type d'appareil, pays (agrégés et anonymisés)
- Mesures de performances web (Core Web Vitals)
- Ces données sont collectées par Vercel Analytics uniquement si vous avez donné votre consentement. Elles ne permettent pas de vous identifier individuellement.
Liens partagés (/share): si vous l'acceptez, la consultation d'un document partagé peut générer des statistiques de consultation visibles par le créateur (ouverture, progression, temps passé, interactions). Dans ce cas, un identifiant anonyme (pilidoc_session_id) est stocké sur votre appareil et transmis à TCodes pour dédupliquer les visites. Vous pouvez refuser ces statistiques sur la page partagée.
2.6 Contenu soumis à l'IA
Les instructions, titres, contextes et fichiers que vous fournissez pour générer des documents sont transmis à l'API Claude (Anthropic). Ces données sont traitées par Anthropic en qualité de sous-traitant, dans le cadre d'un Data Processing Addendum (DPA) signé et des Clauses Contractuelles Types (SCC) applicables aux transferts hors UE. Pour plus de détails, voir leur politique de confidentialité API — anthropic.com/privacy. Anthropic s'engage contractuellement à ne pas utiliser les données API pour entraîner ses modèles.
3. Finalités et bases légales du traitement
| Finalité | Base légale (RGPD Art. 6) |
|---|---|
| Création et gestion du compte utilisateur | Art. 6.1.b — Exécution du contrat |
| Fourniture du service (accès aux documents achetés, suivi de progression) | Art. 6.1.b — Exécution du contrat |
| Traitement des paiements et facturation | Art. 6.1.b + 6.1.c — Contrat + Obligation légale |
| Envoi d'emails transactionnels (confirmation, factures, vérification email) | Art. 6.1.b — Exécution du contrat |
| Sécurité du service, prévention des abus et fraudes | Art. 6.1.f — Intérêt légitime |
| Modération des contenus (signalements) | Art. 6.1.c — Obligation légale (DSA/LCEN) |
| Obligations comptables et fiscales | Art. 6.1.c — Obligation légale |
| Mesure d'audience (Vercel Analytics) | Art. 6.1.a — Consentement |
4. Durée de conservation
| Données | Durée |
|---|---|
| Données de compte actif | Durée de vie du compte + 30 jours |
| Sessions de connexion | 30 jours (suppression automatique) |
| Documents et médias uploadés | Durée de vie du compte (supprimés à la clôture du compte) |
| Données après suppression du compte | Suppression immédiate (sauf obligations légales ci-dessous) |
| Données de facturation / comptabilité | 10 ans (obligation fiscale française — art. L123-22 Code de commerce) |
| Tokens de réinitialisation de mot de passe | 1 heure (expiration automatique) |
| Signalements de contenu (modération) | 12 mois après clôture du dossier (art. 6-II LCEN) |
| Consentement cookies (localStorage) | 13 mois maximum (recommandation CNIL) |
5. Sous-traitants et transferts hors UE
TCodes fait appel aux prestataires suivants qui peuvent traiter vos données, y compris hors Union européenne :
| Prestataire | Rôle | Pays | Garantie |
|---|---|---|---|
| Vercel Inc. | Hébergement application + Analytics | USA | SCC (UE) |
| Neon Inc. | Base de données PostgreSQL | USA | SCC (UE) + DPA Neon intégré aux Terms |
| Cloudflare Inc. | Stockage de fichiers (R2) | USA | SCC (UE) |
| Stripe Inc. | Traitement des paiements | USA | SCC + DPA |
| Resend Inc. | Emails transactionnels | USA | SCC (UE) |
| Anthropic PBC | Génération de contenu IA (Claude) — texte, documents | USA | SCC + DPA API signé |
| OpenAI, L.L.C. | Génération d'images IA (OpenAI Images) — reçoit votre prompt texte | USA | SCC + DPA OpenAI (à mettre en place) |
| Functional Software, Inc. (Sentry) | Surveillance des erreurs techniques (stack traces anonymisées) | USA | SCC + DPA |
| Upstash Inc. | Rate limiting anti-abus (adresses IP temporaires, < 1 min) | USA | SCC (UE) |
SCC = Clauses contractuelles types approuvées par la Commission européenne (Art. 46 RGPD). DPA = Accord de traitement des données conforme RGPD. Ces mécanismes garantissent un niveau de protection adéquat de vos données lors du transfert hors UE.
6. Vos droits (RGPD)
Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :
- Droit d'accès (Art. 15 RGPD) : obtenir une copie de toutes vos données personnelles traitées par TCodes.
- Droit de rectification (Art. 16 RGPD) : corriger des données inexactes ou incomplètes (accessible depuis votre profil).
- Droit à l'effacement / “droit à l'oubli” (Art. 17 RGPD) : demander la suppression de vos données. Possible directement depuis votre profil → “Supprimer mon compte”. Certaines données peuvent être conservées pour obligation légale (facturation 10 ans).
- Droit à la portabilité (Art. 20 RGPD): recevoir vos données dans un format structuré, lisible par machine (JSON/CSV). Disponible depuis votre profil → “Exporter mes données”.
- Droit d'opposition (Art. 21 RGPD): vous opposer à un traitement basé sur l'intérêt légitime (notamment analytics si vous avez consenti).
- Droit à la limitation du traitement (Art. 18 RGPD) : demander la suspension temporaire du traitement de vos données.
- Droit de retrait du consentement : vous pouvez retirer à tout moment votre consentement aux cookies analytics via notre page de gestion des cookies.
Délai de réponse :Nous répondons à toute demande d'exercice de droits dans un délai d'un mois à compter de la réception de votre demande (délai pouvant être porté à 3 mois pour les demandes complexes, avec information préalable).
Pour exercer ces droits : support@tcodes.fr (joindre une pièce d'identité si nécessaire pour vérifier votre identité).
Vous avez également le droit d'introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes — 3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07.
7. Sécurité des données
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :
- Mots de passe hashés avec bcrypt (12 rounds de salage)
- Cookies de session sécurisés (HttpOnly, Secure, SameSite=Lax — inaccessibles via JavaScript)
- Communications chiffrées HTTPS / TLS 1.2+ sur l'ensemble du service
- Accès à la base de données restreint aux services autorisés via liste blanche IP
- Tokens de réinitialisation à usage unique, hashés, expiration 1 heure
- Variables d'environnement (clés API) jamais exposées côté client
En cas de violation de données à caractère personnel susceptible d'engendrer un risque élevé pour vos droits et libertés, TCodes s'engage à vous en informer dans les meilleurs délais, conformément à l'article 34 du RGPD, et à notifier la CNIL dans un délai de 72h (Art. 33 RGPD).
8. Mineurs
Le service TCodes est destiné à des personnes de 15 ans et plus(âge du consentement numérique en France — art. 45 de la loi Informatique et Libertés). Les personnes de moins de 15 ans doivent obtenir le consentement de leur représentant légal avant de créer un compte. Si nous découvrons qu'un compte a été créé par un mineur de moins de 15 ans sans consentement parental, nous le supprimerons sans délai et en informerons le représentant légal si son email est connu.
9. Décisions automatisées et profilage
TCodes ne procède à aucune décision entièrement automatisée ayant des effets juridiques ou vous affectant de manière significative (Art. 22 RGPD). Le système de détection de contenus inappropriés signale automatiquement les contenus pour examen humain— aucune décision définitive n'est prise sans intervention humaine.
10. Modifications de cette politique
Nous pouvons modifier cette politique de confidentialité pour refléter des changements dans notre traitement des données ou dans la réglementation applicable. En cas de modification substantielle affectant vos droits, vous serez informé par email au moins 30 jours avantl'entrée en vigueur des changements. La version en vigueur, avec sa date de mise à jour, est toujours accessible sur cette page.