Politique de confidentialité
En résumé (version parents pressés)
- LEONAARD est conçu pour collecter le moins possible de données sur votre enfant. Nous ne conservons pas le texte des réponses qu'il rédige : une fois corrigées, seul le résultat pédagogique (notion travaillée, niveau, réussite ou échec, date) est enregistré.
- Les conversations de votre enfant avec l'assistant Lumio sont supprimées chaque jour. Elles ne sont ni relues, ni analysées, ni conservées au-delà de la journée.
- Aucune donnée n'est utilisée à des fins publicitaires ou marketing, ni vendue, ni transmise à des tiers pour leur propre usage. Il n'y a aucune publicité dans l'application.
- Les données sont hébergées en Europe (Google Cloud, Belgique — région
europe-west1). - L'intelligence artificielle qui corrige les réponses et répond aux questions de votre enfant est fournie par Anthropic (Claude). Les textes qui lui sont transmis ne sont pas utilisés pour entraîner des modèles d'IA (cf. §7).
- Vous, parent, gardez le contrôle : vous créez les profils, consentez pour votre enfant, pouvez consulter sa progression, et supprimer son profil et toutes ses données à tout moment, immédiatement.
1. Qui est responsable du traitement ?
Le responsable du traitement des données est :
LEONAARD, société par actions simplifiée au capital de 2 000 €, immatriculée au RCS de Paris sous le n° 106 561 616, dont le siège social est situé 251 Boulevard Pereire, 75017 Paris (« LEONAARD », « nous »).
Contact pour toute question relative aux données personnelles : privacy@leonaard.com
2. À qui s'adresse LEONAARD ?
LEONAARD est une application de soutien scolaire adaptatif destinée aux élèves de collège (11-15 ans).
- Le compte est créé et géré par un adulte (parent ou titulaire de la responsabilité parentale), qui souscrit l'abonnement.
- Les profils enfants sont créés par le parent, sous sa responsabilité. L'enfant n'a jamais de compte propre : il accède au service via un profil rattaché au compte parent.
- Conformément à la loi française (art. 45 de la loi Informatique et Libertés), le traitement des données d'un mineur de moins de 15 ans est fondé sur le consentement conjoint du mineur et du titulaire de la responsabilité parentale. Ce consentement est recueilli à la création de chaque profil enfant, sur un écran dédié où le parent atteste, par une case à cocher horodatée, que lui et son enfant acceptent ensemble le traitement décrit dans la présente politique. Il peut être retiré à tout moment (cf. §10).
3. Quelles données collectons-nous ?
3.1 Données du parent (titulaire du compte)
| Donnée | Pourquoi |
|---|---|
| Adresse e-mail | Identifiant de connexion, communications de service |
| Prénom, nom (facultatifs) | Personnalisation du compte |
| Mot de passe et code PIN (stockés hachés, jamais en clair) | Sécurité du compte et de la zone parents |
| Statut d'abonnement (formule, échéance, identifiant de transaction du store) | Gestion de l'abonnement |
| Préférences de notifications | Envoi des rappels et rapports choisis |
Nous ne collectons aucune donnée bancaire : le paiement est intégralement traité par Apple (App Store) ou Google (Google Play). Nous ne recevons du store qu'un identifiant de transaction et le statut de l'abonnement.
3.2 Données de l'enfant
Principe directeur : la minimisation. Nous ne stockons que ce qui est strictement nécessaire au fonctionnement pédagogique.
| Donnée | Pourquoi | Durée |
|---|---|---|
| Prénom (ou pseudonyme, au choix du parent) et classe | Personnaliser l'expérience et adapter le contenu au niveau | Vie du profil |
| Progression pédagogique : pour chaque notion travaillée, le niveau atteint, les dates de révision, les réussites/échecs | Cœur du service : planifier les révisions espacées et alimenter le suivi parent | Vie du profil |
| Historique des réponses : notion, niveau, résultat (réussite/échec), date — sans le texte de la réponse | Statistiques de progression et rapport parent | Vie du profil |
| Éléments de jeu (compagnon, objets, badges, série de jours d'activité) | Motivation | Vie du profil |
| Bilan hebdomadaire de progression (texte généré automatiquement, destiné au parent) | Onglet Synthèse du suivi parent | 4 semaines glissantes |
Ce que nous ne conservons PAS :
- Le texte des réponses rédigées par l'enfant. Il est transmis à l'IA pour correction puis n'est pas enregistré. Seuls des vestiges techniques temporaires existent et sont automatiquement purgés chaque nuit : cache anti-doublon sous 48 heures, réponse en attente de reformulation sous 72 heures.
- Les conversations avec l'assistant « Demander à Lumio ». Elles sont conservées sur nos serveurs uniquement pendant la journée en cours (pour afficher le fil de la journée à l'enfant) puis supprimées. Elles ne sont jamais relues par nos équipes ni utilisées à d'autres fins.
- Aucune photo, aucun contenu audio ou vidéo, aucune géolocalisation, aucun contact, aucune donnée de navigation hors de l'application.
3.3 Données techniques
| Donnée | Pourquoi |
|---|---|
| Identifiant d'appareil appairé (nom d'appareil, rôle parent/enfant) | Connexion multi-appareils sécurisée, révocation à distance |
| Jeton de notification push (FCM) | Envoi des notifications choisies par le parent |
| Journaux techniques du serveur (horodatage, erreurs) | Sécurité et bon fonctionnement |
4. Pour quelles finalités ?
1. Fournir le service de tutorat adaptatif : planification des révisions (algorithme de répétition espacée), correction automatisée des réponses, assistance pédagogique (Lumio), suivi parent. Base légale : exécution du contrat.
2. Adapter le contenu à l'âge et au niveau de l'enfant. Base légale : exécution du contrat.
3. Gérer l'abonnement et la facturation (via les stores). Base légale : exécution du contrat / obligation légale.
4. Envoyer les notifications choisies par le parent (rappels, rapports). Base légale : consentement (paramétrable, désactivable à tout moment).
5. Assurer la sécurité du service (authentification, anti-abus, journaux). Base légale : intérêt légitime.
Finalités exclues — engagement contractuel : aucune donnée n'est utilisée à des fins de publicité, de prospection commerciale, de profilage publicitaire, de cession ou revente à des tiers, ni pour l'entraînement de modèles d'intelligence artificielle.
5. L'intelligence artificielle dans LEONAARD (section dédiée)
LEONAARD utilise le modèle d'IA Claude, fourni par Anthropic, pour trois fonctions :
1. La correction des réponses et le retour pédagogique : lorsque l'enfant répond à une question, le texte de sa réponse, la question et l'extrait de cours concerné sont transmis à l'IA, qui évalue la réponse, génère un retour encourageant et, en cas d'erreur, une explication de tuteur. Le texte de la réponse n'est ensuite pas conservé par LEONAARD (cf. §3.2).
2. L'assistant « Demander à Lumio » : l'enfant peut poser une question libre lorsqu'il bloque. Sa question et le cours concerné sont transmis à l'IA, qui répond en restant ancrée sur le programme. Ces échanges sont limités (10 questions par jour), modérés (l'assistant est configuré pour rester dans le périmètre scolaire et réagir avec précaution aux messages préoccupants), et supprimés chaque jour.
3. Le bilan hebdomadaire parent : un résumé de la progression (données de progression uniquement, pas de texte de l'enfant) est généré pour l'onglet Synthèse.
Garanties :
- Les données transmises à Anthropic via son API ne sont pas utilisées pour entraîner ses modèles — engagement contractuel figurant dans son accord de traitement des données (version en vigueur archivée par LEONAARD le 10 juillet 2026).
- Décision automatisée (art. 22 RGPD) : la correction par IA détermine uniquement le rythme de révision d'une notion (avancer, revoir demain). Elle n'a aucun effet juridique ni d'effet significatif similaire : elle ne note pas l'enfant au sens scolaire, ne le classe pas, et n'est transmise à aucun établissement. Le parent peut contester un résultat et demander une intervention humaine à support@leonaard.com ; l'enfant peut toujours retravailler une notion.
- Données sensibles : l'assistant Lumio n'est pas conçu pour recueillir des confidences. Si un enfant exprime un mal-être, l'assistant répond avec bienveillance en l'orientant vers un adulte de confiance, et l'échange est supprimé comme les autres en fin de journée. Nous ne constituons aucun profil psychologique.
6. Combien de temps conservons-nous les données ?
| Donnée | Durée de conservation |
|---|---|
| Conversations avec Lumio | Journée en cours, puis suppression |
| Texte des réponses de l'enfant | Non conservé (transit uniquement pour correction ; vestiges techniques purgés automatiquement sous 48 à 72 h — purge quotidienne active) |
| Progression pédagogique, historique des résultats | Vie du profil enfant |
| Compte parent et profils | Jusqu'à suppression par le parent, ou 24 mois après la fin de l'abonnement sans reconnexion (avec e-mail préalable un mois avant) |
| Appareils appairés révoqués | Jeton de notification effacé immédiatement ; trace supprimée sous 30 jours |
| Journaux techniques | 12 mois |
| Données de facturation (identifiants de transaction) | 10 ans (obligation comptable) |
La suppression d'un profil enfant par le parent est immédiate et en cascade : progression, historique, badges, appareils appairés, tout est effacé.
7. Qui a accès aux données ? (destinataires et sous-traitants)
Nous ne vendons ni ne cédons aucune donnée. Les seuls destinataires sont nos sous-traitants techniques, chacun limité à sa fonction :
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Google Cloud (Cloud Run, Cloud SQL) | Hébergement de l'application et de la base de données | Union européenne (Belgique, europe-west1) |
| Anthropic | Modèle d'IA (correction, Lumio, synthèse) | États-Unis — cf. §8 |
| Apple / Google | Paiement de l'abonnement (App Store / Play Store) | Selon leurs propres politiques (le paiement relève de leur relation directe avec vous) |
| RevenueCat | Gestion technique des abonnements (statuts, reçus) | États-Unis — cf. §8 |
| Firebase Cloud Messaging (Google) | Acheminement des notifications push | UE/États-Unis selon l'infrastructure Google |
Des accords de sous-traitance (art. 28 RGPD) encadrent chacune de ces relations :
- Google Cloud — Cloud Data Processing Addendum (version du 8 juin 2026), intégré aux conditions Google Cloud ; copie datée archivée le 10 juillet 2026 ;
- Anthropic — Data Processing Addendum incorporé aux Commercial Terms of Service (clients API) ; copies datées archivées le 10 juillet 2026 ;
- RevenueCat — Data Processing Addendum (version effective juin 2026), auto-incorporé aux conditions d'utilisation ; copie datée archivée le 10 juillet 2026, acceptée à la création du compte le 15 juillet 2026.
8. Transferts hors de l'Union européenne
- La base de données et l'hébergement sont situés dans l'UE et n'en sortent pas.
- Exception encadrée : les appels à l'IA. Le texte transmis pour correction et les questions à Lumio transitent par l'API d'Anthropic (États-Unis). Ce transfert est encadré par les clauses contractuelles types (SCC — décision d'exécution UE 2021/914) figurant dans l'accord de traitement des données d'Anthropic. Anthropic est en outre certifiée au cadre EU-U.S. Data Privacy Framework (décision d'adéquation de la Commission européenne) et n'utilise pas les données qui lui sont transmises pour entraîner ses modèles (engagement contractuel).
- RevenueCat (États-Unis) ne traite aucune donnée d'enfant — uniquement les données d'abonnement du parent. Transfert encadré par les clauses contractuelles types (SCC, décision 2021/914).
9. Comment protégeons-nous les données ?
- Chiffrement des communications (TLS) et connexions à la base de données chiffrées obligatoires (SSL forcé).
- Mots de passe et codes PIN stockés hachés (bcrypt) — jamais en clair.
- Zone parents protégée par PIN dans l'application ; profils enfants sans accès aux fonctions parents (appareils enfants en mode restreint).
- Appairage d'appareils par code à usage unique (validité 10 minutes), révocation immédiate à distance, protection contre les tentatives répétées.
- Sauvegardes quotidiennes chiffrées, conservées 7 jours.
- Limitation des requêtes (anti-abus) sur les fonctions sensibles ; plafond quotidien d'utilisation de l'IA.
- Secrets d'infrastructure gérés dans un coffre dédié (Google Secret Manager).
10. Vos droits (et ceux de votre enfant)
Le parent exerce les droits pour lui-même et pour son enfant : accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement à tout moment.
- Directement dans l'application (Zone parents → Compte) : export de toutes les données du compte (fichier JSON : profil, progression et historique de chaque enfant), suppression complète du compte (immédiate et définitive, après re-saisie du mot de passe), suppression d'un profil enfant (immédiate, en cascade), modification des informations, réglage/désactivation des notifications.
- Par e-mail : privacy@leonaard.com — réponse sous un mois.
- L'enfant peut lui-même demander, avec des mots simples, la suppression de ses données via ses parents ; nous répondons de façon adaptée à son âge.
Vous disposez du droit d'introduire une réclamation auprès de la CNIL (cnil.fr).
11. Cookies et traceurs
Dans l'application (utilisée par votre enfant) : aucun cookie publicitaire ni SDK de publicité ou de mesure d'audience tiers. Les seuls identifiants techniques utilisés sont ceux nécessaires au fonctionnement (session, jeton de notification si activée).
Sur le site web leonaard.com (destiné aux parents) : nous utilisons Umami, un outil de mesure d'audience sans cookie et hébergé dans l'Union européenne, configuré selon l'exemption de consentement de la CNIL — statistiques agrégées et anonymes (pages vues, origine de la visite), sans suivi entre sites, sans transfert des données à des tiers pour leur propre usage, sans publicité. C'est pourquoi le site n'affiche pas de bandeau de consentement : la CNIL n'en exige pas pour ce type de mesure strictement limitée. Aucun outil de ce type n'est présent dans l'application elle-même.
12. Mineurs — engagements spécifiques
- Aucune fonction sociale : pas de chat entre utilisateurs, pas de partage public, pas de classement entre enfants.
- Aucun profilage publicitaire, aucune publicité, aucun achat intégré accessible à l'enfant (l'abonnement est géré exclusivement dans la zone parents, derrière PIN).
- Contenu strictement scolaire, conforme aux programmes officiels.
- Temps d'écran quotidien plafonné, réglable par le parent (20 à 60 minutes).
- Design sans mécaniques d'engagement nocturne : pas de notification à l'enfant en dehors des heures paramétrées par le parent.
13. Modifications de cette politique
Toute modification substantielle (nouvelle donnée collectée, nouveau sous-traitant, changement de localisation) sera notifiée au parent par e-mail et/ou dans l'application avant son entrée en vigueur, avec possibilité de refuser en supprimant le compte. La date de version figure en tête du document. Les versions antérieures sont disponibles sur demande.
14. Contact et réclamation
- Questions données personnelles : privacy@leonaard.com
- Support général : support@leonaard.com
- Autorité de contrôle : CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr