Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données est English Leap Club (ELC Academy), éditeur du service ELC Kids (cf. mentions légales). Compte tenu de la taille de la structure, aucun délégué à la protection des données (DPO) n'est désigné ; toute question ou demande relative aux données personnelles s'adresse directement au responsable du traitement : contact@elc-academy.com.

2. Données traitées

Nous appliquons le principe de minimisation des données :

• Parent : nom, prénom, adresse e-mail, données de facturation (adresse), historique de paiement.
• Enfant (mineur) : prénom, niveau scolaire et niveau d'anglais, présence aux séances et progrès pédagogiques. Aucune donnée d'identification superflue n'est demandée ; l'enfant ne dispose pas de compte propre.
• Visioconférence : flux audio/vidéo en temps réel pendant la séance (non enregistrés par défaut).
• Données techniques : données de connexion et de session nécessaires au fonctionnement et à la sécurité du service.

3. Données du jeu à la maison

L'application de jeu incluse dans le forfait enregistre, pour chaque enfant : les parties jouées (activité, étoiles obtenues, erreurs, écoutes audio, durée), le temps de jeu par jour, ainsi que les étoiles, badges, récompenses et certificats obtenus. Ces données servent exclusivement au suivi pédagogique : elles sont visibles par le parent (dans son espace), par le professeur du groupe et par l'équipe ELC Kids habilitée. Elles ne font l'objet d'aucun profilage publicitaire.

Le parent peut fixer une limite de temps de jeu quotidienne depuis son espace ; le jeu s'interrompt lorsque la limite est atteinte. En mode hors connexion, les parties sont conservées sur l'appareil puis synchronisées au retour du réseau.

4. Finalités et bases légales

• Gestion des inscriptions et des cours : exécution du contrat (art. 6.1.b RGPD).
• Paiement et facturation : exécution du contrat et obligation légale (comptabilité, art. 6.1.b et 6.1.c).
• Traitement des données de l'enfant : consentement parental (art. 6.1.a et art. 8 RGPD).
• Sécurité du service et des séances : intérêt légitime (art. 6.1.f).

5. Consentement parental (mineurs)

Le compte est créé et géré exclusivement par le parent ou le représentant légal, qui exprime un consentement parental explicite et horodaté au traitement des données de son enfant lors de l'inscription, conformément à l'article 8 du RGPD. Ce consentement peut être retiré à tout moment.

6. Destinataires et sous-traitants

Les données ne sont jamais vendues. Elles sont accessibles à l'équipe ELC Kids habilitée et à nos sous-traitants techniques :

• Supabase (base de données, authentification, stockage) : hébergement UE, région eu-west-3 (Paris).
• Stripe (traitement des paiements par carte) : prestataire certifié PCI-DSS.
• LiveKit (visioconférence) : serveurs en UE (Francfort).
• Vercel (hébergement de l'application).
• Resend (envoi des e-mails transactionnels) : région UE (eu-west-1).

Chaque sous-traitant est lié par un accord conforme à l'article 28 du RGPD.

7. Durées de conservation

• Données de compte et pédagogiques : conservées pendant la durée de la relation contractuelle. À la fin de la relation, ou sur retrait du consentement parental, les données de l'enfant sont anonymisées (prénom et date de naissance effacés).
• Données de jeu (parties, temps de jeu, étoiles, badges, récompenses) et certificats, y compris les PDF nominatifs : supprimés lors de l'anonymisation de l'enfant.
• Données de prospects (liste d'attente, demandes d'essai non convertis) : purgées automatiquement 3 ans après leur enregistrement.
• Pièces comptables et factures : 10 ans (obligation légale, art. L123-22 du Code de commerce), conservées sous une forme ne mentionnant pas l'enfant après anonymisation.

8. Transferts hors UE

Les données sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant est susceptible d'opérer un transfert hors UE, celui-ci est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne).

9. Sécurité

L'accès aux données est strictement cloisonné : un parent n'accède qu'aux données de ses propres enfants, un professeur uniquement à ses groupes. Les salles de cours sont privées et réservées aux inscrits. Des mesures techniques (chiffrement en transit, contrôle d'accès au niveau de la base) protègent les données.

10. E-mails

Nous envoyons des e-mails transactionnels nécessaires au service (confirmation d'adresse, réinitialisation de mot de passe, reçus de paiement, rappels d'échéance, échecs de prélèvement) : ils ne peuvent pas être désactivés tant que le compte est actif.

Des e-mails liés au jeu peuvent également être envoyés : rappel de la semaine de jeu non commencée, résumé hebdomadaire d'activité et notification de certificat. Le rappel et le résumé sont désactivables à tout moment depuis l'espace parent. Aucun e-mail n'est adressé à l'enfant.

L'adresse e-mail laissée pour le webinar de lancement sert uniquement à vous envoyer le lien de la visioconférence et est supprimée après le lancement.

L'adresse e-mail laissée lors d'une pré-inscription sert uniquement à vous recontacter pour l'ouverture des groupes, puis est supprimée.

11. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement. Pour les exercer : contact@elc-academy.com.

Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr), autorité de contrôle française.

12. Cookies

Le service utilise uniquement les cookies strictement nécessaires à l'authentification et au fonctionnement (session). Aucun cookie publicitaire ou de traçage tiers n'est déposé, et aucun outil de mesure d'audience n'est utilisé. Un service technique de supervision des erreurs (Sentry) collecte des rapports d'incident anonymes, sans cookie ni profilage.