Politique de confidentialité

Merci Arthur

Dernière mise à jour : 28 mai 2026

Préambule

MERCI ARTHUR, société exploitant la plateforme Merci Arthur, accorde une importance particulière à la protection de vos données personnelles et de celles de vos enfants.

La présente Politique de Confidentialité vous informe sur :

Les données que nous collectons
L'utilisation que nous en faisons
Vos droits concernant ces données
Les mesures de sécurité mises en place

Cette politique est conforme au Règlement Général sur la Protection des Données (RGPD) et à la loi française Informatique et Libertés.

1. Responsable du traitement

Identité du responsable de traitement :

MERCI ARTHUR Société exploitant Merci Arthur Siège social : 60 rue François 1er, 75008 Paris, France Email : privacy@merciarthur.com ou contact@merciarthur.com Site web : www.merciarthur.com

Délégué à la Protection des Données (DPO) : Pour toute question relative à vos données personnelles, contactez notre DPO à : privacy@merciarthur.com

2. Données collectées

Nous collectons différentes catégories de données en fonction de votre profil d'utilisateur.

2.1 Données du Parent (Compte Principal)

Lors de la création de votre Compte Parent, nous collectons :

Données d'identification :

Nom
Prénom
Adresse email
Mot de passe (hashé et sécurisé)

Données de paiement :

Empreinte bancaire lors de l'inscription : la carte (numéro complet, CVC, date d'expiration) est collectée et stockée par Stripe, notre prestataire de paiement certifié PCI-DSS. Aucun montant n'est débité lors de la création de l'empreinte (0€). MERCI ARTHUR ne stocke que la marque de carte, les 4 derniers chiffres et la date d'expiration pour affichage dans l'espace parent.
Historique des transactions et abonnements
Statut d'abonnement (essai, actif, résilié)
Méthode de paiement par défaut (référence Stripe uniquement)

Données de connexion et d'utilisation :

Adresse IP
Type de navigateur et système d'exploitation
Pages visitées et temps passé
Date et heure de connexion
Actions effectuées sur la plateforme

2.2 Données de l'Enfant (Profil Élève)

IMPORTANT - Consentement parental :

Conformément à l'article 8 du RGPD, nous ne collectons de données concernant les mineurs qu'avec le consentement explicite du parent ou représentant légal pour les enfants de moins de 15 ans.

Trois cas de figure :

Profil Enfant créé par un Parent : le Parent donne explicitement son consentement lors de la création du profil.
Compte Élève autonome avec rattachement Parent : l'élève s'inscrit seul, mais un Parent crée ensuite son propre compte et rattache l'enfant via un code famille. Le consentement parental est recueilli à ce moment.
Compte Élève autonome sans rattachement Parent : pour les mineurs de moins de 15 ans, l'usage de la plateforme est limité au mode découverte (1 cours + 10 messages avec Arthur) tant qu'aucun parent n'a donné son consentement explicite. Au-delà, les fonctionnalités IA sont suspendues. Les élèves de 15 ans et plus peuvent consentir seuls.

En créant un Profil Enfant ou en activant un compte élève rattaché, vous (le Parent) donnez votre consentement pour la collecte et le traitement des données suivantes :

Données de profil :

Prénom de l'enfant (UNIQUEMENT le prénom, pas le nom de famille)
Niveau scolaire (6ème, 5ème, 4ème, 3ème)
Date de création du profil

Données de personnalisation :

Centres d'intérêt sélectionnés (gaming, sport, musique, nature, art, science, cuisine, mode)
Sous-catégories d'intérêts (ex : Fortnite, Football, Piano)
Besoins d'accessibilité déclarés (dyslexie, TDAH, dyscalculie, dyspraxie, autisme, malentendant, malvoyant, dysgraphie)

Contenus pédagogiques :

Fichiers uploadés (PDF, images, documents Word)
Textes copiés-collés
Matière associée
Titre donné au cours

Données d'apprentissage :

Cours générés et personnalisés
Flashcards créées
Cartes mentales
Quiz générés et tentatives
Résultats aux quiz (scores, concepts maîtrisés/faibles)
Conversations avec l'assistant Arthur
Historique de révision espacée (si activée)

Données d'utilisation :

Nombre de connexions
Date et heure de dernière activité
Temps passé sur chaque section
Progression dans les cours
Statistiques d'utilisation des outils

Données d'authentification (compte Élève autonome uniquement) :

Adresse email de l'élève (pour la connexion)
Mot de passe (hashé via bcrypt, jamais stocké en clair)

Ce que nous ne collectons PAS :

❌ Nom de famille de l'enfant
❌ Date de naissance précise
❌ Adresse postale
❌ Numéro de téléphone
❌ Photographie de l'enfant
❌ Données bancaires de l'enfant (seul un Parent peut souscrire à un abonnement)

2.3 Données techniques automatiques

Cookies et technologies similaires :

Nous utilisons des cookies pour :

Maintenir votre session connectée
Mémoriser vos préférences
Analyser l'utilisation de la plateforme
Améliorer nos services

Pour plus d'informations, consultez notre Politique de Cookies (Section 8).

3. Finalités et base légale du traitement

3.1 Finalités du traitement

Nous traitons vos données pour les finalités suivantes :

A. Gestion du compte et des services (base légale : exécution du contrat)

Créer et gérer votre Compte Parent
Créer et gérer les Profils Enfants
Fournir l'accès à la plateforme
Gérer l'abonnement et la facturation

B. Personnalisation pédagogique (base légale : consentement parental pour les enfants)

Analyser les contenus uploadés via intelligence artificielle
Adapter les cours aux centres d'intérêt de l'enfant
Personnaliser selon le niveau scolaire
Adapter selon les besoins d'accessibilité (troubles DYS)
Générer flashcards, cartes mentales, quiz personnalisés
Fournir des réponses via l'assistant Arthur

C. Suivi et statistiques (base légale : consentement)

Suivre la progression de l'enfant
Générer des statistiques d'utilisation
Fournir le tableau de bord parent
Identifier les points forts et faibles

D. Amélioration des services (base légale : intérêt légitime)

Analyser l'utilisation de la plateforme
Améliorer les algorithmes de personnalisation
Développer de nouvelles fonctionnalités
Corriger les bugs et erreurs

E. Communication (base légale : intérêt légitime ou consentement)

Envoyer des emails de service (confirmations, notifications)
Informer des nouveautés et mises à jour
Envoyer des newsletters (avec votre consentement préalable)

F. Obligations légales (base légale : obligation légale)

Respecter nos obligations comptables et fiscales
Répondre aux demandes des autorités compétentes

3.2 Consentement parental - Article 8 RGPD

Pour les enfants de moins de 15 ans :

Le traitement des données de l'enfant repose sur le consentement parental conformément à l'article 8 du RGPD.

En créant un Profil Enfant, vous :

Déclarez être le représentant légal de l'enfant
Donnez votre consentement explicite pour la collecte et le traitement des données
Reconnaissez avoir été informé des finalités du traitement
Acceptez que l'enfant utilise la plateforme via son lien d'accès unique

Retrait du consentement :

Vous pouvez retirer votre consentement à tout moment en :

Supprimant le Profil Enfant depuis votre tableau de bord
Contactant notre support à privacy@merciarthur.com

Le retrait du consentement entraîne la suppression du Profil Enfant et de toutes ses données.

4. Destinataires des données

Vos données sont accessibles aux catégories de destinataires suivantes :

4.1 Personnel autorisé de MERCI ARTHUR

Seuls les membres de notre équipe habilités et formés à la protection des données ont accès à vos informations, dans la limite de leurs attributions.

4.2 Prestataires techniques

Anthropic (Claude AI) :

Finalité : Analyse et personnalisation des contenus pédagogiques
Données transmises : Contenus uploadés, prénom enfant, niveau, intérêts, besoins accessibilité
Localisation : États-Unis (transfert encadré par clauses contractuelles types)
Garanties : Anthropic s'engage à ne pas utiliser vos données pour entraîner ses modèles IA
Plus d'infos : https://www.anthropic.com/privacy

Stripe :

Finalité : Traitement des paiements
Données transmises : Informations de paiement, montants, historique transactions
Localisation : Union Européenne et États-Unis (conformité PCI-DSS)
Plus d'infos : https://stripe.com/privacy

Mistral AI (si activé) :

Finalité : Synthèse vocale des contenus (fonctionnalité audio)
Données transmises : Textes des cours personnalisés
Localisation : Union Européenne (France)
Plus d'infos : https://mistral.ai/privacy-policy/

4.3 Prestataires d'analyse

Plausible Analytics (si activé) :

Finalité : Statistiques d'utilisation anonymisées
Données transmises : Pages visitées, temps passé (sans cookies tiers)
Localisation : Union Européenne
Conformité : 100% RGPD, pas de cookies
Plus d'infos : https://plausible.io/privacy

4.4 Autorités légales

Nous pouvons être amenés à communiquer vos données aux autorités légales en cas de :

Réquisition judiciaire
Obligation légale
Protection de nos droits ou de ceux de tiers

5. Transferts de données hors UE

Certains de nos prestataires sont situés en dehors de l'Union Européenne (notamment Anthropic aux États-Unis).

Garanties mises en place :

Pour tout transfert hors UE, nous nous assurons que :

Le prestataire offre un niveau de protection adéquat
Des clauses contractuelles types (CCT) approuvées par la Commission Européenne sont en place
Le prestataire respecte les principes du RGPD

Anthropic - États-Unis :

Clauses contractuelles types en place
Engagement contractuel de protection des données
Pas d'utilisation pour entraînement IA
Suppression après traitement

Vous pouvez obtenir une copie de ces garanties en contactant : privacy@merciarthur.com

6. Durée de conservation des données

Nous conservons vos données pour les durées suivantes :

6.1 Données du Compte Parent

Catégorie	Durée de conservation
Compte actif	Pendant toute la durée de l'abonnement
Après résiliation	30 jours puis suppression
Données de facturation	10 ans (obligation légale comptable)
Logs de connexion	12 mois

6.2 Données des Profils Enfants

Catégorie	Durée de conservation
Profil actif	Pendant toute la durée du Compte Parent
Après suppression profil	Suppression immédiate
Après résiliation compte parent	30 jours puis suppression
Contenus uploadés	Jusqu'à suppression manuelle ou résiliation
Statistiques d'apprentissage	Jusqu'à suppression profil ou résiliation

6.3 Suppression automatique

À l'expiration des délais :

Les données sont automatiquement supprimées de nos serveurs
Les sauvegardes contenant ces données sont purgées sous 90 jours
Nous ne conservons aucune donnée au-delà des durées légales

Exception : Les données nécessaires à l'exercice ou à la défense de droits en justice peuvent être conservées jusqu'à la fin des procédures.

7. Vos droits sur vos données

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

7.1 Droit d'accès

Vous pouvez demander :

La confirmation que nous traitons vos données
Une copie de vos données personnelles
Des informations sur les traitements effectués

7.2 Droit de rectification

Vous pouvez demander la correction de données inexactes ou incomplètes.

En pratique : Vous pouvez modifier la plupart des informations directement depuis votre espace Parent.

7.3 Droit à l'effacement ("droit à l'oubli")

Vous pouvez demander la suppression de vos données dans les cas suivants :

Les données ne sont plus nécessaires
Vous retirez votre consentement
Vous vous opposez au traitement
Les données ont été traitées illicitement

Limites : Ce droit ne s'applique pas si nous devons conserver les données pour respecter une obligation légale (ex : facturation).

7.4 Droit à la limitation du traitement

Vous pouvez demander la limitation du traitement de vos données dans certains cas (contestation, traitement illicite, etc.).

7.5 Droit à la portabilité

Vous pouvez récupérer vos données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV).

En pratique : Vous pouvez exporter vos données depuis votre espace Parent ou nous contacter.

7.6 Droit d'opposition

Vous pouvez vous opposer à tout moment :

Au traitement de vos données à des fins de marketing direct
Au traitement fondé sur notre intérêt légitime

7.7 Droit de retirer son consentement

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment.

Pour les Profils Enfants : Retirer le consentement parental entraîne la suppression du Profil Enfant.

7.8 Droit de définir des directives post-mortem

Vous pouvez définir des directives relatives au sort de vos données après votre décès.

7.9 Comment exercer vos droits ?

Par email : privacy@merciarthur.com ou contact@merciarthur.com

Par courrier : MERCI ARTHUR - Service Protection des Données 60 rue François 1er, 75008 Paris, France

Délai de réponse : 1 mois (prolongeable de 2 mois si complexité)

Pièces justificatives : Pour des raisons de sécurité, nous pouvons vous demander une copie d'une pièce d'identité.

8. Cookies et technologies similaires

8.1 Qu'est-ce qu'un cookie ?

Un cookie est un petit fichier texte déposé sur votre appareil lors de la visite d'un site internet.

8.2 Cookies utilisés

Cookies strictement nécessaires (pas de consentement requis) :

Cookie de session (maintien de la connexion)
Cookie de sécurité CSRF
Cookie de préférences linguistiques

Cookies analytiques (consentement requis) :

Plausible Analytics (si activé) : statistiques anonymisées sans cookies tiers

Cookies marketing (consentement requis) :

Nous n'utilisons actuellement aucun cookie marketing ou publicitaire

8.3 Gestion des cookies

Lors de votre première visite : Un bandeau cookies vous permet d'accepter ou refuser les cookies non essentiels.

À tout moment : Vous pouvez modifier vos préférences depuis les Paramètres de votre compte.

Via votre navigateur : Vous pouvez également configurer votre navigateur pour :

Refuser tous les cookies
Être notifié à chaque dépôt de cookie
Supprimer les cookies existants

⚠️ Attention : Le refus des cookies strictement nécessaires peut empêcher l'utilisation de certaines fonctionnalités.

9. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre :

L'accès non autorisé
La perte accidentelle
La destruction
Les dommages
Le traitement illicite

9.1 Mesures techniques

Chiffrement :

Connexions HTTPS (SSL/TLS) pour toutes les communications
Mots de passe hashés avec algorithme bcrypt
Chiffrement des données sensibles en base

Sécurité réseau :

Firewall et protection anti-DDoS
Surveillance continue des serveurs
Sauvegardes quotidiennes chiffrées

Authentification :

Mots de passe sécurisés (minimum 8 caractères)
Liens d'accès enfant uniques et impossibles à deviner (10^36 combinaisons)
Tokens de session sécurisés

9.2 Mesures organisationnelles

Accès limité :

Principe du moindre privilège (accès limité au strict nécessaire)
Authentification forte pour l'équipe
Journalisation des accès

Formation :

Sensibilisation du personnel à la protection des données
Procédures de sécurité documentées

Audits :

Audits de sécurité réguliers
Tests d'intrusion
Veille sur les vulnérabilités

9.3 En cas de violation de données

En cas de violation de données personnelles susceptible de présenter un risque pour vos droits :

Nous notifions la CNIL sous 72 heures
Nous vous informons sans délai excessif
Nous prenons les mesures nécessaires pour limiter les conséquences

10. Données des mineurs - Protection renforcée

10.1 Engagement de protection

La protection des données des enfants est notre priorité absolue.

Nous nous engageons à :

Ne collecter que les données strictement nécessaires
Obtenir le consentement parental préalable (RGPD Article 8)
Adapter nos traitements à l'âge de l'enfant
Sécuriser particulièrement ces données
Permettre aux parents un contrôle total

10.2 Pas de profiling commercial

Nous nous interdisons formellement de :

❌ Utiliser les données des enfants à des fins publicitaires
❌ Créer des profils marketing
❌ Vendre ou louer les données à des tiers
❌ Partager les données avec des réseaux publicitaires

10.3 Anonymisation pour amélioration

Pour améliorer nos algorithmes de personnalisation, nous pouvons utiliser des données totalement anonymisées (impossible de remonter à un enfant spécifique).

10.4 Contrôle parental renforcé

Les parents ont accès à :

Toutes les données de l'enfant
Toutes les statistiques
Tous les contenus générés
L'historique d'activité complet

Les parents peuvent à tout moment :

Modifier le profil de l'enfant
Supprimer des contenus
Supprimer le profil entièrement
Exporter toutes les données

11. Modifications de la politique

Nous pouvons modifier la présente Politique de Confidentialité pour :

Refléter des changements dans nos pratiques
Se conformer à de nouvelles obligations légales
Améliorer la clarté et la transparence

11.1 Notification des modifications

En cas de modification substantielle :

Nous vous notifions par email
Nous affichons un message sur la plateforme
La nouvelle version est accessible à tout moment

11.2 Acceptation

La poursuite de l'utilisation de la plateforme après modification vaut acceptation de la nouvelle politique.

Si vous refusez les modifications, vous pouvez fermer votre compte en contactant notre support.

12. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas le RGPD, vous pouvez introduire une réclamation auprès de l'autorité de contrôle compétente :

Commission Nationale de l'Informatique et des Libertés (CNIL) Adresse : 3 Place de Fontenoy - TSA 80715 - 75334 PARIS CEDEX 07 Téléphone : 01 53 73 22 22 Site : www.cnil.fr Formulaire de plainte : https://www.cnil.fr/fr/plaintes

13. Contact - Délégué à la protection des données

Pour toute question concernant vos données personnelles ou l'exercice de vos droits :

Délégué à la Protection des Données (DPO) Email : privacy@merciarthur.com ou contact@merciarthur.com

MERCI ARTHUR - Merci Arthur 60 rue François 1er, 75008 Paris, France Site web : www.merciarthur.com

Nous nous engageons à répondre à toutes vos demandes dans les meilleurs délais.

14. Glossaire

RGPD : Règlement Général sur la Protection des Données, règlement européen n°2016/679 du 27 avril 2016.

Données personnelles : Toute information se rapportant à une personne physique identifiée ou identifiable.

Traitement : Toute opération appliquée à des données personnelles (collecte, enregistrement, conservation, modification, extraction, consultation, utilisation, communication, etc.).

Responsable de traitement : Personne qui détermine les finalités et les moyens du traitement (MERCI ARTHUR).

Sous-traitant : Personne qui traite des données pour le compte du responsable de traitement (ex : Anthropic, Stripe).

Consentement : Manifestation de volonté libre, spécifique, éclairée et univoque.

Profilage : Traitement automatisé de données personnelles pour évaluer certains aspects personnels.

Date d'entrée en vigueur : 28 mai 2026

Dernière mise à jour : 28 mai 2026

Version : 1.0