Politique de confidentialité
Dernière mise à jour : 22 octobre 2026
Qui décide quoi. Tout dépend de la façon dont vous utilisez Rescue Refresh.
Vous êtes stagiaire d'un organisme (fédération, association, centre de formation, employeur) : c'est l'organisme qui vous a inscrit qui est responsable de traitement. Il décide des données collectées et des finalités. Rescue Refresh agit comme sous-traitant au sens de l'article 28 du RGPD et traite ces données uniquement sur ses instructions. Adressez vos demandes à cet organisme : nous les relayons et l'assistons.
Vous avez acheté un accès individuel dans la boutique, vous nous écrivez par le formulaire de contact, ou vous gérez le compte d'un organisme client : Rescue Refresh est alors responsable de traitement.
Responsable de traitement dans ce second cas : Titouan Devaud, entrepreneur individuel (Rescue Refresh), 5 rue Gaston Le Lain, 56100 Lorient, France, contact@rescuerefresh.com.
Données traitées
Identité et rattachement
- Nom, prénom, adresse e-mail
- Employeur ou centre de formation de rattachement
- Numéro et nom de la session de formation
- Rôle dans l'application : apprenant, formateur, administrateur
- Date d'inscription, état du compte
- Fuseau horaire du navigateur, pour que la série de jours et les rappels suivent l'heure locale
- Date de recyclage, si l'apprenant ou son organisme la renseigne, pour resserrer les révisions avant l'échéance
- Identifiant d'appareil tiré au hasard (sans lien avec le matériel) : un compte apprenant ne s'utilise que sur un appareil à la fois ; pour les comptes formateur et administrateur, type d'appareil et de navigateur (ex. « Mac · Safari ») et heure de dernière activité, pour signaler une connexion simultanée
Activité de révision
- Progression par question : niveau de maîtrise, nombre de répétitions, dates de révision
- Réponses rédigées ou dictées, et mode de saisie utilisé
- Notes attribuées par l'intelligence artificielle et justifications associées
- Correction éventuelle de la note par l'apprenant lui-même
- Degré de confiance indiqué avant la correction (« sûr » ou « pas sûr »), s'il est renseigné
- Questions posées au tuteur Boosty ; l'organisme les consulte sans le nom de l'apprenant, regroupées par unité, pour repérer les points mal compris
- Résultats des examens blancs et badges obtenus
- Sessions de révision interrompues, pour permettre la reprise
- Signalements de questions et demandes relatives aux données personnelles
- Erreurs techniques rencontrées dans l'application (message d'erreur, page, type de navigateur), pour pouvoir les corriger
Achat d'un accès individuel
- Adresse e-mail, nom et prénom, adresse de facturation saisie sur la page de paiement
- Espace acheté, montant, date, référence du paiement, acceptation des conditions générales de vente et renonciation au droit de rétractation
- Les données de carte bancaire sont saisies directement chez Stripe : Rescue Refresh ne les voit ni ne les conserve
Essai gratuit (découverte de 7 jours)
- Prénom et adresse e-mail saisis sur la page d'essai, date de fin de l'essai
- Votre choix concernant nos offres par e-mail (accord ou refus), et sa date
- Adresse IP de l'inscription, pour limiter les inscriptions abusives (supprimée au bout de 90 jours)
Démonstration pour les organismes
- Prénom, nom, adresse e-mail et, si vous l'indiquez, nom de votre organisme, saisis avant d'ouvrir la démo
- Vue choisie (formateur ou apprenant), date et adresse IP de l'ouverture
Aucune donnée de santé n'est collectée. Aucun profilage publicitaire n'est réalisé. Aucune décision produisant un effet juridique n'est prise de façon entièrement automatisée (article 22 du RGPD) : en révision et en examen blanc, la notation par intelligence artificielle est un outil d'entraînement, révisable par l'apprenant et par son formateur. Pour les certifications organisées par un organisme, la correction automatique n'est qu'une aide : le rapport détaillé est transmis à l'organisme, qui l'examine et décide seul de la suite à donner, notamment de la délivrance d'une qualification.
Finalités et bases légales
| Finalité | Base légale (art. 6 du RGPD) |
|---|---|
| Réviser et entretenir ses connaissances, calculer les intervalles de répétition espacée, corriger les réponses | Exécution du contrat (avec l'organisme, ou avec le particulier qui a acheté son accès) |
| Suivi de la progression par le formateur de l'organisme | Exécution du contrat entre l'organisme et Rescue Refresh ; pour l'organisme, sa propre base légale (contrat de formation, intérêt légitime) |
| Rappels de révision par e-mail | Intérêt légitime (aider l'apprenant à garder le rythme) ; désactivables à tout moment |
| Sécurité des comptes : un appareil à la fois pour les apprenants, signalement des connexions simultanées | Intérêt légitime (protéger les comptes et le service) |
| Journal des erreurs techniques de l'application | Intérêt légitime (corriger les dysfonctionnements) |
| Essai gratuit de 7 jours (découverte de l'application) | Exécution des conditions générales d'utilisation acceptées à l'inscription |
| Ouverture de votre démo (14 jours) et e-mails à son sujet (fin prochaine, fin de la démo, proposition de devis : 4 e-mails au plus) | Mesures précontractuelles prises à votre demande, et notre intérêt légitime à présenter notre offre aux professionnels qui l'ont essayée ; vous pouvez vous y opposer à tout moment par le lien présent dans chaque e-mail ou en nous écrivant |
| Envoi de nos offres commerciales par e-mail | Pour l'essai découverte : votre consentement (case séparée, non cochée par défaut). Pour nos clients : notre intérêt légitime à vous présenter des offres semblables à ce que vous avez acheté (article L34-5 du code des postes et des communications électroniques), sauf si vous l'avez refusé au moment de l'achat. Dans tous les cas, vous pouvez vous y opposer à tout moment depuis « Mes données », par le lien présent dans chaque e-mail ou en nous écrivant |
| Limitation des inscriptions abusives à l'essai gratuit | Intérêt légitime (protéger le service) |
| Vente d'un accès individuel et facturation | Exécution du contrat ; obligation légale pour la conservation des pièces comptables |
| Réponse aux messages du formulaire de contact | Intérêt légitime (répondre aux demandes) ; mesures précontractuelles pour un organisme intéressé |
| Traitement des demandes relatives aux données | Obligation légale |
Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et identité | Durée de la relation avec l'organisme, puis 12 mois |
| Progression et réponses | 3 ans après la dernière activité |
| Résultats d'examens blancs | 3 ans après la dernière activité |
| Compte d'essai gratuit (sans achat) | 12 mois après la fin de l'essai |
| Coordonnées laissées pour ouvrir la démo | 3 ans après l'ouverture de la démo, sauf si vous devenez client ; la démo elle-même (organisme et apprenants fictifs) est supprimée à la fin des 14 jours |
| Accord pour recevoir nos offres par e-mail | Jusqu'à son retrait, et au plus tard jusqu'à la suppression du compte |
| Journal des inscriptions à l'essai (adresse IP) | 90 jours |
| Sessions interrompues | 7 jours |
| Journal des erreurs techniques | 90 jours |
| Signalements traités | 12 mois |
| Demandes relatives aux données | 3 ans, à des fins de preuve |
| Achats : pièces comptables (facture, montant, date, identité de l'acheteur) | 10 ans (article L123-22 du code de commerce) |
| Messages du formulaire de contact | Le temps de l'échange, puis 3 ans au plus |
Ces durées sont appliquées par une purge automatique quotidienne de la base. L'organisme responsable de traitement peut demander à tout moment une durée plus courte, ou la suppression immédiate des données de ses stagiaires. Pour un accès individuel, la « relation » prend fin à l'expiration de l'accès acheté.
Destinataires et sous-traitants
Les données ne sont ni vendues, ni louées, ni communiquées à des tiers à des fins commerciales. Elles sont accessibles à l'apprenant pour ce qui le concerne, au formateur pour sa seule session, à l'administrateur de l'organisme, à l'administrateur de Rescue Refresh, et aux prestataires techniques ci-dessous.
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase Inc. | Base de données, authentification, fonctions serveur | France (Paris) |
| Anthropic PBC | Correction des réponses, tuteur, génération de questions | États-Unis |
| Hostinger International Ltd | Hébergement du site | Chypre |
| Brevo (Sendinblue SAS) | Envoi des rappels par e-mail | France / Union européenne |
| Google Cloud (Google LLC) | Lecture à voix haute des textes (synthèse vocale) | Union européenne (point d'accès européen) |
| Stripe Payments Europe, Ltd. | Paiement des accès individuels (boutique) | Irlande (Union européenne) |
Lieu de stockage et transferts hors de l'Union européenne
France
Les données (comptes, réponses, progression) sont stockées en France, dans la région de Paris. Supabase Inc. étant une société de droit américain, l'accord de traitement des données conclu avec elle intègre les clauses contractuelles types adoptées par la Commission européenne.
États-Unis
Lorsqu'un apprenant valide une réponse, le texte de cette réponse ainsi que la question et sa réponse de référence sont transmis à Anthropic, aux États-Unis, pour correction automatisée. Ce transfert est encadré par les clauses contractuelles types adoptées par la Commission européenne en 2021, intégrées à l'accord de traitement conclu avec Anthropic.
Les réponses transmises ne sont pas utilisées pour entraîner des modèles d'intelligence artificielle. Aucun nom, prénom ni adresse e-mail n'accompagne la réponse envoyée.
Rappels par e-mail
Si l'apprenant garde les rappels activés, son prénom et son adresse e-mail sont transmis à Brevo, prestataire français, uniquement pour lui envoyer ces rappels. Il peut les désactiver à tout moment depuis son accueil.
Paiement
Lors d'un achat dans la boutique, le paiement se fait sur une page hébergée par Stripe. Stripe reçoit l'adresse e-mail, le nom, l'adresse de facturation et les données de paiement, et les traite aussi pour ses propres obligations (lutte contre la fraude, obligations bancaires), selon sa politique de confidentialité. Rescue Refresh ne reçoit jamais le numéro de carte.
Lecture à voix haute
Quand l'apprenant demande à écouter un texte (question, correction, texte officiel, réponse du tuteur), ce texte est transmis au service de synthèse vocale de Google Cloud, par son point d'accès européen, pour être converti en audio. Aucun nom, prénom ni adresse e-mail n'est transmis. Google LLC étant une société de droit américain, ce traitement est encadré par l'accord de traitement des données de Google Cloud, qui intègre les clauses contractuelles types de la Commission européenne.
Dictée vocale
L'application permet de dicter sa réponse plutôt que de la saisir. Cette fonction utilise le moteur de reconnaissance vocale intégré au navigateur de l'apprenant. Selon le navigateur, l'enregistrement audio peut être transmis à son éditeur — Google pour Chrome, Apple pour Safari — selon des conditions qui leur sont propres et sur lesquelles Rescue Refresh n'a aucune maîtrise.
L'apprenant qui ne souhaite pas ce traitement peut saisir sa réponse au clavier : les deux modes sont équivalents et disponibles à tout moment.
Sécurité
- Communications chiffrées de bout en bout (HTTPS)
- Cloisonnement au niveau de la base : chaque apprenant ne peut lire que ses propres données, chaque organisme uniquement celles de ses propres apprenants, règles appliquées par le serveur et non par l'application
- Clés d'accès aux services d'intelligence artificielle conservées côté serveur, jamais exposées au navigateur
Mineurs
En France, le traitement des données d'un mineur de moins de 15 ans requiert l'autorisation du titulaire de l'autorité parentale. L'application ne permet aucune inscription libre. Les comptes de stagiaires sont créés par un organisme : il lui appartient, comme responsable de traitement, de recueillir et de conserver les autorisations parentales nécessaires avant d'inscrire un mineur. Un accès individuel s'achète par une personne majeure, ou par un mineur avec l'accord de son représentant légal (voir les conditions générales de vente).
Cookies et stockage local
L'application ne dépose aucun cookie publicitaire et n'utilise aucun outil de mesure d'audience tiers ni de traçage. Seule exception : quand vous arrivez par un lien marqué (QR code, flyer : adresse se terminant par « ?source=… »), le site compte une visite pour cette source (la source, la page et la date), sans cookie ni donnée personnelle. Les polices de caractères sont hébergées sur le site lui-même : aucune requête n'est faite vers Google Fonts.
Elle conserve dans le navigateur quelques préférences d'affichage et la sauvegarde locale d'une session de révision en cours, afin de ne pas perdre le travail en cas de coupure. Ces informations restent sur l'appareil de l'utilisateur et peuvent être effacées en vidant les données du site.
Vos droits
Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur ses données.
Si vous êtes stagiaire, adressez votre demande à l'organisme qui vous a inscrit : c'est lui le responsable de traitement. L'application met par ailleurs à votre disposition, dans la rubrique « Mes données », un export complet de vos informations et un formulaire de demande transmis à votre administrateur.
Formulaire de contact. Le formulaire de la page Contact transmet par e-mail votre nom, votre e-mail, votre structure (facultative), votre profil et votre message. Ces informations ne sont pas enregistrées sur le site ; elles servent uniquement à vous répondre et sont conservées le temps de l'échange, puis au plus trois ans.
Si vous avez acheté un accès individuel, écrivez à contact@rescuerefresh.com ou utilisez la rubrique « Mes données » : Rescue Refresh est votre interlocuteur direct.
Si vous êtes un organisme client, écrivez à contact@rescuerefresh.com. Nous répondons dans un délai maximum d'un mois.
Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.
Violation de données
En cas de violation de données à caractère personnel, l'éditeur en informe sans délai injustifié l'organisme responsable de traitement, avec les éléments nécessaires à sa propre notification auprès de la CNIL. Pour les données dont il est lui-même responsable (accès individuels), l'éditeur notifie la CNIL dans les 72 heures et prévient les personnes concernées lorsque la loi l'exige.
Évolution
Cette politique peut être modifiée pour tenir compte d'évolutions légales ou techniques. Les organismes clients sont informés de toute modification substantielle, notamment de l'ajout d'un nouveau sous-traitant.