Vue de synthèse des traitements de données déclarés pour le site
Cette page reprend les traitements de données mis en œuvre par App'Évol, décrits à partir du fonctionnement réel du service. Elle regroupe en 14 rubriques lisibles les traitements du registre détaillé tenu au titre de l'article 30 du RGPD : chaque rubrique indique, en bas de bloc, les numéros du registre interne qu'elle couvre.
Flavien MATHIEU
SIREN : 940822463 • SIRET : 94082246300011
4 bis rue Lucien Sergent – 91300 MASSY
Prospects, Parents ou responsables légaux
Orthopédagogue destinataire de la demande, Éditeur du site, Scaleway (envoi des emails, France)
Aucun. Hébergement et envoi des emails en France
3 ans à compter de la création de la demande, purge automatique (TTL MongoDB), y compris lorsque la demande a été convertie en dossier apprenant : le dossier créé, lui, est conservé
Mesures précontractuelles et intérêt légitime de réponse aux demandes
Correspond aux traitements n° 9, n° 11 du registre interne tenu au titre de l'article 30 du RGPD.
Enfants ou adolescents, Parents / responsables légaux, Enseignants si sollicités
Orthopédagogue propriétaire du dossier, Éditeur du site en qualité de sous-traitant technique, Vercel, MongoDB Atlas et Backblaze B2 (hébergement et stockage), Destinataires autorisés via un lien de partage
Aucun. Base de données en France, fichiers aux Pays-Bas. Clauses contractuelles types pour les accès de maintenance des maisons mères américaines
3 ans après la dernière modification du dossier, puis 30 jours de préavis affiché à l'orthopédagogue, puis suppression physique en cascade : séances, rendez-vous, contrats, fiches d'entretien, documents signés et leurs fichiers, liens de partage, et retrait de l'apprenant des ateliers collectifs. Suppression manuelle possible à tout moment. Deux limites à connaître : cette suppression automatique ne concerne pas les dossiers archivés, et elle s'exécute au moment où l'orthopédagogue ouvre son tableau de bord — un compte auquel plus personne ne se connecte ne la déclenche donc jamais. Les factures, devis et écritures comptables ne sont pas effacés avec le dossier : ils suivent la durée du traitement n° 4
Consentement explicite pour les données sensibles et exécution du service
Correspond aux traitements n° 2, n° 5 du registre interne tenu au titre de l'article 30 du RGPD.
Parents, Enseignants, Établissements scolaires et partenaires signataires, Apprenants adultes
Destinataires autorisés du lien, Toutes les parties signataires, qui reçoivent la copie signée par email, Éditeur du site
Aucun transfert intentionnel autre que l'hébergement applicatif en France et le stockage des fichiers aux Pays-Bas
Les liens sont purgés automatiquement : questionnaire, supprimé à son expiration, 30 jours par défaut ; signature de contrat, 30 jours de validité puis 30 jours de conservation ; partage de documents, 90 jours de validité puis 90 jours de conservation, soit jusqu'à 6 mois. Le contrat ou le document signé, lui, n'a pas de durée propre : il est conservé aussi longtemps que le dossier apprenant auquel il se rattache et disparaît avec lui
Exécution du service, et intérêt légitime de conserver la preuve d'une signature. L'adresse IP d'un signataire ne figure jamais sur la copie diffusée aux autres parties
Correspond aux traitements n° 4, n° 15 du registre interne tenu au titre de l'article 30 du RGPD.
Clients, Parents payeurs, Apprenants, dont le nom figure sur la facture et dans l'intitulé du paiement en ligne
Orthopédagogue émettrice, Éditeur du site, Stripe Payments Europe (Dublin), Scaleway pour l'envoi des factures
Entité Stripe contractante établie en Irlande, clauses contractuelles types pour ses affiliés américains
10 ans pour les obligations comptables : au-delà, les factures et les écritures comptables sont effacées automatiquement. Les devis ne sont concernés par aucune suppression automatique et sont conservés sans limite de durée. À la suppression d'un compte, l'identité du client est immédiatement remplacée par une mention anonyme sur les factures, les devis et la comptabilité, montants et numéros conservés — à une exception près : l'adresse email ou le numéro de téléphone auquel un lien de paiement a été envoyé n'est pas anonymisé et subsiste sur la facture
Obligation légale comptable et exécution contractuelle
Correspond aux traitements n° 3, n° 7 du registre interne tenu au titre de l'article 30 du RGPD.
Utilisateurs connectés, Visiteurs accédant aux liens ou emails tracés, Auteurs de tentatives de connexion
Éditeur du site, Vercel, qui héberge l'application et conserve les journaux de ses serveurs, Sentry (instance allemande), Upstash, qui héberge les compteurs anti-abus (Royaume-Uni)
Application hébergée en France, supervision en Allemagne. Les compteurs anti-abus, qui portent l'adresse email saisie, l'adresse IP, l'identifiant du compte ou le jeton d'un lien de consultation et s'effacent en moins d'une heure, ont leur point d'accès au Royaume-Uni : pays reconnu adéquat par la Commission européenne, décisions renouvelées le 21 décembre 2025
Compteurs anti-abus : 15 minutes pour la connexion, 10 minutes pour la plupart des autres formulaires, jusqu'à une heure pour une demande de réinitialisation de mot de passe. App'Évol ne tient aucun journal technique dans sa base de données : les journaux de serveur sont conservés par l'hébergeur selon sa propre politique, et les erreurs par l'outil de supervision selon la sienne. Le seul journal conservé par App'Évol est celui des emails, décrit au traitement n° 6
Intérêt légitime de sécurité, prévention de fraude et maintenance
Correspond aux traitements n° 1, n° 8 du registre interne tenu au titre de l'article 30 du RGPD.
Prospects, Clients, Parents, Destinataires de factures
Destinataire de l'email, Éditeur du site, Scaleway SAS (relais d'envoi, France)
Aucun. Prestataire français, envoi et traitement en France
12 mois à compter de la création du journal, purge automatique. Aucune adresse IP n'est enregistrée lors des ouvertures. Les emails contenant un lien de signature ou d'activation ne voient pas leur contenu journalisé. À la suppression d'un compte, le journal est dissocié, son contenu effacé et le destinataire principal anonymisé ; les autres adresses servies restent jusqu'à l'échéance des 12 mois
Exécution du service ou intérêt légitime de suivi opérationnel
Correspond au traitement n° 6 du registre interne tenu au titre de l'article 30 du RGPD.
Orthopédagogues destinataires, Apprenants, dont les nom et prénom peuvent figurer dans le libellé de la notification
Orthopédagogue concernée, Service de notification du navigateur (Google, Apple ou Mozilla) pour l'acheminement du push
L'acheminement passe par le service de notification du navigateur, qui reçoit l'identifiant de l'appareil et une charge utile chiffrée de bout en bout (VAPID) qu'il ne peut pas lire : seul l'appareil destinataire la déchiffre
Notifications : 90 jours, purge automatique. Abonnement d'un appareil : jusqu'à désactivation ou invalidation par le navigateur
Exécution du service. Accord explicite depuis l'appareil pour les notifications push, révocable à tout moment
Correspond au traitement n° 10 du registre interne tenu au titre de l'article 30 du RGPD.
Orthopédagogues ayant activé la fonctionnalité, Familles utilisant le formulaire de contact de la page
Public, pour les seules données publiées, Orthopédagogue concernée, pour les demandes de contact
Aucun. Page servie depuis l'hébergement français
Page publiée jusqu'à désactivation par l'orthopédagogue. Demandes de contact : voir traitement n° 1
Exécution du service sur activation volontaire. Fonctionnalité désactivée par défaut et désactivable à tout moment. Aucune donnée d'apprenant n'est publiée
Correspond au traitement n° 11 du registre interne tenu au titre de l'article 30 du RGPD.
Enfants ou adolescents, Parents / responsables légaux
Orthopédagogue à l'origine de l'import, Éditeur du site en qualité de sous-traitant technique
Aucun. Traitement et stockage en Europe
Identique au traitement n° 2 une fois les dossiers créés. Les fichiers d'import ne sont pas conservés après traitement
Exécution du service. L'orthopédagogue atteste de la licéité des données importées et de l'information des personnes concernées avant de lancer l'import
Correspond au traitement n° 12 du registre interne tenu au titre de l'article 30 du RGPD.
Enfants ou adolescents, Destinataire désigné, généralement l'établissement scolaire
Adresse email saisie par l'orthopédagogue, désignée par la famille, Scaleway pour l'acheminement
Voir traitement n° 6 pour l'acheminement de l'email
Le document n'est pas stocké : il est généré à la demande depuis les séances déjà enregistrées. Une copie de l'email figure au journal des emails pendant 12 mois
Exécution du service, à la demande de l'orthopédagogue et pour un destinataire désigné par la famille
Correspond au traitement n° 13 du registre interne tenu au titre de l'article 30 du RGPD.
Orthopédagogues utilisatrices, Apprenants, dont le nom et le prénom figurent dans le titre des séances et des rendez-vous, Familles, dont l'adresse du domicile figure sur les séances qui s'y déroulent
Application de calendrier choisie par l'orthopédagogue (Google Agenda, Apple Calendrier, Outlook ou autre), Toute personne détenant l'adresse d'abonnement : elle est publique et n'exige aucune authentification
Dépend de l'application de calendrier retenue par l'orthopédagogue, qui en est seule responsable
Le flux ne conserve rien : il expose à la demande des données déjà enregistrées dans l'application. Le jeton reste valable jusqu'à sa régénération ou sa révocation depuis les paramètres. Les copies déposées dans le calendrier tiers relèvent ensuite de ce service
Exécution du service, sur activation volontaire. L'adresse d'abonnement doit être gardée secrète : toute personne la détenant peut lire l'agenda. Un réglage, proposé dans la fenêtre de synchronisation, permet de désactiver l'affichage des noms : les titres ne portent alors que des initiales et l'adresse d'une famille devient « À domicile ». Pour une séance d'atelier, la liste des participants n'est jamais nommée, quel que soit ce réglage. En revanche, les titres rédigés par l'orthopédagogue elle-même — titre d'une séance, nom d'un atelier — partent tels quels dans les deux cas
Correspond au traitement n° 16 du registre interne tenu au titre de l'article 30 du RGPD.
Orthopédagogues utilisatrices uniquement. Aucune famille, aucun apprenant
Éditeur du site, Scaleway pour l'envoi des emails, PostHog (instance européenne) pour la mesure d'usage
Mesure d'usage hébergée dans l'Union européenne, clauses contractuelles types pour les accès depuis les États-Unis. Aucun contenu de dossier transmis : seuls le fait qu'une action a eu lieu et l'adresse email de l'orthopédagogue concernée
Indicateurs d'envoi conservés sur le compte pour éviter tout doublon. Événements d'usage conservés selon la politique de rétention de l'outil de mesure
Intérêt légitime d'accompagnement client et d'amélioration du service, avec possibilité de s'y opposer. L'enregistrement de session et la capture automatique des clics sont désactivés
Correspond au traitement n° 14 du registre interne tenu au titre de l'article 30 du RGPD.
Orthopédagogues abonnées ou anciennement abonnées. Aucune famille, aucun apprenant
Éditeur du site, Stripe Payments Europe (Dublin) pour l'abonnement, Vercel et MongoDB Atlas (hébergement et stockage)
Hébergement et stockage en France. Entité Stripe contractante établie en Irlande, clauses contractuelles types pour ses affiliés américains
Il n'existe aujourd'hui aucune suppression automatique à la fin de l'abonnement : un compte résilié ou fermé conserve ses données tant que sa titulaire n'en demande pas la suppression. Sur demande de suppression, l'identité est immédiatement remplacée par une mention anonyme, puis le compte est définitivement effacé 3 ans plus tard, sauf s'il reste des factures ou des écritures comptables soumises à l'obligation de conservation de 10 ans. Le motif de résiliation est effacé en cas de réabonnement. Les lignes de parrainage ne sont pas supprimées avec le compte
Exécution du contrat d'abonnement, obligation légale comptable, et intérêt légitime pour l'exploitation des motifs de départ
Correspond aux traitements n° 1, n° 17, n° 18 du registre interne tenu au titre de l'article 30 du RGPD.
Orthopédagogues raccordées (démarche volontaire), Interlocuteurs des organismes clients, Un apprenant peut être nommé dans l'intitulé d'une ligne de facture adressée à un organisme
SUPER PDP, plateforme agréée par l'administration fiscale (n°0111, France) — uniquement pour les cabinets raccordés, Administration fiscale (Portail Public de Facturation), Pour une facture organisme, la plateforme de l'organisme destinataire
Aucun. Plateforme française, hébergement en France
Les jetons du raccordement sont effacés dès que l'orthopédagogue le retire ou supprime son compte. Le journal des envois (montants agrégés, sans donnée personnelle de famille) est conservé comme trace de ce qui a été déclaré. La plateforme agréée archive les factures transmises pendant 10 ans, comme la réglementation le lui impose
Obligation légale de l'orthopédagogue (facturation électronique et e-reporting, art. 289 bis et 290 du CGI) et exécution du contrat pour l'intermédiation technique
Correspond au traitement n° 19 du registre interne tenu au titre de l'article 30 du RGPD.
Vercel Inc. — Hébergement de l'application. France (Paris, région cdg1)
MongoDB Atlas (MongoDB, Inc.) — Base de données. France (AWS eu-west-3, Paris)
Backblaze B2 (Backblaze, Inc.) — Stockage des fichiers, photos et documents PDF. Pays-Bas (région eu-central-003, Amsterdam)
Scaleway Transactional Email (Scaleway SAS) — Envoi des emails transactionnels. France
SUPER PDP — Plateforme agréée de facturation électronique : transmission des données de ventes à l'administration fiscale (e-reporting) et acheminement des factures électroniques aux organismes. France
Stripe (Stripe Payments Europe, Limited) — Paiement de l'abonnement et encaissement des règlements des familles. Irlande, avec affiliés aux États-Unis
Sentry (Functional Software, Inc.) — Supervision des erreurs techniques. Allemagne (instance européenne)
Upstash Redis (Upstash, Inc.) — Compteurs anti-abus de la connexion et des formulaires (éphémères, effacés en moins d'une heure). Royaume-Uni (AWS eu-west-2, Londres) — base répliquée, d'autres régions ne sont pas exclues
PostHog, Inc. — Mesure d'usage du produit (statistiques d'utilisation). Union européenne (instance eu.i.posthog.com)
API Claude (Anthropic PBC) — Import assisté de modèles de questionnaires (fonctionnalité optionnelle). États-Unis
Services de notification des navigateurs (Google FCM, Apple APNs, Mozilla) — Acheminement des notifications push vers l'appareil. Selon le navigateur utilisé par l'orthopédagogue
Parmi eux, un seul ne reçoit que des données techniques de connexion, hors de l'Union européenne et jamais un contenu de dossier : les compteurs anti-abus (Royaume-Uni), qui s'effacent en moins d'une heure. Les polices de caractères, jusqu'alors chargées depuis les serveurs de Google, sont hébergées avec l'application depuis le 27 août 2026 : ce transfert n'existe plus.
Le détail des garanties de transfert figure dans l'Accord de Sous-Traitance, section 5.
Dernière mise à jour du registre : 27 août 2026
Vous pouvez contacter directement l'éditeur pour toute demande relative aux données personnelles, aux mentions légales ou a l'exercice de vos droits.