Politique de confidentialité
Dernière mise à jour : 29 octobre 2026. En vigueur : octobre 2026.
Version en vigueur : octobre 2026 (privacy-v2). Cette politique décrit ce que le site fait réellement de vos données.
1. Responsable du traitement
Wael Badri, particulier, éditeur de QAcademy, cité des bureaux, Tunis, Tunisie. Le responsable du traitement est établi et travaille depuis la Tunisie. Contact : contact@qacademy.net. Demandes relatives à vos données : privacy@qacademy.net.
2. Âge minimum
Il faut avoir au moins 16 ans pour créer un compte. Si vous pensez qu'un compte a été créé par une personne plus jeune, écrivez-nous : nous le supprimons.
3. Données collectées
- Test de niveau : vos réponses et votre score, sans compte ni e-mail. Votre adresse IP n'est jamais conservée en clair : seule une empreinte chiffrée, non réversible, sert à limiter les abus.
- Demande d'analyse complète : adresse e-mail, prénom (facultatif), langue, provenance de la visite (paramètres UTM) et l'historique de vos choix de consentement (texte accepté, version, date).
- Liste d'attente (page des offres) : adresse e-mail, langue, provenance de la visite et texte de consentement accepté, avec sa version et sa date.
- Compte : adresse e-mail, mot de passe (stocké uniquement sous forme d'empreinte), prénom, pays, langue, statut CTFL, date d'examen visée, progression (leçons, quiz, examens blancs, réponses aux labs, visibles de vous seul).
- Achats : offre, montant, devise, dates d'achat et de fin d'accès, identifiants de transaction et de client Paddle. Pour un achat fait sans compte, l'adresse e-mail du paiement, fournie par Paddle, est gardée jusqu'au rattachement à un compte. Les données de carte et de facturation sont traitées par Paddle, jamais par QAcademy.
- Support : adresse e-mail, sujet, page d'où vous écrivez, message et nos réponses.
- Demande de devis Entreprises : société, nom, e-mail professionnel, taille de l'équipe, message. Les personnes invitées dans une équipe : adresse e-mail et progression agrégée visible du responsable d'équipe (jamais leurs réponses).
- Statistiques de fréquentation : voir l'article 6.
4. Finalités et bases légales
| Traitement | Finalité | Base légale |
|---|---|---|
| Compte et accès aux contenus | Créer votre compte, activer et retirer les accès, vous connecter | Exécution du contrat |
| Test de niveau et demande d'analyse | Calculer votre score ; vous envoyer l'analyse complète et le plan de révision par e-mail | Consentement (case obligatoire du formulaire pour l'envoi de l'analyse) |
| E-mails de service | Codes de connexion, confirmations, activation d'un achat, réponses au support | Exécution du contrat ou mesures précontractuelles |
| E-mails de conseils et de présentation de l'offre | Vous envoyer des conseils de préparation, puis la présentation de la préparation payante | Consentement distinct et facultatif (case séparée, jamais pré-cochée), retrait en un clic |
| Liste d'attente | Vous prévenir à l'ouverture de la préparation complète | Consentement distinct et facultatif |
| Achat | Traiter la commande, facturer, rembourser, tenir la comptabilité | Exécution du contrat ; obligation légale |
| Support | Répondre à vos messages | Exécution du contrat ou intérêt légitime (répondre aux demandes) |
| Devis Entreprises | Répondre à votre demande et gérer les licences | Mesures précontractuelles puis exécution du contrat |
| Statistiques de fréquentation | Comprendre comment le site est utilisé et l'améliorer | Intérêt légitime (mesure d'audience) ; vous pouvez vous y opposer |
| Sécurité et prévention des abus | Limiter le nombre de demandes, protéger les comptes et la console d'administration | Intérêt légitime |
5. Destinataires et sous-traitants
Vos données ne sont ni vendues ni louées. Elles sont traitées par :
- Vercel Inc. (États-Unis) : hébergement du site ; les fonctions serveur s'exécutent dans la région de Dublin (Irlande).
- Supabase (région Union européenne, Irlande) : base de données et authentification.
- Resend (États-Unis) : envoi des e-mails (contenu de l'e-mail et adresse du destinataire).
- PostHog (région Union européenne) : statistiques de fréquentation, voir l'article 6.
- Paddle (Paddle.com Market Limited, Royaume-Uni, ou l'entité Paddle indiquée sur votre reçu) : revendeur (Merchant of Record) qui encaisse le paiement et facture. Paddle est responsable du traitement des données de paiement et de facturation qu'il collecte : voir sa politique de confidentialité.
- Cloudflare (États-Unis) : nom de domaine, DNS et sécurité du trafic.
6. Statistiques de fréquentation (PostHog)
Le site utilise PostHog (région Union européenne) pour mesurer la fréquentation. Ce traitement n'est pas anonyme et n'est pas soumis à un bandeau de consentement ; il repose sur notre intérêt légitime à mesurer et améliorer le site, et vous pouvez vous y opposer (article 10). Concrètement :
- Dans votre navigateur, PostHog dépose un cookie et une entrée de stockage local contenant un identifiant aléatoire, qui reconnaît votre navigateur d'une visite à l'autre.
- Sont enregistrés : pages vues et sorties de page, et quelques actions précises (par exemple clic sur un bouton d'appel à l'action, étape du test de niveau, consultation de la page des offres), avec la langue, le type de page et les paramètres de campagne (UTM) de votre visite.
- Ne sont pas enregistrés : le texte saisi dans les formulaires, des enregistrements de session, des cartes de chaleur. Aucun événement ne contient votre adresse e-mail ou votre nom.
- Les requêtes passent par notre propre domaine avant d'être transmises à PostHog ; votre adresse IP est transmise à PostHog, qui s'en sert pour déduire une localisation approximative.
- Si vous êtes connecté(e), les statistiques sont rattachées à l'identifiant interne de votre compte (jamais à votre adresse e-mail).
- Certains événements sont envoyés par notre serveur (par exemple création d'une demande d'analyse, e-mail confirmé, achat ou remboursement traité). Ils portent l'identifiant interne de la demande, du compte ou de la transaction, des informations d'offre, de langue et de montant, jamais votre adresse e-mail. Quand vous envoyez le formulaire de demande d'analyse, l'identifiant de votre navigateur est relié à l'identifiant interne de la demande.
7. Transferts hors de l'Union européenne
Vos données sont hébergées dans l'Union européenne (Supabase, Irlande), mais certains prestataires sont situés aux États-Unis : Vercel, Resend et Cloudflare. De plus, le responsable du traitement accède aux données depuis la Tunisie, pays pour lequel il n'existe pas de décision d'adéquation de la Commission européenne.
Pour les prestataires américains, le transfert s'appuie, selon le prestataire, sur le cadre de protection des données UE–États-Unis (prestataire certifié) ou sur les clauses contractuelles types de la Commission européenne. Pour les accès depuis la Tunisie, nous limitons l'accès au responsable seul, avec une authentification renforcée pour la console d'administration, sur des connexions chiffrées. Vous pouvez nous demander plus de détails à privacy@qacademy.net.
8. Durées de conservation
| Données | Durée |
|---|---|
| Demande d'analyse non confirmée (lien jamais ouvert) | Supprimée après 30 jours |
| Liens d'accès à l'analyse | Valables 30 jours, puis supprimés |
| Résultats du test de niveau | Anonymisés après 12 mois |
| Données techniques de limitation des abus (empreintes) | 1 jour |
| Contacts sans compte (confirmés) | 3 ans après le dernier contact |
| Liste d'attente | Jusqu'à l'e-mail d'ouverture ou jusqu'à votre désinscription |
| Comptes inactifs | Supprimés après 3 ans d'inactivité ; vous pouvez supprimer le vôtre à tout moment |
| Achats et factures | 10 ans (obligations comptables) ; à la suppression de votre compte, l'achat n'est plus rattaché à vous |
| Demandes de devis Entreprises | 12 mois |
| Messages de support | 2 ans après la dernière réponse |
| Historique des consentements | Aussi longtemps que le contact existe (preuve du consentement) |
| Statistiques de fréquentation (PostHog) | Selon les réglages de conservation de notre projet PostHog |
9. Sécurité
Connexions chiffrées (HTTPS) ; adresses IP et jetons conservés sous forme d'empreintes non réversibles ; règles d'accès aux données au niveau de la base (chacun ne voit que ses données) ; accès administrateur limité au responsable avec vérification en deux étapes ; aucun pixel de suivi dans nos e-mails. Aucune donnée de carte bancaire ne transite par nos serveurs.
10. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (notamment aux statistiques de fréquentation et à la prospection), ainsi que du droit de retirer votre consentement à tout moment, sans effet sur ce qui a eu lieu avant. Pour les exercer : privacy@qacademy.net. Nous répondons dans un délai d'un mois.
- Connecté(e), vous pouvez exporter vos données et supprimer votre compte vous-même depuis la page « Mes données ».
- Chaque e-mail de conseils contient un lien de désinscription en un clic.
- Pour vous opposer aux statistiques de fréquentation, écrivez-nous ou bloquez les cookies et le stockage local de ce site dans votre navigateur.
Vous pouvez aussi introduire une réclamation auprès de l'autorité de protection des données de votre pays de résidence (en France : la CNIL, cnil.fr).
11. Cookies et stockage dans votre navigateur
Strictement nécessaires au fonctionnement (pas de consentement requis) :
- Cookies de session de votre compte (Supabase), lorsque vous êtes connecté(e).
qa_device: reconnaît cet appareil après une connexion confirmée par e-mail, pour ne pas redemander de code, 30 jours (supprimé si vous changez de mot de passe).qa_signin: relie le code de confirmation au mot de passe saisi sur cet appareil, 10 minutes.qa_analysis: vous donne accès à votre analyse après avoir ouvert le lien reçu par e-mail, 2 heures ;qa_analysis_pending: 15 minutes, le temps de confirmer l'ouverture du lien.qa_attempts: rattache vos tentatives de test à votre compte quand vous en créez un, 30 jours.qa_ab: un nombre aléatoire de 0 à 99 (aucun identifiant ni donnée personnelle) pour montrer une version de la page des offres, 90 jours, uniquement lorsqu'un test d'affichage est en cours.- Stockage de session de l'onglet (effacé à la fermeture) : paramètres de campagne (UTM) de votre arrivée, mémorisation de l'affichage d'un message, vos réponses au test de niveau pendant qu'il est en cours (pour le reprendre si vous rechargez la page ; effacées à l'envoi du test ; jamais envoyées avant la fin), et, après un paiement sans compte, l'adresse e-mail du paiement pour pré-remplir le formulaire d'activation.
Mesure d'audience (déposés sans bandeau, base : intérêt légitime, opposition possible) : le cookie et le stockage local PostHog décrits à l'article 6.
Paiement : lorsque vous ouvrez la fenêtre de paiement, le script de Paddle est chargé depuis ses serveurs et Paddle peut utiliser ses propres traceurs, selon sa politique de confidentialité.
Aucun cookie n'est utilisé pour mémoriser la langue. Nos e-mails ne contiennent aucun pixel de suivi.
12. Modifications
Nous mettons cette politique à jour si nos traitements changent. En cas de changement important, la nouvelle version vous est signalée à votre prochaine connexion.