Éditeur : Aim2Futur. Application : MyP1 (fr.myp1.app). Version : [à dater]. Document distinct des CGV/CGU, dont il fait partie intégrante. ⚠️ Projet rédigé avec assistance IA — à FAIRE VALIDER PAR UN JURISTE et à compléter aux endroits entre [crochets] (identité de l'éditeur, DPO, durées exactes, sous-traitants).

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel est Aim2Futur — [dénomination sociale exacte], [forme juridique], [adresse postale], immatriculée [SIREN/SIRET], ci-après « l'Éditeur ». Contact : [contact@aim2futur.fr]. Délégué à la protection des données (DPO), le cas échéant : [nom / dpo@aim2futur.fr].

2. Champ d'application

La présente politique décrit comment l'Éditeur traite les données des utilisateurs de l'application MyP1 (iOS), conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés » modifiée.

MyP1 est une application de planning de révision destinée aux étudiants en PASS / LAS (première année des études de santé). Elle repose sur la méthode des J (répétition espacée) et accompagne la préparation des concours du semestre 1 (S1) puis du semestre 2 (S2), avec un contenu paramétré par faculté (chaque faculté ayant son propre programme).

3. Données collectées

1. Compte : adresse e-mail ; mot de passe (jamais stocké en clair — haché et salé par le fournisseur d'authentification) ; identifiant de compte ; statut de vérification de l'e-mail.
2. Données scolaires que tu saisis dans l'app :

• ta faculté (pour charger le programme correspondant) ;
• tes dates de concours S1 et S2 ;
• ton planning et ta configuration de la méthode des J (offsets, rythme, emploi du temps, vacances) ;
• ta progression (items vus / révisés / maîtrisés) ;
• ton suivi perso : résultats aux colles de prépa ou de tutorat (matière, note, classement / rang, nombre de participants) et repères de promotion (numerus de ta faculté).

1. Données techniques minimales : identifiant de l'appareil (pour étiqueter la synchronisation), horodatage de dernière synchronisation, journaux d'erreurs techniques.
2. Abonnement : statut d'abonné (l'achat et les données de paiement sont gérés par Apple ; l'Éditeur ne reçoit ni ne stocke tes coordonnées bancaires).
3. Notifications : préférence d'activation et, le cas échéant, jeton de notification push.
4. Vérification de mot de passe : lors de la création/modification d'un mot de passe, un contrôle « Have I Been Pwned » est effectué par k-anonymité : seuls les 5 premiers caractères de l'empreinte SHA-1 du mot de passe sont envoyés ; le mot de passe ne quitte jamais l'appareil.

Nature des données. MyP1 est un outil d'organisation des révisions. Le suivi perso (notes, classements, numerus) constitue des données scolaires / de performance, et non des données de santé te concernant au sens de l'article 9 du RGPD. MyP1 ne traite aucune donnée de santé.

4. Finalités et bases légales

Finalité	Base légale
Créer et gérer ton compte, t'authentifier	Exécution du contrat (CGU)
Charger le programme de ta faculté et fournir le planning, la méthode des J, la synchronisation	Exécution du contrat
Enregistrer ton suivi perso (colles, classements) et calculer ton évolution	Exécution du contrat
Compte fourni par une prépa/tutorat partenaire : mettre à disposition de cet établissement tes indicateurs de progression de révision (révisions effectuées, couverture du programme, items maîtrisés, retard, dernière activité) et ton classement interne à la structure, calculé par l'Application à partir de ces seuls indicateurs — à l'exclusion des résultats de colles saisis dans « Suivi perso », qui restent privés	Intérêt légitime (art. 6.1.f RGPD — suivi pédagogique par l'établissement qui fournit et finance ton compte), assorti d'une information dans l'Application (carte affichée dans Profil) et d'un droit d'opposition exerçable à tout moment (Profil → « Ne plus être suivi/classé par ma prépa », art. 21 — voir §8) ; ces indicateurs ne fondent aucune décision automatisée au sens de l'art. 22 RGPD
Gérer ton abonnement « Calendrier »	Exécution du contrat
T'envoyer des notifications de révision	Consentement (révocable à tout moment)
Sécuriser les comptes (anti-fuite de mot de passe, anti-abus)	Intérêt légitime / obligation de sécurité
Améliorer et corriger l'app (journaux techniques)	Intérêt légitime

5. Destinataires et sous-traitants

• Supabase (authentification, base de données, hébergement) — projet MyP1 dédié, région Union européenne [à confirmer : région exacte]. Sous-traitant au sens de l'art. 28 RGPD.
• Apple (distribution App Store, facturation des abonnements, notifications push) — responsable/sous-traitant selon les traitements, régi par ses propres conditions.
• Have I Been Pwned (api.pwnedpasswords.com) — uniquement un préfixe d'empreinte, sans donnée identifiante.
• Ta prépa / ton tutorat partenaire — uniquement si ton compte t'a été fourni par cet établissement dans le cadre d'un contrat « boîte à colle ». Il peut alors consulter, aux seules fins de suivi pédagogique, tes indicateurs de progression de révision (révisions effectuées, couverture, items maîtrisés, retard, dernière activité) et ton classement interne à sa structure, calculé par l'Application à partir de ces indicateurs. Ne sont jamais transmis : tes résultats de colles saisis dans « Suivi perso », le contenu de ton planning, et toute donnée de santé (l'Application n'en traite aucune). Cette mise à disposition t'est signalée dans l'Application (une carte d'information apparaît dans Profil dès que ton compte est rattaché à une prépa). Score et classement = simples indicateurs pédagogiques destinés à l'accompagnement humain par tes enseignants : ils ne produisent aucune décision automatisée ayant un effet juridique ou t'affectant de manière significative au sens de l'art. 22 RGPD. Tu peux t'y opposer à tout moment et sans te justifier via Profil → « Ne plus être suivi/classé par ma prépa » (art. 21 RGPD, voir §8) : dès activation, l'Éditeur cesse immédiatement de transmettre tes indicateurs, sans que ton accès à l'app en soit affecté. Aucune donnée n'est accessible à un établissement auquel ton compte n'est pas rattaché. Un compte personnel (créé par toi, hors prépa) ne fait l'objet d'aucun partage de ce type. _[Clause à faire valider par un juriste.]_

L'Éditeur ne vend pas tes données et ne les partage pas à des fins publicitaires.

6. Transferts hors UE

Les données sont hébergées dans l'Union européenne. Tout transfert éventuel vers un pays tiers (ex. services Apple) est encadré par des garanties appropriées (clauses contractuelles types, décisions d'adéquation). [À préciser selon les sous-traitants retenus.]

7. Durées de conservation

• Compte et données associées (planning, progression, suivi perso) : pendant la durée d'utilisation, puis suppression/anonymisation [ex. dans les 30 jours] après la suppression du compte.
• Données de facturation nécessaires aux obligations légales : [durée légale applicable].
• Journaux techniques : [ex. 12 mois]. [Durées exactes à arrêter par l'Éditeur.]
• Indicateurs transmis à une prépa (compte « boîte à colle ») : rafraîchis tant que le partenariat est actif et que tu ne t'y opposes pas ; plus aucun indicateur n'est transmis dès l'activation de l'opt-out, la fin du contrat de la prépa, ou la suppression de ton compte.

8. Tes droits

Tu disposes des droits d'accès, rectification, effacement, limitation, opposition, portabilité et du droit de retirer ton consentement (notifications) à tout moment.

• Effacement / suppression du compte : directement dans l'app (Profil → « Supprimer mon compte »), ce qui efface tes données conformément à l'art. 17 RGPD.
• Opposition au suivi de ta prépa (compte « boîte à colle ») : Profil → « Ne plus être suivi/classé par ma prépa » (art. 21 RGPD, voir §5).
• Exercice des droits : [contact@aim2futur.fr]. Réponse sous un mois.
• Réclamation : tu peux saisir la CNIL (www.cnil.fr).

9. Sécurité

Jetons de session stockés dans le Trousseau iOS (non inclus dans les sauvegardes cross-appareil) ; accès aux données protégé par des règles de sécurité au niveau ligne (RLS) côté serveur (chaque utilisateur n'accède qu'à ses données) ; communications chiffrées (HTTPS/TLS) ; mots de passe hachés côté serveur ; verrouillage anti-force-brute ; refus des mots de passe compromis.

10. Authentification

L'authentification se fait par adresse e-mail et mot de passe via le projet Supabase dédié à MyP1. MyP1 ne propose pas de connexion via un réseau social ni de connexion tierce ; « Sign in with Apple » n'est donc pas requis.

11. Mineurs

MyP1 vise les étudiants en première année des études de santé (PASS / LAS), souvent âgés de 17 à 18 ans. Conformément à l'art. 8 RGPD (seuil de 15 ans en France), l'Éditeur ne collecte pas sciemment de données d'un enfant de moins de 15 ans sans l'autorisation du titulaire de l'autorité parentale. Un utilisateur mineur déclare agir avec l'accord de son représentant légal.

12. Cookies / traceurs

MyP1 est une application native : elle n'utilise pas de cookies publicitaires ni de traceurs tiers. [Si un outil de mesure d'audience est ajouté ultérieurement, il sera soumis au consentement.]

13. Modifications

La présente politique peut évoluer ; toute modification substantielle sera portée à ta connaissance dans l'app. La version applicable est celle accessible au sein de l'application à la date de consultation.

Document généré pour l'app MyP1 (fr.myp1.app). À héberger sur myp1.app/confidentialite.