Politique de confidentialité

Le formulaire de création de compte demande trois informations, et rien d’autre :

• Nom complet : tel que vous le saisissez.
• Adresse e-mail : identifiant de connexion et canal des rappels.
• Mot de passe : conservé sous forme d’empreinte cryptographique (bcrypt). Il ne peut pas être relu, y compris par nous.

À l’usage, la plateforme enregistre en plus :

• Progression : capsules vues et position de reprise, chapitres et modules atteints, cases de validation cochées, attestations et certificat émis.
• Commande : montant, devise, date, statut et référence de la transaction. Aucun numéro de carte, aucun code secret : ils transitent directement chez Bictorys et ne touchent jamais nos serveurs.
• Adresse IP : lue à chaque requête sensible pour limiter le nombre de tentatives de connexion et d’inscription, et pour la vérification anti-robot. Elle n’est pas conservée en base : elle sert de clé temporaire à un compteur, effacé à l’expiration de sa fenêtre.
• Nom et photo Google : uniquement si vous choisissez de vous connecter avec Google, et uniquement ces deux éléments avec votre adresse.
• Provenance de votre première visite : par quel canal vous êtes arrivé (un lien Instagram, TikTok, WhatsApp, un e-mail de notre part…), la page d’entrée, le pays et le type d’appareil (téléphone ou ordinateur), sous un identifiant aléatoire. Ni adresse IP, ni nom, ni adresse du site d’où vous venez. Si vous créez un compte ou payez ensuite, ce canal est noté sur votre fiche et votre commande : il nous dit quels canaux amènent réellement des apprenants.

Cette liste compte autant que la précédente, et elle est vérifiable : hors la mesure d’audience décrite plus bas, le site ne charge aucun script tiers.

• Aucun numéro de téléphone : il n’est demandé nulle part. Si vous nous écrivez sur WhatsApp, votre numéro nous apparaît dans cette conversation, comme pour tout message. Il n’entre pas dans la plateforme.
• Aucune adresse postale : jamais demandée. Le pays n’est pas demandé non plus : seul celui de votre réseau lors de votre première visite est noté, sans adresse IP (voir plus haut).
• Aucune donnée bancaire : ni numéro de carte, ni cryptogramme, ni identifiant de compte mobile.
• Aucun traceur publicitaire : ni pixel Facebook, ni TikTok, ni régie publicitaire. Le seul outil tiers est Google Analytics, qui mesure l’audience du site (pages lues, pays, appareils) sans recevoir ni votre nom ni votre e-mail ; il est décrit dans la section Cookies, où vous pouvez le refuser. Rien de ce que vous faites sur le site n’est revendu ni partagé à des fins de ciblage.

eKom-Kom Academy ne vend, ne loue et ne cède vos données à personne, à aucune fin.

• vous donner accès à votre espace et retenir où vous en êtes ;
• établir vos attestations nominatives et votre certificat ;
• vous rappeler par e-mail les sessions en direct à venir ;
• traiter votre paiement et vous en donner la trace ;
• protéger les comptes : limiter les tentatives de connexion, verrouiller après plusieurs échecs, écarter les robots ;
• répondre à vos demandes d’assistance.

Le site pose trois cookies strictement nécessaires à son fonctionnement, un cookie de provenance, et les cookies de mesure d’audience de Google Analytics, que vous pouvez refuser ci-dessous. Aucun n’est publicitaire, et aucun ne vous suit d’un site à l’autre :

• app-token : maintient votre session ouverte. Durée : 15 minutes, renouvelé automatiquement tant que vous naviguez.
• app-refresh : permet ce renouvellement sans vous redemander votre mot de passe. Durée : 7 jours.
• app-csrf : empêche qu’un autre site déclenche une action en votre nom. Durée : 7 jours.
• app-origine : retient par quel canal vous êtes arrivé la première fois, sous un identifiant aléatoire, pour ne pas le compter deux fois. Durée : 90 jours.
• _ga et _ga_… (Google Analytics) : distinguent les visiteurs les uns des autres sans les identifier, pour compter les visites, les pages lues, les pays et les appareils. Google Analytics 4 ne conserve pas l’adresse IP. Durée : 13 mois. Ils ne sont pas posés si vous refusez la mesure.

Les cookies app-token, app-refresh et app-origine sont inaccessibles au code de la page (attribut HttpOnly) : un script malveillant ne peut pas les lire. Si vous vous connectez avec Google, trois cookies supplémentaires vivent cinq minutes le temps de l’échange, puis sont effacés. Se déconnecter efface les cookies de session.

Vous pouvez refuser la mesure d’audience ici même, sans bannière ni compte : votre choix est gardé un an sur cet appareil dans le cookie app-sans-mesure, et Google Analytics ne reçoit alors plus rien de votre navigation. Mesure d’audience : lecture de votre choix…Refuser la mesure

Faire fonctionner la plateforme suppose de confier certaines données à des prestataires techniques. Voici la liste complète, ce que chacun reçoit et où :

• Vercel (États-Unis) : héberge le site. Reçoit chaque requête, donc votre adresse IP et les pages consultées.
• Neon (Francfort, Allemagne) : héberge la base de données : compte, progression, commandes, attestations. C’est là que résident vos données.
• Upstash : compte les tentatives de connexion et d’inscription. Reçoit l’adresse e-mail saisie et l’adresse IP, gardées le temps de la fenêtre de comptage uniquement.
• Resend (Irlande) : envoie les e-mails. Reçoit votre adresse et le contenu du message (code de vérification, rappel de session).
• Bictorys : traite les paiements. Reçoit les informations que vous saisissez sur sa page de paiement ; nous ne recevons en retour que le statut, le montant et une référence.
• Cloudflare : vérification anti-robot des formulaires de connexion, d’inscription et de mot de passe oublié. Reçoit votre adresse IP au moment de la vérification.
• Sentry : reçoit les rapports d’erreur technique. Configuré pour ne transmettre aucune donnée personnelle, et sans enregistrement d’écran.
• Google (connexion) : uniquement si vous utilisez « Continuer avec Google », et dans ce cas seulement pour l’authentification.
• Google Analytics (Irlande et États-Unis) : reçoit les pages consultées, le type d’appareil, le pays, la provenance (le canal du lien suivi) et, lors d’une création de compte ou d’un paiement, l’événement avec le montant, sous un identifiant de navigateur aléatoire. Jamais votre nom, votre e-mail ni votre adresse IP complète. Refusable dans la section Cookies.

L’hébergement du site étant assuré depuis les États-Unis, certaines données techniques y transitent. Les données de votre compte, elles, sont stockées en Allemagne.

• Compte et progression : conservés tant que votre compte existe. Ils disparaissent le jour où vous le supprimez.
• Codes de vérification : à usage unique et à durée courte ; une tâche automatique efface les codes expirés.
• E-mails envoyés : la trace d’envoi est effacée automatiquement 30 jours après l’envoi.
• Journaux de paiement : les notifications reçues de Bictorys sont effacées automatiquement au bout de 90 jours.
• Trace comptable : la ligne d’un paiement est conservée pour la durée légale, mais anonymisée dès la suppression du compte (voir plus bas).
• Provenance de la première visite : la ligne de visite ne contient rien qui vous identifie (ni nom, ni adresse IP) et sert aux statistiques par canal ; le cookie app-origine expire après 90 jours.
• Mesure d’audience : les données d’événements sont conservées chez Google 14 mois au plus (réglage de la propriété Google Analytics), les cookies _ga 13 mois.

• Mots de passe : transformés par bcrypt, une fonction à sens unique. Nous ne pouvons pas les relire ; en cas de fuite de la base, ils ne sont pas exploitables directement.
• Transmission : chiffrée de bout en bout entre votre navigateur et le site (HTTPS/TLS).
• Sessions : jetons inaccessibles au code de la page, et protection contre les actions déclenchées depuis un autre site.
• Tentatives répétées : un compte est temporairement verrouillé après plusieurs échecs de connexion, quel que soit le point d’origine.

Vous pouvez accéder à vos données, les corriger et les faire effacer. Deux de ces droits s’exercent sans nous écrire :

• Changer votre mot de passe : depuis Paramètres, dans votre espace apprenant.
• Supprimer votre compte : depuis Paramètres également, en bas de page. La suppression est immédiate et définitive : compte, progression, attestations, certificat et notifications sont effacés, et vous êtes déconnecté.

Une seule chose survit à la suppression, et il faut le dire clairement : la ligne comptable de votre paiement. La loi impose de la conserver. Elle garde le montant et la date, mais votre adresse e-mail y est remplacée par un identifiant sans lien avec vous et votre nom est effacé : la trace comptable subsiste, plus l’identité.

Pour toute autre demande (obtenir une copie de vos données, corriger une information, poser une question sur ce document), écrivez à contact@ekomkomacademy.com. Nous répondons à l’adresse depuis laquelle vous écrivez.