Politique de confidentialité

1.Responsable du traitement

Le responsable du traitement est Vincent Pruvost, entrepreneur individuel, SIRET 941 612 962 00022, dispensé d’immatriculation au RCS et au RM.

Aucun délégué à la protection des données n’a été désigné : la désignation n’est pas obligatoire ici, l’activité ne reposant ni sur un suivi à grande échelle ni sur le traitement de données sensibles.

2.Données traitées

Buvard ne collecte que ce dont le service a besoin pour fonctionner. Concrètement :

• Compte : votre adresse e-mail, un nom d’affichage si vous en renseignez un, votre plan (gratuit ou Pro), vos compteurs d’utilisation du mois, la date de votre dernière connexion et vos préférences (langue, objectif quotidien, réglages de génération par défaut).
• Connexion : pour chaque demande de lien magique, une empreinte du jeton, une empreinte du défi déposé dans le navigateur qui a fait la demande, l’adresse e-mail visée, l’adresse IP à l’origine de la demande, la page vers laquelle vous souhaitiez être conduit après connexion, la date à laquelle le lien a été utilisé et une date d’expiration. Ces enregistrements valident le lien et permettent de repérer les abus.
• Contenus importés : le texte collé et le texte extrait de vos fichiers sont traités en mémoire pour produire les cartes. Le fichier lui-même n’est jamais stocké sur nos serveurs. Du texte source, seul un extrait de 500 caractères est conservé avec le paquet, pour vous en rappeler l’origine. Avant votre connexion, en revanche, ce texte est déposé sur VOTRE appareil, dans le stockage local du navigateur, pour qu’il ne soit pas perdu pendant le détour par votre boîte mail : voir la section « Cookies et stockage local ».
• Paquets et cartes : titre, description, dossier, réglages, et le recto comme le verso de chaque carte — donc, en pratique, une partie de vos contenus reformulés.
• Progression : pour chaque carte révisée, son état (nouvelle, en cours, sue), le nombre de révisions et la date de la dernière.
• Historique de génération : date, titre, mode, modèle utilisé, nombre de caractères envoyés, nombre de cartes produites, durée et, le cas échéant, le message d’erreur. Le texte envoyé n’y figure pas.
• Paiement : aucune donnée bancaire n’est traitée ni conservée par Buvard. Les pass sont vendus par Polar, qui recueille et conserve seul les informations de paiement et de facturation. Buvard n’en reçoit que votre identifiant client, votre adresse e-mail, le pass acheté et ses dates de validité — le strict nécessaire pour activer votre compte.

3.Finalités et bases légales

Chaque traitement poursuit une finalité précise et repose sur une base légale au sens du RGPD :

• Fournir le service — compte, génération, révision, export : exécution du contrat (article 6.1.b).
• Envoyer les liens de connexion et les messages liés au compte : exécution du contrat.
• Faire respecter les quotas et prévenir les abus : intérêt légitime à protéger le service (article 6.1.f).
• Assurer la sécurité et diagnostiquer les erreurs techniques : intérêt légitime.
• Respecter les obligations comptables et légales : obligation légale (article 6.1.c).

Aucune prospection commerciale, aucun profilage publicitaire, aucune revente de données. Si une lettre d’information voit le jour, elle reposera sur un consentement explicite et distinct.

4.Vos contenus sont transmis à OpenAI, hors Union européenne

C’est le point qu’il faut connaître avant d’importer quoi que ce soit. Pour générer vos cartes, le contenu que vous fournissez est transmis à OpenAI, l’entreprise qui édite les modèles utilisés, via son interface de programmation. Il s’agit d’une communication de vos contenus à une société tierce dont les traitements ont lieu aux États-Unis.

Sont concernés : le texte collé dans le générateur et le texte extrait de vos PDF, documents Word et fichiers texte. Les images que vous importez sont envoyées au même prestataire, dont un modèle de vision en reconnaît les caractères. L’extraction du texte des PDF et des documents Word est en revanche réalisée sur nos propres serveurs, sans tiers.

Ce transfert sort de l’Union européenne. Il est encadré par les clauses contractuelles types de la Commission européenne, auxquelles OpenAI adhère dans ses conditions de traitement des données.

Conséquence pratique : n’envoyez pas dans Buvard de données de santé, de données personnelles de tiers, de secrets professionnels ou de documents confidentiels. Un support de cours, oui ; un dossier patient, non.

5.Autres destinataires et sous-traitants

Outre OpenAI, les prestataires suivants interviennent dans le fonctionnement du service :

• Polar Software, Inc. — vend les pass en qualité de vendeur officiel et traite les paiements. Il recueille lui-même les informations de paiement et de facturation, qui ne transitent jamais par Buvard. Pour ce traitement, Polar agit en responsable de traitement AUTONOME et non en sous-traitant : c’est lui le vendeur, il détermine ses propres finalités et répond de ses obligations fiscales. Sa politique de confidentialité s’applique donc en propre.
• Resend — envoi des e-mails de connexion. Reçoit votre adresse e-mail et le contenu du message.
• Aucun fournisseur SMTP de secours n’est configuré : si l’envoi par Resend échoue, aucun autre prestataire ne reçoit votre adresse.
• OVH SAS (France) — héberge le site, exécute le code et stocke les comptes, les paquets, les cartes, l’historique et la progression. Les données demeurent en France.
• Cloudflare, Inc. (États-Unis) — diffuse le site et le protège contre les attaques. Voit les adresses IP et les en-têtes des requêtes, sans accéder au contenu des comptes. Assure également la mesure d’audience (Cloudflare Web Analytics) : nombre de visites, pages consultées, page d’origine, pays et type d’appareil, sans cookie ni identifiant persistant, et sans profil constitué d’une visite à l’autre. Transferts encadrés par les clauses contractuelles types de la Commission européenne.

Aucun autre destinataire. Pas de régie publicitaire, aucune revente de données, et aucune mesure d’audience en dehors de celle décrite ci-dessus.

6.Durées de conservation

Les durées appliquées sont les suivantes :

• Compte, paquets, cartes, progression, dossiers et historique : conservés tant que le compte existe, puis effacés immédiatement à sa suppression.
• Jetons de connexion (empreinte, adresse e-mail, adresse IP) : quinze minutes de validité, purgés automatiquement à expiration.
• Cookie de session : trente jours, renouvelé à chaque connexion.
• Journaux techniques : conservés 30 jours au maximum sur le serveur, puis effacés automatiquement. Ils contiennent l’adresse IP, la date et la page demandée, et servent uniquement à la sécurité et au diagnostic de panne. Ils ne sont jamais recoupés avec votre compte.
• Pièces comptables liées aux pass : dix ans à compter de la clôture de l’exercice, conformément à l’article L123-22 du Code de commerce. Elles portent sur les versements reçus de Polar, et non sur des factures clients — celles-ci sont émises et conservées par Polar, vendeur du pass.

7.Cookies et stockage local

Buvard ne dépose aucun traceur publicitaire. La mesure d’audience du site est assurée par Cloudflare Web Analytics, qui n’écrit ni cookie ni aucune autre donnée sur votre appareil et ne vous suit pas d’un site à l’autre. Aucune bannière de consentement n’est donc affichée : rien n’est déposé sur votre terminal en dehors des cookies ci-dessous, strictement nécessaires au service que vous demandez, ce qui les dispense de consentement préalable.

• buvard_session — maintient votre session ouverte. Signé, inaccessible au JavaScript de la page, trente jours.
• buvard_challenge — lie un lien magique au navigateur qui l’a demandé, ce qui empêche qu’un lien intercepté serve ailleurs. Quinze minutes.
• NEXT_LOCALE — mémorise la langue d’affichage choisie. Un an.
• buvard_sidebar — mémorise si la barre latérale de l’application est repliée. Un an.
• buvard:draft — stockage local, et non cookie : le brouillon de génération, c’est-à-dire le texte que vous avez collé ou qui a été extrait de vos fichiers (jusqu’à 300 000 caractères), le titre proposé et le nom des documents. Il reste sur votre appareil, n’est repris que pendant une heure, et est effacé dès la génération terminée, dès votre visite suivante s’il a expiré, ou par la fonction « effacer les données de site » de votre navigateur.
• buvard:decks-view — stockage local : mémorise si vos paquets s’affichent en grille ou en liste.

Les deux dernières entrées ne sont pas des cookies : elles vivent dans le stockage local du navigateur, ne sont jamais envoyées à nos serveurs et ne quittent pas l’appareil qui les a écrites. Le brouillon est le seul endroit où vos contenus sont conservés hors de votre compte ; si vous préférez qu’il ne le soit pas, effacez les données du site après votre génération.

Aucun de ces cookies ne suit votre navigation en dehors de Buvard.

8.Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.

Ces droits s’exercent sans frais, et l’effacement de votre compte n’a pas à être justifié.

9.Comment les exercer dans l’application

Deux de ces droits sont directement outillés dans Buvard, sans avoir à écrire à qui que ce soit : rendez-vous dans l’application, écran Réglages, onglet Données.

• Accès et portabilité : « Exporter en JSON » produit un fichier contenant votre compte, vos paquets, vos cartes et votre historique de génération. Chaque paquet peut en outre être exporté au format .apkg, lisible par Anki.
• Effacement : « Supprimer mon compte » efface en cascade votre compte, vos paquets, vos cartes, votre progression, vos dossiers, votre historique et les jetons de connexion associés à votre adresse. C’est immédiat et définitif — exportez d’abord.
• Rectification : votre nom d’affichage, votre langue et vos préférences se modifient dans le même écran.

Pour les autres droits, ou si vous n’avez plus accès à votre compte, écrivez à [email protected]. Nous répondons dans un délai d’un mois, conformément au RGPD.

10.Sécurité

Il n’existe aucun mot de passe, donc aucune base de mots de passe à compromettre. Les jetons de connexion ne sont conservés que sous forme d’empreinte, le cookie de session est signé cryptographiquement et n’est pas lisible par le JavaScript de la page, et les échanges passent par HTTPS.

Aucun système n’est infaillible pour autant. En cas de violation de données susceptible d’engendrer un risque élevé pour vos droits, vous en serez informé conformément à l’article 34 du RGPD.

11.Mineurs

Buvard s’adresse à des lycéens, des étudiants et des professionnels. Le service est réservé aux personnes âgées d’au moins 15 ans : en France, un mineur de moins de quinze ans ne peut pas consentir seul au traitement de ses données pour un service en ligne. L’âge est déclaré à l’inscription et n’est pas vérifié par pièce justificative ; si nous apprenons qu’un compte appartient à une personne de moins de 15 ans, il est supprimé.

12.Modifications

Cette politique peut évoluer, en particulier si un sous-traitant change. La date de dernière mise à jour figure en tête de page, et tout changement significatif est signalé aux titulaires d’un compte.

13.Contact et réclamation

Pour toute question ou pour exercer un droit : [email protected].

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou l’autorité de contrôle de votre pays de résidence.