Politique de confidentialité

Qui nous sommes et notre rôle

Cette politique est émise par COMPANY LEGAL NAME, COMPANY ADDRESS, immatriculation n° COMPANY REG NO (« nous »), exploitant de Manhaj.

Responsable du traitement. Nous sommes responsable du traitement des données de compte, de facturation, d'assistance et du site web concernant les personnes qui s'inscrivent à Manhaj et l'achètent.

Sous-traitant. Pour le contenu des cours, les sources téléversées et les dossiers des apprenants qu'une organisation (notre client) place dans Manhaj, l'organisation est responsable du traitement et nous traitons ces données uniquement sur ses instructions documentées, conformément à notre Accord de traitement des données. Les apprenants doivent d'abord contacter leur organisation ; nous l'aiderons à répondre.

Contact confidentialité : PRIVACY EMAIL. Délégué à la protection des données : DPO CONTACT. Représentant dans l'UE (art. 27 RGPD) : EU REPRESENTATIVE. Représentant au Royaume-Uni : UK REPRESENTATIVE.

Données traitées

• Données de compte — nom, e-mail, empreinte du mot de passe (bcrypt ; nous ne stockons jamais le mot de passe), langue de l'interface, paramètres de double authentification (secret chiffré), méthode de connexion (mot de passe, Google, Microsoft, authentification unique d'entreprise, LMS/LTI).
• Données d'organisation — nom de l'organisation, membres et rôles, invitations, domaines e-mail vérifiés, paramètres de marque, abonnement, registre des crédits, pays et devise de facturation.
• Contenu client — briefs de cours, brouillons, versions, commentaires, documents sources téléversés, images, narrations audio, exports et certificats.
• Données des apprenants — inscriptions, progression dans les leçons, temps passé, réponses et scores, certificats, badges et XP, réponses aux questionnaires d'évaluation, conversations avec le tuteur IA, préférences de notification, pseudonyme et consentement au classement.
• Demandes de contact et de démo — nom, e-mail, organisation, pays, message et date du consentement issus du formulaire de contact du site (IP conservée uniquement sous forme d'empreinte salée pour limiter les abus).
• Données de paiement — traitées par Stripe ou Moyasar ; nous recevons le statut du paiement, les montants, les liens des factures et les seules informations nécessaires à la fiscalité, jamais les numéros de carte complets.
• Données techniques et de sécurité — journaux serveur, adresse IP tronquée (IPv4 /24, IPv6 /48) et type de navigateur dans le journal d'audit de sécurité, rapports d'erreur.

Finalités et bases légales

• Fournir le service que vous ou votre organisation avez souscrit (contrat ; art. 6(1)(b) RGPD).
• Sécurité, prévention de la fraude et des abus, limitation de débit et journaux d'audit (intérêts légitimes, art. 6(1)(f) ; obligation légale le cas échéant).
• Facturation, fiscalité et comptabilité (obligation légale, art. 6(1)(c)).
• Afficher le pseudonyme et l'XP d'un apprenant dans le classement de sa cohorte — uniquement avec son consentement spécifique, révocable à tout moment (consentement, art. 6(1)(a) ; art. 5 PDPL).
• E-mails produit que vous pouvez désactiver (rappels, synthèses) — intérêts légitimes ou consentement selon le droit local ; chaque e-mail comporte un lien de désinscription en un clic.
• Nous ne vendons ni ne « partageons » d'informations personnelles à des fins de publicité comportementale (CCPA/CPRA) et n'utilisons aucun traceur publicitaire ou analytique.

Traitement par l'IA

Manhaj utilise des modèles d'IA pour rédiger, traduire, relire et narrer les contenus pédagogiques et pour faire fonctionner le tuteur des apprenants. Le texte soumis à ces fonctions (briefs, plans, textes de leçons, extraits de sources, questions au tuteur) est envoyé à notre fournisseur d'IA Anthropic ; le texte de narration est envoyé à ElevenLabs ; les mots-clés de recherche d'images sont envoyés aux banques d'images. Voir la Politique d'utilisation de l'IA et des contenus et la liste des sous-traitants.

Votre contenu n'est pas utilisé pour entraîner des modèles d'IA — ni les nôtres ni ceux de nos fournisseurs — sauf adhésion explicite de votre organisation. Le résultat de l'IA est un brouillon : les étapes de validation du cours exigent qu'une personne relise et approuve avant toute publication aux apprenants. Nous n'utilisons pas l'IA pour noter les apprenants ni pour prendre à leur sujet des décisions produisant des effets juridiques ou des effets similaires significatifs.

Destinataires des données

Les sous-traitants qui hébergent ou exploitent des parties du service, listés avec leur finalité et leur localisation dans la liste des sous-traitants ; les prestataires de paiement ; les administrateurs de votre organisation (pour les dossiers des apprenants de celle-ci) ; les autorités lorsque la loi l'exige. Chaque sous-traitant est lié par un contrat écrit comportant des obligations de confidentialité et de sécurité.

Transferts internationaux

Les données sont hébergées en HOSTING REGION. Certains fournisseurs traitent des données dans d'autres pays, dont les États-Unis. Lorsque la loi exige un mécanisme de transfert, nous nous appuyons sur les clauses contractuelles types de l'UE (et l'addendum britannique), la réglementation saoudienne sur les transferts (PDPL), les clauses types de l'ANPD brésilienne, les contrats types KVKK turcs avec notification à l'Autorité, et des garanties équivalentes ailleurs. Des copies sont disponibles sur demande.

Durées de conservation

Vos droits

Selon votre lieu de résidence, vous disposez des droits d'accès, de rectification, de portabilité, d'effacement, de limitation et d'opposition au traitement de vos données personnelles, du droit de retirer votre consentement et de saisir une autorité de contrôle — par exemple la SDAIA (Arabie saoudite), l'autorité de protection des données de votre pays de l'UE/EEE (en France, la CNIL), l'ICO au Royaume-Uni, l'ANPD au Brésil, l'Autorité KVKK en Turquie ou l'autorité indonésienne. Les résidents de Californie ont le droit de savoir, de supprimer, de rectifier et de s'opposer à la vente ou au partage (nous ne vendons ni ne partageons) et ne subiront aucune discrimination pour les avoir exercés.

En autonomie : dans Confidentialité et données, vous pouvez télécharger tout ce que nous détenons sur vous (JSON) et supprimer votre compte ; les propriétaires d'organisation peuvent aussi y supprimer l'organisation. Sinon, écrivez à PRIVACY EMAIL ; nous répondons sous un mois (RGPD), 30 jours (PDPL) ou 45 jours (CCPA) et pouvons devoir vérifier votre identité. Si vos données figurent dans les cours d'une organisation, nous transmettons la demande à cette organisation en tant que responsable du traitement.

Enfants

Manhaj est un outil professionnel qui ne s'adresse pas aux enfants. Les écoles et autres organisations qui inscrivent des apprenants de moins de 16 ans (ou de l'âge local de la majorité numérique) doivent recueillir le consentement des parents ou tuteurs lorsque c'est requis et ne doivent pas activer pour eux de classement public sans ce consentement.

Cookies

Nous n'utilisons que les cookies et le stockage du navigateur nécessaires au fonctionnement du service (session de connexion, organisation active, langue, état de l'authentification unique) et à la conservation de votre travail non enregistré. Nous n'utilisons aucun cookie publicitaire ou analytique ; aucun bandeau de consentement n'est donc affiché. Détails : Notice cookies.

Sécurité

Nous protégeons les données par le chiffrement en transit, le hachage des mots de passe, une double authentification facultative et imposable, l'authentification unique d'entreprise, des accès par rôle, l'isolement entre clients, un journal d'audit et les mesures décrites dans la Présentation de la sécurité. Si nous avons connaissance d'une violation de données personnelles, nous en informons le client concerné dans les meilleurs délais, ainsi que les autorités et les personnes lorsque la loi l'exige.

Modifications

Nous publierons les modifications ici et, pour les changements importants, en informerons les propriétaires de compte par e-mail au moins 30 jours à l'avance.