Politique de confidentialité

Dernière mise à jour : 23 octobre 2026

La présente politique explique comment nous traitons les données à caractère personnel lorsque vous utilisez Quizhat (quizhat.app), conformément aux articles 13 et 14 du règlement (UE) 2016/679 (RGPD) et au Code italien en matière de protection des données à caractère personnel (décret législatif 196/2003, tel que modifié par le décret législatif 101/2018).

1. Responsable du traitement et contacts

Le responsable du traitement est FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padoue (PD), Italie, n° TVA (P.IVA) 05743150285, qui exploite Quizhat.

• E-mail : festalaurea.info@gmail.com (pour toute question relative à la confidentialité et pour exercer vos droits)
• PEC (courrier électronique certifié) : festalaurea@pec.it

Nous n'avons pas désigné de délégué à la protection des données (DPO), car cela n'est pas obligatoire pour notre activité (art. 37 RGPD) : pour toute demande, vous pouvez utiliser les contacts ci-dessus.

2. Les deux rôles de Quizhat

• Pour les personnes qui créent un compte (formateurs, enseignants, organismes, organisateurs d'événements), nous sommes responsables du traitement des données du compte : c'est nous qui décidons comment et pourquoi les traiter, dans les limites décrites ici.
• Pour les personnes qui participent à un quiz, le responsable du traitement est celui qui organise la session (l'organisme de formation, l'entreprise, l'école, l'organisateur de l'événement). Quizhat traite ces données pour son compte et selon ses instructions, en qualité de sous-traitant (art. 28 RGPD), sur la base de l'Accord de traitement des données qui fait partie des Conditions d'utilisation. L'organisateur décide des données à demander, de la finalité et de la base juridique, et doit vous fournir sa propre information. Si vous êtes participant et souhaitez exercer vos droits, adressez-vous à l'organisateur ; si vous nous écrivez, nous transmettons la demande à l'organisateur et l'aidons à vous répondre.

3. Quelles données nous traitons

Compte (formateurs et organisateurs)

• Données d'inscription : nom, adresse e-mail et mot de passe. Le mot de passe n'est enregistré que sous forme d'empreinte chiffrée (hachage Argon2) : nous ne pouvons pas le lire.
• Connexion avec Google ou Microsoft, si vous la choisissez : nous recevons du fournisseur votre nom, votre adresse e-mail et un identifiant du compte. Nous ne recevons ni le mot de passe ni l'accès à d'autres données de votre compte Google ou Microsoft.
• Données de la formule : formule choisie, date de fin de l'essai, statut de l'abonnement, compteurs d'utilisation (par exemple les utilisations des fonctionnalités d'IA dans le mois et leur consommation, pour maîtriser les coûts).
• Données de facturation (formules payantes) : nom ou raison sociale, adresse, pays, numéro de TVA ou code fiscal, code destinataire SDI ou adresse PEC, les identifiants client et abonnement de Stripe et les factures. Les données de la carte sont traitées directement par Stripe : Quizhat ne les voit pas et ne les conserve pas.
• Données de l'organisation, si vous les saisissez : nom de l'organisme ou du cabinet et logo, qui apparaissent sur les procès-verbaux, les attestations et l'écran ; cours, dossiers des clients (nom de l'entreprise cliente, numéro de TVA et interlocuteur, si vous les indiquez).
• Vos contenus : quiz, questions, images téléchargées, liens vers des vidéos YouTube, documents et textes que vous envoyez aux fonctionnalités d'IA, collections, rapports des sessions.
• Bibliothèque publique : si l'un de vos quiz est public, le nom du compte apparaît à côté du quiz en tant qu'auteur (c'est la mention exigée par la licence CC BY). Si vous préférez, vous pouvez utiliser comme nom de compte le nom d'un organisme ou un pseudonyme.
• Signalements : si vous signalez un quiz de la bibliothèque, nous enregistrons le motif et, si vous êtes connecté, votre compte.
• Communications : les e-mails que vous nous écrivez et nos réponses.

Participants (pour le compte de l'organisateur)

• Le pseudonyme choisi pour jouer, l'avatar et l'éventuelle équipe.
• En mode Évaluation et lorsque l'organisateur le demande : nom, prénom et les autres champs choisis par l'organisateur (par exemple entreprise ou numéro de matricule).
• Les réponses données, les temps de réponse, le score, le résultat et les tentatives.
• En mode Évaluation : les événements de la session (entrée, sortie, remise) et le nombre de fois où le participant a quitté la page pendant le test, que l'organisateur voit dans le rapport et dans le procès-verbal.
• Si l'organisateur charge une liste d'inscrits : nom, prénom, entreprise et éventuellement l'adresse e-mail, avec un lien personnel vers le test ; si l'organisateur le demande, nous envoyons le lien par e-mail.
• Si l'organisateur génère une attestation : nom, cours, date et résultat, avec un code permettant à toute personne qui le possède d'en vérifier la validité sur une page publique (non indexée par les moteurs de recherche).
• Suivi d'efficacité (formule Organisation) : si l'organisateur le programme, en déclarant avoir informé les participants, quelques mois après le cours nous envoyons aux inscrits, par e-mail, un court questionnaire facultatif.

Pour participer, aucun compte n'est nécessaire et Quizhat ne demande ni adresse e-mail ni numéro de téléphone, sauf si c'est l'organisateur qui les saisit.

Données techniques et de navigation

Pour faire fonctionner le site et le protéger, nos systèmes traitent des données techniques telles que l'adresse IP, le type de navigateur, la date et l'heure des requêtes. Les adresses IP utilisées pour limiter les tentatives de connexion et les inscriptions répétées ne restent que dans la mémoire du serveur, pendant une heure au maximum. Sur l'appareil, nous n'enregistrons que des cookies et stockages techniques, décrits dans la Politique relative aux cookies. Les statistiques de visite sont collectées avec GoatCounter, installé sur nos serveurs, sans cookie et sans conservation de l'adresse IP. Nous ne pratiquons ni profilage ni publicité.

La fourniture des données du compte est nécessaire pour utiliser les fonctionnalités réservées : sans elles, nous ne pouvons pas créer le compte. Les données de facturation sont nécessaires pour acheter une formule payante, tenir la comptabilité et émettre la facture (toujours pour les entreprises et les professionnels, sur demande pour les particuliers).

4. Finalités et bases juridiques (compte et site)

• Fournir le service : compte, connexion, création des quiz, sessions en direct, rapports, procès-verbaux, attestations, assistance. Base : exécution du contrat (art. 6.1.b RGPD).
• E-mails de service : confirmation de l'adresse, bienvenue avec les instructions pour commencer, réinitialisation du mot de passe, alertes de sécurité (mot de passe ou adresse e-mail modifiés, nouvelle méthode de connexion), confirmation de la suppression du compte, communications relatives à la formule et aux conditions. Base : exécution du contrat et intérêt légitime à la sécurité des comptes. Nous n'envoyons ni newsletter ni e-mails promotionnels.
• Paiements, facturation et comptabilité : base : contrat (art. 6.1.b) et obligations légales fiscales et comptables (art. 6.1.c).
• Fonctionnalités d'IA (génération de questions, questions à partir d'un document, traduction) : base : exécution du contrat, uniquement lorsque c'est vous qui les utilisez.
• Bibliothèque publique : publier les quiz publics avec le nom de l'auteur. Base : contrat (c'est le choix de visibilité de la formule et la licence CC BY que vous acceptez).
• Sécurité, prévention des abus et gestion des signalements, y compris la limitation des tentatives de connexion et le retrait de contenus illicites : base : intérêt légitime (art. 6.1.f) et obligations légales (règlement (UE) 2022/2065 sur les services numériques).
• Statistiques de visite anonymes, pour comprendre quelles pages sont utiles : base : intérêt légitime (art. 6.1.f) ; l'outil n'utilise pas de cookies et n'identifie pas les visiteurs.
• Défense de nos droits en cas de litige : intérêt légitime (art. 6.1.f).

Nous ne prenons pas de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard (art. 22 RGPD). En mode Évaluation, le score est calculé automatiquement, mais le résultat de l'évaluation et ses conséquences sont décidés par l'organisateur de la formation.

5. Fournisseurs et destinataires

Les données ne sont ni vendues ni utilisées à des fins publicitaires. Seules les personnes de FESTALAUREA SRLS autorisées et tenues à la confidentialité, ainsi que les fournisseurs ci-dessous, chacun pour ce qui est nécessaire, ont accès aux données. Les fournisseurs qui traitent des données pour notre compte sont désignés sous-traitants par contrat (art. 28 RGPD).

• Aruba S.p.A. (Italie) : serveur virtuel (Aruba Cloud) dans un centre de données en Italie, où se trouvent l'application, la base de données, les images téléchargées, les sauvegardes et les statistiques ; enregistrement du nom de domaine.
• Resend (Resend, Inc., États-Unis) : envoi des e-mails de service et, à la demande de l'organisateur, des liens vers les tests et des questionnaires de suivi. Il reçoit l'adresse du destinataire, son nom et le texte du message.
• Anthropic (Anthropic PBC, États-Unis, et ses sociétés affiliées) : uniquement lorsqu'un formateur utilise les fonctionnalités d'IA. Il reçoit seulement le texte ou le document envoyé par le formateur (par exemple un support de cours) ou le quiz à traduire. Les données des participants ne sont jamais envoyées. Conformément aux conditions commerciales d'Anthropic, les données envoyées via l'API ne sont pas utilisées pour entraîner les modèles. Nous vous demandons de ne pas inclure de données personnelles dans les documents et textes envoyés à l'IA.
• Stripe (Stripe Payments Europe, Limited, Irlande) : paiements, abonnements, factures et portail de gestion de l'abonnement. Il reçoit le nom, l'adresse e-mail, l'adresse de facturation, les données fiscales et de paiement. Pour la prévention de la fraude et les obligations légales du secteur des paiements, Stripe agit en tant que responsable du traitement indépendant, conformément à sa politique de confidentialité.
• Google et Microsoft : uniquement si vous choisissez de vous connecter avec leur compte. Ils nous communiquent le nom, l'adresse e-mail et l'identifiant du compte ; pour la connexion, ils agissent en tant que responsables du traitement indépendants, conformément à leurs politiques de confidentialité.
• YouTube (Google Ireland Limited) : uniquement dans les quiz où l'auteur insère une vidéo, le lecteur est chargé depuis YouTube en mode de confidentialité renforcée et Google reçoit l'adresse IP de l'appareil (voir la Politique relative aux cookies). Google agit en tant que responsable du traitement indépendant.
• Google (Gmail) : les e-mails que vous envoyez à notre adresse de contact sont reçus dans la boîte festalaurea.info@gmail.com.
• Expert-comptable et conseillers de la société, pour la comptabilité et les obligations fiscales, et le Sistema di Interscambio (système italien d'échange des factures électroniques) de l'Agenzia delle Entrate (administration fiscale italienne) pour les factures électroniques.
• Autorités, lorsque la loi l'exige.

Les polices de caractères sont hébergées sur nos serveurs : les pages n'envoient aucune requête à Google Fonts ni à d'autres services de statistiques ou de publicité.

6. Transferts hors de l'Union européenne

La base de données, les images et les sauvegardes restent en Italie. Certains fournisseurs (Resend, Anthropic et, pour certaines activités, Stripe, Google et Microsoft) peuvent traiter des données aux États-Unis ou dans d'autres pays hors de l'Espace économique européen. Dans ces cas, le transfert n'a lieu qu'avec les garanties prévues par le RGPD : la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework, art. 45), pour les fournisseurs certifiés, ou les clauses contractuelles types approuvées par la Commission (art. 46), prévues par les accords de traitement des données de chaque fournisseur. Vous pouvez nous demander des informations sur les garanties utilisées en écrivant à l'adresse de contact.

7. Durée de conservation des données

• Compte et contenus : tant que le compte est actif. Vous pouvez supprimer votre compte à tout moment depuis la page Compte : le compte, les quiz, les questions, les images, les cours, les rapports et les données des participants de vos sessions sont immédiatement effacés (si vous avez un abonnement actif, il doit d'abord être résilié).
• Rapports des sessions et données des participants : ils restent dans le compte de l'organisateur tant que le compte existe, afin qu'il puisse conserver le dossier de la formation (les formules Formateur et Organisation incluent l'archivage pendant 10 ans). Avec la formule gratuite, les rapports sont consultables pendant 30 jours, mais ne sont pas supprimés : ils redeviennent visibles en cas de passage à une formule payante. L'organisateur peut à tout moment supprimer une session de son rapport (« Supprimer la session ») : les participants, réponses, scores, inscrits, attestations et suivis de cette session sont immédiatement effacés (des sauvegardes dans un délai d'environ 14 jours).
• Données comptables et factures : 10 ans, comme l'exige la loi (art. 2220 du Code civil italien et dispositions fiscales), y compris après la suppression du compte.
• Sauvegardes : chaque nuit, nous effectuons une copie de sécurité de la base de données et des images ; nous conservons les 14 dernières copies, de sorte que les données effacées disparaissent également des sauvegardes dans un délai d'environ 14 jours.
• Session de connexion : 30 jours, après quoi il faut se reconnecter.
• Liens envoyés par e-mail : le lien de réinitialisation du mot de passe est valable 1 heure et celui de confirmation de l'adresse e-mail 48 heures ; tous deux ne peuvent être utilisés qu'une seule fois et nous n'en conservons que l'empreinte (hachage).
• Journaux techniques du serveur : renouvelés automatiquement et effacés en quelques semaines ; ils ne contiennent pas les réponses des participants.
• Statistiques : données agrégées et anonymes, conservées sans limite de durée car elles ne concernent pas des personnes identifiables.
• E-mails d'assistance : pendant le temps nécessaire au traitement de la demande et des éventuels litiges, en règle générale pas plus de 2 ans.

8. Sécurité

Nous appliquons des mesures techniques et organisationnelles appropriées : connexions toujours chiffrées (HTTPS), mots de passe conservés uniquement sous forme de hachage Argon2, accès au serveur uniquement par clé cryptographique et pare-feu, limitation des tentatives de connexion, contrôles empêchant un compte de voir les données d'un autre, sauvegardes quotidiennes. En cas de violation de données présentant un risque pour les personnes, nous informons le Garante per la protezione dei dati personali (autorité italienne de protection des données) et, si nécessaire, les personnes concernées, dans les délais et selon les modalités prévus aux articles 33 et 34 du RGPD.

9. Vos droits

Vous pouvez à tout moment demander à :

• accéder à vos données et en recevoir une copie (art. 15) ;
• les rectifier ou les compléter (art. 16) ;
• les effacer (art. 17), y compris en supprimant votre compte depuis la page Compte ;
• en limiter le traitement (art. 18) ;
• les recevoir dans un format structuré et lisible par machine, ou les faire transmettre à un autre fournisseur (portabilité, art. 20) : depuis la page Compte, vous pouvez télécharger vos données au format JSON ;
• vous opposer aux traitements fondés sur l'intérêt légitime (art. 21).

Écrivez à festalaurea.info@gmail.com : nous répondons dans les meilleurs délais et en tout état de cause dans un délai d'un mois (prolongeable de deux mois dans les cas complexes, en vous en informant). Nous pourrons vous demander de confirmer votre identité. Si vous estimez que vos données sont traitées en violation du RGPD, vous pouvez introduire une réclamation auprès du Garante per la protezione dei dati personali (autorité italienne de protection des données, art. 77) ou saisir l'autorité judiciaire.

Si vous êtes participant, pour les données collectées lors d'une session, adressez-vous d'abord à l'organisateur, qui est le responsable du traitement : nous l'aidons à vous répondre.

10. Mineurs

Les comptes sont réservés aux personnes majeures qui utilisent Quizhat pour leur travail, leurs études ou pour organiser un événement. Les élèves, y compris mineurs, peuvent participer aux quiz sans compte sous la responsabilité de l'école ou de l'enseignant qui organise la session, qui est responsable du traitement de leurs données, décide des données à demander et en apprécie la base juridique. Pour les mineurs, nous recommandons de n'utiliser qu'un pseudonyme qui ne permette pas de les identifier.

11. Modifications

Nous pouvons mettre à jour la présente politique, par exemple lorsque les fonctionnalités du service ou les fournisseurs changent. La date de la dernière mise à jour figure en haut de la page ; pour les modifications importantes, nous informons par e-mail les titulaires d'un compte.