Politique de confidentialité

1. Qui est responsable de tes données

Tnajem (تنجّم), plateforme tunisienne de mise en relation entre élèves et profs particuliers, est responsable du traitement des données décrites ici.

Contact données personnelles : [email protected] — c'est l'adresse à utiliser pour toute demande d'accès, de rectification ou de suppression.

[À compléter par l'avocat : dénomination sociale exacte, siège social, matricule fiscal, numéro de déclaration / d'autorisation auprès de l'INPDP conformément à la loi organique n° 2004-63 du 27 juillet 2004 relative à la protection des données à caractère personnel.]

2. Ce que nous collectons

Nous ne collectons que ce qui sert à faire fonctionner le service.

Compte : ton adresse e-mail (c'est avec elle que tu te connectes), ton nom, ton rôle (élève, parent/tuteur ou prof), ta langue, ton mois et ton année de naissance (pour vérifier que tu as 18 ans ou plus — section 8), la version des conditions d'utilisation en vigueur quand tu as créé ton compte, et la date de ta dernière visite (pour appliquer la durée de conservation de la section 5). Si tu es élève, tu peux aussi indiquer ton niveau et les matières qui t'intéressent. Ton numéro de téléphone est facultatif : il sert uniquement aux messages que Tnajem peut t'envoyer sur ton compte et tes séances, jamais à te connecter, et il n'est jamais montré à un prof ou à un élève.
Accord parental (élève mineur — accès fermé pendant le pilote) : le nom et l'adresse e-mail du parent ou tuteur — nous ne demandons pas son téléphone —, le texte de l'accord, la version de cette politique sous laquelle il a été donné, sa date et, s'il est retiré, la date du retrait.
Page publique du prof : nom (affiché sous la forme prénom + initiale, section 4), matière, niveaux, présentation, photo, années d'expérience, établissement, liens vers tes réseaux — tout ce que tu publies toi-même et qui est visible par tout le monde.
Dossier de vérification (profs uniquement) : pièce d'identité (CIN ou passeport, recto/verso), éventuellement un selfie et des diplômes ou attestations, et ta déclaration de ne pas enseigner dans un établissement public, avec sa date. Les documents d'identité sont les données les plus sensibles que nous détenons.
Réservations : quelles séances tu as réservées, chez quel prof, à quelle date, et leur statut.
Messages et signalements : les messages échangés dans la conversation d'une séance, et les signalements que tu nous envoies (avec ton adresse e-mail seulement si tu choisis de la donner ; si tu es connecté, le signalement est rattaché à ton compte).
Technique : ton mot de passe, si tu en as un — jamais en clair : nous n'en gardons qu'une empreinte argon2id, qui ne permet pas de le retrouver — et la date de sa dernière modification ; un cookie de session pour te garder connecté (le serveur n'en garde qu'une empreinte, jamais le jeton lui-même), les codes de connexion (stockés uniquement sous forme hachée) et des journaux techniques qui ne contiennent ni ton adresse e-mail, ni ton numéro, ni ton mot de passe.
Mesure d'audience : quand une page s'affiche, un script de Cloudflare Web Analytics mesure, sans cookie, la page vue, la page d'où tu viens, ton navigateur, ton système d'exploitation, ton type d'appareil, ton pays et le temps de chargement (section 9).

Nous ne collectons aucune donnée bancaire : les paiements ne sont pas actifs sur Tnajem. Nous ne collectons pas ta géolocalisation, ni tes contacts, ni de données de santé.

Bientôt Tu paies en ligne, via Tnajem, avant la séance. Ce n'est pas encore le cas aujourd'hui. Quand les paiements seront activés, cette politique sera mise à jour avant (section 10).

3. Pourquoi, et sur quelle base

Chaque donnée a une raison d'être précise.

[À compléter par l'avocat : la base légale de chaque traitement au sens de la loi n° 2004-63. Celles indiquées entre parenthèses sont des propositions de l'équipe produit.]

Adresse e-mail → créer ton compte et t'identifier, avec ton mot de passe ou un code à usage unique envoyé à cette adresse (exécution du service que tu demandes). Elle sert aussi aux e-mails sur tes séances — réservation, annulation, rappels 24 h et 1 h avant, et une demande d'avis après un cours suivi —, au rappel avant la fin d'un abonnement mensuel et, si tu suis des profs, à un récapitulatif de leurs nouvelles séances au plus une fois par jour. Chacun de ces e-mails a un lien pour ne plus le recevoir. Mot de passe → te connecter sans attendre de code ; chaque fois qu'il est créé, changé ou réinitialisé, nous t'envoyons un e-mail et tes autres appareils sont déconnectés. Numéro de téléphone, si tu le donnes → les messages que Tnajem peut t'envoyer sur ton compte et tes séances (une confirmation de réservation, par exemple), rien d'autre ; il n'est jamais montré à un prof ou à un élève.
Nom et rôle → permettre au prof de savoir qui a réservé, et à l'élève de savoir avec qui il apprend.
Mois et année de naissance → vérifier que tu as 18 ans ou plus : pendant le pilote, Tnajem est réservé aux adultes, et un prof doit toujours avoir 18 ans ou plus (protection des mineurs). Nous ne demandons pas le jour : tu comptes comme majeur à partir du mois qui suit celui de tes 18 ans. Un mois ou une année inconnus comptent comme « moins de 18 ans ». Si l'accès des moins de 18 ans est ouvert, ils servent aussi à exiger l'accord d'un parent ou tuteur avant toute réservation.
Nom et adresse e-mail du parent → recueillir et prouver son accord (consentement). Nous ne demandons pas son téléphone.
E-mail du parent → relier à son enfant le compte que le parent ouvre avec cette adresse. Avec ce compte, le parent voit les séances réservées et peut LIRE les conversations de son enfant — l'enfant en est informé sur chaque conversation. Le parent ne peut ni écrire ni réserver à sa place, et les coordonnées des profs ne lui sont jamais communiquées. Il peut en revanche retirer son accord depuis son espace parent : son enfant ne peut alors plus réserver, et ses séances à venir sont annulées sans frais. Lui seul peut redonner cet accord.
Suppression de ton compte → tu peux la demander depuis « Mon compte ». Ce n'est pas possible tant que tu as une séance à venir : annule-la d'abord. Nous te laissons 30 jours pour changer d'avis, et tes autres appareils sont déconnectés tout de suite. Ensuite, ton compte est anonymisé : ton nom, ton e-mail, ton téléphone, l'empreinte de ton mot de passe, ton mois et ton année de naissance sont effacés, tu es déconnecté partout, les messages que tu as écrits sont supprimés et ton nom est retiré des notifications des autres. Si tu es le parent ou tuteur désigné dans l'accord parental d'un enfant, ton nom, ton e-mail et ton téléphone sont aussi effacés de cet accord : il n'en reste que le fait qu'il a été donné, sa date, son texte et sa version. Si tu es prof, ta page est retirée, son adresse ne peut plus être reprise par quelqu'un d'autre, et tes pièces d'identité, tes documents partagés et toutes tes photos — y compris les versions que tu avais remplacées — sont effacés du stockage. Ce qui reste ne permet pas de te reconnaître : la trace des places réservées (pour l'historique du prof et le registre des annulations), tes avis sans ton nom, les signalements, et un message que quelqu'un a signalé, gardé comme preuve. [À valider par l'avocat : la conservation des messages signalés après la suppression d'un compte, et celle d'un accord parental dont le signataire n'est plus identifiable.]
Documents d'identité → vérifier qu'un prof est bien la personne qu'il prétend être, avant de le présenter à des élèves (consentement du prof + intérêt légitime de sécurité de la communauté). Un prof qui refuse ne peut pas être vérifié, donc pas listé publiquement.
Déclaration de ne pas enseigner dans le public → respecter le décret n° 2015-1619 : Tnajem ne met pas en avant un enseignant en exercice dans un établissement public. Sans cette déclaration, un dossier de vérification ne peut être ni envoyé ni approuvé, et l'administrateur la compare à l'établissement indiqué.
Réservations → organiser les séances, gérer les places, la règle d'annulation à 48 h et le registre des annulations.
Messages échangés dans la conversation d'une séance → permettre à un prof et un élève de se parler sans échanger de coordonnées. Personne chez Tnajem ne lit une conversation, sauf un message signalé, qui arrive avec son texte dans la file de modération. Avant l'enregistrement, les coordonnées sont masquées automatiquement, en entier : un numéro de téléphone (avec ou sans +216), une adresse e-mail, un lien, ou un lien de messagerie (wa.me, t.me, Facebook, Instagram) avec le numéro ou l'identifiant qui le suit. Nous conservons le TYPE de ce qui a été détecté, jamais le texte détecté. Ce filtre n'attrape pas tout : échanger ses coordonnées reste interdit (conditions d'utilisation, article 8). Une conversation se ferme tout de suite quand la réservation est annulée, quand l'un des deux comptes est suspendu ou quand un parent retire son accord, et sinon 7 jours après la fin de la séance. Une conversation fermée reste lisible, et on peut encore y signaler un message, mais plus personne ne peut y écrire.
Signalements → protéger les utilisateurs, en particulier les mineurs. Chacun peut signaler la page d'un prof, une séance ou un document avec le bouton « Signaler », même sans être connecté ; l'adresse e-mail est alors facultative. Un message, lui, se signale depuis sa conversation, par l'élève ou le prof qui y participe, connecté à son compte — même quand la conversation est fermée. Si tu signales en étant connecté, le signalement est rattaché à ton compte : l'équipe voit ton rôle et l'adresse e-mail de ton compte. Un signalement ne retire rien automatiquement : une personne de l'équipe le lit et décide. Elle peut masquer un message ou un avis : son texte est alors remplacé par « Contenu retiré par la modération » pour tout le monde, auteur compris ; il reste conservé comme preuve, et seuls les administrateurs peuvent encore le lire. Un ayant droit peut demander le retrait d'un document par le même bouton.
Documents et vidéos partagés par un prof → permettre à ses élèves d'y accéder. Les fichiers sont stockés hors du web public et ne sont servis qu'après vérification de tes droits (public, élève inscrit chez ce prof — ou à cette séance, si le document y est rattaché —, ou le prof lui-même) — jamais par une adresse devinable. Une vidéo n'est pas hébergée ici : nous n'enregistrons que son identifiant YouTube et l'affichons sans cookie de suivi.
Photo de profil d'un prof → mettre un visage sur sa page. Elle est vérifiée par une personne avant d'être visible. Nous ne conservons PAS le fichier d'origine : la photo est réencodée en trois tailles et toutes ses données cachées sont effacées, y compris la localisation GPS que ton téléphone y inscrit. Quand tu remplaces ou supprimes ta photo, l'ancienne est effacée du stockage, dans ses trois tailles. Les moins de 18 ans n'ont jamais de photo, seulement leurs initiales.
Journaux, codes hachés et limites de fréquence → sécurité, lutte contre la fraude et les abus. Une limite liée à une adresse e-mail n'en garde qu'une empreinte. Après 5 mots de passe erronés pour une adresse e-mail depuis une même adresse IP, la connexion par mot de passe est suspendue 15 minutes pour cette adresse e-mail depuis cette adresse IP. Elle l'est aussi pour toute une adresse IP après 50 échecs en 15 minutes, et pour une adresse e-mail après 20 échecs en une heure. La connexion par code reste toujours possible.
Mesure d'audience → savoir quelles pages sont consultées, d'où viennent les visites et si les pages se chargent assez vite, en particulier sur un téléphone en 3G (intérêt légitime). Nous n'en voyons que des totaux, jamais qui a visité quoi (section 9).

Nous n'utilisons pas tes données pour de la publicité. Nous ne les vendons pas, ne les louons pas et ne les échangeons pas.

4. Qui peut voir quoi

C'est le point le plus important, alors soyons précis :

Ta page publique de prof : ton prénom suivi de l'initiale de ton nom (par exemple « Sami B. »), ta matière, tes niveaux, ta bio et ta photo — visibles par tout le monde, c'est le but. Ton nom complet n'est montré ni aux élèves ni au public : seuls toi et les administrateurs de Tnajem le voient. L'adresse de ta page, que tu choisis toi-même, est publique elle aussi.
Ton prénom d'élève : visible par le prof chez qui tu as réservé, et par lui seul. Les autres élèves ne voient pas ton nom.
Pour un élève mineur : son parent ou tuteur lié voit ses séances à venir et lit ses conversations.
Ton numéro de téléphone : jamais affiché publiquement, jamais montré à un prof ou à un élève.
Tes documents d'identité : jamais publics, jamais partagés avec les élèves, jamais partagés avec les autres profs, jamais utilisés pour autre chose que la vérification.

Concrètement, les documents d'identité sont chiffrés avant d'être enregistrés, en dehors de tout ce qui est servi publiquement : un fichier copié depuis le disque ou une sauvegarde est illisible sans la clé. Aucune adresse web ne permet de les ouvrir. Un administrateur autorisé (liste restreinte d'adresses e-mail définie côté serveur) reçoit, pour chaque document, un lien valable quelques minutes et utilisable par lui seul. Le document est téléchargé, jamais mis en cache, et chaque consultation est enregistrée — qui, quand — avant l'envoi du fichier.

Sous-traitants : l'hébergeur du serveur et de la base de données, le service de stockage des fichiers s'il est externe, le fournisseur d'e-mail qui envoie nos e-mails — ton code de connexion, les avis de mot de passe, les e-mails sur tes séances et tes abonnements (il reçoit ton adresse et le contenu de ces e-mails, rien d'autre) —, et Cloudflare, par qui passent les échanges entre ton navigateur et le site, et qui en mesure l'audience (section 9). Ils agissent sur nos instructions et n'ont pas le droit d'utiliser tes données pour eux-mêmes. [À compléter par l'avocat : identité de ces prestataires, pays d'hébergement, et — si les serveurs sont hors de Tunisie — l'autorisation de transfert requise par la loi n° 2004-63.]

Nous ne communiquons des données à une autorité que si la loi tunisienne nous y oblige.

5. Combien de temps nous gardons tes données

Les documents d'identité sont les données que nous gardons le moins longtemps. Ils servent à une décision, pas à constituer un fichier.

Documents d'identité et diplômes : conservés le temps de l'examen du dossier, puis supprimés au plus tard 90 jours après la décision — que le prof soit accepté ou refusé — ou dès la suppression du compte. Si un prof envoie un nouveau dossier, ses documents précédents sont gardés avec lui jusqu'à 90 jours après la décision sur ce nouveau dossier. [À compléter par l'avocat : durée maximale pour un dossier qui n'a jamais reçu de décision.]
Après suppression, il ne reste qu'une trace minimale sans le document lui-même : le type de document présenté, sa date d'envoi, la décision et sa date. C'est ce qui nous permet de prouver que la vérification a bien eu lieu. [Durée de conservation de cette trace à fixer par l'avocat.]
Compte et profil : conservés tant que tu utilises ton compte. Un compte inutilisé pendant 3 ans est supprimé comme si tu l'avais demandé (section 3). Aucun e-mail de rappel n'est envoyé avant. [À valider par l'avocat : cette durée, et l'obligation éventuelle de prévenir.]
Réservations et registre des annulations : conservés, et anonymisés quand le compte est supprimé. [Durée à fixer par l'avocat.]
Messages : conservés tant que les deux comptes existent, y compris après la fermeture de la conversation ; ceux d'un compte supprimé sont supprimés, sauf un message signalé. Un message ou un avis masqué par la modération garde son texte, que seuls les administrateurs peuvent lire. [Durée à fixer par l'avocat.]
Accord parental : conservé tant que le compte de l'enfant existe, y compris après un retrait (avec sa date), et supprimé avec le compte de l'enfant ; si le compte du parent est supprimé, son nom, son e-mail et son téléphone en sont effacés. [Durée à fixer par l'avocat.]
Signalements et journal des actions des administrateurs : conservés. [Durée à fixer par l'avocat.]
Codes de connexion : hachés, inutilisables au bout de quelques minutes, puis supprimés.
Mot de passe : seule son empreinte argon2id est conservée, tant que le compte existe ; elle est effacée avec le compte.
Session de connexion : elle se termine 30 jours après la connexion, après 14 jours sans utilisation, ou quand tu te déconnectes — y compris avec « Se déconnecter de tous les appareils ».

Supprimer signifie supprimer : le fichier est effacé du stockage et la ligne correspondante est effacée de la base de données. Ce n'est pas une simple mise en « archive ».

Les sauvegardes de la base de données et des fichiers contiennent encore les données effacées jusqu'à ce qu'elles-mêmes soient supprimées. [Durée de conservation des sauvegardes à fixer par l'avocat.]

6. Sécurité

Les documents d'identité sont chiffrés et ne sont accessibles qu'à des administrateurs désignés, par un lien personnel et temporaire ; chaque consultation est enregistrée. Les mots de passe (argon2id), les codes de connexion et les jetons de session ne sont stockés que sous forme d'empreinte : ton mot de passe ne peut pas être relu à partir de ce que nous conservons. Les échanges avec le site sont chiffrés (HTTPS). L'accès administrateur est limité à une liste d'adresses e-mail définie côté serveur.

Aucun système n'est infaillible. En cas d'incident de sécurité affectant tes données, nous t'informerons et informerons l'INPDP dans les conditions prévues par la loi.

7. Tes droits

Conformément à la loi organique n° 2004-63 du 27 juillet 2004 relative à la protection des données à caractère personnel, tu disposes des droits suivants :

Accès : savoir quelles données nous détenons sur toi et en obtenir une copie.
Rectification : corriger une donnée fausse ou incomplète.
Suppression : demander l'effacement de tes données, directement depuis « Mon compte » (section 3), y compris tes documents d'identité.
Opposition : t'opposer, pour un motif légitime, à un traitement.
Retrait du consentement : à tout moment, sans que cela remette en cause ce qui a été fait avant. Pour un élève mineur, le parent retire son accord depuis son espace parent. Retirer ton consentement à la vérification (en supprimant ton compte ou en nous écrivant) signifie que ta page de prof ne peut plus être publiée.
Réclamation : saisir l'Instance Nationale de Protection des Données Personnelles (INPDP) si tu estimes que tes droits ne sont pas respectés.

Pour exercer un autre droit, écris à [email protected] depuis l'adresse associée à ton compte. Nous pouvons devoir vérifier ton identité (sans te demander de nouveaux documents inutiles). Nous répondons au plus tard dans un délai d'un mois. [Délai à confirmer par l'avocat.]

Pour un élève mineur, ces droits sont exercés par le parent ou le tuteur qui a donné l'accord.

8. Les mineurs

Pendant le pilote, Tnajem est réservé aux 18 ans et plus, élèves comme profs. À l'inscription, nous demandons ton mois et ton année de naissance, et le serveur refuse l'inscription si tu n'as pas encore 18 ans : tu comptes comme majeur à partir du mois qui suit celui de tes 18 ans. Un prof doit toujours avoir 18 ans ou plus. Un compte d'élève de moins de 18 ans peut se connecter, mais ne peut réserver aucune séance.

Tant que cet accès est fermé, nous ne demandons aucune donnée à un parent. S'il est ouvert, un élève de moins de 18 ans ne peut réserver aucune séance sans l'accord d'un parent ou tuteur, dont nous conservons le nom, l'adresse e-mail, la version de cette politique et la date de l'accord. L'accord est saisi par l'élève au nom de son parent ; une fois le compte du parent relié à l'accord, l'élève ne peut plus changer l'adresse du parent. Le parent voit l'accord, et peut le retirer ou le redonner, depuis son propre compte. [À valider par l'avocat : un accord saisi par l'élève, sans vérification de l'identité du parent.]

Nous limitons volontairement ce que nous demandons à un mineur : une adresse e-mail, un nom, un mois et une année de naissance, et un téléphone facultatif. Un mineur ne nous envoie jamais de pièce d'identité — cette obligation ne concerne que les profs — et n'a jamais de photo.

9. Cookies et mesure d'audience

Nous utilisons trois cookies, et aucun ne sert à te suivre : un cookie de session, indispensable, qui te garde connecté une fois que tu t'es identifié (mot de passe ou code) ; un cookie qui retient ton rôle pour afficher le bon menu (il ne donne accès à rien) ; et un cookie qui retient la langue que tu as choisie.

Pas de cookie publicitaire, pas de pixel de réseau social. Une vidéo YouTube n'est chargée que si tu la lances, depuis le domaine sans cookie de YouTube.

Mesure d'audience : Cloudflare, par qui passe le site, ajoute à chaque page un petit script, Cloudflare Web Analytics. Il mesure la page vue, la page d'où tu viens, ton navigateur, ton système d'exploitation, ton type d'appareil, ton pays (déduit de ton adresse IP) et le temps de chargement de la page. Il n'utilise ni cookie, ni rien d'autre enregistré dans ton navigateur, pour suivre les visiteurs, et Cloudflare ne te suit pas d'un site à l'autre. Nous n'en voyons que des totaux — visites, pages vues, pays, navigateurs, temps de chargement —, jamais qui a visité quoi. [À compléter par l'avocat : durée de conservation de ces mesures chez Cloudflare, et transfert de ces données hors de Tunisie.]

10. Modifications de cette politique

Cette politique évoluera — notamment lors de l'activation des paiements, qui introduira de nouvelles données (transactions). La version applicable est celle publiée sur cette page ; la version sous laquelle un accord parental a été donné est enregistrée avec lui. [À compléter par l'avocat : comment les utilisateurs sont informés d'un changement important, et si un nouvel accord est nécessaire.]

11. Nous contacter

Questions sur tes données, demande d'accès : [email protected].

Autres questions : [email protected].