Version 1.8 - Août 2026 · Dernière mise à jour : août 2026
Responsable de traitement : ACNL Consulting SAS - 16 rue de la Brise, 92370 Chaville - www.hippocriate.com. Référent RGPD : dpo@hippocriate.com. Autorité de contrôle : CNIL - www.cnil.fr - 3 place de Fontenoy, 75007 Paris.
Préambule. La présente Politique de confidentialité décrit, conformément à l'article 13 du RGPD, la nature des données collectées, leurs finalités, leurs bases légales, les destinataires, les durées de conservation et les droits de l'Utilisateur. Elle intègre les exigences du Règlement (UE) 2024/1689 (IA Act) relatives à la transparence des systèmes d'IA. Elle s'applique à tous les utilisateurs, quel que soit leur plan d'abonnement.
L'Éditeur n'est pas soumis à l'obligation de désigner un Délégué à la Protection des Données (art. 37 RGPD). Il a néanmoins désigné un référent chargé des questions de protection des données, joignable à tout moment à dpo@hippocriate.com.
HippocrIAte collecte uniquement les données strictement nécessaires à la fourniture du Service (principe de minimisation, Art. 5(1)(c) RGPD) :
Ce qu'HippocrIAte ne collecte PAS : données de santé personnelles de l'Utilisateur ; données biométriques à des fins d'identification ; données de localisation précise ; données de mineurs de moins de 15 ans ; données bancaires brutes (déléguées à Stripe).
Lorsque la base légale est l'intérêt légitime, l'Éditeur a réalisé le test de mise en balance requis ; les données sont pseudonymisées pour les traitements analytiques et de sécurité.
Les données vocales sont traitées dans deux situations : lors des sessions de tuteur oral (audio capturé via WebRTC et transmis en temps réel à Mistral AI - Voxtral pour conversion en texte, puis réponse restituée par Voxtral TTS) et lors de la saisie vocale dans le chat et le Pair Learning. La reconnaissance et la synthèse vocales sont réalisées par un prestataire établi en France : aucune séquence audio, entrante ou sortante, ne fait l'objet d'un transfert hors de l'Union européenne.
Base légale : exécution du contrat (Art. 6(1)(b) RGPD). L'Utilisateur peut à tout moment désactiver le tuteur oral et la saisie vocale depuis ses paramètres ; la désactivation entraîne la suppression des journaux de session audio dans un délai de 30 jours.
HippocrIAte réalise les traitements de profilage suivants sur les données d'usage :
Aucun traitement automatisé opéré par HippocrIAte ne produit d'effet juridique ou d'effet significatif assimilable au sens de l'Art. 22(1) RGPD : aucun résultat ne conditionne l'accès à une institution, aucune évaluation n'est transmise à l'université ou au concours (à la seule exception des résultats de concours blanc transmis à Hippo Académie sur consentement, pour le débrief d'une colle), et l'Utilisateur reste libre d'ignorer, corriger ou supprimer tout résultat. L'Éditeur maintient néanmoins par précaution les garanties de l'Art. 22(3) : droit à l'explication, droit à la révision humaine, droit d'opposition.
Contact pour exercer ces droits : ia-droits@hippocriate.com - délai de réponse : 15 jours ouvrés (7 jours ouvrés pour la révision humaine).
L'Éditeur met en œuvre un dispositif de mesure du temps d'usage permettant de connaître les fonctionnalités consultées et le temps que l'Utilisateur y consacre. Le dispositif enregistre les fonctionnalités ouvertes et consultées, le temps réellement passé sur chacune (mesuré par signaux d'activité périodiques tant que la session est active), l'horodatage de début et de fin de session, la durée et la fréquence d'utilisation. La mesure ne comptabilise que le temps d'activité réelle et n'enregistre ni les frappes clavier, ni le contenu de l'écran.
Finalités : amélioration du Service (usage agrégé) et suivi pédagogique individualisé par l'équipe pédagogique habilitée.
Bases légales : intérêt légitime (Art. 6(1)(f)) pour la mesure agrégée et anonymisée ; consentement préalable, libre et spécifique (Art. 6(1)(a)) pour le suivi nominatif individualisé, recueilli au moyen d'une case à cocher dédiée, distincte et non pré-cochée (Article 3bis des CGU). Le consentement est facultatif ; son refus ou son retrait n'affecte ni l'accès au Service ni aucune fonctionnalité.
Garanties : minimisation, granularité limitée aux fonctionnalités, accès restreint aux seuls membres habilités, conservation 24 mois puis anonymisation (ou suppression sans délai en cas de retrait du consentement). L'Utilisateur peut retirer son consentement à tout moment depuis « Paramètres › Confidentialité » ou par e-mail à dpo@hippocriate.com.
Les données sont accessibles aux seuls membres de l'équipe ACNL Consulting habilités (gestion des comptes, support technique, référent RGPD), dans la stricte limite de leurs attributions.
Les colles de débrief sont proposées et commercialisées de manière autonome par Hippo Académie, entité juridiquement distincte (Article 4bis des CGU). Lorsque l'Utilisateur a souscrit une colle et souhaite en bénéficier, il peut autoriser l'Éditeur à transmettre à cette dernière, de manière nominative, les résultats de concours blanc nécessaires au débrief. Base légale : consentement préalable, libre et spécifique (Art. 6(1)(a) RGPD), recueilli au moyen d'une case dédiée et non pré-cochée. Hippo Académie agit alors en qualité de responsable de traitement autonome ; son traitement est régi par sa propre politique de confidentialité. La transmission est limitée aux données strictement nécessaires et au seul groupe concerné. L'Utilisateur peut retirer son autorisation à tout moment.
Les transferts vers OpenAI, Voyage AI, Tavily et Resend (États-Unis) sont encadrés par des Clauses Contractuelles Types adoptées par la Commission européenne (décision 2021/914), assorties d'un Data Processing Agreement. L'Éditeur vérifie annuellement que ces prestataires sont enregistrés au Data Privacy Framework UE-États-Unis. Le traitement des séquences audio est réalisé dans l'Union européenne par Mistral AI (France). Les prestataires d'hébergement Supabase, Vercel, Upstash, Railway et Sentry stockent et traitent les données dans l'UE, sous DPA et CCT pour encadrer tout accès depuis un pays tiers.
Les données peuvent être communiquées aux autorités judiciaires, administratives ou de contrôle habilitées, sur demande expresse et motivée présentée dans les formes légales. L'Éditeur vérifie la régularité de la demande, limite la communication aux seules données visées, consigne chaque demande dans un registre interne et informe l'Utilisateur concerné, sauf lorsque la loi le lui interdit. Aucune communication n'est effectuée sur simple demande officieuse.
L'Éditeur s'engage à répondre à toute demande relative aux droits RGPD dans un délai d'un (1) mois à compter de la réception (Art. 12(3) RGPD), prolongeable de deux mois en cas de demandes complexes ou nombreuses. Les droits s'exercent de préférence depuis l'adresse e-mail associée au Compte ; en cas de doute raisonnable, l'Éditeur peut solliciter les informations nécessaires pour confirmer l'identité (Art. 12(6) RGPD). Une demande manifestement infondée ou excessive peut être refusée ou donner lieu à des frais raisonnables.
Lors de la première visite, un bandeau de gestion des cookies conforme aux recommandations CNIL de 2020 est présenté. L'Utilisateur peut accepter tous les cookies, refuser les cookies analytiques (sans impact sur l'accès au Service) ou modifier ses choix à tout moment via « Paramètres cookies ». Aucun cookie publicitaire tiers n'est utilisé ; la mesure d'audience est réalisée en interne, dans la base de données de l'Éditeur (Supabase, UE), sans outil d'analytics tiers.
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des Utilisateurs, l'Éditeur notifie la CNIL dans un délai de 72 heures (Art. 33 RGPD), informe les Utilisateurs concernés en cas de risque élevé (Art. 34 RGPD) et documente la violation dans le registre dédié.
Les traitements suivants ont fait ou feront l'objet d'une AIPD :
Les conclusions des AIPD sont documentées dans le registre des activités de traitement de l'Éditeur, tenu à la disposition de la CNIL sur demande.
L'Éditeur s'engage formellement à ne jamais utiliser les Documents Uploadés, les questions posées au tuteur, les transcriptions vocales ni aucune donnée personnelle de l'Utilisateur pour entraîner, affiner (fine-tuning) ou améliorer un modèle d'IA, en interne ou via des prestataires tiers. Il s'assure contractuellement que ses prestataires IA (OpenAI, Mistral AI, Voyage AI, Tavily) ne sont pas autorisés à utiliser les données transmises pour l'entraînement de leurs modèles. Cette garantie est un élément substantiel du contrat ; toute modification fera l'objet d'une notification préalable de 60 jours et nécessitera le consentement explicite de l'Utilisateur.
Le Service est accessible aux personnes âgées d'au moins quinze (15) ans, âge du consentement numérique en France (art. 45 de la loi Informatique et Libertés, transposant l'art. 8 du RGPD). L'Utilisateur âgé d'au moins 15 ans consent seul aux traitements le concernant et gère seul son Compte. Les conditions dans lesquelles un Utilisateur mineur peut souscrire seul un abonnement payant relèvent de l'Article 6 des CGV. L'âge est vérifié à l'inscription par la collecte de la date de naissance ; toute inscription d'un mineur de moins de 15 ans est refusée. Les informations destinées aux mineurs sont fournies dans un langage clair et adapté.
L'Éditeur se réserve le droit de modifier la présente Politique pour refléter les évolutions légales (RGPD, IA Act, ePrivacy), réglementaires ou techniques. Toute modification substantielle sera notifiée par e-mail avec un préavis minimum de 30 jours. La version en vigueur est toujours accessible à l'adresse www.hippocriate.com/confidentialite avec sa date de dernière mise à jour.
Sans préjudice de tout autre recours, l'Utilisateur a le droit d'introduire une réclamation auprès de la CNIL s'il estime que le traitement de ses données constitue une violation du RGPD ou de l'IA Act. CNIL - 3, place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 - www.cnil.fr - Tél. : 01 53 73 22 22.
Voir également nos Conditions générales d'utilisation et nos Conditions générales de vente.