Politique de confidentialité

Thotis (SAS, 840 091 664 R.C.S. Pontoise), dont le siège est situé 53 rue des Chesneaux, 95160 Montmorency, France, est responsable du traitement des données personnelles collectées sur MyThotis.

1. Données collectées

Identification : nom, prénom, adresse e-mail, numéro de téléphone.
Parcours scolaire : niveau, filière, spécialités, établissement, écoles et formations qui vous intéressent.
Conversations avec les assistants, à l'écrit comme à l'oral, et leur transcription.
Documents que vous créez ou déposez : CV, lettres de motivation.
Connexion : adresse IP, journaux techniques, type d'appareil.

Nous ne collectons pas votre date de naissance : à défaut, nous ne pouvons pas déterminer si vous êtes mineur. Voir la section 5.

2. Finalités et bases légales

Fournir le service (compte, outils, documents) — exécution du contrat.
Faire fonctionner les assistants IA, ce qui suppose de transmettre vos messages, votre voix pendant un appel et un résumé de votre profil à des prestataires extérieurs — votre consentement, recueilli avant le premier envoi et retirable à tout moment. Détail à la section 4.
Transmettre votre candidature ou votre demande d'information aux écoles que vous avez indiquées — exécution du contrat, à votre demande. Ces écoles deviennent alors responsables de traitement pour ce qu'elles en font.
Vous envoyer des informations par e-mail, SMS ou messagerie — consentement, retirable à tout moment.
Améliorer le service et mesurer l'audience — intérêt légitime, et consentement pour les cookies non essentiels.
Prévenir les écoles destinataires d'une demande d'effacement — obligation légale (article 19 RGPD). Voir la section 6.

3. Destinataires et sous-traitants

Vos données ne sont jamais vendues. Elles sont partagées avec :

Les écoles et établissements que vous avez indiqués, ou dont vous demandez la documentation.
Nos sous-traitants techniques, chacun lié par un contrat conforme au RGPD : hébergement et base de données (Scaleway, France), authentification (Supabase), gestion de la relation (HubSpot), formulaires (Typeform), envoi d'e-mails (Brevo), envoi de SMS et RCS, mesure d'audience et suivi d'erreurs.
Les prestataires d'intelligence artificielle qui font fonctionner les assistants. Ils sont nommés un par un à la section 4, avec ce qu'ils reçoivent et l'endroit où ils le traitent.

4. Les assistants IA : ce qui part, et chez qui

Les assistants de Thotis — à l'écrit comme à l'oral — ne fonctionnent pas seuls. Pour produire une réponse, ils s'appuient sur des prestataires extérieurs à Thotis, qui reçoivent une partie de vos données. Cette section dit lesquelles, et à qui.

4.1 Ce qui est transmis

Le contenu de vos messages et les réponses de l'assistant.
L'enregistrement de votre voix et sa transcription, uniquement pendant un appel que vous avez déclenché, et pour sa durée. Rien n'est capté en dehors d'un appel.
Un résumé de votre profil — prénom, niveau ou classe, établissement, centres d'intérêt — pour que la réponse corresponde à votre situation.

Aucune autre donnée de votre compte ne leur est transmise : ni votre adresse e-mail, ni votre numéro de téléphone, ni vos documents.

4.2 À qui

Chatbase, Inc. — moteur conversationnel de la majorité des assistants écrits. Traitement aux États-Unis.
Microsoft Corporation (Azure AI Speech) — reconnaissance et synthèse vocale pendant un appel. Traitement en France (région France Central).
ElevenLabs, Inc. — agent vocal conversationnel : il entend votre voix, produit la réponse et la prononce pendant un appel avec la conseillère. Traitement aux États-Unis.
OpenAI — modèles de langage des assistants que Thotis héberge lui-même. Traitement aux États-Unis.

Chacun agit comme sous-traitant au sens de l'article 28 du RGPD, dans le cadre d'un contrat qui lui interdit d'utiliser vos données à d'autres fins que l'exécution du service. Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne. Le transport de la voix et l'hébergement d'une partie des assistants restent sur notre infrastructure, en France.

4.3 À quoi ces données servent — et à quoi elles ne servent pas

Elles servent à produire la réponse, à tenir le fil de la conversation, et — seulement si vous l'avez accepté — à relire des extraits pour améliorer la qualité des réponses et à garder mémoire de votre parcours d'une conversation à l'autre.

Elles ne servent pas à entraîner les modèles de ces prestataires, ne nourrissent aucun ciblage publicitaire, et ne sont ni vendues, ni louées, ni cédées.

4.4 Votre consentement, et comment le retirer

Cette transmission repose sur votre consentement (article 6.1.a du RGPD), recueilli avant le premier envoi. Il est distinct de l'inscription : vous pouvez utiliser Thotis — brochures, guides, outils — sans jamais l'accorder.

Vous pouvez le retirer à tout moment, sans justification et sans conséquence sur le reste du service : dans l'application mobile, Profil → Confidentialité → Assistants IA ; sur le site, depuis la page Confidentialité de votre compte ; ou en nous écrivant à contact@thotismedia.com. Le retrait ferme immédiatement les assistants. Il ne fait pas disparaître les échanges déjà tenus, qui suivent les durées de la section 6 — pour les effacer, exercez votre droit à l'effacement (section 8).

5. Mineurs

MyThotis s'adresse à des lycéens et étudiants, dont une partie est mineure.

En dessous de 15 ans, l'article 8 du RGPD exige le consentement d'un titulaire de l'autorité parentale, en plus du vôtre.
Nous ne demandons pas votre âge à l'inscription. Vous pouvez à tout moment vous déclarer mineur depuis la page Confidentialité de votre compte : nous cessons alors la personnalisation publicitaire et l'analyse de vos conversations.
La génération de CV est bloquée par défaut tant que l'âge n'est pas connu, et ne s'ouvre qu'après recueil du consentement parental.
Un parent peut nous écrire à contact@thotismedia.com pour accéder aux données de son enfant, les faire rectifier ou les faire effacer.

6. Durées de conservation

Compte et données associées : pendant toute la vie du compte, puis effacement à votre demande.
Comptes inactifs : 3 ans après le dernier contact.
Conversations écrites avec les assistants : conservées tant que votre compte existe. Vous pouvez les supprimer une par une depuis votre historique, ou d'un coup en supprimant votre compte.
Transcriptions d'appels vocaux : 180 jours, puis suppression automatique. L'enregistrement audio, lui, n'est pas conservé au-delà de l'appel.
Trace de vos consentements : jusqu'à leur retrait, puis 3 ans, parce que nous devons pouvoir prouver que nous les avions recueillis.
Après un effacement : nous conservons votre adresse e-mail et la date, pendant 90 jours et rien d'autre. C'est la seule information qui nous permet de demander aux écoles destinataires d'effacer à leur tour, comme l'article 19 du RGPD nous y oblige. Passé ce délai, cette trace est supprimée automatiquement.

7. Hébergement et transferts hors UE

La plateforme, sa base de données et vos documents sont hébergés en France, chez Scaleway.

En revanche, une partie des assistants est opérée par des prestataires établis aux États-Unis — Chatbase, ElevenLabs et OpenAI, nommés à la section 4. Le contenu de vos conversations leur est transmis pour produire la réponse. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. La reconnaissance et la synthèse vocales, elles, sont traitées en France.

Évitez d'écrire dans le chat des informations sensibles dont vous ne voudriez pas qu'elles quittent l'Union européenne.

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.

Exporter vos données et supprimer votre compte : directement depuis votre profil, sur le site comme dans l'application. La suppression est immédiate et irréversible.
Régler vos consentements : depuis la page Confidentialité de votre compte.
Pour tout le reste : contact@thotismedia.com. Nous répondons sous un mois.

Vous pouvez également introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris — www.cnil.fr).

9. Cookies

Aucun cookie de mesure d'audience n'est déposé avant votre consentement. Vous pouvez le modifier à tout moment depuis le bandeau ou la page Confidentialité.

10. Sécurité

Le trafic est chiffré de bout en bout, les accès à la base sont authentifiés et cloisonnés compte par compte, les jetons de session sont stockés dans le trousseau sécurisé de votre téléphone, et chaque accès administrateur est journalisé. Aucun système n'étant infaillible, nous vous préviendrons ainsi que la CNIL en cas de violation susceptible d'engendrer un risque pour vos droits.