Politique de confidentialité
Mise à jour : 1er novembre 2026. Cette politique décrit les données personnelles traitées par Civique Pratique conformément au règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
Responsable du traitement
RKA IT SASU, 95 avenue du Président Wilson, 93100 Montreuil, France (RCS Bobigny 983 614 884), éditeur de Civique Pratique. Pour toute question ou demande relative à vos données : privacy@civique-pratique.fr. RKA IT n'a pas désigné de délégué à la protection des données (il n'y est pas tenu) : les demandes adressées à privacy@civique-pratique.fr sont traitées directement par le dirigeant de la société.
Ce que nous ne collectons pas
Les champs des courriers et du dossier (nom, adresse, numéro étranger, numéro de dossier, préfecture, situation) sont traités uniquement dans votre navigateur ; rien ne nous est transmis ni stocké, et les documents générés ne passent jamais par notre serveur. La mesure d'audience (ci-dessous) ne lit jamais ces champs : elle compte seulement la page ouverte et le nombre de courriers générés. Votre progression dans les examens blancs reste dans le stockage local de votre navigateur. Nous ne demandons ni votre nom, ni votre nationalité, ni votre situation administrative pour acheter un accès.
Ce que nous traitons
Pour acheter un accès, l'adresse e-mail est indispensable : sans elle, nous ne pouvons pas vous envoyer votre code ni la confirmation de la commande. Le nom et, le cas échéant, l'adresse de facturation sont exigés pour établir la facture. Pour une rétractation par « Renoncer au contrat ici », le nom, le prénom et l'adresse e-mail sont demandés par la loi (article D221-5 du code de la consommation) ; le code d'accès est facultatif. Toutes les autres données (date d'examen, e-mails d'accompagnement) sont facultatives et leur absence ne change rien à votre accès.
- Achat et accès : adresse e-mail, offre, prix payé, identifiants de la transaction Stripe, horodatage de votre demande d'exécution immédiate et version des conditions acceptées, empreinte du code d'accès (le code n'est jamais stocké en clair), dates de début et de fin d'accès, état de l'accès ; base légale : exécution du contrat (art. 6.1.b du RGPD) et obligations légales (preuve de l'accord, art. L221-13 du code de la consommation ; comptabilité) ; conservation : l'adresse e-mail est effacée automatiquement 3 ans après la fin de l'accès (la ligne, anonymisée, reste pour les statistiques) ; les pièces comptables (commande, prix, facture) sont conservées 10 ans dans le compte Stripe de RKA IT, pour le compte de RKA IT (SASU), à qui incombe l'obligation (article L123-22 du code de commerce) ; Stripe conserve de son côté les données de carte selon sa propre politique. Le paiement par carte est saisi sur la page de Stripe Payments Europe Ltd, qui traite vos données de carte selon sa propre politique ; nous ne voyons jamais votre numéro de carte.
- Facture : nom du titulaire de la carte et, seulement si le moyen de paiement l'exige, adresse de facturation, saisis sur la page de paiement et recueillis par Stripe pour notre compte, avec l'adresse e-mail, l'offre et le prix payé TVA comprise, pour établir la facture que Stripe vous envoie par e-mail après le paiement ; base légale : exécution du contrat (art. 6.1.b du RGPD) pour établir et envoyer la facture, et obligation légale (art. 6.1.c du RGPD ; art. L123-22 du code de commerce) pour conserver les pièces comptables, ainsi que l'art. 289 du code général des impôts si vous achetez en tant que professionnel ; conservation : pièces comptables conservées 10 ans dans le compte Stripe de RKA IT, pour le compte de RKA IT (SASU), à qui incombe l'obligation (article L123-22 du code de commerce), à compter de la clôture de l'exercice ; notre serveur les reçoit dans l'avis de paiement de Stripe mais ne les garde pas.
- E-mails d'accompagnement et de rappel (case facultative, non précochée, au paiement) : adresse e-mail, langue d'achat, date de votre examen si vous choisissez de l'indiquer (gardée par nos soins, jamais transmise à Stripe, effacée à votre désinscription ou à la fin de l'accès), choix enregistré et liste des e-mails déjà envoyés (sans l'adresse) ; finalité : vous envoyer, pendant la durée de l'accès seulement, au plus quatre e-mails (bienvenue le jour de l'achat, conseils de méthode au bout de trois jours, rappel une semaine avant l'examen si vous avez donné sa date, sinon un message « où en êtes-vous ? » au bout de quatorze jours, et un rappel une semaine avant la fin de l'accès) ; base légale : consentement (art. 6.1.a du RGPD), jamais requis pour acheter ; conservation : jusqu'à votre désinscription ou, au plus tard, la fin de l'accès (l'adresse reste ensuite conservée 3 ans comme les autres données de l'achat, sans nouvel envoi) ; désinscription : lien en un clic dans chaque e-mail (page de confirmation, sans connexion), immédiate et définitive pour ces e-mails ; aucun e-mail n'est envoyé si l'accès est remboursé ou contesté, ni après une rétractation.
- Rétractation (« Renoncer au contrat ici ») : nom, prénom, adresse e-mail, code d'accès s'il est indiqué, date et heure de la déclaration ; finalité : recevoir votre déclaration, vous en envoyer l'accusé de réception et vous rembourser ; base légale : obligation légale (articles L221-21 et D221-5 du code de la consommation) ; la déclaration n'est gardée que dans l'accusé de réception qui vous est envoyé et dans l'alerte envoyée à notre adresse de contact, conservés comme les autres données de l'achat (3 ans après la fin de l'accès) ; notre base ne garde que la date de la demande, l'accès concerné, les jours écoulés et le montant calculé, sans nom ni adresse ; pour limiter les abus (intérêt légitime), au plus 3 traitements par adresse sur 24 heures, comptés avec une empreinte cryptographique (HMAC) de l'adresse effacée après environ 24 heures, et 10 demandes par heure et par adresse réseau, en mémoire seulement.
- Code perdu : adresse e-mail saisie, utilisée seulement pour retrouver un accès actif et envoyer un nouveau code ; base légale : exécution du contrat ; aucune trace si l'adresse est inconnue ou n'a aucun accès actif ; limitation du nombre d'essais par adresse réseau (10 par heure) et du nombre de demandes par adresse e-mail (3 par heure), en mémoire seulement : l'adresse saisie, même inconnue de nos accès, y reste pendant la fenêtre d'une heure puis jusqu'au prochain nettoyage de la mémoire (toutes les 6 heures au plus), sans écriture dans la base ; pour limiter à 3 les e-mails envoyés par adresse et par jour (limitation des abus, intérêt légitime), une empreinte cryptographique (HMAC) de l'adresse et l'heure de chaque envoi sont conservées environ 24 heures (au plus 30 heures, le nettoyage ayant lieu toutes les 6 heures) dans notre base, sans l'adresse en clair ni l'adresse réseau, puis effacées ; quand « Code perdu » remet à zéro les activations d'un client qui a atteint le plafond de 5 activations (au plus une remise par période de 30 jours), l'identifiant de son accès et la date de la remise sont conservés 30 jours dans notre base, sans adresse e-mail, puis effacés.
- Connexion par e-mail : si vous demandez un code de connexion, nous utilisons l'adresse e-mail de votre achat pour vous envoyer un code à usage unique, valable 10 minutes. Seules des empreintes chiffrées de l'adresse et du code sont gardées jusqu'à l'usage ou l'expiration. Nous conservons seulement la date des connexions par accès (30 jours, sans adresse IP ni identifiant d'appareil) pour détecter un partage abusif. Base légale : exécution du contrat ; intérêt légitime (sécurité de l'accès).
- Protection anti-abus : pour limiter les envois automatisés, les formulaires de connexion, de code perdu et de rétractation vous demandent de résoudre un petit calcul sur votre appareil ; il n'utilise ni cookie ni service tiers et ne collecte aucune donnée personnelle.
- Support : adresse e-mail et contenu des échanges ; base légale : exécution du contrat pour les acheteurs, intérêt légitime (répondre aux demandes) pour les autres ; conservation 2 ans après le dernier échange.
- Journaux techniques : adresse IP tronquée (IPv4 : trois premiers nombres ; IPv6 : préfixe /48), page demandée, navigateur, horodatage ; base légale : intérêt légitime (sécurité, détection des abus) ; conservation 90 jours au plus. Aucun code d'accès, jeton ni signature de paiement n'y est écrit.
- Campagne d'annonce d'un achat (seulement si vous êtes arrivé par l'une de nos annonces) : nom de la campagne, pris dans une liste fermée (par exemple « gads-blanc »), noté en métadonnée de la commande chez Stripe et compté dans nos totaux de ventes par campagne (voir « Mesure d'audience ») ; il n'est pas gardé avec votre accès ; base légale : intérêt légitime (mesurer l'efficacité de nos annonces, art. 6.1.f du RGPD) ; conservation : celle de la commande (pièces comptables conservées 10 ans dans le compte Stripe de RKA IT, pour le compte de RKA IT (SASU), à qui incombe l'obligation (article L123-22 du code de commerce)), et 13 mois pour nos totaux.
- Statistiques d'audience : totaux anonymes par jour, sans cookie ni identifiant ; base légale : intérêt légitime (connaître la fréquentation du site) ; conservation 13 mois.
Mesure d'audience
Pour savoir combien de personnes consultent le site et comment elles y arrivent, notre serveur compte lui-même les pages vues, sans cookie et sans outil extérieur. Il garde seulement des totaux anonymes par jour : nombre de visiteurs et de pages vues, pages consultées (adresse sans paramètres), langue de la page (celle qu'indique la page elle-même), la langue principale de votre navigateur (par exemple « fa » ou « ru », jamais la liste complète de vos langues ni votre adresse), pour décider des langues à ajouter au site, provenance réduite au nom du site ou du moteur de recherche d'origine (jamais l'adresse complète) et classée par famille (moteurs de recherche, réseaux sociaux, accès direct, autres), type d'appareil, et le nombre de certaines actions (examen commencé ou terminé avec la tranche de note obtenue (« moins de 26 », « 26 à 31 » ou « 32 et plus » sur 40) et la langue de l'écran, courrier généré avec son type de modèle, jamais son contenu, calcul fait avec le calculateur de dates (sans aucune des dates saisies), PDF préparé avec l'outil « Préparer mes pièces » (sans aucun fichier, nom de fichier ni taille), contrôle fait avec « Vérifier mon dossier » ou recherche faite dans le traducteur de vocabulaire (sans fichier ni mot tapé), clic sur « acheter », paiement confirmé avec l'offre choisie, la langue, la campagne d'annonce d'arrivée et le total encaissé par offre et par campagne, code activé). Chaque action ne peut porter que des valeurs d'une liste fermée (tranche de note, langue, type de modèle, campagne d'annonce) : le service refuse tout le reste, et aucun montant, adresse e-mail ou réponse n'est jamais rattaché à un visiteur. Pour relier la tranche de note au clic sur « acheter », elle est portée par l'adresse du lien vers les offres (paramètre « depuis ») : rien n'est stocké dans votre navigateur, et ce paramètre n'est pas écrit dans nos journaux ni transmis à Stripe. Les montants encaissés ne sont affichés dans nos tableaux que par jour et par offre, et seulement à partir de trois ventes le même jour ; par campagne, seulement pour l'ensemble de la période consultée, et seulement à partir de trois ventes. Un visiteur n'est reconnu que pendant la journée, par une empreinte calculée à partir de son adresse réseau et de son navigateur, mêlées à une valeur aléatoire changée chaque jour et gardée en mémoire seulement : ni l'adresse IP ni cette empreinte ne sont enregistrées, et personne ne peut être suivi d'un jour à l'autre. Les totaux sont gardés 13 mois. Cette mesure se limite à des statistiques anonymes de fréquentation : elle est dispensée de consentement selon les recommandations de la CNIL. Les signaux « Do Not Track » et « Global Privacy Control » sont respectés : rien n'est envoyé.
Vous pouvez refuser cette mesure sur cet appareil en cliquant sur « Ne pas compter mes visites » : ce choix est gardé dans le stockage local de votre navigateur et respecté tant qu'il n'est pas effacé ; il arrête aussi le suivi de campagne décrit ci-dessous.
Vos visites ne sont plus comptées sur cet appareil.
Campagnes d'annonces et ventes
Ce suivi est distinct de la mesure d'audience et ne lit rien sur votre appareil : si vous arrivez par l'une de nos annonces, le nom de sa campagne (pris dans une liste fermée, par exemple « gads-blanc ») suit les liens du site par le paramètre « source » de leur adresse, sans rien stocker dans votre navigateur ; il est joint à votre demande de paiement, noté chez Stripe avec la commande et compté dans nos totaux de ventes par campagne. Il ne dit rien d'autre de vous que l'annonce qui a mené à votre achat. La campagne d'annonce jointe à un achat n'est pas anonyme chez Stripe, puisqu'elle est notée avec la commande (donc avec votre adresse e-mail) : elle est traitée au titre de notre intérêt légitime (voir « Campagne d'annonce d'un achat » plus haut), et vous pouvez vous y opposer en nous écrivant. Vous pouvez aussi l'arrêter sur cet appareil avec « Ne pas compter mes visites ».
Cookies et stockage local
Civique Pratique ne dépose aucun cookie et n'utilise aucun traceur publicitaire. Il utilise le stockage local de votre navigateur, strictement nécessaire au service que vous demandez (langue, progression et questions ratées, accès acheté : code validé, offre, date de fin), ainsi que, seulement si vous le demandez, l'indicateur « Ne pas compter mes visites » ; l'article 82 de la loi Informatique et Libertés dispense ces traceurs de consentement, et nous n'affichons donc pas de bandeau. La mesure d'audience décrite plus haut, limitée à des statistiques anonymes pour notre seul compte, relève aussi de l'exemption prévue par la CNIL. Vous pouvez effacer le stockage local dans les réglages du navigateur ; la progression est alors perdue. La page de paiement, sur le domaine de Stripe, applique la politique de cookies de Stripe.
Destinataires, sous-traitants et transferts
Vos données ne sont ni vendues ni cédées. Elles sont traitées par nous et par les prestataires suivants, chacun pour sa seule mission : Stripe Payments Europe Ltd (Irlande) pour le paiement, avec des transferts possibles vers Stripe Inc. aux États-Unis encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework) et les clauses contractuelles types de la Commission européenne ; Brevo SAS (Paris, France) pour l'envoi des e-mails de code d'accès, d'accompagnement, de rappel et d'alerte, données hébergées dans l'Union européenne ; notre hébergeur, nommé dans les mentions légales, dont le serveur est situé dans l'Union européenne. Pour la lutte contre la fraude et ses propres obligations réglementaires, Stripe agit en responsable de traitement distinct, selon sa propre politique de confidentialité ; vous pouvez obtenir une copie des garanties qui encadrent les transferts vers les États-Unis en écrivant à privacy@civique-pratique.fr. En dehors du paiement par Stripe, aucune donnée n'est transférée hors de l'Union européenne. Les données peuvent être communiquées aux autorités lorsque la loi l'impose.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, du droit de retirer votre consentement à tout moment (e-mails d'accompagnement et de rappel : lien de désinscription dans chaque message, ou demande par écrit) et du droit de définir des directives sur le sort de vos données après votre décès. Écrivez à privacy@civique-pratique.fr depuis l'adresse e-mail utilisée à l'achat (ou en justifiant de votre identité) ; nous répondons sous un mois. Aucune décision produisant des effets juridiques à votre égard n'est prise par nous de façon entièrement automatisée ; seul l'outil antifraude de Stripe peut refuser automatiquement un paiement, et vous pouvez alors nous écrire pour qu'une personne réexamine la situation avec Stripe. L'effacement de votre adresse e-mail met fin aux e-mails d'accompagnement et à la fonction « Code perdu » ; l'accès déjà ouvert reste utilisable jusqu'à sa date de fin. Vous pouvez aussi introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr).
Sécurité
Connexions chiffrées (TLS), codes d'accès stockés sous forme d'empreinte, accès au serveur restreint par clé, sauvegardes quotidiennes de la base avec copie régulière hors du serveur, sur support chiffré, mises à jour de sécurité automatiques. En cas de violation de données présentant un risque pour vous, nous vous en informons et notifions la CNIL dans les 72 heures.