Politique de Confidentialité

Dernière mise à jour : 1er septembre 2026

Tomathe s'engage à protéger la vie privée de ses utilisateurs. Cette politique de confidentialité décrit comment nous collectons, utilisons et protégeons vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD).

1. Responsable du traitement

Octave Romer Entrepreneur Individuel (Tomathe)
11 Rue du Bijou, 79000 Niort, France
SIRET : 100 237 494 00016
Email : contact@tomathe.fr

2. Données collectées

Nous collectons les données suivantes :

2.1 Données d'identification

Nom et prénom
Adresse email
Numéro de téléphone
Mot de passe (chiffré)
Photo de profil (optionnelle)

2.2 Données de localisation

Adresse postale (pour les cours à domicile)
Code postal et ville

2.3 Données professionnelles (professeurs uniquement)

SIRET
Statut professionnel (micro-entrepreneur)
Tarifs proposés
Disponibilités
Justificatifs d'identité (pour la vérification KYC via Stripe Connect)

2.4 Données de paiement

Informations de carte bancaire (stockées et traitées exclusivement par Stripe, certifié PCI DSS)
Historique des transactions
Achats de boosts de visibilité (montant, durée, méthode de paiement)
Factures

2.5 Données d'utilisation

Historique des réservations
Messages échangés sur la plateforme
Évaluations et commentaires, carnet de liaison (suivi pédagogique de l'élève)
Abonnement : statut, échéances, historique des prélèvements, professeur « coup de cœur » désigné
Programme de fidélité et récompenses
Statistiques d'utilisation (connexions, sessions)

2.6 Données liées aux programmes de récompenses

Cagnotte professeur : solde accumulé, historique des primes reçues, demandes de versement (montant, méthode, date)
Parrainage : code de parrainage, identité des filleuls, nombre de cours payés par filleul, paliers atteints
Série de fidélité (parents) : nombre de semaines consécutives, dernière semaine validée, palier de réduction actif
Classement (professeurs) : chiffre d'affaires par période, position dans le classement
Boosts de visibilité : historique d'achat, durée, méthode de paiement, statut

3. Finalités du traitement

Vos données sont collectées pour les finalités suivantes :

Gestion de votre compte : création, authentification, profil utilisateur
Mise en relation : entre parents et professeurs de mathématiques
Gestion des réservations : planification, confirmation, notifications
Gestion de l'abonnement : prélèvements mensuels, prof coup de cœur, réductions fidélité et parrainage
Facturation et paiement : encaissement des cours pour le compte des professeurs, émission des factures, achats de boosts de visibilité
Programme de fidélité : calcul et attribution des récompenses
Communication : notifications, emails de service, SMS de vérification, SMS de service, communications marketing (avec consentement), support client
Sécurité : prévention de la fraude, authentification
Amélioration du service : statistiques, analyses anonymisées
Obligations légales : comptabilité, fiscalité, archivage légal

4. Base légale du traitement

Le traitement de vos données repose sur :

Exécution du contrat : pour la fourniture du service (art. 6.1.b RGPD)
Obligation légale : pour la facturation, la comptabilité, l'archivage fiscal (art. 6.1.c RGPD)
Intérêt légitime : pour la sécurité, la prévention de la fraude, l'amélioration du service (art. 6.1.f RGPD)
Consentement : pour l'envoi de communications marketing (optionnel, révocable à tout moment)

5. Protection des mineurs

Tomathe ne collecte pas directement de données personnelles auprès de mineurs. Seuls les parents ou représentants légaux peuvent créer un compte et réserver des cours pour leurs enfants. Les informations concernant l'élève (nom, niveau scolaire) sont fournies par le parent dans le cadre de la gestion de la réservation.

6. Destinataires des données

Vos données peuvent être transmises aux destinataires suivants :

Stripe Inc. : traitement des paiements, vérification KYC (processeur de paiement certifié PCI DSS)
Supabase Inc. : hébergement de la base de données (conformité RGPD, serveurs UE)
Vercel Inc. : hébergement de l'application web
8x8 Inc. (Jitsi as a Service) : service de visioconférence intégré — flux audio et vidéo en temps réel. 8x8 n'enregistre pas les cours et ne conserve pas les données après la session. L'accès à chaque cours est protégé par un jeton signé par Tomathe, valable pour ce seul cours et pour ses deux participants.
Google LLC (Gemini AI) : assistant IA pédagogique pour les professeurs (questions et images d'exercices) et, si vous y avez consenti, transcription de l'audio des cours en visio et rédaction des fiches de révision. Ces contenus sont traités par l'API Google Gemini. Les données sont traitées conformément aux conditions d'utilisation de Google AI
Tremendous Inc. : émission et distribution de cartes cadeaux pour les primes des professeurs — l'email et le nom du professeur sont transmis pour la livraison du lien de choix de carte cadeau. Les données sont traitées conformément à la politique de confidentialité de Tremendous
Twilio Inc. : envoi des SMS de vérification (OTP) et des SMS de notification liés au service. Seul votre numéro de téléphone et le contenu du message sont transmis. Données traitées conformément à la politique de confidentialité de Twilio. Twilio est certifié SOC 2 Type II et conforme au RGPD (DPA disponible sur demande).
Resend Inc. : envoi des emails transactionnels et de service (bienvenue, confirmations, notifications). Seuls votre adresse email et le contenu du message sont transmis. Données traitées conformément à la politique de confidentialité de Resend.
Professeurs : les parents voient le profil des professeurs et vice-versa dans le cadre de la mise en relation

Aucune donnée n'est vendue ou cédée à des tiers à des fins commerciales ou marketing.

6 bis. Communications par email et SMS

6 bis.1 — Numéro de téléphone et vérification par SMS

Votre numéro de téléphone mobile est collecté obligatoirement lors de la création du compte. Il est utilisé pour vous envoyer un code OTP à 6 chiffres (One-Time Password) afin de vérifier votre identité. Ce code est valable 10 minutes et est envoyé via Twilio Inc.

Les codes OTP sont stockés sous forme chiffrée dans notre base de données et supprimés automatiquement après utilisation ou expiration. Votre numéro de téléphone est conservé dans votre profil tant que votre compte est actif.

6 bis.2 — SMS et emails de service

Les communications de service (confirmations de cours, annulations, notifications de paiement, alertes de série) sont envoyées sur la base juridique de l'exécution du contrat (art. 6.1.b RGPD). Elles ne peuvent pas faire l'objet d'une désinscription sans affecter le fonctionnement normal du service.

6 bis.3 — Communications marketing

Les emails et SMS à caractère commercial (offres, conseils, nouvelles fonctionnalités) sont envoyés uniquement avec votre consentement préalable (art. 6.1.a RGPD), recueilli lors de l'inscription ou ultérieurement.

Droit d'opposition et désinscription :

Par email : lien de désinscription présent en bas de chaque email marketing, ou demande par email à contact@tomathe.fr ;
Par SMS : répondre STOP à n'importe quel SMS marketing de Tomathe. Vous recevrez une confirmation de désinscription. Pour obtenir de l'aide, répondez AIDE.

La désinscription est prise en compte dans un délai maximum de 48 heures ouvrées. Elle ne concerne que les communications marketing et non les communications de service.

6 bis.4 — Fréquence des messages

Les SMS de vérification sont envoyés uniquement à la demande. Les SMS de service sont envoyés en fonction de votre activité (maximum un SMS par événement : réservation, annulation, etc.). Les SMS marketing sont envoyés au maximum 2 fois par semaine.

La fréquence des messages peut varier. Des frais de messagerie mobile peuvent s'appliquer selon votre opérateur téléphonique.

6 ter. Enregistrement des cours en visio et fiches de révision

À l'issue d'un cours en visioconférence, l'élève peut demander une fiche de révision générée automatiquement. Pour cela, l'audio du cours est enregistré. Ce traitement est facultatif et repose sur votre consentement (article 6.1.a du RGPD), recueilli dans l'application avant tout enregistrement.

Accord des deux participants requis : si le professeur ou l'élève refuse, ou ne s'est pas prononcé, aucun microphone n'est activé.
Audio uniquement : aucune image ni vidéo n'est enregistrée. Un indicateur visible signale l'enregistrement pendant le cours.
Personne ne peut l'écouter : le fichier est déposé dans un espace privé sans aucun droit de lecture. Ni le professeur, ni l'élève, ni le personnel de Tomathe ne peuvent le réécouter ou le télécharger.
Suppression immédiate : l'audio est transcrit automatiquement dans la demi-heure suivant le cours, puis supprimé. En cas d'incident empêchant la transcription, il est supprimé au plus tard 7 jours après le cours.
Seule la transcription écrite est conservée, et elle n'est consultable par personne : elle sert uniquement à produire les fiches. La fiche générée est accessible à l'élève et à son professeur.
Élèves mineurs : le consentement est donné par le titulaire de l'autorité parentale, seul titulaire du compte.
Retrait : vous pouvez retirer votre consentement à tout moment dans l'application, sans justification et sans conséquence sur l'accès au service.

La transcription et la rédaction des fiches sont effectuées par Google Ireland Limited (API Gemini). Le stockage temporaire de l'audio et la conservation des transcriptions sont assurés par Supabase. Les fiches étant générées automatiquement, elles peuvent comporter des erreurs et ne remplacent ni le cours ni les supports du professeur.

6 quater. Confirmation des cours à domicile par la position

À l'issue d'un cours à domicile, le professeur affiche un code à six chiffres et l'élève le saisit pour confirmer que le cours a bien eu lieu. Au moment de cette confirmation, la position des deux appareils est relevée et comparée, afin de vérifier que les deux personnes sont au même endroit — un code transmis à distance ne permet donc pas de valider un cours qui n'a pas eu lieu.

Cours à domicile uniquement : aucune position n'est demandée pour un cours en visioconférence.
Au moment de la confirmation seulement : la position n'est jamais relevée en arrière-plan, ni entre deux cours. Votre navigateur ou votre téléphone vous demande l'autorisation à chaque fois.
Aucune coordonnée n'est conservée : la position du professeur est effacée dès que le code est utilisé, et au plus tard à son expiration. Celle de l'élève n'est jamais enregistrée.
Seule la distance est gardée, exprimée en mètres, associée au cours concerné. Elle sert uniquement à trancher un litige sur la tenue d'un cours. Elle ne permet de reconstituer aucun déplacement.
Facultatif : refuser la localisation n'empêche ni de donner ni de suivre un cours. Seule la confirmation automatique devient impossible.

Base légale : intérêt légitime (article 6.1.f du RGPD) — établir qu'une prestation a été réalisée, ce qui conditionne le classement des professeurs et le règlement des litiges.

7. Durée de conservation

Compte actif : pendant toute la durée d'utilisation du service
Compte supprimé : vos données personnelles (nom, e-mail, téléphone, adresse, photo, biographie) sont effacées immédiatement
Factures et données comptables : 10 ans (obligation légale — article L.123-22 du Code de commerce)
Données de connexion et logs de sécurité : 12 mois
Audio des cours en visio : transcrit automatiquement dans la demi-heure suivant le cours puis supprimé ; au plus tard 7 jours en cas d'incident
Transcriptions et fiches de révision : conservées tant que le compte est actif, supprimées avec le compte

7 bis. Supprimer votre compte

Vous pouvez supprimer votre compte à tout moment et vous-même, depuis l'application : Profil → Supprimer mon compte (tout en bas de la page). Aucune démarche par e-mail n'est nécessaire.

Lors de la suppression :

votre compte est supprimé et la connexion devient définitivement impossible ;
vos données personnelles sont effacées (nom, e-mail, téléphone, adresse, photo, biographie) ;
votre abonnement en cours est résilié ;
vos factures sont conservées 10 ans, car la loi nous y oblige (comptabilité). Elles ne sont plus rattachées à un compte actif ;
l'historique des cours est conservé sous forme anonymisée, afin que la comptabilité de l'autre partie (professeur ou parent) reste exacte.

Professeurs : si votre solde Stripe n'est pas nul, virez-le sur votre compte bancaire avant de supprimer votre compte — sinon les fonds resteraient bloqués chez notre prestataire de paiement.

Vous pouvez aussi nous écrire à contact@tomathe.fr : nous donnons suite sous un mois.

8. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès : obtenir une copie de vos données personnelles
Droit de rectification : corriger des données inexactes ou incomplètes
Droit à l'effacement : supprimer votre compte directement depuis l'application (Profil → Supprimer mon compte, voir section 7 bis), ou nous en faire la demande — sous réserve des obligations légales de conservation
Droit à la portabilité : recevoir vos données dans un format structuré et lisible
Droit d'opposition : refuser le traitement de vos données pour certaines finalités
Droit à la limitation : demander la limitation du traitement dans certains cas
Droit de retirer votre consentement : à tout moment, pour les traitements basés sur le consentement

Pour exercer vos droits, contactez-nous à : contact@tomathe.fr

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr

9. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

Chiffrement HTTPS/TLS : pour toutes les communications entre votre navigateur et nos serveurs
Chiffrement des mots de passe : algorithmes de hachage sécurisés (bcrypt)
Certification PCI DSS : pour le traitement des paiements via Stripe
Authentification forte : sécurisation de l'accès aux comptes
Sauvegardes régulières : protection contre la perte de données
Contrôle d'accès : limitation de l'accès aux données aux personnes autorisées uniquement

10. Transferts hors de l'Union Européenne

Certains de nos sous-traitants (Stripe, Vercel, Supabase, Google Gemini AI, 8x8) peuvent transférer des données hors de l'UE. Ces transferts sont encadrés par des clauses contractuelles types approuvées par la Commission européenne, garantissant un niveau de protection équivalent au RGPD.

11. Cookies

Tomathe utilise uniquement des cookies techniques strictement nécessaires au fonctionnement de l'application (authentification, sécurité, préférences). Aucun cookie publicitaire ou de suivi marketing n'est utilisé. Pour plus d'informations, consultez nos Mentions Légales.

11 bis. Mesure d'audience du site

Nous comptons les pages vues sur tomathe.fr pour savoir ce qui interesse les visiteurs. Cette mesure est interne : aucun prestataire tiers, aucune publicite, aucun recoupement avec d'autres sites, aucune revente.

Ce qui est enregistre : la page consultee, la page d'ou vous venez, et un identifiant aleatoire qui ne permet pas de vous identifier.
Ce qui ne l'est pas : votre adresse IP n'est pas conservee, aucun nom, aucun e-mail, aucun profil publicitaire.
Duree : l'identifiant expire au bout de 13 mois et n'est pas prolonge par une nouvelle visite. Les statistiques sont supprimees au bout de 25 mois.

Ce dispositif respecte les conditions posees par la CNIL pour la mesure d'audience, ce qui nous dispense de vous imposer un bandeau de consentement. Vous pouvez neanmoins vous y opposer a tout moment :

12. Modifications de la politique

Nous nous réservons le droit de modifier cette politique de confidentialité. Toute modification sera notifiée aux utilisateurs par email et/ou via une notification dans l'application. La version mise à jour sera toujours accessible sur cette page avec la date de dernière modification.

13. Contact

Pour toute question concernant cette politique de confidentialité ou le traitement de vos données personnelles, contactez-nous :

Email : contact@tomathe.fr
Adresse : Octave Romer EI, 11 Rue du Bijou, 79000 Niort, France