Politique de
confidentialité.

Atheneum, exploité depuis la République du Kosovo, est le responsable du traitement des informations décrites ici. Pour toute question sur cette politique, contactez-nous à privacy@atheneum.app.

Lorsque vous utilisez Athena, les résumés, les quiz, les cartes mémoire ou la correction, le texte concerné est envoyé à Cloudflare Workers AI, qui exécute des modèles ouverts (comme DeepSeek, Gemma, GLM et Qwen) au sein du propre réseau de Cloudflare. Il n’est pas envoyé à une entreprise d’IA distincte. Si un modèle n’est pas disponible, un autre modèle de Workers AI répond à sa place.

Cloudflare n’entraîne pas de modèles sur les données envoyées via Workers AI, et nous n’entraînons pas non plus de modèles sur votre contenu. La seule exception à tout cela est une clé que vous ajoutez vous-même — voir ci-dessous.

Les conversations, ainsi que les notes qu’Athena garde à votre sujet d’une conversation à l’autre, sont chiffrées avant d’être écrites dans notre base de données, de sorte que leur forme stockée n’est pas lisible sans la clé. Lorsqu’un PDF que vous importez est un document numérisé, les images de ses pages sont envoyées à Cloudflare Workers AI pour être lues comme du texte, de la même manière que le reste de vos documents.

Cette section ne s'applique que si vous vous connectez avec Google ou connectez Google Agenda. Elle indique précisément ce que nous recevons de Google, ce que nous en faisons, à qui cela est transmis et comment le supprimer.

Connexion avec Google (scopes : openid, email, profile). Nous recevons l'identifiant de votre compte Google, votre adresse e-mail, l'indication que Google l'a vérifiée ou non, et votre nom. Nous les utilisons uniquement pour créer votre compte ou vous y connecter, et pour afficher votre nom dans l'application. Nous ne recevons jamais votre mot de passe Google, vos contacts, Gmail, vos fichiers Drive ni aucune autre donnée Google.

Google Agenda (scope : calendar.events, demandé uniquement lorsque vous appuyez sur Connecter Google Agenda). Nous lisons les événements de votre agenda principal, de 30 jours en arrière à 180 jours en avant : l'identifiant, le titre, l'heure de début et de fin de chaque événement, s'il dure toute la journée, s'il a été annulé, et son type (pour écarter les anniversaires créés automatiquement par Google). La réponse de Google peut contenir d'autres détails d'un événement (comme sa description, son lieu ou ses participants) ; nous ne les stockons pas et ne les utilisons pas, et nous ne lisons jamais vos autres agendas.

Nous les utilisons uniquement pour afficher vos événements Google dans votre agenda Atheneum et garder les deux synchronisés : les événements que vous créez dans Atheneum (sessions d'étude, échéances de tâches, examens) sont ajoutés à votre Google Agenda, et lorsque vous modifiez ou supprimez un événement synchronisé dans Atheneum, la modification est envoyée à Google. Nous ne modifions ni ne supprimons rien dans Google que vous n'ayez pas modifié dans Atheneum.

Stockage et protection. Les événements synchronisés sont stockés avec le reste de votre agenda dans notre base de données chez Cloudflare. Les jetons d'accès et d'actualisation fournis par Google sont chiffrés (AES-GCM) avant d'être stockés et ne sont utilisés que par nos serveurs pour les requêtes de synchronisation ci-dessus. Tous les échanges avec Google passent par HTTPS.

Partage. Nous ne vendons pas les données utilisateur Google, ne les utilisons pas pour la publicité et ne les partageons avec personne, sauf Cloudflare, qui héberge nos serveurs et notre base de données. Elles ne sont jamais envoyées à des modèles d'IA ni utilisées pour les entraîner. Personne chez Atheneum ne les lit, sauf si vous nous le demandez pour une assistance, si c'est nécessaire pour la sécurité ou pour enquêter sur un abus, ou si la loi l'exige.

Suppression. Déconnectez Google Agenda dans Paramètres → Connexions : nous révoquons notre accès chez Google, supprimons les jetons stockés et retirons les événements Google copiés dans Atheneum. La suppression de votre compte efface tout, y compris l'identifiant de votre compte Google. Vous pouvez aussi retirer l'accès d'Atheneum à tout moment depuis les autorisations de votre compte Google.

L'utilisation par Atheneum, et le transfert vers toute autre application, des informations reçues des API Google respecteront les Règles relatives aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée (Limited Use).

Vous pouvez ajouter une clé d’API OpenAI, Anthropic ou Google (Gemini) dans Paramètres → Connexions. Tant qu’elle est active, le texte de chaque requête d’IA — votre question, les parties de vos supports de cours dont elle a besoin et les instructions que nous ajoutons — est envoyé depuis nos serveurs à ce fournisseur au lieu de Cloudflare Workers AI.

• Ce fournisseur traite la requête dans le cadre de votre propre contrat et de votre propre compte chez lui, y compris ses propres règles de conservation et d’entraînement. Il relève de votre choix et n’est pas notre sous-traitant : lisez donc ses conditions avant d’ajouter une clé.
• La clé est chiffrée avant d’être stockée, n’est utilisée que pour effectuer les requêtes que vous déclenchez, et n’est jamais réaffichée, ni à vous ni à quiconque — seuls ses quatre derniers caractères le sont. Nous ne l’utilisons à aucune autre fin.
• Votre fournisseur vous facture ce que vous utilisez. Nous enregistrons les mêmes compteurs que pour notre propre IA (fonctionnalité, modèle, nombre de tokens — jamais le contenu).
• Si la clé cesse de fonctionner, nous vous en informons et vous demandons votre accord avant de vous faire passer à notre propre IA ; rien ne change sans votre accord. Retirez la clé à tout moment et elle est supprimée immédiatement.

Nous gardons volontairement cette liste courte. Chacun de ces acteurs est un sous-traitant agissant sur nos instructions :

• Cloudflare — hébergement, base de données, stockage de fichiers et inférence d’IA. En pratique, toutes vos données se trouvent ici.
• Paddle — paiements, en tant que revendeur officiel (merchant of record). Paddle reçoit directement vos informations de facturation ; nous ne voyons jamais votre numéro de carte.
• Google — uniquement si vous choisissez la connexion avec Google ou connectez Google Agenda. Les jetons d’agenda sont chiffrés avant d’être stockés et vous pouvez vous déconnecter à tout moment.
• Le service push de votre navigateur (Google, Mozilla, Apple ou Microsoft, selon le navigateur) — uniquement si vous activez les alertes quand Atheneum est fermé. Il transmet un message chiffré de bout en bout qu’il ne peut pas lire.
• Notre fournisseur d’e-mail — reçoit votre adresse pour envoyer les e-mails liés au compte (vérification, réinitialisation du mot de passe, changement d’adresse), un e-mail de bienvenue quand votre compte est nouveau, les invitations à des carnets, les avertissements avant la suppression des fichiers inactifs et, seulement si vous les activez, le résumé hebdomadaire et les e-mails sur les nouveaux guides. Chaque e-mail facultatif contient un lien de désabonnement, et Paramètres → Alertes Pomodoro → E-mails permet de désactiver chacun d’eux. Nous n’envoyons pas d’e-mails publicitaires.
• Sentry — rapports d’erreur en cas de plantage, sur nos serveurs ou dans votre navigateur : le message d’erreur (adresses e-mail retirées), l’endroit où l’erreur s’est produite et, pour les erreurs serveur, votre identifiant numérique d’utilisateur. Jamais votre adresse e-mail, vos fichiers ou votre contenu.
• YouTube — uniquement quand vous écoutez de la musique sur la page Musique. Le lecteur est chargé depuis le domaine à confidentialité renforcée de YouTube (youtube-nocookie.com).

Un fournisseur d’IA dont vous ajoutez vous-même la clé (voir plus haut) ne figure pas dans cette liste : c’est vous qui le choisissez, et votre propre contrat avec lui s’applique.

Nous ne vendons ni ne louons de données personnelles, et nous ne les partageons pas à des fins de marketing pour qui que ce soit.

Atheneum fonctionne sur le réseau mondial de Cloudflare ; les données peuvent donc être traitées hors de votre pays, y compris aux États-Unis. Les transferts hors du Royaume-Uni/de l’EEE reposent sur des clauses contractuelles types conclues avec nos sous-traitants.

La loi du Kosovo sur la protection des données à caractère personnel et, si vous êtes au Royaume-Uni ou dans l’EEE, le RGPD vous confèrent les droits ci-dessous. Nous accordons les mêmes droits à tout le monde, où que vous viviez.

• Accès et portabilité — les carnets s’exportent en PDF et les cartes mémoire au format Anki dans l’application ; écrivez-nous pour tout le reste.
• Effacement — supprimez votre compte depuis les Paramètres. Immédiat, irréversible, et vous n’avez pas besoin de nous le demander.
• Rectification — modifiez votre profil dans les Paramètres, ou écrivez-nous.
• Opposition et limitation — écrivez-nous et nous cesserons le traitement auquel vous vous opposez, dans la mesure où le service peut encore fonctionner sans lui.
• Réclamation — vous pouvez introduire une réclamation auprès de votre autorité de protection des données. Au Kosovo, il s’agit de l’Information and Privacy Agency ; au Royaume-Uni, de l’Information Commissioner’s Office ; dans l’UE, de l’autorité de contrôle de votre pays.

Nous répondons sous 30 jours, gratuitement.

• Contrat — faire fonctionner votre compte et les fonctionnalités que vous demandez.
• Intérêts légitimes — sécurité, prévention des abus, correction des plantages.
• Consentement — intégrations facultatives comme Google Agenda, et envoi des requêtes d’IA à un fournisseur dont vous ajoutez la clé. Retirez-le en vous déconnectant ou en retirant la clé.
• Obligation légale — documents fiscaux et comptables relatifs aux paiements.

Les mots de passe sont hachés avec PBKDF2 et ne sont jamais stockés sous une forme lisible. L’historique des conversations, les jetons Google Agenda et votre propre clé d’IA sont chiffrés avant d’être stockés. Tout transite par HTTPS. Changer votre mot de passe déconnecte tous vos autres appareils.

Aucun système n’est parfaitement sûr. Si une violation touche vos données, nous vous en informerons, ainsi que l’autorité compétente, dans les 72 heures suivant le moment où nous en avons connaissance.

Atheneum n’est pas destiné aux moins de 16 ans. Nous ne collectons pas sciemment leurs données — si vous pensez qu’un enfant a créé un compte, écrivez-nous et nous le supprimerons.

Nous publierons les modifications ici et mettrons à jour la date en haut de la page. Pour les modifications qui ont un effet important sur la manière dont nous traitons vos données, nous vous enverrons un e-mail avant leur entrée en vigueur.