Notice de confidentialité · version du 24 juillet 2026 · pilote privé
Vous gardez le contrôle sur les données de votre famille.
Cette notice couvre la liste d’attente, la démonstration publique et la version pilote privée de Léo. Le pilote reste fermé par défaut : lorsqu’un parent y est invité, les données enfant sont traitées uniquement pour fournir l’accompagnement demandé.
Qui est responsable ?
Projet Léo, projet porté par Renaud Genard en Belgique. Pour une question, un retrait ou une demande d’effacement : dev@qintaris.app.
Quelles données et pourquoi ?
Pour la liste d’attente : l’email du parent, la date et la version de l’accord, ainsi que les paramètres de campagne éventuels. Pour une invitation au pilote, l’email du parent, l’état et l’expiration du lien sont conservés afin de limiter l’accès aux cinq familles invitées. Pour le pilote familial : le nom et l’email du compte parent, un prénom d’usage, le niveau scolaire, le programme linguistique et uniquement le mois et l’année de naissance de chaque enfant. Ce mois et cette année servent à calculer une tranche d’âge pédagogique afin d’adapter la longueur, le vocabulaire et le rythme des explications. Nous ne demandons ni jour de naissance, ni nom de famille, ni diagnostic médical.
Questions, voix, photos et illustrations
Dans la démonstration publique, les questions saisies sont traitées temporairement par Grok pour produire la réponse : ne saisissez aucune donnée permettant d’identifier un enfant, son école, sa santé ou sa situation familiale. La démo ne mémorise pas ces questions dans Léo. En mode vocal, la phrase est enregistrée temporairement en mémoire, envoyée à xAI directement depuis le serveur lorsque la voie directe validée est activée, ou transmise au relais privé Qintaris en repli pour être transformée en texte ; elle est immédiatement abandonnée par Léo après la transcription et aucune piste audio n’est conservée par l’application. Dans le pilote privé, ces fonctions restent désactivées par défaut et les réponses, la voix et les photos ont leur propre autorisation parentale. La question écrite, au maximum six messages récents et un contexte pédagogique limité peuvent alors être traités temporairement par Grok, via les services xAI. Ces messages récents servent seulement à comprendre la conversation en cours et ne sont pas enregistrés par Léo. Pour la voix, le micro détecte la fin d’une phrase, s’arrête pendant la réponse de Léo puis se rouvre pour le tour suivant tant que la conversation vocale reste ouverte. La phrase est transcrite par xAI ; le texte borné de la réponse est ensuite envoyé à xAI TTS directement lorsque la voie validée est active, ou au service vocal en ligne Microsoft Edge via le relais privé en repli, sans que Léo conserve les pistes. Pour la photo, seul le document confirmé est transmis puis immédiatement abandonné par Léo. Pour une demande d’illustration, seul un prompt borné et anonymisé est transmis ; l’image générée est affichée dans la conversation puis abandonnée par Léo, sans conservation dans l’historique ou le cache de l’application. La génération d’images utilise la même autorisation parentale que les réponses externes et peut être désactivée avec celle-ci. Si une copie corrigée montre clairement une erreur sur une notion, Léo peut conserver cette notion comme point à retravailler ; une note seule ne suffit jamais à produire cette déduction. Chaque appel xAI demande au fournisseur de désactiver le stockage avec store: false lorsque ce paramètre existe ; l’endpoint d’images ne propose pas ce paramètre, donc son activation reste soumise à une revue spécifique de la politique de conservation du fournisseur. Cette mesure ne constitue pas une promesse de « zéro rétention » contractuelle, notamment pour les appels qui ne proposent pas ce paramètre ; la voie directe est activée séparément après validation interne et le pilote sera réévalué avant toute ouverture publique.
Où sont-elles traitées ?
Vercel héberge l’application et Convex stocke les comptes et profils familiaux, dont le mois et l’année de naissance. Léo calcule côté serveur une tranche d’âge pédagogique ; seule cette tranche, sans date de naissance, nom, email ni identifiant de famille ou d’enfant, peut accompagner une demande autorisée vers xAI directement depuis le serveur, ou via le relais OAuth privé Qintaris en Europe en repli. Le texte de la réponse vocale peut être transmis à xAI TTS directement depuis le serveur, ou au service vocal en ligne Microsoft Edge depuis ce même relais en repli. Des compteurs produit anonymes sont transmis à PostHog dans l’Union européenne sans date de naissance, tranche d’âge, niveau scolaire, email, prénom, texte libre, transcription, photo, URL complète ni enregistrement d’écran. Dans l’espace enfant, un identifiant aléatoire limité à la page ouverte relie uniquement les étapes d’un même parcours ; il n’est ni conservé dans le navigateur, ni réutilisé lors d’une prochaine visite. Les secrets et jetons des fournisseurs restent côté serveur.
Mesure du pilote
Le parent peut répondre à deux courts questionnaires à choix : première impression puis retour après quelques jours. Ils enregistrent uniquement la facilité d’utilisation, le confort observé, l’utilité perçue des explications, les modes testés et l’envie de continuer. Aucun champ libre, texte d’enfant, question scolaire, note, photo ou transcription n’est demandé. Le rapport interne additionne ces réponses sans afficher l’identité des familles.
Combien de temps ?
Les inscriptions à la liste d’attente sont conservées au maximum 24 mois après le dernier contact utile. Un lien d’invitation expire après 7 jours. Pendant le pilote, Léo conserve le profil familial — y compris le mois et l’année de naissance tant que le profil enfant existe —, les réponses structurées aux deux questionnaires et des preuves pédagogiques structurées : méthode essayée, retour « compris » ou « pas encore », matière, notion à retravailler et horodatage. Le texte des questions, réponses, corrections et notes n’est pas enregistré. Les photos et images générées ne sont pas enregistrées par Léo. Les compteurs techniques anti-abus expirent automatiquement.
Vos choix et vos droits
Vous pouvez retirer séparément les autorisations de réponses personnalisées, de voix et de photo à tout moment, puis supprimer vous-même définitivement l’espace familial depuis le tableau de bord après confirmation du mot de passe. Cette suppression efface le compte parent, l’invitation, les profils enfants, les retours pilote et leurs preuves pédagogiques. Vous pouvez aussi retirer votre accord concernant la liste d’attente ou écrire à l’adresse ci-dessus. Léo ne prend aucune décision scolaire automatique et ne remplace ni un enseignant, ni un professionnel de santé.