Politique de confidentialité
Dernière mise à jour : 29 septembre 2026
1. Qui sommes-nous ?
La présente politique s'applique à l'application mobile Exam Arena (iOS et Android) et au service web app.examarena.com, édités par ARENA, SIREN 934 277 344, dont le siège social est situé 229 rue de Solférino, 59000 Lille, France.
Le responsable du traitement au sens du RGPD est ARENA.
Pour toute question relative à vos données personnelles :
- Email : contact@examarena.com
- Courrier : ARENA, 229 rue de Solférino, 59000 Lille, France
2. Quelles données collectons-nous ?
Nous collectons uniquement les données nécessaires au fonctionnement du service et à l'amélioration de votre expérience. Aucune donnée n'est revendue à des tiers.
2.1 Données d'identité et de contact
- Prénom, nom (renseignés à l'inscription ou via Apple Sign In / Google)
- Adresse email
- Photo de profil (avatar, optionnel)
2.2 Données d'authentification
- Mot de passe (stocké chiffré et salé par Supabase, jamais accessible en clair)
- Identifiant Apple / Google si vous utilisez Sign In with Apple ou Google
2.3 Identifiants techniques
- Identifiant utilisateur interne (UUID généré aléatoirement à l'inscription)
- Token d'appareil pour notifications push (Firebase Cloud Messaging), uniquement si vous acceptez les notifications
2.4 Données d'usage du service
- Tentatives d'exercices (questions, réponses, scores, temps passé)
- Leçons consultées et progression
- Séances de sport réalisées
- Préparation suivie, matières prioritaires, date d'examen renseignée à l'onboarding
- Résultat d'un quiz passé sur un site partenaire, quand vous arrivez depuis ce site : nom du site, identifiant et libellé du quiz, score, détail par matière et date du quiz (jamais vos réponses). Il est rattaché à votre compte quand vous en créez un ou que vous vous connectez.
2.5 Données de paiement
- Statut d'abonnement (gratuit, premium, dates d'expiration)
- Identifiants techniques Stripe (web) ou RevenueCat (iOS / Android)
- Historique des paiements (montant, devise, date, statut, pays de facturation)
Les numéros de carte bancaire ne sont jamais stockés sur nos serveurs. Ils sont traités directement par Stripe ou par Apple / Google selon le canal de paiement.
2.6 Données de préférences
- Langue choisie
- Notifications email activées / désactivées
2.7 Données marketing et d'attribution
- Source d'acquisition (paramètres UTM :
utm_source,utm_medium,utm_campaign,utm_term,utm_content) - Page de destination (
landing_page), referrer - Identifiants de clic publicitaires :
gclid(Google Ads),gbraid/wbraid(Google iOS) - Attribution Apple Search Ads (identifiants de campagne et d'annonce, sans identifiant utilisateur Apple)
3. Pourquoi collectons-nous ces données ?
| Donnée | Finalité | Base légale RGPD |
|---|---|---|
| Email, prénom, nom, mot de passe | Création du compte, authentification | Exécution du contrat |
| Identifiant utilisateur, identifiants Apple / Google | Rattachement de vos données à votre compte | Exécution du contrat |
| Données d'usage (exercices, leçons, sport) | Sauvegarder et afficher votre progression | Exécution du contrat |
| Données de paiement | Gérer votre abonnement, support, obligations comptables | Exécution du contrat + obligation légale |
| Token d'appareil push | Vous notifier des crédits gratuits et offres en cours | Consentement (réponse à la demande système iOS / Android) |
| Email + statut d'abonnement | Vous envoyer des emails transactionnels (bienvenue, reçus, mot de passe oublié) | Exécution du contrat |
| Email + comportement de paiement | Email de relance si vous avez démarré un paiement sans le finaliser | Intérêt légitime (vous aider à reprendre votre achat) |
| Données d'usage agrégées | Comprendre comment le service est utilisé, prioriser les améliorations | Intérêt légitime |
| UTM, identifiants de clic, attribution ASA | Mesurer l'efficacité de nos campagnes marketing | Intérêt légitime |
| Langue, préférences | Personnaliser votre interface | Exécution du contrat |
Il n'y a pas de profilage publicitaire.
4. Avec qui partageons-nous ces données ?
Vos données sont hébergées et traitées par des prestataires sélectionnés pour leur conformité au RGPD. Chacun des prestataires du tableau ci-dessous agit en qualité de sous-traitant au sens du RGPD, lié à nous par un accord de traitement des données (DPA).
| Prestataire | Rôle | Pays d'hébergement | Garanties |
|---|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage de fichiers | France (Paris, eu-west-3) |
DPA + Clauses Contractuelles Types |
| Vercel Inc. | Hébergement de l'application web | États-Unis (réseau global edge) | DPA + Clauses Contractuelles Types |
| Stripe Payments Europe Ltd | Traitement des paiements web | Irlande / États-Unis | DPA Stripe + Clauses Contractuelles Types |
| RevenueCat Inc. | Gestion des achats in-app iOS / Android | États-Unis | Clauses Contractuelles Types |
| Apple Inc. | Sign In with Apple, App Store, Apple Search Ads, notifications push iOS | États-Unis | DPA Apple |
| Google LLC | Sign In with Google, Firebase Cloud Messaging, Google Ads, Google Play | États-Unis | Clauses Contractuelles Types |
| Resend Inc. | Envoi des emails transactionnels | États-Unis | Clauses Contractuelles Types |
| Umami (self-hosted) | Analytics web sans cookies | États-Unis (Vercel) | Clauses Contractuelles Types |
Les prestataires de l'assistant IA sont présentés en section 13.
Nous ne revendons jamais vos données à des tiers à des fins publicitaires.
Transferts hors Union européenne
Certains des prestataires du tableau ci-dessus sont basés aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (Décision 2021/914) et, le cas échéant, par le Data Privacy Framework UE - États-Unis pour les prestataires certifiés.
5. Combien de temps conservons-nous vos données ?
| Catégorie | Durée |
|---|---|
| Compte actif | Tant que votre compte est ouvert |
| Compte supprimé | Effacement définitif sous 30 jours suivant votre demande de suppression, sauf les conversations et les données d'usage de l'assistant IA (section 13) |
| Données de paiement | 10 ans à compter de la facturation (obligation comptable et fiscale française) |
| Logs techniques (emails envoyés, push notifications) | 12 mois |
| Données d'attribution marketing (UTM, click IDs) | 13 mois |
| Tentatives d'exercices et progression | Pendant la durée du compte, supprimées avec le compte |
6. Quels sont vos droits ?
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès : obtenir une copie de vos données. Sur demande à contact@examarena.com.
- Droit de rectification : corriger vos données via Mon compte > Profil.
- Droit à l'effacement : supprimer votre compte via Mon compte > Compte > Supprimer mon compte. Vos données sont alors effacées sous 30 jours, à l'exception des données conservées au titre d'obligations légales (paiements) ainsi que des conversations et des données d'usage de l'assistant IA (section 13).
- Droit à la portabilité : recevoir vos données dans un format structuré. Sur demande à contact@examarena.com.
- Droit d'opposition : vous opposer à certains traitements fondés sur notre intérêt légitime, en nous écrivant à contact@examarena.com.
- Droit à la limitation : restreindre le traitement de vos données, en nous écrivant à la même adresse.
- Droit de retirer votre consentement : pour les notifications push, depuis les réglages de votre appareil. Pour les emails marketing, via Mon compte > Notifications.
Nous répondons à toute demande dans un délai d'un mois maximum.
En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris, www.cnil.fr).
7. Cookies et traceurs
Sur le site web app.examarena.com
- Cookies de session (Supabase) : strictement nécessaires à votre authentification. Dispensés de consentement selon la délibération CNIL 2020-091.
- Umami Analytics : mesure d'audience anonyme, sans cookie, sans empreinte numérique, instance self-hosted par ARENA. Conforme à l'exemption CNIL pour la mesure d'audience.
- ea_vid : un identifiant tiré au hasard, que nos serveurs posent à votre première visite et que votre navigateur garde un an. Il ne dit rien de vous et n'est lu que par nos serveurs, jamais par les scripts de la page. Il sert à une seule chose : vous montrer la même version du site à chaque visite, l'actuelle ou la nouvelle, pendant que nous comparons les deux. La version que vous voyez est notée dans nos mesures d'audience. L'identifiant lui-même n'est enregistré dans aucune de nos bases, n'est transmis à personne, et ne sert ni à la publicité ni à vous suivre sur d'autres sites.
- ea_vid_new : un cookie qui vaut « 1 », posé en même temps qu'ea_vid et effacé au plus tard 10 minutes après. Il ne contient aucun identifiant. Il dit seulement à nos serveurs que votre appareil est nouveau, pour que nos mesures d'audience comptent une seule fois chaque nouvel appareil, dans chaque version du site.
- ea_entry_prep : un cookie sans identifiant, qui ne contient que la préparation que vous avez choisie en répondant aux questions d'arrivée. Votre navigateur le garde 30 jours au plus, et nos serveurs le lisent pour ne pas vous reposer ces questions. Effacé dès que vous vous déconnectez, et lors de la suppression de votre compte.
- ea_entry_logged_out : un cookie d'une heure, qui ne contient aucune donnée, posé quand vous vous déconnectez ou supprimez votre compte. Nos serveurs le lisent pour ne pas vous montrer les questions d'arrivée juste après votre départ.
- ea_last_prep : un cookie qui ne contient que le nom de la dernière préparation que vous avez ouverte en étant connecté. Votre navigateur le garde 180 jours au plus, et il n'est lu que par nos serveurs, jamais par les scripts de la page. Il sert à rouvrir cette préparation quand vous revenez sur le site ou relancez l'application. Effacé quand vous vous déconnectez.
Dans l'application mobile
- Pas de cookies tiers. Aucun SDK publicitaire (pas de Facebook Pixel, pas de Google Analytics, pas de Hotjar).
- Sur iOS, le framework AdServices d'Apple est utilisé une seule fois à l'installation pour mesurer l'efficacité de nos campagnes Apple Search Ads, de manière anonyme et sans identifiant publicitaire (IDFA).
- Les notifications push sont activées uniquement avec votre consentement explicite via la demande système iOS / Android.
Stockage local de votre navigateur
Avant même que vous ayez un compte, votre navigateur garde quelques informations sur votre appareil, et sur lui seul. Elles ne partent sur nos serveurs qu'au moment où vous créez un compte, pour rattacher vos réponses à ce compte.
- ea_entry_answers_v1 : les réponses du questionnaire d'arrivée (pays, préparation, épreuve prioritaire, échéance).
- ea_entry_intent_v1 : la page que vous vouliez ouvrir quand nous vous avons demandé un compte.
- ea_external_result_v1 : le résultat d'un quiz passé sur un site partenaire (site, quiz, score, détail par matière), gardé sept jours au plus.
- ea_entry_arrival_answered : le fait que vous venez de répondre aux questions d'arrivée, pour ne pas vous les reposer dans la foulée. Effacé à la fermeture de l'onglet.
- personality-draft:… : le brouillon d'un test de personnalité en cours, pour que vous puissiez le reprendre.
Ces informations sont effacées de votre appareil dès que vous vous déconnectez, et lors de la suppression de votre compte.
Nous n'utilisons aucun cookie de tracking publicitaire. Nous n'avons donc pas de bandeau de consentement cookies sur la v2.
8. Sécurité
- Connexions chiffrées en HTTPS / TLS 1.3.
- Mots de passe hachés et salés par Supabase Auth (algorithme bcrypt).
- Authentification renforcée disponible via Sign In with Apple ou Google.
- Accès aux données protégé par Row Level Security PostgreSQL.
- Sauvegardes quotidiennes chiffrées chez Supabase.
- En cas de violation de données présentant un risque pour vos droits, nous vous en informerons sans délai, conformément à l'article 34 du RGPD.
9. Mineurs
Le service est accessible à partir de 15 ans, âge minimal du consentement numérique en France. Pour les utilisateurs entre 15 et 18 ans, l'inscription se fait sous la responsabilité des représentants légaux.
10. Modifications
Nous pouvons faire évoluer cette politique. Toute modification substantielle vous sera notifiée par email et / ou via l'application. La date de dernière mise à jour figure en haut de cette page.
11. Contact
Pour toute question :
- Email : contact@examarena.com
- Courrier : ARENA, 229 rue de Solférino, 59000 Lille, France
12. Test de personnalité et préparation à l'entretien
Section ajoutée le 28 juillet 2026. Elle complète les sections 2 à 5 pour un service mis en ligne après leur rédaction.
Ce que nous collectons
Si vous passez le test de personnalité, nous conservons vos 120 réponses, les scores qui en sont calculés, et la synthèse écrite qui vous est présentée à l'écran. Nous conservons également la date à laquelle vous avez accepté que vos réponses soient analysées.
Si vous obtenez une préparation à l'entretien, nous conservons le document rédigé pour vous, ainsi que le retour que vous nous laissez éventuellement dessus.
Ce que ce document n'est pas
Ce n'est ni un diagnostic, ni un avis médical, ni une évaluation psychologique officielle. Il ne prédit ni votre note, ni la décision d'un jury. Il décrit des tendances pour vous aider à préparer un entretien.
Pourquoi nous les traitons
Pour exécuter le service que vous avez souscrit, et pour améliorer la qualité des préparations que nous rédigeons.
Combien de temps
| Catégorie | Durée |
|---|---|
| Réponses au test, scores et synthèse | Pendant la durée de votre compte |
| Préparation à l'entretien rédigée | Pendant la durée de votre compte |
| Retour laissé sur votre préparation | Pendant la durée de votre compte |
Ces données sont effacées avec votre compte, en même temps que le reste. Elles ne sont pas conservées au titre d'une obligation légale.
Qui y a accès
Les personnes de l'équipe. Ces données ne sont ni vendues, ni transmises à un tiers, ni communiquées à l'organisme du concours que vous préparez.
Vos droits
Les droits décrits en section 6 s'appliquent à ces données comme aux autres. Vous pouvez notamment demander une copie de votre préparation ou son effacement en écrivant à contact@examarena.com.
13. Assistant IA
Section ajoutée le 29 septembre 2026. Elle complète les sections 2 à 6 pour l'assistant IA, mis en ligne après leur rédaction.
Sur certaines préparations, un assistant répond à vos questions sur le concours ou la sélection que vous préparez. Il peut aussi vous suggérer quoi travailler. Il est réservé aux utilisateurs connectés.
Ses réponses sont rédigées automatiquement par un modèle d'intelligence artificielle, à partir d'extraits de notre documentation. Elles peuvent contenir des erreurs. Vérifiez toute information importante auprès de la source officielle.
Ce que nous traitons
- Les messages que vous écrivez et les réponses de l'assistant.
- Le titre de chaque conversation, formé des premiers mots de votre premier message.
- Si vous demandez quoi travailler : la catégorie d'exercices où vos résultats sont les plus faibles, votre score dans cette catégorie, les contenus qui vous sont proposés et, le cas échéant, le nombre de crédits gratuits qu'il vous reste.
- Un compteur des messages envoyés dans la journée, pour appliquer la limite quotidienne.
- Des données d'usage : ouverture de l'assistant, envoi d'un message, clic sur une suggestion, limite quotidienne atteinte. Elles ne contiennent pas le texte de vos messages.
N'écrivez pas dans l'assistant d'informations personnelles dont il n'a pas besoin, comme vos coordonnées, votre santé ou votre situation familiale ou financière.
Pourquoi nous les traitons
| Traitement | Base légale RGPD |
|---|---|
| Répondre à vos questions, enregistrer vos conversations, vous suggérer quoi travailler | Exécution du contrat |
| Mesurer l'usage de l'assistant, limiter le nombre de messages par jour | Intérêt légitime |
Ce qui est transmis aux modèles d'IA
À chaque message, nous transmettons au modèle qui rédige la réponse :
- vos derniers échanges avec l'assistant, 12 messages au plus, y compris les éléments de suggestion décrits plus haut ;
- le nom de la préparation et la langue de la réponse ;
- des extraits de notre documentation sur la préparation ;
- les consignes de l'assistant.
Nous n'y ajoutons ni votre nom, ni votre adresse email, ni votre identifiant de compte. Seul ce que vous écrivez vous-même peut en contenir.
Votre dernier message est aussi transmis à un second modèle. Il le convertit en une suite de nombres, qui sert à retrouver les extraits utiles de notre documentation.
Les contenus qui vous sont suggérés sont choisis par nos propres règles, à partir de vos résultats. Ils ne sont pas choisis par le modèle d'IA.
Prestataires
| Prestataire | Rôle |
|---|---|
| Vercel Inc. | Passerelle d'accès aux modèles d'IA (Vercel AI Gateway) |
| Rédaction des réponses (modèle Gemini), via l'API Gemini ou Vertex AI selon l'acheminement de la passerelle | |
| OpenAI ou Microsoft (Azure OpenAI) | Conversion de votre dernier message en suite de nombres (modèle d'embeddings d'OpenAI), selon l'acheminement de la passerelle |
À chaque demande, la passerelle choisit lequel de ces prestataires la traite.
Vos conversations sont enregistrées dans notre base de données, hébergée par Supabase (section 4).
Ces traitements peuvent avoir lieu en dehors de l'Union européenne.
Combien de temps
| Catégorie | Durée |
|---|---|
| Conversations | Jusqu'à ce que vous les supprimiez. Elles ne sont pas effacées avec votre compte (voir ci-dessous) |
| Données d'usage de l'assistant | Pendant la durée de votre compte, puis sous forme pseudonymisée après sa suppression, pour nos statistiques |
Pour supprimer une conversation, ouvrez Mes conversations avec l'icône d'historique, en haut de l'assistant, puis utilisez la corbeille à côté de la conversation. Elle est alors supprimée de notre base de données. Si l'assistant n'est plus proposé sur votre préparation, écrivez-nous à contact@examarena.com pour les faire supprimer. Elles sont aussi supprimées si nous retirons la préparation à laquelle elles se rattachent.
La suppression de votre compte n'efface pas vos conversations. Elles restent enregistrées, rattachées à votre compte, dont nous retirons votre nom et votre adresse email. Elles sont donc pseudonymisées, pas anonymisées : ce que vous y avez écrit est conservé tel quel. Si vous voulez qu'elles soient effacées, supprimez-les avant de supprimer votre compte.
Qui y a accès
Dans l'application, vos conversations ne sont visibles que depuis votre compte. Un administrateur d'Exam Arena qui se connecte à votre compte, par exemple pour vous assister, peut les voir ; chaque connexion de ce type est enregistrée. Aucun autre écran de notre administration n'en affiche le contenu. Les personnes de l'équipe qui administrent la base de données peuvent aussi y accéder techniquement.
Âge
L'assistant est ouvert dans les mêmes conditions d'âge que le reste du service (section 9).
Vos droits
Les droits décrits en section 6 s'appliquent à ces données comme aux autres. Vous pouvez notamment demander une copie de vos conversations en écrivant à contact@examarena.com.