Politique de confidentialité — Cortex

Version 3.5 — en vigueur au 10 novembre 2026.

Version 3.5 du 10 novembre 2026. Ce qui change depuis la version 3.4 : le contenu des formules est précisé. Découverte reste gratuite ; Essentiel débloque la banque de QCM, l'entraînement libre, l'examen blanc, les annales, toutes les suggestions du planning, l'ancrage sans plafond et toutes les statistiques. Cela remplace la liste de la version 3.4. Aucune donnée nouvelle n'est traitée, aucun destinataire ne s'ajoute.

Version 3.4 du 8 novembre 2026. Ce qui change depuis la version 3.3 : les formules payantes ajoutent désormais des fonctions de révision (ancrage sans plafond, toutes les suggestions, statistiques par matière, examen blanc). Cette version décrit les deux petites données que cela implique : le jour où vous fermez un encart « Essentiel » par « Plus tard » (§ 2), et un cookie d'une heure qui vous ramène à votre écran après un achat (§ 8).

Version 3.3 du 6 novembre 2026. Ce qui change depuis la version 3.2 : Cortex peut désormais encaisser des paiements (abonnements et recharges de générations), par l'intermédiaire de Stripe. Cette version décrit les données que cela implique (§ 2), les bases légales (§ 3), Stripe et le transfert possible de données hors de l'Union européenne (§ 4), les nouveaux emails d'achat (§ 4), les durées de conservation (§ 6) et les cookies de la page de paiement (§ 8). Elle met aussi à jour l'identité du responsable de traitement (§ 1).

Version 3.2 du 22 octobre 2026. Ce qui change depuis la version 3.1 : vous pouvez désormais importer une photo de profil à la place d'un avatar. Cette version précise quelles données cela implique, pourquoi nous les traitons, combien de temps nous les gardons et comment les supprimer.

Ce qui change depuis la version 2 (7 octobre 2026) : la politique décrit la mesure du temps que vous passez sur Cortex (§ 2, § 3, § 6, § 7 et § 8), la trace de chacun de vos exports dans le journal des connexions (§ 2 et § 6), la consigne que vous pouvez écrire pour orienter la génération de questions (§ 2 et § 4), et ce qui part désormais de votre cours vers Mistral AI (§ 4).

La version 2 (7 octobre 2026) ajoutait les messages que vous nous envoyez depuis « Nous écrire ». Le 1er octobre 2026, les chemins vers les écrans avaient été mis à jour (la page « Profil » est devenue « Paramètres »), sans changer la politique.

En bref

Cortex est un espace de travail pour les étudiants en première année d'études de santé. Pour fonctionner, il a besoin de vos cours et de votre organisation. Voici ce que nous en faisons, et ce que nous n'en faisons pas.

Ce que nous ne faisons pas : aucune publicité, aucune revente de données, aucun traçage publicitaire, aucun cookie de mesure d'audience, aucun suivi de l'ouverture de nos emails.

Ce que nous mesurons, pour vous seul : le temps que vous passez sur Cortex, pour vous l'afficher sur votre tableau de bord (§ 2).

Où vivent vos données : sur un serveur situé à Paris, avec une copie de sauvegarde chiffrée, également à Paris. Deux choses seulement en font sortir, et seulement quand vous les demandez : la génération de questions par intelligence artificielle (le texte reste dans l'Espace économique européen), et un achat, que Stripe encaisse (votre adresse email lui est transmise ; Stripe appartient à un groupe américain, voir le § 4). Votre carte bancaire ne passe jamais par Cortex.

1. Qui est responsable de vos données

Stone Building Invest, société par actions simplifiée à associé unique au capital de 1 000 €, immatriculée au RCS de Bobigny sous le numéro 893 006 965, dont le siège est situé 16 boulevard du Nord, 93340 Le Raincy, représentée par son président, Gregory Tzamanis. Cortex est sa marque. Contact : contact@cortexp1.fr

Le responsable de traitement est la personne ou la société qui décide de ce qui est fait de vos données et qui en répond.

2. Quelles données nous traitons, et pourquoi

Pour créer et tenir votre compte

Pour vous servir

Comment se mesure votre temps sur Cortex. Un moment commence quand vous agissez dans l'application — un clic, une touche, la molette, un toucher — alors que sa page est affichée à l'écran. Il se prolonge tant que vous continuez d'agir, et s'arrête quand vous changez d'onglet ou d'application, quand vous quittez Cortex, ou après 2 minutes sans aucune action. Seuls le début et la fin de chaque moment sont enregistrés. Le site public, les pages de connexion et les pages légales ne mesurent rien. Votre temps sur Cortex n'est montré qu'à vous : il ne sert ni à vous classer, ni à vous comparer à d'autres étudiants, ni à aucune publicité.

Votre consigne de génération. Quand vous demandez des questions sur un de vos cours, vous pouvez écrire une consigne, 300 caractères au plus, pour orienter les questions (« insiste sur les mécanismes »). Elle est enregistrée avec la génération, et envoyée à Mistral AI avec le texte du cours (§ 4). N'y écrivez aucune information personnelle, ni sur vous ni sur une autre personne : elle n'en a pas besoin.

Les champs où vous écrivez librement — notes, titres, annotations — ne sont lus par personne. Évitez d'y inscrire des informations sur d'autres personnes ou sur votre santé : nous ne les demandons pas et n'en avons pas besoin.

Les pièces jointes de vos messages peuvent montrer des informations personnelles : évitez d'y faire paraître celles d'une autre personne. Les métadonnées de vos images, comme le lieu où une photo a été prise, sont retirées dès le dépôt. Vos fichiers restent sur notre serveur : l'email qui nous prévient de votre message ne contient qu'un lien, valable 7 jours.

Pour sécuriser le service

Pour gérer votre formule

Pour vos achats (abonnements et recharges)

Ces données n'existent que si vous achetez. Rien n'est demandé, ni envoyé à Stripe, tant que vous n'avez pas commandé.

Les reçus et les factures sont émis par Stripe et disponibles dans Paramètres › Abonnement › Carte et factures.

3. Sur quelle base légale

Nous ne faisons ni publicité ni prospection : aucun traitement de Cortex ne repose sur votre consentement. Le seul consentement en jeu est celui que vous donnez à Stripe si vous choisissez Link.

4. Qui d'autre voit vos données

Nous ne vendons ni ne louons vos données. Cinq prestataires interviennent, chacun pour une tâche précise. Quatre n'ont pas le droit d'utiliser vos données pour leur propre compte ; Stripe, lui, a deux finalités propres, décrites plus bas.

Ce qui est envoyé à Mistral, et ce qui ne l'est pas

Quand vous demandez la génération de questions sur un de vos cours, le titre du cours, son texte — en entier s'il est court, sinon des extraits pris du début à la fin du cours — et votre consigne si vous en avez écrit une sont envoyés à Mistral AI, éditeur français d'intelligence artificielle.

• Ce départ n'a lieu que si vous le demandez, cours par cours.
• Cortex n'ajoute aucune information sur vous : ni votre nom, ni votre adresse email, ni votre identifiant. Si votre document contient lui-même un nom, ce nom part avec le texte.
• Mistral traite ces textes dans l'Espace économique européen.
• Mistral n'utilise pas ces textes pour entraîner ses modèles : nous nous y sommes opposés sur notre compte. Il peut les conserver temporairement pour détecter les usages abusifs de son service.

Stripe, pour vos paiements

Quand vous achetez, vous quittez Cortex pour la page de paiement sécurisée de Stripe, l'établissement de paiement du groupe Stripe. Le contrat avec Stripe est conclu par Stone Building Invest.

• Ce que Cortex envoie à Stripe : votre adresse email, un identifiant interne (le vôtre et celui de la commande) et la formule choisie, avec son prix. À la création de votre fiche client, Stripe renvoie à Cortex un identifiant client, que Cortex enregistre (§ 2). Cortex n'envoie ni votre pseudonyme, ni vos cours, ni votre activité.
• Ce que vous donnez à Stripe directement : votre carte, votre nom et votre adresse de facturation, sur sa page. La carte ne passe jamais par Cortex : nous ne la voyons pas et ne l'enregistrons pas. Vous payez par carte bancaire, Apple Pay, Google Pay ou Link.
• Qui décide de quoi. Pour exécuter votre paiement, Stripe agit pour notre compte, comme sous-traitant (article 28 du RGPD). Pour deux finalités, Stripe est responsable de traitement distinct, c'est-à-dire qu'il décide seul de ce qu'il fait des données : la lutte contre la fraude et le respect de ses obligations légales de prestataire de paiement, et Link, si vous l'utilisez (Link enregistre votre moyen de paiement pour vos prochains achats, avec votre accord). Pour ces finalités, c'est la politique de confidentialité de Stripe qui s'applique (https://stripe.com/fr/privacy), et vous exercez vos droits auprès de lui.
• Transfert hors de l'Union européenne. Le contrat est conclu avec une société irlandaise du groupe Stripe, mais le groupe a sa maison mère aux États-Unis, et Stripe peut y transférer des données. Selon la page officielle de Stripe consacrée à ces transferts (https://stripe.com/fr/legal/privacy-center, rubrique « International Data Transfers », lue le 6 novembre 2026), Stripe s'appuie sur plusieurs mécanismes : la certification de sa maison mère au cadre de protection des données UE-États-Unis (*Data Privacy Framework*, fondé sur la décision d'adéquation de la Commission européenne du 10 juillet 2023), et, à défaut ou si ce cadre était invalidé, les clauses contractuelles types de la Commission européenne, intégrées à ses contrats (décision (UE) 2021/914). Son accord de traitement des données (https://stripe.com/fr/legal/dpa, lu le même jour) renvoie à cet ensemble de mécanismes.
• Durée. Stripe conserve les paiements et les factures dix ans, au titre de l'obligation comptable (§ 6).

Nos emails

Nos emails sont envoyés depuis Paris par Scaleway. Ils ne contiennent aucun dispositif de suivi : ni image invisible qui signalerait leur ouverture, ni lien détourné qui mesurerait vos clics.

Les emails d'achat. Quand vous achetez, Cortex vous envoie, à l'adresse de votre compte, l'un de ces emails, rédigés et envoyés par notre outil d'automatisation (n8n, hébergé sur notre serveur) : confirmation d'abonnement, confirmation de recharge, changement de formule programmé, changement de formule pris effet, résiliation, résiliation immédiate. Chacun résume votre commande (formule ou recharge, prix, TVA, date, numéro de commande, date limite de rétractation). Les emails de commande portent les conditions générales de vente en PDF, dans la version que vous avez acceptée. Une copie de chacun de ces emails est adressée à contact@cortexp1.fr : elle nous sert de preuve de ce qui vous a été envoyé, et suit la durée de conservation de cette boîte (§ 6).

5. Les documents que vous déposez

Vos polycopiés, vos annales et vos fiches vous appartiennent. Nous ne les lisons pas, nous ne les partageons avec aucun autre utilisateur, et nous ne les utilisons pour aucune autre finalité que celles décrites ici.

Votre photo de profil, si vous en importez une, est rangée comme vos documents : dans un espace privé, accessible uniquement par votre compte. Elle est recadrée et réduite sur votre appareil avant l'envoi (512 pixels au plus), et les informations cachées dans l'image, comme le lieu de la prise de vue, ne sont pas envoyées. Nous n'en gardons qu'une : une nouvelle photo remplace l'ancienne. Nous ne l'utilisons pour aucune autre finalité (ni reconnaissance de visage, ni analyse), et aucun autre utilisateur ne la voit.

Chaque fichier est rangé dans un espace privé, accessible uniquement par votre compte. Les liens de téléchargement expirent au bout d'une heure.

Votre responsabilité. Les documents de cours sont souvent protégés par le droit d'auteur de leurs auteurs ou de votre faculté. En les déposant, vous en faites un usage strictement personnel. Ne déposez pas de documents que vous n'avez pas le droit de détenir.

6. Combien de temps nous les gardons

Notre hébergeur réalise en outre ses propres sauvegardes techniques du serveur, selon ses propres règles.

7. Vos droits

Vous pouvez à tout moment :

• accéder à vos données et en obtenir une copie ;
• les récupérer dans un format réutilisable ;
• les corriger si elles sont inexactes ;
• les effacer, en supprimant votre compte ;
• vous opposer à un traitement fondé sur notre intérêt légitime ;
• en limiter l'utilisation.

Depuis Paramètres › Mes données, vous pouvez exporter vos données en un fichier, sessions ouvertes et temps passé sur Cortex compris, télécharger vos documents et supprimer votre compte : la suppression emporte aussi le temps mesuré. L'export de vos données (Paramètres › Mes données) contient aussi votre photo de profil, si vous en avez importé une, intégrée au fichier. Vos informations se corrigent dans Paramètres › Compte. Le journal de sécurité de l'authentification n'est pas inclus dans l'export : il vous est communiqué sur demande.

Pour les données que Stripe traite pour son propre compte (fraude, Link), vous exercez vos droits auprès de Stripe. Pour toute autre demande, écrivez à contact@cortexp1.fr. Nous répondons sous un mois.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL (cnil.fr), l'autorité française de protection des données.

8. Les cookies

Cortex n'utilise que des cookies strictement nécessaires à son fonctionnement. C'est pourquoi il ne vous demande pas votre consentement : la loi ne l'exige pas pour ces cookies-là.

Une déconnexion efface les cookies de connexion et cortex-origine-achat ; cortex-mode reste, pour garder votre affichage.

La mesure de votre temps sur Cortex (§ 2) ne dépose aucun cookie et n'écrit rien dans votre navigateur : elle vit dans la page ouverte, et s'efface avec elle.

Aucun cookie publicitaire, aucune mesure d'audience, aucun traceur tiers sur Cortex. Cortex ne charge aucune ressource depuis un autre site, polices comprises.

La page de paiement de Stripe est un site de Stripe, pas une page de Cortex : Stripe y pose ses propres cookies, notamment pour sécuriser le paiement et lutter contre la fraude. Ils ne sont posés que si vous ouvrez cette page, et ils relèvent de la politique de Stripe (https://stripe.com/fr/legal/cookies-policy).

9. La sécurité

• Échanges chiffrés (HTTPS) sur l'ensemble du service.
• Mots de passe chiffrés à sens unique : personne ne peut les lire, nous compris.
• Cloisonnement appliqué par la base de données elle-même : un compte ne peut techniquement pas lire les données d'un autre. Ce n'est pas une consigne interne, c'est une règle imposée par le moteur de base de données.
• Sauvegardes quotidiennes, dont une copie chiffrée avant d'être envoyée hors du serveur.
• Accès au serveur par clé cryptographique uniquement.

En cas de violation de données susceptible de vous exposer à un risque, nous vous en informerons, ainsi que la CNIL, dans les délais prévus par le RGPD.

10. Les mineurs

Cortex est ouvert à partir de 15 ans. En France, c'est l'âge à partir duquel un mineur peut consentir seul au traitement de ses données pour un service en ligne.

Cortex ne demande pas votre date de naissance et ne collecte aucune donnée liée à l'âge. Pour acheter une formule payante avant 18 ans, l'accord de l'un de vos parents ou de votre représentant légal est nécessaire (conditions générales de vente, article 3).

11. Les modifications

Si cette politique change, nous vous en informerons par email avant que les modifications ne prennent effet. La date de version figure en haut de cette page.