Politique de confidentialité

Application Exam Arena. Pour votre compte, vos paiements, le test de personnalité et l’assistant IA de l’application, la version de référence et à jour de notre politique de confidentialité est publiée dans l’application : https://app.examarena.com/privacy. Elle prévaut sur la présente page en cas de différence.

Mis à jour le 13 novembre 2026

La présente politique s’applique au site www.examarena.com (partie A ci-dessous), à l’application mobile Exam Arena (iOS et Android) et au service web app.examarena.com, édités par ARENA, SIREN 934 277 344, dont le siège social est situé 229 rue de Solférino, 59000 Lille, France.

Le responsable du traitement au sens du RGPD est ARENA.

Pour toute question relative à vos données personnelles :
Email : contact@examarena.com
Courrier : ARENA, 229 rue de Solférino, 59000 Lille, France

Partie A – Le site www.examarena.com

Cette partie décrit ce qui se passe quand vous consultez le site vitrine. Les articles 1 à 10 plus bas concernent l’application. Vos droits (article 5) valent pour les deux.

A.1 – Hébergement et journaux du serveur
Le site est hébergé par Hostinger International Ltd (61 Lordou Vironos Street, 6023 Larnaca, Chypre), sur un serveur situé en France. À chaque page affichée, le serveur traite les données techniques envoyées par votre navigateur : adresse IP, date et heure, page demandée, page de provenance, navigateur et système. Finalité : afficher le site et le protéger contre les abus. Base légale : intérêt légitime. Conservation : 14 jours.

A.2 – Votre choix sur les cookies
À votre première visite, un bandeau vous demande votre accord pour deux catégories : « Mesure d’audience » (Google Analytics, Microsoft Clarity) et « Publicité et partenaires » (Google Ads, identifiants de clic publicitaires, rémunération du site partenaire qui vous a envoyé). « Tout refuser » et « Tout accepter » sont proposés au même niveau, et « Personnaliser » permet de choisir catégorie par catégorie. Tant que vous n’avez pas répondu, et si vous refusez, aucun de ces outils n’est chargé.
Votre choix est gardé 6 mois dans le cookie ea_consent, sur le domaine examarena.com (il vaut donc aussi pour app.examarena.com), puis la question vous est reposée. Vous pouvez changer d’avis à tout moment avec le lien « Cookies » en bas de chaque page ; si vous retirez votre accord, les cookies déjà déposés sont effacés. Nous testons plusieurs présentations du bandeau : celle qui vous est montrée est gardée le temps de la visite (sessionStorage ea_ck_d).

A.3 – Ce qui fonctionne sans votre accord
Traceurs nécessaires : la langue choisie (cookie pll_language, 1 an), votre choix sur les cookies (ea_consent, 6 mois) et un identifiant tiré au hasard qui garde la même offre et le même prix sur le site et dans l’application pendant nos tests de prix (ea_pv, 1 an).
Chat : la fenêtre Crisp (Crisp IM SAS, Nantes, données hébergées dans l’Union européenne) ne se charge que si vous cliquez sur sa bulle. Elle garde ensuite une session (cookie crisp-client, 6 mois) pour poursuivre la conversation. Vos messages et l’adresse e-mail que vous indiquez servent à vous répondre (base légale : mesures précontractuelles ou intérêt légitime) ; les conversations sont supprimées après 24 mois sans nouveau message.
Statistiques anonymes : Umami, installé sur notre propre serveur en France (hébergeur Contabo ; les requêtes passent par le réseau de Cloudflare), compte les pages vues, la provenance des visites (dont les paramètres utm_*) et les clics vers l’application. Il ne dépose aucun cookie, ne conserve pas votre adresse IP, et nous retirons de ses données les identifiants de clic publicitaires. Base légale : intérêt légitime (mesure d’audience dispensée de consentement). Conservation : 25 mois. Vous pouvez vous y opposer depuis le lien « Cookies », rubrique « Statistiques anonymes » ; votre opposition est gardée dans votre navigateur (localStorage umami.disabled).
Provenance de la visite : les paramètres de campagne (utm_*) et le code du site partenaire (?v=) de votre page d’arrivée sont gardés le temps de la visite (sessionStorage) et ajoutés aux liens vers l’application, pour savoir d’où vient votre inscription. Ils ne contiennent aucun identifiant personnel. Base légale : intérêt légitime.

A.4 – Mesure d’audience, avec votre accord
Google Analytics 4 (mesure G-4J6N2Y332F), chargé par Google Tag Manager (GTM-TBSF7K5P) et fourni par Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande), avec transfert à Google LLC aux États-Unis : pages vues, durée de visite, provenance, appareil, navigateur, localisation approximative et identifiant pseudonyme. Cookies _ga et _ga_* (jusqu’à 2 ans) ; rapports conservés 14 mois.
Microsoft Clarity (projet tndtpzwww7), fourni par Microsoft Ireland Operations Limited (Dublin, Irlande), avec transfert à Microsoft Corporation aux États-Unis : enregistrement de votre navigation (clics, défilement, mouvements de souris, saisies hors champs sensibles) pour repérer ce qui gêne. Cookies _clck (1 an) et _clsk (1 jour).
Base légale : votre consentement.

A.5 – Publicité et partenaires, avec votre accord
Google Ads (Google Ireland Limited et Google LLC) : mesure des inscriptions venues de nos annonces et constitution de listes pour vous montrer nos annonces sur Google. Cookies _gcl_au et _gcl_aw (90 jours). Les identifiants de clic publicitaires de votre page d’arrivée (gclid, gbraid, wbraid, fbclid, msclkid) sont gardés le temps de la visite et transmis à l’application.
Partenaires : si vous arrivez par le lien d’un site partenaire, son code (?v=) est gardé 30 jours dans le cookie ea_aff, pour le rémunérer si vous vous abonnez.
Base légale : votre consentement.

A.6 – Formulaire de contact
Nom, adresse e-mail, message, confirmation de lecture de la présente politique et adresse IP d’envoi (protection contre les envois automatisés). Le message est enregistré dans la base du site et envoyé par e-mail à contact@examarena.com. Finalité : vous répondre. Base légale : mesures précontractuelles ou intérêt légitime. Conservation : jusqu’à 24 mois.

A.7 – Contenus chargés depuis d’autres sites
Les polices de caractères viennent de Google Fonts, les icônes de jsDelivr et les miniatures de certaines vidéos de YouTube (la vidéo elle-même ne se charge qu’au clic) : votre navigateur transmet alors votre adresse IP à ces services, sans cookie. La page TOEIC Listening intègre un lecteur audio whyp.it et la carte des centres de recrutement utilise Mapbox (Mapbox Inc., États-Unis) : ils se chargent à l’affichage de la page et peuvent déposer leurs propres cookies ou données de navigation. Nous prévoyons de servir ces contenus depuis notre propre serveur.

A.8 – Destinataires et transferts hors de l’Union européenne
Hostinger (hébergement, France), Contabo GmbH (serveur des statistiques Umami, France), Cloudflare, Inc. (réseau par lequel passent les statistiques Umami ; États-Unis), Google Ireland Limited et Google LLC (Analytics, Ads, polices ; États-Unis), Microsoft Ireland Operations Limited et Microsoft Corporation (Clarity ; États-Unis), Crisp IM SAS (chat ; France), jsDelivr (icônes), whyp.it (lecteur audio) et Mapbox Inc. (carte ; États-Unis). Les transferts vers les États-Unis reposent sur le Data Privacy Framework UE–États-Unis pour les entreprises certifiées et sur les clauses contractuelles types de la Commission européenne. Nous ne vendons pas vos données.

A.9 – Ce que le site ne fait pas
Pas de pixel Meta, TikTok ou LinkedIn. Les icônes de nos réseaux sociaux sont de simples liens. Aucune décision automatisée n’est prise à partir de votre navigation.

Article 1 – Quelles données collectons-nous ?

Nous collectons uniquement les données nécessaires au fonctionnement du service et à l’amélioration de votre expérience. Aucune donnée n’est revendue à des tiers.

1.1 Données d’identité et de contact
Prénom, nom (renseignés à l’inscription ou via Apple Sign In / Google).
Adresse email.
Photo de profil (avatar, optionnel).

1.2 Données d’authentification
Mot de passe (stocké chiffré et salé par Supabase, jamais accessible en clair).
Identifiant Apple / Google si vous utilisez Sign In with Apple ou Google.

1.3 Identifiants techniques
Identifiant utilisateur interne (UUID généré aléatoirement à l’inscription).
Token d’appareil pour notifications push (Firebase Cloud Messaging), uniquement si vous acceptez les notifications.

1.4 Données d’usage du service
Tentatives d’exercices (questions, réponses, scores, temps passé).
Leçons consultées et progression.
Séances de sport réalisées.
Préparation suivie, matières prioritaires, date d’examen renseignée à l’onboarding.

1.5 Données de paiement
Statut d’abonnement (gratuit, premium, dates d’expiration).
Identifiants techniques Stripe (web) ou RevenueCat (iOS / Android).
Historique des paiements (montant, devise, date, statut, pays de facturation).
Les numéros de carte bancaire ne sont jamais stockés sur nos serveurs. Ils sont traités directement par Stripe ou par Apple / Google selon le canal de paiement.

1.6 Données de préférences
Langue choisie.
Notifications email activées / désactivées.

1.7 Données marketing et d’attribution
Source d’acquisition (paramètres UTM : utm_source, utm_medium, utm_campaign, utm_term, utm_content).
Page de destination, referrer.
Identifiants de clic publicitaires : gclid (Google Ads), gbraid / wbraid (Google iOS).
Attribution Apple Search Ads (identifiants de campagne et d’annonce, sans identifiant utilisateur Apple).

Article 2 – Pourquoi collectons-nous ces données ?

Email, prénom, nom, mot de passe : création du compte, authentification. Base légale : exécution du contrat.

Identifiant utilisateur, identifiants Apple / Google : rattachement de vos données à votre compte. Base légale : exécution du contrat.

Données d’usage (exercices, leçons, sport) : sauvegarder et afficher votre progression. Base légale : exécution du contrat.

Données de paiement : gérer votre abonnement, support, obligations comptables. Base légale : exécution du contrat et obligation légale.

Token d’appareil push : vous notifier des crédits gratuits et offres en cours. Base légale : consentement (réponse à la demande système iOS / Android).

Email et statut d’abonnement : vous envoyer des emails transactionnels (bienvenue, reçus, mot de passe oublié). Base légale : exécution du contrat.

Email et comportement de paiement : email de relance si vous avez démarré un paiement sans le finaliser. Base légale : intérêt légitime (vous aider à reprendre votre achat).

Données d’usage agrégées : comprendre comment le service est utilisé, prioriser les améliorations. Base légale : intérêt légitime.

UTM, identifiants de clic, attribution Apple Search Ads : mesurer l’efficacité de nos campagnes marketing. Base légale : intérêt légitime.

Langue, préférences : personnaliser votre interface. Base légale : exécution du contrat.

Aucune décision automatisée produisant des effets juridiques n’est prise à partir de vos données. Il n’y a pas de profilage publicitaire.

Article 3 – Avec qui partageons-nous ces données ?

Vos données sont hébergées et traitées par des prestataires sélectionnés pour leur conformité au RGPD. Chacun agit en qualité de sous-traitant au sens du RGPD, lié à nous par un accord de traitement des données (DPA).

Supabase Inc. – Base de données, authentification, stockage de fichiers. France (Paris, eu-west-3). DPA et Clauses Contractuelles Types.

Vercel Inc. – Hébergement de l’application web. États-Unis (réseau global edge). DPA et Clauses Contractuelles Types.

Stripe Payments Europe Ltd – Traitement des paiements web. Irlande et États-Unis. DPA Stripe et Clauses Contractuelles Types.

RevenueCat Inc. – Gestion des achats in-app iOS et Android. États-Unis. Clauses Contractuelles Types.

Apple Inc. – Sign In with Apple, App Store, Apple Search Ads, notifications push iOS. États-Unis. DPA Apple.

Google LLC – Sign In with Google, Firebase Cloud Messaging, Google Ads, Google Play. États-Unis. Clauses Contractuelles Types.

Resend Inc. – Envoi des emails transactionnels. États-Unis. Clauses Contractuelles Types.

Umami – Mesure d’audience sans cookie, instance hébergée par ARENA sur un serveur en France (Contabo ; les requêtes passent par le réseau de Cloudflare).

Nous ne revendons jamais vos données à des tiers à des fins publicitaires.

Transferts hors Union européenne
Certains de nos prestataires sont basés aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (Décision 2021/914) et, le cas échéant, par le Data Privacy Framework UE – États-Unis pour les prestataires certifiés.

Article 4 – Combien de temps conservons-nous vos données ?

Compte actif : tant que votre compte est ouvert.

Compte supprimé : effacement définitif sous 30 jours suivant votre demande de suppression.

Données de paiement : 10 ans à compter de la facturation (obligation comptable et fiscale française).

Logs techniques (emails envoyés, push notifications) : 12 mois.

Données d’attribution marketing (UTM, click IDs) : 13 mois.

Tentatives d’exercices et progression : pendant la durée du compte, supprimées avec le compte.

Article 5 – Quels sont vos droits ?

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Droit d’accès : obtenir une copie de vos données. Sur demande à contact@examarena.com.

Droit de rectification : corriger vos données via Mon compte > Profil.

Droit à l’effacement : supprimer votre compte via Mon compte > Compte > Supprimer mon compte. Vos données sont alors effacées sous 30 jours, à l’exception des données conservées au titre d’obligations légales (paiements).

Droit à la portabilité : recevoir vos données dans un format structuré. Sur demande à contact@examarena.com.

Droit d’opposition : vous opposer à certains traitements fondés sur notre intérêt légitime, en nous écrivant à contact@examarena.com.

Droit à la limitation : restreindre le traitement de vos données, en nous écrivant à la même adresse.

Droit de retirer votre consentement : pour les notifications push, depuis les réglages de votre appareil. Pour les emails marketing, via Mon compte > Notifications.

Nous répondons à toute demande dans un délai d’un mois maximum.

En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris, www.cnil.fr).

Article 6 – Cookies et traceurs

Sur le site web app.examarena.com
Cookies de session (Supabase) : strictement nécessaires à votre authentification. Dispensés de consentement selon la délibération CNIL 2020-091.
Umami Analytics : mesure d’audience anonyme, sans cookie, sans empreinte numérique, instance self-hosted par ARENA. Conforme à l’exemption CNIL pour la mesure d’audience.

Dans l’application mobile
Pas de cookies tiers. Aucun SDK publicitaire (pas de Facebook Pixel, pas de Google Analytics, pas de Hotjar).
Sur iOS, le framework AdServices d’Apple est utilisé une seule fois à l’installation pour mesurer l’efficacité de nos campagnes Apple Search Ads, de manière anonyme et sans identifiant publicitaire (IDFA).
Les notifications push sont activées uniquement avec votre consentement explicite via la demande système iOS / Android.

Dans l’application, nous n’utilisons aucun cookie publicitaire : elle n’affiche donc pas de bandeau. Le site www.examarena.com a son propre bandeau (partie A).

Article 7 – Sécurité

Connexions chiffrées en HTTPS / TLS 1.3.

Mots de passe hachés et salés par Supabase Auth (algorithme bcrypt).

Authentification renforcée disponible via Sign In with Apple ou Google.

Accès aux données protégé par Row Level Security PostgreSQL.

Sauvegardes quotidiennes chiffrées chez Supabase.

En cas de violation de données présentant un risque pour vos droits, nous vous en informerons sans délai, conformément à l’article 34 du RGPD.

Article 8 – Mineurs

Le service est accessible à partir de 15 ans, âge minimal du consentement numérique en France. Pour les utilisateurs entre 15 et 18 ans, l’inscription se fait sous la responsabilité des représentants légaux.

Article 9 – Modifications

Nous pouvons faire évoluer cette politique. Toute modification substantielle vous sera notifiée par email et / ou via l’application. La date de dernière mise à jour figure en haut de cette page.

Article 10 – Contact

Pour toute question :
Email : contact@examarena.com
Courrier : ARENA, 229 rue de Solférino, 59000 Lille, France