Politique de confidentialité

Politique de confidentialité

Champ d’application de ce texte

Ceci est l’unique politique de confidentialité de Voice Scan Lab, S.L. Un seul responsable du traitement, un seul texte, pour les deux sites :

• le site web d’information voicescanlab.com ; et
• la plateforme app.voicescanlab.com.

Avant cette version, le WordPress public avait son propre texte (`portal_wordpress/seed/pages/privacidad.md`), plus court et avec l’adresse e-mail encore en attente. Ce texte est remplacé par celui-ci, et non corrigé à part — voir `EVALUACION_TEXTOS_WORDPRESS.md` et `PLAN_ARMONIZACION.md`. Si vous voyez un jour un texte de confidentialité différent sur le WordPress, c’est une copie obsolète.

Couche d’information courte

Avant la version complète, le résumé qui doit pouvoir se lire en 30 secondes :

• Qui traite vos données : Voice Scan Lab, S.L. (CIF B26702761, Séville, Espagne).
• Pour quoi : vous inscrire, vous laisser utiliser la plateforme, analyser votre voix chantée et vous remettre un rapport pédagogique sur votre technique vocale, et — seulement si vous l’autorisez de façon expresse et séparée — conserver votre enregistrement de façon anonyme pour la recherche pendant 2 ans.
• Le rapport est généré par un système d’intelligence artificielle. Nous vous le disons toujours de façon visible, comme l’exige la réglementation européenne sur l’IA.
• Votre enregistrement vocal est traité avec le soin dû à une donnée biométrique potentielle : dans ce service, il ne sert ni à vous identifier ni à vous authentifier, seulement à mesurer votre technique vocale, mais nous vous l’expliquons en détail au point 4.
• Nous ne vendons ni ne cédons vos données à des tiers à des fins commerciales. Seules y accèdent les entreprises qui nous fournissent des services (hébergement et, à l’avenir, passerelle de paiement), sous contrat de sous-traitance.
• Vous pouvez exercer vos droits (accès, rectification, effacement, opposition, limitation, portabilité, retrait du consentement) en écrivant à legal@voicescanlab.com, et introduire une réclamation auprès de l’Agence espagnole de protection des données (aepd.es) si vous estimez que nous n’avons pas bien traité votre demande.

Couche complète

1. Responsable du traitement

• Responsable : Voice Scan Lab, S.L.
• CIF : B26702761
• Adresse : Calle Cueva de Menga 3, Portal 7, Local A, 41020 Séville (Espagne)
• Contact confidentialité / droits : legal@voicescanlab.com
• Délégué à la protection des données : [EN ATTENTE — décision d’entreprise encore à prendre, voir `INFORME_LEGAL.md` §1. Tant qu’aucun n’est formellement désigné, `legal@voicescanlab.com` est le canal unique de contact pour la confidentialité, selon le même schéma que celui qu’utilisent des entités qui ont un DPO (une seule boîte de référence, avec ou sans le statut formel) — si un DPO est désigné plus tard, cette ligne le nommera avec son propre contact]

2. Quelles données nous traitons et de qui

Selon le type d’utilisateur :

Tout visiteur du site web public : données de navigation de base et adresse IP, ainsi que celles que vous nous fournissez volontairement dans le formulaire de contact (nom, e-mail, message).

Invité anonyme (landing `/gratis`) : nous ne vous demandons ni e-mail ni nom. Un contact anonyme est créé avec un code interne séquentiel, votre enregistrement et le résultat de l’analyse. Nous ne savons pas qui vous êtes, sauf si vous créez plus tard un compte et revendiquez cette analyse comme la vôtre.

Élève avec compte : nom, prénom, e-mail, mot de passe (chiffré), historique de vos analyses et rapports, données d’utilisation de la plateforme.

Enregistrement de voix chantée, dans tous les cas : l’audio que vous enregistrez ou téléversez, et les paramètres acoustiques que notre moteur en extrait (hauteur, stabilité, respiration, résonance et autres indicateurs techniques de la mécanique vocale).

Professeur / établissement : outre vos propres données de compte, les données de vos élèves que vous gérez (inscriptions, séances, enregistrements et analyses), pour lesquelles vous agissez en tant que responsable de cette relation d’enseignement — voir le point 8.

Données techniques, dans tous les cas : adresse IP, identifiant de session, langue, et les cookies techniques décrits dans `POLITICA_COOKIES.md`.

3. Pour quoi nous utilisons vos données et sur quelle base légale — finalité par finalité

Chaque finalité a sa propre base juridique. Nous ne demandons pas un consentement générique unique pour tout.

| Finalité | Base juridique | Notes | |—|—|—| | Créer et gérer votre compte, vous laisser utiliser la plateforme | Exécution du contrat de prestation de service (art. 6.1.b RGPD) | Nécessaire au service que vous demandez ; ne dépend pas d’une case de consentement | | Analyser votre enregistrement et générer votre rapport de technique vocale | Exécution du contrat — c’est la prestation principale que vous sollicitez | Voir le point 4 sur la nature de la voix comme donnée | | Conserver votre enregistrement de façon anonyme pendant 2 ans à des fins de recherche et d’amélioration du modèle | Consentement explicite, éclairé et séparé (art. 6.1.a, et 9.2.a si l’art. 9 s’applique) | Case spécifique, voir `CONSENTIMIENTO_INVESTIGACION.md`. Révocable à tout moment, sans effet rétroactif sur ce qui a déjà été fait | | Recevoir des nouvelles et actualités par e-mail | Consentement (art. 6.1.a) | Case facultative, séparée des précédentes | | Répondre à votre demande du formulaire de contact | Consentement, ou intérêt légitime à traiter votre demande (art. 6.1.a ou 6.1.f) | Utilisé uniquement pour cela, jamais réutilisé à une autre fin | | Que votre professeur gère vos séances et voie vos analyses (si vous avez un professeur assigné) | Exécution de la relation d’enseignement entre vous et votre professeur/établissement, dans laquelle la plateforme agit comme prestataire technologique | Voir le point 8 | | Qu’un évaluateur du panel universitaire en aveugle évalue votre analyse (seulement si vous participez à des tests en aveugle) | Consentement spécifique de recherche, sur des données déjà dissociées de votre identité | Voir le point 8 | | Sécurité, prévention de la fraude et respect des obligations légales | Intérêt légitime / obligation légale (art. 6.1.c et 6.1.f) | Par exemple, le registre des événements RGPD du point 10 |

4. L’enregistrement de votre voix : pourquoi nous le traitons avec un soin particulier

La voix est toujours une donnée personnelle : elle identifie ou peut permettre d’identifier une personne. De plus, le Règlement général sur la protection des données inclut parmi les données de catégorie particulière (art. 9) les « données biométriques aux fins d’identifier une personne physique de manière unique ». Selon la doctrine consolidée sur cette question (voir les sources dans `INFORME_LEGAL.md`), la voix n’est considérée comme donnée biométrique en ce sens strict que lorsqu’elle sert à identifier ou à authentifier la personne — par exemple, un système de « connexion par la voix ».

VoiceScan n’utilise pas votre voix pour vous identifier ni pour vous authentifier : il l’utilise pour mesurer des paramètres acoustiques de votre technique de chant (justesse, respiration, résonance, etc.) et générer des recommandations pédagogiques. Nous ne comparons jamais votre enregistrement à un gabarit de référence de votre identité ni à celui d’une autre personne : il n’y a aucune étape « cette voix est-elle celle d’Untel ? » à aucun moment du processus. C’est pourquoi notre position de travail est que, dans l’usage concret que nous en faisons, ce n’est pas une donnée biométrique au sens de l’art. 9 RGPD, même selon le critère le plus strict qu’applique aujourd’hui l’AEPD.

C’est une interprétation raisonnée, pas une certitude absolue, et nous le disons aussi à notre avocat dans `INFORME_LEGAL.md`. Nous sommes conscients que l’AEPD a durci son critère sur la biométrie dans son guide de novembre 2023 (pensé pour le contrôle d’accès et de présence) : depuis lors, elle traite comme catégorie particulière tant l’identification que l’authentification biométriques. VoiceScan ne fait ni l’une ni l’autre — il n’identifie pas, n’authentifie pas, ne vérifie pas —, nous considérons donc qu’il reste en dehors même de ce critère plus strict. En attendant confirmation par un juriste, nous traitons votre enregistrement avec les mêmes précautions que s’il s’agissait d’une donnée de catégorie particulière : consentement explicite pour la conservation à des fins de recherche, minimisation (nous effaçons l’audio brut sauf si vous autorisez sa conservation), et nous ne l’utilisons jamais pour vous reconnaître ni pour vérifier votre identité auprès d’un autre système.

Le rapport décrit aussi des aspects de mécanique vocale (effort, tension, gestion de la respiration) qui peuvent sembler proches d’une donnée de santé. Ce n’en sont pas : nous n’évaluons pas votre état de santé et le rapport n’est pas un diagnostic clinique ; nous décrivons seulement comment vous utilisez votre instrument vocal d’un point de vue technique et pédagogique. Malgré tout, nous rédigeons le rapport en évitant la terminologie clinique (« symptôme », « pathologie ») qui pourrait induire cette lecture.

5. Le rapport est généré par un système d’intelligence artificielle

Votre rapport est généré par un moteur d’analyse acoustique et un modèle d’apprentissage automatique (pas par une personne, sauf si votre professeur le révise avant de vous le montrer). Nous vous l’indiquons toujours de façon claire et visible dans le rapport lui-même, comme l’exige l’article 50 du règlement (UE) 2024/1689 sur l’intelligence artificielle, en vigueur depuis le 2 août 2026 pour cette obligation de transparence. Voice Scan Lab, S.L. agit ici en tant que « déployeur » du système d’IA (et non en tant que fabricant), et c’est précisément cette qualité qui oblige à afficher l’avertissement visible à l’utilisateur final — c’est une obligation qui nous incombe, pas à qui construit le modèle.

Correction en attente détectée au cours de ce même travail : à la date de cette version, le rapport que voit l’utilisateur n’inclut pas encore cet avertissement de façon visible. C’est une obligation déjà en vigueur, pas une amélioration souhaitable — voir `INFORME_LEGAL.md` §6.

Sur les décisions automatisées (art. 22 RGPD) : si personne n’a révisé votre rapport avant que vous le voyiez (par exemple, dans le parcours d’invité anonyme ou si vous n’avez pas de professeur assigné), le résultat que vous recevez provient intégralement d’un traitement automatisé. Bien que nous considérions qu’un rapport pédagogique ne produit pas, à lui seul, d’« effets juridiques » ni d’« effets significatifs similaires » au sens strict de l’art. 22, nous préférons ne pas le tenir pour acquis sans plus et vous offrir, dans tous les cas :

• des informations sur la logique appliquée : quels paramètres acoustiques sont mesurés et quel type de modèle les interprète (à haut niveau, sans révéler de secrets techniques du moteur) ;
• la possibilité de demander qu’une personne (votre professeur, ou notre équipe si vous n’avez pas de professeur) révise le résultat si vous n’êtes pas d’accord avec lui ;
• le rappel que le rapport est un outil pédagogique d’orientation, pas une note définitive.

6. À qui nous donnons accès à vos données

Nous ne vendons pas vos données. Seuls y accèdent :

• Hetzner (Allemagne, Union européenne), en tant que sous-traitant pour l’hébergement de la plateforme. Étant dans l’UE, il n’y a pas de transfert international.
• Stripe (États-Unis), lorsque le paiement des analyses complètes sera actif — il ne l’est pas aujourd’hui. Stripe est auto-certifié dans le cadre du EU-U.S. Data Privacy Framework, de sorte que le transfert de vos données de paiement, lorsqu’il existera, bénéficie de la couverture de la décision d’adéquation de la Commission européenne de juillet 2023.
• Notre fournisseur de courrier transactionnel [EN ATTENTE — À CONFIRMER PAR CARLOS : l’identifier et le nommer ici], pour vous envoyer des e-mails de vérification et des notifications.
• Si vous participez à la recherche scientifique et que celle-ci vient à être formalisée avec une université, cette institution n’accédera qu’à des données déjà anonymisées ou pseudonymisées selon le modèle qui sera défini — voir `CONSENTIMIENTO_INVESTIGACION.md` §3. Il n’existe aujourd’hui aucune convention signée, donc rien n’est partagé avec aucune université.
• Votre professeur ou établissement, s’il vous a inscrit comme élève ou si vous vous inscrivez sous son groupe — voir le point 8.
• Un évaluateur d’un panel en aveugle, seulement si vous participez volontairement à des tests de validation, et toujours sur des données déjà dissociées de votre identité.

Nous ne cédons jamais vos données à des tiers à des fins publicitaires ou commerciales étrangères au service.

Analyse d’audience du site web public : sur voicescanlab.com, nous mesurons des visites agrégées avec Umami, un outil d’analyse d’audience que nous hébergeons nous-mêmes (ce n’est pas un tiers : il tourne sur notre propre infrastructure, `analytics.voicescanlab.com`), qui n’installe pas de cookies et ne génère pas d’identifiant qui vous suive d’un site à l’autre. Voir le détail dans `POLITICA_COOKIES.md`.

7. Combien de temps nous conservons vos données

• Données de votre compte : tant que vous le maintenez actif, et jusqu’à ce que vous demandiez sa suppression.
• Enregistrement audio (le fichier brut) : si vous n’autorisez pas sa conservation à des fins de recherche, il est supprimé [EN ATTENTE DE CONFIRMATION TECHNIQUE du délai exact : « après génération du rapport » est l’intention produit, mais l’équipe technique doit confirmer si la suppression est immédiate, par lot nocturne, ou avec quelle marge maximale, afin de pouvoir promettre un délai concret et vérifiable].
• Enregistrement audio avec votre consentement de recherche : conservé de façon anonyme pendant 2 ans à compter de l’enregistrement, puis supprimé automatiquement.
• Rapport et paramètres acoustiques dérivés (le score, le niveau, les recommandations) : conservés associés à votre compte tant que le compte existe, parce qu’ils constituent votre historique d’évolution — cela fait partie du service que vous avez souscrit. Si vous supprimez votre compte, ils sont supprimés aussi.
• Formulaire de contact : 12 mois à compter de la dernière communication.
• Événements de consentement et droits exercés (voir le point 10) : conservés au-delà de la désinscription de l’utilisateur, parce qu’ils sont la preuve que nous respectons le RGPD — c’est une obligation de notre part, pas un préjudice pour vous.

8. Si vous avez un professeur, ou si votre professeur vous inscrit

Lorsqu’un professeur ou un établissement vous inscrit comme élève, gère vos séances ou enregistre vos prises, cette relation d’enseignement reste, pour l’essentiel, la même que celle que vous avez déjà en dehors de la plateforme : la plateforme est l’outil qui la soutient, pas celle qui décide de ce qui est fait de vous en tant qu’élève. C’est pourquoi :

• Votre professeur est responsable de disposer d’une base légitime pour vous inscrire (par exemple, l’accord de cours que vous avez déjà) et, si vous avez moins de 14 ans, de disposer de l’autorisation de votre père, de votre mère ou de votre tuteur — voir le point 9.
• Voice Scan Lab, S.L. traite ces données en tant que prestataire technologique de votre professeur pour cette partie de la relation, et en tant que responsable propre pour les finalités qui sont les siennes et non celles de votre professeur : la conservation anonyme à des fins de recherche (qui continue d’exiger votre propre consentement séparé, jamais celui de votre professeur en votre nom) et l’amélioration du service.

Ceci n’est pas encore formalisé par un contrat de sous-traitance entre Voice Scan Lab et chaque professeur ou établissement. C’est l’une des tâches en attente signalées dans `INFORME_LEGAL.md` §11.

9. Mineurs

Conformément à l’article 7 de la loi organique espagnole 3/2018 (LOPDGDD), en Espagne un mineur peut donner son propre consentement au traitement de ses données à partir de 14 ans. En dessous de cet âge, le consentement du titulaire de l’autorité parentale ou de la tutelle est requis.

Beaucoup d’élèves de chant sont mineurs. Aujourd’hui, la plateforme n’a mis en place aucun mécanisme pour vérifier l’âge de l’élève ni pour recueillir le consentement parental lorsqu’un mineur de moins de 14 ans s’inscrit directement ou est inscrit par son professeur. C’est une question ouverte signalée comme urgente dans `INFORME_LEGAL.md` §4 : tant qu’elle n’est pas résolue, chaque professeur qui inscrit un élève de moins de 14 ans doit disposer personnellement de l’autorisation de son père, de sa mère ou de son tuteur, et le communiquer à l’élève et à sa famille par son propre canal habituel (en dehors de la plateforme).

10. Vos droits, et comment nous les consignons

Vous pouvez exercer à tout moment vos droits :

• d’accès : savoir quelles données vous concernant nous traitons ;
• de rectification : corriger des données inexactes ;
• d’effacement : demander que nous supprimions vos données ;
• d’opposition : vous opposer à un traitement concret ;
• de limitation : demander que nous cessions temporairement de traiter vos données sans les supprimer ;
• de portabilité : recevoir vos données dans un format que vous pouvez emporter vers un autre service ;
• de retirer votre consentement à tout moment (pour la recherche ou pour les communications d’information), sans que cela affecte ce qui a déjà été fait avant le retrait ;
• de demander une intervention humaine sur un rapport généré automatiquement, et de le contester, lorsque vous n’êtes pas d’accord avec le résultat (voir le point 5).

Vous pouvez les exercer en écrivant à legal@voicescanlab.com. Chaque demande est consignée en interne avec son type, sa date, l’IP et son état, de façon à ce que nous puissions prouver que nous l’avons traitée.

Si vous estimez que nous n’avons pas bien traité votre demande, vous avez le droit d’introduire une réclamation auprès de l’Agence espagnole de protection des données (Agencia Española de Protección de Datos) (calle Jorge Juan, 6, 28001 Madrid — siège électronique sur aepd.es).

11. Transferts internationaux

Il n’y a aujourd’hui aucun transfert international de données actif : notre hébergement est dans l’Union européenne (Hetzner, Allemagne). Dès que le paiement avec Stripe sera activé, il existera un transfert de vos données de paiement vers les États-Unis, couvert par le cadre EU-U.S. Data Privacy Framework — cette politique sera alors mise à jour avec le détail correspondant.

12. Mesures de sécurité

Nous appliquons des mesures techniques et organisationnelles proportionnées au risque : mots de passe chiffrés, contrôle d’accès par profil (élève, professeur, évaluateur, administrateur), connexion chiffrée (HTTPS) et consignation des événements liés à vos droits. Le détail technique complet n’est pas publié pour des raisons de sécurité, mais il est documenté en interne.

13. Modifications de cette politique

Tout changement significatif sera annoncé avec un préavis raisonnable et, s’il affecte une finalité pour laquelle vous nous avez donné votre consentement, celui-ci vous sera de nouveau demandé. La plateforme conserve la version du texte que vous avez acceptée à chaque moment.

Annexe — clauses de collecte spécifiques par formulaire

Textes courts à insérer à côté de chaque formulaire, en plus (et non à la place) de cette politique complète, vers laquelle ils doivent renvoyer.

A. Inscription d’un élève avec compte

> En créant votre compte, nous traitons votre nom, votre e-mail et votre mot > de passe pour vous donner accès à la plateforme, et vos enregistrements > vocaux pour générer vos rapports de technique vocale. Vous pouvez en > outre autoriser, de façon séparée et volontaire, que nous conservions > votre enregistrement de façon anonyme pendant 2 ans à des fins de > recherche. Plus d’informations dans notre Politique de confidentialité.

B. Landing anonyme (`/gratis`)

> Nous ne vous demandons aucune donnée d’identification pour essayer > VoiceScan. Votre enregistrement et le résultat de l’analyse sont > conservés associés à un code anonyme, pas à votre identité. Si vous créez > un compte plus tard, vous pourrez revendiquer cette analyse comme la > vôtre. Vous pouvez autoriser, de façon volontaire, que nous conservions > votre enregistrement de façon anonyme pendant 2 ans à des fins de > recherche. Plus d’informations dans notre Politique de confidentialité. > > Note interne (mise à jour en v1.1) : en v1.0, cette case n’existait > pas encore dans `records_anonimous.twig` / parcours `/gratis`. Il a été > vérifié au cours de ce travail qu’elle est déjà implémentée > (`legal_consents.twig`, `mode=’self’`, issue #173) : le texte de cette > clause correspond déjà à ce que l’utilisateur voit à l’écran. Voir > `DATOS_LEGALES_VOICESCANLAB.md` §5.

C. Formulaire de contact (site web public)

> Les données que vous nous envoyez dans ce formulaire (nom, e-mail, > message) sont utilisées uniquement pour répondre à votre demande, et > conservées 12 mois à compter de notre dernière communication. Plus > d’informations dans notre Politique de confidentialité.

D. Inscription d’un élève par le professeur (import)

> En inscrivant votre élève, vous confirmez que vous disposez de son > consentement (ou, s’il a moins de 14 ans, de celui de son père, de sa mère > ou de son tuteur légal) pour que ses données et enregistrements soient > traités dans VoiceScan à des fins pédagogiques. Voice Scan Lab, S.L. agit > en tant que prestataire technologique de votre relation d’enseignement > avec votre élève. Plus d’informations dans notre Politique de > confidentialité. > > Note interne (mise à jour en v1.1) : il a été vérifié au cours de ce > travail que le formulaire d’inscription/import d’élève affiche déjà > cette déclaration (`legal_consents.twig`, `mode=’teacher_declaration’`, > issue #173, présente dans `students_edit.twig`, > `students_edit_alternative.twig` et dans l’inscription rapide de > `records_anonimous.twig`).

Journal des modifications

• v1.1 (2026-09-16) : adresse e-mail de contact (`legal@voicescanlab.com`) à tous les points en attente ; section sur le champ d’application ; nuance sur le critère de l’AEPD de novembre 2023 en matière de biométrie (§4) ; clarification que Voice Scan Lab agit en tant que déployeur d’IA aux fins de l’art. 50 (§5) et que l’avertissement visible n’est pas encore implémenté ; mention de l’analyse d’audience propre (Umami) du site public (§6) ; mise à jour des notes internes des annexes A/D : les cases qui en v1.0 étaient en attente d’implémentation existent désormais dans le code (issue #173) ; version anglaise (`PRIVACY_POLICY_EN.md`).
• v1.0 (2026-09-16) : rédaction initiale.

Note sur les langues : la version espagnole de ce document doit être traduite dans les 10 langues actives de la plateforme (es, en, de, fr, it, pt, ca, eu, gl, pl), comme le reste du contenu produit, parce qu’elle fait partie du parcours d’inscription que l’utilisateur accepte dans sa propre langue. Cette version française est la traduction fidèle utilisée pour la locale `fr`.