POLITIQUE DE CONFIDENTIALITÉ

Lilylearn SAS — Protection des données à caractère personnel — Version du 27/07/2026 Document établi en français et en anglais. En cas de divergence, la version française fait foi. La présente politique remplace la charte de protection des données antérieure.

1. Qui est responsable de vos données

Le responsable du traitement est Lilylearn SAS, société par actions simplifiée au capital de 57 930 euros, dont le siège social est situé 1-3 Place Martin Levasseur, 93400 Saint-Ouen-sur-Seine, France, immatriculée sous le numéro 848 088 993 RCS Bobigny.

Contact pour toute question relative aux données personnelles : serviceclient@lilylearn.fr, ou par courrier à l’adresse du siège social.

Lilylearn n’est pas tenue de désigner un délégué à la protection des données au sens de l’article 37 du Règlement (UE) 2016/679. Un point de contact interne est néanmoins identifié pour traiter vos demandes.

2. Textes applicables

Lilylearn traite vos données conformément au Règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

3. Données que nous collectons

Nous collectons uniquement les données nécessaires aux finalités décrites à l’article 4.

Données d’identification et de contact : nom, prénom, adresse postale, adresse électronique, numéro de téléphone.

Données de commande et de facturation : produits commandés, montant, historique d’achat, adresse de livraison, numéro de commande, données nécessaires aux formalités douanières pour les livraisons hors Union européenne.

Données de compte : identifiant, mot de passe sous forme chiffrée, préférences, langue.

Données professionnelles (clients B2B) : raison sociale, fonction, numéro de TVA intracommunautaire, coordonnées de facturation, bon de commande.

Données d’usage des produits et services numériques : activation, version logicielle, données de fonctionnement et, le cas échéant, données de progression pédagogique.

Données de navigation : adresse IP, pages consultées, données issues des cookies dans les conditions décrites par la Politique cookies.

Nous vous indiquons, lors de la collecte, quelles données sont obligatoires et lesquelles sont facultatives. Les données obligatoires sont nécessaires pour passer commande ou créer un compte ; à défaut, la commande ou la création du compte ne peut aboutir.

Nous ne collectons pas de données sensibles au sens de l’article 9 du RGPD. Les données bancaires sont collectées et conservées directement par notre prestataire de services de paiement ; Lilylearn n’y a pas accès et ne les conserve pas.

4. Pourquoi nous traitons vos données et sur quelle base

Gestion des commandes, livraisons, facturation et service après-vente. Base légale : exécution du contrat.

Gestion du compte client et de l’espace personnel. Base légale : exécution du contrat.

Fourniture, sécurité et maintenance des produits et services numériques. Base légale : exécution du contrat et intérêt légitime à assurer la sécurité de nos services.

Réponse à vos demandes d’information et relation client. Base légale : intérêt légitime à répondre à vos sollicitations.

Envoi de newsletters et de communications commerciales. Base légale : votre consentement, ou intérêt légitime pour la prospection adressée à nos clients sur des produits analogues. Vous pouvez vous y opposer à tout moment, sans frais, par le lien de désinscription figurant dans chaque message.

Statistiques d’audience et amélioration de nos services. Base légale : votre consentement lorsque des cookies non essentiels sont utilisés, à défaut intérêt légitime lorsque la mesure est strictement anonyme.

Gestion des avis et témoignages. Base légale : votre consentement, recueilli séparément.

Gestion des impayés, des litiges et des réclamations. Base légale : intérêt légitime à défendre nos droits.

Respect de nos obligations légales, comptables et fiscales. Base légale : obligation légale.

5. Données concernant les enfants

Nos produits sont destinés aux enfants de 3 ans et plus, mais nos services en ligne ne leur sont pas directement proposés : le compte est créé et administré par un parent, un titulaire de l’autorité parentale ou, en contexte scolaire, par l’établissement.

Lorsqu’un traitement de données personnelles concernant un enfant est nécessaire, il repose sur le consentement ou l’autorisation du titulaire de l’autorité parentale, conformément à l’article 8 du RGPD. Pour les utilisateurs résidant aux États-Unis, nous appliquons les exigences de la réglementation fédérale relative à la protection de la vie privée des enfants en ligne.

Les données d’usage relatives à un enfant sont limitées à ce qui est nécessaire au fonctionnement pédagogique du produit. Elles ne font l’objet d’aucune prospection commerciale, d’aucun profilage publicitaire et d’aucune transmission à des tiers à des fins de marketing.

Lorsque les produits et services sont déployés par un établissement scolaire ou un organisme public, celui-ci agit en qualité de responsable de traitement pour les données des élèves et se porte fort du recueil des autorisations parentales requises. Lilylearn intervient alors en qualité de sous-traitant, dans les conditions d’un accord de traitement des données conclu séparément.

Le titulaire de l’autorité parentale peut à tout moment accéder aux données de l’enfant, en demander la rectification ou l’effacement et retirer son consentement, en écrivant à serviceclient@lilylearn.fr.

6. Qui accède à vos données

Vos données sont accessibles au personnel habilité de Lilylearn, dans la limite de ses attributions.

Elles peuvent être communiquées aux catégories de destinataires suivantes, uniquement pour les besoins des finalités décrites ci-dessus :

• nos prestataires techniques : hébergement, maintenance, outils de gestion de la relation client, outils d’envoi de courriels ;

• notre prestataire de services de paiement ;

• les transporteurs et prestataires logistiques ;

• les autorités douanières du pays de destination, pour les livraisons internationales ;

• nos conseils, notre expert-comptable et, le cas échéant, notre commissaire aux comptes ;

• les organismes publics, auxiliaires de justice et officiers ministériels, lorsque la loi l’exige.

Nos prestataires agissent en qualité de sous-traitants, sur instruction de Lilylearn et dans le cadre d’un contrat conforme à l’article 28 du RGPD.

Lilylearn ne vend pas, ne loue pas et n’échange pas vos données à caractère personnel.

7. Transferts hors de l’Union européenne

Vos données sont hébergées sur les serveurs d’OVH SAS, situés dans l’Union européenne.

Certains traitements peuvent néanmoins impliquer un transfert hors de l’Union européenne, dans deux cas : la transmission des données nécessaires au dédouanement pour les livraisons internationales, et le recours à des outils de mesure d’audience ou de communication dont les éditeurs sont établis hors de l’Union européenne.

Ces transferts sont encadrés par les garanties appropriées prévues au chapitre V du RGPD, notamment les clauses contractuelles types de la Commission européenne ou, le cas échéant, une décision d’adéquation. Vous pouvez obtenir une copie de ces garanties en écrivant à serviceclient@lilylearn.fr.

8. Combien de temps nous conservons vos données

Données de commande et de facturation : dix (10) ans à compter de la clôture de l’exercice, conformément aux obligations comptables.

Données de compte client : pendant la durée de la relation commerciale, puis trois (3) ans à compter du dernier contact.

Données de prospection : trois (3) ans à compter du dernier contact émanant de la personne concernée.

Données d’usage des services numériques : pendant la durée de l’abonnement ou de l’utilisation, puis effacées ou anonymisées dans un délai de douze (12) mois.

Données relatives aux enfants : pendant la durée d’utilisation par l’établissement ou le parent, puis effacées dans un délai de douze (12) mois, ou immédiatement sur demande.

Cookies et traceurs : treize (13) mois maximum, les données collectées étant conservées vingt-cinq (25) mois maximum.

Pièces d’identité communiquées dans le cadre de l’exercice d’un droit : un (1) an, ou trois (3) ans en cas d’exercice du droit d’opposition.

Preuves d’un droit ou d’un contrat : pendant la durée de prescription applicable.

9. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour préserver la sécurité, l’intégrité et la confidentialité de vos données, notamment le chiffrement des mots de passe et des flux, la limitation des accès aux personnes habilitées, la journalisation des accès et des sauvegardes régulières.

En cas de violation de données susceptible d’engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les meilleurs délais, conformément à l’article 34 du RGPD.

10. Vos droits

Vous disposez, dans les conditions prévues par le RGPD, des droits suivants : accès, rectification, effacement, limitation du traitement, opposition, portabilité, et retrait de votre consentement à tout moment lorsque le traitement repose sur celui-ci, sans que ce retrait ne remette en cause la licéité du traitement antérieur.

Vous disposez également du droit de définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès. Ces directives peuvent être générales, enregistrées auprès d’un tiers de confiance certifié, ou spécifiques et adressées directement à Lilylearn.

Vous pouvez exercer ces droits en écrivant à serviceclient@lilylearn.fr ou par courrier au siège social. Nous répondons dans un délai d’un mois, pouvant être prolongé de deux mois en cas de demande complexe. Une preuve d’identité pourra être demandée en cas de doute raisonnable sur l’identité du demandeur.

Lorsque le traitement repose sur notre intérêt légitime, vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière. Nous pouvons toutefois poursuivre le traitement s’il existe des motifs légitimes impérieux qui prévalent sur vos droits, ou si le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.

11. Cookies

L’utilisation des cookies et traceurs sur le site est décrite dans la Politique cookies, accessible sur le site. Vous pouvez modifier vos choix à tout moment depuis le lien de gestion des cookies présent sur chaque page.

12. Réclamation

Si vous estimez que le traitement de vos données constitue une violation de la réglementation, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr) ou auprès de l’autorité de contrôle de l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée, sans préjudice de tout recours juridictionnel.

13. Modification de la présente politique

Nous pouvons faire évoluer la présente politique. Toute modification substantielle vous sera notifiée par tout moyen utile, notamment par courriel ou par une information sur le site, au moins trente (30) jours avant son entrée en vigueur lorsque cela est requis. La version applicable est celle publiée sur le site à la date de votre consultation.

PRIVACY POLICY

Lilylearn SAS — Protection of personal data — Version dated 27/07/2026 Document drawn up in French and in English. In the event of any discrepancy, the French version shall prevail. This policy replaces the previous data protection charter.

1. Who is responsible for your data

The data controller is Lilylearn SAS, a simplified joint-stock company with share capital of EUR 57,930, whose registered office is at 1-3 Place Martin Levasseur, 93400 Saint-Ouen-sur-Seine, France, registered under number 848 088 993 Bobigny Trade and Companies Register.

Contact for any question relating to personal data: serviceclient@lilylearn.fr, or by post to the registered office.

Lilylearn is not required to appoint a data protection officer within the meaning of Article 37 of Regulation (EU) 2016/679. An internal point of contact is nevertheless identified to handle your requests.

2. Applicable law

Lilylearn processes your data in accordance with Regulation (EU) 2016/679 of 27 April 2016 (the “GDPR”) and amended French Law No. 78-17 of 6 January 1978.

3. Data we collect

We collect only the data necessary for the purposes described in Article 4.

Identification and contact data: surname, first name, postal address, email address, telephone number.

Order and billing data: products ordered, amount, purchase history, delivery address, order number, data required for customs formalities for deliveries outside the European Union.

Account data: username, encrypted password, preferences, language.

Business data (B2B customers): company name, position, intra-Community VAT number, billing details, purchase order.

Product and digital service usage data: activation, software version, operating data and, where applicable, educational progress data.

Browsing data: IP address, pages viewed, data from cookies under the conditions described in the Cookie Policy.

We indicate, at the point of collection, which data are mandatory and which are optional. Mandatory data are necessary to place an order or create an account; failing this, the order or account creation cannot be completed.

We do not collect sensitive data within the meaning of Article 9 of the GDPR. Bank details are collected and retained directly by our payment service provider; Lilylearn has no access to them and does not retain them.

4. Why we process your data and on what basis

Management of orders, deliveries, invoicing and after-sales service. Legal basis: performance of the contract.

Management of the customer account and personal area. Legal basis: performance of the contract.

Supply, security and maintenance of the products and digital services. Legal basis: performance of the contract and legitimate interest in ensuring the security of our services.

Responding to your enquiries and customer relations. Legal basis: legitimate interest in responding to your requests.

Sending newsletters and marketing communications. Legal basis: your consent, or legitimate interest for marketing addressed to our customers regarding similar products. You may object at any time, free of charge, via the unsubscribe link in each message.

Audience statistics and improvement of our services. Legal basis: your consent where non-essential cookies are used, otherwise legitimate interest where measurement is strictly anonymous.

Management of reviews and testimonials. Legal basis: your consent, collected separately.

Management of unpaid invoices, disputes and complaints. Legal basis: legitimate interest in defending our rights.

Compliance with our legal, accounting and tax obligations. Legal basis: legal obligation.

5. Children’s data

Our products are intended for children aged 3 and over, but our online services are not offered directly to them: the account is created and administered by a parent, a holder of parental authority or, in a school context, by the establishment.

Where processing of a child’s personal data is necessary, it is based on the consent or authorisation of the holder of parental authority, in accordance with Article 8 of the GDPR. For users residing in the United States, we apply the requirements of the federal regulations on children’s online privacy.

Usage data relating to a child are limited to what is necessary for the educational operation of the product. They are not used for marketing, advertising profiling, or transmitted to third parties for marketing purposes.

Where the products and services are deployed by a school or public body, that body acts as data controller for pupils’ data and warrants that the required parental authorisations have been obtained. Lilylearn then acts as processor, under the terms of a separately concluded data processing agreement.

The holder of parental authority may at any time access the child’s data, request its rectification or erasure and withdraw consent, by writing to serviceclient@lilylearn.fr.

6. Who accesses your data

Your data are accessible to authorised Lilylearn personnel, within the limits of their duties.

They may be disclosed to the following categories of recipients, solely for the purposes described above:

• our technical service providers: hosting, maintenance, customer relationship management tools, email sending tools;

• our payment service provider;

• carriers and logistics providers;

• the customs authorities of the country of destination, for international deliveries;

• our advisers, our accountant and, where applicable, our statutory auditor;

• public bodies, judicial officers and ministerial officers, where required by law.

Our providers act as processors, on Lilylearn’s instructions and under a contract compliant with Article 28 of the GDPR.

Lilylearn does not sell, rent or exchange your personal data.

7. Transfers outside the European Union

Your data are hosted on the servers of OVH SAS, located in the European Union.

Certain processing may nevertheless involve a transfer outside the European Union, in two cases: the transmission of data required for customs clearance for international deliveries, and the use of audience measurement or communication tools whose publishers are established outside the European Union.

These transfers are framed by the appropriate safeguards provided for in Chapter V of the GDPR, in particular the European Commission’s standard contractual clauses or, where applicable, an adequacy decision. You may obtain a copy of these safeguards by writing to serviceclient@lilylearn.fr.

8. How long we keep your data

Order and billing data: ten (10) years from the end of the financial year, in accordance with accounting obligations.

Customer account data: for the duration of the commercial relationship, then three (3) years from the last contact.

Marketing data: three (3) years from the last contact from the data subject.

Digital service usage data: for the duration of the subscription or use, then erased or anonymised within twelve (12) months.

Children’s data: for the duration of use by the establishment or parent, then erased within twelve (12) months, or immediately on request.

Cookies and trackers: thirteen (13) months maximum, the data collected being retained for a maximum of twenty- five (25) months.

Identity documents provided when exercising a right: one (1) year, or three (3) years where the right to object is exercised.

Evidence of a right or a contract: for the applicable limitation period.

9. Security

We implement appropriate technical and organisational measures to preserve the security, integrity and confidentiality of your data, in particular encryption of passwords and data flows, restriction of access to authorised persons, access logging and regular backups.

In the event of a data breach likely to result in a high risk to your rights and freedoms, you will be informed as soon as possible, in accordance with Article 34 of the GDPR.

10. Your rights

You have, under the conditions provided for by the GDPR, the following rights: access, rectification, erasure, restriction of processing, objection, portability, and withdrawal of your consent at any time where processing is based on it, without such withdrawal affecting the lawfulness of prior processing.

You also have the right to give directions concerning the retention, erasure and communication of your data after your death. Such directions may be general, registered with a certified trusted third party, or specific and addressed directly to Lilylearn.

You may exercise these rights by writing to serviceclient@lilylearn.fr or by post to the registered office. We respond within one month, which may be extended by two months for complex requests. Proof of identity may be requested where there is reasonable doubt as to the identity of the requester.

Where processing is based on our legitimate interest, you may object at any time on grounds relating to your particular situation. We may nevertheless continue the processing where there are compelling legitimate grounds overriding your rights, or where the processing is necessary for the establishment, exercise or defence of legal claims.

11. Cookies

The use of cookies and trackers on the website is described in the Cookie Policy, accessible on the website. You may change your choices at any time from the cookie management link on every page.

12. Complaints

If you consider that the processing of your data constitutes a breach of the regulations, you may lodge a complaint with the French data protection authority (CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr) or with the supervisory authority of the Member State of your habitual residence, your place of work or the place of the alleged breach, without prejudice to any judicial remedy.

13. Amendment of this policy

We may update this policy. Any substantial amendment will be notified to you by any useful means, in particular by email or by information on the website, at least thirty (30) days before it takes effect where this is required. The applicable version is the one published on the website on the date you consult it.