Privacy Notice

Effective Date: September 9, 2026

This Privacy Notice applies if you use any of our Platforms, which may include Student Beans, GradBeans and Beans iD, our websites, mobile applications, or any other related services (the "Platforms"). This notice explains what personal data we collect, how we use it, who we share it with, and how we keep it safe.

1. Who We Are and What We Do

The Platforms are operated by us and our affiliated companies. Depending on your location, one of these companies is the data controller of your personal data.

If you are located in the UK or the EU, The Beans Group Limited is your data controller
If you are located in the United States, The Beans Group Inc. is your data controller
If you are located in Australia, Student Beans Pty Ltd is your data controller
For users in other regions, The Beans Group Limited acts as data controller

2. What Information We Collect

We may collect the following categories of data:

a. Information you provide directly

Name
Email address
Mobile phone number
Platform password
Date of birth
Gender
Country
School, university, or workplace details (for eligibility verification)
Expected year of graduation (students only)
Expiry of your verified status
Any documents or data you upload for verification (e.g. student ID, proof of employment)
Preferences, feedback, and support queries

b. Information we collect automatically

Account creation time and activity
Code issuance activity
IP address, device ID, browser type
Location data (if permitted)
Log data and usage analytics (e.g. page views, clicks, interactions)
Cookie data and advertising identifiers

c. Information we receive from third parties

Verification partners or educational institutions: We may receive information confirming your eligibility for membership or verifying your status within a consumer group.
Affiliate networks and marketing partners: When you activate or redeem a code and/or access a gated link, we may receive confirmation of the transaction (such as brand name, time/date, value of transaction).
Brands when you redeem codes and/or access a gated link: Brands do not routinely share personal data with us, but may contact us in limited cases (for example, if they suspect misuse of an offer) to assist with investigation.
Single sign-on providers: If you choose to register or log in using a third-party account (such as Google or Apple), we will receive certain information from that provider, such as your name and email address, in accordance with the permissions you grant at the time. We do not receive your password from these providers.

3. How We Use Your Information

We use your personal data to:

Verify your eligibility for our Platforms and on behalf of the brands we work with
Verify your identity and protect your account, including by sending one-time passwords to your mobile phone number
Provide you with access to offers and benefits
Personalize content, emails, and in-app experiences
Prevent fraud and unauthorized code/discount sharing
Administer surveys, competitions, and marketing campaigns
Analyze Platform usage and improve functionality
Comply with legal and regulatory obligations
Communicate with you, for example to respond to questions you have asked us or to contact you with important updates about the Platforms
Investigate suspected misuse, fraud, or unauthorized sharing of codes or offers, including reviewing account history, submitted documentation, and activity logs, and, where relevant, sharing information with affected brand partners

Some of the personal data we collect is necessary for us to provide verification services to you. In particular, providing your mobile phone number is required to receive one-time passwords, which are integral to verifying your identity. Providing eligibility documentation may be required to obtain and maintain verified status. If you choose not to provide this data, we may not be able to verify your eligibility or deliver the service to you.

Breach of Member Terms

We actively monitor for misuse. If we believe you have breached the Member Terms, including through fraudulent activity, submitting false information, unauthorized code sharing, or attempts to circumvent our systems, we may suspend or permanently disable your access to the Platforms, with or without notice, and take further action where appropriate.

Use of mobile numbers for security and verification

We may use your mobile phone number to send one-time passwords to help confirm that you are the account holder, prevent fraud, and maintain the security of our Platforms. One-time passwords are an integral part of the service we provide and we may not be able to disable this feature without impairing our ability to deliver that service to you. We will always notify you at the point you provide your mobile number that it will be used for this purpose. Message frequency will vary depending on your account activity. Standard message and data rates may apply. For assistance, reply HELP to the number from which you received the message, or contact us at help@studentbeans.com. To stop receiving messages, reply STOP at any time. Please note that because one-time password messages are integral to the verification service, opting out may mean we are unable to deliver verification to you. Carriers are not liable for delayed or undelivered messages.

Your agreement to receive one-time passwords as part of our service does not constitute consent to receive marketing communications by SMS, nor does it constitute consent to share your mobile number with any brand partner.

Account Security Monitoring

We may use security tools to monitor for indicators that a user's account credentials may have been exposed or compromised. Where our systems detect that credentials associated with your account may be at risk, we may take protective action, including prompting you to change your password, sending a security notification, or temporarily restricting access to your account, in order to protect you and the integrity of our services.

Use of automated tools and AI in Verification

We may use automated tools, including AI, to help assess whether users are eligible for closed consumer group offers, based on the information and documentation they provide. This includes checks designed to detect fraudulent, invalid, or AI-generated submissions. This processing supports our legitimate interest in maintaining the security and integrity of our services and ensuring that offers are only made available to eligible users.

We do not make final decisions based solely on automated processing. Where an automated tool flags a potential issue, a trained member of our team will always review the case and assess the outcome before any action is taken, including any decision to suspend or restrict your account.

In the future, we may also use image-based verification tools to help identify falsified or inauthentic ID documents. These tools may involve the processing of facial imagery and other features that could constitute biometric data under data protection law. We will handle any such processing in accordance with applicable data protection law.

4. Marketing and Membership Programs

This section covers marketing and promotional communications only. It does not apply to one-time passwords or account security messages, which are described in Section 3 and cannot be opted out of while you hold a verified account with us.

How we contact you about products and services

We may send you marketing emails about our products, services, and offers. We will always give you a clear opportunity to opt out of these emails when you first register.

Every marketing email we send will include an unsubscribe link, and you can also opt out at any time by updating your preferences in your account settings or by contacting us at help@studentbeans.com.

For users in the UK, we may send marketing emails about our own similar products and services on the basis of our legitimate commercial relationship with you (known as the "soft opt-in" under UK PECR), where: (a) you provided your email address when registering for or using our Platforms; (b) the marketing relates to products and services similar to those you signed up for; and (c) you were given a clear and simple opportunity to opt out when you provided your email address and in every subsequent marketing message.

Where we ask for your consent

In certain circumstances, including SMS and WhatsApp marketing, we will ask for your specific consent before contacting you. Where we rely on consent, you can withdraw it at any time without affecting the lawfulness of any marketing sent before withdrawal.

When you withdraw consent or opt out of marketing: we will stop sending marketing communications. We will retain a minimal suppression record to ensure we do not contact you again (see Section 7 for details); and this will not affect service communications or one-time password messages linked to your account.

Where we use SMS or other mobile messaging channels for marketing purposes, we will always ask for your specific consent before doing so. We will never use your mobile number for marketing SMS without your prior express consent, and your consent to receive one-time passwords does not extend to marketing communications.

We do not sell, share, transfer, or otherwise disclose to any third party any mobile phone number collected for the purpose of delivering one-time passwords.

Sharing data with brand partners

With your consent, we may share your personal data (such as your name, email address, verified status, consumer group, country, and verification expiry date) with selected brand partners so they can contact you directly about their products and services. We will ask for your specific consent at the point of your interaction with that brand, for example when you activate an offer or access a brand's membership program. You can withdraw your consent and request deletion of your data from a brand by contacting them directly. Brands we share your data with in this way become independent data controllers of that data; please refer to their own privacy policies for how they use it.

Membership programs

Some brands offer loyalty or membership programs exclusively for certain consumer groups. To access these, we may ask your permission to share limited tokenized information confirming your eligibility, specifically your consumer ID, consumer group and verified status, and verification expiry date. This is information confirming eligibility only; we do not share your full personal details in this context. If you choose not to share this information, you may not be able to access the relevant program.

5. Sharing Your Data

We may share your personal data with trusted third parties when necessary to operate our services or meet legal obligations.

This includes:

Brand and affiliate partners (to validate eligibility or investigate misuse);
Advertising and analytics providers (to improve your experience);
Technical service providers (email platforms, hosting providers, fraud detection tools);
SMS delivery and identity verification providers (these providers process your mobile phone number for the purpose of delivering one-time passwords and for related security and anti-spam monitoring, in accordance with their own acceptable use policies; they are prohibited from using your data for their own marketing purposes); and
Legal, regulatory, or enforcement authorities (where required by law).

For UK and EU users: some of our service providers and partners may be located outside the UK or EU. Where we transfer your personal data internationally, we ensure it remains protected through appropriate safeguards, which may include transfers to countries that have received a UK adequacy decision, the use of the UK International Data Transfer Agreement or standard contractual clauses, or other lawful transfer mechanisms approved by the ICO. Where required, we carry out transfer impact assessments to satisfy ourselves that your data will be adequately protected in the destination country.

We only share what is necessary, and never more than is required to deliver the service or comply with the law.

6. Legal Basis for Processing

We rely on the following legal grounds to process your data:

Performance of a contract: to provide and secure our services under our Member Terms, including for account authentication and one-time password delivery.
Legitimate interests: to run, improve, and secure our services.
Consent: for sending you marketing and sharing data with brand partners.
Legal obligation: where required by law.

We rely on legitimate interests for the following activities:

Preventing fraud, abuse, and unauthorized use of our Platforms and the offers we provide;
Using automated tools (including AI) to verify eligibility and detect fraudulent submissions;
Analyzing how our Platforms are used, in order to improve functionality and user experience;
Sharing information with brand partners where misuse of a code or offer is suspected; and
Retaining anonymized data to improve and train our fraud detection tools.

7. How Long We Keep Your Data

We retain your personal data only for as long as necessary for the purposes for which it was collected, or as required by law. The below sets out our standard retention periods by data category.

How student and graduate status works

When you register with us as a student and do not re-verify your student status, we will treat you as a graduate from the point your student verification expires. This reflects our reasonable assumption that you have completed your studies. The five-year graduate retention period reflects the internationally recognized transition window following completion of higher education.

Account and Profile Data

Data Category	Retention Period	Basis
Student member	6 years from the date of last verification as a student, reflecting 1 year of active student verification plus a 5-year graduate transition window.	Contract performance; legitimate interests (fraud prevention and graduate transition).
Graduate member	6 years from the date of last verification.	Legitimate interests (fraud prevention and post-expiry investigation).
Other verified members	2 years from the date of verification, reflecting 1 year of active verification plus 1 year post-expiry.	Legitimate interests (fraud prevention and post-expiry investigation).
Incomplete registration (registered but verification not completed)	1 year from the date of registration.	Legitimate interests (enabling you to complete your registration and preventing fraudulent or incomplete account creation).

Verification Data

Data Category	Retention Period	Basis
Verification documents	Deleted from our systems promptly following the outcome of verification and not retained thereafter, subject to any applicable legal hold. We retain only the outcome of verification: whether your status was confirmed and when it expires.	Contract performance; legitimate interests (fraud prevention).

Communications and Messaging Data

Data Category	Retention Period	Basis
Mobile number (one-time passwords and security use)	Retained for the duration of your account (whether active or inactive), then deleted on account closure in accordance with the account and profile data periods above.	Contract performance: integral to service delivery.
Marketing records (including content, send date, and engagement data)	6 years from the date of your last active verification or last marketing engagement, whichever is later, after which you will be removed from our active marketing lists. This reflects a standard cycle for marketing analytics purposes.	Legitimate interests (compliance with marketing regulations, honoring opt-outs, and investigating complaints).
Marketing preferences and consent records (including records of opt-in to email, SMS, or brand partner data sharing, and any subsequent opt-out or withdrawal)	Duration of active account plus 6 years following account closure. Consent records may be retained for longer than core account data where necessary to demonstrate compliance with our legal obligations.	Legal obligation: evidence of consent and legal basis for marketing communications sent.
Suppression records (record of opt-out from marketing communications)	Retained indefinitely following opt-out, to ensure we do not contact you again even after account closure. A suppression record consists only of the minimum information necessary to identify your opt-out (such as your email address or mobile number) and the fact and date of your request.	Legal obligation (PECR for email and SMS); legitimate interests (all other channels).

Support Data

Data Category	Retention Period	Basis
Support ticket data and associated personal data	6 years from the date of resolution of the relevant matter, unless subject to a legal hold or linked to an active fraud investigation.	Legitimate interests (dispute resolution).

Security, Fraud and Legal Data

Data Category	Retention Period	Basis
Fraud flags, investigation records, and suspension logs	6 years from the date of the relevant event.	Legitimate interests (fraud prevention and potential legal claims).

Analytics and System Data

Data Category	Retention Period	Basis
Anonymized analytics	Retained indefinitely. This data has been anonymized through an irreversible process and no longer constitutes personal data; it cannot be used, whether alone or in combination with other data, to identify you.	N/A

Post-closure retention

Following account closure, whether voluntary, following a dormancy review, or at our request, we retain certain categories of data for the periods set out above. This enables us to deal with queries, disputes, or legal claims arising after closure, and to meet our legal and regulatory obligations.

Can I request deletion of my personal data?

Yes. You may request deletion of your personal data at any time by contacting us using the details in Section 14. We will action valid requests promptly, subject to any legal or legitimate basis to retain certain data, including any applicable legal hold. We aim to complete deletion within one calendar month of your request being validated, in accordance with our obligations under applicable data protection law. In complex cases, we may extend this period, in which case we will notify you and explain the reason for the extension.

8. Your Rights

You have the right to:

Access the personal data we hold about you;
Correct inaccurate or outdated data;
Delete your data (unless we have a valid legal or legitimate reason to keep it);
Object to or restrict how your data is used;
Withdraw consent where that was the basis for processing;
Request a copy of your data in a portable format (data portability); and
Where we use automated tools to make decisions that affect you, request human review of that decision, contest the outcome, and receive an explanation of how the decision was reached.

To exercise any of these rights, contact us using the details in Section 14. We may need to confirm your identity before responding. We aim to respond in full within one calendar month.

You also have the right to lodge a complaint with your national data protection authority:

In the UK: the Information Commissioner's Office (ICO): www.ico.org.uk
In the EU: your national supervisory authority
In Australia: the Office of the Australian Information Commissioner (OAIC): www.oaic.gov.au
In the US: see Section 12 for California-specific rights and contacts

9. Cookies and Tracking

We use cookies and similar technologies to help you stay logged in, understand how our Platforms are used, and show you relevant ads and offers. Some cookies are essential to the operation of our Platforms. For non-essential cookies, we will ask for your consent before placing them. You can manage or withdraw your cookie consent at any time using our cookie settings tool.

10. Data Security

We take steps to protect your data, including encryption and secure storage, access controls and audit logs, staff training, and incident response plans.

Where a personal data breach is likely to result in a risk to your rights and freedoms, we will notify the relevant supervisory authority and, where the risk is high, notify you directly, in accordance with our obligations under applicable data protection law.

No system is 100% secure, but we take these risks seriously. Please contact us immediately if you believe your data may have been compromised.

11. Children's Privacy

Users registering directly on our own Platforms must be at least 16 years old. We do not knowingly collect personal data from users under 16 through our own Platforms, and our Platforms are not directed at children. Where our verification services are embedded within a partner platform that permits users aged 13 and above, we collect and process only the data necessary to confirm eligibility. In these contexts, we do not knowingly collect personal data from children under 13. If you believe a child under 13 has provided us with personal data through a partner platform, please contact us at the details in Section 14 and we will promptly delete it.

If you are under 18, we encourage you to read this policy with a parent or guardian.

12. California Residents

If you are a resident of California, this section applies to you and supplements the rest of this Privacy Notice.

Disclosure of personal information to third parties

We may disclose personal information (which might include your name, email address, mobile number, consumer group and verified status) to brands and partners where you ask us to introduce you to them or otherwise request that we share your information. Under California law, this type of disclosure may constitute a "sale" of personal information where it is made in exchange for monetary or other valuable consideration.

We also disclose personal information to advertising and analytics partners (including through technologies such as the Meta Pixel and Google Ads tags) to support advertising, measurement and marketing activities. Under California law, this may constitute "sharing" of personal information for cross-context behavioral advertising purposes.

Your right to opt out

You have the right to opt out of the sale and sharing of your personal information at any time. To exercise this right, please contact us using the details set out in Section 14 with the subject line "California Opt-Out Request".

Opting out will not affect your ability to use our core Platforms. However, it may limit your ability to participate in certain brand partnerships or membership programs that require us to share your information with participating brands.

Your California privacy rights

As a California resident, you have the following rights, subject to certain conditions and exceptions under applicable law:

Right to know: You may request details of the personal information we have collected about you, including the categories of personal information collected, the sources from which it was collected, the purposes for collecting, using or disclosing it, and the categories of third parties to whom it has been disclosed, sold or shared.
Right to access and data portability: You may request access to the personal information we hold about you and obtain a copy of that information in a portable format where required by law.
Right to delete: You may request that we delete personal information we hold about you, subject to certain legal exceptions.
Right to correct: You may request that we correct inaccurate personal information we hold about you.
Right to opt out of sale and sharing: You may direct us not to sell or share your personal information, as described above.
Right to limit the use and disclosure of sensitive personal information: Where applicable, you may request that we limit our use and disclosure of sensitive personal information to what is necessary to provide our services or otherwise as permitted by law.
Right to non-discrimination: We will not discriminate against you for exercising any of your rights under California privacy law.

Verification of requests

Before responding to your request, we may need to verify your identity or your authority to make the request. We will only use the information provided in connection with your request for verification purposes.

Authorized agents

You may designate an authorized agent to exercise your rights on your behalf. Where permitted by law, we may require the authorized agent to provide evidence of their authority to act for you and may also ask you to verify your identity directly with us.

Responding to your rights requests

We will respond to verified rights requests within 45 days. If we need additional time (up to a further 45 days), we will notify you and explain the reason for the extension. We will not charge you for making a rights request, but may limit or decline requests that are excessive or unfounded. To submit a request, contact us using the details in Section 14.

13. Changes to This Notice

We may update this Privacy Notice occasionally. If the changes are significant, we will provide you with reasonable advance notice by email or on the Platform before they take effect.

14. Contact Us

Our Data Protection Officer is responsible for overseeing our approach to privacy and data protection.

You can contact our DPO directly:

Email: infosec@wearepion.com (subject line: "F.A.O Data Protection Officer")

Mail: Data Protection Officer, The Beans Group Limited, 3rd Floor The Coade, 98 Vauxhall Walk, London SE11 5EL

For general data rights requests (access, deletion, correction, objection, portability, California opt-out), you can also contact us at the same address with the subject line "Privacy Rights Request".

Version française

Politique de confidentialité

Date d'entrée en vigueur : 9 septembre 2026

La présente Politique de confidentialité s'applique si vous utilisez l'une de nos Plateformes, qui peuvent comprendre Student Beans, GradBeans et Beans iD, nos sites web, nos applications mobiles ou tout autre service associé (les « Plateformes »). La présente notice explique quelles données à caractère personnel nous collectons, comment nous les utilisons, avec qui nous les partageons et comment nous les protégeons.

1. Qui nous sommes et ce que nous faisons

Les Plateformes sont exploitées par nous et nos sociétés affiliées. Selon votre localisation, l'une de ces sociétés est le responsable du traitement de vos données à caractère personnel.

Si vous êtes situé au Royaume-Uni ou dans l'UE, The Beans Group Limited est votre responsable du traitement
Si vous êtes situé aux États-Unis, The Beans Group Inc. est votre responsable du traitement
Si vous êtes situé en Australie, Student Beans Pty Ltd est votre responsable du traitement
Pour les utilisateurs situés dans d'autres régions, The Beans Group Limited agit en qualité de responsable du traitement

2. Quelles informations nous collectons

Nous pouvons collecter les catégories de données suivantes :

a. Informations que vous fournissez directement

Nom
Adresse courriel
Numéro de mobile
Mot de passe de la Plateforme
Date de naissance
Genre
Pays
Détails d'école, d'université ou de lieu de travail (pour la vérification de l'éligibilité)
Année prévue d'obtention du diplôme (étudiants uniquement)
Expiration de votre statut vérifié
Tout document ou donnée que vous téléversez pour la vérification (par ex. carte d'étudiant, justificatif d'emploi)
Préférences, retours et demandes d'assistance

b. Informations que nous collectons automatiquement

Heure de création du compte et activité
Activité d'émission de codes
Adresse IP, identifiant d'appareil, type de navigateur
Données de localisation (si autorisées)
Données de journal et statistiques d'utilisation (par ex. pages vues, clics, interactions)
Données de témoins et identifiants publicitaires

c. Informations que nous recevons de tiers

Partenaires de vérification ou établissements d'enseignement : nous pouvons recevoir des informations confirmant votre éligibilité à l'adhésion ou vérifiant votre statut au sein d'un groupe de consommateurs.
Réseaux d'affiliation et partenaires marketing : lorsque vous activez ou utilisez un code et/ou accédez à un lien restreint, nous pouvons recevoir confirmation de la transaction (telle que nom de marque, date/heure, valeur de la transaction).
Marques, lorsque vous utilisez des codes et/ou accédez à un lien restreint : les marques ne partagent pas habituellement de données à caractère personnel avec nous, mais peuvent nous contacter dans des cas limités (par exemple, si elles soupçonnent un usage abusif d'une offre) pour nous aider dans nos enquêtes.
Fournisseurs d'authentification unique : si vous choisissez de vous inscrire ou de vous connecter via un compte tiers (tel que Google ou Apple), nous recevrons certaines informations de ce fournisseur, telles que votre nom et votre adresse courriel, conformément aux autorisations que vous accordez à ce moment-là. Nous ne recevons pas votre mot de passe de ces fournisseurs.

3. Comment nous utilisons vos informations

Nous utilisons vos données à caractère personnel pour :

Vérifier votre éligibilité pour nos Plateformes et pour le compte des marques avec lesquelles nous travaillons
Vérifier votre identité et protéger votre compte, notamment en envoyant des mots de passe à usage unique sur votre numéro de mobile
Vous fournir l'accès aux offres et aux avantages
Personnaliser les contenus, les courriels et les expériences in-app
Prévenir la fraude et le partage non autorisé de codes/réductions
Administrer des sondages, des concours et des campagnes marketing
Analyser l'utilisation des Plateformes et améliorer les fonctionnalités
Respecter les obligations légales et réglementaires
Communiquer avec vous, par exemple pour répondre aux questions que vous nous avez posées ou pour vous contacter avec des mises à jour importantes concernant les Plateformes
Enquêter sur les soupçons d'usage abusif, de fraude ou de partage non autorisé de codes ou d'offres, y compris en examinant l'historique du compte, la documentation soumise et les journaux d'activité, et, le cas échéant, en partageant des informations avec les marques partenaires concernées

Certaines des données à caractère personnel que nous collectons sont nécessaires pour vous fournir les services de vérification. En particulier, la communication de votre numéro de mobile est requise pour recevoir les mots de passe à usage unique, qui font partie intégrante de la vérification de votre identité. La communication de la documentation d'éligibilité peut être requise pour obtenir et maintenir votre statut vérifié. Si vous choisissez de ne pas fournir ces données, nous pourrions être dans l'incapacité de vérifier votre éligibilité ou de vous fournir le service.

Violation des Conditions Membres

Nous surveillons activement les usages abusifs. Si nous estimons que vous avez enfreint les Conditions Membres, notamment par une activité frauduleuse, la communication d'informations fausses, le partage non autorisé de codes ou des tentatives de contourner nos systèmes, nous pouvons suspendre ou désactiver définitivement votre accès aux Plateformes, avec ou sans préavis, et prendre toute mesure supplémentaire appropriée.

Utilisation des numéros de mobile à des fins de sécurité et de vérification

Nous pouvons utiliser votre numéro de mobile pour envoyer des mots de passe à usage unique afin de contribuer à confirmer que vous êtes le titulaire du compte, prévenir la fraude et maintenir la sécurité de nos Plateformes. Les mots de passe à usage unique font partie intégrante du service que nous fournissons et nous pourrions ne pas être en mesure de désactiver cette fonctionnalité sans compromettre notre capacité à vous fournir ce service. Nous vous informerons toujours, au moment où vous fournissez votre numéro de mobile, que celui-ci sera utilisé à cette fin. La fréquence des messages variera en fonction de l'activité de votre compte. Des frais standard de messagerie et de données peuvent s'appliquer. Pour obtenir de l'aide, répondez HELP au numéro depuis lequel vous avez reçu le message, ou contactez-nous à help@studentbeans.com. Pour cesser de recevoir des messages, répondez STOP à tout moment. Veuillez noter que, les messages contenant le mot de passe à usage unique faisant partie intégrante du service de vérification, la désactivation pourrait signifier que nous sommes dans l'incapacité de vous fournir la vérification. Les opérateurs ne sont pas responsables des messages retardés ou non livrés.

Votre acceptation de recevoir des mots de passe à usage unique dans le cadre de notre service ne constitue pas un consentement à recevoir des communications marketing par SMS, ni un consentement à partager votre numéro de mobile avec une marque partenaire.

Surveillance de la sécurité du compte

Nous pouvons utiliser des outils de sécurité pour surveiller les indicateurs suggérant que les identifiants de compte d'un utilisateur ont pu être exposés ou compromis. Lorsque nos systèmes détectent que les identifiants associés à votre compte peuvent être à risque, nous pouvons prendre des mesures de protection, notamment vous inviter à modifier votre mot de passe, envoyer une notification de sécurité ou restreindre temporairement l'accès à votre compte, afin de vous protéger et de préserver l'intégrité de nos services.

Utilisation d'outils automatisés et d'IA dans la vérification

Nous pouvons utiliser des outils automatisés, dont l'IA, pour aider à évaluer si les utilisateurs sont éligibles aux offres réservées aux groupes fermés de consommateurs, sur la base des informations et de la documentation qu'ils fournissent. Cela inclut des contrôles conçus pour détecter les soumissions frauduleuses, invalides ou générées par l'IA. Ce traitement soutient notre intérêt légitime à maintenir la sécurité et l'intégrité de nos services et à garantir que les offres ne sont mises à disposition qu'auprès des utilisateurs éligibles.

Nous ne prenons pas de décisions finales reposant uniquement sur un traitement automatisé. Lorsqu'un outil automatisé signale un problème potentiel, un membre formé de notre équipe examinera toujours le cas et évaluera le résultat avant toute action, y compris toute décision de suspendre ou de restreindre votre compte.

À l'avenir, nous pourrons également utiliser des outils de vérification basés sur l'image pour aider à identifier les documents d'identité falsifiés ou inauthentiques. Ces outils peuvent impliquer le traitement d'images du visage et d'autres caractéristiques qui pourraient constituer des données biométriques au regard de la législation sur la protection des données. Nous traiterons de tels traitements conformément à la législation applicable sur la protection des données.

4. Marketing et programmes d'adhésion

La présente section concerne uniquement les communications marketing et promotionnelles. Elle ne s'applique pas aux mots de passe à usage unique ni aux messages de sécurité du compte, qui sont décrits à la Section 3 et dont vous ne pouvez pas vous désinscrire tant que vous détenez un compte vérifié auprès de nous.

Comment nous vous contactons au sujet des produits et services

Nous pouvons vous envoyer des courriels marketing concernant nos produits, services et offres. Nous vous donnerons toujours une possibilité claire de vous désabonner de ces courriels lors de votre première inscription.

Chaque courriel marketing que nous envoyons inclura un lien de désabonnement, et vous pouvez également vous désabonner à tout moment en mettant à jour vos préférences dans les paramètres de votre compte ou en nous contactant à help@studentbeans.com.

Pour les utilisateurs au Royaume-Uni, nous pouvons envoyer des courriels marketing concernant nos propres produits et services similaires sur la base de notre relation commerciale légitime avec vous (connue sous le nom de « soft opt-in » (dérogation pour les clients existants) en vertu du UK PECR), lorsque : (a) vous avez fourni votre adresse courriel lors de votre inscription ou de votre utilisation de nos Plateformes ; (b) le marketing porte sur des produits et services similaires à ceux pour lesquels vous vous êtes inscrit ; et (c) vous avez eu une possibilité claire et simple de vous désabonner au moment où vous avez fourni votre adresse courriel et dans chaque message marketing ultérieur.

Lorsque nous demandons votre consentement

Dans certaines circonstances, notamment le marketing par SMS et WhatsApp, nous vous demanderons votre consentement spécifique avant de vous contacter. Lorsque nous nous fondons sur le consentement, vous pouvez le retirer à tout moment sans affecter la licéité de tout marketing envoyé avant le retrait.

Lorsque vous retirez votre consentement ou vous désinscrivez du marketing : nous cesserons d'envoyer des communications marketing. Nous conserverons un registre de suppression minimal pour garantir que nous ne vous recontactions pas (voir la Section 7 pour plus de détails) ; cela n'affectera pas les communications de service ni les messages de mot de passe à usage unique liés à votre compte.

Lorsque nous utilisons des SMS ou d'autres canaux de messagerie mobile à des fins de marketing, nous vous demanderons toujours votre consentement spécifique au préalable. Nous n'utiliserons jamais votre numéro de mobile pour le marketing par SMS sans votre consentement exprès préalable, et votre consentement à recevoir des mots de passe à usage unique ne s'étend pas aux communications marketing.

Nous ne vendons, ne partageons, ne transférons ni ne divulguons d'aucune autre manière à un tiers aucun numéro de mobile collecté aux fins de l'envoi de mots de passe à usage unique.

Partage de données avec les marques partenaires

Avec votre consentement, nous pouvons partager vos données à caractère personnel (telles que votre nom, votre adresse courriel, votre statut vérifié, votre groupe de consommateurs, votre pays et votre date d'expiration de vérification) avec des marques partenaires sélectionnées afin qu'elles puissent vous contacter directement au sujet de leurs produits et services. Nous vous demanderons votre consentement spécifique au moment de votre interaction avec cette marque, par exemple lorsque vous activez une offre ou accédez au programme d'adhésion d'une marque. Vous pouvez retirer votre consentement et demander la suppression de vos données auprès d'une marque en la contactant directement. Les marques avec lesquelles nous partageons vos données de cette manière deviennent des responsables du traitement indépendants de ces données ; veuillez vous référer à leurs propres politiques de confidentialité pour comprendre comment elles les utilisent.

Programmes d'adhésion

Certaines marques proposent des programmes de fidélité ou d'adhésion exclusivement réservés à certains groupes de consommateurs. Pour y accéder, nous pouvons vous demander l'autorisation de partager des informations tokenisées limitées confirmant votre éligibilité, en particulier votre identifiant de consommateur, votre groupe de consommateurs et votre statut vérifié, ainsi que la date d'expiration de la vérification. Il s'agit uniquement d'informations confirmant l'éligibilité ; nous ne partageons pas vos données personnelles complètes dans ce contexte. Si vous choisissez de ne pas partager ces informations, vous pourriez ne pas être en mesure d'accéder au programme concerné.

5. Partage de vos données

Nous pouvons partager vos données à caractère personnel avec des tiers de confiance lorsque cela est nécessaire pour exploiter nos services ou respecter des obligations légales.

Cela inclut :

Les marques et partenaires d'affiliation (pour valider l'éligibilité ou enquêter sur les usages abusifs) ;
Les fournisseurs de publicité et d'analyse (pour améliorer votre expérience) ;
Les prestataires de services techniques (plateformes de courriel, fournisseurs d'hébergement, outils de détection de fraude) ;
Les prestataires de livraison SMS et de vérification d'identité (ces prestataires traitent votre numéro de mobile aux fins de l'envoi de mots de passe à usage unique et pour la surveillance de sécurité et anti-spam associée, conformément à leurs propres politiques d'utilisation acceptable ; il leur est interdit d'utiliser vos données à des fins de marketing propres) ; et
Les autorités légales, réglementaires ou de répression (lorsque la loi l'exige).

Pour les utilisateurs au Royaume-Uni et dans l'UE : certains de nos prestataires de services et partenaires peuvent être situés en dehors du Royaume-Uni ou de l'UE. Lorsque nous transférons vos données à caractère personnel à l'international, nous veillons à ce qu'elles restent protégées par des garanties appropriées, qui peuvent inclure des transferts vers des pays ayant fait l'objet d'une décision d'adéquation du Royaume-Uni, l'utilisation de l'UK International Data Transfer Agreement ou des clauses contractuelles types, ou d'autres mécanismes de transfert licites approuvés par l'ICO. Le cas échéant, nous effectuons des analyses d'impact relatives au transfert de données pour nous assurer que vos données seront adéquatement protégées dans le pays de destination.

Nous ne partageons que ce qui est nécessaire, et jamais plus que ce qui est requis pour fournir le service ou respecter la loi.

6. Base juridique du traitement

Nous nous appuyons sur les fondements juridiques suivants pour traiter vos données :

Exécution d'un contrat : pour fournir et sécuriser nos services au titre de nos Conditions Membres, y compris pour l'authentification du compte et la livraison de mots de passe à usage unique.
Intérêts légitimes : pour exploiter, améliorer et sécuriser nos services.
Consentement : pour l'envoi de communications marketing et le partage de données avec les marques partenaires.
Obligation légale : lorsque la loi l'exige.

Nous nous appuyons sur les intérêts légitimes pour les activités suivantes :

Prévenir la fraude, les abus et l'utilisation non autorisée de nos Plateformes et des offres que nous fournissons ;
Utiliser des outils automatisés (y compris l'IA) pour vérifier l'éligibilité et détecter les soumissions frauduleuses ;
Analyser la manière dont nos Plateformes sont utilisées, afin d'améliorer les fonctionnalités et l'expérience utilisateur ;
Partager des informations avec les marques partenaires lorsqu'un usage abusif d'un code ou d'une offre est suspecté ; et
Conserver des données anonymisées pour améliorer et entraîner nos outils de détection de fraude.

7. Combien de temps nous conservons vos données

Nous ne conservons vos données à caractère personnel que le temps nécessaire aux finalités pour lesquelles elles ont été collectées, ou selon les exigences légales. Ce qui suit présente nos durées de conservation standard par catégorie de données.

Comment fonctionne le statut d'étudiant et de jeune diplômé

Lorsque vous vous inscrivez auprès de nous en tant qu'étudiant et que vous ne revérifiez pas votre statut d'étudiant, nous vous traiterons comme un jeune diplômé à partir du moment où votre vérification d'étudiant expire. Cela reflète notre hypothèse raisonnable selon laquelle vous avez terminé vos études. La durée de conservation de cinq ans pour les jeunes diplômés reflète la fenêtre de transition internationalement reconnue suite à l'achèvement de l'enseignement supérieur.

Données du compte et du profil

Catégorie de données	Durée de conservation	Base juridique
Membre étudiant	6 ans à compter de la date de la dernière vérification en tant qu'étudiant, correspondant à 1 an de vérification active en tant qu'étudiant plus une fenêtre de transition de 5 ans en tant que jeune diplômé.	Exécution d'un contrat ; intérêts légitimes (prévention de la fraude et transition vers le jeune diplômé).
Membre jeune diplômé	6 ans à compter de la date de la dernière vérification.	Intérêts légitimes (prévention de la fraude et enquêtes après expiration).
Autres membres vérifiés	2 ans à compter de la date de vérification, correspondant à 1 an de vérification active plus 1 an après expiration.	Intérêts légitimes (prévention de la fraude et enquêtes après expiration).
Inscription incomplète (inscrit mais vérification non achevée)	1 an à compter de la date d'inscription.	Intérêts légitimes (vous permettre de compléter votre inscription et prévenir la création frauduleuse ou incomplète de comptes).

Données de vérification

Catégorie de données	Durée de conservation	Base juridique
Documents de vérification	Supprimés de nos systèmes rapidement après le résultat de la vérification et non conservés ensuite, sous réserve de toute obligation de conservation légale applicable. Nous ne conservons que le résultat de la vérification : si votre statut a été confirmé et quand il expire.	Exécution d'un contrat ; intérêts légitimes (prévention de la fraude).

Données de communications et de messagerie

Catégorie de données	Durée de conservation	Base juridique
Numéro de mobile (mots de passe à usage unique et usage de sécurité)	Conservé pendant la durée de votre compte (actif ou inactif), puis supprimé à la clôture du compte conformément aux durées indiquées ci-dessus pour les données du compte et du profil.	Exécution d'un contrat : partie intégrante de la fourniture du service.
Registres marketing (y compris contenu, date d'envoi et données d'engagement)	6 ans à compter de la date de votre dernière vérification active ou de votre dernier engagement marketing, selon la plus récente, après quoi vous serez retiré de nos listes marketing actives. Cela reflète un cycle standard à des fins d'analyse marketing.	Intérêts légitimes (respect de la réglementation marketing, respect des désinscriptions et enquête sur les réclamations).
Préférences marketing et registres de consentement (y compris les registres d'adhésion au courriel, au SMS ou au partage de données avec les marques partenaires, et toute désinscription ou tout retrait ultérieur)	Durée du compte actif plus 6 ans suivant la clôture du compte. Les registres de consentement peuvent être conservés plus longtemps que les données principales du compte lorsque cela est nécessaire pour démontrer la conformité à nos obligations légales.	Obligation légale : preuve du consentement et de la base juridique pour les communications marketing envoyées.
Registres de suppression (registre de désabonnement des communications marketing)	Conservés indéfiniment après le désabonnement, pour garantir que nous ne vous recontactions pas même après la clôture du compte. Un registre de suppression comprend uniquement les informations minimales nécessaires pour identifier votre désabonnement (telles que votre adresse courriel ou numéro de mobile) et le fait et la date de votre demande.	Obligation légale (PECR pour le courriel et le SMS) ; intérêts légitimes (tous les autres canaux).

Données d'assistance

Catégorie de données	Durée de conservation	Base juridique
Données des tickets d'assistance et données à caractère personnel associées	6 ans à compter de la date de résolution de la question concernée, sauf en cas d'obligation de conservation légale ou de lien avec une enquête de fraude en cours.	Intérêts légitimes (résolution des litiges).

Données de sécurité, de fraude et données légales

Catégorie de données	Durée de conservation	Base juridique
Signalements de fraude, registres d'enquête et journaux de suspension	6 ans à compter de la date de l'événement concerné.	Intérêts légitimes (prévention de la fraude et actions juridiques éventuelles).

Données d'analyse et de système

Catégorie de données	Durée de conservation	Base juridique
Analyses anonymisées	Conservées indéfiniment. Ces données ont été anonymisées par un processus irréversible et ne constituent plus des données à caractère personnel ; elles ne peuvent pas être utilisées, seules ou en combinaison avec d'autres données, pour vous identifier.	N/A

Conservation après clôture

Suite à la clôture de votre compte, qu'elle soit volontaire, à la suite d'un examen d'inactivité, ou à notre demande, nous conservons certaines catégories de données pour les durées indiquées ci-dessus. Cela nous permet de traiter les demandes, les litiges ou les réclamations légales survenant après la clôture, et de respecter nos obligations légales et réglementaires.

Puis-je demander la suppression de mes données à caractère personnel ?

Oui. Vous pouvez demander la suppression de vos données à caractère personnel à tout moment en nous contactant aux coordonnées indiquées à la Section 14. Nous traiterons les demandes valables rapidement, sous réserve de tout fondement légal ou légitime de conserver certaines données, y compris toute obligation de conservation légale applicable. Nous visons à compléter la suppression dans un délai d'un mois civil à compter de la validation de votre demande, conformément à nos obligations au titre de la législation applicable sur la protection des données. Dans les cas complexes, nous pouvons prolonger ce délai, auquel cas nous vous informerons et vous expliquerons le motif de la prolongation.

8. Vos droits

Vous avez le droit de :

Accéder aux données à caractère personnel que nous détenons à votre sujet ;
Corriger les données inexactes ou obsolètes ;
Supprimer vos données (sauf si nous avons un motif légal ou légitime valable de les conserver) ;
Vous opposer à ou restreindre la manière dont vos données sont utilisées ;
Retirer votre consentement lorsque celui-ci était la base du traitement ;
Demander une copie de vos données dans un format portable (portabilité des données) ; et
Lorsque nous utilisons des outils automatisés pour prendre des décisions qui vous affectent, demander un examen humain de cette décision, contester le résultat et recevoir une explication de la manière dont la décision a été prise.

Pour exercer l'un de ces droits, contactez-nous aux coordonnées indiquées à la Section 14. Nous pourrions avoir besoin de confirmer votre identité avant de répondre. Nous visons à répondre intégralement dans un délai d'un mois civil.

Vous avez également le droit de déposer une plainte auprès de votre autorité nationale de protection des données :

Au Royaume-Uni : l'Information Commissioner's Office (ICO) : www.ico.org.uk
Dans l'UE : votre autorité de contrôle nationale
En Australie : l'Office of the Australian Information Commissioner (OAIC) : www.oaic.gov.au
Aux États-Unis : voir la Section 12 pour les droits et contacts spécifiques à la Californie

9. Témoins et suivi

Nous utilisons des témoins et des technologies similaires pour vous aider à rester connecté, comprendre comment nos Plateformes sont utilisées et vous montrer des publicités et des offres pertinentes. Certains témoins sont essentiels au fonctionnement de nos Plateformes. Pour les témoins non essentiels, nous vous demanderons votre consentement avant de les installer. Vous pouvez gérer ou retirer votre consentement aux témoins à tout moment via notre outil de gestion des témoins.

10. Sécurité des données

Nous prenons des mesures pour protéger vos données, notamment le chiffrement et le stockage sécurisé, les contrôles d'accès et les journaux d'audit, la formation du personnel et les plans de réponse aux incidents.

Lorsqu'une violation de données à caractère personnel est susceptible d'entraîner un risque pour vos droits et libertés, nous notifierons l'autorité de contrôle pertinente et, lorsque le risque est élevé, vous notifierons directement, conformément à nos obligations au titre de la législation applicable sur la protection des données.

Aucun système n'est sûr à 100 %, mais nous prenons ces risques au sérieux. Veuillez nous contacter immédiatement si vous pensez que vos données ont pu être compromises.

11. Confidentialité des enfants

Les utilisateurs s'inscrivant directement sur nos propres Plateformes doivent avoir au moins 16 ans. Nous ne collectons pas sciemment de données à caractère personnel auprès d'utilisateurs de moins de 16 ans via nos propres Plateformes, et nos Plateformes ne sont pas destinées aux enfants. Lorsque nos services de vérification sont intégrés au sein d'une plateforme partenaire qui autorise les utilisateurs de 13 ans et plus, nous collectons et traitons uniquement les données nécessaires pour confirmer l'éligibilité. Dans ces contextes, nous ne collectons pas sciemment de données à caractère personnel auprès d'enfants de moins de 13 ans. Si vous pensez qu'un enfant de moins de 13 ans nous a fourni des données à caractère personnel via une plateforme partenaire, veuillez nous contacter aux coordonnées indiquées à la Section 14 et nous les supprimerons rapidement.

Si vous avez moins de 18 ans, nous vous invitons à lire la présente politique avec un parent ou un tuteur.

12. Résidents de Californie

Si vous êtes résident de Californie, la présente section s'applique à vous et complète le reste de la présente Politique de confidentialité.

Divulgation d'informations personnelles à des tiers

Nous pouvons divulguer des informations personnelles (qui peuvent comprendre votre nom, votre adresse courriel, votre numéro de mobile, votre groupe de consommateurs et votre statut vérifié) à des marques et partenaires lorsque vous nous demandez de vous présenter à eux ou demandez autrement que nous partagions vos informations. Au regard de la loi californienne, ce type de divulgation peut constituer une « vente » d'informations personnelles lorsqu'elle est effectuée en contrepartie d'une considération monétaire ou autre de valeur.

Nous divulguons également des informations personnelles à des partenaires publicitaires et d'analyse (y compris via des technologies telles que le Meta Pixel et les balises Google Ads) pour soutenir les activités publicitaires, de mesure et de marketing. Au regard de la loi californienne, cela peut constituer un « partage » d'informations personnelles à des fins de publicité comportementale cross-context.

Votre droit de vous désinscrire

Vous avez le droit de vous désinscrire à tout moment de la vente et du partage de vos informations personnelles. Pour exercer ce droit, veuillez nous contacter aux coordonnées indiquées à la Section 14 avec l'objet « California Opt-Out Request ».

La désinscription n'affectera pas votre capacité à utiliser nos Plateformes principales. Toutefois, elle peut limiter votre capacité à participer à certains partenariats de marques ou programmes d'adhésion qui nécessitent que nous partagions vos informations avec les marques participantes.

Vos droits en matière de confidentialité en Californie

En tant que résident de Californie, vous disposez des droits suivants, sous réserve de certaines conditions et exceptions au titre de la loi applicable :

Droit de savoir : vous pouvez demander des détails sur les informations personnelles que nous avons collectées à votre sujet, y compris les catégories d'informations personnelles collectées, les sources à partir desquelles elles ont été collectées, les finalités de la collecte, de l'utilisation ou de la divulgation, et les catégories de tiers auxquels elles ont été divulguées, vendues ou partagées.
Droit d'accès et à la portabilité des données : vous pouvez demander l'accès aux informations personnelles que nous détenons à votre sujet et obtenir une copie de ces informations dans un format portable lorsque la loi l'exige.
Droit à la suppression : vous pouvez demander que nous supprimions les informations personnelles que nous détenons à votre sujet, sous réserve de certaines exceptions légales.
Droit de rectification : vous pouvez demander que nous corrigions les informations personnelles inexactes que nous détenons à votre sujet.
Droit de se désinscrire de la vente et du partage : vous pouvez nous demander de ne pas vendre ni partager vos informations personnelles, comme décrit ci-dessus.
Droit de limiter l'utilisation et la divulgation des informations personnelles sensibles : le cas échéant, vous pouvez demander que nous limitions notre utilisation et notre divulgation des informations personnelles sensibles à ce qui est nécessaire pour fournir nos services ou autrement selon ce que la loi permet.
Droit à la non-discrimination : nous ne vous discriminerons pas pour avoir exercé l'un de vos droits au titre de la loi californienne sur la confidentialité.

Vérification des demandes

Avant de répondre à votre demande, nous pouvons avoir besoin de vérifier votre identité ou votre autorité à formuler la demande. Nous utiliserons uniquement les informations fournies dans le cadre de votre demande à des fins de vérification.

Agents autorisés

Vous pouvez désigner un agent autorisé pour exercer vos droits en votre nom. Lorsque la loi le permet, nous pouvons exiger de l'agent autorisé qu'il fournisse une preuve de son autorité à agir pour vous et pouvons également vous demander de vérifier directement votre identité auprès de nous.

Réponse à vos demandes relatives aux droits

Nous répondrons aux demandes vérifiées relatives aux droits dans un délai de 45 jours. Si nous avons besoin de temps supplémentaire (jusqu'à 45 jours supplémentaires), nous vous informerons et vous expliquerons le motif de la prolongation. Nous ne vous facturerons pas pour la soumission d'une demande relative aux droits, mais pourrions limiter ou refuser les demandes excessives ou infondées. Pour soumettre une demande, contactez-nous aux coordonnées indiquées à la Section 14.

13. Modifications de la présente notice

Nous pouvons mettre à jour occasionnellement la présente Politique de confidentialité. Si les modifications sont significatives, nous vous fournirons un préavis raisonnable par courriel ou sur la Plateforme avant qu'elles ne prennent effet.

14. Nous contacter

Notre délégué à la protection des données (DPD) est responsable de superviser notre approche en matière de confidentialité et de protection des données.

Vous pouvez contacter directement notre DPD :

Courriel : infosec@wearepion.com (objet : « F.A.O Data Protection Officer »)

Courrier : Data Protection Officer, The Beans Group Limited, 3rd Floor The Coade, 98 Vauxhall Walk, London SE11 5EL

Pour les demandes générales relatives aux droits sur les données (accès, suppression, correction, opposition, portabilité, désinscription Californie), vous pouvez également nous contacter à la même adresse avec l'objet « Privacy Rights Request ».