Politique de confidentialité
Dernière mise à jour : 23 septembre 2026
Last updated: 23 September 2026
Cette politique décrit, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés, quelles données StudentTrack traite, où elles sont enregistrées, qui les reçoit et combien de temps elles sont gardées. Elle décrit le fonctionnement réel de l'application, de son extension Chrome et de son connecteur pour les IA.
1. Responsable de traitement et contact
Le responsable du traitement est l'éditeur du site, dont l'identité figure dans les mentions légales. Pour toute question sur tes données ou pour exercer tes droits : contact@studenttrack.app.
2. Données traitées
2.1 Compte et profil
- Connexion : adresse email et mot de passe (géré et chiffré par Firebase Authentication, jamais vu par StudentTrack), ou connexion Google, Apple ou Microsoft.
- Profil public (visible des autres étudiants connectés, pour la messagerie) : prénom, nom, photo (réduite à 256 px), université, année d'études, ainsi que ce qu'il faut au chat : présence (en ligne, dernière connexion), liste d'amis, demandes d'ami, groupes. Ce profil ne peut pas être listé : un autre compte ne le lit que s'il connaît déjà ton identifiant (ami, groupe).
- Profil privé (toi seul) : adresse email, liens iCal de ton calendrier Moodle et de ton emploi du temps. Ces liens contiennent un jeton personnel ; pour afficher ton agenda, ils sont transmis à nos fonctions serveur, qui téléchargent le calendrier pour toi sans l'enregistrer.
- Une empreinte (hachage SHA-256) de ton adresse email, pour qu'un ami puisse te retrouver par email sans que les adresses soient exposées.
2.2 Données scolaires enregistrées sur ton appareil
Devoirs et échéances (flux iCal, extension, tâches ajoutées à la main), emploi du temps, notes, réglages du simulateur, tâches cochées, points d'expérience, fichiers ajoutés dans « Mes ressources », préférences : ces données sont d'abord enregistrées dans le stockage de ton navigateur (voir la politique cookies et stockage local).
2.3 Données synchronisées dans ton espace privé
Pour que tu les retrouves sur tes autres appareils, et pour que l'IA que tu as connectée puisse les lire, une copie est enregistrée dans ton espace privé Firestore (lisible par toi seul et par nos fonctions serveur) : notes, échéances et tâches, profil de révision (niveau, format préféré, précisions), mémoire de révision, bilans de séance, tâches ajoutées par ton IA et ressources légères (texte extrait des ressources que tu as ajoutées, limité en taille).
2.4 Texte de tes cours (extension)
Le texte extrait des cours scannés par l'extension n'est copié sur le serveur StudentTrack que si tu as connecté une IA (connexion OAuth ou lien secret, page « Révise avec ton IA »), pour qu'elle puisse le lire. Cette copie est effacée quand tu déconnectes ta dernière IA. Sans IA connectée, le texte de tes cours reste dans ton navigateur.
2.5 Messagerie
Les messages échangés avec tes amis et dans les groupes sont enregistrés dans Firestore, lisibles par les participants de la conversation seulement. Ils ne sont pas chiffrés de bout en bout : ne t'en sers pas pour des informations sensibles.
2.6 Données techniques
- Erreurs de l'application : en cas d'erreur JavaScript, nom et message de l'erreur, pile d'appels, page (adresse sans paramètres ni fragment), navigateur (user-agent) et version de l'app. Aucun identifiant de compte ni adresse IP n'y est associé.
- Limitation des abus : l'adresse IP et l'identifiant de compte servent, en mémoire et pendant une minute, à limiter le nombre de requêtes par personne ; ils ne sont pas enregistrés en base.
- Journaux de l'hébergeur : Vercel conserve, pour une durée limitée fixée par sa propre politique, des journaux techniques des requêtes (adresse IP, adresse demandée, date).
StudentTrack n'utilise aucun outil de mesure d'audience, de publicité ni de pistage.
3. Finalités et bases légales
| Finalité | Données | Base légale |
|---|---|---|
| Créer et gérer ton compte | Compte, profil | Exécution du contrat (art. 6.1.b RGPD) |
| Afficher ton agenda, tes tâches, tes notes, sur tous tes appareils | Données scolaires, liens iCal | Exécution du contrat |
| Permettre à l'IA que tu as connectée de lire tes cours et tes échéances, et d'y ajouter bilans et tâches | Texte des cours, espace privé | Exécution du contrat, à ta demande (connexion d'une IA) |
| Messagerie entre étudiants | Profil public, messages | Exécution du contrat |
| Corriger les erreurs, protéger le service contre les abus | Données techniques | Intérêt légitime (art. 6.1.f) |
| Répondre à tes messages | Email, contenu du message | Intérêt légitime |
4. Destinataires et sous-traitants
Tes données ne sont ni vendues ni louées, et ne servent à aucune publicité. Elles sont traitées par l'éditeur et par les sous-traitants techniques suivants :
- Google (Firebase) — authentification (Firebase Authentication, qui traite les données exclusivement aux États-Unis) et base de données Cloud Firestore (projet « moodletrack »). Google LLC (États-Unis) et Google Cloud EMEA Limited (Irlande). Transferts hors de l'UE encadrés par le Data Privacy Framework UE–États-Unis et les clauses contractuelles types.
- Vercel Inc. (États-Unis) — hébergement du site et exécution des fonctions serveur (agenda, synchronisation, connecteur IA). Transferts encadrés par le Data Privacy Framework et les clauses contractuelles types.
Les IA que tu choisis (ChatGPT, Claude, Gemini, Le Chat, Copilot, Perplexity…) ne sont pas des sous-traitants de StudentTrack : elles reçoivent tes données uniquement à ta demande (voir section 5), et les traitent selon leurs propres conditions et politique de confidentialité, dans ton propre compte. StudentTrack n'appelle lui-même aucune API d'IA et n'a plus d'assistant intégré.
Les pages chargent aussi des ressources de tiers (polices, icônes, bibliothèques, avatars générés, image de fond) : la liste et ce qu'ils reçoivent sont détaillés dans la politique cookies et stockage local.
5. Ton IA : ce qui lui est envoyé, et quand
- Pack de révision copié : tu copies toi-même un texte (tes échéances, notes utiles, extraits de cours) et tu le colles dans l'IA de ton choix.
- Pont IA de l'extension : sur ton clic, l'extension ouvre l'IA que tu as choisie (ChatGPT, Gemini…) dans un onglet et y envoie ce pack ; à la fin de la séance, elle peut rapporter le bilan de séance dans StudentTrack, et répondre aux recherches de l'IA dans tes cours avec des passages de ceux-ci.
- Connecteur (MCP) : si tu connectes une IA (connexion OAuth depuis l'IA, ou lien secret créé dans la page « Révise avec ton IA »), elle interroge nos fonctions serveur pour lire tes cours, tes échéances, tes notes et tes bilans, et peut enregistrer un bilan de séance ou ajouter une tâche dans ton espace. Tu vois tes connexions et tu peux les révoquer à tout moment dans cette même page.
- Google Drive (facultatif) : si tu l'actives, StudentTrack dépose un fichier de révision
(et, si tu le demandes, tes documents) dans ton Google Drive, directement depuis ton
navigateur. L'autorisation demandée (
drive.file) ne donne accès qu'aux fichiers créés par StudentTrack, pas au reste de ton Drive.
6. Extension Chrome « StudentTrack Resources »
- Elle lit tes pages de cours Moodle ou Canvas après ton autorisation explicite, demandée pour ce seul site, en utilisant ta session déjà ouverte : aucun identifiant ni mot de passe n'est collecté.
- Les documents, devoirs et notes trouvés sont enregistrés dans le stockage de l'extension et de ton navigateur, puis remis à l'application StudentTrack ouverte dans ce même navigateur.
- Le texte des cours n'est copié sur le serveur StudentTrack que si une IA est connectée (section 2.4) ; devoirs et notes suivent la synchronisation de la section 2.3.
- Après ton premier scan, l'extension rafraîchit ce même site toutes les 6 heures ; tu peux couper cette mise à jour automatique dans son popup. Le bouton « Effacer les données de l'extension » des Paramètres de l'application efface les documents qu'elle a remis ; désinstaller l'extension supprime ce qu'elle a enregistré de son côté.
7. Durées de conservation
- Compte, profil, espace privé, messages : jusqu'à la suppression de ton compte (ou de l'élément concerné).
- Texte des cours copié pour l'IA : tant qu'une IA est connectée ; effacé à la déconnexion de la dernière.
- Connexion d'une IA (OAuth) : codes d'autorisation valables 10 minutes et à usage unique ; jetons d'accès valables 2 heures ; jetons de rafraîchissement valables 90 jours (renouvelés à chaque usage). Seules leurs empreintes sont enregistrées ; ils sont révoqués dès que tu déconnectes l'IA.
- Lien secret : valable jusqu'à ce que tu le révoques ou le régénères.
- Erreurs de l'application : 90 jours après leur dernière occurrence.
- Stockage de ton navigateur : jusqu'à ta déconnexion (« Quitter » efface les données de ton compte sur l'appareil), la suppression du compte ou l'effacement des données du site.
8. Tes droits et la suppression de ton compte
Tu disposes d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de tes données après ton décès.
- Rectifier : modifie ton profil depuis l'application (modal « Profil »).
- Exporter : le panneau Paramètres propose un export de tes données locales au format JSON.
- Supprimer ton compte : bouton « Supprimer mon compte » dans le modal « Profil ». Après confirmation et vérification de ton identité, il efface ton profil, ton espace privé, tes ressources synchronisées, tes amitiés, les groupes que tu as créés (et te retire des autres), puis ton identifiant de connexion. Déconnecte d'abord tes IA dans la page « Révise avec ton IA » : c'est ce qui révoque leurs accès et efface la copie de tes cours sur le serveur. Les messages que tu as envoyés restent visibles de leurs destinataires.
- Pour toute autre demande, ou si une donnée subsiste : écris à contact@studenttrack.app. Réponse sous un mois au plus.
En cas de désaccord, tu peux introduire une réclamation auprès de la CNIL.
9. Sécurité
- Connexions chiffrées (HTTPS/TLS) et en-têtes de sécurité stricts (politique de sécurité du contenu, protection contre l'intégration dans un autre site).
- Règles d'accès Firestore : le profil public ne contient que prénom, nom, photo, université, année et les informations du chat ; ton email, tes liens iCal, tes notes et tout ton espace privé ne sont lisibles que par toi. Un autre compte ne peut ni lister les profils ni lire les messages d'une conversation à laquelle il ne participe pas.
- Mots de passe gérés par Firebase Authentication ; jetons d'accès des IA enregistrés sous forme d'empreintes seulement ; page d'autorisation qui affiche l'adresse de retour de l'IA.
- Nos fonctions serveur ne téléchargent que des adresses publiques en HTTPS (protection contre les requêtes vers le réseau interne).
10. Mineurs
Le service est destiné aux étudiants de l'enseignement supérieur. Une personne de moins de 15 ans doit obtenir l'accord de son représentant légal avant de s'inscrire.
11. Modifications
Cette politique peut évoluer avec l'application. La date de dernière mise à jour figure en haut de page ; en cas de changement important, tu en seras informé(e) dans l'application.
In accordance with Regulation (EU) 2016/679 (GDPR) and the French Data Protection Act (loi Informatique et Libertés), this policy describes what data StudentTrack processes, where it is stored, who receives it and how long it is kept. It describes how the app, its Chrome extension and its connector for AIs actually work.
1. Data controller and contact
The data controller is the publisher of the site, whose identity is given in the legal notice. For any questions about your data, or to exercise your rights: contact@studenttrack.app.
2. Data processed
2.1 Account and profile
- Sign-in: email address and password (managed and encrypted by Firebase Authentication, never seen by StudentTrack), or sign-in with Google, Apple or Microsoft.
- Public profile (visible to other signed-in students, for messaging): first name, last name, photo (reduced to 256 px), university, year of study, as well as what the chat needs: presence (online, last seen), friends list, friend requests, groups. This profile cannot be listed: another account can read it only if it already knows your user ID (friend, group).
- Private profile (you only): email address, iCal links to your Moodle calendar and your timetable. These links contain a personal token; to display your schedule, they are sent to our server functions, which download the calendar for you without storing it.
- A SHA-256 hash of your email address, so that a friend can find you by email without addresses being exposed.
2.2 Academic data stored on your device
Assignments and deadlines (iCal feeds, extension, tasks added manually), timetable, grades, simulator settings, ticked-off tasks, experience points, files added to “My resources”, preferences: this data is first stored in your browser’s storage (see the cookie and local storage policy).
2.3 Data synchronised to your private space
So that you can find it on your other devices, and so that the AI you have connected can read it, a copy is stored in your private Firestore space (readable only by you and by our server functions): grades, deadlines and tasks, study profile (level, preferred format, additional notes), study memory, session recaps, tasks added by your AI and lightweight resources (text extracted from the resources you have added, limited in size).
2.4 Your course text (extension)
Text extracted from the courses scanned by the extension is copied to the StudentTrack server only if you have connected an AI (OAuth connection or secret link, “Study with YOUR AI” page), so that the AI can read it. This copy is deleted when you disconnect your last AI. Without a connected AI, your course text stays in your browser.
2.5 Messaging
Messages exchanged with your friends and in groups are stored in Firestore and can be read only by the participants in the conversation. They are not end-to-end encrypted: do not use them for sensitive information.
2.6 Technical data
- Application errors: in the event of a JavaScript error, the error’s name and message, the call stack, the page (address without parameters or fragment), the browser (user agent) and the app version. No account identifier or IP address is associated with them.
- Abuse prevention: the IP address and the account identifier are used, in memory and for one minute, to limit the number of requests per person; they are not saved in the database.
- Host logs: Vercel keeps technical logs of requests (IP address, requested address, date) for a limited period set by its own policy.
StudentTrack does not use any audience measurement, advertising or tracking tools.
3. Purposes and legal bases
| Purpose | Data | Legal basis |
|---|---|---|
| Creating and managing your account | Account, profile | Performance of the contract (Art. 6(1)(b) GDPR) |
| Displaying your schedule, tasks and grades on all your devices | Academic data, iCal links | Performance of the contract |
| Allowing the AI you have connected to read your courses and deadlines, and to add session recaps and tasks to your space | Course text, private space | Performance of the contract, at your request (connecting an AI) |
| Messaging between students | Public profile, messages | Performance of the contract |
| Fixing errors, protecting the service against abuse | Technical data | Legitimate interest (Art. 6(1)(f)) |
| Replying to your messages | Email, message content | Legitimate interest |
4. Recipients and processors
Your data is neither sold nor rented out, and is not used for any advertising. It is processed by the publisher and by the following technical processors:
- Google (Firebase) — authentication (Firebase Authentication, which processes data exclusively in the United States) and the Cloud Firestore database (“moodletrack” project). Google LLC (United States) and Google Cloud EMEA Limited (Ireland). Transfers outside the EU are governed by the EU–US Data Privacy Framework and the standard contractual clauses.
- Vercel Inc. (United States) — hosting of the site and execution of the server functions (schedule, synchronisation, AI connector). Transfers are governed by the Data Privacy Framework and the standard contractual clauses.
The AIs you choose (ChatGPT, Claude, Gemini, Le Chat, Copilot, Perplexity…) are not processors of StudentTrack: they receive your data only at your request (see section 5), and process it in accordance with their own terms and privacy policy, within your own account. StudentTrack itself does not call any AI API and no longer has a built-in assistant.
The pages also load third-party resources (fonts, icons, libraries, generated avatars, background image): the list of these third parties, and what they receive, is detailed in the cookie and local storage policy.
5. Your AI: what is sent to it, and when
- Copied study pack: you copy a text yourself (your deadlines, relevant grades, course extracts) and paste it into the AI of your choice.
- The extension’s AI Bridge: when you click, the extension opens the AI you have chosen (ChatGPT, Gemini…) in a tab and sends this pack to it; at the end of the session, it can bring the session recap back into StudentTrack, and answer the AI’s searches in your courses with passages from them.
- Connector (MCP): if you connect an AI (OAuth connection from the AI, or a secret link created on the “Study with YOUR AI” page), it queries our server functions to read your courses, your deadlines, your grades and your session recaps, and can save a session recap or add a task in your space. You can see your connections and revoke them at any time on that same page.
- Google Drive (optional): if you enable it, StudentTrack places a study file
(and, if you ask it to, your documents) in your Google Drive, directly from your
browser. The permission requested (
drive.file) only gives access to the files created by StudentTrack, not to the rest of your Drive.
6. “StudentTrack Resources” Chrome extension
- It reads your Moodle or Canvas course pages once you have given your explicit permission, requested for that site only, using the session you already have open: no username or password is collected.
- The documents, assignments and grades it finds are stored in the extension’s storage and your browser’s storage, then handed over to the StudentTrack app open in that same browser.
- Course text is copied to the StudentTrack server only if an AI is connected (section 2.4); assignments and grades are synchronised as described in section 2.3.
- After your first scan, the extension refreshes that same site every 6 hours; you can turn off this automatic update in its pop-up. The “Clear extension data” button in the app’s Settings deletes the documents it has handed over; uninstalling the extension deletes what it has stored on its side.
7. Retention periods
- Account, profile, private space, messages: until your account (or the item concerned) is deleted.
- Course text copied for the AI: for as long as an AI is connected; deleted when the last one is disconnected.
- AI connection (OAuth): authorisation codes valid for 10 minutes and single-use; access tokens valid for 2 hours; refresh tokens valid for 90 days (renewed on each use). Only their hashes are stored; they are revoked as soon as you disconnect the AI.
- Secret link: valid until you revoke or regenerate it.
- Application errors: 90 days after their last occurrence.
- Your browser’s storage: until you sign out (“Sign out” erases your account’s data on the device), your account is deleted or the site’s data is cleared.
8. Your rights and deleting your account
You have the rights of access, rectification, erasure, restriction of processing, objection and data portability, as well as the right to give instructions on what happens to your data after your death.
- Rectify: edit your profile from the app (“Profile” window).
- Export: the Settings panel offers an export of your local data in JSON format.
- Delete your account: “Delete my account” button in the “Profile” window. After confirmation and verification of your identity, it deletes your profile, your private space, your synchronised resources, your friendships, the groups you created (and removes you from the others), then your login ID. Disconnect your AIs first on the “Study with YOUR AI” page: this is what revokes their access and deletes the copy of your courses on the server. The messages you have sent remain visible to their recipients.
- For any other request, or if any data remains: write to contact@studenttrack.app. We will reply within one month at most.
In the event of disagreement, you can lodge a complaint with the CNIL (the French data protection authority).
9. Security
- Encrypted connections (HTTPS/TLS) and strict security headers (Content Security Policy, protection against being embedded in another site).
- Firestore access rules: the public profile contains only first name, last name, photo, university, year of study and chat information; your email, your iCal links, your grades and your entire private space can be read only by you. Another account can neither list profiles nor read the messages of a conversation it is not part of.
- Passwords managed by Firebase Authentication; AI access tokens stored only as hashes; an authorisation page that displays the AI’s redirect address.
- Our server functions only download from public HTTPS addresses (protection against requests to the internal network).
10. Minors
The service is intended for students in higher education. Anyone under the age of 15 must obtain the consent of their legal representative before signing up.
11. Changes
This policy may change as the app evolves. The date of the last update is shown at the top of the page; in the event of a significant change, you will be informed in the app.