Ce qu’on garde,
et ce qu’on ne garde pas.

Le principe

Ton emploi du temps, tes notes, tes copies scannées, tes cartes de révision et ton journal d’erreurs sont enregistrés localement par l’application. Une analyse IA externe transmet les documents sélectionnés à notre API, puis à nos fournisseurs d’IA. Tes documents ne sont pas publiés automatiquement auprès des autres élèves. Les éventuelles sauvegardes de ton appareil suivent tes réglages iOS.

Les fonctions en ligne comprennent la liste de diffusion, l’agora, la mise en relation avec un professeur, le parrainage, le signalement d’une erreur dans une fiche, les espaces privés de classe et d’établissement (documents, khôlloscopes, informations, discussions, messages privés avec les professeurs, devoirs et copies, notes, khôlles, agenda), le partage d’un programme de DS avec ta classe, le partage anonyme d’usage si tu l’actives, le comptage anonyme des écrans de l’accueil, et les analyses IA externes en test privé. Leurs usages sont distincts du stockage local.

Nous ne vendons aucune donnée, nous n’affichons aucune publicité, et nous n’utilisons aucun outil de mesure d’audience tiers. La seule mesure faite sans que tu l’actives compte, sans identifiant, les écrans de l’accueil de l’app (voir plus bas), et tu peux la refuser. Le site compte aussi ses visites, sans cookie ni identifiant : la page vue et le site d’où tu arrives (LinkedIn, un moteur de recherche…), regroupés en compteurs par jour. Ton adresse IP n’est pas gardée, et si ton navigateur demande à ne pas être suivi, tu n’es pas compté ; ton navigateur garde seulement la date de ta dernière page, sans la transmettre, pour distinguer le début d’une visite des pages suivantes. Le serveur compte en plus le nombre total de pages qu’il envoie chaque jour, y compris à ceux qui ont demandé à ne pas être suivis : un simple total, sans adresse IP ni page ni navigateur, qui sert à estimer la part des visites que la mesure ne voit pas. La lecture des pages publiques ne nécessite pas de cookie. Le forum utilise uniquement les cookies nécessaires à la connexion, décrits ci-dessous. Après ton inscription, ton navigateur garde aussi le lien qui permet de la retirer. Les favoris du catalogue et du calendrier sont conservés localement dans ce navigateur, sans compte et sans transmission de ces favoris à notre serveur. Ils peuvent être retirés dans chaque page ou en effaçant les données locales du site.

Le forum de questions sur le site

La lecture des discussions est publique et gratuite. Pour participer, tu fournis une adresse mail et un numéro de téléphone, puis tu confirmes un lien envoyé à ton adresse. Le téléphone est déclaré, sans vérification par SMS. Un pseudonyme est attribué et tu peux le modifier.

Ton mail et ton téléphone sont chiffrés dans la base du forum et ne sont jamais affichés dans les discussions. Le mail sert à la connexion et aux échanges nécessaires au compte ; le téléphone reste associé au compte. Ces coordonnées ne t’inscrivent pas à la newsletter et ne servent pas à envoyer de publicité.

Les questions et réponses sont relues avant publication. Les contributions publiées et ton pseudonyme sont accessibles à tous et peuvent être indexés par les moteurs de recherche. L’équipe peut consulter les contributions à modérer et les signalements ; la console utilise ses comptes et ses sessions distincts.

Le lien de connexion est personnel, valable quinze minutes, à usage unique et lié au navigateur où il a été demandé. Un cookie de connexion sécurisé est conservé au maximum quatorze jours, avec expiration après deux jours sans activité. Les limites techniques des tentatives sont conservées vingt-quatre heures. Les liens expirés et les sessions périmées sont purgés lors des connexions.

Le profil et les coordonnées sont conservés jusqu’à la suppression du compte. Tu peux supprimer ton compte et toutes tes contributions depuis ton profil ; les réponses à tes questions sont également supprimées. Les sauvegardes de sécurité peuvent conserver une copie jusqu’à leur rotation ; contacte contact@khallot-prepa.fr pour toute demande d’accès ou de retrait.

Liste de diffusion

Ce qu’on enregistre : ton adresse électronique, la filière facultative, ton téléphone (iPhone ou Android), la date d’inscription et l’empreinte d’un jeton de désinscription. Pour Android seulement, l’adresse du compte Google de ton téléphone : Google Play n’ouvre une version de test qu’aux comptes inscrits sur sa liste de testeurs. Si la bêta Android passe par un groupe Google, c’est toi qui le rejoins avec ce compte, depuis le lien de ton invitation : Google gère ce groupe, et l’équipe voit la liste de ses membres. Les anciennes inscriptions peuvent aussi comporter une année d’étude facultative ; le formulaire actuel ne la demande plus. Ni nom, ni lycée, ni numéro de téléphone.

Pourquoi : t’écrire à propos du projet. Base légale : ton consentement, donné par une case non précochée.

Suivi de la bêta : quand une place s’ouvre, l’équipe t’envoie depuis sa console un email avec le lien d’installation de ton téléphone et un code d’invitation personnel. Ce code est rattaché à ton inscription. À chaque ouverture de l’app avec ce code, le serveur note la date de ce dernier passage, et rien d’autre de ce que tu fais dans l’app : elle sert à compter les testeurs actifs sur sept jours, à faire passer ton inscription de « invité » à « test commencé », et à prolonger ton code tant que tu t’en sers (il expire seul au bout de trente jours sans ouverture). Un retour reçu est noté à la main par l’équipe. L’état des envois est conservé avec l’inscription. Lorsque l’envoi automatique est activé, les emails transitent par notre messagerie OVHcloud Zimbra. Le formulaire répond de la même façon, que l’adresse soit nouvelle ou déjà inscrite : personne ne peut s’en servir pour savoir si quelqu’un est sur la liste.

Installer la bêta : sur iPhone, l’app de test passe par TestFlight, le service d’Apple ; sur Android, par les tests de Google Play. Ces services sont soumis aux règles d’Apple et de Google : ils voient l’installation, l’appareil et les rapports de plantage, et c’est par eux que tu peux envoyer une capture ou un commentaire à l’équipe. Khallot n’y reçoit ni ton activité dans l’app ni tes documents.

Tes avis sur la bêta : depuis l’app (Réglages → Donner mon avis), tu choisis un genre (un bug, une idée, une erreur, autre chose) et tu écris quelques phrases. Partent avec : la version de l’app et le système (iPhone ou Android) ; le modèle du téléphone seulement si tu coches la case. Ni capture, ni cours, ni notes. Avec ton code d’invitation, l’avis est rattaché à ton inscription : l’équipe le lit dans sa console, peut te répondre par email, et la réponse s’affiche dans l’app. Sans code, il arrive sans rien qui t’identifie, et personne ne peut y répondre. Un avis est effacé un an après sa dernière mise à jour ; si tu te désinscris avant, il reste sans ton adresse. Depuis le site (page « Ton avis »), c’est la même chose, sans compte ni cookie : le genre, le téléphone que tu choisis (iPhone ou Android) et ton message. Si tu y écris un e-mail ou un numéro pour qu’on te réponde, il n’est lu que par l’équipe et sert uniquement à te répondre.

Le sondage de la bêta : le questionnaire « Alors, ces premières semaines ? », réservé aux testeurs de la bêta qui en reçoivent le lien, pose une vingtaine de questions : comment tu te sers de Khallot, ce qui te manque, si tu t’abonnerais un jour et ce qui te semblerait un prix juste, ta filière, ton année et ton appareil. Tout se saute, sauf une question. Tes réponses partent ensemble, à la fin, sans compte ni cookie ; en attendant, elles restent dans ton navigateur. Elles arrivent sans rien qui t’identifie, sauf l’adresse e-mail que tu choisis de laisser pour qu’on puisse te recontacter : elle ne sert qu’à cela, et seule l’équipe lit tes réponses. Elles sont effacées un an après leur dernière mise à jour ; pour effacer les tiennes avant, écris à contact@khallot-prepa.fr en rappelant l’adresse laissée. Pour éviter les envois en masse, nous comptons, en mémoire seulement et pour la journée, les envois venus d’un même réseau.

Combien de temps : jusqu’à ce que tu te désinscrives, ou jusqu’à l’abandon du projet.

Pour partir : utilise le lien de désinscription pour retirer immédiatement ton adresse de la liste active. Si tu as perdu ce lien, écris à contact@khallot-prepa.fr pour demander ce retrait à l’équipe. Des copies peuvent subsister dans les sauvegardes techniques : voir ci-dessous.

Pour limiter les inscriptions automatisées, nous conservons quelques heures une empreinte tronquée de l’adresse IP d’où vient la demande. Elle ne permet pas de remonter à une personne et n’est jamais rapprochée d’une adresse électronique.

Les espaces de classe et d’établissement

Un espace de classe est privé : on y entre avec un code donné par un responsable, et la demande doit être validée avant tout accès. Ce que ses membres y déposent est gardé sur notre serveur, en Allemagne, pour les membres autorisés de la classe ou du groupe. Khallot ne réutilise pas ces contenus, ne les vend pas, ne les transmet pas à une IA et ne les publie pas.

Ton compte. Tu te connectes avec ton adresse e-mail et un code à six chiffres, envoyé par notre messagerie OVHcloud, valable dix minutes et cinq essais. Nous gardons ton adresse et, pour chaque appareil connecté, le nom que tu lui donnes et ses dates d’utilisation ; le code et la clé de connexion ne sont jamais gardés en clair. Une connexion dure 180 jours après ta dernière utilisation sur un téléphone ; dans un navigateur, douze heures après ta dernière action, ou trente jours si tu coches « rester connecté ». Tu peux déconnecter chacun de tes appareils. Ce compte n’ouvre que les espaces de classe, jamais les analyses par IA.

Ce que contient une classe :

• les noms affichés, les rôles (responsable, professeur, khôlleur, délégué « Z », élève), les matières des professeurs, les groupes et les demandes d’entrée ;
• les informations, documents, khôlloscopes, questions et réponses, sondages, et les discussions de la classe, des groupes et de chaque matière. Une question privée n’est lue que par toi et tes professeurs ;
• les messages privés entre un élève et un professeur ou un khôlleur. Il n’y a jamais de message privé entre deux élèves, et le Z ne lit pas ceux des autres ;
• les devoirs : la copie que tu rends, la copie corrigée, la note et l’appréciation. Un fichier fait 25 Mo au plus ; une classe dispose au départ de 3 Go, tous groupes compris, et l’équipe peut ajuster cet espace ;
• le carnet de notes : notes, absences et dispenses (sans leur motif), appréciations. Rien n’est visible avant que le professeur publie ; tu ne vois alors que ta note, avec la moyenne et la médiane de la classe si ton professeur les montre, et ton rang seulement s’il l’a choisi ;
• les khôlles : le programme, les créneaux, les groupes et la fiche que ton khôlleur remplit (note, exercices, points forts, ce qu’il reste à travailler) ;
• l’agenda de la classe. Si tu l’ajoutes à ton calendrier, l’adresse d’abonnement est personnelle et révocable, et c’est ton application de calendrier qui va chercher les événements.

Les nouveautés et les notifications. L’app tient un fil des nouveautés de tes classes, gardé 120 jours. Si les notifications sont activées, l’avis passe par le service de notification d’Apple : il dit qu’il y a du nouveau et où (le nom de la classe, un titre, une ligne). Pour un message de la classe, d’un groupe ou d’une matière, cette ligne reprend ses 120 premiers caractères. Un avis ne contient jamais une note, une appréciation, ni le texte d’un message privé ou d’une question privée.

Sans réseau. Pour que tu lises ta classe sans connexion, l’app en garde une copie sur ton iPhone, chiffrée par iOS et exclue des sauvegardes de l’appareil. Elle est effacée à la déconnexion, à la suppression du compte, et au bout de trente jours. Les notes publiées par tes professeurs et tes fiches de khôlle rejoignent aussi tes relevés, sur ton appareil seulement.

Les professeurs. Le choix « professeur » dans l’accueil adapte l’interface, sans attribuer automatiquement de droits dans une classe. Les droits de professeur viennent d’une invitation dans une classe ; pour créer une classe en tant que professeur, le compte doit être vérifié, soit parce que son adresse de connexion est une adresse académique, soit parce que l’équipe a examiné sa demande (nom, lycée, matières, lien qui atteste et adresse de connexion). La décision est journalisée, et la demande est effacée avec le compte.

Entrer dans une classe. Un élève peut créer sa première classe pour l’année scolaire en cours. Il ne peut appartenir qu’à une classe active par année ; les professeurs et les khôlleurs peuvent en avoir plusieurs. Les codes complets sont aléatoires, valables quatorze jours et révocables. Une demande d’entrée ne donne accès à aucun contenu : elle doit être validée par un responsable ou le Z, et par le responsable pour les rôles professeur et Z. Pour limiter les essais de codes, les essais sont comptés sur une fenêtre de quinze minutes à partir d’une empreinte de l’adresse réseau et de l’identifiant d’accès. Les traces expirées sont retirées au nouvel essai ou lors du nettoyage horaire. Le journal de création sert à faire respecter la limite même après un départ ou une suppression.

L’équipe de Khallot. Les administrateurs disposent des noms affichés, rôles, demandes d’entrée et compteurs d’activité et de stockage pour gérer les classes. La console ne fournit ni texte des messages, ni noms ou contenus des fichiers, ni notes, ni temps de travail individuels. Les consultations du détail et les changements administratifs sont journalisés. L’archivage coupe les accès et les invitations en conservant les données ; la suppression définitive retire les données de classe de la base active. Les copies techniques suivent les règles de sauvegarde ci-dessous.

Combien de temps. Les messages, documents, copies, notes et fiches restent tant que la classe existe ; une classe archivée les garde jusqu’à sa suppression définitive. Un message que tu retires perd aussitôt son texte. L’auteur et les responsables peuvent retirer un document. Quitter la classe retire ton accès à ses contenus ; pour supprimer ton compte, ou demander l’effacement de données hébergées, voir « Supprimer tes données » plus bas.

La contribution au classement des classes est volontaire. Seules les durées des séances terminées après activation sont transmises ; elles sont conservées soixante jours. Le classement affiche une moyenne collective lorsque trois membres au moins ont participé, jamais un relevé individuel.

Les nouvelles de Khallot

Tu peux choisir de recevoir des emails occasionnels sur les avancées de l’app, du site et de l’association. Cette inscription est distincte de la liste de test, d’une adhésion ou d’un don. Aucune de ces démarches ne t’inscrit automatiquement à cette newsletter.

Après ton accord explicite, nous enregistrons ton adresse, l’origine de ta demande, la date et le texte accepté. Un email te permet de confirmer ton adresse. Seuls les abonnés ayant confirmé leur inscription et ne s’étant pas désinscrits reçoivent les éditions. La liste et ses exports sont réservés aux personnes habilitées de l’association.

Chaque lettre comprend un lien personnel de désinscription. Ton adresse est alors retirée de la liste active ; tes éventuels dossiers d’adhésion, de don ou de bêta restent distincts. Nous conservons le choix de retrait pendant au plus trois ans pour éviter une réinscription automatique. Les demandes non confirmées sont supprimées après trente jours. Pendant l’abonnement, l’adresse est conservée pour les envois et tu peux demander son effacement à contact@khallot-prepa.fr.

Les envois utilisent notre messagerie OVHcloud. Nous enregistrons les états techniques d’envoi pour détecter les erreurs et éviter les doublons. Aucun pixel de suivi ni mesure individuelle d’ouverture n’est ajouté aux lettres. Pour limiter les abus, les inscriptions utilisent une empreinte de tranche d’adresse IP conservée vingt-quatre heures.

Demandes d’adhésion et paiements

Lorsque l’adhésion directe est ouverte, le formulaire envoie à notre serveur ton prénom, ton nom, ton adresse électronique, la formule et le montant choisis, la demande éventuelle d’exonération, ta signature saisie et ton accord explicite. Pour les moins de seize ans, il comporte aussi le nom, l’adresse électronique, la signature saisie et l’autorisation déclarée du représentant légal. Nous gardons la date de la demande, la version du texte accepté et les empreintes des documents présentés.

Ces informations servent à préparer le paiement et à gérer la demande puis l’adhésion, ou un don hors adhésion. Elles ne sont pas publiées dans l’agora, ajoutées à la liste de diffusion ou utilisées pour accorder un accès à l’app. Une signature saisie et une case cochée enregistrent une déclaration d’accord ; le service ne certifie pas l’identité du signataire.

Après admission, l’adresse email est conservée dans le registre administratif des membres, avec le nom, la catégorie, la date d’admission et le statut déclaré par le bureau. Elle sert notamment aux convocations aux assemblées générales et aux échanges nécessaires à la vie de l’association, indépendamment de tout abonnement à la newsletter. Le bureau peut corriger cette adresse et enregistrer le départ d’un membre sans modifier le bulletin signé. Les exports de convocations ne comprennent que les membres actifs et regroupent les adresses identiques.

Pour une contribution supérieure à 10 €, une case facultative et décochée permet d’autoriser la mention de ton prénom et de ton nom parmi les soutiens sur le site. Le bureau conserve ce choix avec la demande. Il ne publie le nom qu’après admission, ou après paiement pour un don hors adhésion. Tu peux retirer cet accord en écrivant à contact@khallot-prepa.fr ; ce choix ne conditionne ni le paiement ni l’adhésion.

Le paiement est saisi sur la page hébergée par SumUp : notre site ne reçoit ni numéro de carte ni cryptogramme. Le serveur crée un lien propre à ta demande et transmet à SumUp le montant, la devise, une référence de dossier et une description du paiement, sans transmettre les coordonnées du formulaire. Il vérifie auprès de SumUp le règlement et sa correspondance avec la demande avant de le confirmer automatiquement. Un simple retour sur le site ne vaut pas confirmation du paiement. L’association conserve la référence de session, le statut vérifié, la décision du bureau et, si nécessaire, la référence du remboursement notée par le bureau. Si un lien fixe est utilisé en dehors de ce parcours, le rapprochement est effectué par l’équipe dans SumUp. Le règlement précède l’examen de la demande et ne vaut pas admission. Le don libre ne constitue pas une demande d’adhésion.

Les emails de reçu et de décision transitent par notre messagerie OVHcloud Zimbra lorsqu’elle est configurée. Pour un mineur de moins de seize ans, le représentant légal reçoit aussi une notification lui permettant de contester une autorisation qui ne viendrait pas de lui. Les adresses saisies ne sont pas vérifiées par ce formulaire.

Les demandes sans paiement sont supprimées après trente jours. Les demandes d’exonération restent disponibles pour leur traitement. Pour une exonération, le bureau te demande par e-mail un justificatif de ta situation : il est traité avec la même confidentialité que la demande et effacé une fois la demande examinée. Les dossiers admis suivent la conservation du dossier d’adhésion : le temps de l’adhésion puis trois ans ; les pièces comptables sont conservées dix ans. Le bureau organise l’archivage et l’effacement des dossiers clos. Tu peux exercer tes droits en écrivant à contact@khallot-prepa.fr. Les demandes sont accessibles uniquement dans la console protégée aux personnes habilitées de l’association.

Pour limiter les demandes automatisées, une empreinte temporaire de l’adresse réseau est gardée au plus vingt-quatre heures. Elle n’est pas enregistrée dans le dossier d’adhésion. Le navigateur conserve dans cet onglet une référence et un secret de suivi, sans les coordonnées du formulaire. Le bouton de signature envoie effectivement la demande ; la préparation du PDF, elle, reste locale.

Dons à la cagnotte et message à l’équipe

Pour donner depuis la page de la cagnotte, tu choisis un montant ; nous ne te demandons ni nom ni adresse électronique. Le serveur crée un paiement chez SumUp (le montant, la devise, une référence de don et une description) et vérifie auprès de SumUp qu’il a bien été réglé avant de le compter. Le paiement se fait sur la page hébergée par SumUp : notre site ne reçoit ni numéro de carte ni cryptogramme. Sur la page publique, seuls les montants et des dates arrondies à l’heure apparaissent, jamais de nom.

Tu peux joindre au don un message facultatif, de cinq cents signes au plus, adressé à l’équipe. Il est conservé avec le don, n’est lu que par l’équipe dans la console privée (et dans l’export des dons), n’est jamais affiché sur le site ni transmis à SumUp, et il est effacé un an après le don, ou trente jours après un paiement qui n’a pas abouti. N’y écris rien de sensible et pas de coordonnées d’autrui : si tu veux que nous te répondions, écris-nous à contact@khallot-prepa.fr. Pour faire effacer ton message plus tôt, écris-nous de la même façon en indiquant le montant et la date approximative.

Le montant, la date et le statut du don sont conservés, sans nom, pour tenir le total de la cagnotte et les comptes de l’association. Pour limiter les demandes automatisées, une empreinte temporaire de l’adresse réseau (ses premiers chiffres seulement) est gardée au plus vingt-cinq heures.

L’agora

Ce qu’on enregistre : un pseudonyme que tu choisis, un identifiant anonyme (celui de ton invitation, ou celui que l’app obtient à l’installation), tes messages, tes votes, la version de la charte que tu as acceptée. Ni nom, ni adresse électronique, ni établissement.

Pourquoi : faire fonctionner un forum modéré. Les messages sont relus avant publication ; les signalements, blocages et suspensions sont conservés le temps de traiter l’incident.

Combien de temps : tant que ton compte existe. La suppression du compte, disponible dans l’application, efface le pseudonyme et les contenus associés.

Un message qui contient une coordonnée personnelle — adresse, téléphone, réseau social — est retenu pour relecture avant publication. Un signalement portant sur une donnée personnelle masque le message immédiatement.

Mise en relation avec un professeur

Ce qu’on enregistre : ta demande (matière, besoin, disponibilités), une adresse pour te répondre et, si tu es mineur, l’adresse électronique de ton représentant légal et son accord, sans lesquels la demande est refusée.

Pourquoi : te proposer un professeur dont nous avons vérifié l’identité et les diplômes, puis vous mettre en relation. Nous ne prenons aucune commission et ne suivons pas ce qui se passe ensuite.

Combien de temps : six mois après la clôture de la demande, puis effacement automatique.

Les notes internes de l’équipe sur une demande ne sont jamais visibles par l’élève ni par le professeur.

S’entraîner aux oraux à plusieurs

Ce qu’on enregistre : la présentation que tu choisis de faire (un prénom, ta filière, ton année) et, si tu la coches, ta déclaration d’avoir 18 ans ou plus, avec sa date ; les séances que tu proposes ou rejoins (oral, date, durée, places, lien de visio ou salle du lycée, consigne) ; tes disponibilités, si tu en publies (l’oral, les jours et les moments où tu es libre, jusqu’à quand) ; les messages du fil d’une séance, du texte seulement ; les observations que tes partenaires t’écrivent après une séance (une grille notée et un mot) ; les signalements et les blocages. Ni nom de famille, ni adresse, ni téléphone : un message qui contient un numéro, une adresse, un lien ou un pseudo de réseau est refusé.

Qui voit quoi : les autres participants d’une séance voient ton prénom, ta filière et ton année, et eux seuls lisent son fil. Une séance ou une disponibilité de classe n’est visible que des élèves de cette classe ; ouverte à d’autres lycées, elle ne l’est que des élèves majeurs de ta filière. Une séance qu’on te propose n’est visible que de toi jusqu’à ta réponse. Le lien de visio n’apparaît qu’aux participants. Une observation n’est lue que par la personne observée. L’équipe lit les signalements, et ce qui a été écrit à la personne qui signale (une observation ou le message signalé), pour trancher.

Pourquoi : organiser des séances d’entraînement entre élèves et les garder sûres. Trois signalements de personnes différentes suspendent l’accès aux séances jusqu’à la relecture de l’équipe.

Combien de temps : une disponibilité s’efface à la date que tu as choisie (quatorze jours au plus) ; le fil d’une séance, sept jours après la séance (on y écrit jusqu’à vingt-quatre heures après) ; une séance et sa liste de participants, soixante jours après sa date ; les observations, les messages signalés et les signalements traités, au bout d’un an.

Le lien de visio mène à un service que l’organisateur choisit parmi Google Meet, Zoom, Teams, Jitsi Meet et Whereby. Khallot ne lui transmet rien : c’est toi qui l’ouvres, et ce service applique alors sa propre politique de confidentialité.

Si tu acceptes les notifications sur iPhone, un nouveau message du fil t’est annoncé par le service de notifications d’Apple : la notification dit qui a écrit, jamais ce qui est écrit.

Parrainage

Un code et le lien entre deux identifiants anonymes. Aucune adresse, aucun nom. Les récompenses sont accordées à la main par l’équipe.

Programme de DS partagé avec ta classe

Après avoir importé le programme des DS, tu peux le partager par un code : tes camarades l’importent sans refaire la photo. Ce qui est partagé : pour chaque épreuve, la date et l’heure, la durée, la matière, le type (DS ou concours blanc) et la salle. Aucun nom, aucune note ; les khôlles, propres à ton groupe, ne se partagent pas.

Qui le voit : toute personne à qui tu donnes le code. Le serveur garde un pseudonyme de toi (jamais ton invitation) pour limiter les abus, et efface le programme soixante jours après son partage. Pour éviter qu’on devine des codes, une empreinte de la tranche d’adresse IP de qui essaie un code est gardée vingt-quatre heures.

Les écrans de l’accueil, comptés sans identifiant

Pour savoir à quel écran de l’accueil des élèves abandonnent, l’app envoie, une fois par écran atteint, le nom de l’écran, le numéro de version de l’app et, sur Android, le mot « android » pour distinguer les deux systèmes. Rien d’autre : ni prénom, ni réponse, ni invitation, ni identifiant d’appareil. Le serveur ajoute un à un compteur du jour et ne garde rien de la requête : il ne peut pas relier deux écrans au même élève.

Contre le remplissage abusif, une empreinte de la tranche d’adresse IP est comptée une heure en mémoire vive, jamais écrite sur disque. Les compteurs sont effacés au bout de treize mois. Tu peux refuser d’être compté dès le premier écran (« Ne pas me compter »), ou plus tard dans Profil → Améliorer Khallot. Les versions de développement n’envoient rien.

Ce que l’app apprend à l’usage

Sur ton iPhone, sans rien envoyer. Quand tu choisis la matière d’une case d’emploi du temps que l’app n’a pas reconnue, elle s’en souvient pour la photo suivante. À l’entraînement « Reconnaître la méthode », elle note ce que tu as reconnu ou raté pour te le reproposer au bon moment. Ces données restent sur l’appareil ; tu peux les effacer dans Profil → Améliorer Khallot.

Avec les autres élèves, seulement si tu l’actives. Le partage est désactivé par défaut. Activé, l’app envoie, pour chaque méthode type, « reconnue » ou « à revoir », pour chaque fiche, « utile » ou « pas utile », et quand tu refuses une séance du plan, le motif choisi parmi quatre (trop tard, trop long, matière, jour) : aucun texte, aucune note, aucune copie, aucun emploi du temps, ni la matière ni l’horaire de la séance. Notre serveur ne garde pas ton invitation mais un pseudonyme salé, retient un seul avis par élément et par jour, et efface ces réponses au bout de six mois. Les taux ne sont publiés qu’à partir de vingt élèves distincts. Tu peux désactiver à tout moment ; ce qui attendait d’être envoyé est alors effacé.

Signaler une erreur. Chaque fiche et chaque méthode type portent un bouton pour signaler une erreur, avec ou sans invitation à la bêta. Ton message est lu par l’équipe, qui en reçoit aussi une copie par courriel, et corrige le contenu à la main ; il est effacé six mois après avoir été traité. Sans invitation, seule une empreinte de la tranche de ton adresse IP, qui change chaque jour, est gardée pour limiter les abus ; l’adresse elle-même ne l’est pas. N’y écris ni ton nom ni celui d’un professeur. Le contenu des fiches ne change jamais automatiquement.

Synchronisation entre ton iPhone et ton iPad

Par ton propre iCloud, sans passer par nous. Depuis la version 1.1 (8), ce que tu fais dans l’app (emploi du temps, séances, cartes, copies, journal, notes de maîtrise et réglages) se synchronise entre tes appareils Apple connectés au même compte Apple, par la partie privée de ton iCloud. Apple chiffre ces données ; Khallot n’y a pas accès et ne les reçoit jamais. Sans compte iCloud, tout reste sur l’appareil.

Tu choisis. La synchronisation est active par défaut ; tu l’arrêtes dans Réglages → État des données → « Synchroniser avec iCloud », effet au lancement suivant. Sur Android, rien ne passe par iCloud.

Analyse par intelligence artificielle

Un emploi du temps photographié est toujours lu d’abord sur ton téléphone : cette lecture locale ne transmet pas l’image. La relecture en ligne (réglage « Vérifier avec l’IA intégrée ») est désactivée par défaut et demande un accès à la bêta : ton code d’invitation, ou l’identifiant anonyme que l’app obtient seule (voir ci-dessous). Cette relecture et la lecture externe des copies, programmes de DS, khôlloscopes et pages de cours sont en bêta fermée. Rien ne part automatiquement : l’élève choisit les pages, voit les fournisseurs et confirme l’envoi. Ne sélectionne pas de document que tu n’es pas autorisé à transmettre ; masque les noms, l’établissement et les données des tiers.

Sans code d’invitation. Pendant la bêta, l’app obtient seule, au premier lancement, un identifiant anonyme qui ouvre les mêmes analyses qu’une invitation, avec la même limite chaque jour, et l’Agora. Il ne contient ni ton nom, ni ton adresse électronique, ni rien de ton téléphone. Comme pour un code d’invitation, le serveur n’en garde que l’empreinte, sa date d’expiration et la date de ton dernier passage, qui le prolonge tant que tu t’en sers. Pour éviter les créations en série, le serveur compte les identifiants créés dans la journée depuis une même tranche d’adresses, sous la forme d’une empreinte qui ne permet pas de retrouver l’adresse ; ces empreintes sont effacées après deux jours. Un code d’invitation collé ensuite remplace cet identifiant.

Les pages et le contexte sélectionnés pour une analyse externe transitent par notre API Hetzner puis Mistral, après ton accord ; une photo d’emploi du temps est aussi lue par Claude, d’Anthropic, et les pages de cours que tu fais relire ne sont lues que par Claude. L’API Khallot n’archive ni les images ni les résultats. Les conditions de conservation des fournisseurs restent distinctes. Les documents ne sont pas publiés auprès des autres élèves.

Pour diagnostiquer les échecs et mesurer les coûts, Khallot conserve pendant 30 jours des métadonnées techniques : identifiant pseudonyme d’accès, référence de demande, fonction, modèle, durée, nombre de tokens quand le fournisseur l’indique, coût estimé et code d’erreur. Ni texte des cours, ni image, ni réponse de l’IA dans ces mesures. Les compteurs de quota sont distincts.

Le résultat proposé doit toujours être relu et confirmé avant d’entrer dans l’agenda.

Mistral AI indique que les données de l’API sont hébergées dans l’Union européenne par défaut, avec de possibles transferts temporaires encadrés selon les fonctions et sous-traitants. Hors option « zéro rétention », les entrées et sorties de l’API peuvent être conservées jusqu’à trente jours pour surveiller les abus. Khallot demandera l’activation de la zéro rétention avant une ouverture large. Voir la politique de confidentialité, le DPA et la documentation zéro rétention.

Quand tu actives « Vérifier avec l’IA intégrée », une photo d’emploi du temps est aussi lue par Claude, le modèle d’Anthropic, en même temps que par Mistral. Claude reçoit les pages choisies, ta filière et la liste de tes matières, mais pas la lecture faite par ton téléphone ni ton invitation à la bêta. Les deux lectures sont comparées créneau par créneau et chaque désaccord t’est signalé. Claude ne reçoit ni copie, ni programme de DS, ni khôlloscope.

Quand tu ajoutes un cours photographié ou scanné, la lecture se fait d’abord sur ton téléphone. Si tu touches « Faire relire par Claude », ou si tu as choisi « Toujours, pour mes pages photographiées », les pages lues sur l’image partent, quatre par quatre, vers Claude seul, avec la matière et ta filière : il recopie les pages mot pour mot et marque ce qu’il faut savoir (définitions, théorèmes, formules, dates). Ni Khallot ni Mistral ne gardent ces pages ; ton cours reste sur ton téléphone. Les pages d’un même cours comptent pour une seule analyse du jour.

La colle à indices (« Me faire interroger », sur la page d’un cours) ne part qu’après ton accord, donné une fois. Pendant la colle, le texte de ce cours, son titre, sa matière, ta filière et tes réponses partent vers Claude seul, à chaque question : il te pose une question à la fois, tirée du cours, et donne des indices sans jamais donner la réponse. Khallot ne garde ni le cours ni la conversation ; une colle de douze questions compte pour une seule analyse du jour.

Pour ouvrir plus d’analyses par jour, l’app peut demander à l’iPhone d’attester, avec le service App Attest d’Apple, qu’elle est bien l’app Khallot signée. Le serveur reçoit alors une clé propre à l’installation et un certificat d’Apple, rien qui t’identifie ; il les garde avec l’installation, le temps qu’elle existe. Sans attestation, l’app marche de la même façon, avec la limite d’analyses de base.

Khallot étant établie en France, son prestataire est Anthropic Ireland, Limited ; ses conditions commerciales lui interdisent d’entraîner ses modèles sur ces données. Anthropic indique supprimer automatiquement les entrées et sorties de l’API dans les trente jours, sauf si la loi impose de les garder ou si ses systèmes automatiques les signalent comme contraires à sa politique d’utilisation : elles peuvent alors être conservées jusqu’à deux ans. Ce qu’Anthropic conserve est stocké aux États-Unis, et le modèle peut, par défaut, tourner dans d’autres pays. Pour ce transfert hors de l’Union européenne, le DPA d’Anthropic prévoit les clauses contractuelles types de la Commission européenne ; au 24 octobre 2026, Anthropic ne figure pas sur la liste du Data Privacy Framework UE–États-Unis. Voir les conditions commerciales, le DPA, la durée de conservation, la documentation sur le lieu de traitement et la liste du Data Privacy Framework.

Sauvegardes et journaux techniques

La base du serveur fait l’objet de sauvegardes quotidiennes avec une rotation de quatorze jours. Des sauvegardes distinctes sont aussi réalisées avant certaines opérations de maintenance ; elles sont supprimées automatiquement trente jours après leur création. L’accès à ces fichiers est restreint. Un effacement dans la base active ne supprime donc pas immédiatement toutes les copies techniques. La procédure de réapplication des suppressions après restauration reste à finaliser avant l’ouverture large de la bêta.

Le serveur web conserve les requêtes reçues, avec l’adresse IP, dans le journal système. Ces journaux servent uniquement au bon fonctionnement et à la sécurité du service. Ils sont purgés automatiquement au bout de quatorze jours. Le service applicatif, lui, n’écrit aucun journal d’accès.

Les actions de modération de l’équipe sont consignées (quoi, quand, sur quel élément) et conservées de façon limitée, afin qu’une décision puisse être expliquée.

Où sont les données, et qui y touche

Le site et l’API Khallot sont hébergés chez Hetzner Online GmbH, en Allemagne. Ce lieu d’hébergement ne couvre pas les traitements des fournisseurs d’IA, décrits ci-dessus. Le site n’intègre aucun sous-traitant publicitaire, aucun outil de mesure d’audience tiers ni module de réseau social. Les compteurs propres à Khallot sont décrits ci-dessus.

Seules les personnes habilitées de l’équipe, disposant d’un compte nominatif ou d’un accès de secours, peuvent consulter les données de modération, les signalements et la liste de diffusion. Leurs actions sont journalisées (quoi, quand, sur quel élément).

La console de l’équipe utilise un cookie de connexion nécessaire, distinct du site public. Les mots de passe sont conservés sous forme de condensats sécurisés ; les sessions peuvent être révoquées. Une session standard dure au maximum douze heures. Avec « Se souvenir de moi », elle dure au maximum trente jours et expire après sept jours sans utilisation. Les liens de création ou de réinitialisation d’un mot de passe sont personnels, valables une heure et utilisables une seule fois. Ces cookies ne servent à aucune mesure d’audience.

Mineurs

Une partie de nos utilisateurs a moins de 18 ans. En France, un mineur de moins de 15 ans ne peut pas consentir seul au traitement de ses données : l’accord d’un titulaire de l’autorité parentale est nécessaire, et il est demandé explicitement pour la mise en relation avec un professeur.

Les séances d’oral avec des élèves d’autres lycées sont réservées à ceux qui déclarent avoir 18 ans ou plus. Sans cette déclaration, un élève ne s’entraîne qu’avec les élèves de sa classe.

Un parent peut à tout moment demander l’accès aux données de son enfant ou leur effacement, en écrivant à contact@khallot-prepa.fr.

Supprimer tes données

Ce qui suit vaut pour l’application Khallot, sur iPhone et sur Android, et pour le site khallot-prepa.fr.

Sur ton téléphone : l’essentiel de ton travail personnel (emploi du temps, plan, notes, copies, cartes, journal) n’est enregistré que sur ton appareil, et, sur iPhone et iPad avec la synchronisation, dans ton propre iCloud. Supprimer l’app l’efface de l’appareil ; pour l’effacer aussi d’iCloud : Réglages de l’iPhone → ton nom → iCloud → Gérer le stockage → Khallot. Sur Android, tu peux aussi l’effacer sans désinstaller : Paramètres → Applications → Khallot → Stockage → Vider le stockage (le libellé varie selon les téléphones). Sur iPhone, ce que l’app apprend à l’usage s’efface aussi dans Profil → Améliorer Khallot. Une sauvegarde de ton appareil (iCloud, Google) suit tes propres réglages. Ce que tu déposes dans un espace de classe (copies rendues, messages) et les notes que tes professeurs y publient sont, eux, sur notre serveur : voir ci-dessous.

Sur notre serveur :

• Liste de diffusion et bêta : le lien « Retirer mon inscription » de nos e-mails efface aussitôt ton inscription (adresse, filière, téléphone, compte Google).
• Forum et agora : la suppression du compte, dans ton profil sur le site ou dans l’app, efface ton compte et tes contributions.
• Espace de classe : « Supprimer mon compte », dans l’écran Compte et avis de l’app, retire tes accès aux classes, tes copies rendues, tes notes, tes fiches de khôlle et tes appareils connectés. Tes messages restent, signés « Ancien membre ». Tu peux aussi le demander par e-mail.
• Séances d’oral : « Supprimer ma présentation », dans l’écran « À plusieurs » de l’app, te retire de tes séances à venir, annule celles que tu organises et efface ta présentation et les observations reçues ou écrites. La suppression du compte fait de même.
• Tout le reste (code d’invitation, avis sur la bêta, contenus d’un espace de classe, adhésion, mise en relation avec un professeur) : écris à contact@khallot-prepa.fr depuis l’adresse concernée, en disant ce que tu veux effacer. Nous répondons dans un délai d’un mois. Un parent peut faire la demande pour son enfant.

Ce qui reste, et combien de temps : les sauvegardes quotidiennes du serveur tournent sur quatorze jours, celles de maintenance s’effacent après trente jours, et les journaux du serveur web après quatorze jours. Un dossier d’adhésion admis est gardé le temps de l’adhésion puis trois ans, et les pièces comptables dix ans. Le choix de ne plus recevoir les nouvelles de Khallot est gardé au plus trois ans, pour éviter une réinscription automatique. Les compteurs des écrans de l’accueil, sans identifiant, ne se rattachent à personne ; ils s’effacent seuls au bout de treize mois.

Tes droits

Tu peux demander à accéder à tes données, à les corriger, à les effacer, à en obtenir une copie, à retirer ton consentement ou à t’opposer à un traitement. Écris à contact@khallot-prepa.fr : nous répondons dans un délai d’un mois.

Si la réponse ne te satisfait pas, tu peux saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou cnil.fr.