Politique de confidentialité

1. Présentation

StudyAI (https://www.study-ai.fr) est un service en ligne de révision par flashcards avec répétition espacée. La présente politique décrit quelles données personnelles nous collectons, pour quelles finalités, avec quels sous-traitants, combien de temps nous les conservons, et quels sont vos droits.

En créant un compte ou en utilisant le service, vous reconnaissez avoir pris connaissance de cette politique. Pour toute question : contact@study-ai.fr.

2. Responsable du traitement

StudyAI
Information en cours de mise à jour
Email : contact@study-ai.fr

3. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement du service. Selon les fonctionnalités que vous utilisez, cela peut inclure :

• Compte et authentification : adresse email, identifiant utilisateur unique, mot de passe hashé (si inscription par email), jetons de session, date de création du compte.
• Profil : prénom ou nom affiché (optionnel), préférences d'interface (thème clair/sombre), statut d'onboarding.
• Contenu pédagogique : titres et descriptions de cours, flashcards (questions, réponses, indices), historique de révision, scores FSRS (dates, intervalles, répétitions), résultats de sessions QCM ou d'entraînement.
• Import de documents : fichiers PDF, DOCX, ODT ou texte que vous choisissez d'importer pour générer des cartes. Ces contenus sont stockés dans notre base de données et peuvent être transmis à OpenAI pour la génération IA.
• Abonnement Pro : identifiant client Stripe, statut d'abonnement ou de pass, dates d'accès Pro. Nous ne stockons pas vos numéros de carte bancaire.
• Usage et quotas : nombre d'imports IA du mois, nombre total de cartes, compteurs nécessaires à l'application des limites du plan gratuit ou Pro.
• Waitlist : email si vous vous inscrivez à une liste d'attente sur la page publique.
• Données techniques : adresse IP, type de navigateur, horodatages de requêtes, journaux d'erreur serveur, cookies de session strictement nécessaires.
• Analytics (avec consentement) : pages visitées, événements d'usage anonymisés ou pseudonymisés via PostHog, uniquement si vous acceptez les cookies analytics.

4. Connexion avec Google

Si vous choisissez « Continuer avec Google », l'authentification est assurée par Supabase Auth en liaison avec Google OAuth. StudyAI ne reçoit pas votre mot de passe Google.

Données que Google nous transmet (selon les autorisations que vous accordez sur l'écran Google) :

• Adresse email associée à votre compte Google ;
• Identifiant Google unique (sub) ;
• Nom et photo de profil publics, le cas échéant.

Finalités : créer et sécuriser votre compte StudyAI, vous identifier lors de vos connexions, synchroniser votre profil, prévenir la fraude et les abus.

Base légale : exécution du contrat (article 6.1.b RGPD) et, le cas échéant, votre consentement lors de l'autorisation Google.

Conservation : tant que votre compte StudyAI est actif. Si vous supprimez votre compte, ces données sont supprimées ou anonymisées conformément à la section 9.

Révocation : vous pouvez retirer l'accès de StudyAI à votre compte Google depuis vos paramètres Google. Vous pouvez aussi supprimer votre compte StudyAI en nous contactant à contact@study-ai.fr.

Le traitement par Google est régi par la politique de confidentialité de Google.

5. Finalités et bases légales

• Fourniture du service (compte, révision, import, édition de cartes) — exécution du contrat.
• Génération IA de flashcards — exécution du contrat ; le contenu que vous importez est envoyé à OpenAI pour produire des cartes que vous relisez avant enregistrement.
• Facturation Pro (mensuel, annuel ou pass semestre) — exécution du contrat et obligations comptables.
• Waitlist et communication — consentement ou intérêt légitime selon le contexte.
• Sécurité, prévention des abus, respect des quotas — intérêt légitime.
• Mesure d'audience (PostHog) — consentement via le bandeau cookies.

6. Destinataires et sous-traitants

Vos données peuvent être traitées par les prestataires suivants, agissant pour notre compte et dans la limite de leurs missions :

• Supabase — authentification (y compris Google OAuth), base de données PostgreSQL, hébergement des comptes et contenus (Région EU (ex. eu-west-3) lorsque configurée dans Supabase).
• Google — fournisseur d'identité lorsque vous utilisez la connexion Google (voir section 4).
• OpenAI — génération de flashcards à partir de textes ou documents que vous importez ; nous n'utilisons pas vos cours pour entraîner un modèle public.
• Stripe — traitement des paiements et gestion des abonnements Pro.
• Vercel — hébergement de l'application web (Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis).
• Upstash — compteurs de quotas IA mensuels (Redis), si activé en production.
• PostHog — analytics d'usage, uniquement avec votre consentement cookies.

Lorsque des données sont transférées hors de l'Union européenne (par exemple vers des prestataires basés aux États-Unis), nous nous appuyons sur des garanties appropriées : clauses contractuelles types de la Commission européenne, hébergement en région UE lorsque disponible, et mesures de sécurité contractuelles imposées à nos sous-traitants.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables : connexion chiffrée (HTTPS), mots de passe hashés par Supabase, contrôle d'accès par utilisateur (Row Level Security), secrets stockés côté serveur, et accès limité aux données de production. Aucune transmission sur Internet n'est toutefois garantie à 100 % sûre.

8. Durées de conservation

• Compte actif : conservation tant que vous utilisez le service.
• Suppression de compte : suppression ou anonymisation sous 30 jours, sauf obligation légale de conservation (ex. facturation).
• Contenu pédagogique : conservé tant que le compte existe ; supprimé avec le compte ou la suppression d'un cours.
• Waitlist : jusqu'à désinscription ou 24 mois sans contact.
• Logs techniques : 12 mois maximum.
• Données de facturation Stripe : selon les obligations comptables applicables (généralement 10 ans en France pour les pièces comptables).

9. Cookies et traceurs

StudyAI utilise des cookies strictement nécessaires au fonctionnement du service : authentification Supabase, maintien de session, préférence de thème mémorisée localement. Ces cookies ne nécessitent pas votre consentement préalable.

Des traceurs analytics (PostHog) peuvent être déposés uniquement si vous cliquez « Tout accepter » sur le bandeau cookies affiché lors de votre première visite. Vous pouvez refuser les analytics ou retirer votre consentement en effaçant les cookies du site ou via les paramètres cookies disponibles dans l'application.

10. Vos droits

Conformément au RGPD, vous disposez des droits suivants : accès, rectification, effacement, limitation du traitement, opposition, portabilité des données que vous nous avez fournies, et retrait du consentement pour les traitements fondés sur le consentement (sans affecter la licéité du traitement antérieur).

Pour exercer vos droits, contactez-nous à contact@study-ai.fr. Nous répondrons dans un délai d'un mois. Vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr.

11. Mineurs

Le service s'adresse principalement aux étudiants majeurs ou aux mineurs disposant de l'accord d'un représentant légal. Si vous avez moins de 15 ans en France, l'utilisation du service requiert l'autorisation d'un parent ou tuteur.

12. Modifications

Nous pouvons mettre à jour la présente politique pour refléter l'évolution du service ou des obligations légales. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, nous vous en informerons par email ou notification dans l'application lorsque cela est requis.