Politique de confidentialité de Polaris

Dernière mise à jour : 27 octobre 2026

En bref

Polaris est une application privée pour les élèves du Collège Saint-Hadelin (une classe aujourd'hui ; quand l'école a plusieurs classes de rhéto, elles partagent un fil commun, « Rhéto »). Elle remplace un groupe de messagerie : vous y échangez, et l'app range l'essentiel (agenda, journal, annonces). Nous collectons le minimum, aucune personne extérieure à la classe (ou, pour le fil « Rhéto », aux classes de rhéto) ne lit vos messages (les services techniques qui les hébergent sont listés plus bas), et Polaris n'utilise JAMAIS vos données pour entraîner une intelligence artificielle. Ce que disent à ce sujet nos fournisseurs est écrit dans la section « Sous-traitants ».

Qui est responsable

Polaris est créé et géré par Guillaume Orban, élève au Collège Saint-Hadelin. Pour toute question ou demande concernant tes données, écris à moissoneuse101.csh@gmail.com. L'app n'est ni commerciale ni monétisée : aucune publicité, aucune revente de données.

Quelles données nous traitons

• Ton compte : ton adresse @collegesainthadelin.be et ton nom (via la connexion Google de l'école).
• Tes options de cours (sciences, langues…), que tu déclares toi-même, pour te placer dans les bons groupes.
• Ta date de naissance, facultative : elle sert uniquement à te souhaiter ton anniversaire dans l'app. Personne ne la voit dans Polaris (ni la classe, ni les délégués, ni les administrateurs) ; tu peux la vider quand tu veux dans tes réglages. Le responsable de Polaris, qui administre la base de données, peut en revanche techniquement la lire (voir « Honnêteté »).
• Ton surnom, facultatif, affiché à la place de ton prénom : un ou deux mots au plus, pas une phrase. N'importe qui peut signaler un surnom ; l'administrateur voit ces signalements. L'administrateur ou un délégué peut retirer un surnom inapproprié (retour au prénom, et tu en es prévenu par un message qui ne dit pas qui l'a retiré). Un délégué ne retire pas le surnom d'un administrateur ni le sien, et pas plus de 10 surnoms par jour ; l'administrateur seul peut revenir sur un retrait. Polaris note qui a retiré ton surnom et quand (seulement le dernier retrait), dans sa base de données : cette information n'est affichée à personne dans l'application, ni à toi, ni aux délégués, ni à l'administrateur ; seul le responsable de Polaris, qui administre la base, peut la lire. Elle disparaît avec ton compte.
• Comment tu apparais selon l'endroit : pour un endroit précis (ta classe, la rhéto), tu peux choisir un autre nom (ton prénom, ou un autre surnom) et un autre avatar (un motif, tes initiales, ou une photo à toi rien que pour cet endroit, différente de celle de ton profil). Sans choix, tu apparais pareil partout. Chaque endroit montre ce que tu y as choisi : dans le fil de ta classe, ce que tu as choisi pour ta classe ; dans le fil Rhéto, ce que tu as choisi pour la rhéto. Les élèves d'une autre classe qui partagent seulement un cours avec toi ne lisent pas ce que tu as choisi pour ta classe. Les règles du surnom s'appliquent aussi aux noms d'endroit (un ou deux mots, signalable, retirable par l'administrateur ou le délégué de ta classe), et un surnom refusé l'est partout. Une photo d'endroit est rangée à part de ta photo de profil (trois tailles, comme elle), dans un espace privé sans adresse publique ; si tu passes à un motif, elle reste gardée de côté, invisible des autres, jusqu'à ce que tu la retires. L'administrateur ou le délégué de ta classe peut retirer une photo d'endroit qui ne convient pas (le retrait est noté au journal de modération), et n'importe quel élève de l'endroit peut la signaler. Ton nom complet ne change jamais : seul l'administrateur le lit. Aucune de ces photos ne passe par ADA ni par un service d'IA. Tout cela est dans « Télécharger mes données » (la fiche, pas le fichier de la photo) et part avec ton compte.
• Ce que tu écris : messages du chat, discussions d'échéance, annonces (selon le genre d'annonce, tout élève peut publier, ou seulement un délégué ou un administrateur), entrées du journal de classe. Quand tu partages une annonce ou une échéance dans le chat (Classe ou Hors-sujet, pas Rhéto), le message est une carte-lien : un renvoi vers l'annonce ou l'échéance, jamais une copie de son texte, avec ton petit mot si tu en as mis un. La carte est un message comme les autres (ton nom y est associé, on peut la signaler, la supprimer, y réagir). Ceux du fil qui voient l'annonce ou l'échéance en lisent le titre ; les autres voient une carte neutre (« une annonce », « une échéance »), sans titre, sans cours, sans date. On ne partage que dans un fil où tous les membres peuvent voir l'objet. Si l'objet est supprimé, la carte dit « retirée ».
• Un message écrit sans réseau : si tu n'as plus de connexion, Polaris le garde sur ton appareil jusqu'à ce qu'il puisse partir, puis l'efface de l'appareil. Il est aussi effacé quand tu te déconnectes. Il ne va nulle part ailleurs que vers Polaris, une fois la connexion revenue.
• Les brouillons : ce que tu as commencé à écrire dans un fil (Classe, Hors-sujet, discussion d'échéance, annonce, ADA) est gardé sur ton appareil, par compte, pour ne pas le perdre quand tu changes d'écran. Il ne part pas sur le serveur et n'est pas dans « Télécharger mes données » (il n'est pas chez nous). Il est effacé quand tu l'envoies, quand tu te déconnectes, et au bout de 30 jours sans que tu y touches (même si tu ne te déconnectes jamais). Sur un appareil que d'autres utilisent, déconnecte-toi.
• La copie de tes écrans, sur ton appareil : comme Instagram ou WhatsApp, Polaris montre tout de suite, à l'ouverture, tes derniers écrans tels que tu les as laissés (8 au plus : le Chat, les Annonces, l'Agenda, la fiche d'une échéance, Aujourd'hui…), avec la mention « Mise à jour… », puis les remplace par les données à jour dès qu'elles arrivent. Pour cela, il garde dans la base de ton navigateur (jamais dans l'adresse de la page) une copie de ce que ces écrans montraient : donc des messages, des annonces et des échéances que tu as déjà vus, et rien que le serveur ne t'aurait pas montré ; ainsi qu'un simple compteur des écrans que tu ouvres le plus (pour les charger d'abord). Elle ne part nulle part et n'est pas dans « Télécharger mes données » (elle n'est pas chez nous) ; elle est rangée au nom de ton compte et n'est jamais montrée à un autre compte. Elle est effacée à ta déconnexion (dans tous les onglets), quand ta session a expiré, quand un autre compte se connecte sur l'appareil, et chaque copie disparaît au bout de 7 jours au plus. Ton profil, l'administration, ADA, ce que tu étais en train d'écrire et les écrans avec un formulaire n'y sont jamais copiés. Sur un appareil que d'autres utilisent, déconnecte-toi.
• Tes réponses aux questions « Ton avis » (dans « Pour moi ») : de temps en temps, Polaris pose une question à la classe (deux à cinq choix). Tu y réponds une fois, et ta réponse est anonyme par construction : Polaris garde seulement que tu as répondu (toi, la question, quand) et, à part, un compteur par choix qui monte d'un cran, sans nom ni heure. Il ne sait donc pas ce que tu as répondu, et personne — administrateur compris — ne peut le savoir ni te l'exporter ; effacer ton compte ne retire pas ce « +1 » anonyme. Le résultat n'apparaît qu'à la fin de la question, à ceux qui ont répondu et à partir de dix réponses ; l'administrateur ne lit le détail que d'une question terminée, avec le même seuil de dix. (Les petits duels A / B de « Pour moi » : ton vote est gardé à ton nom, personne d'autre ne le lit, et seuls des totaux apparaissent, à la fin.)
• Les messages vocaux que tu choisis d'envoyer : l'enregistrement audio, sa transcription brute, une version nettoyée, un résumé court, les passages signalés comme incertains et des repères temporels pour synchroniser le texte avec l'écoute.
• Ce que tu ajoutes : échéances (agenda) et documents (photos de feuilles, PDF) que tu joins à une échéance.
• Ce que tu fais sur une annonce : tu peux cocher « Payé », « J'ai donné », « Je viens » ou « Rendu », indiquer tes disponibilités sur une grille de créneaux, écrire un mot sur ton vote, écarter une annonce (« pas intéressé »), régler tes préférences, confirmer l'absence d'un professeur ou signaler une annonce. Ces choix sont à toi : « pas intéressé » et tes préférences ne sont vus que de toi ; les créneaux et les confirmations ne sont montrés qu'en totaux. L'auteur d'une collecte, d'une inscription ou d'une demande de réponse voit la liste des élèves de l'audience avec « fait » ou « pas encore » (et, pour « Payé », seulement si l'auteur a choisi de le voir) : l'écran te dit toujours qui voit ton geste. Les signalements d'annonces ne sont lus que de l'administrateur (comme sur WhatsApp : un délégué n'en reçoit rien), jamais de l'auteur. Tes gestes sur une annonce (« Payé », « J'ai donné », « Je viens », « Rendu », disponibilités, confirmations, « pas intéressé ») sont effacés un peu plus de 90 jours après la fin de l'annonce (sa date de fin, sinon sa date de publication) ; ils figurent dans « Télécharger mes données » et partent avec ton compte.
• Ta dernière visite des Nouveautés : la date à laquelle tu as ouvert l'écran des Nouveautés pour la dernière fois, pour ne pas te remontrer les mêmes. Elle est gardée tant que ton compte existe, sur tous tes appareils, et personne d'autre que toi ne la lit.
• Tes réponses « Oui / Non / Je ne sais pas » à une date proposée par ADA pour une échéance de ton cours (nouvel Agenda) : Polaris garde ta réponse avec ton compte tant que la proposition existe (180 jours au plus). Personne ne voit ta réponse individuelle ; tes camarades voient seulement des totaux, et seulement à partir de trois votants. Quand assez d'élèves du groupe répondent « Oui » (au moins deux, davantage si des reports ont été défaits récemment), la date de l'échéance change pour tout le groupe, sans nom d'auteur : cela dit donc que plusieurs camarades du groupe ont répondu « Oui », sans dire lesquels. L'auteur de l'échéance ou l'administrateur peut annuler pendant 14 jours.
• Où tu en es de chaque discussion d'échéance : jusqu'à quel message tu as vu, pour les pastilles « non lu ». Personne d'autre que toi ne le lit. Il est effacé un peu plus de 30 jours après la date de l'échéance (au premier ménage de nuit qui suit), avec ton compte, et figure dans « Télécharger mes données ».
• Ton avatar : un motif (couleur + symbole) que tu choisis, ou une photo que tu importes toi-même (recadrée sur ton appareil, données de localisation retirées, supprimable à tout moment). Nous n'utilisons JAMAIS ta photo Smartschool.
• Les pages de journal que tu photographies : quand tu demandes à ADA de lire une page de ton journal de classe, la photo part chez Anthropic pour être lue (et, avant, chez OpenAI pour vérifier que c'est bien une page de journal : voir « Intelligence artificielle (ADA) »), puis elle est gardée 7 jours chez Polaris et effacée automatiquement. Elle sert uniquement à comprendre et corriger les lectures ratées. Toi seul peux la voir — pas la classe, pas les délégués, pas les administrateurs — et tu peux l'effacer à tout moment depuis tes réglages avancés. C'est une mesure de la phase de test : elle sera revue avant l'ouverture à toute la classe.
• Où tu en es de ta lecture : pour les pastilles « non lu » et, si tu as laissé les accusés de lecture activés, jusqu'à quel message ton écran a affiché — et, quand tu envoies un message dans un fil, jusqu'à ton propre message (répondre, c'est avoir vu ce qui précède dans ce fil). Personne d'autre que toi ne lit ces repères, à une exception : les accusés de lecture s'en servent pour montrer « Lu par » à l'auteur d'un message (voir « Accusés de lecture »).
• Ta dernière fois en ligne : quand tu ouvres Polaris, il note l'heure (celle du serveur) de la dernière fois où l'appli était ouverte et visible sur ton appareil (au plus une écriture par minute). Elle est gardée tant que ton compte existe, tes camarades de classe et les administrateurs la voient, et tu peux la cacher (voir « Qui voit quoi »).
• Comment parler de toi (choix retiré) : on ne te demande plus d'écrire ton rôle « au masculin », « au féminin » ou « neutre » : le rôle de délégué s'écrit « Délégué » ou « Déléguée » d'après la mention « masculin » ou « féminin » de ton dossier Smartschool si tu l'as liée, « Délégué » sinon. La base de données gardecette mention et, pour ceux qui l'avaient fait, l'ancien choix, qui continue de passer avant. Ces valeurs sont dans « Télécharger mes données » et disparaissent avec ton compte.
• Ton ordinateur et l'appli PC, si tu l'utilises : voir « Les applis PC et Android ».
• Des signaux de changement : quand ton profil, ton rôle, ta photo ou tes réglages changent, Polaris note seulement quel genre de changement a eu lieu, chez qui et à quelle heure — jamais la valeur (voir « Qui voit quoi »).
• Données techniques minimales nécessaires au fonctionnement (session de connexion). Pas de traçage publicitaire.
• Des compteurs anti-abus : pour empêcher qu'un script inonde le chat, Polaris compte combien de messages, de modifications ou de signalements une personne envoie en peu de temps, et garde pendant 2 jours une empreinte (un code mathématique, pas le texte) des derniers messages pour refuser les répétitions. Ces compteurs ne contiennent pas ce que tu écris.

Qui voit quoi

La visibilité est appliquée par le serveur, pas seulement masquée à l'écran :

• Ton nom, ton surnom, ton avatar et ta photo de profil sont visibles par toute ta classe (comme dans une messagerie de classe) et, quand ton école a plusieurs classes de rhéto, par les élèves de toutes les classes de rhéto (environ 140 personnes), qui peuvent aussi lire le fil « Rhéto » où tu peux écrire. Dans ce fil, ta classe est écrite à côté de ton nom pour les élèves des autres classes. Le fil « Rhéto » est lisible par tous les élèves des classes de rhéto et par l'administrateur ; il n'est jamais lu par ADA ; les accusés de lecture, les GIF et les vocaux n'y existent pas. Tes options de cours, ta dernière fois en ligne et la liste des membres restent limitées à ta classe et à tes cours. Les notifications du fil Rhéto sont éteintes tant que tu ne les allumes pas.
• Ton adresse email n'est PAS visible des autres élèves.
• Ton rôle (délégué, administrateur) est visible de la classe, sous forme de badge — comme dans la vraie vie, tout le monde sait qui est délégué. Personne ne peut se l'attribuer soi-même.
• Les messages, échéances, documents et le journal d'un cours ne sont visibles que par les élèves de CE cours.
• Un message vocal, sa transcription et son résumé ont exactement la même audience que le message de chat auquel ils appartiennent. L'audio n'est jamais public.
• Une annonce est visible par l'audience que son auteur a choisie (ta classe, ton cours, l'école…) : qui n'en fait pas partie ne la voit pas. Selon le genre d'annonce, tout élève peut en publier, ou seulement un délégué ou un administrateur.
• Tes épingles ne sont vues que de toi : les fils du chat que tu épingles (la discussion d'une échéance ou d'une annonce, 12 au plus) et les annonces que tu épingles pour toi seul en haut de ta liste (5 au plus). Polaris ne garde qu'un identifiant et une date, ou un oui/non : aucun texte. Une annonce épinglée par défaut par l'administrateur (aujourd'hui celle de Kepler) apparaît en haut pour tout le monde ; si tu la désépingles, c'est pour toi seul, et elle ne revient pas. Un fil d'échéance épinglé s'efface 30 jours après la date de l'échéance, une annonce épinglée 30 jours après la fin de l'annonce ; un fil d'annonce épinglé reste tant que tu ne le retires pas (ou que l'annonce disparaît). Elles figurent dans « Télécharger mes données » et partent avec ton compte.
• Quand tu écris ou modifies quelque chose, ton nom y est associé (traçabilité) et visible des membres du groupe concerné.
• Dernière fois en ligne. Quand tu ouvres Polaris, il note l'heure (celle du serveur) de la dernière fois où l'appli était ouverte et visible sur ton appareil. Comme sur WhatsApp, tes camarades qui partagent une classe ou un cours avec toi la voient sur ta fiche (« Vu il y a 5 min », « Vu aujourd'hui à 14:32 », « Vu hier à 18:05 », « Vu le 2 oct. » : l'heure affichée est arrondie à la minute ; un camarade qui regarde ta fiche sans arrêt peut voir quand elle change, c'est pourquoi les lectures sont limitées, voir plus bas), un élève à la fois. Consulter la fiche d'un camarade (ou, pour un administrateur, la liste des membres) te marque aussi comme « en ligne ». Les administrateurs de Polaris, qui sont des élèves de la classe, la voient aussi, avec ton nom, dans la liste des membres : l'heure exacte pour aujourd'hui, « hier » ou un nombre de jours avant, et la date complète en touchant la ligne. Personne ne voit le détail de ce que tu as fait : une seule heure (pour l'administrateur : la plus récente entre cette ouverture, ton dernier message écrit et ta dernière connexion, et, tant que tu n'as pas rouvert Polaris depuis cette mise à jour, ta dernière lecture si « Lu par » est allumé). Tu peux la cacher dans Réglages avancés, « Montrer quand j'ai été en ligne » : tes camarades ne voient plus rien (Polaris n'affiche rien et ne dit jamais « caché » ; mais un camarade qui te voit écrire dans le chat peut en déduire que tu l'as cachée), les administrateurs lisent « masqué », Polaris n'enregistre plus rien et efface ce qu'il avait noté. C'est réciproque, administrateurs compris : si tu la caches, tu ne vois plus celle des autres (cela vaut pour la dernière fois en ligne ; l'heure de lecture de « Lu par » suit sa propre règle, voir « Accusés de lecture »). Rallumer ce réglage est limité (6 fois par jour), pour qu'on ne puisse pas l'allumer et l'éteindre en boucle pour regarder les autres sans être vu ; l'éteindre n'est jamais refusé. Cette fonction est allumée par défaut, aussi pour les comptes existants : il faut la couper soi-même pour la cacher. Sinon, elle est gardée tant que ton compte existe. Pour qu'on ne puisse pas surveiller quelqu'un, la lecture de la fiche d'un camarade est limitée (10 par minute, 100 par jour), et un administrateur ne peut relire la liste des membres qu'une fois toutes les 30 secondes et 300 fois par jour.
• Ton accord (l'ancien « Comment parler de toi ») : il n'y a plus de choix. Le badge de délégué s'écrit « Délégué » ou « Déléguée » d'après la mention « masculin » ou « féminin » de ton dossier Smartschool si tu l'as liée, « Délégué » sinon : la classe voit ce mot, pas la mention. Techniquement, la base de données garde cette mention et l'ancien choix de ceux qui l'avaient fait ; pour un délégué seulement, une forme calculée à partir d'elles est lisible de la classe par la base (c'est elle que le badge écrit). Pour un élève qui n'est pas délégué, rien n'est lisible par la classe.
• Les signaux de changement. Pour que les écrans se mettent à jour sans que tu aies à les recharger, Polaris note, quand ton profil (nom, surnom, avatar), ton rôle, ta photo ou tes réglages changent, seulement : quel genre de changement, chez qui, et à quelle heure. Jamais la valeur, jamais un contenu. Les signaux de profil, de rôle et de photo sont lisibles des personnes qui voient déjà ton nom et ta photo (celles qui partagent une classe ou un cours avec toi) ; celui de tes réglages n'est lisible que de toi (tes autres appareils se mettent à jour). Il n'y a pas d'historique : une seule ligne par genre de changement et par personne, remplacée à chaque fois, et effacée avec ton compte.
• Les accusés de lecture (« Lu par ») ne sont visibles que de l'auteur du message, sur son propre message, et avec l'heure de lecture et de réception (sauf pour qui a coupé « Montrer quand j'ai été en ligne »), voir la section « Accusés de lecture ».
• Tes options de cours sont visibles de la classe sur ton profil quand le réglage « Profil visible par la classe » est allumé (Profil → Réglages avancés). Il est allumé d'office pour les comptes créés depuis août 2026 ; tu peux le couper à tout moment.
• Les sondages des annonces sont nominatifs par défaut : la classe voit qui a voté quoi, comme sur WhatsApp. L'auteur peut choisir un sondage anonyme avant de le publier ; personne, pas même lui, ne voit alors la liste des votants. Les sondages créés avant ce changement sont restés anonymes.
• Une notification affiche sur l'écran de ton appareil, même verrouillé, le prénom (ou le surnom) de l'auteur et le début du message (160 signes au plus ; un vocal s'affiche « Message vocal »). Quelqu'un qui regarde ton écran peut donc le lire. Tu peux régler les notifications une par une. Si tu les « coupes » dans Polaris (réglage « Seulement l'essentiel »), ton appareil reste branché : Polaris ne t'envoie plus alors que les alertes importantes (par exemple une grève ou un changement d'horaire annoncé par un délégué ou un administrateur, ou, pour l'administrateur, un signalement grave), jamais les messages du chat. Ce choix est gardé sur ton compte, côté serveur, pour que Polaris sache lesquelles envoyer ; tu peux le changer à tout moment dans Réglages → Notifications. Pour ne plus rien recevoir du tout, retire l'autorisation dans les réglages de ton téléphone ou de ton navigateur. Quand Polaris s'ouvre sur un appareil qui n'est pas encore branché, il te le propose (au plus une fois tous les trois jours si tu réponds « Plus tard »).

Ce que voient les administrateurs et les délégués

Aujourd'hui, l'administrateur de la classe est un élève, comme toi. Voici, en plus de ce qui précède, ce que lui (ou un délégué, quand c'est dit) peut lire pour faire respecter les règles et garder Polaris en état. Tout est protégé par le serveur, et rien de cela n'est lisible des autres élèves.

• Les conversations ADA partagées (administrateur, seulement les élèves qui l'ont eux-mêmes allumé, éteint par défaut) : leurs conversations avec ADA gardées sur le serveur, en lecture seule, sans le nom de l'élève (ni nom, ni classe : une conversation, sa date, un numéro), quelle que soit sa classe. Quand un élève éteint ce réglage (ou coupe la garde de ses conversations), ses conversations disparaissent de cet écran tout de suite. Aucun délégué, aucun autre élève n'y a accès. Il ne lit que les conversations créées après l'allumage, avec les extraits de messages d'autres personnes remplacés par une mention. Chaque ouverture est notée chez l'élève concerné (quand ; jamais le contenu) et l'élève concerné la voit ; ces notes sont effacées après 90 jours. Voir « Intelligence artificielle (ADA) ».
• Le journal des suppressions (administrateur) : quand un message, une annonce, une échéance, une pièce ou un sondage est supprimé, Polaris note ce que c'était, qui l'a supprimé, quand et comment, avec les 80 premiers signes du texte. Aucun texte n'est gardé quand c'est l'auteur qui supprime son propre message, ni pour un rappel personnel. Conservé 1 an.
• Les messages signalés (l'administrateur seul, pour toutes les classes — comme sur WhatsApp, un signalement ne remonte pas aux délégués) : quand quelqu'un signale un message, l'administrateur voit un extrait de 200 signes, le motif, la précision éventuelle et le nom de la personne qui a signalé. Les délégués ne reçoivent rien : ni la liste, ni l'extrait, ni un chiffre, ni une notification. L'auteur du message ne voit jamais ce qui le vise ni qui l'a fait. Un signalement n'enlève rien tout seul ; l'administrateur peut masquer le message (il disparaît pour toute la classe, son auteur compris, en attendant sa décision), puis le rendre visible ou le retirer pour de bon. Une alerte « Un signalement urgent attend » (sans aucun extrait) peut lui être envoyée pour un signalement grave. Effacé après 180 jours (sauf un message encore masqué, qui attend la décision).
• Les annonces signalées (l'administrateur seul, pour toutes les classes et tous les groupes de cours — même règle et même page « Signalements » que les messages signalés : un signalement ne remonte pas aux délégués) : quand quelqu'un signale une annonce ou une réponse, l'administrateur voit un extrait de 200 signes (y compris pour une annonce de cours, qu'il lit même s'il n'est pas du groupe), le texte actuel de l'annonce, le motif, la précision éventuelle et le nom de la personne qui a signalé. Les délégués ne reçoivent rien : ni la liste, ni l'extrait, ni un chiffre, ni une notification. L'auteur ne voit jamais ce qui le vise ni qui l'a fait. Un signalement n'enlève rien tout seul ; l'administrateur peut retirer l'annonce (ou la réponse) signalée. Une alerte « Un signalement urgent attend » (sans aucun extrait) peut lui être envoyée pour un motif grave. Effacé après 180 jours.
• Les annonces retenues par ADA (l'administrateur seul) : quand ADA ne laisse pas publier une annonce (voir « Annonces relues par ADA »), l'administrateur peut lire dans son espace le texte que tu voulais publier, la raison donnée par ADA, le motif, la date et ton nom. L'annonce n'est jamais publiée ni montrée à la classe ; rien n'est compté contre toi et aucune sanction n'en découle. Pour un contenu clairement inapproprié, l'administrateur reçoit une notification qui ne montre ni le texte ni ton nom. Les délégués ne reçoivent rien. Effacé après 30 jours, et avec ton compte ; figure dans « Télécharger mes données ». Si tu expliques ta réponse à ADA et qu'elle laisse finalement passer ton annonce, ce qui avait été retenu est effacé.
• Le journal de modération (administrateur, pour toutes les classes) : chaque fois qu'un délégué ou l'administrateur nomme ou retire un délégué, retire ou rend un surnom, marque un signalement « traité » (ou le rouvre), masque un message signalé ou décide de le rendre visible ou de le retirer, Polaris note qui a fait le geste, sur qui (ou sur le message de qui), quand et, pour un signalement, la raison choisie par celui qui a signalé (effacée au bout de 180 jours, comme le signalement) — jamais le texte du message. Sur la carte d'un signalement, l'administrateur lit « Traité par [prénom] » ; la personne qui a signalé ne le voit jamais, et personne ne lit dans ce journal ce qui le concerne lui-même. Aucun élève ni délégué n'a accès au journal lui-même. Conservé 1 an, puis effacé ; si ton compte est supprimé, ton nom en disparaît.
• Le journal de sécurité (administrateur) : seuls les refus sont notés (compte, adresse de la page visée, motif, heure) — ni le contenu des requêtes, ni l'adresse IP, ni ce qui a réussi. L'administrateur voit un total par motif sur 7 jours et, avec le nom du compte, les séries de refus de la dernière heure. Conservé 30 jours.
• Le « pourquoi » d'une proposition d'ADA (administrateur, seulement pour les propositions de sa classe ou de son groupe) : une ou deux phrases (300 signes au plus) expliquant pourquoi ADA a proposé une échéance, qui peuvent citer le message d'origine. Elles sont effacées avec la proposition (180 jours) et tout de suite si le message est supprimé ou modifié. Ni les délégués ni les autres élèves ne les lisent.
• Le thème et la façon d'ouvrir Polaris (administrateur seulement, dans la fiche d'un membre, quand il l'ouvre) : pour comprendre le bug que quelqu'un signale — dans ADA, dans le chat, ou ailleurs —, l'administrateur voit le thème que tu utilises en ce moment (le nom et clair ou sombre), et les façons dont tu as ouvert Polaris ces 30 derniers jours (par exemple « Android · appli web installée » ou « Windows · appli PC »), avec le jour de la dernière fois pour chacune (si tu as éteint « Montrer quand j'ai été en ligne », il ne voit aucune de ces façons, ni quand ni comment, seulement ton thème). Rien de plus : ni le modèle de ton appareil, ni sa version, ni son adresse, ni l'heure, ni le nombre d'ouvertures, ni ce que tu y as fait. Il ne voit qu'un membre à la fois, jamais la liste de la classe, et la fonction est limitée en nombre d'appels. Tu vois la même chose, au même endroit : Réglages avancés, « Ce que l'admin voit de toi ». C'est une exception à « combien, jamais qui » (voir « Mesure d'usage »).
• Ce que coûte ADA, élève par élève (administrateur seulement) : l'administrateur paie les services d'intelligence artificielle de sa poche. Il voit donc, pour chaque élève, combien de questions et d'appels ont été faits à ADA, les jours où il l'a utilisée et ce que cela a coûté, y compris la transcription de tes vocaux. Il ne voit jamais ce que tu as demandé ni ce qu'ADA a répondu. Ton nom est effacé de ces lignes après 60 jours ; le coût, lui, reste, sans nom. Les délégués et les autres élèves ne voient rien de cela.
• Les alertes de crédits d'IA (administrateur seulement) : quand un service d'intelligence artificielle répond que les crédits de Polaris sont épuisés ou que sa clé est refusée, Polaris envoie une notification à l'administrateur (au plus une par service et par heure) et le note dans Analytics → Santé. Une alerte ne contient aucune donnée d'élève : un service, une cause (crédits ou clé), des dates et un compteur — jamais un nom, jamais ce que quelqu'un a écrit. De ton côté, tu lis seulement « ADA est en panne pour l'instant (côté fournisseur) » et le prénom de la personne prévenue. L'administrateur peut aussi recopier à la main le solde de ses comptes pour estimer les jours qui restent : cela ne concerne aucun élève.
• Qui ouvre Polaris, et comment (administrateur seulement, dans Analytics, carte « Plateformes ») : l'administrateur peut toucher une ligne(par exemple « Windows · appli PC ») pour voir le nom des élèves qui ont ouvert Polaris de cette façon ces 30 derniers jours, avec le jour de la dernière fois. Si tu as éteint « Montrer quand j'ai été en ligne », ton nom n'y paraît jamais : tu es seulement compté, avec ceux qu'il ne voit pas, dans un total « non nommés » (« 1 élève (non nommé) »). Rien de plus : ni le modèle de ton appareil, ni son adresse, ni l'heure, ni le nombre d'ouvertures, ni ce que tu y as fait. Une seule ligne à la fois, et la fonction est limitée en nombre d'appels. C'est la même exception que celle de la fiche d'un membre (voir « Mesure d'usage »).
• La fiche d'un membre (administrateur seulement, quand il l'ouvre) : pour aider quelqu'un qui a un souci (« je n'ai pas mon cours », « je ne reçois pas les notifications »), l'administrateur voit ta classe, tes cours, tes options (même si ton profil est privé pour tes camarades), si ton compte Google et ton compte Smartschool sont liés (oui ou non, jamais un identifiant), et si au moins un appareil est abonné aux notifications (oui ou non, jamais un nombre ni une date ; si tu as éteint « Montrer quand j'ai été en ligne », il ne voit pas cette ligne). Il ne voit qu'un membre à la fois, jamais la liste de la classe, et la fonction est limitée en nombre d'appels. Tu vois exactement la même chose, au même endroit : Réglages avancés, « Ce que l'admin voit de toi » (si tu as éteint « Montrer quand j'ai été en ligne », l'écran te montre « Masqué » pour les notifications, comme à lui).
• Ton activité, en nombres (administrateur seulement, dans la fiche d'un membre, quand il l'ouvre) : pour comprendre qui participe et à quoi sert ADA, l'administrateur voit, sur 4 semaines entières, jusqu'au dernier lundi, combien de messages tu as envoyés dans la Classe, dans le Hors-sujet et dans les discussions d'échéance ; combien d'échéances tu as ajoutées (pas tes rappels personnels), combien d'annonces tu as publiées si tu es délégué, combien de fois tu as voté à un sondage non anonyme ; et, pour ADA, le nombre d'appels et leur coût estimé (conversations, outils comme la lecture d'une photo de journal, repérage d'échéances en arrière-plan). Ce sont des nombres, rien d'autre : jamais le contenu de tes messages, de tes questions ou de tes échéances, jamais l'heure ni le jour d'un message, jamais « dernier message à telle heure ». Tu vois exactement les mêmes nombres, au même endroit : Profil, Réglages avancés, « Ce que l'admin voit de toi ». Ces nombres ne sont remis à jour qu'une fois par semaine, le lundi, pour qu'ils ne disent rien du moment où tu as écrit — que tu aies éteint « Montrer quand j'ai été en ligne » ou non (éteint, tes nombres restent visibles : ce n'est pas de la présence). Un nombre peut baisser si tu supprimes un message, une annonce ou une échéance, ou si tu changes ton vote : cela ne dit jamais quoi, ni à quelle heure (pour une suppression dans ta classe, l'administrateur la lit déjà dans le journal des suppressions, voir plus haut ; un changement de vote ne laisse aucune trace ailleurs). Il ne voit qu'un membre à la fois, jamais la liste de la classe ni un classement, et la fonction est limitée en nombre d'appels. Le coût d'ADA est conservé 60 jours, comme les appels eux-mêmes.

Accusés de lecture (« Lu par … »)

C'est facultatif, et activé tant que tu ne l'as pas coupé. À ton arrivée sur Polaris, une question te demande : « Montrer aux autres quand tu as lu leurs messages ? » Tu réponds Oui ou Non (si tu ne réponds pas, le réglage reste activé). Tu peux changer d'avis à tout moment dans Profil → Réglages avancés → Accusés de lecture. Pour les élèves déjà inscrits avant cette fonction, il est activé d'office ; la question leur est posée dans une annonce de Polaris, où ils peuvent le couper.

Ce qui est enregistré, si tu le laisses activé. Pour chaque endroit où tu lis (le chat de classe, le Hors-sujet, la discussion d'une échéance, les annonces), Polaris retient jusqu'à quel message ou quelle annonce ton écran a affiché, et seulement quand Polaris est ouvert au premier plan, et à quelle heure (celle du serveur) ton écran l'a affiché : c'est ce que voit l'auteur du message. Polaris garde au plus les 40 derniers de ces moments par endroit, pendant 30 jours au plus ; il n'enregistre ni combien de temps tu as regardé, ni ce que tu as fait du message.

Reçu par. Si tu laisses les accusés de lecture activés, Polaris retient aussi, pour chaque endroit où tu lis, jusqu'à quel message est arrivé sur ton appareil, même si tu ne l'as pas encore lu. « Arrivé » veut dire : soit Polaris était ouvert et a chargé le message, soit la notification de ce message est arrivée sur ton appareil — même si l'application était fermée, à condition que tu aies activé les notifications (comme sur WhatsApp). Dans ce second cas, le petit programme de Polaris qui affiche les notifications (le « service worker ») envoie à Polaris, au moment où la notification arrive, l'identifiant du message — rien d'autre — avec ta session ; Polaris ne l'enregistre dans « Reçu par » que si les accusés de lecture sont activés (seul un compteur technique de cadence, une ligne par minute, effacé au bout d'une heure, est tenu dans tous les cas). Le repère étant « tout le fil jusqu'à ce message », un message qui ne t'a jamais été notifié (envoyé en silence, ou d'une personne que tu as masquée) peut être compté comme reçu — et daté — quand le message suivant arrive. Si tu coupes les notifications, ou si ton appareil est éteint ou sans réseau, rien n'arrive : tu seras « reçu » à l'ouverture de l'application. L'auteur d'un message voit, sur ses propres messages seulement, les noms de ceux qui l'ont reçu sans l'avoir lu, et à quelle heure le message est arrivé sur leur appareil. Tout s'efface dès que tu coupes le réglage (tu n'apparais alors dans aucune liste, et les heures sont supprimées avec le reste) ; l'historique est limité aux 40 derniers moments par endroit, 30 jours au plus. Une heure de réception dit que ton appareil était connecté, ou Polaris ouvert, à ce moment-là : c'est ce que WhatsApp montre aussi.

Qui le voit. Seulement l'auteur d'un message (ou d'une annonce), sur son propre message : une liste « Lu par » (les noms de ceux qui l'ont lu) et une liste « Pas encore lu ». Sous tes messages, tu vois aussi des coches : une coche = envoyé ; deux coches grises = lu par au moins une personne de la conversation qui a activé ce réglage ; deux coches de couleur = lu par toutes (et seulement quand au moins trois autres personnes de la conversation l'ont activé, pour qu'une coche ne désigne jamais une ou deux personnes précises). Les noms affichés sont ceux que chacun a choisis (prénom ou surnom). L'auteur d'un message voit aussi À QUELLE HEURE chacun l'a reçu et lu (« 14:32 », « Hier, 14:32 », « 2 oct., 14:32 »), comme sur WhatsApp — et à lui seul : ni les autres élèves, ni les délégués, ni les administrateurs ne voient l'heure à laquelle tu as lu un message qui n'est pas d'eux. Personne ne peut consulter ce que tu as lu d'autre que ce « Lu par » sur un message dont il est l'auteur. Si Polaris ne connaît pas l'heure exacte (message ancien, ou lu avant cette fonction), il n'en invente pas : ton nom s'affiche sans heure. Si tu as coupé « Montrer quand j'ai été en ligne » (Réglages avancés), ton nom s'affiche aussi sans heure : ni l'heure à laquelle tu as lu, ni celle à laquelle ton appareil a reçu le message n'est alors montrée.

C'est réciproque. Si tu dis non, personne ne voit si tu as lu leurs messages, et tu ne vois pas non plus qui a lu les tiens (ni les coches de lecture). Une personne qui a dit non n'apparaît dans aucune liste, ni dans « Lu par » ni dans « Pas encore lu » : l'auteur d'un message peut donc comprendre qu'elle l'a coupé, sans que son réglage soit montré directement.

Si tu changes d'avis. Dès que tu dis non, ce que Polaris avait retenu de tes lectures est effacé. Si tu redis oui, on repart de zéro : tu n'apparais comme lecteur qu'à partir de ce que tu relis. Où c'est gardé : dans la base de données de Polaris (Supabase, Union européenne), comme le reste. Cette donnée n'est jamais envoyée à ADA ni à un service d'intelligence artificielle, et elle disparaît avec ton compte.

Où et comment c'est protégé

• Hébergement dans l'Union européenne (serveurs Supabase, région Francfort) et sur Vercel.
• Chiffrement au repos (AES-256) et HTTPS partout.
• Les documents que tu ajoutes sont dans un espace privé ; on n'y accède qu'avec un lien temporaire signé (valable ~60 secondes), généré seulement pour les membres du cours.
• Les enregistrements vocaux sont eux aussi dans un espace privé. Avant de produire un lien d'écoute valable environ 60 secondes, le serveur vérifie que tu peux lire le message correspondant.

Honnêteté : ce n'est PAS du chiffrement « de bout en bout ». Le serveur peut techniquement lire les contenus — c'est nécessaire pour l'assistant ADA (voir plus bas). Nous ne le faisons pas pour d'autres raisons, et jamais pour entraîner une IA. Le responsable de Polaris administre la base de données : il peut donc techniquement lire plus que ce que l'application te montre (par exemple une date de naissance, qu'aucun écran ne montre).

Intelligence artificielle (ADA)

Polaris comporte une assistante, ADA. Elle répond à des questions sur la vie de la classe et elle propose des échéances d'agenda à partir de ce qui s'écrit dans le chat. Elle ne crée jamais rien toute seule : quelqu'un doit accepter chaque proposition, et ADA n'a aucun droit d'écriture dans l'application — c'est verrouillé dans la base de données, pas seulement dans le code.

Tes conversations avec ADA sont gardées par défaut, sur le serveur de Polaris, en Europe(Supabase) — et non sur ton appareil — pour que tu les retrouves sur tous tes appareils et qu'ADA se souvienne de ce que tu lui as dit. Rien d'autre n'en est fait. Elles sont lisibles par toi seul dans Polaris — pas par les autres élèves, pas par les délégués, et pas par un administrateur de l'application, sauf si tu l'as toi-même décidé (voir juste en dessous, « Partager avec l'administrateur », éteint par défaut). Tant que tu ne l'as pas décidé, rien ne lui ouvre tes conversations : l'écran de l'administrateur vérifie à chaque lecture que tu as allumé ce réglage (seul le responsable technique de la base pourrait, voir « Honnêteté »). Un avis te le dit la première fois que tu ouvres ADA (si tu ne l'avais pas déjà choisi toi-même), avec un bouton pour couper tout de suite. Tu peux couper à tout moment (Réglages → Réglages avancés → « Garder et retrouver mes conversations ») : plus rien n'est alors gardé, et la base elle-même refuse toute nouvelle écriture. Couper n'efface rien de ce qui a déjà été gardé, et ne t'empêche jamais de l'effacer (bouton « Historique » du fil ADA).Les titres de l'Historique. Pour donner à chaque conversation un titre court qui dit son sujet, sa première question et le début de la première réponse d'ADA partent chez OpenAI, prénoms de la classe retirés ; le titre rendu est gardé sur ton appareil seulement (rien n'est écrit sur le serveur). Une conversation dont la première question laisse penser que tu ne vas pas bien ne reçoit pas de titre et n'est pas envoyée. Un titre que tu choisis toi-même (« Renommer ») gagne toujours. Les comptes qui existaient avant ce changement ont gardé leur choix, sauf ceux dont le réglage était coupé sans qu'aucune conversation n'ait jamais été gardée (donc sans choix visible) : il a été allumé, et l'avis leur est montré une fois, avec le bouton pour couper. Si ce réglage est coupé, ta conversation en cours reste sur ton appareil et disparaît quand tu te déconnectes.

Partager tes conversations avec l'administrateur (éteint par défaut). Dans Réglages → Réglages avancés, tu peux choisir de laisser l'administrateur de Polaris — aujourd'hui un élève de la classe, comme toi — lire tes conversations avec ADA gardées sur le serveur, pour repérer ce qui ne marche pas et améliorer ADA pour tout le monde, sans savoir qu'elles viennent de toi : son écran ne montre ni ton nom, ni ta classe. Mais ce que tu écris toi-même (ton prénom, un détail sur toi) peut te faire reconnaître : Polaris ne le masque pas, et un avertissement te le dit avant d'allumer. Il n'en fait rien d'autre. Ce réglage est éteint pour tout le monde au départ, personne ne l'a allumé à ta place, et il ne peut s'allumer que si tu gardes tes conversations. L'administrateur les lit dans un écran en lecture seule : il ne peut ni les modifier, ni les effacer depuis cet écran. Il ne lira que les conversations créées après que tu as allumé le réglage, jamais celles d'avant. Dans ce qu'il lit, les messages d'autres personnes que tu cites dans une question, et les extraits entre guillemets français que les réponses d'ADA tirent du chat, sont remplacés par une mention, comme dans « Télécharger mes données ». Ce que Polaris ne peut pas repérer de façon fiable reste visible : une réponse d'ADA qui résume ou paraphrase un message, ou qui écrit le nom d'un élève. L'administrateur les verra donc. Tu peux l'éteindre à tout moment : l'écran de l'administrateur ne montre plus rien de toi dès qu'il est rechargé, et Polaris n'en garde aucune copie à part (les copies de sauvegarde chiffrées de toute la base, qui contiennent tes conversations gardées jusqu'à 30 jours, existent indépendamment de ce réglage : voir « Copies de sauvegarde »). Si tu coupes « Garder et retrouver mes conversations », le partage s'éteint aussi, et il ne se rallume pas tout seul quand tu rallumes la garde. Chaque fois que l'administrateur ouvre tes conversations, une ligne est notée à ton nom (la date, jamais le contenu ni le compte) et tu la vois sous l'interrupteur : « L'administrateur a ouvert une de tes conversations le … » (les trois dernières). Deux ouvertures à moins de dix minutes comptent pour une ; ces lignes sont effacées après 90 jours, figurent dans « Télécharger mes données » et partent avec ton compte. Si la note ne peut pas être écrite, l'écran de l'administrateur ne montre rien. Cette note est un engagement de l'application : elle ne couvre pas le responsable technique de la base, qui peut lire sans passer par l'écran (voir « Honnêteté »). Ce que l'administrateur a pu lire avant que tu éteignes, il ne peut pas être forcé de l'oublier : n'allume ce réglage que pour des conversations que tu acceptes de lui montrer.

Quand ce réglage est allumé (et que le « Mode sans IA » ne l'interdit pas), Polaris crée aussi une empreinte mathématique de chacune de tes questions pour pouvoir retrouver le bon passage plus tard. La question est d'abord pseudonymisée (noms d'élèves connus, emails et numéros retirés), puis envoyée au service d'embeddings d'OpenAI. L'empreinte et le passage restent liés à ta conversation, lisibles par toi seul, et disparaissent quand tu effaces celle-ci. Ils ne sont pas utilisés comme des faits : l'agenda et les annonces restent les seules références à jour.

Où vont les textes. Pour fonctionner, ADA envoie le texte concerné à un service d'intelligence artificielle. Aujourd'hui, Anthropic répond à tes questions dans ADA et lit les photos de journal de classe ; OpenAI fait le reste (proposer des échéances, résumer, lire une capture d'annonce ou un vocal…). Ces deux sociétés sont établies aux États-Unis : tes textes y sont donc transférés. Avant l'envoi, les noms des élèves sont remplacés par des étiquettes (« Élève-A »…) : le service ne reçoit ni ton nom, ni ton adresse email, ni ton identifiant. Une image ne peut pas être traitée de cette façon : une photo de journal ou une capture d'écran part telle qu'elle est, avec tout ce qu'elle montre (voir plus bas). D'après leurs conditions pour les services que Polaris utilise, ces textes ne servent pas à entraîner leurs modèles. De notre côté, c'est une règle que nous ne contournerons pas : jamais d'offre « gratuite » qui se rémunère avec tes données.

Publier une annonce depuis des captures d'écran. Quand tu publies une annonce à partir de captures (par exemple un message de Smartschool ; six images au plus), tes images partent chez OpenAI (le modèle « Luna ») pour que le texte soit recopié et que les noms de personnes soient repérés. Elles partent avec les noms encore visibles : le recadrage vient après. Polaris demande à OpenAI de ne pas les stocker (store: false), et rien ne part si tu as coupé l'IA (« Mode sans IA »). Ensuite, le serveur de Polaris recadre l'image sur le message et recouvre les noms repérés par des aplats opaques ; seule cette image recadrée est gardée, jamais l'original. Tu relis le texte et vois l'aperçu avant de publier. Le modèle peut manquer un nom : si tu en vois un, signale l'annonce. L'image jointe (« Voir la capture d'origine ») est lisible de ceux qui voient l'annonce, rangée dans un espace privé, et elle disparaît avec l'annonce (l'auteur peut supprimer la sienne) : pas avant, pas après. Si ton compte est effacé, elle reste avec l'annonce, sans ton nom. Sa fiche (pas l'image) est dans « Télécharger mes données ».

Annonces relues par ADA. Avant qu'une annonce ou la correction d'une annonce soit publiée, ADA la relit : le titre, le texte et les libellés de ton annonce (et, si ADA te pose une question, ta réponse) partent chez Anthropic, avec les noms des élèves remplacés par des étiquettes (« Élève-A »…) et sans ton nom, ton email ni ton identifiant. Les images, documents et captures jointes ne sont pas envoyés. ADA répond « c'est bon », pose une question, ou retient l'annonce parce qu'elle est clairement inappropriée pour une classe de mineurs ou qu'elle ne dit rien d'utile (pour une blague, le chat est fait pour ça) ; elle ne vérifie jamais si ce que tu écris est vrai. Rien n'est gardé quand ADA laisse passer l'annonce ou pose une question (seul le coût de l'appel est compté, comme pour tout appel à ADA). Si ADA retient ton annonce, tu lis pourquoi et tu peux la réécrire ou expliquer ; l'administrateur la voit alors avec ton nom (voir « Ce que voient les administrateurs et les délégués »). Si ADA est en panne, ou si tu as activé le « Mode sans IA » (ton texte ne part alors chez aucun service), l'annonce part comme avant, sans relecture.

Le panneau d'aide. Quand tu écris à ADA, Polaris regarde si tu as peut-être besoin d'aide (te faire du mal, par exemple) pour ouvrir, au bon moment, la fenêtre « Besoin de parler à quelqu'un ? ». Deux services d'OpenAI s'en occupent : l'API de modération (gratuite) lit ton message et les précédents, et un second modèle (« Luna ») lit tes trois derniers messages (600 signes chacun au plus) pour comprendre la cause et le contexte ; si ADA te demande « est-ce que ça ne va vraiment pas ? », ta réponse est lue de la même façon. Les noms des élèves de la classe sont remplacés avant l'envoi, et le « Mode sans IA » empêche aussi ces envois. Polaris ne garde aucune trace du verdict : ni table, ni compteur, ni journal de « doute » ou de « détresse », et personne n'est prévenu. Seul le coût de l'appel du second modèle est compté, comme celui de tout appel payant (voir « Ce que coûte ADA ») : il ne dit rien du résultat. Ce que tu as écrit reste en revanche une conversation comme une autre : gardée sur ton compte si tu gardes tes conversations, et lisible de l'administrateur, sans ton nom, seulement si tu as choisi de les lui partager. Si ces services sont en panne, une liste de mots prend le relais sur le serveur de Polaris.

« Résumer » ce que tu as manqué dans le chat. Quand tu reviens dans le fil Classe avec au moins 15 messages non lus, une pastille « Résumer » te le propose ; rien ne part tant que tu ne la touches pas. Si tu la touches, les messages non lus (sur 30 jours au plus), noms des élèves remplacés, partent chez OpenAI : d'abord le service de modération, qui lit chaque message (600 au plus), puis un modèle (« Luna ») qui en reçoit 120 au plus et écrit cinq points au plus. Ne sont jamais envoyés : tes propres messages, ceux du Hors-sujet, les messages transférés, ceux des personnes que tu as masquées et ceux des comptes en « Mode sans IA », ni le titre d'une annonce ou d'une échéance partagée qu'un tel compte a écrite. Un message qui semble dire que quelqu'un ne va pas bien n'est pas donné au modèle : le résumé le signale par une phrase sans détail, personne n'est prévenu et Polaris ne garde aucune trace du verdict. Le résumé n'est pas gardé sur le serveur : il reste dans la page ouverte et disparaît à ta déconnexion ; seul le coût de l'appel est compté. En « Mode sans IA », la pastille n'apparaît pas.

« @ADA » dans le fil Classe. Quand tu écris « @ADA » dans un message du fil Classe, ce message part chez le fournisseur d'ADA, comme une question posée à ADA, avec, selon le cas : le message auquel il répond (sauf si son auteur est en « Mode sans IA » ou que tu l'as masqué), ta question précédente quand tu réponds à ADA, et, si ta question porte sur ce qui s'est dit, les derniers messages du fil Classe (40 au plus, noms remplacés, sans ceux des comptes en « Mode sans IA » ni ceux que tu as masqués), comme quand tu poses la question à ADA. Là, ADA ne sait que ce que toute la classe sait : ni tes échéances de groupe, ni tes conversations avec elle, ni ce qui ne concerne que toi. Avec « Tous », sa réponse est publiée dans le fil Classe, sous ton message, et toute la classe la lit ; avant cela, elle passe par la modération d'OpenAI (noms des élèves remplacés), et si elle n'est pas jugée sûre, elle reste pour toi seul. Avec « Seulement moi », rien n'entre dans le fil : la réponse reste sur ton appareil (sept jours au plus, effacée à ta déconnexion), et tu peux ensuite choisir de la publier. En « Mode sans IA », « @ADA » n'existe pas.

« @ADA » dans la discussion d'un devoir ou d'une annonce. Ça marche comme dans le fil Classe, avec trois différences. ADA reçoit aussi le devoir ou l'annonce dont on parle (titre, genre, matière, date et ce qu'il dit), sauf si son auteur est en « Mode sans IA » ; elle ne lit ni les autres messages de cette discussion ni le fil Classe. Pour un devoir, ADA reçoit aussi le titre et le genre des documents qui y sont joints (huit au plus), et elle peut en regarder un (photo ou PDF) quand ta question le demande : seulement ceux que tu vois, jamais ceux déposés par un élève en « Mode sans IA », et jamais une correction encore cachée avant l'interro. Le nom de qui l'a déposé ne part pas, mais une photo part telle qu'elle est (d'abord à la modération d'OpenAI, puis chez le fournisseur d'ADA) : un nom écrit sur la feuille photographiée n'est pas remplacé. Le texte d'un PDF qui contient le nom d'un élève n'est pas envoyé du tout. Enfin, il n'y a pas de « Seulement moi » : la réponse est publiée dans la discussion, pour tous ceux qui la lisent, après la même modération ; si elle n'est pas jugée sûre, elle reste pour toi seul.

Les « choix rapides » (Decisions API d'OpenAI). Polaris pose aussi à OpenAI des questions fermées (« oui ou non », « laquelle de ces catégories ? ») pour quatre usages. (1) Trier ta photo de journal avant de la lire : l'image part d'abord chez OpenAI, qui répond seulement « est-ce une page de journal ? » ; si oui, elle part ensuite chez Anthropic pour être lue. (2) Choisir à quel point ADA réfléchit : ta question et tes trois derniers messages, noms remplacés. (3) Vérifier qu'un bout de chat parle bien d'une échéance avant de le faire lire en détail : une courte fenêtre du chat, noms remplacés, part chez OpenAI (en plus de la lecture du chat par ADA, décrite plus haut). (4) Décider si une photo postée dans la discussion d'une échéance est utile à cette échéance : la photo (jamais ta légende ni ton nom), avec seulement le titre de l'échéance, son genre et sa matière, part chez OpenAI, qui répond « utile ou non » et dans quelle catégorie de documents la ranger (énoncé, théorie, synthèse, correction, autre). Si elle est utile, elle entre dans les documents de l'échéance, signalée « rangée par ADA » ; sinon elle reste simplement dans la discussion. Cela n'arrive qu'une fois, juste après l'envoi de ta photo, et seulement pour ta propre photo. Elle reste lisible dans la discussion par le groupe quoi qu'ADA décide, et tu peux la ranger ou la retirer toi-même (un administrateur aussi). Polaris ne garde aucune de ces réponses (sauf, pour le (4), son effet visible : le document rangé et sa catégorie) : seuls le nombre d'appels et leur coût sont comptés, comme pour tout appel payant. Les comptes en « Mode sans IA » n'y participent pas. Ce service peut être éteint sans toucher à l'appli ; il est allumé sur la version de test.

« Corrige mon interro ». Tu joins les photos ou le PDF de ta copie ; les pages (six au plus) partent chez OpenAI (le modèle « Luna ») pour être lues et corrigées, avec la demande de ne pas les stocker (store: false). Polaris ne garde jamais les photos : seulement la correction (les questions, tes réponses, les bonnes réponses, les explications) et son PDF, à ton nom, lisibles de toi seul (pas de la classe, pas d'un délégué, pas de l'admin dans l'appli), gardées 12 mois ou jusqu'à ce que tu les supprimes. Si ce que tu as écrit laisse penser que tu ne vas pas bien, ADA ne fabrique aucun document et ouvre « Besoin de parler à quelqu'un ? ». Les noms de la classe sont retirés avant tout envoi à un second modèle.
Partager à la classe est un choix, jamais automatique : ADA réécrit les questions, les bonnes réponses et les explications dans un PDF qui ne porte ni ton nom, ni ta note, ni tes réponses, et tu le vois en entier avant de publier. Ton nom n'apparaît ni sur le PDF ni pour la classe. Seul l'admin de Polaris peut retrouver qui a partagé, en cas d'abus (un registre garde qui a partagé quelle copie, pour quelle interro et quand ; il part avec ton compte, et la copie avec lui). Tu peux retirer ta copie à tout moment.
Signaler une erreur. Un camarade qui voit une erreur dans une copie partagée peut la signaler. Le signalement va à l'admin seul : ni la classe, ni la personne qui a partagé n'apprennent qui a signalé. À partir de deux signalements de personnes différentes, la copie porte pour tout le monde la mention « Signalée — en cours de vérification ». Quand l'admin tranche, chaque personne qui avait signalé reçoit un court message. Un signalement traité est supprimé au bout de 90 jours ; un signalement en attente reste jusqu'à ce que l'admin le traite ; il part avec le compte de celui qui l'a fait.

Photos, PDF et questions à voix haute pour ADA. Tu peux joindre à une question jusqu'à quatre photos et deux PDF, ou la poser à voix haute. Les photos sont réduites sur ton téléphone (ce qui retire leurs informations cachées, comme le lieu), puis vérifiées par la modération d'OpenAI avant tout : une image refusée ne va pas plus loin. Elles sont ensuite lues par le modèle d'ADA (OpenAI ou Anthropic). Le texte d'un PDF est extrait sur ton téléphone, le fichier ne le quitte jamais ; seul ce texte, prénoms de la classe retirés, part chez le modèle (une page scannée part comme une photo, avec la même vérification). Une question dite à voix haute (seulement si tu as activé les vocaux dans tes réglages) part chez xAI (Grok) pour être transcrite, puis suit le chemin d'une question écrite. Polaris ne garde ni les photos, ni les PDF, ni l'audio : seule une mention (« 📎 2 photos », « 🎙️ Message vocal ») et le texte de ta question restent dans ta conversation ; pour le vocal, seule sa durée est comptée, sans contenu. Une photo ne peut pas être pseudonymisée : elle part telle qu'elle est, avec tout ce qu'elle montre (un visage, un nom écrit). D'après leurs conditions API, OpenAI et Anthropic ne s'en servent pas pour entraîner leurs modèles ; combien de temps chacun de ces services (OpenAI, Anthropic, xAI) garde ce qu'il reçoit est expliqué dans « Combien de temps chez eux », juste en dessous.

Messages vocaux. Cette fonction est facultative : chacun l'active lui-même dans ses réglages avancés. Si tu l'actives puis envoies un vocal, l'audio est transmis à xAI (Grok) pour le transcrire. Grok retire les hésitations pendant la transcription. Pour un vocal long, si le résumé est activé, la transcription seule est ensuite envoyée à OpenAIpour produire un résumé ; elle n'est pas réécrite par ce second service. Aucun historique du chat ni identifiant de compte n'accompagne ces envois. Le contenu prononcé, y compris un nom dit à voix haute, peut en revanche être présent dans l'audio et sa transcription. L'audio original reste accessible et fait foi ; une transcription nettoyée et un résumé peuvent comporter des erreurs.

Combien de temps chez eux. Pour les réponses d'ADA, la lecture des captures et celle des photos, Polaris demande explicitement à OpenAI de ne pas stocker l'objet de réponse (store: false). Ce n'est pas un réglage que Polaris pose pour l'API de modération ni pour les « choix rapides » : les règles générales d'OpenAI s'y appliquent. OpenAI et Anthropic peuvent néanmoins conserver des journaux techniques de sécurité pendant jusqu'à trente jours pour détecter les abus. xAI annonce une conservation API de trente jours par défaut et propose une option de conservation nulle ; Polaris ne considère pas cette option comme acquise sans vérification du compte. Pour les textes pseudonymisés envoyés à OpenAI ou Anthropic, ni nom, ni email, ni identifiant Polaris ne sont inclus.

Tu peux dire non. Le réglage « Mode sans IA », dans tes réglages avancés, bloque tout envoi de tes contenus à un fournisseur d'IA : tes messages, tes questions directes, tes vocaux, tes photos de journal, les photos, PDF et questions à voix haute que tu joins à ADA, tes captures d'annonces, le panneau d'aide, les « choix rapides » et l'indexation de tes conversations. Les vocaux ont en plus leur propre interrupteur, désactivé par défaut ; il vaut aussi pour les questions posées à voix haute à ADA. Les anciens « souvenirs » automatiques d'ADA sont désactivés : ADA ne les crée plus et ne les utilise plus. S'il en reste sur ton compte, ils sont visibles et effaçables par toi seul dans tes réglages.

Avis et signalements. Un pouce positif n'envoie que la note et le modèle. Avec ta confirmation, un pouce négatif envoie aussi la question et la réponse après retrait des noms d'élèves connus, emails et numéros, sans ton nom. Ce n'est pourtant pas totalement anonyme : chaque avis garde la minute où il a été donné et un code qui change chaque jour, ce qui permettrait, en croisant avec d'autres traces, de retrouver qui l'a envoyé. Ces données sont supprimées après 90 jours. Un problème qu'ADA prépare n'est transmis à l'administrateur qu'après ta confirmation : les brouillons sont supprimés après 30 jours et les signalements envoyés après un an.

Ce qu'ADA ne fera pas : il ne surveille pas les comportements, il ne produit aucun jugement sur quelqu'un, et il ne rend de compte à personne — ni professeur, ni parent, ni direction. Résumer pour toi est un service ; produire un avis sur toi, livré à un tiers, serait de la surveillance, et Polaris ne le fera pas.

Mesure d'usage (pour améliorer Polaris)

Polaris compte les utilisations de ses fonctions : quand quelqu'un ouvre une surface (le chat, l'agenda…) ou utilise une fonction (envoyer un message, poser une question à ADA), l'application enregistre le nom de la fonction, qui, et quand — jamais le contenu (ni le message, ni le titre, ni la question). Ces données servent uniquement à comprendre ce qui est utile et ce qui ne l'est pas, s'affichent seulement en chiffres agrégés (ces traces servent aux totaux de la classe ; ce que l'administrateur voit élève par élève est limité aux exceptions listées plus bas, et à la liste des membres, qui montre à l'administrateur la dernière fois où chacun était en ligne, sauf s'il l'a cachée, et dont la fiche de chaque camarade la montre à la classe — voir « Qui voit quoi »), sont conservées 120 jours puis supprimées, et restent dans notre base de données.

Pas de Google Analytics, pas de publicité, pas de pisteur publicitaire. Pour savoir si l'appli est rapide et quelles pages servent, Polaris utilise deux mesures de son hébergeur Vercel (Speed Insights et Web Analytics) : sans cookie, sans ton nom ni ton adresse e-mail. Speed Insights mesure les temps de chargement sur environ 30 % des visites ; Web Analytics compte les pages vues. Les adresses de page sont nettoyées dans ton navigateur avant l'envoi (ni paramètres, ni identifiants), et Vercel y associe le type d'appareil, le navigateur et le pays. Vercel est une société américaine.

Le journal technique des erreurs. Quand l'appli plante (un écran « Quelque chose s'est mal passé », une erreur du serveur), Polaris enregistre ce qui a planté, jamais qui : le type d'erreur, un message technique nettoyé (sans adresse e-mail, sans nom, sans rien de ce que tu as écrit), la page sans ses paramètres, la version de l'appli, la famille de navigateur et l'heure. Ni ton nom, ni ton identifiant, ni ton adresse réseau n'y sont gardés. Seul l'administrateur le lit, pour réparer ; il est effacé au bout de 30 jours.

Le journal de vitesse. Pour rendre l'appli plus rapide, Polaris note combien de temps tu as attendu, jamais qui : le temps d'ouverture d'une page ou de passage d'un écran à l'autre, la page sans ses paramètres ni identifiants (« une échéance », pas laquelle), le type d'appareil et de navigateur, le type de réseau annoncé par le navigateur (4G, 3G…), la version de l'appli et l'heure (arrondie à l'heure). Ni ton nom, ni ton identifiant, ni ton adresse réseau, ni rien de ce que tu as écrit n'y sont gardés. L'administrateur n'en voit que des temps résumés (« 3 fois sur 4, moins de 0,4 s ») ; ces résumés peuvent être publiés (par exemple dans un rapport sur la vitesse de l'appli), arrondis, jamais pour la journée en cours ni pour moins de 5 mesures. Il est effacé au bout de 30 jours.

Ces chiffres sont exacts, même quand ils ne concernent qu'une seule personne (par exemple « 1 élève a choisi ce thème »). Pour tout ce que Polaris mesure sur l'usage de la classe (comment l'application est ouverte, à quelles heures, combien de jours par semaine, quel thème), l'administrateur voit combien, jamais qui : ce sont des totaux pour la classe, sans nom. Il y a cinq exceptions, voulues et limitées. Chacune se lit dans une fiche ou une carte que l'administrateur ouvre pour un élève à la fois (jamais la liste de la classe, jamais un classement), est limitée en nombre d'appels, et ne montre jamais ce qu'un élève a écrit, demandé à ADA ou lu. L'administrateur est un élève de la classe (aujourd'hui 17 ans), comme toi.

• Le thème et la façon d'ouvrir Polaris (fiche d'un membre, pour comprendre un bug signalé) : le thème actuel (nom, clair ou sombre) et les façons dont tu as ouvert Polaris ces 30 derniers jours (par exemple « Android · appli installée »), avec le jour de la dernière fois pour chacune ; rien si tu as éteint « Montrer quand j'ai été en ligne ». Tu le vois toi-même : Réglages avancés, « Ce que l'admin voit de toi ».
• Ta fiche d'aide (fiche d'un membre, pour aider quelqu'un qui a un souci) : ta classe, tes cours, tes options même si ton profil est privé pour tes camarades, si ton compte Google et ton compte Smartschool sont liés (oui ou non, jamais un identifiant), et si au moins un appareil est abonné aux notifications (oui ou non, jamais un nombre ni une date ; rien si tu as éteint « Montrer quand j'ai été en ligne »). Tu le vois toi-même, au même endroit.
• Ton activité, en nombres (fiche d'un membre, pour voir qui participe et ce que coûte ADA) : sur 4 semaines entières, jusqu'au dernier lundi, combien de messages tu as envoyés (Classe, Hors-sujet, discussions d'échéance), combien d'échéances tu as ajoutées (pas tes rappels personnels), combien d'annonces tu as publiées si tu es délégué, combien de fois tu as voté à un sondage non anonyme, et le nombre d'appels à ADA et leur coût estimé. Des nombres, rien d'autre : jamais le contenu, jamais l'heure ni le jour d'un message. Remis à jour une fois par semaine, le lundi. Tu le vois toi-même, au même endroit, avec les mêmes mots.
• Ce que coûte ADA, élève par élève (écran du coût d'ADA, parce que l'administrateur paie ADA de sa poche) : pour chaque élève, combien de questions et d'appels, ce que cela a coûté, y compris la transcription des vocaux ; jamais ce que tu as demandé ni ce qu'ADA a répondu. Ton nom est effacé de ces lignes après 60 jours ; le coût, lui, reste sans nom.
• Qui ouvre Polaris, et comment (carte « Plateformes » d'Analytics) : l'administrateur peut toucher une ligne (« Windows · appli PC ») pour voir le nom des élèves qui ont ouvert Polaris de cette façon ces 30 derniers jours, avec le jour de la dernière fois ; ton nom n'y paraît jamais si tu as éteint « Montrer quand j'ai été en ligne » (tu es seulement compté dans « non nommés »). Rien de plus : ni le modèle de ton appareil, ni son adresse, ni l'heure, ni le nombre d'ouvertures.

Ce que l'administrateur lit aussi, et qui n'est pas une mesure d'usage (décrit à sa place dans « Ce que voient les administrateurs et les délégués ») : ta dernière fois en ligne(liste des membres, et, comme tes camarades, sur ta fiche), les conversations ADA que tu as toi-même choisi de partager, le journal de modération (de toutes les classes), les messages signalés (l'administrateur seul, toutes les classes ; un délégué n'en lit plus aucun). Aucune de ces lectures n'est une exception à « combien, jamais qui » : ce ne sont pas des mesures d'usage de la classe.

Sur quel appareil, et de quelle façon. Polaris note aussi, à chaque ouverture (au plus une fois toutes les 30 minutes), de quelle façon l'application est ouverte : sur quel type d'appareil (iPhone, Android, Windows, Mac, Linux…) et par quel moyen (navigateur de téléphone ou d'ordinateur, application installée, application Android, application PC). C'est un choix dans une liste fermée, jamais le modèle de l'appareil, sa version, son adresse ni sa position, et il s'affiche seulement en totaux (« 5 élèves sur Android »), jamais à côté d'un nom. Il en va de même pour la famille d'apparence (le thème) que chacun choisit, et pour le nombre d'élèves qui ont installé l'application sans l'avoir rouverte depuis 3, 7 ou 14 jours : un simple compteur, sans nom. Ces notes sont conservées 120 jours, comme les autres mesures d'usage.

Quand tu changes de famille de thème, Polaris enregistre le nom de la famille choisie (une parmi une liste fixe) et le moment, comme pour les autres fonctions — uniquement pour savoir si un thème est vraiment choisi ou seulement celui par défaut ; ces données sont conservées 120 jours et ne s'affichent qu'en totaux pour la classe.

Les applis PC et Android

Polaris existe aussi en application pour PC (Windows) et en application Android. Ce sont les mêmes données que le site, vues par une autre porte : les mêmes règles de visibilité, appliquées par le même serveur, et rien de plus n'est collecté sur toi. L'appli PC n'a accès à aucun fichier de ton ordinateur : la seule chose qu'elle sait faire en plus du site est afficher une notification Windows. Les mesures décrites plus haut (nos compteurs) s'appliquent de la même façon, et distinguent seulement comment Polaris est ouvert.

Une seule notification, et le son choisi chez toi. Tant que l'appli PC est ouverte et que tes notifications sont allumées, elle dit au serveur toutes les 30 secondes qu'elle est ouverte, pour que le serveur ne t'envoie pas la même notification une seconde fois par ton navigateur Windows (tes téléphones, eux, la reçoivent toujours). Le serveur garde pour cela, par ordinateur : un identifiant au hasard (qui ne dit rien de ton ordinateur), l'heure du dernier signal et si tes notifications sont allumées ; huit ordinateurs au plus par personne ; la ligne est effacée quand tu fermes l'appli, et au plus tard une heure après le dernier signal si elle s'arrête brutalement. Les notifications destinées à l'appli PC (titre, début du message, page à ouvrir : ce que la notification affiche déjà) passent par une boîte de réception qui n'est lisible que par toi et qui est vidée au bout d'une heure. Ton choix de son et de volume n'est gardé que sur cet ordinateur : jamais envoyé au serveur.

Kepler et la connexion avec Polaris

Polaris contient une page qui montre Kepler (ke.pler.space), une appli de cartes de révision faite par un camarade. Kepler n'est pas Polaris : ce qu'il fait de son côté (tes cartes, ton avancement) dépend de ses propres règles, pas de celles de Polaris. Quand cette page s'ouvre, ton appareil charge le site de Kepler, comme n'importe quel site : Kepler voit donc, comme tout site, que quelqu'un se connecte depuis ton adresse de connexion. Polaris ne lui donne rien d'autre sur toi que ce qui suit.

« Se connecter avec Polaris ». Pour que Kepler te reconnaisse comme élève de Polaris, tu dois le lui permettre, une fois, en touchant « Autoriser » sur la feuille « Kepler veut savoir que tu es un élève de Polaris ». Kepler reçoit alors un seul identifiant, tiré au hasard, qui n'existe que pour lui (une autre appli en verrait un autre, et deux applis ne peuvent pas recouper leurs élèves) : ni ton nom de famille, ni ton email, ni ta classe, ni rien qui ouvre tes données dans Polaris ; ton prénom seulement si tu le choisis (voir juste en dessous). La connexion passe par un code qui vit deux minutes et ne sert qu'une fois (Polaris n'en garde que l'empreinte) ; seul le serveur de Kepler peut l'échanger contre cet identifiant. Polaris garde que tu as dit oui, et à quelle date (c'est dans « Télécharger mes données », sans l'identifiant) ; cela part avec ton compte. Tu peux retirer ton accord quand tu veux (Réglages, Vie privée, « Applis connectées ») : Kepler ne te reconnaît plus, et si tu autorises de nouveau, il reçoit un nouvel identifiant.

Ton prénom, seulement si tu le veux. Sur la même feuille, une case cochée d'avance propose « Partager mon prénom avec Kepler » ; elle écrit le nom exact qui partirait (ton surnom Polaris si tu en as un, sinon ton prénom). Si tu la laisses cochée, Kepler reçoit ce petit nom en plus de l'identifiant (décoche-la avant d'autoriser et rien ne part), pour t'afficher sous ce nom au lieu d'un pseudo au hasard. Jamais ton nom de famille, ni ton email. Il est envoyé à chaque connexion, tel qu'il est ce jour-là (si tu changes de surnom, Kepler verra le nouveau à la connexion suivante). Polaris garde seulement ton choix, oui ou non (c'est dans « Télécharger mes données »). Tu peux changer d'avis quand tu veux dans Réglages, Vie privée, « Applis connectées » : décoché, Polaris n'envoie plus ton prénom à partir de la connexion suivante. Ce que Kepler a déjà reçu reste chez Kepler, selon ses propres règles : pour le faire effacer, il faut le lui demander. Si tu avais autorisé Kepler avant le 9 octobre, la case est décochée pour toi : rien ne part tant que tu ne la coches pas dans Réglages.

GIF de KLIPY (seulement si tu acceptes)

Dans le Hors-sujet, l'onglet GIF peut chercher des GIF chez KLIPY (Kikliko, Inc., États-Unis), une entreprise extérieure à Polaris. Rien ne se passe tant que tu n'as pas accepté, une fois, sur un écran qui t'explique ce qui suit ; sans ton accord, ton téléphone ne contacte jamais KLIPY, et les GIF de KLIPY envoyés par les autres restent une simple carte.

• Ce que fait ton téléphone : si tu acceptes, c'est ton téléphone (et pas le serveur de Polaris) qui se connecte à KLIPY pour chercher des GIF et pour afficher ceux du Hors-sujet. Ce sont les règles de KLIPY : un passage par nos serveurs n'est possible qu'avec une offre payante.
• Ce que voit KLIPY : l'adresse internet (IP) de ton appareil, les mots que tu cherches et les GIF que tu regardes, comme tout site que ton téléphone ouvre. KLIPY s'en sert selon sa propre politique (qui parle aussi de publicité). Les règles de KLIPY demandent qu'un parent soit au courant si tu as moins de 18 ans.
• Ce que Polaris ne leur envoie pas : ni ton nom, ni ton adresse e-mail, ni ton compte, ni ta classe, ni aucun identifiant (même au hasard), ni cookie. Avant qu'une recherche parte, Polaris en retire les prénoms, noms et surnoms des élèves, les adresses e-mail et les numéros. Les publicités de KLIPY ne sont pas activées et leur filtre de contenu le plus strict est toujours demandé.
• Ce que Polaris garde : ton choix (oui ou non) et sa date, lisibles par toi seul. Un GIF que tu envoies est gardé comme un message, avec l'adresse du GIF chez KLIPY (jamais une copie du GIF) ; Polaris ne voit pas ce que tu as cherché.
• Signaler : « Signaler ce GIF à KLIPY » prévient KLIPY (sans ton nom) ; « Signaler » sur le message prévient l'administrateur de Polaris, comme pour tout message.
• Retirer ton accord : Réglages → Vie privée → « GIF de KLIPY ». À partir de là, ton téléphone ne contacte plus KLIPY.

Sans KLIPY, tu peux toujours envoyer un GIF depuis ton téléphone ou par le bouton GIF de ton clavier (quand ton navigateur le permet) : il devient alors une pièce du chat, gardée chez Polaris comme une photo.

Liaison Smartschool (facultative)

Tu peux relier ton compte Smartschool à Polaris (bouton dans ton profil) : c'est ce qui permet à Polaris de reconnaître ta classe et de t'ouvrir l'app automatiquement quand elle est active. Cette liaison est facultative et passe par la page de connexion officielle de Smartschool : Polaris ne voit jamais ton mot de passe. Ce que Polaris conserve : ton identifiant Smartschool, ton rôle (élève), la liste de tes classes/groupes et la mention « masculin » ou « féminin » de ton dossier. Cette mention ne sert qu'à écrire ton rôle de délégué « Délégué » ou « Déléguée » : le choix « Comment parler de toi » a été retiré, Polaris la lit à la liaison et la garde, sans l'afficher à personne (voir « Qui voit quoi »). Rien d'autre (ni e-mail, ni téléphone, ni date de naissance, même si Smartschool les propose). Le jeton d'accès est révoqué et jeté immédiatement après la lecture. Tu peux demander la suppression de cette liaison à tout moment (moissoneuse101.csh@gmail.com).

Ton agenda Smartschool dans Polaris (facultatif)

Dans Réglages → Agenda Smartschool, tu peux donner à Polaris le lien de partage de ton agenda Smartschool (celui que tu crées toi-même dans le Planner, « Partager l'agenda en dehors de Smartschool »). Polaris s'en sert pour afficher tes interros, devoirs, congés et activités dans ton Agenda. C'est facultatif.

• Le lien : quiconque l'a peut lire ton agenda Smartschool. Polaris le garde donc chiffré, avec une clé à part, rangée seulement chez l'hébergeur de l'application (Vercel) et jamais dans la base de données : la base seule, ou une de ses sauvegardes, ne suffit pas à lire ton lien. Polaris ne le montre plus jamais (même pas à toi) et ne l'écrit dans aucun journal. Le serveur de Polaris s'en sert pour relire ton agenda chez Smartschool : quand tu le branches, automatiquement quand tu ouvres l'Agenda (au plus une fois par quart d'heure), ou quand tu demandes de le relire (au plus une fois par minute).
• Ce que Polaris garde : pour chaque interro, devoir, congé ou activité, son titre, son cours, sa date, son heure, son local et le groupe indiqué par Smartschool. La liste des professeurs que Smartschool joint à chaque élément n'est jamais gardée ; mais le titre est recopié tel qu'un professeur l'a écrit, et il peut arriver qu'il contienne un nom. Rien des « moments vierges » ni des sujets de leçon ordinaires n'est gardé (ils sont lus puis jetés).
• Qui le voit : les interros et devoirs que Smartschool adresse à toute une classe ou à un groupe deviennent, dès que Polaris lit ton agenda,l'échéance de ton groupe de cours. Tous les élèves de ce groupe la voient dans leur Agenda, sans que personne ait à cliquer (en général dès la lecture suivante de ton agenda ; s'il y en a beaucoup, elles arrivent en quelques jours, les plus proches d'abord). Ils voient son titre (le texte du professeur, jamais tes notes personnelles), sa date et son type, comme une échéance ajoutée à la main. Ils ne voient pas que c'est ton agenda Smartschool qui l'a apportée : seul l'administrateur de Polaris le voit. Tout le reste (un travail personnel, un élément que tu as ajouté toi-même dans ton Planner, un cours dont le groupe n'est pas sûr) reste visible par toi seul. Attention : si tu écris un de tes propres éléments exactement comme un devoir de professeur, Polaris peut le prendre pour un vrai et le partager. Si l'administrateur supprime une échéance que ton agenda a apportée, Polaris peut arrêter de partager ce qui vient de ton agenda.
• Les changements de date : si une date change dans Smartschool, elle peut changer dans Polaris comme un report. En général, il suffit que les agendas Smartschool de plusieurs élèves du groupe montrent tous la même nouvelle date (deux en général ; davantage pour une évaluation importante, et quand beaucoup de reports ont été annulés dans ce groupe ce mois-ci), sans que personne ne clique, à moins qu'au moins autant d'élèves aient voté « non ». Juste après un autre report de cette échéance, il attend deux jours ; après l'annulation d'un report, deux semaines. Le report reste annulable (par l'administrateur, ou par l'auteur d'une échéance écrite à la main), et la classe peut corriger la date. Le titre que tu donnes toi-même à un élément (« Renommer ») n'est vu que par toi.
• ADA : quand tu poses une question à ADA, elle peut lire ta liste Smartschool (jamais celle d'un autre élève) et les échéances partagées avec tes groupes, comme tes autres échéances (voir « Intelligence artificielle (ADA) »). Une échéance de groupe venue de Smartschool n'est montrée à l'ADA de tes camarades que si au moins un des élèves qui l'ont apportée n'a pas activé le « Mode sans IA ».
• Les titres : quand le texte d'une interro ou d'un devoir est trop long ou peu clair pour servir de titre (le texte du professeur, ou le tien pour un élément que tu as ajouté toi-même), il est envoyé à Anthropic (le service d'intelligence artificielle d'ADA, voir « Sous-traitants ») pour en tirer un titre court qui garde son sens, sauf si tu as activé le « Mode sans IA » : rien de ton agenda n'est alors envoyé et le titre vient de ce texte raccourci sans IA (un titre court déjà fait avant, ou fait depuis l'agenda d'un camarade, peut rester ; le même texte du professeur peut partir depuis l'agenda d'un camarade qui n'a pas activé ce réglage). Seuls partent ce texte et le nom du cours : rien qui te désigne (ni ton compte, ni ta classe, ni la date). Si le professeur a lui-même écrit un nom dans son texte, ce nom part avec. Le titre court est gardé une fois pour toute la classe.
• L'effacer : Réglages → Agenda Smartschool → « Débrancher » efface tout de suite le lien et ta liste Smartschool. Les échéances déjà partagées avec ton groupe restent, parce qu'elles appartiennent au groupe. Celles qui n'étaient qu'à toi restent dans ton Agenda. L'administrateur de Polaris peut voir quel agenda a apporté une échéance partagée. Pour couper aussi l'accès du côté de Smartschool, supprime le profil de partage dans le Planner. Supprimer ton compte efface tout aussi.

Sous-traitants

• Supabase (base de données + connexion, UE) — stockage des données, et des copies de sauvegarde chiffrées de la base (une par nuit, les 30 dernières gardées dans un espace privé que personne d'autre que le serveur de Polaris ne peut ouvrir). Le serveur de Polaris lit la base, chiffre la copie en mémoire avec une clé publique, puis ne dépose que le fichier chiffré : il n'est jamais écrit en clair sur un disque. Seul le responsable de Polaris détient la clé qui permet de le rouvrir.
• Vercel (États-Unis) — hébergement de l'application, et deux mesures anonymes (vitesse de l'app, pages vues). Les conditions de l'offre gratuite de Vercel prévoient que Vercel peut, par défaut, utiliser le contenu qu'il héberge pour entraîner ses propres modèles d'IA, sauf si cette option est coupée dans les réglages du compte. Cette option est coupée depuis le 3 octobre 2026.
• Google — uniquement pour la connexion « Se connecter avec Google » de l'école.
• GitHub (Microsoft, États-Unis) — garde les copies de sauvegarde de la base (une copie complète par jour, gardée 7 jours ; c'est une seconde copie, en plus de celle de Supabase). Pendant la copie, les données passent en clair sur un ordinateur de GitHub, le temps de les chiffrer ; une fois chiffrées, les copies déposées ne peuvent être rouvertes qu'avec une clé que seul le responsable de Polaris détient. Elles ne contiennent ni les fichiers (photos, PDF, vocaux), ni les comptes de connexion. Elles servent uniquement à restaurer Polaris en cas de panne ou de perte de données.
• Smartschool (Weeswijs SA/NV, Belgique) — uniquement si tu lies ton compte ; données reçues : identifiant + groupes + la mention masculin/féminin de ton dossier (gardée, mais plus utilisée).
• OpenAI (États-Unis) — un des deux services d'intelligence artificielle d'ADA : il propose des échéances et fait les résumés ; reçoit des textes pseudonymisés pour ADA. Reçoit aussi, selon ce qui est décrit plus haut : les captures d'écran d'une annonce (avec les noms encore visibles), les messages que tu écris à ADA pour le panneau d'aide (modération et second modèle, noms remplacés), les « choix rapides » (photo de journal avant sa lecture, effort d'ADA, bout de chat à examiner, photo postée dans la discussion d'une échéance). Peut aussi recevoir la transcription d'un vocal pour le traitement décrit plus haut, avec les noms éventuellement prononcés. Reçoit aussi les photos que tu joins à ADA pour les vérifier (modération) avant tout, puis, comme modèle d'ADA, ces photos (telles quelles) et le texte de tes PDF (noms de la classe remplacés). Ne reçoit rien si tu as activé le mode sans IA.
• Anthropic (États-Unis) — l'autre service d'intelligence artificielle d'ADA : il répond à tes questions dans ADA (textes pseudonymisés, comme chez OpenAI), et lit les photos de journal de classe (quand le tri des « choix rapides » est allumé, une fois qu'OpenAI a répondu que c'est bien une page de journal), et relit le texte d'une annonce avant qu'elle soit publiée (noms remplacés ; voir « Annonces relues par ADA »), et lit les photos et le texte des PDF que tu joins à ADA ; mêmes règles. Une photo part telle quelle, sans que les noms soient remplacés.
• KLIPY (Kikliko, Inc., États-Unis) — pas un sous-traitant de Polaris : un service extérieur que ton téléphone contacte lui-même, seulement si tu l'as accepté, pour chercher et afficher des GIF dans le Hors-sujet. Il voit ton adresse internet, ce que tu cherches et les GIF que tu regardes ; jamais ton nom ni ton compte (voir « GIF de KLIPY »).
• Kepler (ke.pler.space, fait par un camarade) — pas un sous-traitant de Polaris : une appli extérieure que Polaris affiche. Si tu l'autorises, elle reçoit un identifiant au hasard, et ton prénom (ou ton surnom) seulement si tu as coché la case ; rien d'autre (voir « Kepler et la connexion avec Polaris »).
• xAI (États-Unis) — utilisé uniquement si tu actives les vocaux, puis envoies un message vocal ou poses une question à voix haute à ADA : reçoit l'audio pour le transcrire. Aucun historique de discussion n'est envoyé avec lui.
• Google, Apple ou Mozilla — uniquement si tu actives les notifications sur un appareil. C'est le service de notification de ton navigateur (Chrome, Safari, Firefox) qui transporte l'alerte jusqu'à ton téléphone : il voit qu'un message part vers ton appareil, mais pas son contenu — il est chiffré de bout en bout entre Polaris et ton navigateur. Si tu retires l'autorisation de ton appareil, ou si tu te déconnectes, plus rien ne leur est envoyé ; en « Seulement l'essentiel », il ne leur passe plus que les alertes importantes.

Combien de temps, et l'effacement

Les données restent tant que Polaris sert à la classe : il n'y a pas d'effacement automatique en fin d'année, sauf pour les mesures d'usage (voir plus haut) et pour les pages de journal photographiées, effacées automatiquement au bout de 7 jours, les avis négatifs (90 jours) et les signalements (voir plus haut). Un message écrit sans réseau reste sur ton appareil seulement : effacé dès qu'il est parti, et à ta déconnexion ; au bout de 24 heures sans réseau, il n'est plus envoyé tout seul et te revient dans le champ d'écriture. Les accusés de lecture sont effacés dès que tu les coupes, et avec ton compte. Les notes « l'administrateur a ouvert tes conversations » sont gardées 90 jours. Le journal des suppressions est gardé 1 an, le journal de modération 1 an, le journal de sécurité 30 jours, les messages signalés 180 jours, les annonces signalées 180 jours, les réponses « Oui / Non / Je ne sais pas » aux dates proposées 180 jours au plus, « où tu en es » dans la discussion d'une échéance un peu plus de 30 jours après sa date, les gestes sur une annonce (« Payé », disponibilités…) un peu plus de 90 jours après la fin de l'annonce, et le « pourquoi » des propositions d'ADA 180 jours au plus (voir « Ce que voient les administrateurs et les délégués »). Le nombre d'appels à ADA et leur coût, rattachés à ton nom, sont effacés après 60 jours. Le motif et le lien du journal de modération sont effacés après 180 jours. Les brouillons gardés sur ton appareil le sont 30 jours sans que tu y touches. Les heures de « Lu par » et de « Reçu par » sont effacées après 30 jours. La date de ta dernière visite des Nouveautés, ta dernière fois en ligne et l'ancien choix « Comment parler de toi » avec la mention de Smartschool sont gardés tant que ton compte existe, de même que ton accord pour une appli connectée comme Kepler (jusqu'à ce que tu le retires). Un code de connexion pour une appli connectée vit deux minutes et ne sert qu'une fois. Une capture d'annonce vit autant que son annonce. Les épingles et les copies d'écran sont décrites plus haut (30 jours après l'échéance ou la fin de l'annonce ; à la déconnexion, et au plus une demi-journée pour la copie des écrans). Ta réponse à une question « Ton avis » (le fait d'avoir répondu) est gardée tant que ton compte existe ; le compteur anonyme n'a pas de date et n'est pas effacé avec toi. Un message vocal, son audio et ses transcriptions restent avec le message ; les supprimer supprime aussi ces éléments (avec une file de reprise si l'effacement du fichier échoue momentanément). Une mesure de durée sans identifiant, sans message et sans contenu peut rester au maximum deux mois pour faire respecter le plafond de coût et vérifier la facture du fournisseur. Les conversations ADA gardées (par défaut, ou parce que tu l'as demandé) et leurs index restent jusqu'à ce que tu les effaces depuis l'historique. Les anciennes notes automatiques ne sont plus utilisées et restent elles aussi effaçables depuis ton profil. Tu peux à tout moment supprimer ce que tu as écrit ou ajouté (tes messages, tes documents, tes entrées, ta photo de profil). Pour supprimer ton compte et l'ensemble de tes données, demande-le dans l'appli (tout en bas de Réglages avancés, « Effacer mon compte » : tu lis ce qui sera effacé, tu reçois un code par e-mail, tu tapes un mot de confirmation ; tu as ensuite 7 jours pour changer d'avis en te reconnectant, ce qui annule la demande), ou sur la page publique d'effacement, ou écris à moissoneuse101.csh@gmail.com — la demande est traitée au plus tard dans un mois. Un administrateur décide l'effacement et le confirme en trois temps (l'adresse du compte, un code reçu par e-mail, une phrase), pour qu'aucun compte ne disparaisse par erreur. Ton compte est d'abord bloqué et caché de la classe pendant 14 jours : rien n'est effacé pendant ce délai, de quoi rattraper une erreur (l'administrateur peut tout remettre en une commande). Passé ce délai, l'effacement définitif est lancé : tes messages, tes fichiers, tes réglages et tes traces sont effacés, et ton compte de connexion avec eux. Ce qui disparaît en même temps que toiet qui appartenait à d'autres : leurs réactions sur tes messages, leurs votes sur les sondages que tu as créés, leur choix de ne plus te voir. Les signalements dont tes messages ont fait l'objet restent (celui qui a signalé garde ce qu'il a écrit), mais le texte de ton message en est retiré ; ceux que tu as faits sont effacés. Les échéances, annonces et entrées de journal que tu as créées pour la classe restent pour elle, sans ton nom (les supprimer emporterait aussi les réponses et les documents des autres), sauf demande expresse. À la fin du projet, les données de test et, sur demande, les comptes sont purgés. Une donnée effacée peut rester dans une copie de sauvegarde jusqu'à 30 jours (7 jours dans la copie de GitHub), puis elle disparaît avec la copie.

Tes droits

Accès à tes données, sans rien demander à personne : dans l'appli, ouvre ton profil, puis « Réglages avancés », rubrique « Vie privée », et touche « Télécharger mes données ». Tu reçois, au choix, un fichier complet (JSON, lisible par un programme) et un résumé lisible (une page que tu ouvres et imprimes). Ils contiennent ce que Polaris garde à ton nom : ton compte, ton profil et tes réglages, ce que tu as écrit ou ajouté, tes historiques ADA gardés sur le serveur, et les traces techniques à ton nom. Ils ne contiennent jamais ce qu'une autre personne a écrit ni son nom (hors ce que tu as toi-même écrit dans tes messages ; une mention « @Prénom Nom » y devient « personne mentionnée »), et les signalements que tu as faits n'y montrent ni l'auteur ni le texte signalés, et ceux dont tu as fait l'objet ne te sont pas communiqués (pour protéger la personne qui a signalé) ; dans l'historique ADA gardé sur le serveur, tes questions sont là mais pas les réponses d'ADA (elles s'appuient sur le chat de la classe), et un message d'une autre personne que tu aurais cité à ADA est remplacé par une mention. Un prénom seul écrit par toi ou noté par ADA dans un souvenir peut subsister. Si tu es délégué ou administrateur, les gestes de modération que tu as faits y figurent (quoi, quand, la raison), sans le nom de la personne visée ; ceux dont tu as fait l'objet ne te sont pas communiqués.Le résumé lisible ne montre que les 15 dernières lignes de chaque section, abrégées ; le fichier complet contient tout. Les fichiers eux-mêmes (photos, PDF, enregistrements vocaux) n'y sont pas : seulement leur fiche ; écris-nous pour les recevoir.

Pour le reste, tu peux demander la correction, l'effacement de tes données, la limitation de leur usage, ou t'opposer à leur traitement, en écrivant à moissoneuse101.csh@gmail.com. Nous répondons au plus tard dans un mois à compter de la réception de ta demande (c'est le délai légal, article 12 du RGPD) ; si la demande est complexe, ce délai peut être prolongé de deux mois, et nous te le disons alors dans le premier mois. En Belgique, l'âge du consentement numérique est de 13 ans ; pour les moins de 13 ans, l'accord d'un parent est requis. Parle de Polaris à tes parents : ils sont les bienvenus pour poser toute question à la même adresse — et si tu préfères qu'un adulte s'en charge, ils peuvent exercer ces droits pour toi.

Tu peux aussi porter plainte auprès de l'autorité belge de protection des données (APD / Gegevensbeschermingsautoriteit), même sans nous avoir écrit d'abord : autoriteprotectiondonnees.be (rubrique « Introduire une plainte »).

À savoir aussi

• Tes options de cours sont déclarées « sur l'honneur » ; elles servent seulement à filtrer ce qui te concerne.
• Un document que tu ouvres (par ex. un scan) peut être re-partagé par la personne qui l'a ouvert, comme tout fichier ; n'ajoute que ce que tu acceptes de partager avec ton cours.
• Évite de publier des informations très sensibles ; Polaris est une messagerie de classe, pas un coffre-fort.