Politique de confidentialité

Version du 25 août 2026. Elle décrit la manière dont AST PREP traite les données personnelles des utilisateurs de la plateforme ASTPrep, sur le site web comme dans l'application mobile.

1. Responsable de traitement

Le responsable du traitement de vos données personnelles est AST PREP, société par actions simplifiée au capital de 100 €, immatriculée au RCS de Pontoise sous le numéro 930 893 466, dont le siège social est situé 23 Rue Alexandre Prachay, Etg. 3 App. 301, 95300 Pontoise (numéro de TVA intracommunautaire FR67930893466).

Pour toute question relative à vos données personnelles, ou pour exercer vos droits : support@astprepsas.com.

[À CONFIRMER AVANT LA MISE EN VENTE — désignation, ou non, d'un délégué à la protection des données (DPO) et, le cas échéant, ses coordonnées. Aucune donnée du dépôt ne permet de le déduire ; c'est une décision de la société.]

2. Données que nous collectons, et pourquoi

Nous ne collectons que les données nécessaires au fonctionnement de la préparation. Vous trouverez ci-dessous la liste exhaustive des catégories, par finalité.

2.1 Compte et identité

Adresse e-mail, mot de passe (jamais stocké en clair : il est haché), nom et prénom, numéro de téléphone lorsque vous le renseignez, photo de profil lorsque vous en déposez une, date de création du compte.

Si vous vous connectez avec Google, Microsoft ou Apple, nous recevons de ce fournisseur votre identifiant de compte, votre adresse e-mail et votre nom. Nous ne recevons jamais votre mot de passe. Ces connexions sont optionnelles et activées au cas par cas.

Finalité : créer et sécuriser votre compte, vous identifier, vous contacter au sujet de votre préparation.

2.2 Progression pédagogique

C'est le cœur du service, et c'est la catégorie la plus volumineuse : réponses aux exercices et aux questions, résultats et copies de TAGE MAGE blancs et de sous-tests, scores, liste d'erreurs, notes prises sur les cours, avancement du parcours quotidien, série (streak), temps de travail, position de reprise des vidéos, révisions de flashcards, scores des mini-jeux, participation au classement.

Finalité : vous restituer votre progression, construire et adapter votre parcours, calculer vos statistiques et votre classement, établir votre éligibilité à la garantie prévue à l'article 17 des Conditions Générales de Vente.

2.3 Abonnement et paiement

Nous ne voyons, ne recevons ni ne stockons aucun numéro de carte bancaire. Le paiement sur le web est intégralement traité par Stripe ; nous conservons uniquement l'identifiant de client Stripe qui relie votre compte à votre abonnement, l'historique de vos droits d'accès, la preuve des consentements recueillis au moment de l'achat, vos éventuelles demandes de résiliation et les informations de parrainage.

Les achats effectués depuis l'application mobile passent par l'App Store d'Apple et sont intermédiés par RevenueCat. Nous en recevons le statut du droit acheté, jamais le moyen de paiement.

Finalité : exécuter le contrat d'abonnement, ouvrir et fermer vos accès, établir la facturation et respecter nos obligations comptables.

2.4 Accompagnement oral, dossier et événements

Lorsque vous souscrivez à un accompagnement oral : profil d'onboarding oral, oraux blancs planifiés et leurs comptes rendus, oraux réels déclarés, commandes de relecture de dossier, inscriptions aux week-ends, école partenaire lorsque vous êtes invité par l'une d'elles.

Finalité : organiser et délivrer ces prestations, qui sont des services rendus par des personnes.

2.5 Assistant et débriefs IA

La plateforme propose un tuteur IA sur les cours et les corrections, ainsi qu'un débrief automatique en fin de copie. Lorsque vous utilisez ces fonctions, l'énoncé de la question, votre réponse et le message que vous écrivez sont transmis à notre prestataire d'inférence pour produire la réponse.

N'écrivez pas de données sensibles ou d'informations personnelles dont vous ne souhaitez pas la transmission dans ces champs de discussion. Le détail du prestataire et de son acheminement figure à l'article 4.

Finalité : vous expliquer une correction et vous restituer un débrief personnalisé.

2.6 Sécurité, journaux techniques et diagnostic

Adresse IP et empreinte technique de la requête, traitées pour limiter le débit, détecter les abus et protéger la plateforme. Journaux d'erreurs de l'application, envoyés à notre outil de diagnostic.

La collecte automatique de données personnelles par notre outil de diagnostic est désactivée : le contenu de la requête, les en-têtes et l'adresse IP ne sont pas transmis. En revanche, lorsque l'erreur survient dans une session déjà connectée sur le site web, le rapport est rattaché à votre identifiant de compte, votre adresse e-mail et votre nom, afin que nous puissions relier une panne à la personne qui la subit et la lui confirmer une fois corrigée. Dans l'application mobile, seul votre identifiant technique est transmis, jamais votre e-mail ni votre nom.

Finalité : sécurité du service et correction des pannes.

2.7 Notifications

Si vous activez les notifications dans l'application mobile, un jeton d'appareil est enregistré afin de vous adresser des rappels de révision et des informations sur votre préparation. Vous pouvez le révoquer à tout moment depuis les réglages de votre téléphone ou de l'application ; le jeton est alors supprimé.

Nous enregistrons également les créneaux de révision que vous choisissez et des signaux d'activité (jours travaillés, heure habituelle de connexion) pour envoyer ces rappels au bon moment.

2.8 Acquisition et mesure d'audience

Paramètres de campagne (UTM) présents dans le lien par lequel vous êtes arrivé, canal d'acquisition, et la réponse que vous donnez à la question « Comment nous as-tu connus ? ». Sur le web, mesure d'audience et de conversion décrite à l'article 9, qui n'a lieu qu'avec votre consentement.

Certains comptes migrés depuis l'ancienne plateforme portent un identifiant et un pseudonyme Discord, renseignés à l'époque pour relier l'accès à la communauté.

3. Bases légales

Exécution du contrat (article 6.1.b du RGPD) : compte et identifiants, progression pédagogique, abonnement et droits d'accès, accompagnement oral, assistant IA, notifications liées à votre préparation lorsque vous les avez demandées.

Obligation légale (article 6.1.c) : facturation, comptabilité, conservation des pièces justificatives, réponse aux demandes des autorités.

Intérêt légitime (article 6.1.f) : sécurité de la plateforme, limitation de débit et prévention des abus, détection du partage de compte interdit par l'article 4.4 des CGV, journaux d'erreurs et amélioration du service, prospection auprès de nos clients sur des services analogues.

Consentement (article 6.1.a) : cookies et traceurs de mesure d'audience et de publicité, notifications push, prospection commerciale par e-mail auprès des personnes qui ne sont pas clientes. Vous pouvez retirer votre consentement à tout moment, sans que cela remette en cause la licéité des traitements déjà effectués.

4. Qui accède à vos données

Vos données ne sont ni vendues, ni louées, ni échangées. Elles sont accessibles à l'équipe d'AST PREP dans la stricte mesure nécessaire à sa mission, et aux sous-traitants suivants, qui agissent sur nos instructions :

Vercel Inc. — hébergement du site et de l'API. Nos fonctions serveur sont configurées pour s'exécuter dans la région de Paris.
Supabase Inc. — base de données et stockage des fichiers (documents, images, dépôts de dossier).
Stripe — traitement des paiements sur le web et facturation. Stripe est responsable de traitement pour les données de paiement qu'il collecte directement.
Apple (App Store) et RevenueCat Inc. — achats effectués depuis l'application mobile et vérification des droits.
Mux Inc. — hébergement et diffusion des vidéos de cours.
Brevo — envoi des e-mails transactionnels (confirmation d'inscription, réinitialisation de mot de passe, information sur l'abonnement) et tenue de notre fichier de contacts. La fiche de contact que nous y maintenons comporte votre e-mail, votre identifiant de compte et de client de paiement, votre niveau d'études, les écoles que vous visez, la source par laquelle vous nous avez découverts, la date de votre premier achat et celle de votre dernière activité.
Sentry — collecte des erreurs applicatives, sur son infrastructure européenne. Les rapports issus du site web portent votre e-mail et votre nom (voir 2.6).
Better Stack — journaux applicatifs.
Upstash — limitation de débit des requêtes.
Arcjet — protection contre les abus et les robots.
OpenRouter — acheminement des requêtes de l'assistant et des débriefs IA vers les modèles qui les traitent (modèles DeepSeek et Google Gemini, servis par des fournisseurs d'inférence tiers). Ces requêtes contiennent l'énoncé travaillé, votre réponse et votre message ; elles ne contiennent ni votre nom, ni votre e-mail.
Expo — service d'acheminement des notifications push, qui les remet ensuite à Apple (APNs) ou Google (FCM) selon votre appareil.
Axeptio — recueil et conservation de votre choix en matière de cookies.
PostHog et Mixpanel — mesure d'usage produit, sur des serveurs d'ingestion situés dans l'Union européenne, que nous joignons par un relais hébergé sur notre propre domaine. Soumis à votre consentement.
Google — nous chargeons un conteneur de balises Google Tag Manager, par lequel transitent, avec votre consentement, la mesure d'audience et la mesure de conversion publicitaire. Le mode Consentement de Google est réglé sur « refusé » par défaut, tant que vous n'avez pas accepté.
Vercel Analytics — mesure d'audience agrégée des pages vues, sans cookie ni identifiant persistant.

La communauté ASTPrep est hébergée sur Discord, un service indépendant que vous rejoignez volontairement : ce que vous y publiez est régi par la politique de confidentialité de Discord, pas par la présente. Si vous reliez votre compte ASTPrep à votre compte Discord pour accéder aux salons réservés, votre adresse e-mail, votre identifiant et votre pseudonyme Discord sont échangés entre les deux plateformes aux seules fins de vérifier votre droit d'accès.

Nous pouvons enfin être tenus de communiquer certaines données à un auxiliaire de justice, à un auditeur ou à une autorité administrative, dans les cas et selon les formes prévus par la loi.

5. Transferts hors de l'Union européenne

Certains de nos sous-traitants sont établis hors de l'Union européenne, ou appartiennent à des groupes qui y sont établis. C'est notamment le cas de Vercel, Stripe, Apple, RevenueCat, Mux, Upstash, Arcjet, OpenRouter, Expo et Google.

Là où nous pouvons le paramétrer, nous choisissons la localisation européenne : l'exécution de nos fonctions serveur est fixée à la région de Paris, l'ingestion de la mesure d'usage produit est dirigée vers les serveurs européens de nos prestataires, la collecte des erreurs applicatives est configurée sur l'infrastructure européenne de Sentry, et l'envoi de nos e-mails passe par un prestataire français.

Les requêtes adressées à l'assistant IA sont acheminées par OpenRouter vers des fournisseurs d'inférence dont la localisation n'est pas garantie dans l'Union européenne.

[À COMPLÉTER AVANT LA MISE EN VENTE — pour chaque sous-traitant ci-dessus : la région d'hébergement effective (au premier chef celle du projet Supabase, que rien dans notre code ne nomme) et l'instrument de transfert applicable (clauses contractuelles types de la Commission, ou adhésion au Data Privacy Framework UE–États-Unis). Ces informations figurent dans les contrats et les tableaux de bord des prestataires, pas dans le produit ; les affirmer sans les avoir vérifiées serait annoncer une conformité invérifiable.]

6. Durées de conservation

Compte et progression pédagogique : conservés tant que votre compte existe. Ils sont supprimés lorsque vous supprimez votre compte (voir article 8).
Prospection commerciale : 3 ans à compter du dernier contact de votre part, conformément à l'article 11 des Conditions Générales de Vente.
Factures et pièces comptables : 10 ans, en application de l'article L.123-22 du Code de commerce. Cette obligation légale survit à la suppression de votre compte.
Preuve des consentements recueillis au paiement : conservée pendant la durée de la relation contractuelle et la durée de prescription applicable, en tant que preuve.
Choix en matière de cookies : 182 jours (6 mois), durée recommandée par la CNIL, au terme desquels le bandeau vous est de nouveau présenté.
Jeton de notification : jusqu'à sa révocation, à la désactivation des notifications ou à la désinstallation de l'application.
[À COMPLÉTER AVANT LA MISE EN VENTE — durée de rétention des journaux d'erreurs et des journaux applicatifs. Elle est fixée par les réglages de rétention souscrits chez Sentry et Better Stack, et non par notre code.]

7. Vos droits

Conformément au Règlement général sur la protection des données et à la loi Informatique et Libertés, vous disposez des droits suivants :

Accès : obtenir la confirmation que nous traitons vos données et en recevoir une copie.
Rectification : faire corriger une donnée inexacte ou incomplète.
Effacement : demander la suppression de vos données, sous réserve de nos obligations légales de conservation.
Portabilité : recevoir dans un format structuré et lisible par machine les données que vous nous avez fournies, et les faire transmettre à un autre responsable de traitement.
Opposition : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime, et vous opposer sans motif à la prospection commerciale.
Limitation : demander le gel d'un traitement le temps qu'une contestation soit tranchée.
Retrait du consentement : à tout moment, pour les traitements qui en dépendent (cookies, notifications, prospection).
Directives post mortem : définir le sort de vos données après votre décès.

Pour exercer ces droits, écrivez à support@astprepsas.com ou à AST PREP, 23 Rue Alexandre Prachay, Etg. 3 App. 301, 95300 Pontoise. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe. Nous pouvons vous demander un justificatif d'identité lorsqu'un doute raisonnable existe sur l'identité du demandeur.

8. Supprimer votre compte

Depuis l'application mobile, la suppression est immédiate et se fait entièrement dans l'application : Réglages, « Supprimer mon compte », puis saisie du mot SUPPRIMER pour confirmer. Votre compte et les données pédagogiques qui s'y rattachent sont alors effacés de notre base en une seule opération, sans intervention de notre part et sans renvoi vers un site web.

Depuis le site web, la fermeture du compte se demande par e-mail à support@astprepsas.com, conformément à l'article 4.3 des Conditions Générales de Vente. Nous confirmons la clôture par courriel.

La suppression est définitive et irréversible. Elle n'efface pas les pièces comptables que la loi nous impose de conserver (article 6), ni les données détenues en propre par Stripe ou par l'App Store d'Apple au titre de leurs propres obligations. Un abonnement en cours doit être résilié séparément selon l'article 8 des Conditions Générales de Vente : supprimer son compte n'annule pas un abonnement souscrit auprès de l'App Store.

9. Cookies et stockage local

9.1 Sur le site web

Cookies strictement nécessaires, déposés sans consentement parce que le service ne peut pas fonctionner sans eux : cookie de session qui vous maintient connecté, mémorisation de votre thème d'affichage, enregistrement de votre choix en matière de cookies, et cookie d'attribution de campagne posé à votre arrivée.

Cookies soumis à votre consentement : mesure d'audience et d'usage produit, mesure de conversion et remarketing publicitaire. Ils ne sont déposés qu'après votre acceptation dans le bandeau, et le refus est aussi simple que l'acceptation.

Le recueil de votre choix est confié à Axeptio. Vous pouvez le modifier ou le retirer à tout moment via l'entrée « Gérer mes cookies » du menu de votre compte, qui rouvre le panneau de préférences. La liste à jour des traceurs et de leurs finalités est celle que ce panneau affiche.

9.2 Dans l'application mobile

L'application mobile n'utilise pas de cookies et n'embarque aucun kit de mesure d'audience, de publicité ou d'attribution. Elle ne suit pas votre activité sur les applications et sites d'autres sociétés, et ne demande donc pas l'autorisation de suivi d'Apple.

Elle conserve sur votre appareil votre jeton de session dans le stockage sécurisé du système, ainsi qu'un cache local des contenus déjà consultés pour fonctionner hors connexion et éviter de recharger les mêmes données. Les événements d'usage produit sont transmis à notre propre serveur, qui les relaie ensuite ; aucun kit tiers ne les collecte depuis l'appareil.

10. Mineurs

La plateforme s'adresse à un public étudiant, dont une partie peut être mineure. L'article 4.1 des Conditions Générales de Vente réserve la souscription d'un abonnement aux personnes âgées d'au moins 18 ans et disposant de la capacité juridique : un abonnement au bénéfice d'un mineur est donc souscrit par son représentant légal, qui accepte les conditions et la présente politique en son nom.

Lorsque l'utilisateur du compte a moins de 15 ans, le traitement de ses données fondé sur le consentement n'est licite que s'il est autorisé par le titulaire de l'autorité parentale, conformément à l'article 45 de la loi Informatique et Libertés.

Nous ne collectons pas sciemment de données auprès d'un mineur en dehors de ce cadre. Un représentant légal qui constate qu'un compte a été ouvert sans son accord peut écrire à support@astprepsas.com : le compte et les données associées sont supprimés.

Aucune fonctionnalité de la plateforme ne diffuse de publicité ciblée à ses utilisateurs, mineurs compris.

11. Sécurité

Les échanges avec la plateforme sont chiffrés en transit (HTTPS). Les mots de passe sont stockés sous forme de condensat et jamais en clair. L'accès aux données de production est restreint aux personnes qui en ont besoin. La plateforme est protégée contre les abus automatisés et applique une limitation de débit. Les rapports d'erreur sont configurés pour ne pas transmettre d'informations personnelles.

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informons et notifions la CNIL dans les conditions et délais prévus par les articles 33 et 34 du RGPD.

12. Modification de la présente politique

Cette politique peut évoluer, notamment si nous ajoutons une fonctionnalité ou changeons de prestataire. La date de version figure en tête de page. Toute modification substantielle vous est signalée par e-mail ou dans l'application avant son entrée en vigueur.

13. Contact et réclamation

Pour toute question ou demande relative à vos données : support@astprepsas.com.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.