Version privacy-2026-10-16-v17 · En vigueur le 16 octobre 2026

Politique de confidentialité

État de disponibilité. Les comptes, les paiements et les fonctions d'IA sont encore dans un environnement d'essai et soumis à une évaluation des facteurs relatifs à la vie privée. Les ventes réelles ne sont pas activées. Cette politique décrit les pratiques actuelles de cet environnement; elle sera mise à jour avant toute mise en vente réelle ou toute nouvelle finalité importante. Le programme de suivi de la sécurité de l'IA lié au compte a été retiré avant son activation. OttoLearn n'enregistre pas les classifications de sécurité des demandes comme dossier comportemental ou disciplinaire.

1. Responsable et portée

OttoLearn est un service offert par Clarus Illico inc.. Le responsable de la protection des renseignements personnels de Clarus Illico inc. peut être joint à otto@ottolearn.org ou au +1 819 300 6656.

Cette politique vise les renseignements personnels recueillis au moyen du site OttoLearn, du compte facultatif, de l'authentification, des fonctions d'apprentissage, du paiement d'essai et des fonctions d'IA facultatives. Elle ne transforme pas les conditions d'utilisation en consentement à la collecte, à l'utilisation ou à la communication de renseignements.

2. Utilisation sans compte

Les leçons, les exercices rédigés, les solutions et les activités obligatoires sont accessibles sans compte. Les progrès conservés dans le stockage local du navigateur restent sur l'appareil tant que la personne ne choisit pas un compte et une fonction identifiée. Nous n'utilisons pas de publicité comportementale ni d'outil d'analytique publicitaire tiers.

L'hébergeur peut néanmoins traiter l'adresse IP, la date, le chemin demandé et des données techniques de l'appareil pour livrer et protéger le site. Les sondages de classe anonymes utilisent un système distinct qui ne reçoit aucun identifiant de compte OttoLearn.

Les commentaires sont facultatifs. Rien n'est envoyé à Userback, le service externe qui fait fonctionner l'outil de commentaires, tant que tu n'appuies pas sur le bouton « Commentaires » d'une page; OttoLearn ne retient pas que tu l'as ouvert, donc la page suivante ne charge rien tant que tu n'y appuies pas de nouveau. Appuyer sur ce bouton ouvre l'outil et relie ton navigateur à Userback, qui reçoit ton adresse IP et des détails sur ton navigateur et ton appareil, et OttoLearn lui transmet l'adresse et le titre de la page, la langue, le type de page et, dans une leçon, les identifiants du cours et de la leçon. OttoLearn ne lui transmet ni ton nom, ni ton adresse courriel, ni un identifiant de compte. Un rapport que tu envoies ajoute ton message, ce que tu inscris dans le formulaire de l'outil et une capture d'écran de la page, dans laquelle les champs de formulaire et ce que tu as tapé, les noms des listes de classe, les adresses courriel, les résultats, les états de maîtrise et les commentaires d'un enseignant, les reçus, le code de connexion en deux étapes et les cadres intégrés sont marqués pour en être exclus. OttoLearn lit les rapports dans Userback et n'en garde aucune copie dans sa propre base de données. OttoLearn peut utiliser un outil d'IA pour trier et analyser les rapports qu'il reçoit. Userback traite ces renseignements à l'extérieur du Québec et applique ses propres durées de conservation.

3. Renseignements recueillis dans le compte facultatif

Connexion : adresse courriel vérifiée, identifiant Google ou Microsoft, état de vérification, sessions et journaux de sécurité. OttoLearn ne conserve aucun mot de passe.
Profil : nom d'affichage, identifiant interne et tranche d'âge 16–17 ou 18+. Nous ne demandons pas la date de naissance.
Apprentissage : réponses structurées, justesse, leçon, concept, dates, estimations de maîtrise et plan de révision. Un enregistrement de pratique peut aussi indiquer la classe à laquelle il se rattache, seulement lorsque tu es inscrit à une seule classe en cours pour ce cours; si l'aide propre à la question (un indice ou la solution) a été ouverte avant ta réponse, noté par oui ou non; et, pour les problèmes par étapes, pour chaque étape terminée : son numéro, si ton premier essai était juste ou non, le nombre d'essais et si la réponse a été dévoilée. Il s'agit uniquement de valeurs fixes. Le texte que tu saisis comme réponse n'est pas conservé : OttoLearn conserve la justesse et, le cas échéant, l'erreur prévue par l'auteur à laquelle la réponse correspond. Si tu vérifies de nouveau le même problème après une première réponse fausse, chaque vérification suivante (jusqu'à dix) est conservée comme bonne ou fausse, ou comme le moment où tu as ouvert la solution; cela se fait seulement dans une classe où tu as accepté de partager tes problèmes de pratique, et ces essais suivants sont supprimés 180 jours après avoir été faits. Ils ne changent ni ton estimation de maîtrise ni ton plan de révision. La rétroaction Feynman produite depuis le 7 août 2026 n'est pas conservée par OttoLearn. Les rapports produits avant cette date sont toujours conservés avec ton compte; ils figurent dans le téléchargement de tes données et sont supprimés avec ton compte. La rétroaction produite depuis cette date ne devient pas une preuve de maîtrise. Avec ton choix séparé d’indices par IA et les permissions du site et de la classe, une séance terminée peut conserver les identifiants et états des concepts (clair, partiel, corrigé ou non exploré), liés à ton compte, ta classe, la leçon et la date, pendant un maximum de 90 jours. Les signaux de classe utilisent les 30 derniers jours et exigent une participation suffisante. Ils ne changent ni les résultats officiels ni la maîtrise indépendante. La désactivation arrête les nouveaux enregistrements, y compris les séances inachevées; les anciens suivent les règles de conservation. Ces données sont accessibles dans ton export et peuvent faire l’objet d’une demande de suppression.
Classe facultative : section choisie, enseignant, date d'adhésion et état d'accès. Quand tu te joins à une classe, OttoLearn conserve aussi la version de l'avis de classe que tu as confirmée, et à quel moment; cet enregistrement figure dans le téléchargement de tes données et est supprimé quand tu quittes la classe. Tant que l'enregistrement de la pratique est activé pour la classe (voir la section 8), un enseignant de ta classe, connecté avec une vérification multifacteur, peut voir, pour chaque élève inscrit et chaque leçon du cours : l'estimation de maîtrise issue de la pratique, le nombre d'essais, la date de la dernière pratique et la date de la prochaine révision. Dans une classe qu'OttoLearn a approuvée pour cet affichage, et seulement après que tu as accepté sur la page de ton compte, où la classe indique qu'elle offre cet affichage et où tu peux arrêter en tout temps, l'enseignant peut aussi voir, pour chaque problème de pratique que tu fais : de quel problème il s'agit et quand, si ta première réponse vérifiée était bonne, quel choix de réponse tu as fait, combien d'autres essais tu as faits sur ce même problème (jusqu'à dix) et si tu as fini par trouver la bonne réponse ou ouvert la solution, si tu as utilisé de l'aide et, pour un problème par étapes, combien d'essais chaque étape a demandés et si sa réponse a été affichée. Pour l'ensemble de la classe, l'enseignant peut voir les questions de pratique le plus souvent manquées et le nombre de fois où chaque mauvais choix a été sélectionné; une question n'apparaît que si elle compte au moins 8 essais provenant d'au moins 4 élèves. Toujours pour l'ensemble de la classe et sans nommer aucun élève, l'enseignant peut voir, pour un problème par étapes, combien de fois chaque étape a été manquée au premier essai et combien de fois sa réponse a été dévoilée, ainsi que le nombre de fois où l'aide propre à une question a été ouverte avant la réponse. Ces chiffres n'apparaissent que s'ils reposent sur au moins 6 problèmes enregistrés provenant d'au moins 4 élèves (problèmes par étapes) ou sur au moins 8 essais provenant d'au moins 4 élèves (autres questions). La page de l'enseignant affiche aussi de courtes notes au sujet d'un élève, par exemple « Aucune activité depuis 9 jours ». Ces notes sont des descriptions produites dans le navigateur de l'enseignant par des règles fixes, affichées sur sa page, appliquées aux données ci-dessus et aux résultats que l'enseignant a saisis. Elles n'utilisent aucune IA, chaque note affiche la règle et les faits qui la justifient, et aucune note n'est une décision ni ne modifie un résultat : c'est l'enseignant qui décide de la suite à donner, s'il y a lieu. L'enseignant ne reçoit ni ton adresse courriel de connexion, ni ce que tu tapes, ni tes échanges avec l'IA. La pratique ne modifie jamais un résultat officiel. L'enseignant perd cet accès sur OttoLearn lorsque tu quittes la classe, que tu en es retiré ou que la classe est archivée. Lorsque la page de résultats de l'enseignant l'offre, un enseignant peut aussi télécharger sous forme de fichier les résultats enregistrés d'une classe en cours : le nom d'affichage des élèves et leurs résultats, sans les commentaires ni l'historique des modifications. Le fichier est produit dans le navigateur de l'enseignant, et OttoLearn ne conserve aucune trace du téléchargement. Cette copie est ensuite conservée par l'enseignant, sous sa responsabilité et celle de son établissement; OttoLearn ne peut ni la modifier ni la supprimer, et une modification ou une suppression faite plus tard sur OttoLearn, tout comme ton départ de la classe, ne l'atteint pas.
Résultats saisis par ton enseignant : dans une classe dont l'enseignant utilise les pages de résultats d'OttoLearn, OttoLearn détient ce que l'enseignant saisit à ton sujet. Selon la configuration choisie par l'enseignant, il s'agit d'un résultat pour chaque standard selon l'échelle de la classe (par exemple Maîtrisé, Pas encore ou une étoile) et d'un niveau de synthèse de 0 à 3, ou d'une note ou d'un niveau pour chaque évaluation d'un carnet de notes défini par l'enseignant; et, avec tout résultat, d'un commentaire à ton intention d'au plus 1 000 caractères. Un enseignant peut enregistrer un résultat comme brouillon avant de le publier. Pour chaque modification, OttoLearn conserve aussi une entrée d'historique : la valeur et le commentaire précédents et nouveaux, ce qui a été fait, quel enseignant l'a fait et à quel moment. Tu vois tes propres résultats publiés et les commentaires tant que la classe est en cours; tu ne vois ni les brouillons, ni l'historique, ni le nom de l'enseignant qui a saisi un résultat. Chaque enseignant de la classe connecté avec une vérification multifacteur, y compris un enseignant que le propriétaire affecte plus tard à la classe, voit les résultats, les brouillons, les commentaires et l'historique des élèves de la classe, avec le nom de l'enseignant à l'origine de chaque saisie. Contrairement aux données de pratique ci-dessus, les résultats d'une classe archivée restent lisibles par ses enseignants, qui ne peuvent plus les modifier. Le rôle d'administrateur du propriétaire ne donne aucune vue de ces résultats; il indique seulement si des résultats sont configurés pour une classe. Seul un enseignant de la classe saisit ou modifie un résultat : la pratique, le temps d'activité et l'IA n'en fixent ni n'en modifient jamais aucun. Tes résultats publiés et les commentaires font partie du téléchargement JSON du compte, pour chaque classe dont tu fais encore partie, y compris une classe archivée dont les pages ne t'affichent plus les résultats. Le téléchargement ne contient ni les brouillons, ni l'historique, ni le nom de l'enseignant qui a saisi un résultat; ils sont disponibles sur demande (section 8).
Billet de sortie : ton enseignant peut poser à ta classe une question à choix multiple à la fin d'une leçon. Y répondre est facultatif. Si tu réponds, OttoLearn conserve le choix sélectionné, sa justesse, ton degré de certitude si tu as choisi de l'indiquer, et une ligne facultative d'au plus 200 caractères sur ce qui était le moins clair. Ton enseignant voit combien d'élèves ont choisi chaque option et, pour chaque élève, avec son nom, s'il a répondu, si la réponse était juste et le degré de certitude indiqué. La ligne facultative est présentée à l'enseignant sous forme de texte seulement, sans nom, seulement lorsqu'au moins 3 élèves actuellement inscrits à la classe en ont écrit une, et pendant au plus 90 jours. À partir de ce moment, les réponses apparaissent sur la page de l'enseignant pendant que la question est encore ouverte, à mesure qu'elles arrivent, et elles restent visibles après sa fermeture; un enseignant qui suit les réponses en direct peut donc être en mesure de savoir qui a écrit une réponse. N'y inscris pas de nom ni de détail personnel. Une réponse à un billet de sortie n'est pas un enregistrement de pratique : elle ne modifie jamais une estimation de maîtrise ni un résultat officiel, et elle n'est transmise à aucun service d'IA. Si l'enregistrement de la pratique est désactivé pour la classe, tu vois quand même si ta réponse était juste, et rien n'est conservé. Un enseignant peut accorder plus de temps à un élève pour un billet de sortie. OttoLearn conserve alors l'heure de fermeture propre à cet élève pour ce billet. Il n'en conserve pas le motif. Seuls les enseignants de la classe et cet élève en sont informés; ton propre billet de sortie affiche alors ta propre heure de fermeture, et rien n'est indiqué aux autres élèves. Ces réponses et une heure de fermeture qui t'est propre ne figurent pas encore dans le téléchargement JSON du compte; tu peux nous en demander une copie.
Marque de suivi : un enseignant peut indiquer qu'il a fait un suivi auprès d'un élève. OttoLearn conserve la marque, l'enseignant et la date. Elle n'est visible que par les enseignants de cette classe et elle est supprimée lorsque l'élève quitte la classe. La marque ne contient ni texte ni motif. Elle ne fait que placer l'élève plus bas dans la liste d'élèves présentée aux enseignants de la classe; elle ne fixe ni ne modifie jamais un résultat ni un accès. Tu ne la vois pas dans les pages d'OttoLearn. La classe et la date d'une marque à ton sujet font partie du téléchargement JSON du compte, sans le nom de l'enseignant qui l'a faite, lequel est disponible sur demande (section 8).
Temps d'activité par classe : lorsque la mesure de l'activité est activée pour la classe (voir la section 8), OttoLearn conserve une estimation des minutes passées sur une page d'apprentissage visible et récemment utilisée, reliées au compte et à une classe. Une page ouverte sans activité récente ne compte pas. Le temps des enseignants n'est pas mesuré, et les minutes mesurées auparavant pour des enseignants ont été supprimées. Pour les élèves de sa classe seulement, la page de l'enseignant consacrée aux élèves montre quels jours, parmi les 14 derniers, chaque élève a été actif, à raison d'une marque par jour, ainsi que la date de sa dernière activité mesurée durant cette période; les pages de l'enseignant indiquent aussi combien d'élèves de la classe ont été actifs au cours de chacune des deux dernières semaines. Pour cela, le navigateur de l'enseignant reçoit seulement les jours, parmi ces 14, où chaque élève a été actif; la date de la dernière activité et les nombres hebdomadaires sont calculés à partir de ces jours. Aucun nombre de minutes ni aucun total n'est fourni à un enseignant. Le propriétaire voit d'abord le nombre de personnes par plateforme, établissement, cours et classe; la consultation des totaux de minutes ou des minutes d'une personne exige un motif précis, une nouvelle vérification multifacteur et une trace conservée sur le serveur. Ces chiffres ne mesurent ni la présence, ni les apprentissages, ni la qualité de l'enseignement. Les minutes et les traces de consultation sont supprimées après au plus 180 jours; les minutes personnelles figurent dans l'export du compte.
Achat d'essai et abonnement : identifiants opaques Stripe, état du forfait, période et type de propriétaire de la facturation. Pour le contrat d'achat d'essai personnalisé, OttoLearn conserve aussi le nom, le courriel et l'adresse de facturation de l'acheteur, le choix de langue, les signatures, les montants et dates, les copies HTML/PDF et leurs empreintes, ainsi que les preuves minimales de livraison, de résiliation et de remboursement. OttoLearn ne conserve pas le numéro de carte.
Soutien au compte : lorsqu'une personne demande légitimement de l'aide pour son accès, l'unique administrateur de la plateforme peut rechercher uniquement son adresse courriel vérifiée complète. Le résultat est limité à l'adresse correspondante, la date d'inscription, l'admissibilité et l'état de l'accès. Il n'inclut pas les réponses, la maîtrise, la classe, les échanges d'IA ni les détails de paiement.
IA facultative : fournisseur, modèle, type de fonction, comptage de jetons, coût estimé et, lorsqu'une personne demande l'aide, le texte saisi, les messages précédents de la même conversation et le contexte nécessaire à cette fonction, transmis au fournisseur indiqué : pour l'aide dans une leçon, le contenu de la leçon visé (le passage ou la question, la solution rédigée ou le sujet de la leçon) et ta tentative ou ta réponse; pour l'aide à l'utilisation du site, la page où tu te trouves, le fait qu'une classe soit sélectionnée ou non (sans préciser laquelle) et le type de ton compte (élève, enseignant ou propriétaire), sans aucun contenu de leçon, aucune donnée de classe ni aucun dossier. Le registre minimal du fournisseur, du modèle, de la fonction, des jetons et du coût sert seulement à appliquer les quotas et à contrôler les coûts. Il ne contient ni le dialogue ni la classification de sécurité de la demande. Clarus Illico inc., qui exploite OttoLearn, peut voir, par son rôle d'administrateur, pour chaque compte ayant utilisé l'aide par IA, le nombre de demandes par fonction et leur coût estimé, afin de faire respecter les limites quotidiennes et le budget mensuel. Cette vue ne montre que des nombres, jamais le dialogue. Les enseignants n'y ont pas accès, et elle ne sert ni à noter ni à évaluer qui que ce soit.
Résumé du lundi par courriel (enseignants, facultatif) : un enseignant peut choisir, dans les paramètres de classe, de recevoir par courriel un résumé hebdomadaire de ses classes, envoyé le lundi à l'adresse courriel de son compte. Ce résumé reste désactivé tant que l'enseignant ne l'active pas, et il n'est offert qu'une fois la fonction mise en service par OttoLearn. OttoLearn conserve la version de la phrase acceptée par l'enseignant et le moment de l'acceptation et, si le résumé est désactivé, le moment et le moyen utilisé (les paramètres ou le lien de désabonnement). Le message contient le nom d'affichage de l'enseignant et, pour chaque classe qui y figure, le nom de la classe, la date de son prochain cours, des codes et titres de leçon, des chiffres à l'échelle de la classe (par exemple, le nombre d'élèves de la classe prêts pour la prochaine leçon, et le chiffre du lundi précédent), une courte mention d'état, une suggestion de prochaine étape produite par des règles fixes, qui peut nommer une leçon antérieure à réviser, et des liens. Il indique aussi, sans les nommer, combien de classes ont été laissées de côté parce qu'elles comptent trop peu d'élèves (actuellement moins de 4). Il ne contient jamais le nom d'un élève. Chaque message comporte un lien de désabonnement qui fonctionne sans connexion.

4. Finalités

Nous utilisons ces renseignements seulement pour :

sécuriser le compte et permettre la continuité entre les appareils;
fournir le tableau de bord privé, la maîtrise et la révision espacée;
gérer une adhésion volontaire à une section et présenter aux enseignants de la classe les progrès de pratique de chaque élève inscrit, y compris les résultats de chaque problème de pratique, et les jours où il a été actif, sans aucun nombre de minutes, ainsi que des résumés de classe, afin qu'ils planifient leur enseignement et décident à qui parler;
conserver les résultats saisis par les enseignants d'une classe et les présenter à ces enseignants et à l'élève concerné;
recueillir les réponses au billet de sortie d'une classe et les présenter à ses enseignants, et permettre à un enseignant d'accorder plus de temps à un élève pour y répondre;
permettre aux enseignants d'une classe de savoir auprès de quels élèves ils ont fait un suivi;
envoyer par courriel un résumé hebdomadaire de classe à l'enseignant qui en a fait la demande;
autoriser les fonctions payantes ou accordées gratuitement;
créer, remettre et conserver le contrat d'achat, arrêter les paiements après résiliation, calculer et traiter tout remboursement dû, et répondre à une contestation ou obligation comptable;
traiter une demande légitime de soutien au compte et, lorsque cela est autorisé, accorder ou retirer un accès gratuit de 120 jours émis par l'administrateur;
répondre à une demande facultative d'aide par IA;
vérifier en mémoire les demandes d'IA et refuser ou rediriger une demande incompatible;
prévenir les abus, respecter les quotas, contrôler les coûts et assurer la sécurité;
répondre aux demandes d'accès, de correction, de portabilité ou de suppression.

Nous ne vendons pas les renseignements, ne créons pas de profil publicitaire et ne relions pas un compte aux réponses des sondages anonymes. Le refus d'un compte ou de l'IA n'a aucune incidence sur une note, la présence ou l'accès au matériel de cours.

Les notes et résumés présentés aux enseignants sont des descriptions produites par des règles fixes, et non des décisions : ils décrivent la pratique et l'activité enregistrées, ne prédisent aucun résultat, ne modifient aucun résultat ni aucun accès, et toute suite à donner relève de l'enseignant. Tu peux demander à ton enseignant ou à OttoLearn sur quelles données une note reposait et demander la correction d'une donnée inexacte.

5. Fournisseurs et communications hors Québec

Selon la fonction choisie, des renseignements peuvent être traités par :

Vercel, pour l'hébergement statique et les journaux d'accès;
Supabase, pour l'authentification et la base de données du compte;
Google ou Microsoft, lorsque la personne choisit ce fournisseur OAuth;
Stripe, pour l'identité de facturation, la carte, les factures et l'annulation;
Brevo, pour l'envoi par courriel du résumé hebdomadaire de classe aux enseignants qui en ont fait la demande. Brevo reçoit l'adresse courriel de l'enseignant et le message entier décrit à la section 3 : le nom d'affichage de l'enseignant, des noms de classe, la date du prochain cours de chaque classe, des codes et titres de leçon, des chiffres à l'échelle de la classe, une mention d'état et une suggestion de prochaine étape par classe, le nombre de classes laissées de côté et des liens, sans aucun nom d'élève;
Userback, pour l'outil de commentaires facultatif, seulement après que la personne a appuyé sur le bouton « Commentaires » d'une page, comme le décrit la section 2;
Anthropic, seul fournisseur approuvé pour les fonctions d'IA facultatives, au moyen du modèle épinglé claude-haiku-5-5;
GitHub, pour le développement et les sauvegardes opérationnelles chiffrées.

Ces fournisseurs et leurs sous-traitants peuvent traiter des renseignements à l'extérieur du Québec. Anthropic indique que les données sont stockées aux États-Unis et peuvent être traitées aux États-Unis, en Europe, en Asie ou en Australie. Brevo traite le résumé hebdomadaire destiné aux enseignants à l'extérieur du Québec. Userback traite les commentaires à l'extérieur du Québec. La vérification du compte réel, de l'addenda de traitement et de l'évaluation contractuelle des transferts demeure une condition avant le déploiement en production. Un nouveau fournisseur d'IA ne peut pas recevoir silencieusement une demande : son identité et les faits importants doivent être affichés avant la transmission et la politique doit être mise à jour lorsque le changement est important.

Le seul courriel qu'OttoLearn envoie est le résumé hebdomadaire de classe facultatif destiné aux enseignants, décrit à la section 3, par l'entremise de Brevo, et seulement une fois cette fonction mise en service. Le travailleur de courriel de contrat actuellement dans le dépôt utilise seulement un puits d'essai déterministe : il vérifie les copies conservées et inscrit une simulation, mais ne transmet aucun courriel et ne prouve aucune livraison réelle. Aucun fournisseur n'est approuvé pour la remise des contrats; son évaluation, son contrat, ses transferts, sa conservation et ses mesures de sécurité sont des conditions préalables à toute utilisation réelle.

6. IA et renseignements privés

Les fonctions d'IA sont facultatives et leurs réponses peuvent être inexactes. Il ne faut pas saisir de nom, numéro d'étudiant, renseignement de santé ni autre détail privé. OttoLearn applique des filtres à certains identifiants évidents, mais ne promet pas une détection parfaite. Les dialogues ne sont pas conservés par OttoLearn. La rétroaction Feynman produite depuis le 7 août 2026 n'est pas conservée par OttoLearn. Les rapports produits avant cette date sont toujours conservés avec ton compte; ils figurent dans le téléchargement de tes données et sont supprimés avec ton compte. Pour le reste, seuls sont conservés un registre minimal du fournisseur, du modèle, du type de fonction, des jetons et du coût et, avec ton choix séparé d'indices par IA, les états des concepts décrits à la section 3. Anthropic indique ne pas utiliser les données de son API commerciale pour entraîner ses modèles. Les entrées et sorties sont normalement supprimées dans les 30 jours. Du contenu signalé pour sécurité peut être conservé jusqu'à deux ans, et certains scores de sécurité jusqu'à sept ans; des obligations juridiques ou un commentaire volontaire peuvent entraîner d'autres délais. Ces faits sont répétés avant le premier envoi de chaque fonction.

Avant cet envoi, OttoLearn vérifie automatiquement la demande en mémoire. Une demande dangereuse, abusive, hors sujet, liée à une situation de crise ou visant à contourner les protections peut être refusée ou redirigée. OttoLearn n'enregistre pas cette classification comme événement de sécurité lié au compte ni comme dossier comportemental ou disciplinaire. Cette classification ne sert pas à avertir, suspendre ou bannir un élève, à lui attribuer une note ni à le signaler à un enseignant, une école ou un établissement. Le registre minimal d'utilisation et de coût décrit ci-dessus est distinct : il sert seulement aux quotas et au contrôle des coûts et ne contient ni la classification ni le dialogue.

7. Conservation et suppression

Les données du compte et de l'apprentissage sont actuellement conservées jusqu'à une demande de suppression ou la résolution d'une dépendance légitime. À la fin de chaque semestre, OttoLearn examine manuellement les comptes inactifs et détruit les renseignements qui ne sont plus nécessaires. OttoLearn ne prétend pas encore effectuer automatiquement cette révision.
Les essais suivants sur un problème de pratique sont supprimés automatiquement 180 jours après avoir été faits. Un enseignant voit la pratique problème par problème pour les 180 derniers jours au plus, et seulement tant que tu acceptes de la partager.
La classe, le recours à l'aide et les résultats par étape font partie de l'enregistrement de pratique; ils sont conservés et supprimés avec lui. La vue de l'enseignant est calculée à l'ouverture de la page; OttoLearn ne conserve aucune copie distincte des notes présentées aux enseignants. Un fichier de résultats téléchargé par un enseignant (section 3) est une copie détenue par l'enseignant, et non par OttoLearn : les délais de conservation de cette section ne s'y appliquent pas, et OttoLearn ne peut pas le supprimer.
Les résultats saisis par un enseignant, leurs brouillons et leurs commentaires (section 3) sont conservés tant que tu demeures dans la classe, y compris après l'archivage de la classe. Ils sont supprimés, avec leur historique, lorsque tu quittes la classe ou que tu en es retiré, ou lorsque ton compte ou la classe est supprimé. Chaque entrée de l'historique est supprimée 180 jours après sa création. Une copie technique d'une entrée enregistrée, qui sert à éviter qu'un enregistrement répété soit appliqué deux fois, est supprimée après 7 jours au plus.
La ligne facultative du billet de sortie est effacée après 90 jours. Un billet de sortie et toutes ses réponses sont supprimés 180 jours après son ouverture, ou plus tôt lorsque le compte ou la classe est supprimé. Une heure de fermeture qui t'est propre (section 3) est supprimée avec son billet de sortie, et plus tôt lorsque tu quittes la classe ou que tu en es retiré.
Une marque de suivi (section 3) est supprimée lorsque tu quittes la classe ou que tu en es retiré, lorsque ton compte ou la classe est supprimé, lorsqu'un enseignant de la classe la retire, lorsque l'enseignant qui l'a faite supprime son compte, et au plus tard 180 jours après sa création.
Pour l'enseignant qui a activé le résumé hebdomadaire par courriel, OttoLearn conserve la preuve de cet accord (la version de la phrase, le moment de l'acceptation et, le cas échéant, le moment et le moyen de la désactivation) tant que le compte de l'enseignant existe. Il conserve une trace de chaque envoi hebdomadaire — la semaine, le résultat, la référence du message chez le fournisseur, un court code d'erreur et les nombres à l'échelle de la classe servant à la comparaison de la semaine suivante, sans l'adresse courriel ni le contenu du message — pendant 180 jours, ou moins longtemps si le compte est supprimé. Le lien de désabonnement d'un message fonctionne pendant cette même période. Brevo applique aussi ses propres délais de conservation.
Un jeton de lien d'achat adulte expire après deux heures; son empreinte est détruite après utilisation ou expiration. Une preuve minimale de l'opération peut être conservée.
Le contrat d'achat signé et les preuves nécessaires à la fiscalité, à la livraison, à la résiliation, au remboursement ou à une contestation sont conservés jusqu'à six ans après la fin de la dernière année d'imposition visée, sous réserve d'une conservation légale. La suppression du compte dissocie le lien direct avec l'élève sans réécrire le contrat signé. La destruction automatisée de ces dossiers n'est pas encore déployée.
Les jetons d'action du soutien administratif expirent après cinq minutes et les preuves d'idempotence après 24 heures. Le registre de soutien, pseudonymisé et limité à l'action, au motif codifié, au résultat et à une référence opaque, expire après 24 mois. Une recherche sans correspondance peut conserver seulement une empreinte cryptographique à clé, jamais l'adresse en clair. Lorsqu'un compte est supprimé, le lien entre la personne et ce registre est dissocié.
Les sauvegardes chiffrées actuelles peuvent conserver temporairement des données supprimées jusqu'à 90 jours. Elles sont destinées à la reprise, pas à l'usage courant. OttoLearn ne remettra pas une sauvegarde restaurée en service avant d'avoir réappliqué les suppressions à l'aide d'un registre chiffré et limité.
Stripe, les fournisseurs d'identité, les fournisseurs d'IA et les plateformes techniques appliquent aussi leurs propres délais juridiques et de sécurité.
Les renseignements nécessaires à une obligation légale, comptable, antifraude ou à un registre d'incident peuvent être conservés pendant la période requise, puis détruits ou dissociés de l'identité.

8. Droits et choix

Une personne peut demander l'accès, la correction, la portabilité ou la suppression de ses renseignements, retirer un choix facultatif d'IA, quitter une section et se plaindre de nos pratiques. Le compte offre aussi un téléchargement JSON et un lien pour demander la suppression. Le téléchargement ne contient pas tout : les réponses aux billets de sortie et une heure de fermeture qui t'est propre, les brouillons, l'historique et le nom de l'enseignant liés à un résultat, ainsi que le nom de l'enseignant à l'origine d'une marque de suivi (section 3), sont disponibles sur demande. Pendant le lancement initial, OttoLearn vérifie manuellement la demande avant de supprimer le compte actif. Une suppression ne peut pas effacer immédiatement un dossier que la loi oblige temporairement à conserver; nous expliquerons alors ce qui reste, pourquoi et pendant combien de temps. Une correction ou une suppression faite par OttoLearn n'atteint pas non plus un fichier de résultats qu'un enseignant a déjà téléchargé (section 3); pour cette copie, adresse-toi à ton enseignant ou à son établissement.

Qui décide de l'enregistrement de la pratique et de l'activité. L'enregistrement de la pratique et la mesure du temps d'activité sont décidés par le propriétaire du service — le rôle d'administrateur d'OttoLearn, exercé aujourd'hui par Clarus Illico inc. — pour l'ensemble du site et pour chaque classe, selon les politiques de l'établissement et la préférence de l'enseignant. Une classe créée par un enseignant commence avec les deux désactivés; le propriétaire les active pour une classe une fois que l'établissement a donné son accord. Les classes créées avant le 16 octobre 2026 gardent le réglage qu'elles avaient. Les élèves et les enseignants n'ont aucun réglage individuel à ce sujet. Ton tableau de bord indique si chacun est actuellement activé pour ta classe. Si tu ne veux pas que ces renseignements soient enregistrés ou vus par un enseignant, tu peux : utiliser les leçons, les exercices et les solutions sans te connecter, auquel cas rien n'est enregistré dans un compte; quitter une classe, ce qui met fin à l'accès de ses enseignants à tes données sur OttoLearn (la pratique faite en étant connecté reste enregistrée dans ton propre compte; les résultats qu'un enseignant a saisis à ton sujet dans cette classe sont supprimés); ou demander la suppression de ton compte et de ses données. Lorsque le propriétaire désactive l'enregistrement, aucun nouvel enregistrement n'est conservé; ce réglage n'efface pas les enregistrements antérieurs, et les enseignants d'une classe ne voient pas les données de pratique tant que l'enregistrement de la pratique est désactivé pour cette classe. Les choix facultatifs liés à l'IA sont distincts et demeurent les tiens (sections 3 et 6).

Écrivez à otto@ottolearn.org. Vous pouvez aussi communiquer avec la Commission d'accès à l'information du Québec.

9. Personnes mineures

Le cours anonyme reste accessible. Le compte facultatif exige une déclaration non présélectionnée d'au moins 16 ans, sans recueillir la date de naissance. Pour un élève de 16 ou 17 ans, l'acheteur d'un abonnement doit avoir au moins 18 ans. Le paiement d'un adulte n'est pas un consentement parental à l'IA. Une fonction d'IA ne peut être offerte que si le fournisseur et la voie de consentement sont approuvés pour l'âge concerné.

10. Sécurité, incidents et modifications

Nous utilisons notamment l'authentification OAuth, le contrôle d'accès par ligne, l'authentification multifacteur pour les rôles sensibles, le chiffrement et des journaux limités. Le soutien intercomptes est réservé à l'unique administrateur autorisé, exige une authentification multifacteur et une justification codifiée, et ne permet ni répertoire ni recherche partielle. Aucune mesure n'élimine tout risque. Nous évaluons les incidents, avisons les personnes et la Commission lorsque la loi l'exige et tenons le registre requis.

Nous publierons un avis avant une modification importante de cette politique et demanderons un nouveau choix lorsqu'une nouvelle finalité l'exige.

Version privacy-2026-10-16-v17 · Effective October 16, 2026

Privacy policy

Availability status. Accounts, payments, and AI features remain in a test environment and subject to a privacy impact assessment. Live sales are not enabled. This policy describes current practices in that environment and will be updated before any live sale or material new purpose. The account-linked AI-safety tracking program was retired before activation. OttoLearn does not record request-safety classifications as a behavioural or disciplinary record.

1. Responsible organization and scope

OttoLearn is a service offered by Clarus Illico inc.. The person responsible for the protection of personal information at Clarus Illico inc. can be reached at otto@ottolearn.org or +1 819 300 6656.

This policy covers personal information handled through the OttoLearn site, optional account, authentication, learning features, test payments, and optional AI features. It does not turn acceptance of the Terms into consent to every collection, use, or disclosure.

2. Use without an account

Lessons, authored practice, solutions, and required activities are available without an account. Progress kept in browser local storage stays on the device unless the person later chooses an account and an identified feature. We do not use behavioural advertising or third-party advertising analytics.

The hosting provider may still process an IP address, time, requested path, and device information to deliver and protect the site. Anonymous class polling uses a separate system that receives no OttoLearn account identifier.

Feedback is optional. Nothing is sent to Userback, the outside service that runs the feedback tool, until you press the "Feedback" button on a page; OttoLearn does not remember that you opened it, so the next page loads nothing until you press it again. Pressing it opens the tool and connects your browser to Userback, which receives your IP address and details of your browser and device, and OttoLearn passes it the page's address and title, the language, the kind of page and, on a lesson, the course and lesson identifiers. OttoLearn does not pass it your name, your email address or an account identifier. A report you send adds your message, whatever you enter in the tool's form, and a screenshot of the page in which form fields and what you typed, names in class lists, email addresses, results, standings and a teacher's comments, receipts, the two-step sign-in code, and embedded frames are marked to be left out. OttoLearn reads the reports in Userback and keeps no copy of them in its own database. OttoLearn may use an AI tool to sort and analyse the reports it receives. Userback processes this information outside Québec and applies its own retention periods.

3. Information in the optional account

Sign-in: verified email, Google or Microsoft identity, verification state, sessions, and security logs. OttoLearn stores no password.
Profile: display name, internal identifier, and the age band 16–17 or 18+. We do not request a date of birth.
Learning: structured answers, correctness, lesson, concept, dates, mastery estimates, review plan. A practice record can also include the class it was answered for, but only when you are in exactly one current class for that course; whether the question's own help (a hint or the solution) was opened before you answered, recorded as yes or no; and, for step-by-step problems, for each step you completed: its number, whether your first try was right or wrong, the number of tries, and whether the answer was revealed. These are fixed values only. Text you type as an answer is not stored: OttoLearn keeps whether it was correct and, where it applies, which authored mistake it matched. If you check the same problem again after a wrong first answer, each later check (up to ten) is stored as right or wrong, or as the moment you opened the solution; this happens only in a class where you agreed to share your practice problems, and these later tries are deleted 180 days after they are made. They do not change your mastery estimate or review plan. Feynman feedback produced since 7 August 2026 is not stored by OttoLearn. Reports produced before that date are still stored with your account; they are in your data download and are deleted with your account. Feedback produced since that date does not become mastery evidence. With your separate AI-evidence choice, site permission, and class permission, completed teach-back sessions may save concept identifiers and states (clear, partial, repaired, or not explored), linked to your account, class, lesson, and date. These records are retained for up to 90 days; teacher signals use the latest 30 days and only show class-level patterns when enough students contribute. They never change official results or independent mastery. Turning recording off stops new records, including unfinished sessions; existing records follow retention rules. You can access them in your data export or request deletion.
Optional class: selected section, teacher, join date, and access status. When you join a class, OttoLearn also keeps which version of the class notice you confirmed, and when; this record is in your data download and is deleted when you leave the class. While practice recording is on for the class (see section 8), a teacher of your class who has signed in with multifactor verification can see, for each enrolled student and each lesson of the course: the practice estimate, the number of practice attempts, the date of the last practice, and the next review date. In a class that OttoLearn has approved for this view, and only once you agree on your account page, where the class says it has this view and where you can stop at any time, the teacher can also see, for each practice problem you complete: which problem it was and when, whether your first checked answer was right, which answer option you chose, how many more tries you made on that same problem (up to ten) and whether you got it right in the end or opened the solution, whether you used help, and, for a step-by-step problem, how many tries each step took and whether its answer was shown. For the class as a whole, the teacher can see which practice questions were missed most often and how many times each wrong option was chosen; a question appears only when it has at least 8 attempts from at least 4 students. Also for the class as a whole and without naming any student, the teacher can see, for a step-by-step problem, how many times each step was wrong on the first try and how many times its answer was revealed, and how many times a question's own help was opened before answering. These figures appear only when they rest on at least 6 recorded problems from at least 4 students (step-by-step problems) or at least 8 attempts from at least 4 students (other questions). The teacher's page also shows short notes about a student, for example “No activity for 9 days”. These notes are descriptions produced in the teacher's browser by fixed rules, shown on the teacher's page, applied to the records above and to any results the teacher has entered. They use no AI, each note shows the rule and facts behind it, and no note is a decision or changes a result: the teacher decides what, if anything, to do. A teacher does not receive your sign-in email, the words or numbers you type, or your AI conversations. Practice never changes an official standing. Teachers lose this access on OttoLearn when you leave the class, are removed, or the class is archived. Where the teacher's Gradebook page offers it, a teacher can also download a current class's saved results as a file: the students' display names and their results, without feedback or change history. The file is made in the teacher's browser, and OttoLearn keeps no record of the download. That copy is then kept by the teacher, under their own and their institution's responsibility; OttoLearn cannot change or delete it, and a later change or deletion on OttoLearn, or your leaving the class, does not reach it.
Results entered by your teacher: in a class whose teacher uses OttoLearn's results pages, OttoLearn holds what the teacher enters about you. Depending on how the teacher set the class up, this is a standing for each standard on the class's scale (for example Mastered, Not yet, or a star) and a synthesis level from 0 to 3, or a score or level for each assessment in a gradebook the teacher has defined; and, with any result, feedback text for you of up to 1,000 characters. A teacher may save a result as a draft before publishing it. For each change OttoLearn also keeps a history entry: the earlier and the new value and feedback, what was done, which teacher did it, and when. You see your own published results and feedback while the class is current; you do not see drafts, the history, or which teacher entered a result. Every teacher of the class who has signed in with multifactor verification, including a teacher the owner later assigns to the class, sees the results, drafts, feedback, and history of the class's students, with the name of the teacher who made each entry. Unlike the practice records above, the results of an archived class stay readable by its teachers, who can no longer change them. The owner's administrator role gives no view of these results; it shows only whether a class has results set up. Only a teacher of the class enters or changes a result: practice, activity time, and AI never set or change one. Your published results and feedback are part of the account's JSON download, for every class you are still in, including an archived class whose results the pages no longer show you. The download does not contain drafts, the history, or the name of the teacher who entered a result; these are available on request (section 8).
Exit ticket: your teacher can ask your class one multiple-choice question at the end of a lesson. Answering is optional. If you answer, OttoLearn keeps the option you chose, whether it was correct, how sure you said you were if you chose to say, and one optional line of up to 200 characters on what was least clear. Your teacher sees how many students chose each option and, for each student by name, whether they answered, whether the answer was correct, and the confidence they gave. The optional line is shown to the teacher as text only, without names, only once at least 3 students currently in the class have written one, and for at most 90 days. From that point replies appear on the teacher's page while the question is still open, as they arrive, and they stay visible after it closes; a teacher who is watching as answers come in may therefore be able to tell who wrote a reply. Please do not write names or personal details in it. An exit-ticket answer is not a practice record: it never changes a practice estimate or an official standing, and it is not sent to any AI service. If practice recording is off for the class, you still see whether you were right, and nothing is kept. A teacher may give one student more time on an exit ticket. OttoLearn then stores that student's own closing time for that ticket. It does not store the reason. Only the class's teachers and that student are shown it; your own exit ticket then shows your own closing time, and other students are shown nothing about it. These answers and a closing time of your own are not yet part of the account's JSON download; you can ask us for a copy.
Follow-up mark: A teacher may mark that they have followed up with a student. OttoLearn stores the mark, the teacher and the date. It is visible only to that class's teachers and is deleted when the student leaves the class. The mark holds no text and no reason. It only moves the student lower in the list of students shown to the class's teachers; it never sets or changes a result, a standing, or an access. You do not see it on OttoLearn's pages. The class and the date of a mark about you are part of the account's JSON download, without the name of the teacher who made it, which is available on request (section 8).
Class activity time: when activity measurement is on for the class (see section 8), OttoLearn keeps an estimate of minutes spent on a visible, recently used learning page, linked to your account and a class. An open page without recent activity does not count. Teachers' time is not measured, and the minutes measured for teachers earlier have been deleted. For the students of their own class only, the teacher's Students page shows on which of the last 14 days each student was active, as one mark per day, and the date of the student's last measured activity in that period; the teacher's pages also show how many of the class's students were active in each of the last two weeks. To show this, the teacher's browser receives only which of those days each student was active; the date last active and the weekly counts are worked out from those days. No count of minutes and no total is given to a teacher. The owner starts with the number of people by platform, institution, course, and class; viewing totals of minutes, or one person's minutes, requires a specific reason, fresh multifactor verification, and a server-side audit record. These figures are not attendance, learning outcomes, or a measure of teaching quality. Minutes and inspection records are deleted after at most 180 days; your own minutes are included in your account export.
Test purchase and subscription: opaque Stripe identifiers, plan status, period, and billing-owner type. For the personalized test purchase contract, OttoLearn also stores the purchaser's name, billing email and address, language choice, signatures, amounts and dates, HTML/PDF copies and their hashes, and minimized delivery, cancellation, and refund evidence. OttoLearn does not store the card number.
Account support: when a person legitimately requests help with access, the sole platform administrator may look up only that person's complete verified email. The result is limited to the matching email, signup date, eligibility, and access state. It excludes answers, mastery, class information, AI dialogue, and payment details.
Optional AI: provider, model, feature type, token accounting, estimated cost and, when help is requested, the entered text, the earlier messages of the same conversation, and the context that feature needs, sent to the disclosed provider: for help in a lesson, the lesson content concerned (the passage or question, the authored solution, or the lesson topic) and your attempt or answer; for help with using the website, the page you are on, whether a class is selected (not which one), and whether your account is a student, teacher, or owner account, with no lesson content, class data, or record. The minimal provider, model, feature, token, and cost record is used only to enforce quotas and control costs. It contains neither the dialogue nor the request-safety classification. Clarus Illico inc., which operates OttoLearn, can see through its administrator role, for each account that used AI help, the number of requests by feature and their estimated cost, in order to respect the daily limits and the monthly budget. That view shows numbers only, never the dialogue. Teachers cannot see it, and it is not used to grade or evaluate anyone.
Monday summary by email (teachers, optional): a teacher can choose, in Class settings, to receive a weekly summary of their classes by email, sent on Mondays to the email address of their account. It stays off until the teacher turns it on, and it is offered only once OttoLearn has put the feature into service. OttoLearn keeps the version of the sentence the teacher agreed to and the time of the agreement and, if the summary is turned off, when and how (in the settings or with the unsubscribe link). The message contains the teacher's display name and, for each class in it, the class's name, the date of its next class, lesson codes and titles, class-level numbers (for example, how many students in the class are ready for the next lesson, and the figure from the Monday before), a short status label, a suggested next step produced by fixed rules, which can name an earlier lesson to review, and links. It also says, without naming them, how many classes were left out because they have too few students (currently fewer than 4). It never contains a student's name. Every message has an unsubscribe link that works without signing in.

4. Purposes

We use this information only to:

secure the account and provide continuity across devices;
provide the private dashboard, mastery, and spaced review;
manage voluntary section membership, and show a class's own teachers each enrolled student's practice progress, including the results of each practice problem, and the days on which the student was active, with no count of minutes, and class-level summaries so they can plan teaching and decide whom to talk to;
keep the results a class's teachers enter and show them to those teachers and to the student concerned;
collect and show a class's exit-ticket answers to its teachers, and let a teacher give one student more time to answer;
let a class's teachers keep track of the students they have followed up with;
send a weekly class summary by email to a teacher who asked for it;
authorize paid or complimentary features;
create, deliver, and retain the purchase contract, stop future payments after cancellation, calculate and process any refund due, and answer a dispute or accounting duty;
handle a legitimate account-support request and, when authorized, grant or revoke a 120-day administrator-issued complimentary access period;
answer an optional AI-help request;
check AI requests in memory and refuse or redirect an incompatible request;
prevent abuse, enforce quotas, control costs, and maintain security; and
answer access, correction, portability, and deletion requests.

We do not sell information, build advertising profiles, or link an account to anonymous poll responses. Refusing an account or AI has no effect on a grade, attendance, or course access.

The notes and summaries shown to teachers are descriptions produced by fixed rules, not decisions: they describe recorded practice and activity, predict no result, change no result or access, and any follow-up is the teacher's choice. You may ask your teacher or OttoLearn what records a note was based on and ask for an inaccurate record to be corrected.

5. Providers and processing outside Québec

Depending on the selected feature, information may be handled by:

Vercel, for static hosting and access logs;
Supabase, for authentication and the account database;
Google or Microsoft, when the person selects that OAuth provider;
Stripe, for billing identity, cards, invoices, and cancellation;
Brevo, to send the weekly class summary by email to teachers who asked for it. Brevo receives the teacher's email address and the whole message described in section 3: the teacher's display name, class names, the date of each class's next class, lesson codes and titles, class-level numbers, a status label and a suggested next step for each class, the number of classes left out, and links, and no student's name;
Userback, for the optional feedback tool, only after the person presses the "Feedback" button on a page, as described in section 2;
Anthropic, the sole approved provider for optional AI features, using the pinned model claude-haiku-5-5; and
GitHub, for development and encrypted operational backups.

These providers and their subprocessors may process information outside Québec. Anthropic says data is stored in the United States and may be processed in the United States, Europe, Asia, or Australia. Brevo processes the weekly summary for teachers outside Québec. Userback processes feedback outside Québec. Verification of the actual account, data-processing addendum, and contractual transfer assessment remains a condition before production deployment. An AI request may not silently move to a new provider: the provider and material facts must be shown before transmission, and this policy must be updated for a material change.

The only email OttoLearn sends is the optional weekly class summary for teachers described in section 3, through Brevo, and only once that feature is in service. The contract-email worker currently in the repository uses only a deterministic test sink: it verifies the stored copies and records a simulation, but sends no email and proves no real delivery. No provider is approved for contract delivery; its assessment, contract, transfers, retention, and security controls are prerequisites to any real use.

6. AI and private information

AI features are optional and their answers can be wrong. Do not enter a name, student number, health information, or other private details. OttoLearn filters some obvious identifiers but does not promise perfect detection. Dialogues are not stored by OttoLearn. Feynman feedback produced since 7 August 2026 is not stored by OttoLearn. Reports produced before that date are still stored with your account; they are in your data download and are deleted with your account. Otherwise, only a minimal provider, model, feature, token, and cost record is kept, and, with your separate AI-evidence choice, the concept states described in section 3. Anthropic says it does not train its models on commercial API data. Inputs and outputs are normally deleted within 30 days. Safety-flagged content may be retained for up to two years, and some safety scores for up to seven years; legal duties or voluntary feedback can produce other periods. These facts are repeated before the first transmission for each feature.

Before transmission, OttoLearn automatically checks the request in memory. An unsafe, abusive, off-topic, crisis-related, or prompt-injection request may be refused or redirected. OttoLearn does not record that classification as an account-linked safety event or as a behavioural or disciplinary record. The classification is not used to warn, pause, ban, grade, or report a learner to a teacher, school, or institution. The minimal usage and cost record described above is separate: it is used only for quotas and cost control and contains neither the classification nor the dialogue.

7. Retention and deletion

Account and learning data currently remain until a deletion request or resolution of a legitimate dependency. At the end of each semester, OttoLearn manually reviews inactive accounts and destroys information that is no longer needed. OttoLearn does not yet claim that this review happens automatically.
Later tries on a practice problem are deleted automatically 180 days after they are made. A teacher sees practice problem by problem for the last 180 days at most, and only while you agree to share them.
The class, help-used and step-result details are part of the practice record and are kept and deleted with it. A teacher's view is calculated when the page is opened; OttoLearn keeps no separate copy of the notes shown to teachers. A file of results downloaded by a teacher (section 3) is a copy held by the teacher, not by OttoLearn: the retention periods in this section do not apply to it, and OttoLearn cannot delete it.
Results entered by a teacher, their drafts, and their feedback (section 3) are kept while you remain in the class, including after the class is archived. They are deleted, with their history, when you leave the class or are removed from it, or when your account or the class is deleted. Each history entry is deleted 180 days after it was made. A technical copy of a saved entry, used so that a repeated save is not applied twice, is deleted after 7 days at most.
The optional exit-ticket line is erased after 90 days. An exit ticket and all its answers are deleted 180 days after it was opened, or earlier when the account or the class is deleted. A closing time of your own (section 3) is deleted with its exit ticket, and earlier when you leave the class or are removed from it.
A follow-up mark (section 3) is deleted when you leave the class or are removed from it, when your account or the class is deleted, when a teacher of the class removes it, when the teacher who made it deletes their account, and at the latest 180 days after it was made.
For a teacher who turned on the weekly summary by email, OttoLearn keeps the record of that agreement (the version of the sentence, the time of the agreement and, where it applies, when and how the summary was turned off) for as long as the teacher's account exists. It keeps a record of each weekly send — the week, the outcome, the provider's message reference, a short error code, and the class-level counts used for the next week's comparison, without the email address or the content of the message — for 180 days, or less if the account is deleted. The unsubscribe link of a message works for the same period. Brevo also applies its own retention periods.
An adult-purchase link token expires after two hours; its hash is destroyed after use or expiry. Minimal operational proof may remain.
The signed purchase contract and evidence needed for tax, delivery, cancellation, refund, or a dispute remain until six years after the end of the last relevant tax year, subject to a legal hold. Account deletion severs the direct learner link without rewriting the signed contract. Automated destruction of these records is not yet deployed.
Administrative-support action tokens expire after five minutes and idempotency evidence after 24 hours. The pseudonymous support register is limited to the action, coded reason, outcome, and an opaque reference and expires after 24 months. A no-match lookup may retain only a keyed cryptographic fingerprint, never the plain email. When an account is deleted, the link between the person and this register is severed.
Current encrypted backups may temporarily retain deleted data for up to 90 days. They are for recovery, not ordinary use. OttoLearn will not return a restored backup to service until deletions have been reapplied from a limited encrypted register.
Stripe, identity providers, AI providers, and technical platforms also apply their own legal and security retention periods.
Information required for a legal, accounting, anti-fraud, or incident-register obligation may remain for the required period and is then destroyed or separated from identity.

8. Rights and choices

A person may request access, correction, portability, or deletion, withdraw an optional AI choice, leave a section, and complain about our practices. The account also provides a JSON download and a deletion-request link. The download does not contain everything: exit-ticket answers and a closing time of your own, the drafts, history, and teacher's name behind a result, and the name of the teacher behind a follow-up mark (section 3), are available on request. During the initial release, OttoLearn manually verifies the request before removing the active account. Deletion cannot immediately remove a record that law requires us to retain temporarily; in that case we will explain what remains, why, and for how long. Nor does a correction or deletion made by OttoLearn reach a file of results that a teacher has already downloaded (section 3); for that copy, ask your teacher or their institution.

Who decides whether practice and activity are recorded. Recording of practice and measurement of class activity time are decided by the owner of the service — the OttoLearn administrator role, held today by Clarus Illico inc. — for the whole site and for each class, following the institution's policies and the teacher's preference. A class a teacher creates starts with both off; the owner switches them on for a class once its institution agrees. Classes created before 16 October 2026 keep the setting they had. Students and teachers have no individual switch for them. Your dashboard shows whether each is currently on for your class. If you do not want this information recorded or seen by a teacher, you can: use the lessons, practice, and solutions without signing in, in which case nothing is saved to an account; leave a class, which ends its teachers' access to your records on OttoLearn (practice done while signed in is still saved to your own account; the results a teacher entered about you in that class are deleted); or ask for your account and its records to be deleted. When the owner turns recording off, no new record is kept; that setting does not erase earlier records, and a class's teachers do not see practice records while practice recording is off for that class. The optional AI choices are separate and remain yours (sections 3 and 6).

Write to otto@ottolearn.org. You may also contact Québec's Commission d'accès à l'information.

9. Minors

The anonymous course remains available. The optional account requires an unchecked declaration of being at least 16 and does not collect a date of birth. For a learner aged 16 or 17, a subscription purchaser must be at least 18. Adult payment is not parental consent for AI. An AI feature can be offered only when its provider and consent route are approved for that age.

10. Security, incidents, and changes

Controls include OAuth, row-level access, multifactor authentication for sensitive roles, encryption, and minimized logs. Cross-account support is restricted to the sole authorized administrator, requires multifactor authentication and a coded reason, and provides no directory or partial search. No safeguard eliminates all risk. We assess incidents, notify people and the Commission when required, and maintain the required register.

We will publish notice before a material change to this policy and request a new choice when a new purpose requires one.