Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est l'éditeur du service :

Nom

À compléter (éditeur en cours d'immatriculation)

Statut

Entrepreneur individuel — statut en cours de création

Adresse

À compléter

E-mail

À compléter

Téléphone

À compléter

L'éditeur n'a pas désigné de délégué à la protection des données : pour toute question, utilisez les coordonnées ci-dessus.

2. Données traitées

Compte du parent

• Adresse e-mail (qui sert d'identifiant de connexion).
• Mot de passe, jamais stocké en clair : il est haché par notre module d'authentification (Convex Auth).
• Données de connexion gérées par ce module : sessions de connexion, jetons de rafraîchissement et compteurs de tentatives de connexion, associés à des empreintes pseudonymisées (HMAC) de votre adresse e-mail et de l'adresse IP utilisée (protection contre les essais de mots de passe en série).
• Date et version des conditions d'utilisation et de la politique de confidentialité que vous avez acceptées.

Foyer et profils des membres

• Foyer : nom, couleur, palier attribué, palier souhaité, statut (actif ou en lecture seule), raison et date du passage en lecture seule.
• Profils : prénom, initiales, rôle (parent administrateur, parent, adolescent, enfant) et couleur.
• Appartenance au foyer : statut (actif ou suspendu) et solde de points.
• Vérificateur du code PIN : le PIN lui-même n'est jamais conservé, seule une empreinte salée, hachée puis scellée par une clé secrète du serveur l'est, avec le nombre d'essais erronés, le niveau et la fin d'un éventuel verrouillage.

Abonnement et paiement (à l'ouverture des abonnements payants)

• Chez nous : identifiants client et abonnement Stripe, palier, périodicité, statut de l'abonnement, dates d'essai, de renouvellement, d'impayé et de passage en lecture seule, ainsi que la date et la version des conditions lors de votre demande de démarrage immédiat.
• Transmis à Stripe par nos serveurs : adresse e-mail du parent administrateur et identifiant technique du foyer.
• Saisis directement chez Stripe, sur sa page de paiement : données de carte bancaire, nom et adresse de facturation. Nous n'y avons jamais accès ; nous ne recevons que le statut de l'abonnement.

Nous ne collectons aucune donnée bancaire pendant la bêta. À l'ouverture des abonnements payants, le paiement sera confié à un prestataire spécialisé et cette politique sera mise à jour au préalable.

Données techniques

• Jetons d'appareil autorisé, de session membre et d'invitation, conservés uniquement sous forme hachée, avec leurs dates de création et d'expiration et le parent qui les a créés ou acceptés.
• Adresse e-mail du second parent, saisie par le parent administrateur lors d'une invitation, avant que l'invité ait un compte : elle sert uniquement à réserver le lien d'invitation à cette adresse. Elle est conservée jusqu'à l'acceptation de l'invitation, son expiration (7 jours, purge planifiée) ou la suppression du foyer.
• Nom donné à un appareil autorisé (par exemple « Tablette du salon »).
• Journaux techniques de nos hébergeurs (adresse IP, date et heure, page demandée, erreurs), nécessaires à la sécurité et au bon fonctionnement du service.
• Rapports d'erreurs et mesures de performance : données techniques minimisées (voir « Destinataires et sous-traitants »).

Données familiales

Saisies par les membres du foyer, nous ne les utilisons que pour les leur afficher :

• Agenda : titre, date, horaires, catégorie, lieu, participants, récurrence ; un événement marqué « privé » n'apparaît aux autres membres que comme « Indisponible ».
• Corvées et échanges : intitulé, membre chargé, échéance, points, dates de réalisation et de validation, mot du parent, demandes d'échange et réponses.
• Points : solde par membre et historique des mouvements (montant, motif, auteur, date).
• Courses : articles, quantités, rayons, auteur, statut ; la liste perso d'un membre n'est visible que de lui.
• Budget des activités et argent de poche : libellés, montants prévus et réels, cadence, catégorie, membre concerné.
• Coffre documentaire : fichiers (PDF ou images) et leurs informations (titre, catégorie, membre concerné, visibilité, date d'expiration, taille).
• Garde partagée : lorsque les parents administrateurs de deux foyers lient le profil d'un enfant, les deux foyers partagent le calendrier de garde, les dépenses et règlements de cet enfant commun ; les documents que l'un d'eux choisit explicitement de partager ne sont visibles que des parents de l'autre foyer, et seulement ceux cochés, et la seule indication « Occupé » des événements de l'enfant (sans titre ni détail). Les données d'un lien révoqué sont conservées 30 jours puis effacées, immédiatement si un foyer est supprimé.
• Notifications in-app générées par ces actions (aucune notification n'est envoyée hors de l'application).

Fiche d'urgence (données de santé)

• Médecin traitant et son téléphone, consignes en cas d'urgence, et pour chaque membre ses allergies et traitements.
• Ces informations ne sont enregistrées qu'avec un consentement explicite (article 9.2.a du RGPD), coché à chaque enregistrement : par l'adulte concerné pour sa propre fiche, par un parent pour celle d'un enfant ou d'un adolescent. Nous conservons qui a consenti, quand, et la version du texte accepté.
• Elles ne sont consultables que par les parents du foyer, ne sont jamais affichées sur l'écran du mode tablette, jamais reprises dans une notification ni transmises à l'assistant.
• Vous pouvez retirer votre consentement à tout moment en effaçant la fiche (bouton « Effacer ») : les informations sont alors supprimées.

Messages envoyés à l'équipe

• Dans tous les cas : catégorie, type de demande pour une demande RGPD, objet et message.
• Page Contact : nom (facultatif) et adresse e-mail, saisis par la personne.
• Parent connecté, dans Réglages (« Contacter l'équipe ») : il ne saisit ni nom ni adresse ; son compte, son foyer et l'adresse e-mail de son compte sont rattachés automatiquement par nos serveurs.
• Pour un visiteur : la date et l'heure auxquelles il a coché la case de consentement.
• Compteurs anti-abus limitant le nombre d'envois, associés à l'identifiant du compte (parent) ou à des empreintes pseudonymisées (HMAC) de l'adresse e-mail et de l'adresse IP (visiteur).

Caractère obligatoire

L'adresse e-mail et le mot de passe du parent sont nécessaires à la création du compte : sans eux, nous ne pouvons pas vous fournir le service. Les autres informations dépendent des fonctionnalités que vous choisissez d'utiliser.

3. Données des enfants

• Les profils des enfants et adolescents sont créés par le parent titulaire de l'autorité parentale (ou avec son accord), dans le cadre du contrat qu'il a conclu avec l'éditeur (article 6.1.b du RGPD). Aucun consentement n'est demandé au mineur pour faire fonctionner son profil.
• Pour les seuls traitements fondés sur le consentement (suivi des erreurs dans le navigateur), les règles de l'article 8 du RGPD et de l'article 45 de la loi Informatique et Libertés s'appliquent : sur un appareil familial utilisé par un enfant, le choix concernant les cookies doit être fait par un parent.
• Un mineur n'a ni compte, ni adresse e-mail, ni mot de passe : il accède à son profil avec un code PIN, sur un appareil autorisé par un parent.
• Nous ne faisons aucune publicité ni aucun profilage à partir des données d'un mineur, et nous ne les communiquons à aucun tiers à des fins commerciales.
• L'accès est limité selon le rôle : un enfant ou un adolescent ne voit que ce qui le concerne (notamment ses corvées, ses points et badges, ses demandes de courses et, pour un adolescent, son argent de poche et les documents qui le concernent) et ne peut pas administrer le foyer.
• Les parents exercent les droits de leur enfant mineur. Un mineur peut aussi nous écrire directement : nous lui répondrons dans un langage adapté.

4. Finalités et bases légales

Aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative n'est prise à votre égard, ni à l'égard d'aucun membre du foyer (article 22 du RGPD). Vous pouvez vous opposer aux traitements fondés sur l'intérêt légitime pour des raisons tenant à votre situation particulière (voir « Vos droits »).

5. Destinataires et sous-traitants

Vos données sont accessibles :

• aux membres de votre foyer, selon leur rôle ;
• en cas de garde partagée activée par les deux parents administrateurs, à l'autre foyer, uniquement pour l'enfant commun : calendrier de garde, dépenses et règlements, documents explicitement partagés (uniquement avec les parents de l'autre foyer, et seulement ceux que vous cochez) et simple indication « Occupé » de ses événements ;
• à l'ouverture de la fonctionnalité, avec l'offre Pilote qui inclut l'assistant, si vous générez un jeton, à l'agent externe que vous choisissez de connecter : il reçoit un contexte minimal (voir la section « Assistant ») et ne peut que proposer des brouillons, validés ensuite par un parent. Cet agent relève de votre choix et de ses propres conditions ;
• à l'éditeur, uniquement lorsque c'est nécessaire (assistance que vous demandez, sécurité, obligation légale) ;
• à nos sous-traitants techniques, liés par un contrat conforme à l'article 28 du RGPD :

Suivi des erreurs (Sentry). Sur nos serveurs, Sentry reçoit les erreurs et un échantillon de mesures de performance. Dans votre navigateur, seules les erreurs sont envoyées, et uniquement si vous l'avez accepté. Les données sont techniques et minimisées : les rapports ne contiennent ni identité, ni cookies, ni en-têtes, ni corps de requête, et les jetons d'invitation présents dans les adresses sont masqués avant envoi. Comme pour tout échange sur internet, votre adresse IP est toutefois visible par le prestataire lors de la transmission.

Paiement (Stripe). Le paiement des abonnements est confié à Stripe Payments Europe, Limited (Irlande). Stripe agit comme sous-traitant pour gérer votre abonnement pour notre compte, et comme responsable de traitement distinct pour ses propres obligations (lutte contre la fraude et le blanchiment, obligations comptables et réglementaires des services de paiement), selon sa propre politique de confidentialité. Les données que Stripe détient à ce titre restent chez Stripe, y compris après la suppression de votre foyer, pour la durée que lui imposent ces obligations.

Nous ne vendons ni ne louons vos données, et nous ne les utilisons pas à des fins publicitaires.

6. Transferts hors Union européenne

Les données de l'application sont hébergées dans l'Union européenne (Irlande) par Convex, dont la société mère est établie aux États-Unis : les accès à distance éventuels depuis les États-Unis sont encadrés par des clauses contractuelles types. Vercel et Sentry sont établis aux États-Unis ; Stripe Payments Europe, établie en Irlande, peut transférer des données à Stripe, Inc. (États-Unis).

Ces transferts sont encadrés, conformément aux articles 44 à 46 du RGPD, par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y est certifié, par la décision d'adéquation relative au cadre de protection des données UE–États-Unis (Data Privacy Framework). Vous pouvez obtenir une copie de ces garanties en nous écrivant.

7. Durées de conservation

Après suppression, des copies peuvent subsister temporairement dans les sauvegardes techniques de nos prestataires, jusqu'à leur effacement automatique.

8. Sécurité

• Mots de passe et codes PIN jamais stockés en clair ; jetons d'appareil, de session de profil et d'invitation conservés sous forme hachée.
• Chiffrement des échanges entre votre appareil et nos serveurs (HTTPS).
• Cloisonnement par foyer : chaque requête est vérifiée côté serveur à partir de votre session, jamais à partir d'informations envoyées par l'appareil.
• Verrouillage progressif d'un profil après 5 codes PIN erronés (15 minutes, puis durée doublée jusqu'à 24 heures) ; sessions membres de 30 minutes glissantes, 12 heures au plus ; tentatives de connexion parent limitées.
• Appareils autorisés individuellement par le parent admin et révocables à tout moment.

Aucune mesure n'offre une sécurité absolue. En cas de violation de données présentant un risque pour vos droits, nous notifierons la CNIL et, si le risque est élevé, nous vous informerons (articles 33 et 34 du RGPD).

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès : savoir quelles données nous détenons sur vous et en obtenir une copie.
• Rectification : corriger des données inexactes ou incomplètes.
• Effacement : obtenir la suppression de vos données.
• Limitation : demander le gel temporaire d'un traitement.
• Portabilité : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine (JSON).
• Opposition : vous opposer aux traitements fondés sur notre intérêt légitime.
• Retrait du consentement : à tout moment, sans remettre en cause les traitements déjà effectués.
• Directives post-mortem : définir ce que deviennent vos données après votre décès (article 85 de la loi Informatique et Libertés).

10. Exercer vos droits

• Depuis l'application, pour le foyer : le parent administrateur exerce les droits du foyer dans Réglages, avec « Exporter mes données » (fichier JSON contenant les données du foyer) ou « Supprimer le foyer » (suppression définitive du foyer et des profils ; les comptes des autres parents rattachés uniquement à ce foyer sont supprimés en même temps).
• Par e-mail, pour les autres parents : un parent qui n'est pas administrateur exerce ses propres droits (accès à ses données et export, suppression de son propre compte) en écrivant à À compléter. Cette adresse vaut aussi pour toute autre demande (rectification, opposition, limitation…).
• Par le formulaire de contact : toute personne, avec ou sans compte, peut aussi choisir la catégorie « Demande RGPD » sur la page Contact (ou, pour un parent connecté, dans Réglages, rubrique « Contacter l'équipe »), en précisant le type de demande.

Nous répondons gratuitement dans un délai d'un mois, prolongeable de deux mois pour une demande complexe (vous en serez alors informé). Si nous avons un doute raisonnable sur votre identité, nous pourrons vous demander une information complémentaire, sans jamais exiger plus que nécessaire.

11. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) : www.cnil.fr.

12. Cookies

Nous n'utilisons que les cookies et le stockage local strictement nécessaires au fonctionnement du service ; le suivi des erreurs dans votre navigateur n'est activé qu'avec votre accord, donné par un parent sur un appareil familial. Le détail figure dans notre politique cookies.

13. Assistant (offre Pilote)

• À l'ouverture de la fonctionnalité : l'assistant est inclus dans l'offre Pilote, pas encore disponible. Les points suivants s'appliqueront alors, à l'exception du vote d'intérêt, déjà actif.
• L'agent externe est choisi et configuré par votre foyer. Seul le parent administrateur peut lui donner accès, avec un jeton révocable à tout moment ; le jeton n'est affiché qu'une fois et seule son empreinte est conservée.
• Le contexte transmis à l'agent est minimal : les prénoms et rôles des membres, les événements des 14 prochains jours (un événement privé ou médical apparaît seulement comme « Indisponible », sans titre ni lieu), les corvées à faire ou en attente de validation et les courses de la liste commune. Il ne reçoit jamais les données de santé, les documents, le budget, les notifications, la garde partagée, les points ni les listes personnelles.
• Rien n'est écrit sans la validation d'un parent : l'agent ne dépose que des brouillons, que le parent accepte ou refuse action par action, avec ses propres droits.
• Les brouillons sont conservés 30 jours après leur clôture ; une action non traitée au bout de 7 jours expire. Le journal des requêtes de l'agent est conservé 24 heures.
• Le vote d'intérêt pour l'offre Pilote est actif dès maintenant : il enregistre le parent qui l'exprime (son profil) et la date du vote ; il est effaçable en le retirant, et supprimé avec le foyer.

14. Administration du service

L'éditeur administre Ko-Familly au moyen d'une console interne, KO Control. Elle accède aux comptes (adresse e-mail, prénom du profil parent), aux foyers (nom, palier, état), aux abonnements (palier, statut, dates) et aux messages envoyés à l'équipe (voir « Données traitées ») ; elle ne donne jamais accès au contenu familial (agenda, corvées, courses, documents, fiche d'urgence, budget, garde partagée, notifications) ni aux codes PIN et jetons.

Elle sert à assister les familles et à protéger le service : suspendre ou réactiver un compte, fermer ses sessions, accorder ou retirer un abonnement offert, écrire un message aux parents d'un foyer et, sur votre demande ou en cas d'obligation légale, effacer un foyer. Chaque action est journalisée (cible, motif, opérateur, date) ; ce journal ne contient que des identifiants et le motif, est conservé 3 ans comme preuve des actions de gestion, et n'est pas effacé avec le foyer.

15. Modifications

Cette politique peut évoluer, notamment à l'ouverture de nouvelles fonctionnalités ou des abonnements payants. La date de mise à jour figure en haut de page. En cas de changement important, nous vous en informerons dans l'application et, si nécessaire, vous demanderons d'accepter la nouvelle version.