Politique de confidentialité

En résumé

Le Cartable Magique est un service payant. Notre revenu, c'est votre abonnement. Nous ne vendons rien d'autre. Concrètement : aucune publicité, aucune revente ou location de données, aucun profilage publicitaire, aucun traceur tiers, aucune décision automatisée produisant des effets juridiques à votre égard ou à celui de votre enfant.

Ce document décrit les traitements de données personnelles réalisés dans le cadre du service, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés. Il complète nos conditions générales de vente.

Qui est responsable de vos données

Le responsable de traitement est l'entreprise individuelle qui édite Le Cartable Magique, immatriculée sous le SIREN 842 737 025 (SIRET 842 737 025 00069, TVA intracommunautaire FR80842737025). Son identité et son adresse postale figurent dans les mentions légales.

Contact : bonjour@cartablemagique.com. Téléphone : 07 49 75 95 08. Le service est accessible à l'adresse https://cartablemagique.com.

Compte tenu de la taille de l'entreprise et de la nature des traitements, aucun délégué à la protection des données n'a été désigné. Vos demandes sont traitées directement par l'éditrice, à l'adresse ci-dessus.

Les données du parent

Le compte est ouvert et administré par un adulte. Nous collectons directement auprès de vous : votre adresse e-mail, votre mot de passe (jamais stocké en clair, uniquement sous forme d'empreinte cryptographique), et les réglages que vous choisissez pour votre ou vos enfants.

S'y ajoutent les données liées à votre abonnement : formule choisie, dates de début, de renouvellement ou de résiliation, historique de vos factures. Vos données de paiement (numéro de carte, cryptogramme, date d'expiration) sont collectées et conservées par notre prestataire de paiement Stripe. Elles ne transitent jamais par nos serveurs et nous n'y avons pas accès.

Nous conservons également les échanges que vous nous adressez par e-mail lorsque vous nous contactez, ainsi que des données techniques de fonctionnement décrites plus bas dans la section sur la sécurité.

Les données de l'enfant

L'enfant n'a pas de compte à lui. Il n'a pas d'identifiant personnel, pas de mot de passe personnel et ne nous communique pas d'adresse e-mail. Il accède au jeu depuis un lien d'appareil que vous créez et que vous pouvez révoquer.

Les données rattachées à l'enfant sont : son prénom (ou le surnom que vous saisissez à la place), son genre, utilisé uniquement pour accorder les textes du jeu, sa classe, du CP au CM2, la langue vivante choisie entre anglais, espagnol et russe, le héros sélectionné, sa progression pédagogique (journées faites, réponses, réussites et erreurs, réglages) et les dessins qu'il réalise dans l'application.

La cagnotte affichée à l'enfant est un simple livre de comptes en centimes, interne à l'application. Aucun argent ne transite par le service : si vous décidez de verser quelque chose à votre enfant, cela se fait entièrement hors de l'application et nous n'en avons aucune connaissance.

Nous ne demandons ni nom de famille, ni date de naissance, ni photo, ni adresse, ni géolocalisation, ni contact d'un tiers.

L'enfant est mineur : c'est vous qui décidez pour lui

Le contrat est conclu avec vous, parent ou titulaire de l'autorité parentale. C'est vous qui renseignez les informations concernant votre enfant, vous qui autorisez son usage du service, et vous qui exercez en son nom les droits prévus par le RGPD.

En saisissant le prénom et les réglages de votre enfant, vous déclarez être titulaire de l'autorité parentale ou agir avec l'accord de celui qui l'est. Vous pouvez à tout moment modifier ces informations, révoquer l'accès d'un appareil, ou demander la suppression complète du profil de votre enfant.

Nous ne construisons pas de profil publicitaire ou comportemental de votre enfant. Sa progression sert uniquement à lui proposer la journée suivante et à vous rendre compte de son avancée dans votre espace parent.

Pourquoi nous traitons ces données, et sur quelle base légale

Créer et gérer votre compte parent, vous authentifier, permettre à votre enfant d'accéder au jeu depuis son appareil : exécution du contrat qui nous lie, article 6.1.b du RGPD.

Fournir le contenu pédagogique, enregistrer la progression, les réglages, les dessins et la cagnotte interne de l'enfant, et vous en rendre compte : exécution du contrat, article 6.1.b du RGPD.

Gérer l'essai gratuit de 14 jours, l'abonnement, son renouvellement, sa résiliation et les remboursements éventuels : exécution du contrat, article 6.1.b du RGPD.

Émettre les factures, collecter et reverser la TVA, conserver les pièces comptables : obligation légale à laquelle nous sommes soumis, article 6.1.c du RGPD, notamment l'article L123-22 du code de commerce et le code général des impôts.

Vous envoyer les e-mails nécessaires au service : confirmation d'inscription, réinitialisation de mot de passe, fin de l'essai, reçu de paiement, information sur une évolution du service ou de nos conditions. Exécution du contrat, article 6.1.b du RGPD. Ces messages ne sont pas de la prospection commerciale et ne peuvent pas être désactivés tant que le compte existe.

Répondre à vos demandes envoyées à bonjour@cartablemagique.com : exécution du contrat lorsque la demande concerne votre abonnement, article 6.1.b du RGPD, et intérêt légitime à répondre correctement à nos correspondants dans les autres cas, article 6.1.f du RGPD.

Assurer la sécurité du service : détection des connexions anormales, limitation des tentatives d'accès, prévention de la fraude et des abus, journaux techniques, sauvegardes. Intérêt légitime à protéger le service et les comptes de nos clients, article 6.1.f du RGPD.

Établir des statistiques internes agrégées, par exemple le nombre de comptes actifs ou le taux d'achèvement d'une journée de jeu, sans jamais rattacher ces chiffres à un enfant identifiable : intérêt légitime à améliorer le contenu pédagogique, article 6.1.f du RGPD.

Nous ne réalisons aucun traitement fondé sur votre consentement au sens de l'article 6.1.a, puisque nous n'utilisons ni traceur publicitaire, ni outil de mesure d'audience tiers. L'autorisation que vous donnez pour l'usage du service par votre enfant est une condition du contrat que vous concluez avec nous, et non un consentement au sens de cet article 6.1.a. La fourniture des données décrites ici est nécessaire à l'exécution du contrat : sans elles, le service ne peut pas fonctionner.

Combien de temps nous conservons vos données

Données du compte parent et profils enfants : pendant toute la durée de votre abonnement, puis effacées au plus tard 3 mois après la clôture du compte ou après votre demande de suppression, ce délai permettant de traiter une réclamation ou une réactivation.

Compte créé pour un essai gratuit et non converti en abonnement : effacé au plus tard 3 mois après la fin de l'essai.

Progression pédagogique et dessins de l'enfant : supprimés en même temps que le profil correspondant, ou immédiatement si vous supprimez ce profil depuis votre espace parent.

Factures et pièces comptables : 10 ans à compter de la clôture de l'exercice, comme l'impose la loi. Cette conservation est obligatoire et survit à la suppression de votre compte ; elle est limitée aux seules données nécessaires à la facturation.

Échanges par e-mail avec le support : 3 ans à compter du dernier échange.

Journaux techniques et de sécurité : 12 mois au maximum.

Sauvegardes : la copie de travail est conservée de façon glissante sur 30 jours au maximum. Une copie chiffrée est en outre adressée par courrier électronique à l'éditrice, à intervalle hebdomadaire et mensuel ; elle est conservée le temps nécessaire à la reprise après incident, et détruite au plus tard douze mois après son envoi. Une donnée supprimée disparaît de la copie de travail au terme du cycle de 30 jours, et de ces copies hors site au terme de ce délai.

Qui nous aide à faire fonctionner le service

Nous faisons appel à un petit nombre de prestataires techniques, qui agissent comme sous-traitants au sens de l'article 28 du RGPD. Ils n'utilisent vos données que pour exécuter notre instruction, jamais pour leur propre compte.

Vercel Inc., société de droit américain établie aux États-Unis : hébergement du site et exécution de l'application.

Supabase Inc., société de droit américain établie aux États-Unis : base de données et authentification. Les données de la base sont stockées dans un centre de données situé dans l'Union européenne.

Stripe Payments Europe Ltd, société de droit irlandais établie en Irlande : traitement des paiements par carte et gestion des abonnements. Stripe agit comme responsable de traitement autonome pour les obligations qui lui sont propres, notamment la lutte contre la fraude et le blanchiment.

Resend, société de droit américain établie aux États-Unis : envoi des e-mails transactionnels du service, comme la confirmation d'inscription ou la réinitialisation de mot de passe. Ce même service achemine la copie de sauvegarde chiffrée adressée à l'éditrice.

Google Ireland Limited, société de droit irlandais établie en Irlande : messagerie de l'éditrice, qui reçoit les copies de sauvegarde chiffrées et les messages que vous nous adressez.

En dehors de ces prestataires, vos données peuvent être communiquées, le cas échéant, à notre expert-comptable et, sur demande régulière, à une autorité administrative ou judiciaire habilitée. Nous ne transmettons vos données à aucun autre destinataire.

Transferts en dehors de l'Union européenne

Nous choisissons, quand l'option existe, un stockage situé dans l'Union européenne. C'est le cas de notre base de données. Nous ne pouvons pas pour autant vous garantir qu'aucune donnée ne sortira jamais de l'Union.

Vercel Inc., Supabase Inc. et Resend sont des sociétés américaines. Certaines opérations techniques, comme la distribution des pages, la supervision, le support, l'envoi des e-mails ou l'administration de l'infrastructure, peuvent conduire à un accès depuis les États-Unis. Un transfert hors de l'Union européenne ne peut donc pas être exclu, malgré un stockage principal en Europe.

Ces transferts reposent, selon le prestataire, soit sur la certification de celui-ci au titre du cadre de protection des données UE - États-Unis reconnu adéquat par la Commission européenne, soit sur les clauses contractuelles types adoptées par cette même Commission, assorties des mesures complémentaires nécessaires. Vous pouvez nous demander une copie des garanties applicables en écrivant à bonjour@cartablemagique.com.

Cookies et stockage sur votre appareil

Nous n'utilisons que des stockages strictement nécessaires au fonctionnement du service : le cookie ou jeton de session qui vous maintient connecté à votre espace parent, le jeton d'appareil qui permet à l'enfant de retrouver son profil sur la tablette ou l'ordinateur que vous avez autorisé, et la mémorisation de préférences d'affichage comme le thème clair ou sombre.

Ces éléments sont exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés. C'est pourquoi vous ne voyez pas de bandeau cookies : il n'y a rien à accepter ou à refuser.

Nous n'utilisons aucun traceur publicitaire, aucun outil de mesure d'audience tiers, aucun pixel de réseau social, aucun bouton de partage tiers, ni dans l'application de l'enfant ni sur le site. Vous pouvez supprimer ces stockages depuis les réglages de votre navigateur ; vous devrez alors vous reconnecter et le lien d'appareil de l'enfant devra être refait.

Sécurité

Les échanges avec le service sont chiffrés en transit. Les mots de passe sont stockés sous forme d'empreinte à sens unique et ne sont jamais lisibles, y compris par nous. L'accès aux données de production est restreint aux seules personnes qui en ont besoin et fait l'objet de journaux.

En cas de violation de données présentant un risque pour vos droits et libertés, nous en informerons la CNIL dans les 72 heures et vous préviendrons directement lorsque le risque est élevé, comme le prévoient les articles 33 et 34 du RGPD.

Vos droits, et ceux de votre enfant

Vous disposez du droit d'accéder à vos données et à celles de votre enfant, de les faire rectifier si elles sont inexactes, de demander leur effacement, de demander la limitation de leur traitement, de vous opposer à un traitement fondé sur notre intérêt légitime pour des raisons tenant à votre situation particulière, et de recevoir dans un format lisible par machine les données que vous nous avez fournies afin de les transmettre à un autre service, au titre de la portabilité.

L'enfant étant mineur et n'ayant pas de compte propre, ces droits sont exercés pour lui par le parent ou le titulaire de l'autorité parentale, c'est-à-dire par vous.

Beaucoup de ces actions sont immédiates depuis votre espace parent : corriger un prénom, une classe ou une langue, révoquer un appareil, supprimer un profil enfant, résilier l'abonnement. Pour tout le reste, écrivez à bonjour@cartablemagique.com depuis l'adresse e-mail de votre compte.

Nous répondons dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses ; nous vous en informerons alors dans le premier mois, en vous en expliquant la raison. Si un doute sérieux existe sur votre identité, nous pourrons vous demander un justificatif, limité à ce qui est nécessaire.

La suppression du compte est définitive : la progression, les dessins et la cagnotte interne de votre enfant ne sont pas récupérables. Seules les factures sont conservées, au titre de l'obligation comptable rappelée plus haut.

Vous pouvez également définir des directives relatives au sort de vos données après votre décès, conformément à l'article 85 de la loi Informatique et Libertés.

Réclamation auprès de la CNIL

Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de l'autorité de contrôle française : Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Téléphone : 01 53 73 22 22. Site : www.cnil.fr.

Si vous résidez dans un autre État de l'Union européenne, vous pouvez saisir l'autorité de contrôle de votre pays de résidence.

Médiation de la consommation

Pour les litiges de nature contractuelle liés à votre abonnement, distincts des questions de protection des données traitées ci-dessus, les articles L612-1 et suivants du code de la consommation prévoient un recours gratuit à un médiateur de la consommation. Vous devez au préalable nous avoir adressé une réclamation écrite à bonjour@cartablemagique.com et être resté sans réponse satisfaisante.

Les coordonnées du médiateur seront indiquées ici dès la signature de la convention d'adhésion ; tant qu'elles ne le sont pas, aucun médiateur n'est désigné et nous ne pouvons pas vous en indiquer un.

Modifications de cette politique

Nous pouvons faire évoluer ce document, par exemple si nous changeons de prestataire technique. La date de dernière mise à jour figure en haut de la page. En cas de modification substantielle, nous vous en informerons par e-mail avant son entrée en vigueur.

Nous écrire

Pour toute question sur cette politique ou sur vos données : bonjour@cartablemagique.com. Un courrier postal reste possible à l'adresse indiquée dans les mentions légales.