Politique de confidentialité

1. Introduction

La présente politique de confidentialité décrit comment DicteeFun collecte, utilise et protège vos données personnelles. Nous nous engageons à respecter votre vie privée et à protéger vos informations conformément au Règlement Général sur la Protection des Données (RGPD).

2. Données collectées

Nous collectons les données suivantes :

• Données de compte : nom, adresse e-mail, mot de passe (crypté)
• Données de paiement : informations traitées par Stripe sur le web, ou par Apple et Google pour les achats intégrés de l'application mobile (non stockées sur nos serveurs)
• Données des enfants : prénom, niveau scolaire (CP, CE1, CE2, CM1, CM2)
• Données d'utilisation : dictées créées, résultats des exercices, progression
• Données d'origine et d'appareil : canal d'arrivée sur le site (paramètres de campagne utm_source, utm_medium, utm_campaign et domaine du site référent, sans l'adresse complète) enregistré à la création du compte, et catégorie d'appareil (mobile, tablette, ordinateur), famille de système d'exploitation et de navigateur, déduites des informations techniques envoyées par votre navigateur. Nous ne conservons jamais la chaîne User-Agent complète ni l'adresse complète de la page référente
• Images de cahier : photos envoyées temporairement pour extraction automatique de mots

3. Utilisation des données et bases légales

Conformément à l'article 6 du RGPD, chacun de nos traitements repose sur une base légale claire :

• Fournir et améliorer nos services (exécution du contrat)
• Gérer votre compte et votre abonnement (exécution du contrat)
• Suivre la progression des enfants (exécution du contrat)
• Paiement et facturation (exécution du contrat + obligation légale)
• Vous envoyer des emails transactionnels, réinitialisation de mot de passe, notifications de service (exécution du contrat)
• Assurer la sécurité et prévenir la fraude (intérêt légitime)
• Mesure d'audience anonyme, sans cookie (intérêt légitime, voir section 7)
• Analyse détaillée de l'utilisation et enregistrement de session PostHog (consentement)
• Mesurer l'origine des inscriptions et les grandes étapes d'utilisation du service (inscription, ajout d'un profil enfant, création et réalisation de dictées, abonnement), événements captés par nos serveurs et rattachés au compte du parent (intérêt légitime : pilotage et amélioration du service ; droit d'opposition, voir section 6)
• Mesurer les grandes étapes d'utilisation de l'application mobile par le parent (connexion, parcours de démarrage, écran d'abonnement), événements rattachés au compte du parent (intérêt légitime ; désactivable à tout moment dans l'application, réglage "Statistiques d'usage", voir section 7)
• Mesure de performance publicitaire Google Ads (consentement)

4. Protection des données

Nous mettons en œuvre des mesures de sécurité appropriées :

• Chiffrement SSL/TLS pour toutes les communications
• Mots de passe cryptés avec bcrypt
• Hébergement sécurisé sur des serveurs conformes RGPD
• Accès restreint aux données personnelles
• Suppression automatique des images après extraction des mots

5. Partage des données

Nous ne vendons jamais vos données. Nous les partageons uniquement avec :

• Stripe : pour le traitement sécurisé des paiements sur le web
• Apple et Google : pour les achats intégrés de l'application mobile (le paiement est traité par le magasin d'applications)
• RevenueCat : pour rattacher les achats intégrés mobiles à votre compte (identifiant technique de compte et état d'abonnement uniquement, jamais vos données de carte)
• Resend : pour l'envoi d'emails transactionnels
• OpenAI : pour la reconnaissance de texte depuis des images. L'image n'est jamais conservée sur nos serveurs : elle est transmise à OpenAI uniquement pour en extraire la liste de mots, puis supprimée. OpenAI peut la conserver brièvement selon sa propre politique de rétention d'API, sans l'utiliser pour entraîner ses modèles
• Vercel/Neon : pour l'hébergement et la base de données
• PostHog : pour l'analyse d'audience et l'amélioration du service (données hébergées en UE, Francfort)

6. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : consulter vos données personnelles
• Droit de rectification : corriger vos données inexactes
• Droit à l'effacement : supprimer votre compte et vos données
• Droit à la portabilité : récupérer vos données dans un format structuré
• Droit d'opposition : vous opposer au traitement de vos données
• Droit à la limitation du traitement : restreindre l'usage de vos données

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés, www.cnil.fr).

Pour exercer vos droits, contactez-nous à : contact@dicteefun.fr

7. Cookies

Nous utilisons différentes catégories de cookies. Lors de votre première visite, un bandeau vous permet de choisir les cookies que vous acceptez. Vous pouvez modifier vos préférences à tout moment.

Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du site et ne peuvent pas être désactivés :

• Session d'authentification
• Protection CSRF
• Cookies Stripe (paiement sécurisé)
• Préférences de consentement cookies

Cookie d'attribution

• dicteefun_attribution : cookie de session première partie mémorisant le canal d'arrivée sur le site (paramètres de campagne utm_source, utm_medium, utm_campaign et domaine référent, jamais l'adresse complète), lu uniquement à la création d'un compte puis expirant à la fermeture du navigateur. Base légale et droit d'opposition : voir "Mesure réalisée par nos serveurs" ci-dessous

Mesure d'audience anonyme, sans cookie

Avant tout consentement (et si vous refusez les cookies), nous mesurons uniquement la fréquentation des pages de manière anonyme : aucun cookie ni identifiant n'est déposé ou lu sur votre appareil, votre adresse IP est tronquée avant traitement, et aucune de ces visites ne peut être rattachée à une personne. Ce comptage strictement nécessaire à la mesure d'audience repose sur notre intérêt légitime. Vous pouvez vous y opposer à tout moment en nous écrivant à contact@dicteefun.fr (article 21 RGPD).

Mesure réalisée par nos serveurs et notre application mobile

Indépendamment de vos choix de cookies, nos serveurs enregistrent certains événements liés à votre compte (inscription, ajout d'un profil enfant, création et réalisation d'une dictée, abonnement) dans notre outil PostHog (UE, Francfort), rattachés à l'identifiant technique de votre compte parent. Ces événements ne contiennent ni nom, ni email, ni aucune saisie de votre enfant. Ils peuvent inclure le canal par lequel vous êtes arrivé sur DicteeFun (paramètres de campagne et domaine du site référent au moment de l'inscription) ainsi que la catégorie de l'appareil utilisé (mobile, tablette ou ordinateur, famille de système et de navigateur), déduite des informations techniques que votre navigateur envoie spontanément. Aucun cookie de suivi n'est déposé pour cette mesure ; un unique cookie de session première partie (dicteefun_attribution) mémorise le canal d'arrivée (utm_source, utm_medium, utm_campaign et domaine du site référent, sans l'adresse complète) jusqu'à la fermeture du navigateur, et n'est lu qu'au moment de la création d'un compte. Ce traitement repose sur notre intérêt légitime ; vous pouvez vous y opposer à tout moment (article 21 RGPD) en nous écrivant à contact@dicteefun.fr.

Dans l'application mobile, une fois connecté, l'application mesure de la même façon les grandes étapes d'utilisation côté parent (connexion, parcours de démarrage, écran d'abonnement), rattachées au compte du parent, avec la famille de système (iOS ou Android) et la version de l'application. Rien n'est écrit ni lu sur votre appareil pour cette mesure, et aucun événement n'est mesuré depuis les écrans utilisés par votre enfant ni avant la création du compte. Ce traitement repose sur notre intérêt légitime ; vous pouvez le désactiver à tout moment dans l'application (Compte, réglage "Statistiques d'usage") ou nous écrire à contact@dicteefun.fr (article 21 RGPD).

Cookies analytiques (opt-in)

Soumis à votre consentement, ces cookies nous aident à comprendre comment vous utilisez DicteeFun afin d'améliorer nos services :

• PostHog : mesure d'audience détaillée et enregistrement de session (données hébergées en UE, Francfort). Cookie conservé 12 mois. Les enregistrements de session sont conservés 30 jours et toutes les saisies clavier y sont masquées.
• Choix de consentement : votre réponse au bandeau est conservée 6 mois, puis le bandeau vous est représenté.

Cookies marketing (opt-in)

Soumis à votre consentement, ces cookies permettent de mesurer l'efficacité de nos campagnes publicitaires :

• Google Ads : mesure des conversions publicitaires

8. Données des enfants

DicteeFun est utilisé par des enfants sous la supervision de leurs parents, et nous appliquons des protections renforcées :

• Le compte est créé et géré par le parent, seul titulaire. Nous ne collectons de l'enfant que son prénom (ou un surnom) et son niveau scolaire.
• L'enfant n'est jamais identifié dans nos outils de mesure d'audience : aucun prénom, aucune saisie, aucun mot de dictée n'est transmis à PostHog. Seuls des indicateurs chiffrés (nombre de mots, scores) sont mesurés, rattachés au compte du parent, jamais à un profil de l'enfant.
• Aucun enregistrement de session n'est réalisé sur les écrans utilisés par l'enfant, même si vous avez accepté les cookies analytiques. Les prénoms d'enfants affichés sur les écrans parents sont masqués dans les enregistrements.
• Dans l'application mobile, aucune mesure d'usage n'est réalisée depuis les écrans utilisés par l'enfant (dictée, entraînement, mots ratés) ni pendant la démonstration.
• Aucune publicité n'est affichée dans l'application.

9. Sous-traitants

Les sous-traitants suivants ont accès à vos données dans le cadre de leurs services :

• Vercel Inc. : Hébergement (USA, clauses contractuelles types)
• Neon Inc. : Base de données PostgreSQL (USA, clauses contractuelles types)
• Stripe Inc. : Paiement et contexte technique de la session de paiement, dont la catégorie d'appareil (USA/UE, certifié PCI DSS)
• RevenueCat Inc. : Rattachement des achats intégrés mobiles au compte (identifiant technique de compte et état d'abonnement, USA, clauses contractuelles types). Le paiement lui-même est traité par Apple ou Google
• Resend Inc. : Emails transactionnels (USA, clauses contractuelles types)
• OpenAI Inc. : Reconnaissance de texte (USA, image supprimée de nos serveurs après traitement ; rétention brève possible côté OpenAI selon sa politique d'API, sans entraînement de modèles)
• PostHog Inc. : Analytique (données hébergées en UE, Francfort)

10. Conservation des données

Nous conservons vos données tant que votre compte est actif. Après suppression de votre compte, toutes vos données sont définitivement effacées sous 30 jours, sauf obligations légales contraires. Les événements de mesure rattachés à votre compte dans PostHog sont également supprimés dans ce délai.

11. Modifications

Nous pouvons modifier cette politique de confidentialité. En cas de changements importants, vous serez informé par email. La poursuite de l'utilisation de nos services après modification vaut acceptation de la nouvelle politique.