Politique de confidentialité

1. Responsable du traitement

2. Données collectées et finalités

• Adresse e-mail parent : authentification Magic Link, communications service. Base légale : exécution du contrat (CGU).
• Prénom et âge des enfants : personnalisation des routines + génération histoires Ban' Zistoir adaptées. Base légale : exécution du contrat. Aucun nom de famille ni donnée d'identification précise des mineurs n'est collectée.
• Données de routines et statistiques : actions validées, progression, badges, créées par l'utilisation de l'application. Base légale : exécution du contrat.
• Histoires Ban' Zistoir générées : prompts envoyés à l'IA et histoires reçues, stockés pour historique parent. Base légale : exécution du contrat.
• Données de paiement (abonnement Essentiel/Premium) : traitées par Stripe (cf. sous-traitants). Base légale : exécution du contrat.
• Notifications (rappels routines, nouveaux services) : envoi via courriel et/ou Matrix. Base légale : intérêt légitime + opt-out à tout moment depuis les paramètres.
• Monitoring d'erreurs (Sentry) : si l'app plante, capture de la stack trace + ID utilisateur. Base légale : intérêt légitime.

Aucune donnée sensible, aucune géolocalisation, aucune donnée de navigation à des fins publicitaires.

3. Cookies et traceurs

Ticok utilise uniquement des cookies fonctionnels nécessaires au bon fonctionnement de l'application (cookie de session pour maintenir votre connexion, stockage local pour préférences).

Aucun cookie publicitaire, de tracking ou d'analyse tiers n'est utilisé. Aucun bandeau de consentement n'est nécessaire car seuls les cookies strictement nécessaires sont déposés (art. 82 loi Informatique et Libertés).

4. Sous-traitants

Vos données ne sont jamais vendues. Nous faisons appel à des prestataires sélectionnés pour des services techniques précis. Tous sont liés par un accord de traitement des données (DPA) conforme RGPD :

• Stripe (Irlande / USA) — paiement abonnement Essentiel et Premium. Garanties : Clauses Contractuelles Types UE + certification PCI-DSS.
• Resend (USA) — envoi des courriels transactionnels (magic link, factures, notifications). Garanties : DPA + CCT UE.
• Sentry (USA) — monitoring d'erreurs techniques. Garanties : DPA + CCT UE.
• Anthropic (USA) — génération des histoires Ban' Zistoir via Claude API. Les prompts incluent uniquement le prénom et l'âge de l'enfant + thème choisi (jamais de données personnelles parent). Garanties : DPA + CCT UE.
• Matrix.org (Allemagne, UE) — notifications push optionnelles via réseau Matrix. Garanties : protocole décentralisé + chiffrement E2E.
• RUNPARK SAS / kazup.re (France, Allemagne UE) — hébergement serveur, BDD PostgreSQL, mail entrant, DNS.

5. Durée de conservation

• Compte actif : tant que vous utilisez Ticok.
• Compte inactif (pas de connexion depuis 12 mois) : suppression automatique après notification 30 jours à l'avance.
• Données de facturation : 10 ans (obligation comptable art. L.123-22 Code de commerce).
• Logs techniques (Sentry) : 90 jours puis purge automatique.
• Histoires Ban' Zistoir : tant que le compte est actif (suppression possible à tout moment depuis les paramètres).
• Données après suppression de compte : effacement sous 30 jours, sauf obligations légales.

6. Vos droits RGPD

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles et celles de vos enfants :

• Accès : demander une copie de vos données.
• Rectification : corriger des données inexactes.
• Effacement (« droit à l'oubli ») : supprimer votre compte et vos données.
• Limitation : suspendre le traitement.
• Portabilité : récupérer vos données dans un format structuré.
• Opposition : refuser un traitement basé sur l'intérêt légitime.
• Retrait du consentement à tout moment pour les traitements concernés.

Pour exercer ces droits : dpo@runpark.re. Réponse sous 30 jours maximum (1 mois RGPD).

En cas de désaccord, vous pouvez saisir la CNIL : cnil.fr/fr/plaintes

7. Sécurité et localisation des données

Vos données sont hébergées sur des serveurs situés en Union Européenne (France, Allemagne). Nous appliquons des mesures techniques et organisationnelles raisonnables : chiffrement HTTPS TLS 1.3 partout, mots de passe hashés bcrypt (12 tours), accès serveur restreint, sauvegardes chiffrées quotidiennes, surveillance des intrusions. Les transferts hors UE (Stripe, Resend, Sentry, Anthropic) sont encadrés par les Clauses Contractuelles Types de la Commission Européenne.

8. Modifications

RUNPARK SAS se réserve le droit de modifier la présente politique de confidentialité. Les utilisateurs seront informés de toute modification substantielle par courriel ou par notification dans l'application au moins 30 jours avant entrée en vigueur.