Confidentialité - PetitPois

Qui est responsable

Le responsable du traitement de vos données est drakr.studio, exploité par Romain Bourré, éditeur de PetitPois (petit-pois.drakr.studio). Pour toute question ou pour exercer vos droits, écrivez à privacy@drakr.studio.

Les données que nous traitons

Nous ne collectons que ce dont l'application a besoin pour fonctionner :

Votre compte — votre adresse e-mail et le nom que vous choisissez d'afficher, ainsi que votre date de naissance déclarée dans votre profil. L'e-mail sert à vous connecter et à vous prévenir quand un carnet est partagé avec vous.
Le carnet de l'enfant — son prénom, sa date et son heure de naissance, son sexe, et ce que vous y notez au fil des jours : repas, changes, température, poids, taille, médicaments, questions pour le pédiatre, et vos notes libres et les photos que vous ajoutez aux publications. Ces informations décrivent la santé d'un enfant : ce sont des données sensibles au sens du RGPD (article 9), et nous les traitons comme telles. Une photo ne garde que son image : dès sa réception, nous vérifions qu'il s'agit bien d'une image d'un format accepté et nous en retirons, sur nos serveurs, les métadonnées que le téléphone y inscrit (lieu de la prise de vue, appareil, date) ; seul le sens dans lequel l'afficher est conservé.
Le lien familial — le rôle de chaque personne sur un carnet (papa, maman, ou autre) et le fait qu'un carnet a été partagé avec elle.
Des données d'usage anonymes — pour comprendre comment l'application est utilisée (voir « Mesure d'audience » plus bas). Elles ne permettent pas de vous identifier.

Pourquoi, et sur quelle base

Nous traitons les données de votre compte pour vous fournir le service : vous connecter, tenir votre carnet, et le partager avec les personnes que vous choisissez. La base légale est l'exécution du service que vous nous demandez.

Les informations de santé d'un enfant sont traitées sur la base de votre consentement explicite (article 9.2.a du RGPD), donné en créant le carnet et en y inscrivant ces informations. Vous pouvez le retirer à tout moment en faisant effacer les données concernées ; le retrait ne remet pas en cause ce qui a été traité avant.

Nous ne vendons aucune donnée, nous n'en louons aucune, et nous ne faisons aucune publicité. Vos informations ne servent qu'à faire fonctionner PetitPois.

Qui peut y accéder

Un carnet n'est visible que par vous et par les personnes avec qui vous l'avez partagé. Chacune a son propre compte et voit les informations telles qu'elles sont saisies. Personne d'autre n'y a accès.

Le propriétaire d'un carnet peut en retirer une personne à tout moment, et chaque personne peut le quitter d'elle-même depuis la page « Partager ». L'accès cesse aussitôt, sur le site comme dans l'application, photos et activités en direct comprises, et les QR codes qu'elle avait générés ne fonctionnent plus. Ce qu'elle a noté reste dans le carnet, à son nom, comme le reste de son histoire. Le carnet garde la trace de ce retrait, sans autre donnée que les identifiants des comptes concernés.

Pour faire fonctionner le service, nous nous appuyons sur un petit nombre de prestataires :

Hébergement — l'application et vos données sont hébergées sur un serveur situé dans l'Union européenne.
Envoi des e-mails — les seuls e-mails que nous envoyons (votre code de connexion, et l'avis quand un carnet vous est partagé) transitent par Loops. Ce prestataire est établi hors de l'Union européenne ; le transfert est encadré par les garanties appropriées prévues par le RGPD. Nous ne lui confions que votre adresse e-mail et le contenu strictement nécessaire au message — jamais les informations de santé d'un enfant.
Mesure d'audience — assurée par une instance OpenPanel que nous hébergeons nous-mêmes, dans l'Union européenne. Aucune donnée n'est transmise à un tiers.

Mesure d'audience

Nous mesurons l'usage de l'application avec une instance OpenPanel que nous hébergeons, sans partage avec un tiers, sans publicité et sans profilage. Cette mesure est anonyme : elle enregistre qu'une action a eu lieu — une page consultée, un repas enregistré — jamais qui l'a faite ni ce qu'elle contenait.

Les adresses des pages sont nettoyées avant d'être enregistrées : les identifiants et les informations personnelles (dont l'identifiant d'un carnet, votre e-mail ou un code de connexion) en sont retirés. Aucune donnée de santé n'entre dans cette mesure. Conforme aux conditions d'exemption de la CNIL, elle ne requiert pas votre consentement.

Application iOS et activités en direct

L'application native conserve vos jetons de connexion dans le trousseau de l'iPhone, accessibles uniquement quand il est déverrouillé, sans synchronisation iCloud. Elle ne conserve pas de copie du carnet sur disque et n'intègre aucun SDK de publicité ou de mesure d'audience. Les pages web ouvertes depuis l'application utilisent la mesure d'audience décrite ci-dessus.

Les activités en direct affichent sur l'écran verrouillé le prénom de l'enfant, le soin en cours (allaitement ou sommeil), ses horaires et, pour l'allaitement, le sein utilisé. Ces éléments peuvent être visibles par une personne ayant accès à cet écran. Vous pouvez désactiver les activités en direct dans les réglages iOS. Leur actualisation passe par le service de notifications d'Apple (APNs) : Apple reçoit les jetons de livraison et ces éléments, jamais vos notes ni vos photos. Le serveur conserve les jetons sous votre clé de chiffrement ; la déconnexion retire les inscriptions de cette session et la suppression du compte les rend illisibles.

Des empreintes techniques servent à ne pas réafficher une activité que vous avez fermée. Aucun suivi publicitaire entre applications, identifiant publicitaire, accès aux contacts, au microphone ou à la localisation n'est utilisé. L’appareil photo est demandé uniquement lorsque vous choisissez de prendre une photo pour une publication. Vous pouvez aussi choisir une image avec le sélecteur système ou publier du texte sans photo.

Cookies

PetitPois n'utilise que des cookies strictement nécessaires : un cookie de session qui vous garde connecté après la saisie de votre code. Aucun cookie publicitaire, aucun traceur tiers. La mesure d'audience décrite ci-dessus ne dépose pas de cookie de suivi.

Combien de temps nous les gardons

Un carnet et les informations qu'il contient sont conservés tant qu'il vous sert. Vous pouvez demander leur effacement à tout moment. Sans activité prolongée sur un compte, nous pouvons le supprimer après vous en avoir informé.

Comment nous les protégeons

Tout est chiffré. Un carnet n'est jamais stocké en clair. Même quelqu'un qui mettrait la main sur nos fichiers ne verrait que des données illisibles.
Chaque personne a sa propre clé. Le carnet de votre enfant a la sienne, votre compte a la sienne. Rien n'est rassemblé dans un coffre commun.
Effacer veut vraiment dire effacer. Quand vous demandez l'effacement de vos données, nous détruisons votre clé. Ce n'est pas une case « supprimé » cochée quelque part : sans la clé, le contenu devient définitivement illisible — pour nous autant que pour quiconque. Et cela n'efface que vous : le carnet de votre enfant et les autres parents ne sont pas touchés.
Votre nom ne traîne pas dans le carnet des autres. Quand vous enregistrez un repas, ou quand un carnet vous est partagé, nous n'y recopions ni votre nom ni votre e-mail : le carnet ne garde qu'une référence à votre compte. C'est ce qui permet à votre nom de disparaître partout le jour où vous partez.

Vos droits

Sur vos données personnelles, le RGPD vous reconnaît le droit :

d'accéder aux données que nous détenons sur vous et d'en obtenir une copie ;
de les faire rectifier si elles sont inexactes ;
d'en demander l'effacement ;
de limiter ou de vous opposer à leur traitement ;
de retirer votre consentement à tout moment ;
à la portabilité : recevoir vos données dans un format réutilisable.

Le carnet fonctionne par ajouts successifs : corriger le passé se fait en ajoutant une information à jour, et l'effacement se fait en détruisant la clé plutôt qu'en rayant une ligne. Le résultat est celui que vous attendez — les données deviennent inaccessibles — mais nous vous l'expliquons pour lever toute ambiguïté.

Dans l'application iOS, ouvrez le menu utilisateur, puis « Mon compte et confidentialité » et « Supprimer mon compte » pour effacer votre profil et invalider vos connexions. Pour chaque carnet dont vous êtes propriétaire, vous devez choisir de le supprimer pour tous ses membres, notes et photos comprises, ou d'en transférer immédiatement la propriété à un autre compte actif ayant déjà accès au carnet, sans son acceptation préalable. Les carnets simplement partagés avec vous restent conservés pour leurs autres membres. Les identifiants techniques du compte, des carnets concernés et des nouveaux propriétaires, les choix confirmés et les dates de demande et de réalisation restent dans l'historique de suppression, sans nom, adresse email ni contenu du carnet. Cette trace permet de reprendre une suppression interrompue et d'en suivre la réalisation. Pour exercer vos autres droits, écrivez à privacy@drakr.studio. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL.

Ce que nous ne pouvons pas promettre

Une note que vous écrivez librement dans le carnet de votre enfant appartient à ce carnet. Si vous y avez tapé le nom de quelqu'un à la main, ce texte reste attaché au carnet, même après la suppression de votre compte. Le champ de notes est libre : nous ne pouvons pas deviner ce que vous y avez mis. Réservez-le à ce qui concerne votre enfant.

Modifications

Cette politique peut évoluer avec l'application. En cas de changement notable, nous vous en informerons. La date en haut de page indique la dernière mise à jour.