Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est la société Creapolia SAS, immatriculée en France. Pour toute question relative à vos données personnelles, contactez-nous via notre page de contact ou par e-mail à dpo@creapolia.com.

2. Données collectées

Dans le cadre de l'utilisation du Service, nous collectons :

Données du parent

• Nom et prénom
• Adresse e-mail
• Mot de passe (stocké sous forme de hash bcrypt, jamais en clair)
• Adresse IP (pour la sécurité et la prévention des abus)

Données des enfants (profils)

• Prénom (chiffré en AES-256-GCM au repos)
• Année de naissance (pour le classement par âge)
• Avatar choisi
• Historique d'écoute et progression

Données techniques

• Journaux de connexion (horodatage, adresse IP)
• User-Agent du navigateur
• Données de session (cookies fonctionnels uniquement)

3. Finalités du traitement

• Fourniture et amélioration du Service
• Personnalisation de l'expérience (recommandations par âge)
• Contrôle parental (limites de temps, suivi d'activité)
• Sécurité du Service (prévention des abus, détection de fraude)
• Communication avec les utilisateurs (réponse aux messages de contact)

Base légale : exécution du contrat (CGU), consentement parental pour les données des enfants, intérêt légitime pour la sécurité.

4. Protection des données des enfants

La protection des données des enfants est notre priorité absolue :

• Les prénoms des enfants sont chiffrés au repos (AES-256-GCM)
• Seul le parent peut créer, modifier ou supprimer un profil enfant
• Le consentement parental est enregistré avec horodatage à la création de chaque profil
• Aucune donnée enfant n'est partagée avec des tiers
• L'enfant n'a aucun accès aux paramètres du compte
• Aucune publicité ni tracker dans l'espace enfant

5. Cookies

Creapolia utilise uniquement des cookies fonctionnels strictement nécessaires au fonctionnement du Service :

• Cookie de session (authentification, CSRF)

Nous n'utilisons aucun cookie publicitaire, aucun tracker tiers, aucun outil d'analyse comportementale. Aucun bandeau cookie n'est nécessaire car nous n'utilisons que des cookies exemptés de consentement (cookies fonctionnels).

6. Partage des données

Nous ne vendons, ne louons et ne partageons aucune donnée personnelle avec des tiers, sauf :

• Obligation légale (réquisition judiciaire)
• Hébergeur (OVH/Scaleway) pour le stockage technique, soumis au RGPD

7. Durée de conservation

• Données du compte : pendant la durée d'utilisation du Service
• Après suppression du compte : effacement sous 30 jours (suppression définitive, pas de soft-delete)
• Journaux de sécurité : 12 mois maximum
• Messages de contact : 24 mois maximum

8. Vos droits (RGPD)

Conformément au Règlement Général sur la Protection des Données, vous disposez des droits suivants :

• Droit d'accès : consulter vos données personnelles
• Droit de rectification : corriger vos données inexactes
• Droit à l'effacement : supprimer votre compte et toutes les données associées
• Droit à la portabilité : exporter vos données au format JSON
• Droit d'opposition : vous opposer au traitement de vos données
• Droit à la limitation : demander la limitation du traitement

Pour exercer ces droits, rendez-vous dans votre Espace Parent > Paramètres (export et suppression en un clic) ou contactez-nous via notre page de contact.

Vous pouvez également adresser une réclamation à la CNIL (Commission Nationale de l'Informatique et des Libertés).

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

• Chiffrement des données sensibles (AES-256-GCM)
• Mots de passe hachés avec bcrypt
• Communications HTTPS obligatoires
• Protection CSRF sur tous les formulaires
• Protection contre les injections SQL (requêtes préparées)
• Limitation de débit contre les attaques par force brute
• Journalisation des accès et alertes de sécurité

10. Modifications

Nous nous réservons le droit de modifier cette politique de confidentialité. En cas de modification substantielle, nous en informerons les utilisateurs par e-mail ou via une notification dans l'application.