Politique de confidentialité
La présente politique couvre Proud Jar: Chores & Rewards (« Proud Jar »), l’application pour les parents, l’application Proud Jar Kids pour les enfants, ainsi que le service Proud Jar qui les synchronise. Proud Jar est exploité par AppXLab, studio indépendant de développement logiciel dirigé par Said Aazzou, Casablanca, Maroc (« nous »). Pour toute question de confidentialité, contactez-nous à privacy@appxlab.io.
Ce que nous collectons et pourquoi
| Données | Provenance | Finalité |
|---|---|---|
| Adresse e-mail du parent, et votre nom si vous le donnez (ou si Apple / Google le partagent) | Connexion par code envoyé par e-mail, avec Apple ou avec Google | Vous connecter et identifier votre compte |
| Prénoms et années de naissance des enfants | Saisis par un parent | Montrer à chaque enfant ses propres tâches et en suggérer d’adaptées à son âge |
| Appartenance au foyer et rôles | Créés lorsque vous configurez ou rejoignez un foyer | Déterminer qui peut voir et modifier quoi |
| Tâches, notes, récompenses, décisions, jetons et historique du registre | Créés par les parents et les enfants dans les applis | Le service de base |
| Sessions de temps d’écran : minutes achetées avec des jetons, moment de l’achat, nombre d’applis derrière la barrière, et activation ou non du temps d’écran sur le téléphone | Proud Jar Kids sur iPhone et Android | Faire fonctionner l’échange de jetons contre du temps d’écran sur le téléphone de l’enfant. Nous ne savons jamais quelles applis sont derrière la barrière ni lesquelles sont utilisées : sur iPhone, Apple ne fournit à l’appli que des références scellées, et sur Android, la liste reste sur le téléphone de l’enfant. |
| Preuves photo (facultatives, avec le consentement d’un parent) | Appareil photo de Proud Jar Kids | Permettre à un parent de vérifier une tâche. Chiffrées sur le téléphone de l’enfant avant l’envoi ; seuls vos appareils approuvés détiennent les clés. |
| Identifiants d’appareil et d’installation, jetons de notification push, clés publiques des appareils | Chaque appli | Association, confiance entre appareils, notifications de synchronisation et alertes parent |
| Vérification de l’essai gratuit : sur iPhone, un jeton Apple DeviceCheck à usage unique (Apple conserve un seul indicateur « essai utilisé » pour le téléphone ; nous ne stockons rien concernant l’appareil) ; sur Android, un hachage à sens unique de l’identifiant d’appareil de l’appli, conservé uniquement sous la forme d’un second hachage à clé | L’appli parent, une seule fois, lorsqu’une nouvelle famille commence son essai gratuit | Offrir à chaque famille un seul essai gratuit de la formule Foyer et empêcher les essais répétés. Jamais utilisé pour la publicité, le pistage ou quoi que ce soit d’autre. |
| Statut de la formule, dates de l’essai gratuit et identifiants de transaction App Store | Notre service, et Apple lorsqu’un parent s’abonne sur iPhone | Faire bénéficier votre foyer de la formule Foyer. Nous ne recevons jamais les informations de votre carte de paiement. |
| Statistiques d’utilisation facultatives de l’appli parent (désactivées sauf si vous les activez) | Appli parent Proud Jar sur iPhone et Android | Quels écrans sont utilisés et si une tâche a été validée, jamais de noms, de photos ni de soldes, et sans lien avec votre compte |
| Adresse e-mail Google Play et appli à tester (inscription à la bêta Android uniquement) : la vôtre ou, pour l’appli enfant, celle utilisée sur le téléphone de votre enfant | Le formulaire de la bêta Android sur proudjar.com et proudjar.app, rempli par un parent ou un autre adulte | Confirmer l’inscription, ajouter l’adresse comme testeur dans Google Play, envoyer par e-mail les instructions d’installation et les nouvelles de la bêta, et annoncer la disponibilité de Proud Jar sur Google Play |
| Journaux de sécurité et d’exploitation (heure de la requête, chemin, codes d’erreur ; adresses IP uniquement sous forme de hachage à clé pour la limitation du débit) | Nos serveurs | Assurer la sécurité et le bon fonctionnement du service |
Nous ne collectons ni la localisation, ni les contacts, ni les messages, ni l’historique de navigation, ni les identifiants publicitaires, et nous ne vendons ni ne partageons de données personnelles à des fins publicitaires. Les applis enfant ne contiennent aucun code d’analyse ni de publicité. Proud Jar Kids sur Android intègre Firebase Cloud Messaging pour la synchronisation familiale authentifiée.
Le temps d’écran sur Android
Si un parent active le temps d’écran dans Proud Jar Kids sur un téléphone Android, après une explication dans l’appli et avec l’accord du parent, l’appli utilise le service d’accessibilité d’Android dans un seul but : savoir quelle appli est ouverte, afin de couvrir les applis choisies par le parent et de décompter les minutes payées pendant que l’une d’elles est ouverte. Elle ne lit pas ce qui s’affiche à l’écran, ce qui est saisi, ni les sites web visités. La liste des applis choisies et l’appli ouverte restent sur le téléphone de l’enfant et ne nous sont jamais envoyées ; nos serveurs apprennent seulement combien d’applis sont derrière la barrière, si le service est activé et les minutes achetées avec des jetons. Les Réglages, l’appli Téléphone et les applis d’urgence ne sont jamais bloqués. Ce service peut être désactivé à tout moment dans les réglages d’Android, et l’appli parent indique alors qu’il est désactivé.
Notre site web
proudjar.com et proudjar.app comptent les pages vues et les appuis sur les boutons de téléchargement, avec la page, le bouton de la boutique, la langue de votre navigateur et un numéro de session aléatoire conservé uniquement en mémoire pendant la visite. Ces données sont envoyées au même serveur Aptabase auto-hébergé. Il n’y a ni cookies, ni publicité, ni prise d’empreinte, et rien n’est enregistré sur votre appareil ; ce comptage est désactivé lorsque votre navigateur envoie le signal Do Not Track. Le formulaire de la bêta Android envoie ce que vous saisissez directement à notre serveur de liste de diffusion ; le site lui-même ne le conserve pas et ne le comptabilise pas.
Inscription à la bêta Android
Le formulaire de la bêta Android demande une adresse e-mail Google Play et si vous souhaitez tester l’appli parent, l’appli enfant ou les deux. Il s’adresse aux parents et aux autres adultes. L’appli enfant fonctionne uniquement avec l’appli parent : pour la tester, un parent saisit l’adresse e-mail Google Play utilisée sur le téléphone de l’enfant, et ce choix appartient au parent et relève de sa responsabilité, comme pour le reste de Proud Jar Kids.
Nous envoyons par e-mail un lien pour confirmer l’adresse ; rien d’autre ne se passe tant qu’elle n’est pas confirmée. La confirmation n’inscrit personne aux tests Google Play : lorsque des places de testeur sont disponibles, nous ajoutons l’adresse à la liste des testeurs de l’appli choisie dans la Google Play Console et envoyons par e-mail les instructions d’installation. L’adresse est alors transmise à Google dans le cadre du programme de test, selon les conditions et la politique de confidentialité propres à Google. Nous l’utilisons aussi pour vous prévenir lorsque Proud Jar sera disponible pour tous sur Google Play. Nous ne l’utilisons à aucune autre fin, jamais pour de la publicité, et nous ne la vendons ni ne la partageons. Nous n’enregistrons pas votre adresse IP lorsque vous confirmez, et nous ne suivons pas si une personne donnée ouvre nos e-mails ou clique sur leurs liens. Chaque e-mail contient un lien de désinscription, et vous pouvez nous demander de supprimer une adresse à tout moment à privacy@appxlab.io.
Confidentialité des enfants (COPPA et RGPD)
Cette section explique comment nous traitons les informations des enfants au regard de la loi américaine sur la protection de la vie privée des enfants en ligne (Children’s Online Privacy Protection Act, COPPA) et du règlement général sur la protection des données (RGPD) de l’UE et du Royaume-Uni. Le parent est le titulaire du compte ; un enfant n’a jamais de compte à lui. Le parent donne son consentement en se connectant à Proud Jar: Chores & Rewards, en créant le foyer, en ajoutant l’enfant et en associant le téléphone de l’enfant avec un code affiché dans l’appli parent. Les informations d’un enfant sont soit saisies par le parent, soit créées sur le téléphone de l’enfant après que le parent l’a associé, et les preuves photo restent désactivées jusqu’à ce que le parent les active.
Ce que nous conservons sur un enfant se limite à : son prénom et son année de naissance, saisis par le parent ; ses tâches, ses jetons et ses récompenses ; et, uniquement si le parent les active, les preuves photo chiffrées de bout en bout sur le téléphone de l’enfant. Proud Jar Kids utilise aussi, pour fonctionner, les données techniques indiquées ci-dessus (identifiants d’appareil et de notification push et, sur un téléphone où le temps d’écran est activé, les minutes achetées avec des jetons). Proud Jar Kids ne contient ni outil d’analyse ni publicité, et nous n’utilisons les informations d’un enfant que pour faire fonctionner le Proud Jar de la famille.
Un parent peut consulter les informations de son enfant dans l’appli parent à tout moment. Pour les supprimer, le propriétaire du foyer peut supprimer le foyer dans l’appli (Famille → Notre famille → Supprimer le foyer), ce qui efface les enfants, les tâches, les jetons, les récompenses, les photos, les appareils et les codes d’association ; voir Supprimer votre compte. Pour supprimer les données d’un seul enfant, écrivez à privacy@appxlab.io. Un parent peut aussi mettre fin à toute nouvelle collecte en retirant le téléphone de l’enfant du foyer ou en désactivant les preuves photo, et peut écrire à privacy@appxlab.io depuis l’adresse avec laquelle il se connecte pour obtenir une copie des informations de son enfant. Nous vérifions la demande avant d’y donner suite.
Proud Jar Kids est configuré par un parent, qui associe le téléphone de l’enfant au foyer. Les enfants utilisent une session d’installation anonyme connectée par un parent, et non un compte e-mail ou un compte de connexion via un réseau social. Ils n’ont accès à aucun achat d’abonnement. Les liens d’aide externes et les réglages de connexion sont protégés par une vérification parentale. Un parent peut voir et supprimer les informations de ses enfants à tout moment. Les informations d’un enfant sont ajoutées par un parent et restent sous son contrôle : nous ne les collectons qu’après qu’un parent a créé le foyer et associé le téléphone de l’enfant. Dans l’Espace économique européen et au Royaume-Uni, nous les traitons pour fournir le service demandé par le parent, et les preuves photo facultatives uniquement après que le parent les a activées. Aux États-Unis, Proud Jar s’appuie sur le fait que le parent configure et contrôle chaque profil d’enfant, et un parent peut consulter, modifier ou supprimer les informations de son enfant à tout moment, ou nous demander de le faire. Si un parent inscrit le téléphone d’un enfant à la bêta Android, il saisit l’adresse e-mail Google Play de ce téléphone et en reste responsable (voir Inscription à la bêta Android).
Les photos
Les preuves photo sont chiffrées sur le téléphone de l’enfant et ne peuvent être ouvertes que sur les appareils approuvés par le foyer. Les photos expirent à la fin de la durée choisie par votre foyer (7, 14, 30, 90 ou 365 jours ; 30 par défaut). Les visionneuses connectées revérifient l’accès et l’effacent à l’expiration, en cas de révocation ou lors du passage en arrière-plan. Les informations déjà téléchargées sur un appareil hors ligne ne peuvent pas être rappelées à distance ; les captures d’écran ou autres copies ne peuvent pas être rappelées. Après l’expiration, tout nouvel accès au serveur est refusé ; l’effacement de la copie stockée est retenté jusqu’à ce qu’il réussisse, ce qui peut prendre plus de temps si le stockage est brièvement indisponible. Les photos ne sont jamais ajoutées à une photothèque. Si tous les appareils approuvés et votre kit de récupération sont perdus, personne ne peut plus ouvrir les anciennes photos, pas même nous.
Qui traite les données pour nous
| Prestataire | Finalité |
|---|---|
| OVHcloud, Gravelines, France (UE) | Héberge l’API et la base de données de Proud Jar |
| Amazon Web Services (Amazon S3), Francfort, Allemagne (UE) | Stocke les preuves photo chiffrées, ainsi que des enregistrements scellés des suppressions (identifiants et horodatages uniquement) afin que les suppressions puissent être réappliquées si une sauvegarde est un jour restaurée |
| Amazon Web Services EMEA SARL, région AWS UE (Paris), France | Stocke les sauvegardes chiffrées de la base de données de Proud Jar, les enregistrements de suppression, la liste de diffusion de la bêta Android et les statistiques d’utilisation |
| Resend, qui envoie via Amazon Simple Email Service | Envoie les codes de connexion et les e-mails de la bêta Android |
| Liste de diffusion listmonk, auto-hébergée par AppXLab sur hello.proudjar.com chez OVHcloud en France (UE) | Conserve les inscriptions à la bêta Android, les confirme et envoie les e-mails de la bêta |
| Apple | Connexion avec Apple, notifications push, achats sur l’App Store, Temps d’écran sur l’appareil de l’enfant |
| Connexion avec Google si vous la choisissez ; Firebase Cloud Messaging pour la synchronisation Android et les alertes parent facultatives. Le temps d’écran sur Android fonctionne entièrement sur le téléphone de l’enfant et n’envoie rien à Google. Tests Google Play, pour les testeurs de la bêta Android que nous invitons. | |
| Statistiques Aptabase, auto-hébergées par AppXLab sur insights.appxlab.link | Statistiques d’utilisation facultatives de l’appli parent (iPhone et Android) et statistiques anonymes de ce site web ; jamais dans les applis enfant |
Nous ne partageons des données personnelles qu’avec les prestataires ci-dessus, et seulement ce dont chacun a besoin pour la finalité indiquée. Nos prestataires de services (OVHcloud, AWS, Resend) ne traitent les données que sur nos instructions, dans le cadre de conditions de traitement des données qui exigent une protection conforme à la présente politique. Apple et Google traitent les données selon leurs propres conditions de confidentialité. listmonk et Aptabase sont auto-hébergés par AppXLab : les données qu’ils contiennent ne sont donc partagées avec aucune autre entreprise.
Durée de conservation
- Preuves photo : jusqu’à la fin de la durée de conservation du foyer, puis effacées.
- Données du foyer : tant que le foyer existe. La suppression du foyer efface ses données, ses photos et ses codes d’association.
- Comptes : jusqu’à ce que vous supprimiez votre compte. Sa suppression révoque aussi une autorisation « Se connecter avec Apple » associée.
- Inscriptions à la bêta Android : jusqu’à ce que vous vous désinscriviez ou nous demandiez de supprimer l’adresse. Nous les conservons après la bêta afin de pouvoir vous prévenir lorsque Proud Jar sera disponible sur Google Play. Google conserve les listes de testeurs dans Google Play selon ses propres conditions.
- Statistiques d’utilisation (les statistiques facultatives de l’appli parent et celles de ce site web, conservées sur notre serveur Aptabase auto-hébergé) : conservées 14 mois au maximum, puis supprimées automatiquement.
- Sauvegardes chiffrées : chiffrées sur notre serveur avant d’être stockées chez AWS à Paris, et conservées jusqu’à 30 jours pour permettre la reprise après incident, puis supprimées et entièrement effacées du stockage dans un délai supplémentaire de 6 semaines ; une sauvegarde restaurée réapplique, avant la réouverture du service, les suppressions effectuées après sa création.
- Enregistrements de suppression (identifiants scellés et heure de chaque suppression, sans noms, e-mails ni photos) : conservés 90 jours afin qu’une sauvegarde restaurée puisse réappliquer les suppressions, puis supprimés et entièrement effacés du stockage dans un délai supplémentaire de 7 semaines. Les copies contenues dans les sauvegardes chiffrées suivent la durée de conservation des sauvegardes indiquée ci-dessus.
- Données d’essai gratuit : un hachage à clé par compte parent et par téléphone Android, sans e-mail, identifiant d’appareil ni données familiales, conservé après la suppression du foyer ou du compte afin que le même téléphone ou le même compte ne puisse pas démarrer un autre essai gratuit.
- Données d’abonnement : des identifiants de transaction minimaux et des enregistrements opaques de rattachement d’achat peuvent être conservés après la suppression du foyer pour éviter qu’un abonnement soit rattaché deux fois. Ils ne sont conservés que tant que c’est nécessaire à cette fin, et jusqu’à 7 ans lorsque la législation fiscale ou comptable l’exige.
Vos choix et vos droits
Vous pouvez consulter les données de votre famille dans l’appli, nous en demander une copie, désactiver les statistiques et les notifications, raccourcir la durée de conservation des photos, retirer des appareils et des co-parents, vous désinscrire des e-mails de la bêta Android grâce au lien présent dans chacun d’eux, et supprimer votre foyer (Famille → Notre famille) ou votre compte (Famille → Réglages du foyer → Compte) dans l’appli ou comme indiqué sur la page Supprimer votre compte. Selon votre lieu de résidence, vous pouvez disposer d’autres droits, par exemple ceux d’accéder à vos données, de les faire rectifier ou de vous opposer à leur traitement, ainsi que d’introduire une réclamation auprès d’une autorité de protection des données. Contactez privacy@appxlab.io.
Sécurité
Les échanges sont chiffrés en transit. Sur iPhone, les identifiants de connexion utilisent le trousseau (Keychain). Sur Android, les identifiants et données locales sont chiffrés à l’aide d’Android Keystore ; les sauvegardes de l’appli Android sont désactivées. Les clés privées des appareils pour les photos nécessitent un matériel sécurisé compatible. Les photos sont chiffrées de bout en bout entre les appareils familiaux approuvés. Aucun système n’est parfaitement sûr ; signalez-nous toute préoccupation à support@appxlab.io.
Modifications
Nous publierons les modifications ici et, pour les modifications importantes, nous vous en informerons dans l’appli avant leur entrée en vigueur.