Politique de Confidentialité (RGPD)

1. Responsable du traitement

PROSELLER23 — Arabico
Hubert Wojtkielewicz, entrepreneur individuel (micro-entrepreneur)
Email : [email protected]

Les coordonnées complètes (SIRET, adresse, téléphone) figurent à l'article 16.

L'entreprise employant moins de 250 salariés et ne réalisant pas de traitement à grande échelle de données sensibles, la désignation d'un Délégué à la Protection des Données (DPO) n'est pas obligatoire (RGPD Art. 37). Toute demande relative à vos données personnelles peut être adressée à l'email ci-dessus.

2. Données personnelles collectées

2.1 Données d'inscription

Prénom, adresse email, mot de passe (stocké sous forme chiffrée via hachage cryptographique). Si vous utilisez la connexion via Google ou Apple, nous recevons votre adresse email et votre identifiant de compte.

2.2 Données d'utilisation et d'apprentissage

Progression d'apprentissage (mots appris, scores, leçons complétées), temps d'étude et sessions d'apprentissage, résultats de quiz et exercices, listes de mots (favoris, mots difficiles), vidéos visionnées, badges et récompenses obtenus, gemmes gagnées et dépensées.

2.3 Données de gamification

Points d'expérience (XP) et niveau, série quotidienne (streak), position dans le classement (ligue), coffres de récompense, objectif quotidien choisi.

Visibilité publique : votre prénom ou pseudonyme est visible par les autres utilisateurs dans le classement et les ligues hebdomadaires. Vous pouvez exercer votre droit d'opposition à ce traitement (voir article 7).

2.4 Données d'abonnement

Statut d'abonnement (actif/inactif), type d'abonnement (Pro / Pro Accompagné), date d'expiration, statut d'essai gratuit, partage familial (oui/non).

Nous ne stockons PAS vos numéros de carte bancaire. Les paiements sont intégralement gérés par Apple (App Store) ou Google (Google Play). Ces prestataires sont certifiés PCI-DSS.

2.5 Données techniques

Type d'appareil (iOS, Android, navigateur web), système d'exploitation et version, version de l'application, adresse IP (traitée par nos prestataires d'hébergement dans le cadre de la fourniture du service, non stockée par l'Éditeur).

2.6 Données de notification

Jeton de notification push (token APNs/FCM permettant l'envoi de notifications), plateforme utilisée (iOS, Android ou Web).

2.7 Données de préférence

Langue de l'application (français / anglais), objectif quotidien d'apprentissage, niveau déclaré en arabe.

3. Base légale du traitement

3.1 Exécution du contrat (RGPD Art. 6.1.b)

Gestion du compte et authentification, suivi de la progression d'apprentissage, algorithme de répétition espacée, gestion des abonnements et paiements, attribution et gestion des gemmes.

3.2 Intérêt légitime (RGPD Art. 6.1.f)

Classement et ligues hebdomadaires (engagement et motivation des utilisateurs), amélioration de l'application et correction de bugs. Vous pouvez exercer votre droit d'opposition à tout moment (voir article 7).

3.3 Consentement (RGPD Art. 6.1.a)

Envoi de notifications push. Vous pouvez retirer ce consentement à tout moment dans les paramètres de l'application ou de votre appareil.

3.4 Obligation légale (RGPD Art. 6.1.c)

Conservation des données de facturation conformément aux obligations fiscales et comptables.

4. Destinataires des données

Vos données sont partagées avec les sous-traitants suivants, dans le cadre strict de la fourniture du service :

• Supabase Inc. — Hébergement, base de données, authentification. Données localisées dans l'UE (Dublin, Irlande — eu-west-1). Garantie : DPA signé et Clauses Contractuelles Types (CCT).
• RevenueCat Inc. — Gestion des achats in-app (iOS/Android). Données localisées aux États-Unis. Garantie : EU-US Data Privacy Framework.
• Vercel Inc. — Hébergement de l'application web. Données localisées aux États-Unis et dans l'UE. Garantie : EU-US Data Privacy Framework.
• Cloudflare, Inc. — Diffusion de contenu média (audio, vidéos, PDF) via Cloudflare R2 et Workers. Données distribuées sur le réseau global Cloudflare (incl. UE). Garantie : EU-US Data Privacy Framework + DPA.
• Resend Inc. — Envoi d'emails transactionnels. Données localisées dans l'UE (Irlande). Garantie : DPA signé.
• Apple Inc. — Authentification (Sign in with Apple), achats in-app iOS. Données localisées aux États-Unis. Garantie : EU-US Data Privacy Framework.
• Google LLC — Authentification (Google Sign-In), achats in-app Android, notifications push (FCM). Données localisées aux États-Unis. Garantie : EU-US Data Privacy Framework.

Nous ne vendons, ne louons et ne partageons aucune donnée personnelle à des fins publicitaires ou de marketing. Aucun outil de tracking publicitaire, d'analyse comportementale ou de fingerprinting n'est intégré à l'application.

5. Transferts de données hors UE

Certains de nos sous-traitants sont situés aux États-Unis (RevenueCat, Vercel, Apple, Google). Ces transferts sont encadrés par :

• Le cadre EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023)
• Des Clauses Contractuelles Types (CCT) conformes au RGPD
• Des accords de traitement des données (DPA) signés avec chaque sous-traitant

En cas d'invalidation du EU-US Data Privacy Framework, nous nous engageons à mettre en œuvre les mesures supplémentaires nécessaires conformément aux recommandations du CEPD.

6. Durée de conservation

• Données de compte et de progression : Pendant toute la durée de votre inscription, puis 3 ans après votre dernière connexion (délai de prescription civile).
• Données de facturation : 10 ans conformément à l'article L123-22 du Code de commerce.
• Jetons de notification push : Jusqu'à révocation du consentement ou suppression du compte.
• Données techniques : 12 mois maximum.

À l'issue de ces durées, vos données sont supprimées ou anonymisées de manière irréversible.

7. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :

• Droit d'accès (Art. 15) — Obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (Art. 16) — Corriger des données inexactes ou incomplètes.
• Droit à l'effacement (Art. 17) — Demander la suppression de vos données personnelles.
• Droit à la limitation du traitement (Art. 18) — Demander la suspension du traitement dans certains cas.
• Droit à la portabilité (Art. 20) — Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV).
• Droit d'opposition (Art. 21) — Vous opposer au traitement fondé sur l'intérêt légitime, y compris le classement par ligues et la visibilité publique de votre pseudonyme.
• Droit de retirer votre consentement (Art. 7) — À tout moment, pour les traitements fondés sur le consentement (notifications push), sans affecter la licéité du traitement antérieur.

Pour exercer vos droits : [email protected]

Nous répondons dans un délai maximum de 30 jours. Ce délai peut être prolongé de deux mois pour les demandes complexes, auquel cas vous en serez informé.

8. Droit de réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de la CNIL :

Site : https://www.cnil.fr
Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

9. Décisions automatisées et profilage

L'application utilise les traitements automatisés suivants :

• Algorithme de répétition espacée (SRS) — Ajuste la fréquence de révision des mots en fonction de vos performances.
• Classement par ligues — Classe les utilisateurs selon leurs points XP hebdomadaires.

Ces traitements ne produisent aucun effet juridique et ne vous affectent pas de manière significative au sens de l'article 22 du RGPD. Vous pouvez à tout moment contacter [email protected] pour exercer votre droit d'opposition.

10. Cookies et stockage local

L'application n'utilise aucun cookie publicitaire ni aucun traceur tiers.

Seul un stockage local technique (localStorage) est utilisé pour conserver votre préférence de langue (français/anglais), votre statut de notification et votre session de connexion.

Ce stockage est strictement nécessaire au fonctionnement de l'application et ne requiert pas de consentement préalable (exemption CNIL pour les traceurs strictement nécessaires, conformément à l'article 82 de la Loi Informatique et Libertés).

11. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes (RGPD Art. 32) :

• Chiffrement des communications (HTTPS/TLS)
• Authentification sécurisée (OAuth 2.0, mots de passe hashés)
• Contrôle d'accès aux données par utilisateur (Row Level Security)
• Clés d'API sécurisées côté serveur
• Vérification de signature pour les webhooks de paiement

12. Notification en cas de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque élevé, nous nous engageons à :

• Notifier la CNIL dans un délai de 72 heures (RGPD Art. 33).
• Vous informer dans les meilleurs délais par email ou notification (RGPD Art. 34).

13. Notifications push

Nous envoyons les types de notifications suivants, uniquement avec votre consentement préalable :

• Rappels d'objectif quotidien (matin)
• Rappels de série quotidienne (soir)
• Alertes de classement (quand un concurrent vous dépasse)

Les notifications sont acheminées via les services APNs (Apple) et FCM (Google Firebase) selon votre appareil. Vous pouvez désactiver les notifications à tout moment dans les paramètres de l'application ou de votre appareil.

14. Mineurs

L'application est destinée à un public de 15 ans et plus. Conformément à l'article 45 de la Loi n°2018-493 du 20 juin 2018, si vous avez moins de 15 ans, le consentement au traitement de vos données doit être donné conjointement par vous et par un titulaire de l'autorité parentale.

Nous ne collectons pas sciemment de données auprès d'enfants de moins de 15 ans sans consentement parental. Si nous apprenons qu'un mineur de moins de 15 ans s'est inscrit sans consentement parental, nous supprimerons son compte dans les meilleurs délais.

15. Modification de la présente politique

En cas de modification substantielle, nous vous en informerons au moins 15 jours avant l'entrée en vigueur par notification dans l'application ou par email. La date de dernière mise à jour est indiquée en haut de ce document.

16. Contact et informations légales

Pour exercer vos droits ou pour toute question relative à cette politique :

PROSELLER23 — Arabico
Hubert Wojtkielewicz, entrepreneur individuel (micro-entrepreneur)
SIRET : 89787782500017
TVA non applicable, article 293 B du Code général des impôts
Adresse : 26 Rue Arsène Bouget, 95150 Taverny, France
Email : [email protected]
Téléphone : +33 7 45 21 88 11