Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est l'Éditeur désigné dans les Mentions légales. Contact pour toute question relative aux données : page Contact, objet « Données personnelles ».

2. Données collectées

Compte parent : prénom, nom, adresse email, mot de passe (haché avec bcrypt, jamais lisible), code PIN facultatif (haché), avatar facultatif, date de création, état de vérification de l'email, adresse IP lors des connexions (pour la sécurité), abonnement et factures le cas échéant.

Profil enfant : pseudo choisi par le parent, âge, avatar (illustration, ou photo facultative stockée de façon privée), résultats de jeux (scores, durée, XP, niveaux, badges), limite de temps de jeu.

Nous ne collectons volontairement ni nom, ni date de naissance, ni école, ni localisation, ni aucune donnée sensible concernant l'enfant. Aucune donnée n'est collectée directement auprès de l'enfant : tout passe par le compte du parent.

3. Finalités et bases légales

• Faire fonctionner le service (compte, profils, progression, badges) : exécution du contrat (CGU).

• Envoyer les emails de service (bienvenue, confirmation d'adresse, réinitialisation de mot de passe, informations importantes sur le compte ou l'abonnement) : exécution du contrat.

• Sécuriser la Plateforme (limitation des tentatives de connexion, détection d'abus) : intérêt légitime.

• Gérer les abonnements payants et la facturation : exécution du contrat et obligations légales (conservation des factures 10 ans).

• Statistiques d'usage anonymisées (nombre de parties, jeux les plus joués) pour améliorer les contenus : intérêt légitime.

Nous n'envoyons pas de newsletter commerciale sans votre consentement explicite, et jamais aux enfants.

4. Mineurs

MarCy Kids s'adresse aux enfants de 6 à 14 ans, mais seul un adulte titulaire de l'autorité parentale peut créer un compte et des profils. Conformément à l'article 45 de la loi Informatique et Libertés, le consentement au traitement des données d'un mineur de moins de 15 ans est donné par le titulaire de l'autorité parentale : c'est le sens de la case cochée à l'inscription.

Aucune communication entre enfants, aucun contenu public, aucune publicité, aucun profilage : les données de jeu servent uniquement à afficher la progression au parent et à l'enfant.

Le parent peut consulter, corriger ou supprimer à tout moment les données de chaque enfant depuis son espace.

4 bis. Coup de pouce devoirs (tuteur IA)

Cette fonction, activée famille par famille, permet à l'enfant de soumettre un exercice (texte ou photo) à un tuteur automatisé qui l'aide à comprendre sans donner directement la solution. Les conversations sont enregistrées et consultables par le parent depuis son espace, conservées 12 mois puis supprimées ; les photos d'exercices sont supprimées au bout de 30 jours.

Le tuteur est programmé pour ne traiter que du travail scolaire, ne jamais demander d'information personnelle et orienter l'enfant vers un adulte de confiance en cas de besoin. Il s'agit d'un programme, pas d'une personne, et il peut se tromper : ses explications ne remplacent pas l'enseignant.

5. Destinataires et sous-traitants

Les données ne sont ni vendues, ni louées, ni partagées à des fins publicitaires. Elles sont traitées par nos sous-traitants techniques, liés par contrat (clauses contractuelles types de la Commission européenne pour les transferts hors UE) :

• Vercel Inc. (États-Unis) : hébergement du site et exécution du code.

• Prisma Data, Inc. : hébergement de la base de données (serveurs dans l'Union européenne).

• Resend, Inc. (États-Unis) : envoi des emails de service.

• Anthropic, PBC (États-Unis) : génération des réponses du « Coup de pouce devoirs » (tuteur). Seuls l'exercice (texte ou photo), l'âge, le pseudo de l'enfant et les échanges de la conversation lui sont transmis ; Anthropic n'utilise pas ces données pour entraîner ses modèles et ne les conserve que le temps du traitement (30 jours au plus).

• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg), pour le paiement des abonnements : PayPal traite seul les données de paiement ; MarCy Kids reçoit uniquement la confirmation du paiement, son montant et l'identifiant de l'abonnement.

6. Durées de conservation

• Compte et profils : pendant toute la durée d'utilisation, puis suppression sous 30 jours après la demande de suppression, ou après 3 ans d'inactivité complète (un email de rappel est envoyé avant).

• Données de sécurité (tentatives de connexion) : 24 heures au plus.

• Liens de vérification et de réinitialisation : 1 à 24 heures.

• Factures : 10 ans (obligation comptable).

7. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives post-mortem. Vous exercez ces droits pour vous-même et pour vos enfants depuis votre espace parent ou via la page Contact ; nous répondons sous un mois.

Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr, 3 place de Fontenoy, 75007 Paris).

8. Cookies

MarCy Kids n'utilise que des cookies strictement nécessaires au fonctionnement du service : votre session de connexion (30 jours), le profil enfant actif et le déverrouillage de l'espace parent (12 heures). Ils sont exemptés de consentement (délibération CNIL n° 2020-091).

Aucun cookie publicitaire, aucune mesure d'audience, aucun traceur tiers. Le bandeau d'information affiché à la première visite en est le rappel.

9. Sécurité

Chiffrement HTTPS de tous les échanges, mots de passe et codes PIN hachés (bcrypt), liens à usage unique et à durée limitée, cookies sécurisés inaccessibles aux scripts, limitation des tentatives de connexion, attribution des récompenses uniquement côté serveur, en-têtes de sécurité (HSTS, CSP, Permissions-Policy).

En cas de violation de données susceptible de présenter un risque pour vous ou vos enfants, nous vous en informons dans les meilleurs délais et notifions la CNIL sous 72 heures.