Politique de confidentialité

Version de travail 0.1 destinée à un examen juridique, pas encore en vigueur. Les points en suspens sont signalés par [À CONFIRMER].

La présente politique explique quelles données personnelles Brotelo collecte sur les parents et les enfants, pourquoi nous les collectons, qui les reçoit, combien de temps nous les conservons et quels sont vos droits. Les enfants peuvent lire une version courte rédigée pour eux sur notre page « La vie privée expliquée aux enfants ».

1 En bref

• Seuls les adultes ont un compte. Les enfants utilisent un profil créé par leur parent, avec un pseudonyme, un âge et un avatar prédéfini.
• Les enfants ne nous communiquent jamais d’adresse e-mail, de photo, de numéro de téléphone ni leur localisation.
• Nous utilisons les données pour faire fonctionner les cours, enregistrer la progression, délivrer les certificats, encaisser les paiements et assurer la sécurité de Brotelo.
• Pas de publicité, pas de traceurs publicitaires, pas de vente de données, pas de messagerie et pas de profils publics.
• Nos statistiques de visite n’utilisent pas de cookies et ne fonctionnent jamais dans l’espace enfants.
• Vous pouvez consulter, corriger, télécharger et supprimer vos données et celles de vos enfants.

2 Le responsable de vos données

Le responsable du traitement de vos données personnelles est TOPFED WEB S.R.L., société immatriculée en République de Moldova, IDNO 1026023125543, dont le siège social est situé s. Pepeni, r-nul Sîngerei, MD-6234, République de Moldova. Vous pouvez nous écrire à [email protected] pour toute question relative à la présente politique.

2.1 Représentant dans l’Union européenne

Étant établis en dehors de l’Union européenne, nous devons désigner un représentant dans l’Union (article 27 du RGPD). [À CONFIRMER: le nom et les coordonnées du représentant dans l’UE.]

2.2 Représentant au Royaume-Uni

[À CONFIRMER: si Brotelo est proposé au Royaume-Uni, le nom et les coordonnées du représentant au Royaume-Uni au titre de l’article 27 du UK GDPR.]

2.3 Délégué à la protection des données

[À CONFIRMER: si un délégué à la protection des données doit être désigné en vertu de l’article 37 du RGPD ou de la loi moldave n° 195/2024 ; en attendant, écrivez à [email protected].]

3 Les données que nous collectons

3.1 Vous concernant, en tant que parent

• Données de compte : votre adresse e-mail et votre mode de connexion. Si vous vous connectez avec Google, nous recevons les identifiants que Google nous transmet. [À CONFIRMER: quelles données du profil Google sont conservées ; nous recommandons uniquement l’identifiant du compte et l’adresse e-mail.] Votre mot de passe est géré par Firebase Authentication, un service de Google, et nous ne le voyons jamais.
• Données de commande : votre nom complet, votre pays, la confirmation que vous avez 18 ans ou plus, les cours que vous achetez, les prix, les taxes, la devise, la date et le numéro de commande, le statut du paiement et la référence de transaction de notre banque. Nous ne recevons ni ne conservons votre numéro de carte complet. [À CONFIRMER: si la banque nous transmet des données de carte masquées, comme les quatre derniers chiffres.]
• Historique de vos choix : vos consentements (profils enfants, certificats publics, newsletter), votre consentement à ce que l’accès commence immédiatement et votre reconnaissance, vos rétractations et vos demandes au titre de la garantie, avec leurs dates.
• Messages : ce que vous nous écrivez (questions, réclamations, signalements de sécurité, demandes relatives à vos droits) et nos réponses.
• Newsletter et liste d’attente : votre adresse e-mail, votre langue, ainsi que la date et la preuve de votre consentement et de votre confirmation (double opt-in).
• Données techniques : adresse IP, type de navigateur et d’appareil, pages demandées, ainsi que la date et l’heure, dans les journaux de sécurité de nos serveurs et de Cloudflare.

3.2 Concernant votre enfant

Nous conservons uniquement ce que vous saisissez et ce que l’enfant crée en apprenant :

• Profil : pseudonyme, âge ou année de naissance, et l’avatar choisi dans notre liste prédéfinie.
• Code PIN : le code PIN facultatif à 4 chiffres, conservé sous forme protégée (hachée). [À CONFIRMER: la manière dont le code PIN est conservé.]
• Données d’apprentissage : les cours accessibles au profil, les diapositives terminées, les réponses aux questions de vérification et au quiz final, les tentatives et les scores aux quiz, ainsi que les dates d’activité. [À CONFIRMER: si les réponses aux questions de vérification à l’intérieur du diaporama sont conservées.]
• Certificats : le nom que vous avez choisi pour le certificat (par défaut, le prénom et l’initiale du nom de famille), le cours, la date, le code du certificat et le fait que vous ayez rendu ou non le certificat vérifiable publiquement.

3.3 Ce que nous ne collectons jamais auprès des enfants

• Aucune adresse e-mail, aucun numéro de téléphone ni aucune adresse postale.
• Aucune photo, aucune vidéo, aucun enregistrement vocal ni aucun envoi de fichiers, de quelque nature que ce soit.
• Aucun message ni aucune messagerie.
• Aucune donnée de localisation.
• Aucun identifiant publicitaire, aucun suivi à des fins publicitaires et aucune statistique de visite dans l’espace enfants.

4 Pourquoi nous utilisons les données et sur quelle base juridique

[À CONFIRMER: la base juridique applicable aux données des enfants (consentement parental, notre contrat avec le parent ou intérêts légitimes), et la base applicable aux registres exigés par le droit moldave, puisque l’article 6, paragraphe 1, point c), du RGPD ne couvre que les obligations découlant du droit de l’Union ou du droit d’un État membre.]

Nous n’utilisons aucune donnée à des fins publicitaires ou pour établir des profils marketing, et nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets similaires significatifs pour vous ou votre enfant. Lorsque nous nous fondons sur nos intérêts légitimes, vous pouvez vous y opposer (section 9).

5 Données des enfants et consentement parental

Brotelo est conçu pour les enfants de 8 à 14 ans, mais seuls les adultes sont titulaires d’un compte, et les enfants ne s’inscrivent jamais eux-mêmes.

En vertu du RGPD, lorsqu’un service en ligne repose sur le consentement, un enfant qui n’a pas atteint l’âge du consentement numérique a besoin du consentement du titulaire de la responsabilité parentale. Cet âge se situe entre 13 et 16 ans selon les pays, par exemple 16 ans en Roumanie. Comme tous les enfants sur Brotelo ont 14 ans ou moins et ne s’inscrivent jamais eux-mêmes, nous demandons toujours le consentement du parent, quels que soient l’âge et le pays de l’enfant.

Lorsque vous créez un profil enfant, vous confirmez que vous êtes le parent ou le tuteur de l’enfant, ou que vous disposez de l’autorisation du titulaire de la responsabilité parentale, et vous consentez à ce que nous utilisions les données de l’enfant de la manière décrite ici. [À CONFIRMER: la manière dont nous nous efforçons raisonnablement de vérifier que le consentement est donné par un titulaire de la responsabilité parentale (article 8, paragraphe 2, du RGPD) et, si les États-Unis sont desservis, la méthode de consentement parental vérifiable prévue par la loi COPPA.]

• Nous collectons le moins possible : un pseudonyme au lieu d’un nom complet, un âge ou une année de naissance au lieu d’une date de naissance, des avatars prédéfinis au lieu de photos.
• Vous restez informé : vous voyez la progression et les certificats de votre enfant dans l’espace parents, et notre page « La vie privée expliquée aux enfants » indique à votre enfant que vous pouvez les voir.
• Vous pouvez changer d’avis : vous retirez votre consentement en supprimant le profil enfant, ce qui supprime les données de l’enfant (section 8). Le retrait du consentement ne remet pas en cause ce que nous avons fait auparavant.
• Nous n’utilisons jamais les données des enfants à des fins de marketing, de publicité ou de profilage, et nous ne les vendons jamais.
• Si un enfant s’est inscrit seul : si nous apprenons qu’un enfant a créé un compte lui-même, nous le supprimons.

Nous évaluons les risques de nos traitements pour les enfants dans une analyse d’impact relative à la protection des données. [À CONFIRMER: réaliser l’analyse d’impact relative à la protection des données (AIPD) avant le lancement.]

6 Les destinataires des données

Nous ne vendons pas de données personnelles. Nous ne les partageons qu’avec des prestataires qui les traitent pour notre compte, sur nos instructions et dans le cadre d’un contrat (article 28 du RGPD), ainsi qu’avec les quelques destinataires indépendants énumérés ci-dessous.

[À CONFIRMER: l’entité contractante et le contrat de sous-traitance conclu avec chaque prestataire.]

Destinataires indépendants, soumis à leurs propres politiques de confidentialité :

• MAIB (Moldova Agroindbank), République de Moldova, qui traite les paiements par carte et les données de carte que vous saisissez sur sa page de paiement. [À CONFIRMER: si MAIB agit en tant que responsable du traitement indépendant ou en tant que notre sous-traitant.]
• Google, si vous choisissez de vous connecter avec votre compte Google, en tant que fournisseur de ce compte.
• Conseillers professionnels, comme les avocats et les comptables, qui sont tenus à la confidentialité.
• Autorités et juridictions, uniquement lorsque la loi l’exige, ou pour protéger un enfant susceptible d’être en danger.

Si notre activité, ou une partie de celle-ci, venait à être cédée, l’acquéreur pourrait recevoir les données nécessaires à la poursuite du service, dans le respect de la présente politique. Nous vous en informerions à l’avance.

7 Transferts internationaux

Nous sommes établis en République de Moldova, et notre équipe accède aux données depuis ce pays. La Commission européenne n’a pas adopté de décision d’adéquation pour la République de Moldova. [À CONFIRMER: les garanties applicables à l’accès depuis la République de Moldova, conformément aux lignes directrices 05/2021 du CEPD sur l’interaction entre l’article 3 et le chapitre V du RGPD.]

Nos serveurs se trouvent en Allemagne, et Brevo opère dans l’UE. Cloudflare et Google peuvent traiter des données aux États-Unis. Pour ces transferts, nous nous fondons sur le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) lorsque la société est certifiée au titre de celui-ci, et à défaut sur les clauses contractuelles types de la Commission européenne. Pour les utilisateurs au Royaume-Uni, nous nous fondons sur l’extension britannique de ce cadre ou sur l’addendum britannique à ces clauses. [À CONFIRMER: la certification et les garanties de chaque prestataire à la date de publication.]

Les paiements par carte sont traités par MAIB en République de Moldova.

Vous pouvez nous demander une copie des garanties que nous utilisons en écrivant à [email protected].

8 Durée de conservation des données

Nous ne conservons les données que le temps nécessaire. Les durées ci-dessous sont des propositions. [À CONFIRMER: chacune des durées ci-dessous, au regard du droit comptable moldave, des règles de TVA de l’UE et des délais de prescription.]

9 Vos droits

Vous avez le droit :

• d’accéder à vos données et d’en obtenir une copie ;
• de rectifier les données inexactes ou incomplètes ;
• d’obtenir l’effacement de vos données ;
• d’obtenir la limitation de l’utilisation de vos données dans certains cas ;
• de recevoir les données que vous nous avez fournies dans un format couramment utilisé et de les faire transmettre à un autre service (portabilité) ;
• de vous opposer à l’utilisation de vos données fondée sur nos intérêts légitimes et, à tout moment, à la prospection ;
• de retirer votre consentement à tout moment, sans que cela remette en cause ce que nous avons fait auparavant ;
• de ne pas faire l’objet de décisions fondées exclusivement sur un traitement automatisé ; nous ne prenons aucune décision de ce type.

Vous exercez ces droits pour votre enfant. Lorsqu’un enfant est assez âgé pour comprendre, nous tenons compte de son avis et de son intérêt supérieur.

9.1 Comment exercer vos droits

Dans l’espace parents, vous pouvez modifier ou supprimer des profils enfants, activer ou désactiver la vérification publique d’un certificat, modifier vos préférences d’e-mail et fermer votre compte. [À CONFIRMER: les fonctions en libre-service disponibles au lancement, y compris le téléchargement de vos données.]

Vous pouvez également écrire à [email protected] depuis l’adresse e-mail de votre compte. Nous pouvons vous demander de confirmer votre identité. Nous répondons dans un délai d’un mois. Pour les demandes complexes ou nombreuses, nous pouvons prolonger ce délai de deux mois supplémentaires, en vous en indiquant les raisons. L’exercice de vos droits est gratuit, sauf si une demande est manifestement infondée ou excessive.

10 Réclamation auprès d’une autorité de contrôle

Vous pouvez introduire une réclamation auprès d’une autorité de protection des données :

• en République de Moldova, le Centre national pour la protection des données à caractère personnel (NCPDP), www.datepersonale.md ;
• dans l’Union européenne, l’autorité du pays où vous résidez, où vous travaillez ou où le problème s’est produit ; le Comité européen de la protection des données (CEPD) en publie la liste complète sur edpb.europa.eu ; en Roumanie, il s’agit de l’ANSPDCP, www.dataprotection.ro ;
• au Royaume-Uni, l’Information Commissioner's Office (ICO), ico.org.uk.

Nous vous serions reconnaissants de nous laisser d’abord la possibilité de traiter votre préoccupation : n’hésitez donc pas à nous écrire à [email protected].

11 Sécurité

Nous protégeons les données au moyen de mesures techniques et organisationnelles adaptées aux risques, en particulier pour les données des enfants :

• toutes les connexions à Brotelo sont chiffrées (HTTPS) ;
• nos serveurs se trouvent en Allemagne, et seules les personnes qui en ont besoin y ont accès ;
• les mots de passe sont gérés par Firebase Authentication et ne sont jamais conservés par nous ;
• les codes PIN sont conservés sous forme protégée (hachée) ;
• les données de carte sont traitées par la banque, jamais par nous ;
• nous maintenons nos systèmes à jour et effectuons des sauvegardes régulières.

[À CONFIRMER: les mesures techniques et organisationnelles, telles que documentées dans l’AIPD et dans le registre des activités de traitement.]

En cas de violation de données à caractère personnel, nous la notifions à l’autorité compétente dans un délai de 72 heures lorsque la loi l’exige, et nous vous en informons dans les meilleurs délais si elle est susceptible d’engendrer un risque élevé pour vous ou votre enfant.

12 E-mails marketing

Nous envoyons la newsletter et les nouvelles de la liste d’attente uniquement aux parents qui les demandent. L’inscription se fait au moyen d’une case distincte, jamais précochée, et vous confirmez en cliquant sur le lien que nous vous envoyons (double opt-in). Nous n’envoyons jamais d’e-mails marketing aux enfants. Chaque e-mail contient un lien de désinscription, et la désinscription n’a aucune incidence sur votre compte ni sur vos e-mails de service. [À CONFIRMER: que le suivi des ouvertures et des clics est désactivé dans Brevo.]

13 Cookies et technologies similaires

Nous ne stockons sur votre appareil que ce dont Brotelo a besoin pour fonctionner. Nous n’utilisons ni cookies de mesure d’audience ni cookies publicitaires. Notre Politique relative aux cookies en donne la liste complète.

14 Utilisateurs de certains pays

14.1 Royaume-Uni

Si vous résidez au Royaume-Uni, le UK GDPR et le Data Protection Act 2018 s’appliquent. Nous suivons l’Age Appropriate Design Code de l’ICO (le Children's Code) : un niveau élevé de protection de la vie privée par défaut, la minimisation des données, l’absence de profilage, aucune incitation à partager davantage de données, et des informations sur la vie privée que les enfants peuvent comprendre.

14.2 États-Unis

[À CONFIRMER: si Brotelo est proposé aux États-Unis dès le lancement. Dans ce cas, la conformité à la loi COPPA est nécessaire avant le lancement : information directe des parents, consentement parental vérifiable avant toute collecte d’informations personnelles auprès d’enfants de moins de 13 ans, politique écrite de conservation des données, programme de sécurité de l’information et avis en ligne comportant un numéro de téléphone.] Aux États-Unis, les parents peuvent consulter les informations personnelles de leur enfant, nous demander de les supprimer et refuser qu’elles continuent d’être collectées ou utilisées. Nous ne demandons pas à un enfant plus d’informations que ce qui est raisonnablement nécessaire pour participer à une activité.

14.3 République de Moldova

Nos traitements sont également soumis à la loi n° 195/2024 de la République de Moldova sur la protection des données à caractère personnel. [À CONFIRMER: les dispositions applicables, leur entrée en vigueur et les éventuelles obligations d’enregistrement ou de notification auprès du NCPDP.]

15 Modifications de la présente politique

Nous pouvons mettre à jour la présente politique. La date figurant en haut de la page indique la version en vigueur. Nous vous informerons par e-mail avant l’entrée en vigueur de modifications importantes, et nous vous demanderons à nouveau votre consentement si une modification l’exige.

16 Contact

TOPFED WEB S.R.L., s. Pepeni, r-nul Sîngerei, MD-6234, République de Moldova. E-mail : [email protected].