Politique de confidentialité

Mis à jour le 28 octobre 2026

La présente politique explique quelles données l’application Soitilo et le site Web soitilo.com traitent, à quelles fins, où elles sont conservées et pendant combien de temps. Elle repose sur l’article 13 du Règlement général sur la protection des données de l’Union européenne ((UE) 2016/679).

1. Responsable du traitement et coordonnées

Nettiteeri Oy (numéro d’entreprise 3331525-2, Finlande)
E-mail : tuki@soitilo.com

Le responsable de la protection des données de Nettiteeri Oy est chargé de nos questions de confidentialité, et vous pouvez le contacter à cette adresse. Envoyez-y vos questions et vos demandes concernant vos données.

2. Données que nous traitons

Le compte de l’adulte

• Adresse e-mail.
• Mot de passe, uniquement sous forme de hachage. Le mot de passe lui-même n’est conservé ni sur le serveur ni sur l’appareil.
• Si vous vous connectez avec Google : l’identifiant de votre compte Google et l’adresse e-mail que Google a vérifiée. Le jeton de connexion que fournit Google peut aussi contenir votre nom et l’adresse de votre photo de profil, mais nous ne les lisons ni ne les conservons. Un compte créé avec Google n’a pas de mot de passe tant que vous n’en définissez pas un au moyen d’un lien de réinitialisation du mot de passe.
• Si vous vous connectez avec Apple (sur iPhone et iPad) : l’identifiant de votre compte Apple et l’adresse e-mail que fournit Apple, qui peut être l’adresse de relais privée d’Apple qui transfère les e-mails à votre propre adresse. Nous ne demandons aucun nom à Apple. Le serveur conserve aussi, chiffré, un jeton que fournit Apple pour le compte, afin que l’accès de Soitilo à votre compte Apple puisse être révoqué lorsque le compte est supprimé. Un compte créé avec Apple n’a pas de mot de passe tant que vous n’en définissez pas un au moyen d’un lien de réinitialisation du mot de passe.
• La langue que le service utilise avec vous (le français, l’allemand, l’anglais, le finnois ou le suédois) et le moment de la création du compte.

Famille

• Les adultes de la famille (une famille peut avoir deux administrateurs) et leurs rôles.
• Un identifiant aléatoire de la famille. Il n’est pas dérivé d’une adresse e-mail.

Abonnements

• Lorsqu’un administrateur de la famille achète un abonnement sur Google Play ou dans l’App Store, l’application transmet à la boutique l’identifiant aléatoire de la famille, afin que l’achat soit associé à la bonne famille. Le serveur vérifie l’achat auprès de la boutique et conserve pour la famille, d’après la réponse de la boutique : l’identifiant de l’achat, le numéro de commande de Google (qui permet à l’assistance de retrouver un abonnement Google Play), le produit et la formule (familiale ou individuelle), l’état, le moment de l’expiration, si l’abonnement se renouvelle automatiquement, s’il s’agit d’un essai gratuit ou d’un achat test, le prix et la devise, l’identifiant d’un achat antérieur que l’abonnement a remplacé, le moment où les données ont été vérifiées et modifiées, le moment où le rappel de fin d’essai a été envoyé et le renouvellement pour lequel le rappel de renouvellement a été envoyé. Lorsque l’essai gratuit d’un abonnement à renouvellement automatique se termine dans environ trois jours, nous envoyons à l’adresse e-mail du propriétaire de la famille un rappel indiquant le moment de la fin, le prix fourni par la boutique et la façon d’annuler l’abonnement. Environ 45 jours avant le renouvellement automatique d’un abonnement annuel, nous envoyons à l’adresse e-mail du propriétaire de la famille un rappel indiquant le moment du renouvellement, le prix fourni par la boutique, le dernier moment pour empêcher le renouvellement et la façon d’annuler l’abonnement. Nous ne conservons ni le mode de paiement, ni le nom, ni l’adresse.
• Google et Apple avisent le serveur lorsqu’un abonnement change (par exemple lorsqu’il est renouvelé, annulé, qu’il prend fin ou qu’il est remboursé). L’avis de Google est conservé tel qu’il arrive : il contient l’identifiant de l’achat, le produit, le type d’événement et son moment. Le serveur ne se fie pas au contenu de l’avis de Google, mais vérifie toujours l’abonnement auprès de Google. Apple signe son avis ; le serveur vérifie la signature et conserve l’avis sans elle : les identifiants de l’achat et du paiement, le produit, le type d’événement et son moment, le début et la fin de la période payée, si l’abonnement se renouvelle et vers quel produit, un problème de paiement ou la raison de la fin, s’il a été remboursé et pourquoi, et s’il s’agit d’un essai gratuit ou d’un achat test.
• Les administrateurs du service peuvent accorder à une famille un accès sans achat (par exemple à un examinateur d’une boutique d’applications ou à un enseignant). Cet accès peut durer jusqu’à une date donnée ou constituer une exemption de paiement permanente. À cette fin, nous conservons la formule, le moment de la fin (aucun pour une exemption), la personne qui l’a accordé et une note libre. L’octroi, la modification et le retrait d’un tel accès sont aussi consignés dans le journal du serveur ou, lorsqu’ils sont effectués dans l’administration, dans son journal d’audit : pour un accès jusqu’à une date donnée, avec son ancienne et sa nouvelle formule et son dernier jour ; pour une exemption de paiement, seulement si elle a été activée ou désactivée.

Invitations et enseignants

Un administrateur de la famille peut inviter par e-mail le deuxième administrateur de la famille ou un enseignant. Pour une invitation, nous conservons :

• l’adresse e-mail invitée et le rôle (administrateur ou enseignant)
• le nom de la personne qui invite tel qu’elle l’a écrit (au plus 40 caractères), le compte qui a invité, ainsi que le moment de la création de l’invitation et celui de son expiration
• pour un enseignant, les apprenants que l’enseignant peut voir.

Le code du lien d’invitation est conservé uniquement sous forme de hachage. L’e-mail d’invitation contient le nom de la personne qui invite, mais aucun nom d’apprenant. Un enseignant a son propre compte, avec les mêmes données que le compte d’un adulte. Pour un enseignant, nous conservons aussi quels apprenants de quelle famille lui ont été partagés, le nom de la personne qui a invité et le compte qui a invité. Un enseignant n’est pas membre de la famille.

Un enseignant voit les apprenants partagés dans le navigateur, dans la vue enseignant, en lecture seule : le nom de l’apprenant, le nom de la personne qui a invité, le chapitre, le dernier jour de pratique, si le profil est en pause, les états d’compétence que l’application a déterminés (jouée avec de l’aide ou de façon autonome, en difficulté) et les étoiles et les insignes des chansons de la bibliothèque (en mesure, des deux mains). Si l’appareil de la famille n’a peut-être pas encore envoyé la dernière pratique, la vue l’indique sans rien révéler sur les appareils. Un enseignant ne voit ni les événements de jeu, ni les autres apprenants de la famille, ni quoi que ce soit au sujet des adultes de la famille.

Apprenants

L’adulte ajoute les apprenants de la famille, habituellement des enfants. Pour un apprenant, nous conservons :

• un nom ou un surnom (au plus 20 caractères)
• une image de profil, qui est l’une des images propres à l’application
• un groupe d’âge (4 à 7 ans, 8 à 17 ans ou adulte)
• la langue, le style de présentation et les autres paramètres de l’application, sauf les choix spirituels et le parcours de chansons (ci-dessous, « Sur l’appareil »)
• le moment où le serveur a reçu la confirmation de l’adulte qu’il est le parent ou le tuteur de l’enfant, ou un adulte autorisé par l’un d’eux (section 11) ; aucun pour un apprenant ajouté avec une version antérieure de l’application
• si le profil est actif ou en pause.

Nous ne demandons ni date de naissance, ni photo, ni coordonnées.

Événements de jeu et progression

Chaque fois qu’un apprenant joue, sauf les cantiques et les Chants de Sion (ci-dessous, « Sur l’appareil »), nous conservons la pièce et la tâche jouées, la façon de jouer (écoute, pratique ou jeu), le moyen d’entrée (le piano à l’écran, un clavier branché par câble USB ou par Bluetooth, ou le microphone), le moment et le fuseau horaire, la façon dont la partie s’est terminée et, pour chaque note, si elle a été réussie et de combien de millisecondes le rythme était décalé. Les indices donnés sont aussi conservés. Lorsqu’un adulte ouvre manuellement une étape du parcours d’apprentissage, nous conservons l’étape ouverte et le moment. Nous conservons aussi l’état des compétences de l’apprenant et l’état des étapes de son parcours d’apprentissage (les étapes terminées et l’étape en cours), ainsi que les chansons de la bibliothèque pour lesquelles l’apprenant a obtenu des étoiles, avec leurs noms, leurs étoiles et leurs insignes, sauf les cantiques et les Chants de Sion. L’application les calcule à partir des événements. Nous conservons aussi la connexion de l’appareil qui a envoyé chaque événement.

Appareils

Chaque appareil connecté au compte reçoit son propre jeton de connexion. Son nom est « Soitilo Android » ou « Soitilo iOS », et il consigne le moment de sa dernière utilisation et la version de l’application avec laquelle il a été utilisé la dernière fois. L’application ne lit pas le nom du propriétaire, et elle transmet le modèle de l’appareil uniquement avec les commentaires (voir « Commentaires »).

Un adulte peut associer un autre appareil de la famille, par exemple le téléphone de jeu des enfants, comme appareil familial sans ses propres identifiants. L’application de l’adulte demande un code à usage unique de six caractères, valide pendant 10 minutes. Le serveur ne conserve qu’un hachage du code, avec la famille, le compte qui l’a demandé et le moment de son expiration, et les supprime lorsque le code est utilisé ou qu’un nouveau code est demandé. L’appareil associé reçoit son propre jeton de connexion sur le compte de l’adulte qui a demandé le code. Son nom est le même que sur les autres appareils, et il consigne le moment de l’association, celui de la dernière utilisation et la version de l’application. Un appareil familial peut servir à jouer et synchroniser les données des apprenants, mais il ne peut ni acheter, ni exporter ou supprimer des données, ni gérer les adultes ou les appareils de la famille. Les administrateurs de la famille voient dans l’application le nom, le moment de l’association et le moment de la dernière utilisation des appareils familiaux, et peuvent retirer un appareil. L’association et le retrait sont consignés dans le journal d’audit : le compte, la famille, l’identifiant du jeton de l’appareil et le moment, jamais le code.

Données techniques

• L’application transmet sa version et sa langue avec chaque requête.
• Journal du serveur Web : adresse IP, moment, adresse demandée (sans le code d’un lien d’invitation ou de réinitialisation du mot de passe, ni l’adresse e-mail qu’il contient) et identifiant du navigateur ou de l’application.
• En cas d’erreur, le journal d’erreurs du serveur : les détails de l’erreur et le numéro d’identification du compte si la requête provenait d’un compte connecté.
• Pour prévenir les abus, le serveur compte les tentatives d’inscription, de connexion et de réinitialisation du mot de passe par adresse IP et par adresse e-mail, les tentatives de confirmation du mot de passe, d’acceptation d’invitation et d’envoi de commentaires par compte, et les tentatives d’invitation par famille.
• La page de réinitialisation du mot de passe, la page d’invitation et la vue enseignant ouvrent une session qui consigne l’adresse IP, l’identifiant du navigateur et l’identifiant du compte connecté.

Commentaires

Un adulte connecté peut envoyer des commentaires depuis l’application. Nous conservons le message (jusqu’à 2 000 caractères), le compte qui l’a envoyé, la famille dont le compte faisait alors partie, le moment de l’envoi, et les données de l’appareil que transmet l’application : la version et le numéro de compilation de l’application, le système d’exploitation et sa version, le modèle de l’appareil, la langue, la taille de l’écran et la méthode de jeu. L’application n’ajoute aucune donnée d’apprenant ; le message ne contient que ce que l’adulte y écrit. Si nous répondons, la réponse est envoyée par e-mail à l’adresse du compte, et chaque réponse et son moment sont conservés avec les commentaires.

Des commentaires peuvent être transformés en billet dans le propre système de billets du fournisseur, Teeri-ERP, qui fonctionne sur le même serveur que le service. Le billet reçoit le message, les données de l’appareil, le moment de l’envoi et un lien vers les commentaires dans l’administration du service, mais pas l’adresse e-mail, le compte ni la famille de l’expéditeur.

Nous contacter

Lorsque vous nous écrivez par e-mail, nous traitons votre adresse e-mail, votre nom si vous le donnez et le contenu de votre message.

Sur l’appareil

L’application conserve aussi les apprenants et les événements de jeu sur l’appareil, afin que la pratique fonctionne sans connexion réseau. Les notes qu’un apprenant joue dans la tâche « My melody » (les touches et leur rythme, aucun son) sont conservées uniquement sur l’appareil et ne sont pas transmises au serveur. Le parcours de chansons de l’apprenant (chansons pour enfants, Chants de Sion ou cantiques) et ses choix spirituels, c’est-à-dire un intérêt pour les chants spirituels et les cantiques ou les Chants de Sion choisis comme chansons supplémentaires, ainsi que chaque fois qu’un cantique ou un Chant de Sion est joué et ses étoiles, restent aussi uniquement sur l’appareil, parce qu’ils pourraient révéler les croyances de la famille. Ils ne sont donc pas transférés aux autres appareils de la famille, ne figurent pas dans l’exportation et ne sont pas vus par un enseignant. Toutes ces données sont supprimées lorsque la famille est supprimée dans l’application ou que le compte d’une autre famille se connecte sur l’appareil, et lorsque l’application est retirée de l’appareil. Lorsqu’un adulte connecte un clavier Bluetooth, l’application mémorise son nom et son adresse Bluetooth sur cet appareil seulement, afin que le clavier se reconnecte. Ils ne sont transmis ni au serveur ni aux autres appareils. Ils sont supprimés lorsque l’adulte oublie le clavier dans l’application ou lorsque l’application est retirée de l’appareil. Le jeton de connexion est conservé dans le stockage sécurisé de l’appareil. Le code de l’espace adulte est conservé sur l’appareil uniquement sous forme de hachage salé.

3. À quoi servent les données, et sur quel fondement

• Fourniture du service. Le compte, la famille, les apprenants et les événements de jeu sont nécessaires pour se connecter, pour enregistrer la progression de chaque apprenant, pour transférer les données entre les appareils de la famille et pour choisir des exercices adaptés. Les liens de réinitialisation du mot de passe sont envoyés par e-mail. Un compte qui se connecte avec Google ou Apple est reconnu par l’identifiant de son compte Google ou Apple. Fondement : le contrat en vertu duquel l’adulte commence à utiliser le service pour lui-même et sa famille (article 6, paragraphe 1, point b, du RGPD). Les données d’un apprenant sont traitées à cette fin sur le fondement du contrat, que le parent ou le tuteur conclut aussi au nom de l’enfant, et non sur le fondement du consentement.
• Abonnements. Grâce aux données de l’abonnement, le serveur détermine si la famille a accès au contenu payant (le chapitre 1 est gratuit pour tous), et l’application affiche l’état de l’abonnement. L’achat est vérifié auprès de la boutique (Google Play ou Apple), afin que l’achat d’une autre famille ou un achat falsifié ne donne aucun accès. Fondement : le contrat (article 6, paragraphe 1, point b).
• Invitations. Une invitation est envoyée à l’adresse qu’indique un administrateur de la famille, pour faire entrer un deuxième adulte ou un enseignant dans la famille. Fondement : l’intérêt légitime de la famille à faire entrer un deuxième adulte ou un enseignant (article 6, paragraphe 1, point f). Le compte d’un enseignant et son accès aux apprenants qui lui sont partagés reposent sur le contrat en vertu duquel l’enseignant commence à utiliser le service (article 6, paragraphe 1, point b).
• Fonctionnement et sécurité du service. Les journaux, le journal d’audit de l’administration, la prévention des abus et les sauvegardes. Fondement : l’intérêt légitime à assurer le fonctionnement et la sécurité du service (article 6, paragraphe 1, point f).
• Commentaires. Nous lisons vos commentaires, y répondons et nous en servons pour corriger et développer le service. Les données de l’appareil nous indiquent où une défaillance s’est produite. Fondement : l’intérêt légitime à développer le service et à répondre aux commentaires (article 6, paragraphe 1, point f).
• Développement du service. Sur le serveur, nous calculons des données agrégées à partir des données déjà conservées pour développer les exercices et l’application : combien de familles et d’apprenants ont utilisé l’application chaque semaine, combien d’apprenants ont franchi chaque étape du parcours ou sont bloqués dans une compétence, combien ont reçu un indice dans chaque tâche ou en ont joué le détour, combien ont joué avec chaque méthode de jeu, et combien de familles ont un appareil sur chaque version de l’application. Une donnée agrégée ne contient aucune ligne d’un apprenant ou d’une famille en particulier, et un groupe de moins de cinq apprenants ou familles indique seulement qu’il y en a moins de cinq. Rien de plus n’est recueilli à cette fin, et aucun autre service n’est utilisé. Fondement : l’intérêt légitime à développer le service (article 6, paragraphe 1, point f).
• Nous contacter. Nous répondons à votre message et traitons votre demande. Pour traiter une demande d’assistance, nous pouvons consulter les données de la famille dans l’administration du service (voir la section 7). Fondement : l’intérêt légitime à répondre (article 6, paragraphe 1, point f).

L’application calcule l’état des compétences d’un apprenant à partir des événements de jeu afin de choisir les exercices suivants. Cela ne produit aucun effet juridique ni aucun effet similaire significatif (article 22). Les données ne sont pas utilisées à des fins publicitaires et ne sont pas vendues.

Un compte nécessite une adresse e-mail et un mot de passe, un compte Google ou un compte Apple, et un apprenant nécessite un nom, une image et un groupe d’âge. Sans eux, le service ne peut pas être utilisé. Aucune loi ne vous oblige à fournir ces données.

4. Données des enfants

Le compte est destiné à un adulte : un adulte crée le compte et ajoute des enfants comme apprenants. Le profil d’apprenant d’un enfant n’est pas un compte distinct. Les paramètres et les données de la famille se trouvent dans l’espace adulte, qui s’ouvre avec le code personnel de l’adulte.

Un parent ou un tuteur, ou un adulte qu’il a autorisé, fournit le nom ou le surnom de l’apprenant et les paramètres du profil. Les données de pratique sont recueillies lorsque l’apprenant joue (section 2). La partie « Pour l’enfant » ci-dessous vous aide à l’expliquer à votre enfant.

Un administrateur peut partager avec un enseignant les apprenants qu’il choisit. L’enseignant ne voit pas les autres apprenants de la famille. L’administrateur peut modifier ce qui est partagé ou retirer l’enseignant à tout moment, et l’accès prend fin immédiatement. La suppression d’un apprenant met aussi fin à l’accès d’un enseignant à celui-ci.

Le nom d’un apprenant peut être un surnom. L’application peut prononcer le nom de l’apprenant à voix haute au moyen de la synthèse vocale propre à l’appareil, qui fonctionne sans connexion réseau. Le nom n’est pas transmis à un service de synthèse vocale en ligne.

Pour l’enfant

Cette partie est pour toi, l’apprenant. Lis-la avec un adulte.

• Soitilo se souvient de ton nom ou de ton surnom et de la façon dont ta pratique se passe.
• Quand l’appareil est connecté à Internet, la plupart de ces informations sont aussi enregistrés sur le serveur de Soitilo, pour que les autres appareils de ta famille les connaissent aussi.
• Les adultes de ta famille peuvent voir comment tu progresses.
• Si un adulte invite ton enseignant, l’enseignant peut en voir une partie, comme ton nom, ton chapitre, tes compétences et tes étoiles.
• Quand Soitilo écoute ton piano avec le microphone, il trouve les notes sur cet appareil. Il n’enregistre pas le son et ne l’envoie nulle part.
• Tu peux demander à un adulte de t’aider à voir tes informations ou à les supprimer.

5. Microphone

Lorsque le microphone est le moyen d’entrée, l’application écoute le piano et reconnaît les notes dans la mémoire de l’appareil. Le son n’est jamais enregistré ni transmis où que ce soit. Seul l’événement de jeu est transmis au serveur : les notes réussies et la justesse du rythme, exactement comme lorsqu’on joue sur le piano à l’écran.

6. Aucune publicité, aucun pistage

L’application ne contient ni publicité, ni outil d’analyse, ni signalement d’erreurs, ni autre service tiers qui recueillerait des données, à l’exception de la journalisation de la bibliothèque de facturation de Google décrite à la section 7. Nous n’apprenons l’existence de plantages que par les rapports propres aux boutiques d’applications (Google Play et l’App Store), que les boutiques recueillent selon leurs propres politiques et les paramètres de l’appareil.

Le site Web ne charge rien depuis d’autres sites et n’utilise aucun cookie de pistage ou publicitaire. Seuls la page de réinitialisation du mot de passe, la page d’invitation, la vue enseignant et la connexion de notre propre personnel à l’administration du service déposent les cookies de session dont leurs formulaires et la connexion ont besoin.

7. Où se trouvent les données et qui les traite

• DigitalOcean, LLC fournit le serveur sur lequel fonctionnent le service et sa base de données. Le serveur se trouve à Francfort, en Allemagne. Une sauvegarde de tout le serveur est effectuée une fois par semaine vers le service de DigitalOcean situé dans le même centre de données.
• Mailgun Technologies, Inc. (groupe Sinch) envoie les e-mails de réinitialisation du mot de passe, les invitations, les réponses aux commentaires, les rappels de fin d’essai et les rappels de renouvellement depuis la région UE de Mailgun. Elle reçoit l’adresse e-mail du destinataire et le message.
• Dropbox International Unlimited Company (Irlande) conserve une sauvegarde chiffrée de la base de données. La sauvegarde est chiffrée sur le serveur avant d’être transférée, et Dropbox n’a pas la clé.
• Zoho Corporation B.V. (Pays-Bas) fournit le service de messagerie où arrivent les messages qui nous sont adressés. Elle conserve les messages dans son centre de données situé dans l’UE.

Ces entreprises traitent les données pour notre compte, en tant que sous-traitants. Les données ne sont communiquées à personne d’autre, sauf aux autorités lorsque la loi l’exige.

Si vous vous connectez avec Google, Google Ireland Limited vous identifie en tant que responsable du traitement à part entière, selon ses propres conditions et sa propre politique de confidentialité, et sait que vous vous êtes connecté à Soitilo. Nous ne recevons de Google que les données décrites à la section 2 et ne transmettons à Google aucune donnée sur les apprenants.

Si vous vous connectez avec Apple, Apple Distribution International Limited vous identifie en tant que responsable du traitement à part entière, selon ses propres conditions et sa propre politique de confidentialité, et sait que vous vous êtes connecté à Soitilo. Nous ne recevons d’Apple que les données décrites à la section 2 et ne transmettons à Apple aucune donnée sur les apprenants. Lorsque le compte est supprimé, le serveur demande à Apple de révoquer le jeton de Soitilo pour votre compte Apple, comme Apple l’exige. Si vous cessez d’utiliser « Se connecter avec Apple » pour Soitilo dans les réglages de votre compte Apple, ou si vous supprimez votre compte Apple, Apple en avise le serveur, qui retire alors du compte l’identifiant et le jeton de votre compte Apple ; la famille et ses données sont conservées.

Les abonnements sont vendus et facturés par Google Play. Google Ireland Limited traite le paiement et les données de l’acheteur en tant que responsable du traitement à part entière, selon ses propres conditions et sa propre politique de confidentialité. Lors de l’achat, l’application transmet à Google l’identifiant aléatoire de la famille, et le serveur transmet à Google l’identifiant de l’achat et le nom du paquet de l’application pour vérifier l’achat. Lorsqu’une famille demande à l’assistance d’annuler ou de rembourser un abonnement, le serveur transmet à Google l’identifiant de l’achat et la demande d’annulation ou de remboursement. Les avis de Google concernant les abonnements modifiés parviennent au serveur par Google Cloud Pub/Sub. Lorsqu’un adulte ouvre la vue de l’abonnement, l’application se connecte à Google Play au moyen de la bibliothèque de facturation de Google, qui consigne ses appels de facturation (réussis ou échoués) et ses problèmes de connexion ; Google utilise ces informations selon sa propre politique de confidentialité pour améliorer la bibliothèque et sa prise en charge des erreurs.

Sur iPhone et iPad, les abonnements sont vendus et facturés par l’App Store. Apple Distribution International Limited traite le paiement et les données de l’acheteur en tant que responsable du traitement à part entière, selon ses propres conditions et sa propre politique de confidentialité. Lors de l’achat, l’application transmet à Apple l’identifiant aléatoire de la famille, et le serveur transmet à Apple l’identifiant de l’achat pour vérifier l’achat. Les avis d’Apple concernant les abonnements modifiés parviennent au serveur depuis Apple.

L’administration du service

Seul notre propre personnel, soit le propriétaire et l’assistance, voit les données d’une famille dans l’administration du service, afin de traiter les demandes d’assistance. La connexion à l’administration exige un mot de passe et une vérification en deux étapes, ou une clé d’accès qui demande chaque fois le code PIN ou les données biométriques de l’appareil. L’assistance voit les adresses e-mail, les rôles et les moments de création des comptes des adultes de la famille, les noms, les moments d’utilisation et les versions de l’application des jetons de connexion des appareils et si un appareil est un appareil familial, les noms, les états et les moments de création des apprenants, le moment où le serveur a reçu pour la dernière fois un événement de jeu d’un apprenant, ainsi que les invitations de la famille (adresse, rôle, apprenants, moment de l’envoi et date d’expiration) et ses enseignants (adresse, apprenants qu’ils voient, moment de leur arrivée). Pour traiter une demande d’assistance, l’assistance peut afficher pourquoi l’application s’est adaptée pour un apprenant : quelle compétence est bloquée ou pourquoi l’apprenant a reçu un détour, ainsi que les moments, les tâches, les modes, les fins et le nombre de notes justes du premier coup des tentatives qui y ont mené, mais pas les notes jouées. Le propriétaire et l’assistance voient aussi les commentaires avec l’adresse e-mail de l’expéditeur et les données de l’appareil, et peuvent y répondre, les fermer et les transformer en billet. Le propriétaire peut y exécuter une demande de suppression reçue par e-mail. Chaque consultation et chaque suppression des données d’une famille ou d’un apprenant, et chaque consultation, réponse, fermeture et billet de commentaires, sont consignées dans un journal d’audit, tout comme les appareils familiaux associés et retirés dans l’application : qui a consulté ou modifié, quelle famille, quel apprenant ou quels commentaires, et quand. Le journal ne contient que des identifiants, aucun nom ni autre donnée, sauf qu’une modification d’un accès accordé sans achat consigne, pour un accès jusqu’à une date donnée, son ancienne et sa nouvelle formule et son dernier jour et, pour une exemption de paiement, si elle a été activée ou désactivée.

Le propriétaire et l’assistance voient aussi dans l’administration les données agrégées décrites à la section 3 (développement du service). Elles ne contiennent ni noms, ni identifiants, ni lignes d’une famille ou d’un apprenant en particulier ; leur consultation n’est donc pas consignée dans le journal d’audit.

Transferts hors de l’UE et de l’EEE

• DigitalOcean est une entreprise américaine, bien que le serveur se trouve dans l’UE. Lorsqu’elle traite des données hors de l’UE et de l’EEE, son accord de traitement des données fonde le transfert sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) et, à titre subsidiaire, sur les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914).
• Mailgun conserve dans l’UE les messages de la région UE, mais des données peuvent aussi être traitées par les sociétés américaines du groupe. Ces transferts reposent sur les clauses contractuelles types (décision d’exécution (UE) 2021/914) de l’accord de traitement des données de Mailgun.
• Dropbox peut transférer la sauvegarde chiffrée à la société américaine de son groupe, Dropbox, Inc. Le transfert repose sur la certification de Dropbox, Inc. au titre du cadre de protection des données UE–États-Unis.
• Des employés de la société indienne du groupe Zoho, Zoho Corporation Private Limited, peuvent traiter les messages depuis l’Inde, bien que les messages soient conservés dans l’UE. Cela repose sur des clauses contractuelles types entre les sociétés néerlandaise et indienne de Zoho et sur les mesures supplémentaires d’une évaluation de l’incidence des transferts.

8. Durée de conservation des données

• Le compte, la famille, les apprenants et les événements de jeu sont conservés tant que le compte existe. La suppression de la famille supprime toute la famille d’un seul coup (voir Suppression de votre compte). Si, pendant 24 mois, aucun des adultes de la famille ne s’est connecté à l’application, ne l’a utilisée sur l’un des appareils de la famille ni n’a modifié son mot de passe, la famille est supprimée avec toutes ses données, comme lors de la suppression de la famille. Il n’y a pas d’avis distinct. Une famille n’est pas supprimée tant qu’elle a un abonnement Google Play ou App Store actif, en délai de grâce, suspendu ou en pause, ou un accès accordé par les administrateurs qui est en vigueur.
• Les données d’un abonnement et l’accès accordé par les administrateurs sont conservés tant que la famille existe, aussi après la fin de l’abonnement, et sont supprimés avec la famille.
• Les avis de Google et d’Apple concernant les abonnements modifiés sont conservés pendant 12 mois à compter de leur arrivée. Ceux qui concernent les achats de la famille sont supprimés immédiatement lorsque la famille est supprimée.
• Le jeton de connexion d’un appareil prend fin lorsque l’appareil se déconnecte, lorsqu’un administrateur de la famille retire un appareil familial, lorsque le mot de passe de son compte est réinitialisé ou que le compte est supprimé, lorsque Apple signale que la connexion Apple du compte a pris fin et que le compte n’a ni mot de passe ni connexion Google, ou lorsqu’il n’a pas été utilisé pendant 90 jours. Un code d’association inutilisé expire au bout de 10 minutes. Un jeton expiré est supprimé dans un délai de deux jours.
• Les réponses aux requêtes de l’application sont conservées pendant 24 heures, afin qu’un envoi interrompu ne soit pas enregistré deux fois.
• Une invitation est valide pendant 14 jours. Elle est supprimée lorsqu’elle est acceptée ou annulée, sinon 30 jours après son expiration.
• L’accès d’un enseignant aux apprenants dure jusqu’à ce qu’un administrateur retire l’enseignant ou l’apprenant, que la famille soit supprimée ou que le compte de l’enseignant soit supprimé. Le compte d’un enseignant est conservé jusqu’à ce que l’enseignant en demande la suppression (voir Suppression de votre compte).
• Les commentaires et leurs réponses sont conservés pendant 12 mois à compter de la dernière modification (envoi, réponse, fermeture ou billet). Ils sont supprimés immédiatement lorsque le compte de l’expéditeur est supprimé, y compris lorsque la famille est supprimée. Les commentaires copiés dans un billet ne sont pas supprimés avec le compte ; ils sont conservés aussi longtemps que le traitement de la question l’exige.
• Les compteurs de tentatives expirent dans un délai d’une heure, le compteur quotidien des tentatives d’invitation dans un délai d’un jour.
• Une session du site Web (la page de réinitialisation du mot de passe, la page d’invitation et la vue enseignant) expire lorsqu’elle n’a pas été utilisée pendant deux heures, et prend fin immédiatement lorsque l’enseignant se déconnecte. Une réinitialisation du mot de passe met fin à toutes les sessions du compte. Les sessions expirées sont supprimées périodiquement.
• Le journal d’audit de l’administration est conservé pendant 12 mois, aussi après la suppression de la famille ou de l’apprenant.
• Les journaux d’erreurs du serveur sont conservés pendant au plus 15 jours.
• Les journaux du serveur Web sont conservés pendant au plus 15 jours.
• Les messages qui nous sont adressés sont conservés aussi longtemps que le traitement de la question l’exige.

Sauvegardes

La base de données est sauvegardée chaque nuit. Le serveur conserve toutes les sauvegardes des 7 derniers jours, puis une par semaine jusqu’à ce qu’elles aient 2 mois, puis une par semestre jusqu’à ce qu’elles aient 12 mois. La copie chiffrée dans Dropbox est conservée de la même façon, et une copie supprimée de Dropbox peut encore être restaurée pendant 30 jours. De plus, la sauvegarde hebdomadaire de tout le serveur est conservée pendant 4 semaines.

Des données supprimées du service peuvent donc rester dans les sauvegardes pendant au plus 12 mois et 30 jours. Les sauvegardes servent uniquement à restaurer le service après une défaillance.

9. Vos droits

En vertu du RGPD, vous avez le droit de

• savoir quelles données vous concernant et concernant les apprenants de votre famille sont traitées, et en obtenir une copie (article 15)
• faire rectifier les données inexactes (article 16)
• faire supprimer les données (article 17) ; voir Suppression de votre compte
• limiter le traitement (article 18)
• obtenir les données dans un format lisible par machine (article 20) ; les données de la famille peuvent être exportées dans l’espace adulte de l’application, sous « Data and account » ; l’exportation exclut les commentaires, les dossiers d’abonnement et d’accès (y compris les avis des boutiques concernant les modifications d’abonnement), les dossiers de connexion des appareils, les identifiants des comptes Google et Apple et le journal d’audit de l’administration, mais vous les obtenez sur demande
• vous opposer, pour des raisons tenant à votre situation particulière, au traitement fondé sur l’intérêt légitime (article 21).

Envoyez votre demande à tuki@soitilo.com depuis l’adresse e-mail de votre compte. Nous répondons dans les meilleurs délais et au plus tard dans un délai d’un mois (article 12).

Si vous estimez que le traitement de vos données enfreint la législation sur la protection des données, vous pouvez déposer une plainte auprès d’une autorité de contrôle. En Finlande, il s’agit du Médiateur à la protection des données : Office of the Data Protection Ombudsman, PL 800, 00531 Helsinki, Finlande, tietosuoja@om.fi, tietosuoja.fi. Vous pouvez aussi porter plainte auprès de l’autorité de protection des données du pays où vous habitez, par exemple la Data Protection Commission en Irlande, l’Office of the Australian Information Commissioner (OAIC), le Privacy Commissioner en Nouvelle-Zélande ou le Commissariat à la protection de la vie privée du Canada (CPVP).

10. Enfants aux États-Unis (COPPA)

La présente section indique aux parents aux États-Unis comment nous traitons les données des enfants de moins de 13 ans en vertu de la Children’s Online Privacy Protection Act (COPPA) et de sa règle d’application (16 CFR part 312).

Exploitant : Nettiteeri Oy, Viereläntie 4 A, 90630 Oulu, Finlande, téléphone +358 44 280 9861, e-mail tuki@soitilo.com.

Ce que l’utilisation par un enfant conserve sur le serveur. Un enfant n’a pas de compte à lui : un adulte crée le compte et ajoute l’enfant comme apprenant. On ne demande jamais à un enfant son adresse e-mail, son numéro de téléphone, son adresse, sa date de naissance ou sa photo. Le serveur conserve le nom ou le surnom de l’apprenant, l’image de profil (l’une des images propres à l’application), le groupe d’âge et les paramètres que fournit l’adulte et, à partir de la pratique de l’enfant, les événements de jeu (quelle chanson et quelle tâche, de quelle façon, quand, quelles notes ont été réussies et comment s’est passé le rythme, les indices donnés), les états d’compétence, l’état des étapes du parcours et les étoiles et les insignes des chansons de la bibliothèque (plus en détail à la section 2). Il conserve aussi le jeton de connexion de l’appareil et la connexion de l’appareil qui a envoyé chaque événement, et le journal du serveur Web consigne l’adresse IP et l’identifiant de l’application de chaque requête.

À quoi servent les données. Nous utilisons les données uniquement pour fournir le service : pour la connexion, pour la synchronisation des données entre les appareils de la famille, pour adapter les exercices aux compétences de l’enfant et, si l’adulte le choisit, pour la vue enseignant. Nous en calculons aussi des données agrégées pour développer le service, sans données d’un enfant en particulier (section 3), et l’assistance peut les consulter lorsqu’elle traite la demande d’assistance de la famille (section 7). Les données ne sont pas utilisées à des fins publicitaires et ne sont pas vendues, et l’application ne contient ni publicité ni outil d’analyse tiers. Les données se trouvent sur le serveur et dans ses sauvegardes, que seuls les sous-traitants nommés à la section 7 traitent pour notre compte.

La vue enseignant. Seul un adulte de la famille peut inviter un enseignant, et l’adulte choisit les apprenants que l’enseignant voit. L’enseignant voit dans le navigateur un résumé en lecture seule des apprenants partagés : le nom de l’apprenant, le nom de la personne qui a invité, le chapitre, le dernier jour de pratique, si le profil est en pause, les états d’compétence (jouée avec de l’aide ou de façon autonome, en difficulté) et les étoiles et les insignes des chansons de la bibliothèque. L’enseignant ne voit ni les événements de jeu, ni les autres apprenants de la famille, ni quoi que ce soit au sujet des adultes de la famille. L’adulte peut modifier ce qui est partagé ou retirer l’enseignant dans l’application à tout moment, et l’accès prend fin immédiatement.

Microphone. Le son du microphone ne quitte jamais l’appareil : l’application reconnaît les notes dans la mémoire de l’appareil, et le son n’est jamais enregistré ni transmis où que ce soit (section 5).

Les droits du parent. En tant que parent, vous pouvez à tout moment examiner les données de votre enfant et faire cesser leur collecte :

• La progression de votre enfant s’affiche dans l’application, et les données de la famille peuvent être exportées dans l’espace adulte de l’application, sous « Data and account » (la section 9 indique ce que l’exportation exclut).
• Lorsque vous supprimez l’apprenant dans l’espace adulte de l’application (« Data and account », « Delete profile »), le profil, les événements de jeu et les états d’compétence de l’apprenant sont supprimés immédiatement du serveur, et l’accès d’un enseignant prend fin. Aucune autre donnée n’est ensuite recueillie au sujet de l’enfant. Toute la famille peut être supprimée au même endroit (voir Suppression de votre compte).
• Vous pouvez aussi écrire à tuki@soitilo.com depuis l’adresse e-mail de votre compte pour nous demander d’afficher, d’exporter ou de supprimer les données de votre enfant ou d’en cesser la collecte. Nous répondons au plus tard dans un délai d’un mois.

Conservation. Les données d’un enfant sont conservées comme l’indique la section 8 : tant que l’apprenant et la famille existent, et la famille est supprimée lorsqu’elle n’a pas été utilisée pendant 24 mois. Les données supprimées peuvent rester dans les sauvegardes pendant au plus 12 mois et 30 jours.

11. Canada

La présente section s’adresse aux familles du Canada, y compris du Québec.

Traitement hors du Canada. Vos données sont traitées hors du Canada : dans l’UE (le serveur se trouve en Allemagne) et dans les autres pays décrits à la section 7. Ils peuvent être accessibles aux tribunaux et aux autorités publiques en vertu des lois de ces pays. Notre responsable de la protection des données, à tuki@soitilo.com, peut vous en dire davantage sur nos fournisseurs de services hors du Canada et sur la façon dont nous protégeons les données.

Le consentement d’un parent ou d’un tuteur. En ajoutant un apprenant, vous confirmez être le parent ou le tuteur légal de l’enfant, ou un adulte autorisé par l’un d’eux, et vous acceptez que Soitilo utilise le nom ou le surnom, les paramètres de profil et la progression de pratique de l’apprenant comme le décrit la présente politique. Il s’agit du consentement que les lois canadiennes sur la protection des renseignements personnels, y compris celle du Québec, demandent à un parent ou à un tuteur ; en vertu du RGPD, le fondement demeure le contrat (section 3). Vous pouvez le retirer à tout moment en supprimant l’apprenant dans l’espace adulte de l’application ou en écrivant à tuki@soitilo.com. L’utilisation du service synchronisé par l’enfant prend alors fin.

Les versions plus récentes de l’application demandent cette confirmation au moyen d’une case à cocher chaque fois qu’un apprenant est ajouté ; un adulte qui s’ajoute lui-même comme apprenant la confirme pour ses propres données. Le serveur conserve avec l’apprenant le moment où il a reçu la confirmation (section 2), et ce moment est supprimé avec l’apprenant.

12. Suisse

La présente section s’adresse aux personnes qui résident en Suisse.

Vos droits. En vertu de la loi fédérale suisse sur la protection des données (LPD), vous pouvez aussi demander quelles données vous concernant sont traitées (article 25), obtenir les données que vous nous avez fournies dans un format électronique courant (article 28) et faire rectifier des données inexactes, faire cesser un traitement ou faire supprimer des données (article 32). Envoyez votre demande à tuki@soitilo.com comme l’indique la section 9.

Transferts. La Suisse reconnaît que les pays de l’UE et de l’EEE offrent une protection adéquate des données ; le serveur en Allemagne et les sous-traitants dans l’UE n’exigent donc aucun autre fondement. Parmi les transferts hors de l’UE et de l’EEE décrits à la section 7, DigitalOcean, LLC et Dropbox, Inc. sont aussi certifiées en vertu du Swiss–U.S. Data Privacy Framework, que la Suisse reconnaît ; l’accord de traitement des données de Mailgun applique ses clauses contractuelles types aussi aux données provenant de Suisse ; et le traitement de Zoho en Inde repose sur les clauses contractuelles types et les mesures supplémentaires décrites à la section 7.

Autorité de surveillance. Si vous estimez que le traitement de vos données enfreint le droit suisse de la protection des données, vous pouvez le signaler au Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, Suisse, edoeb.admin.ch.

13. Singapour

La présente section s’adresse aux familles qui résident à Singapour.

Délégué à la protection des données. Notre délégué à la protection des données répond aux questions et aux demandes présentées en vertu de la loi de Singapour sur la protection des données personnelles (Personal Data Protection Act 2012, PDPA) à tuki@soitilo.com.

Consentement d’un parent ou d’un tuteur. La confirmation que l’application demande lorsqu’un apprenant est ajouté (section 11) constitue aussi le consentement d’un parent ou d’un tuteur que la PDPA exige pour les données d’un enfant. Vous pouvez la retirer de la même façon.

Traitement hors de Singapour. Vos données sont traitées hors de Singapour : dans l’UE (le serveur se trouve en Allemagne) et dans les autres pays décrits à la section 7. Les sous-traitants qui y sont nommés sont liés par des accords de traitement des données qui les obligent à protéger ces données.

14. Modifications

Nous mettons à jour la présente politique lorsque le service ou le traitement des données change. La date de la mise à jour figure en haut de la page.

↑ Retour en haut